Ar-Ge ve test veri setleri
Geliştirme ve test ortamlarında gerçek müşteri verisinin kopyalanması yaygın bir uygulamadır. Bu veri anonimleştirilmeden veya maskelenmeden kullanıldığında ayrı bir işleme faaliyeti doğar.
Çözüm · Kuruma Özel Çözüm
TEKMER ve Teknokent Desteği Alan Firmalara Özel KVKK Çözümleri
Ar-Ge ve yazılım geliştiren firmalar için uyumu ürünün içine gömüyoruz. Test verisinden müşteri sözleşmesine, bölge yönetimi bildirimlerinden yatırımcı incelemesine kadar tek program.
Kısa cevap
TEKMER ve teknokent firmaları, hem kendi çalışan ve stajyer verilerinin veri sorumlusu hem de müşterileri adına yazılım geliştirirken çoğu zaman veri işleyendir. Bu ikili sıfat nedeniyle uyum; Ar-Ge veri setlerinin anonimleştirilmesi, müşteriyle veri işleyen sözleşmesi ve ürüne gömülü gizlilik tasarımı olmak üzere üç eksende kurulur.
Ar-Ge Firmalarında KVKK Neden Erken Kurulmalı?
Teknoloji geliştiren bir firmada kişisel veri, İK dosyalarından önce kod tabanına girer: test veri setleri, log kayıtları, müşteri demoları ve model eğitim verileri. Uyum ürün olgunlaştıktan sonra eklendiğinde mimariyi geriye dönük değiştirmek gerekir; bu da en pahalı senaryodur.
Veri sorumlusu / veri işleyen ayrımı
Müşteri adına yazılım işleten firma veri işleyendir; kendi personeli için ise veri sorumlusudur. İki sıfat aynı anda yürür ve farklı yükümlülükler doğurur.
Tasarımdan itibaren gizlilik
Veri minimizasyonu, saklama süresi, silme ve yetkilendirme ürünün mimarisine yazılmadığında sonradan eklenmesi ciddi geliştirme maliyeti çıkarır.
Bölge ve destek bildirimleri
Teknokent yönetici şirketine, KOSGEB'e ve destek mekanizmalarına yapılan personel, proje ve puantaj bildirimleri kişisel veri aktarımıdır; hukuki sebebi ve kapsamı tanımlanmalıdır.
Bulut altyapısı ve yurt dışı aktarım
Yurt dışı bulut sağlayıcılarında barındırılan geliştirme, log ve yedek ortamları; yurt dışına veri aktarımı kurallarına tabidir.
Yatırımcı ve müşteri incelemesi
Yatırım turlarında ve kurumsal müşteri satın alma süreçlerinde KVKK uyumu artık standart bir inceleme kalemidir; eksiklik değerleme ve satış döngüsünü doğrudan etkiler.
Çözüm Kapsamı
Küçük ekiplerin hızını düşürmeden ilerleyen, dokümantasyonu ürünün gerçek akışına dayandıran bir program kurgularız. Amaç raf dosyası değil, geliştirme sürecine yerleşen bir uyum düzenidir.
Veri envanteri ve akış haritası
Ürün, geliştirme ortamları, log ve yedek sistemleri dahil tüm kişisel veri akışları; hukuki sebep ve saklama süresiyle çıkarılır.
Test verisi politikası
Anonimleştirme, maskeleme ve sentetik veri yaklaşımları belirlenir; geliştirme ortamlarında gerçek veri kullanımının kuralları yazılır.
Müşteri ve tedarikçi sözleşmeleri
Veri işleyen sözleşmesi, alt işleyen bildirim akışı ve gizlilik taahhütnameleri; kurumsal müşterilerin satın alma sürecine hazır hâle getirilir.
Ürüne gömülü gizlilik gereksinimleri
Silme, veri dışa aktarma, yetkilendirme ve erişim kaydı gereksinimleri geliştirme backlog'una madde madde yazılır.
VERBİS ve şirket dokümantasyonu
Aydınlatma metinleri, saklama-imha politikası ve sicil yükümlülüğü; hızlı büyümede eşik aşıldığında hazır olacak biçimde kurulur.
Geliştirici odaklı eğitim
Ekip için hukuk dilinde değil, kod ve süreç örnekleri üzerinden anlatılan kısa oturumlar; katılım kayıtları belgelenir.
Uyum Kodun İçine Yazılır
- Üretim veritabanının geliştirme ortamına kopyalanması, en sık rastlanan uyum açığıdır.
- Saklama süresi bir politika cümlesi değil, çalışan bir silme işidir.
- Log ve hata izleme kayıtları çoğu zaman fark edilmeden kişisel veri toplar.
