Proje arşivi ve kişisel cihazlar
Proje bitince müşteri verisi danışmanın dizüstü bilgisayarında, e-posta kutusunda ve kişisel bulut hesabında kalır; hiçbir imha adımı tanımlı değildir.
Sektör · Sektörel KVKK Çözümü
Danışmanlık Sektörüne Özel KVKK Çözümleri
Danışmanlık şirketleri müşterilerinin en hassas verilerine erişir: bordro, özlük dosyası, mali kayıt, strateji belgesi. Bu erişim sözleşmeye ve teknik sınırlara bağlanmadığında, tek bir danışmanlık firması onlarca kurum için ortak risk noktasına dönüşür.
Kısa cevap
Danışmanlık sektöründe KVKK uyumunun temeli sıfat tespitidir. Bir danışmanlık firması; kendi çalışanı, adayı ve müşteri yetkilileri bakımından veri sorumlusu, müşterisinin verisini onun talimatıyla işlediği ölçüde veri işleyendir. Bordro, mali müşavirlik ve insan kaynakları danışmanlığında bu ikinci sıfat baskındır ve yazılı sözleşme, talimata bağlılık, gizlilik ile ihlal bildirimi yükümlülüklerini getirir. Sektörün en somut riski ise proje arşividir: iş bittikten sonra danışmanın cihazında ve e-posta kutusunda kalan müşteri verisi.
Danışmanlıkta KVKK Neden Ayrı Yönetilmeli?
Danışmanlık firmasının kendi veri hacmi genellikle küçüktür; ancak eriştiği veri hacmi çok büyüktür. Bir mali müşavirlik ofisi onlarca şirketin tüm bordrosunu, bir İK danışmanlığı yüzlerce adayın özgeçmişini tutar. Risk ölçeği kendi büyüklüğüyle değil, müşterilerinin toplamıyla ölçülür. Buna proje bazlı çalışma düzeni ve yoğun e-posta trafiği eklendiğinde, veri kontrolü kolayca kaybolur.
Veri işleyen sözleşmesinin eksikliği
Müşteri sözleşmelerinde KVKK'nın aradığı unsurlar bulunmadığında hem danışmanlık firması hem müşteri yükümlülüğü ihlal etmiş olur.
Aday havuzu ve özgeçmişler
İK danışmanlığında toplanan özgeçmişler yıllarca saklanır ve farklı müşterilere sunulur; adayın buna ilişkin rızasının kapsamı çoğu zaman aşılır.
Bordro ve mali veriye erişim
Bordro hizmetinde ücret, icra kesintisi, sağlık raporu ve nafaka gibi hassas bilgiler işlenir; erişim ofis içinde geniş tutulur.
E-posta ve mesajlaşma trafiği
Müşteri verisinin ek dosya olarak e-postayla dolaşması ve mesajlaşma uygulamalarında paylaşılması; en sık rastlanan kontrolsüz akıştır.
Serbest çalışan ve alt danışman kullanımı
Projeye dahil edilen serbest danışmanlar bir alt yüklenici zinciri oluşturur; müşteriye bildirilmediğinde sözleşme ihlali doğar.
Danışmanlıkta İşlenen Kişisel Veriler
Aşağıdaki kırılım hem firmanın kendi verisini hem müşteri adına işlediği veriyi gösterir. Envanterin ilk çıktısı, her kalem için sıfatın belirlenmesidir.
Müşteri adına işlenen veriler
Müşteri çalışan listeleri, özlük ve bordro verileri, müşteri kayıtları, envanter ve süreç dokümanları
Hukuki sebep ve not: Veri işleyen sıfatı; yazılı sözleşme, talimata bağlılık ve alt yüklenici bildirimi zorunludur.
Bordro ve mali müşavirlik
Özel nitelikliÜcret bilgileri, SGK bildirgeleri, icra ve nafaka kesintileri, sağlık raporu kaynaklı devamsızlıklar, banka hesap bilgileri
Hukuki sebep ve not: Sağlık kaynaklı kayıtlar özel nitelikli veri doğurur; erişim ilgili sorumluyla sınırlandırılır.
