Proje arşivi ve kişisel cihazlar
Proje bitince müşteri verisi danışmanın dizüstü bilgisayarında, e-posta kutusunda ve kişisel bulut hesabında kalır; hiçbir imha adımı tanımlı değildir.
Sektör · Sektörel KVKK Çözümü
Danışmanlık Sektörüne Özel KVKK Çözümleri
Danışmanlık şirketleri müşterilerinin en hassas verilerine erişir: bordro, özlük dosyası, mali kayıt, strateji belgesi. Bu erişim sözleşmeye ve teknik sınırlara bağlanmadığında, tek bir danışmanlık firması onlarca kurum için ortak risk noktasına dönüşür.
Kısa cevap
Danışmanlık sektöründe KVKK uyumunun temeli sıfat tespitidir. Bir danışmanlık firması; kendi çalışanı, adayı ve müşteri yetkilileri bakımından veri sorumlusu, müşterisinin verisini onun talimatıyla işlediği ölçüde veri işleyendir. Bordro, mali müşavirlik ve insan kaynakları danışmanlığında bu ikinci sıfat baskındır ve yazılı sözleşme, talimata bağlılık, gizlilik ile ihlal bildirimi yükümlülüklerini getirir. Sektörün en somut riski ise proje arşividir: iş bittikten sonra danışmanın cihazında ve e-posta kutusunda kalan müşteri verisi.
Danışmanlıkta KVKK Neden Ayrı Yönetilmeli?
Danışmanlık firmasının kendi veri hacmi genellikle küçüktür; ancak eriştiği veri hacmi çok büyüktür. Bir mali müşavirlik ofisi onlarca şirketin tüm bordrosunu, bir İK danışmanlığı yüzlerce adayın özgeçmişini tutar. Risk ölçeği kendi büyüklüğüyle değil, müşterilerinin toplamıyla ölçülür. Buna proje bazlı çalışma düzeni ve yoğun e-posta trafiği eklendiğinde, veri kontrolü kolayca kaybolur.
Veri işleyen sözleşmesinin eksikliği
Müşteri sözleşmelerinde KVKK'nın aradığı unsurlar bulunmadığında hem danışmanlık firması hem müşteri yükümlülüğü ihlal etmiş olur.
Aday havuzu ve özgeçmişler
İK danışmanlığında toplanan özgeçmişler yıllarca saklanır ve farklı müşterilere sunulur; adayın buna ilişkin rızasının kapsamı çoğu zaman aşılır.
Bordro ve mali veriye erişim
Bordro hizmetinde ücret, icra kesintisi, sağlık raporu ve nafaka gibi hassas bilgiler işlenir; erişim ofis içinde geniş tutulur.
E-posta ve mesajlaşma trafiği
Müşteri verisinin ek dosya olarak e-postayla dolaşması ve mesajlaşma uygulamalarında paylaşılması; en sık rastlanan kontrolsüz akıştır.
Serbest çalışan ve alt danışman kullanımı
Projeye dahil edilen serbest danışmanlar bir alt yüklenici zinciri oluşturur; müşteriye bildirilmediğinde sözleşme ihlali doğar.
Danışmanlıkta İşlenen Kişisel Veriler
Aşağıdaki kırılım hem firmanın kendi verisini hem müşteri adına işlediği veriyi gösterir. Envanterin ilk çıktısı, her kalem için sıfatın belirlenmesidir.
Müşteri adına işlenen veriler
Müşteri çalışan listeleri, özlük ve bordro verileri, müşteri kayıtları, envanter ve süreç dokümanları
Hukuki sebep ve not: Veri işleyen sıfatı; yazılı sözleşme, talimata bağlılık ve alt yüklenici bildirimi zorunludur.
Bordro ve mali müşavirlik
Özel nitelikliÜcret bilgileri, SGK bildirgeleri, icra ve nafaka kesintileri, sağlık raporu kaynaklı devamsızlıklar, banka hesap bilgileri
Hukuki sebep ve not: Sağlık kaynaklı kayıtlar özel nitelikli veri doğurur; erişim ilgili sorumluyla sınırlandırılır.
Aday ve özgeçmiş havuzu
Özgeçmişler, mülakat notları, referans görüşmeleri, yetkinlik ve kişilik envanteri sonuçları, ücret beklentisi
Hukuki sebep ve not: Açık rıza; havuzda tutma süresi ve hangi müşterilere sunulacağı adaya açıkça bildirilir.
