Teknokent Firmaları İçin KVKK: Küçük Ekiple Minimum Belge Seti

Küçük ekip, büyük veri

Teknoloji geliştirme bölgelerinde (teknokent) ve TEKMER'lerde çalışan girişimler çoğu zaman beş on kişilik ekiplerle, ürün geliştirme ve yatırım takvimi arasında sıkışarak ilerler. Bu tempoda teknokent KVKK çalışmaları genellikle “büyüyünce bakarız” listesine düşer. Oysa ilk kurumsal müşteri, ilk pilot proje ya da ilk yatırımcı görüşmesi, uyum belgelerinin sorulduğu andır.

Bu yazıda küçük bir ekibin altından kalkabileceği asgari belge setini, ürün içinde işlenen müşteri verisiyle şirketin kendi verisinin neden ayrı ele alınması gerektiğini, teknokent yönetimiyle yapılan veri paylaşımlarını ve uyumun şirketle birlikte nasıl büyüyebileceğini anlatıyoruz.

Küçük ekiplerde KVKK neden atlanıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), şirket büyüklüğüne göre ayrı bir rejim öngörmez. Kişisel veri işleyen her gerçek ve tüzel kişi veri sorumlusudur; aydınlatma, veri güvenliği, başvuruları yanıtlama ve ihlal bildirimi yükümlülükleri çalışan sayısından bağımsızdır. Küçük ekiplerde bu yükümlülüklerin atlanmasının birkaç tanıdık nedeni vardır:

“VERBİS'ten muafız, KVKK bizi ilgilendirmez” yanılgısı: Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) istisnası yalnızca sicile kayıt yükümlülüğünü kaldırır; diğer yükümlülükler aynen geçerlidir. Eşiklerin nasıl hesaplandığını VERBİS eşik hesaplama rehberimizde anlattık.

Uyumun ürün işi sanılması: Ekip, gizlilik konusunu yalnızca yazılım mimarisi meselesi olarak görür; çalışan, aday ve müşteri iletişimi gibi şirket içi süreçler gözden kaçar.

Araçların hızla çoğalması: Ekip üyeleri ücretsiz ya da kredi kartıyla alınan bulut araçlarını onay süreci olmadan kullanır; verinin nerede durduğu belirsizleşir. Bu riski gölge BT yazımızda ele aldık.

Sorumlu kişinin olmaması: Kurucular, CTO ve tek kişilik operasyon ekibi arasında KVKK kimsenin görev tanımında yer almaz.

Bu yanılgıların bir kısmını KOBİ'lerin KVKK'dan muaf olduğu düşüncesine ayırdığımız yazıda ayrıntılı ele aldık. Teknokent firmaları için asıl risk, sorunun kurumsal bir müşterinin güvenlik anketiyle ya da bir yatırımcının sorusuyla, hazırlıksız bir anda görünür hale gelmesidir.

Asgari belgeler

Küçük bir ekip için hedef, her olası belgeyi hazırlamak değil, gerçek veri akışlarını karşılayan ve günlük işte kullanılan bir çekirdek set oluşturmaktır. Aşağıdaki tablo, çoğu teknokent firması için başlangıç noktası olarak kullanılabilecek seti özetler.

VERBİS'e kayıt yükümlüsü olan şirketler için kişisel veri saklama ve imha politikası da bu sete eklenir. Yükümlü olmayan firmalar için bile saklama sürelerinin envanterde yazılı olması, silme taleplerine tutarlı yanıt vermeyi kolaylaştırır. Belgeleri tek tek kontrol etmek isteyenler 10 soruluk KVKK uyum kontrolü ile başlayabilir.

Asgari belge tablosu

Ürün ve şirket verisini ayırmak

Yazılım geliştiren bir teknokent firması aynı anda iki farklı şapka taşır. Kendi çalışanlarının, adaylarının ve potansiyel müşterilerinin verileri bakımından veri sorumlusudur. Ürünü kullanan kurumsal müşterilerin sisteme yüklediği son kullanıcı verileri bakımından ise çoğu durumda veri işleyen konumundadır. Kişisel Verileri Koruma Kurumu'nun Veri Sorumlusu ve Veri İşleyen rehberi de bulut hizmeti sunan bir şirketin kendi çalışanları için veri sorumlusu, müşterileri adına işlediği veriler için veri işleyen olduğunu örnek olarak verir.

Bu ayrımın pratik sonuçları vardır:

Ürün içindeki müşteri verisi için aydınlatma yükümlülüğü esas olarak müşteriye, yani veri sorumlusuna aittir; firmanın görevi bu veriyi talimata uygun ve güvenli işlemektir.

Ekip, ürün verisini kendi amaçları için, örneğin yeni bir yapay zekâ modelini eğitmek ya da pazarlama analizi yapmak için kullanmaya başlarsa, o işlem bakımından veri sorumlusu konumuna geçebilir ve ayrı bir hukuki dayanak gerekir.

Destek talepleri, hata kayıtları ve test ortamları iki dünyanın karıştığı yerlerdir. Canlı müşteri verisini geliştirici bilgisayarına ya da test ortamına kopyalamak bu ayrımı fiilen ortadan kaldırır.

Ürün yurt dışındaki bir bulut altyapısında çalışıyorsa veri akışı KVKK'nın 9. maddesi kapsamında değerlendirilir; standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.

Müşteri adına veri işleyen yazılım firmalarının sorumluluklarını yazılım firmaları için KVKK yazımızda, ürün tasarımına gizliliği baştan yerleştirmeyi ise tasarımdan gizlilik (privacy by design) rehberimizde anlattık.

