@damon · 2 gün önce
Müşteri verisi işleyen küçük yazılım firması KVKK için neler yapmalı? Uyguladığım kontrol listesi
Küçük işletmelere randevu, sipariş ve müşteri takip yazılımı kuruyorum. Yazılımlarımda müşterilerimin kendi müşterilerine ait ad, telefon, adres gibi bilgiler tutuluyor. Uzun süre KVKK'yı müşterimin sorunu gibi gördüm; sonra bir müşteri 'veri işleyen sözleşmeniz nerede' diye sorunca bunun benim de sorunum olduğunu anladım. Avukatla çalışarak hazırladığımız kontrol listesini paylaşıyorum. Hukuki tavsiye yerine geçmez, ama nereden başlayacağınızı gösterebilir.
Önce rolleri anlamak gerekiyor. Kanunda veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraf; veri işleyen ise veri sorumlusu adına veriyi işleyen taraf. Bir pastanenin müşteri listesi için pastane veri sorumlusu, onun yazılımını barındıran ve bakımını yapan ben ise veri işleyen konumundayım. Bu ayrım hangi yükümlülüğün kimde olduğunu belirliyor.
Benim yaptıklarım şunlar oldu:
1. Her müşteriyle yazılı bir veri işleme sözleşmesi imzaladım. Hangi veriyi, hangi amaçla, ne kadar süre işlediğimi ve güvenlik önlemlerini yazıyor.
2. Sunucuların nerede olduğunu netleştirdim. Yurt dışında barındırılan hizmetler kişisel verinin yurt dışına aktarımı anlamına gelebiliyor ve bunun ayrı kuralları var. 2024'teki kanun değişikliğinden sonra bu konuda yeni yöntemler geldi; hangisinin bana uyduğunu avukatla konuştum.
3. Yetkilendirmeyi daralttım. Müşteri verisine yalnızca destek gereken durumlarda ve kayıt altında erişiyorum.
4. Yedekleri şifreledim ve yedeklerin ne kadar süre tutulacağını belirledim. Eskiden yedekler sonsuza kadar kalıyordu.
5. Veri ihlali durumunda ne yapacağımı yazdım: müşteriyi ne kadar sürede bilgilendireceğim, kimi arayacağım.
6. Müşterilerime kendi aydınlatma metinlerini hazırlamaları için bir şablon verdim. Metni benim yazmam doğru değil, çünkü veri sorumlusu onlar, ama nereden başlayacaklarını bilmiyorlar.
VERBİS kaydı konusunda da bir not: kayıt yükümlülüğünden muafiyet, çalışan sayısı, bilanço büyüklüğü ve işlenen verinin türüne göre değişiyor. Benim gibi küçük bir firmanın durumu ile müşterilerimin durumu farklı olabilir; bunu her işletmenin kendisinin kontrol etmesi gerekiyor.
Bu işin bana getirisi beklemediğim yerden geldi: büyük bir müşteri teklif aşamasında güvenlik ve KVKK sorularını gönderdiğinde hepsine iki gün içinde belgeyle cevap verebildim. Aynı işe teklif veren rakiplerimin yapamadığı şey buydu.
Sizin küçük ölçekli yazılım işinizde KVKK tarafını nasıl çözdünüz?
Önce rolleri anlamak gerekiyor. Kanunda veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraf; veri işleyen ise veri sorumlusu adına veriyi işleyen taraf. Bir pastanenin müşteri listesi için pastane veri sorumlusu, onun yazılımını barındıran ve bakımını yapan ben ise veri işleyen konumundayım. Bu ayrım hangi yükümlülüğün kimde olduğunu belirliyor.
Benim yaptıklarım şunlar oldu:
1. Her müşteriyle yazılı bir veri işleme sözleşmesi imzaladım. Hangi veriyi, hangi amaçla, ne kadar süre işlediğimi ve güvenlik önlemlerini yazıyor.
2. Sunucuların nerede olduğunu netleştirdim. Yurt dışında barındırılan hizmetler kişisel verinin yurt dışına aktarımı anlamına gelebiliyor ve bunun ayrı kuralları var. 2024'teki kanun değişikliğinden sonra bu konuda yeni yöntemler geldi; hangisinin bana uyduğunu avukatla konuştum.
3. Yetkilendirmeyi daralttım. Müşteri verisine yalnızca destek gereken durumlarda ve kayıt altında erişiyorum.
4. Yedekleri şifreledim ve yedeklerin ne kadar süre tutulacağını belirledim. Eskiden yedekler sonsuza kadar kalıyordu.
5. Veri ihlali durumunda ne yapacağımı yazdım: müşteriyi ne kadar sürede bilgilendireceğim, kimi arayacağım.
6. Müşterilerime kendi aydınlatma metinlerini hazırlamaları için bir şablon verdim. Metni benim yazmam doğru değil, çünkü veri sorumlusu onlar, ama nereden başlayacaklarını bilmiyorlar.
VERBİS kaydı konusunda da bir not: kayıt yükümlülüğünden muafiyet, çalışan sayısı, bilanço büyüklüğü ve işlenen verinin türüne göre değişiyor. Benim gibi küçük bir firmanın durumu ile müşterilerimin durumu farklı olabilir; bunu her işletmenin kendisinin kontrol etmesi gerekiyor.
Bu işin bana getirisi beklemediğim yerden geldi: büyük bir müşteri teklif aşamasında güvenlik ve KVKK sorularını gönderdiğinde hepsine iki gün içinde belgeyle cevap verebildim. Aynı işe teklif veren rakiplerimin yapamadığı şey buydu.
Sizin küçük ölçekli yazılım işinizde KVKK tarafını nasıl çözdünüz?
9 0 yorum