Proje ve teslimat arşivi
Analiz raporları, görüşme notları, saha çalışması kayıtları, sunumlar, veri örnekleri ve ekran görüntüleri
Hukuki sebep ve not: Proje sonunda iade veya imha edilir; referans amaçlı saklama ayrı bir hukuki sebep gerektirir.
Kendi çalışan ve aday verisi
Özlük dosyaları, yetkinlik değerlendirmeleri, zaman kaydı ve proje atamaları, uzaktan çalışma kayıtları
Hukuki sebep ve not: Veri sorumlusu sıfatı; zaman kaydı ve izleme araçları ölçülülük açısından değerlendirilir.
Ticari ilişki verisi
Müşteri yetkilisi iletişim bilgileri, teklif ve sözleşme kayıtları, pazarlama listeleri, etkinlik ve eğitim katılımcıları
Hukuki sebep ve not: Sözleşme ve açık rıza; pazarlama iletişimi için ticari elektronik ileti izni gerekir.
Çözüm Kapsamı
Program iki yönlüdür: firmanın kendi uyumunu kurar ve müşteri denetimlerinde savunulabilir bir veri işleyen dosyası oluşturur. Ölçek küçük olduğu için tedbirler uygulanabilir ve sade tutulur.
Sıfat tespiti ve veri envanteri
Her hizmet hattı için veri sorumlusu mu veri işleyen mi olunduğu belirlenir; iki hat ayrı ayrı haritalanır.
Müşteri sözleşme seti
Sözleşmelere KVKK'nın aradığı unsurlar eklenir; gizlilik, alt danışman bildirimi ve proje sonu imha maddeleri düzenlenir.
Proje arşivi ve imha düzeni
Proje kapanışında verinin iadesi veya imhası prosedüre bağlanır; kişisel cihaz ve e-posta kutusu temizliği kontrol listesine alınır.
Aday havuzu rıza yönetimi
Havuzda tutma süresi, hangi müşterilere sunulacağı ve rızanın yenilenmesi akışı kurulur.
Paylaşım kanalı disiplini
Müşteri verisinin e-posta eki yerine güvenli paylaşım kanallarından aktarılması sağlanır; mesajlaşma uygulaması kullanımı sınırlandırılır.
VERBİS değerlendirmesi
Kayıt yükümlülüğü kriterleri firma bazında değerlendirilir; yükümlülük varsa envanterle uyumlu kayıt yapılandırılır.
Proje Bitti, Veri Nerede Kaldı?
- Biten projenin müşteri verisi danışmanın dizüstü bilgisayarında ve e-posta kutusunda duruyor.
- Müşteri sözleşmelerinde KVKK'nın veri işleyen için aradığı unsurlar bulunmuyor.
- Aday havuzundaki özgeçmişler yıllar önceki rızaya dayanarak hâlâ müşterilere sunuluyor.
- Bordro dosyalarına ofisteki tüm personel erişebiliyor.
- Müşteri çalışan listeleri e-posta ekinde, şifresiz dosya olarak dolaşıyor.
- Projeye dahil edilen serbest danışman müşteriye alt yüklenici olarak bildirilmemiş.
Uygulama Süreci
Keşif ve kapsam
Hizmet hatları, müşteri sözleşmeleri ve proje çalışma düzeni incelenir; verinin fiilen hangi cihaz ve kanallarda durduğu tespit edilir.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Müşteri yetkilisi, aday, çalışan ve etkinlik katılımcısı aydınlatma metinleri
- Veri sorumlusu / veri işleyen sıfat tespit raporu
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- Proje kapanışı veri iade ve imha kontrol listesi
- Aday havuzu rıza ve saklama süresi politikası
Kimler İçin Uygun?
Yönetim ve strateji danışmanlıkları
Müşteri süreçlerine derin erişimi olan, proje bazlı çalışan firmalar.
Mali müşavirlik ve bordro büroları
Çok sayıda şirketin özlük ve ücret verisini işleyen, yoğun veri işleyen sıfatı taşıyan ofisler.
İnsan kaynakları danışmanlıkları
Aday havuzu yöneten, özgeçmiş ve değerlendirme verisi işleyen kuruluşlar.
Hukuk ve uyum danışmanlıkları
Müşteri dosyaları ve uyuşmazlık verisi işleyen, gizlilik yükümlülüğü ağır büro ve firmalar.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Müşteri verisine erişiminizi sınırlandıralım
Hizmet hatlarınızı, müşteri sözleşmelerinizi ve proje çalışma düzeninizi paylaşın; ücretsiz ön görüşmede uygulanabilir bir öncelik listesi çıkaralım.