Teknokent yönetimine bildirimler

Teknokentte faaliyet göstermenin kendine özgü bir veri akışı vardır. Teknoloji Geliştirme Bölgeleri Uygulama Yönetmeliği'nin 35. maddesi, personel ücretlerine ilişkin istisnanın uygulanabilmesi için girişimcinin bölgede çalışan Ar-Ge, tasarım ve destek personelini, projelerdeki görev tanımlarını, nitelik ve çalışma sürelerini gösteren listeyi aylık olarak yönetici şirkete onaylatmasını ve inceleme ile denetimlerde ibraz edilmek üzere saklamasını öngörür.

Bu liste, çalışanlara ait kimlik, eğitim, görev ve çalışma süresi bilgilerini içeren bir kişisel veri aktarımıdır. Mevzuattan kaynaklandığı için KVKK'nın 5. maddesindeki “kanunlarda açıkça öngörülmesi” veya “hukuki yükümlülüğün yerine getirilmesi” şartlarına dayanabilir; açık rıza istemeye gerek olmaması, bu aktarımın görünmez kalabileceği anlamına gelmez. Dikkat edilmesi gereken noktalar şunlardır:

Çalışan aydınlatma metni, personel bilgilerinin teknokent yönetici şirketi ve ilgili kamu kurumlarıyla paylaşıldığını açıkça belirtmelidir.

Yönetici şirketin portalına yalnızca mevzuatın gerektirdiği alanlar yüklenmeli; özgeçmişin tamamı, sağlık raporu gibi ek belgeler gerekmedikçe paylaşılmamalıdır.

Aylık listeleri hazırlayan muhasebe ya da mali müşavirlik desteği varsa, bu kişilerin hangi veriye eriştiği ve sözleşmedeki gizlilik hükümleri kontrol edilmelidir.

Proje başvurularında (ör. destek programları) paylaşılan ekip bilgileri de aynı envanterde ayrı bir satır olarak yer almalıdır.

Yönetmelik hükümleri zaman zaman değiştiğinden, hangi bilgilerin ve hangi sıklıkla bildirileceği konusunda güncel metin ve yönetici şirketin uygulaması birlikte kontrol edilmelidir.

Zamanla büyüyen uyum

Küçük ekip için doğru yaklaşım, uyumu bir kerelik proje yerine şirketin büyüme aşamalarına bağlamaktır. Her aşamada yeni veri akışları doğar ve belge seti bunlara göre genişler.

Avrupa Birliği'ndeki müşterilere hizmet sunan firmalar için Genel Veri Koruma Tüzüğü (GDPR) de gündeme gelebilir. GDPR'ın 3. maddesinin ikinci fıkrası, Birlik'te yerleşik olmayan bir şirketin Birlik'teki kişilere mal veya hizmet sunması ya da onların davranışlarını izlemesi halinde Tüzük'ün uygulanabileceğini düzenler. İki rejim arasındaki farkları KVKK'dan GDPR'a geçiş yazımızda özetledik.

Büyüme aşamalarına göre uyum

Başlangıç listesi

Aşağıdaki liste, küçük bir ekibin birkaç haftalık düzenli çalışmayla tamamlayabileceği ilk adımları sıralar. Sıra önemlidir: envanter olmadan yazılan metinler, gerçek veri akışıyla örtüşmez.

1. KVKK sorumlusu olarak bir kişi belirleyin; bu kişi uzman olmak zorunda değildir ama takibi üstlenmelidir.

2. Kullanılan tüm araçları listeleyin: e-posta, dosya paylaşımı, CRM, bordro, kod deposu, destek sistemi, analitik.

3. Her araç için hangi kişisel verinin tutulduğunu, verinin hangi ülkede barındırıldığını ve kimlerin eriştiğini envantere yazın.

4. Çalışan, aday ve web sitesi ziyaretçisi için aydınlatma metinlerini envantere göre hazırlayın.

5. Ürün müşteri verisi işliyorsa standart bir veri işleme sözleşmesi eki hazırlayın.

6. Yönetici hesaplarında iki aşamalı doğrulamayı açın, işten ayrılanların erişimini aynı gün kapatın, yedeklerin geri yüklenebildiğini test edin.

7. Başvuru için tek bir e-posta adresi ve yanıt şablonu belirleyin.

8. Bir sayfalık ihlal müdahale planı yazın: kim fark eder, kime haber verir, bildirimi kim hazırlar.

9. VERBİS eşiklerini yılda bir kez yeniden kontrol edin.

Sonuç ve sonraki adım

Teknokent KVKK çalışmasında amaç, küçük bir ekibi belge yığınına boğmak değil, gerçek veri akışlarını görünür kılmaktır. Envanter, aydınlatma metinleri, müşteri sözleşmesi eki, erişim kuralları, başvuru prosedürü ve ihlal planından oluşan asgari set, ilk kurumsal müşteri ve ilk yatırımcı sorusunda hazırlıklı olmanızı sağlar.

Ürün verisi ile şirket verisini baştan ayırmak, sonradan yapılacak düzeltmelerden çok daha az maliyetlidir. Uyum süreçlerinin nasıl planlandığını KVKK danışmanlığı sayfamızda, yükümlülüklerin ihlali halinde öngörülen yaptırımları ise 2026 idari para cezaları yazımızda inceleyebilirsiniz. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık sorulan sorular