Aday ve özgeçmiş havuzu
Özgeçmişler, mülakat notları, referans görüşmeleri, yetkinlik ve kişilik envanteri sonuçları, ücret beklentisi
Hukuki sebep ve not: Açık rıza; havuzda tutma süresi ve hangi müşterilere sunulacağı adaya açıkça bildirilir.
Proje ve teslimat arşivi
Analiz raporları, görüşme notları, saha çalışması kayıtları, sunumlar, veri örnekleri ve ekran görüntüleri
Hukuki sebep ve not: Proje sonunda iade veya imha edilir; referans amaçlı saklama ayrı bir hukuki sebep gerektirir.
Kendi çalışan ve aday verisi
Özlük dosyaları, yetkinlik değerlendirmeleri, zaman kaydı ve proje atamaları, uzaktan çalışma kayıtları
Hukuki sebep ve not: Veri sorumlusu sıfatı; zaman kaydı ve izleme araçları ölçülülük açısından değerlendirilir.
Ticari ilişki verisi
Müşteri yetkilisi iletişim bilgileri, teklif ve sözleşme kayıtları, pazarlama listeleri, etkinlik ve eğitim katılımcıları
Hukuki sebep ve not: Sözleşme ve açık rıza; pazarlama iletişimi için ticari elektronik ileti izni gerekir.
Çözüm Kapsamı
Program iki yönlüdür: firmanın kendi uyumunu kurar ve müşteri denetimlerinde savunulabilir bir veri işleyen dosyası oluşturur. Ölçek küçük olduğu için tedbirler uygulanabilir ve sade tutulur.
Sıfat tespiti ve veri envanteri
Her hizmet hattı için veri sorumlusu mu veri işleyen mi olunduğu belirlenir; iki hat ayrı ayrı haritalanır.
Müşteri sözleşme seti
Sözleşmelere KVKK'nın aradığı unsurlar eklenir; gizlilik, alt danışman bildirimi ve proje sonu imha maddeleri düzenlenir.
Proje arşivi ve imha düzeni
Proje kapanışında verinin iadesi veya imhası prosedüre bağlanır; kişisel cihaz ve e-posta kutusu temizliği kontrol listesine alınır.
Aday havuzu rıza yönetimi
Havuzda tutma süresi, hangi müşterilere sunulacağı ve rızanın yenilenmesi akışı kurulur.
Paylaşım kanalı disiplini
Müşteri verisinin e-posta eki yerine güvenli paylaşım kanallarından aktarılması sağlanır; mesajlaşma uygulaması kullanımı sınırlandırılır.
VERBİS değerlendirmesi
Kayıt yükümlülüğü kriterleri firma bazında değerlendirilir; yükümlülük varsa envanterle uyumlu kayıt yapılandırılır.
Proje Bitti, Veri Nerede Kaldı?
- Biten projenin müşteri verisi danışmanın dizüstü bilgisayarında ve e-posta kutusunda duruyor.
- Müşteri sözleşmelerinde KVKK'nın veri işleyen için aradığı unsurlar bulunmuyor.
- Aday havuzundaki özgeçmişler yıllar önceki rızaya dayanarak hâlâ müşterilere sunuluyor.
- Bordro dosyalarına ofisteki tüm personel erişebiliyor.
- Müşteri çalışan listeleri e-posta ekinde, şifresiz dosya olarak dolaşıyor.
- Projeye dahil edilen serbest danışman müşteriye alt yüklenici olarak bildirilmemiş.
Uygulama Süreci
Keşif ve kapsam
Hizmet hatları, müşteri sözleşmeleri ve proje çalışma düzeni incelenir; verinin fiilen hangi cihaz ve kanallarda durduğu tespit edilir.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Müşteri yetkilisi, aday, çalışan ve etkinlik katılımcısı aydınlatma metinleri
- Veri sorumlusu / veri işleyen sıfat tespit raporu
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- Proje kapanışı veri iade ve imha kontrol listesi
- Aday havuzu rıza ve saklama süresi politikası
Kimler İçin Uygun?
Yönetim ve strateji danışmanlıkları
Müşteri süreçlerine derin erişimi olan, proje bazlı çalışan firmalar.