- Kurumsal müşteri sözleşmelerinde veri işleyen maddeleri satışı hızlandıran bir varlıktır.
- Yatırımcı incelemesinde uyum belgeleri, teknik borç kadar dikkatle okunur.
Uygulama Süreci
Keşif
Ürün mimarisi, ekip yapısı ve mevcut sözleşmeler incelenir.
Veri akış analizi
Ortam ortam kişisel veri akışı çıkarılır; riskli noktalar işaretlenir.
Teknik gereksinimler
Gizlilik gereksinimleri geliştirme backlog'una çevrilir.
Belgelendirme
Politika, metin ve sözleşme seti devreye alınır.
Eğitim ve devir
Ekip eğitilir; gözden geçirme takvimi kuruma bırakılır.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve ortam bazlı veri akış haritası
- Test ve geliştirme ortamı veri kullanım politikası
- Anonimleştirme / maskeleme yaklaşımı ve uygulama notu
- Veri işleyen sözleşmesi ve alt işleyen bildirim şablonu
- Aydınlatma metinleri (çalışan, aday, stajyer, müşteri, ziyaretçi)
- Kişisel veri saklama ve imha politikası
- Gizlilik gereksinimleri backlog listesi (geliştirme maddeleri)
- VERBİS kayıt dosyası ve veri ihlali müdahale planı
Kimler İçin Uygun?
Teknokent firmaları
4691 sayılı Kanun kapsamındaki bölgelerde Ar-Ge ve yazılım geliştiren şirketler.
TEKMER girişimleri
KOSGEB Teknoloji Geliştirme Merkezlerinde kuluçka ve erken aşama desteği alan firmalar.
Ar-Ge ve tasarım merkezleri
Kendi bünyesinde belgeli Ar-Ge merkezi işleten üretici ve teknoloji şirketleri.
SaaS ve ürün ekipleri
Kurumsal müşteriye hizmet veren, veri işleyen sıfatıyla çalışan yazılım şirketleri.
İlgili Hizmetler
Bu çözüm, aşağıdaki danışmanlık hizmetlerinin kuruma özel birleşimidir; her biri ayrı ayrı da alınabilir.
Sık Sorulan Sorular
Var. KVKK yükümlülükleri çalışan sayısına bağlı değildir; kişisel veri işleyen her gerçek ve tüzel kişi veri sorumlusudur. Çalışan sayısı ve mali büyüklük yalnızca VERBİS kayıt zorunluluğunun kriterlerinde rol oynar; aydınlatma, veri güvenliği ve saklama-imha yükümlülükleri ilk günden itibaren geçerlidir.
Veriyi hangi amaçla ve hangi araçlarla işleyeceğine müşteriniz karar veriyorsa müşteri veri sorumlusu, siz veri işleyensiniz. Bu ilişkinin yazılı bir sözleşmeye bağlanması zorunludur. Veri güvenliğini sağlama yükümlülüğü ise ikinizde de ortaktır; ihlalde veri işleyen de sorumlu olabilir.
Kullanılmaması esastır. Gerçek verinin geliştirme veya test ortamına kopyalanması, amacı dışında yeni bir işleme faaliyetidir ve çoğu zaman hukuki sebebi yoktur. Anonimleştirilmiş, maskelenmiş veya sentetik veri kullanılmalı; zorunlu hâllerde erişim yetkisi, süre ve kayıt sınırlandırılmalıdır.
Mevzuattan kaynaklanan bildirimler hukuki yükümlülük kapsamında yapılır; sorun bildirimin kendisinde değil, kapsamının aşılmasında ve aydınlatmanın eksikliğindedir. Çalışanlarınıza hangi verinin hangi kuruma, hangi sebeple aktarıldığı aydınlatma metninde açıkça yazılmalıdır.
Verinin yurt dışındaki sunucularda barındırılması yurt dışına veri aktarımıdır. Aktarım envanteri çıkarılmalı ve yeterlilik kararı bulunmayan ülkelere aktarımda uygun güvencelerden biri kurulmalıdır. Yedek, log ve hata izleme servisleri de bu envantere dahildir.
Ürün ve ekip küçükse tipik olarak 4–8 hafta yeterlidir. Öncelik sırası envanter, veri işleyen sözleşmesi ve aydınlatma metinleridir; bu üçü hazır olduğunda inceleme sorularının büyük bölümü belgeyle karşılanır.
Uyumu ürününüzün içine kuralım
Mevcut mimarinizi ve müşteri sözleşmelerinizi paylaşın; ilk görüşmede öncelikli açıkları ve geliştirme maddelerini birlikte çıkaralım.
