KVKK uyumu, bir kez metin hazırlayıp bırakılan bir iş değildir. Kişisel verinin hangi süreçte, hangi amaçla, kimden toplandığı, nerede saklandığı ve kiminle paylaşıldığı bilinmeden hazırlanan aydınlatma metni ya da sözleşme kâğıt üzerinde kalır. KVKK uyum danışmanlığımız veri envanteriyle başlar. Ardından sözleşme setine, teknik ve idari tedbirlere ve ihlal müdahale planına uzanan bütünleşik bir çalışmayla devam eder.

Hukuki yorum gerektiren noktalarda kurumunuzun hukuk birimi ya da avukatıyla birlikte çalışırız. Amacımız uyumu kanıtlanabilir ve sürdürülebilir bir yönetim düzenine dönüştürmektir. Kurul incelemesinin ya da bir denetimin sonucunu önceden garanti etmek bu amacın parçası değildir.

Hizmetin kapsamı

Veri envanteri ve VERBİS

Departman bazlı görüşmelerle kişisel veri işleme faaliyetlerinin çıkarılması
Veri kategorileri, işleme amaçları, hukuki sebepler, saklama süreleri ve alıcı gruplarının eşlenmesi
Özel nitelikli kişisel verilerin ayrıca işaretlenmesi ve ek tedbir ihtiyacının belirlenmesi
VERBİS kayıt yükümlülüğünün güncel Kurul kararlarına göre değerlendirilmesi, kayıt ya da güncelleme bilgilerinin envanterle tutarlı hale getirilmesi
Kişisel veri saklama ve imha politikasının envantere dayanarak hazırlanması

Aydınlatma ve açık rıza metinleri

Aydınlatma yükümlülüğü ile açık rıza farklı araçlardır ve sık karıştırılır. Her veri sahibi grubu için ayrı bir aydınlatma metni hazırlarız: çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi yetkilisi. Açık rıza yalnızca başka bir hukuki sebebin bulunmadığı işlemler için kurgulanır. Rıza ayrı bir beyanla alınır ve hizmetin şartı haline getirilmez.

Sözleşme tasarımı

Veri işleyen sözleşmeleri ve mevcut hizmet sözleşmelerine eklenecek veri koruma hükümleri
Yurt dışına aktarım için KVKK md. 9 kapsamındaki mekanizmaların değerlendirilmesi ve standart sözleşme sürecinin planlanması
Çalışan gizlilik taahhütnameleri ve tedarikçi gizlilik sözleşmeleri
İlgili kişi başvuru formu ve başvuruların yanıtlanma süreci

İdari ve teknik tedbirler (Madde 12)

KVKK md. 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlayacak tedbirleri alma yükümlülüğü getirir. Kurul'un Kişisel Veri Güvenliği Rehberi'ni referans alarak mevcut durumunuzu değerlendirir, eksik tedbirleri risk ve uygulanabilirlik sırasına koyarız.

İdari tedbirler: politika ve prosedürler, yetki matrisi, eğitim, gizlilik taahhütleri, periyodik iç kontrol
Teknik tedbirler: erişim yetkilendirme, log kayıtları, şifreleme, yedekleme, zafiyet yönetimi, veri sızıntısı önleme
Veri işleyenlerin ve tedarikçilerin tedbirlerinin sözleşme ve kontrol listesiyle izlenmesi

İhlal müdahale planı

Bir kişisel veri ihlali yaşandığında kimin neyi hangi sırayla yapacağı önceden belli olmalıdır. Hazırladığımız plan tespit, sınırlandırma, etki analizi, Kurul'a ve ilgili kişilere bildirim, kayıt tutma ve kök neden analizi adımlarını içerir. Kurul kararıyla belirlenen 72 saatlik bildirim süresine göre roller ve iletişim zinciri netleştirilir. Plan, masa başı bir senaryo çalışmasıyla sınanır.

Süreç: adım adım KVKK uyum projesi

Açılış ve kapsam belirleme. Çıktı: proje planı, görüşme takvimi ve sorumlular listesi.
Mevcut durum ve boşluk analizi. Çıktı: mevcut metinlerin, sözleşmelerin ve tedbirlerin değerlendirildiği boşluk analizi raporu.
Veri envanteri ve VERBİS hazırlığı. Çıktı: süreç bazlı kişisel veri envanteri, saklama ve imha politikası, VERBİS kayıt bilgileri.
Metin ve sözleşme seti. Çıktı: aydınlatma ve açık rıza metinleri, veri işleyen ve aktarım sözleşmesi taslakları, ilgili kişi başvuru formu.
Tedbirler, ihlal planı ve eğitim. Çıktı: Madde 12 tedbir planı, ihlal müdahale prosedürü, çalışan farkındalık eğitimi kayıtları.
Sürdürme. Çıktı: yıllık gözden geçirme takvimi ve yeni süreç ya da tedarikçi eklendiğinde kullanılacak değişiklik kontrol listesi.

Kimler için?