Mali müşavirlik ve bordro büroları
Çok sayıda şirketin özlük ve ücret verisini işleyen, yoğun veri işleyen sıfatı taşıyan ofisler.
İnsan kaynakları danışmanlıkları
Aday havuzu yöneten, özgeçmiş ve değerlendirme verisi işleyen kuruluşlar.
Hukuk ve uyum danışmanlıkları
Müşteri dosyaları ve uyuşmazlık verisi işleyen, gizlilik yükümlülüğü ağır büro ve firmalar.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Müşterinizin belirlediği amaç ve talimatla onun verisini işliyorsanız veri işleyensiniz; veri sorumlusu müşterinizdir. Bu sorumluluğunuzu ortadan kaldırmaz: uygun güvenlik tedbirlerini almak, gizliliği sağlamak, talimat dışına çıkmamak, alt yüklenici kullanımını sözleşmeye uygun yürütmek ve ihlal hâlinde gecikmeksizin müşteriyi bilgilendirmekle yükümlüsünüz. Ayrıca kendi çalışanınız, adayınız ve müşteri yetkililerinin verisi bakımından doğrudan veri sorumlususunuz.
Kural olarak proje sonunda veri iade edilmeli veya imha edilmelidir; veri işleyen sözleşmelerinin standart maddesi budur. Mesleki mevzuattan doğan saklama yükümlülükleri varsa (örneğin mali müşavirlikte belirli kayıtların saklanması) bu süreler geçerlidir ve sözleşmede ayrıca belirtilmelidir. Referans veya metodoloji geliştirme amacıyla saklama ise ayrı bir amaçtır; müşteriyle önceden mutabık kalınmadan ve veri anonimleştirilmeden yapılmamalıdır.
Süreyi rızanın kapsamı belirler. Aday, başvurduğu pozisyon için verisini paylaşmıştır; havuzda tutulup başka müşterilere sunulması ayrı bir amaçtır ve ayrıca bildirilmeli, rızası alınmalıdır. Rıza alınırken saklama süresi açıkça belirtilmeli, süre sonunda ya imha edilmeli ya da rıza yenilenmelidir. Uygulamada en sık rastladığımız durum, yıllar önce tek bir pozisyon için alınan özgeçmişin süresiz bir havuz kaydına dönüşmesidir.
Erişmemelidir. Bordro; ücret, icra ve nafaka kesintileri, sağlık raporu kaynaklı devamsızlıklar gibi son derece hassas bilgiler taşır ve bunların bir kısmı özel nitelikli veri doğurur. Erişim, o müşterinin dosyasından sorumlu kişilerle sınırlandırılmalı, dosyalar şifreli tutulmalı ve erişimler kayda alınmalıdır. Küçük ofislerde bu ayrımın yapılmaması yaygındır ancak ölçek küçüklüğü bir mazeret değildir.
Projeye dahil edilen serbest danışman, müşterinin verisi bakımından sizin alt yükleniciniz konumundadır. Veri işleyen sözleşmeleri alt yüklenici kullanımının müşteriye bildirilmesini ve çoğu zaman onayını gerektirir. Ayrıca serbest danışmanla aranızda da yazılı bir gizlilik ve veri işleme taahhüdü bulunmalı, proje bitiminde verinin iadesi ve imhası kontrol listesiyle güvence altına alınmalıdır.
Teknik olarak mümkün olsa da tercih edilmemelidir. E-posta ekleri hem gönderenin hem alıcının kutusunda süresiz kalır, yanlış alıcıya gönderim riski yüksektir ve şifrelenmeden gönderildiğinde koruma sağlamaz. Çalışan listesi, bordro veya özlük dosyası gibi hassas veriler için erişim süresi sınırlı, yetkilendirilmiş bir paylaşım kanalı kullanılmalıdır. Zorunlu hâllerde dosya şifrelenmeli ve parola ayrı bir kanaldan iletilmelidir.
Müşteri verisine erişiminizi sınırlandıralım
Hizmet hatlarınızı, müşteri sözleşmelerinizi ve proje çalışma düzeninizi paylaşın; ücretsiz ön görüşmede uygulanabilir bir öncelik listesi çıkaralım.
