KVKK Soru Seti: Uyum Çalışmanızın Kapsamını Belirleyin
KVKK danışmanlığı kapsamında size özel bir çalışma hazırlayabilmemiz için kurumunuzun yapısını ve teknik altyapısını tanımamız gerekir. Aşağıdaki 24 soruyu yanıtlayın; uzmanımız beyanınızı değerlendirip kurumunuzun risk görünümünü sizinle paylaşsın.
KVKK soru seti, bir kurumun kişisel veri uyum çalışmasının kapsamını belirlemek için doldurulan envanter formudur. Şirket ölçeği (çalışan, lokasyon, departman sayısı), teknik altyapı (sunucu, istemci, sanallaştırma) ve mevcut güvenlik kontrolleri (sızma testi, DLP, ISO 27001, 5651 loglama) tek formda toplanır. Bu veri olmadan ne VERBİS kayıt yükümlülüğünün doğup doğmadığı ne de uyum projesinin büyüklüğü hesaplanabilir.
Soru Setini Doldurun
Hangi Başlıklar Değerlendiriliyor?
Genel skor, aşağıdaki beş başlığın ağırlıklı ortalamasıdır. Yüzdeler her başlığın skora katkısını gösterir; kapsam soruları (e-ticaret, uzak erişim gibi) puanlanmaz, yalnızca çalışmanın kapsamını genişletir.
- Kayıt Yükümlülüğü%25
- VERBİS kayıt yükümlülüğünüzün doğup doğmadığı — çalışan sayısı ve yıllık mali bilanço eşiklerine göre — ve kaydın yapılmış olması.
- Teknik Güvenlik Tedbirleri%30
- Sızma testi, veri sızıntısı önleme (DLP), ISO 27001 belgelendirmesi ve 5651 sayılı Kanun kapsamındaki loglama gibi teknik tedbirlerin varlığı.
- Sistem Altyapısı%20
- Sunucu ve istemci envanteri, sanallaştırma ve destek süresi dolmuş işletim sistemlerinin kullanımda olup olmadığı.
- Aktarım ve Erişim Yüzeyi%15
- Yurt dışındaki sunucular, uzak masaüstü/VPN erişimi ve e-ticaret gibi kişisel verinin kurum dışına çıktığı senaryolar.
- Çalışan Farkındalığı%10
- Personele KVKK farkındalık eğitimi verilip verilmediği — teknik tedbirlerin en zayıf halkası insandır.
Sonuç Nasıl Hesaplanıyor?
Puanlama beyanınıza dayanır ve sunucuda hesaplanır. “Bilgim Yok” yanıtı puan getirmez: bilinmeyen bir kontrol, var kabul edilemez.
Envanteri beyan edin
Şirket ölçeğiniz, lokasyon ve sunucu sayınız ile mevcut güvenlik kontrolleriniz tek formda toplanır.
Yükümlülük eşiği kontrol edilir
Çalışan sayınız ve bilanço büyüklüğünüz VERBİS kayıt istisnasının eşikleriyle karşılaştırılır; yükümlülük doğuyorsa kayıt durumunuz ayrıca sorgulanır.
Kontroller puanlanır
Sızma testi, DLP, ISO 27001, loglama, eğitim ve eski sistem kullanımı beş başlık altında ağırlıklandırılır.
Uzmanımız sizinle paylaşır
Genel skor, başlık kırılımı, kritik bulgular ve kapsam notları uzmanımız tarafından incelenir ve 1 iş günü içinde görüşmede sizinle paylaşılır.
Form Sonunda Ne Alırsınız?
Uzmanımızın sizinle paylaşacağı değerlendirme bir puanla bitmez; hangi yükümlülüğün doğduğunu ve nereden başlanacağını gösteren bir görünüm sunar.
- Kurumunuza özel genel risk skoru ve seviye değerlendirmesi
- Beş başlıkta ayrı skor kırılımı
- Kritik ve önemli bulguların gerekçeleriyle listesi
- VERBİS kayıt yükümlülüğünüzün doğup doğmadığına dair değerlendirme
- Uyum çalışmasının kapsamını genişleten olguların (kapsam notları) dökümü
Sık Sorulan Sorular
KVKK Uyum Testi, kurumun süreçlerini (aydınlatma, açık rıza, çerez, saklama-imha) beyana dayalı ölçer. KVKK Soru Seti ise uyum çalışmasının kapsamını belirleyen kurumsal ve teknik envanteri toplar: kaç lokasyon, kaç sunucu, kaç istemci, hangi güvenlik kontrolleri. İkisi birbirinin yerine geçmez; birlikte doldurulduğunda hem süreç hem altyapı fotoğrafı çıkar.
Kayıt istisnası ancak iki koşulun birlikte sağlanmasına bağlıdır: yıllık çalışan sayınızın 50'den az ve yıllık mali bilanço toplamınızın 100 milyon TL'den az olması. Koşullardan yalnızca biri aşılsa bile VERBİS'e kayıt ve kişisel veri işleme envanteri hazırlama yükümlülüğünüz doğar. Ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumlularında ise istisna hiç uygulanmaz.
KVKK m.12 “uygun güvenlik düzeyini temin etmeye yönelik gerekli tedbirleri” ister; bu tedbirlerin ölçeği doğrudan altyapı büyüklüğüyle belirlenir. Envanter çalışmasının, sızma testi kapsamının ve loglama mimarisinin adam/gün büyüklüğü bu üç sayıdan çıkar.
Beyan ettiğiniz bilgiler yalnızca talebinizin değerlendirilmesi ve size dönüş yapılması amacıyla işlenir; formda özel nitelikli kişisel veri istenmez. Verileriniz açık rızanıza dayanılarak işlenir ve saklama süresi sonunda imha edilir. Ayrıntılar aydınlatma metnindedir.
Evet. “Yeni Şirket Bilgisi Ekle” düğmesiyle her tüzel kişilik için ayrı bir bilgi bloğu açabilirsiniz. Her şirket ayrı veri sorumlusudur; değerlendirmede her biri için ayrı skor ve bulgu listesi üretilir.
Geçmez. Sonuç, beyanınıza dayanan bir ön değerlendirmedir ve çalışmanın nereden başlaması gerektiğini gösterir. Kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metinleri ve yerinde teknik denetim ayrı bir danışmanlık çalışmasının konusudur.
Envanteriniz çıktı, sırada yol haritası var
Beyan ettiğiniz altyapı üzerinden riskli başlıkları önceliklendirelim; kurumunuzun ölçeğine uygun bir KVKK uyum programı planlayalım.
