Satın Alma Departmanına Özel KVKK Çözümleri

Ölçüt, tedarikçinin sizin adınıza ve sizin talimatınızla kişisel veri işleyip işlemediğidir. Bordro hizmeti, çağrı merkezi, bulut depolama, e-posta pazarlama aracı, arşiv ve imha firması, kargo şirketi, İK yazılımı ve saha servis firması tipik veri işleyenlerdir. Buna karşılık yalnızca ürün satan ve sizin verinize erişmeyen bir tedarikçiyle bu sözleşmeye gerek yoktur; orada yalnızca yetkili kişilerin iletişim bilgileri işlenir. Sınır bazen belirsizdir: bakım için sisteminize uzaktan erişen bir teknik servis, çoğu senaryoda veri işleyendir. Pratik yöntem, her tedarikçi için "kurum verisine erişiyor mu" sorusunu satın alma formunda sormaktır.

Alabilirsiniz, ancak bu bir yurt dışına veri aktarımıdır ve KVKK'nın aktarım rejimine uygun bir dayanağa ihtiyaç duyar. Karar öncesinde şu bilgiler yazılı olarak alınmalıdır: veriler hangi ülkelerde saklanıyor, kimler erişiyor, alt işleyen zinciri ne, yedekler nerede tutuluyor ve destek ekibi hangi ülkeden bağlanıyor. Ardından uygun aktarım mekanizması belirlenir ve sözleşmeye eklenir. Ek olarak veri asgariye indirilmeli, mümkünse hassas alanlar hizmete hiç gönderilmemeli ve şifreleme uygulanmalıdır. Bu değerlendirmenin imza öncesinde yapılması kritiktir; sonrasında sağlayıcının şartlarını değiştirmek pratikte mümkün olmaz.

Kendiliğinden yasak değildir, ancak kontrolsüz bırakılmamalıdır. Sözleşmede alt işleyen kullanımının önceden bildirime ve onaya bağlı olduğu, alt işleyenle aynı yükümlülüklerin yazılı olarak kurulacağı ve alt işleyenin fiillerinden ana tedarikçinin sorumlu olacağı düzenlenmelidir. Ayrıca alt işleyenlerin güncel listesinin talep üzerine paylaşılması istenmelidir. Uygulamada en çok karşılaşılan sorun, çağrı merkezi veya bulut hizmetinin bir başka ülkedeki alt yükleniciye devredilmesi ve kurumun bunu ancak bir ihlal sonrasında öğrenmesidir. Zincirin görünür olması, sorumluluğun yönetilebilmesinin ön şartıdır.

Yasaklamak tek başına işe yaramaz; ihtiyaç gerçek olduğu için araç başka yollarla girer. İşe yarayan yaklaşım, hızlı ve hafif bir onay yolu kurmaktır: birim aracı talep eder, kısa bir formda hangi verinin işleneceği ve sunucunun nerede olduğu sorulur, düşük riskli araçlar hızlıca onaylanır, kişisel veri işleyenler sözleşme sürecine alınır. Buna paralel olarak kurumsal kart harcamaları ve ağ trafiği üzerinden periyodik bir gölge BT taraması yapılmalıdır. Tespit edilen araçlar ya envantere alınıp sözleşmeye bağlanmalı ya da kurumsal bir alternatifle değiştirilmelidir.

Sorgu, hizmetin risk düzeyiyle orantılı olmalıdır; her tedarikçiye elli soruluk bir form göndermek pratikte uygulanmaz ve sonuç üretmez. Uygulanabilir yöntem, hizmeti üç sınıfa ayırmaktır: kurum verisine erişmeyenler için sorgu yok; sınırlı veri işleyenler için kısa bir form; bordro, sağlık, müşteri verisi gibi hassas alanlarda çalışanlar için ayrıntılı değerlendirme ve gerektiğinde yerinde denetim. Formda somut sorular sorulmalıdır: veriyi nerede saklıyorsunuz, kimler erişiyor, ihlali ne kadar sürede bildirirsiniz, alt yüklenici kullanıyor musunuz, sözleşme bitiminde veriyi ne yaparsınız. Alınan yanıtlar dosyalanmalı ve sözleşmeye ek yapılmalıdır.

Bu, sözleşmede baştan yazılmadığında en çok sorun çıkaran başlıktır. Hizmet sonunda verinin kuruma iade edilmesi mi yoksa imha edilmesi mi gerektiği, iade formatının ne olacağı, yedeklerin ne zaman silineceği ve imhanın tutanakla belgelenip belgelenmeyeceği açıkça düzenlenmelidir. Ayrıca tedarikçinin mevzuattan doğan bir saklama yükümlülüğü varsa bunun kapsamı ve süresi de belirtilmelidir. Uygulamada eski tedarikçilerin kurum verisini yıllarca elinde tutması yaygındır ve bu veriler bir ihlal yaşandığında yine kurumun sorumluluğuna dönüşür. Çıkış planı, sözleşmenin en az giriş şartları kadar önemli parçasıdır.