Çalışan, müşteri, hasta ya da öğrenci verisi işleyen KOBİ'ler ve kurumsal şirketler
Kurumsal müşterilerinden veri işleyen sözleşmesi ya da KVKK uyum beyanı istenen yazılım, bulut ve hizmet firmaları
Yurt dışındaki sunuculara, bulut hizmetlerine ya da grup şirketlerine veri aktaran kuruluşlar
Sağlık, eğitim, e-ticaret, lojistik ve insan kaynakları gibi yoğun kişisel veri işleyen sektörler
ISO 27001 belgesi olan ya da belge hedefleyen ve KVKK'yı aynı yönetim sistemine bağlamak isteyen kurumlar

ISO 27001 ve ISO 27701 ile entegrasyon

KVKK'nın teknik ve idari tedbirleri ile ISO 27001:2022 Ek-A kontrolleri büyük ölçüde örtüşür. Aşağıdaki kontrollerde üretilen kayıtlar KVKK için de kanıt oluşturur: Ek-A 5.34 (gizlilik ve kişisel verilerin korunması), 5.31 (yasal, mevzuat, düzenleyici ve sözleşmeden doğan gereklilikler), 5.12 (bilginin sınıflandırılması), 8.10 (bilginin silinmesi) ve 5.24 ile 5.28 arasındaki olay yönetimi kontrolleri.

Veri envanterini BGYS varlık envanterine, ihlal planını olay yönetimi prosedürüne, tedarikçi sözleşmelerini tedarikçi ilişkileri kontrollerine bağlarız. Böylece iki ayrı doküman yığını yerine tek bir yönetim sistemi işletirsiniz.

Kişisel veri yönetimini belgelendirilebilir bir sisteme taşımak isteyen kurumlar için ISO 27701 uzantısı, KVKK çalışmasının doğal devamıdır. Bu uzantıdaki veri sorumlusu ve veri işleyen kontrolleri, burada hazırlanan envanter ve sözleşme setiyle beslenir.

Konuyu ayrıntılı incelemek için KVKK ve ISO 27001 bütünleşik veri güvenliği rehberimize ve KVKK teknik tedbirler rehberimize göz atabilirsiniz. Belgelendirme yolu için ISO 27701 kişisel veri yönetim sistemi sayfamızı okuyabilirsiniz.

Çalışma ilkelerimiz

Hazır şablon yerine envanterinize dayanan metinler
Hukuki yorum gereken noktalarda hukuk biriminizle koordinasyon
Teknik tedbirleri uygulayabilen ekip: sızma testi, log yönetimi ve erişim kontrolü tarafında destek
Kurul veya denetim sonucu için garanti değil, kanıtlanabilir ve güncel tutulabilir bir uyum dosyası

KVKK uyum projeniz için teklif alın

KVKK uyum projenizin kapsamını ve süresini netleştirmek için hızlı teklif formunu doldurun. Çalışan sayınıza, veri sahibi gruplarınıza ve mevcut dokümanlarınıza göre size özel bir çalışma planı hazırlayalım. KVKK'yı bilgi güvenliği yönetim sisteminizle birlikte ele almak istiyorsanız ISO 27001 danışmanlık hizmetimizi de inceleyebilirsiniz.

Sıkça Sorulan Sorular

KVKK danışmanlığı hukuki danışmanlığın yerine geçer mi?

Hayır. Süreç, envanter, doküman ve teknik ile idari tedbir tarafını biz yürütürüz. Hukuki yorum ya da uyuşmazlık gerektiren konularda kurumunuzun avukatı veya hukuk birimiyle birlikte çalışırız.

VERBİS kaydı yapmak zorunda mıyız?

Bu yükümlülük Kurul kararlarında belirlenen ölçütlere bağlıdır: çalışan sayısı, yıllık mali bilanço ve ana faaliyet konusunun özel nitelikli kişisel veri işleme olup olmadığı. Durumunuzu güncel kararlara göre değerlendiririz. Kayıt gerekiyorsa bilgileri envanterle tutarlı biçimde hazırlarız.

KVKK uyum projesi ne kadar sürer?

Süre; kapsam, lokasyon sayısı, süreç sayısı ve mevcut dokümanların durumuna bağlıdır. Tek lokasyonlu bir işletmeyle çok lokasyonlu bir grup şirketinin takvimi farklı olur. Ön görüşmeden sonra süreyi yazılı planda netleştiririz.

Hazır aydınlatma metni şablonu kullanamaz mıyız?

Şablon bir başlangıç olabilir. Ancak aydınlatma metni gerçekte işlenen veriyi, amacı, hukuki sebebi ve aktarım bilgisini yansıtmalıdır. Envantere dayanmayan metinler, ilgili kişi başvurularında ve incelemelerde tutarsızlık yaratır.

ISO 27001 belgemiz var, KVKK'ya uyumlu sayılır mıyız?

Otomatik olarak sayılmazsınız. ISO 27001 teknik ve idari tedbirlerin önemli bir kısmını karşılar. Aydınlatma, açık rıza, VERBİS, saklama ve imha, ilgili kişi başvuruları gibi KVKK'ya özgü yükümlülüklerin ise ayrıca ele alınması gerekir.

KVKK Uyum Danışmanlığı ve Sözleşme Tasarımı