Kişisel Verileri Yönetin, Yaptırımla Karşılaşmayın
Kişisel veri işleyen her kurum, bu veriyi hangi hukuki sebeple işlediğini, nerede sakladığını ve ne zaman sileceğini gösterebilmekle yükümlüdür. Uyum, tek seferlik bir belge işi değil; envanterden ihlal müdahalesine kadar uzanan sürekli bir süreçtir. Teknik ve idari tedbirleri birlikte kurgulayarak bu süreci sizin için işler hale getiriyoruz.
İdari para cezası
Veri güvenliği yükümlülüklerinin ihlali, aydınlatma yükümlülüğüne aykırılık ve VERBİS'e kayıt yükümlülüğünün yerine getirilmemesi, KVKK m. 18 uyarınca ayrı ayrı idari para cezasına tabidir.
72 saatlik bildirim baskısı
Veri ihlalinde Kurul'a ve ilgili kişilere gecikmeksizin bildirim yapılması gerekir. Hazırlıksız yakalanan kurumlarda bu süre, teknik inceleme daha bitmeden dolar.
Tazminat ve itibar riski
İlgili kişiler, ihlal nedeniyle uğradıkları zarar için genel hükümlere göre tazminat talep edebilir. Kurul kararları kamuya açıklandığından ticari itibar da doğrudan etkilenir.
Uyum Sürecinde Ne Yapıyoruz?
Kurum ölçeğine göre kapsam daraltılır veya genişletilir; aşağıdaki adımlar tipik bir uyum projesinin iskeletidir.
Dijital Varlıkların Regülasyon Uyumluluk Taraması
Web sitelerinizi ve dijital varlıklarınızı teknik olarak tarayıp, API entegrasyonları ve derinlemesine kod incelemeleriyle analiz ediyor ve KVKK, GDPR, WCAG ve sektör bazlı yasal düzenlemelere uygunluğunuzu denetliyoruz.
Veri Envanteri ve Haritalama
Hangi veriyi, kimden, hangi amaçla topladığınızı; nerede sakladığınızı, kimlerle paylaştığınızı ve ne kadar süre tuttuğunuzu çıkarırız. Uyumun tamamı bu envanterin üzerine kurulur.
Aydınlatma ve Açık Rıza Metinleri
Aydınlatma yükümlülüğü ile açık rıza birbirinden ayrılır; rızanın gerekmediği hallerde rıza istemek başlı başına bir hatadır. Metinleri işleme şartına göre ayrı ayrı kurgularız.
VERBİS Kaydı ve Bildirim
Veri Sorumluları Sicili'ne kayıt yükümlülüğünüz olup olmadığını değerlendirir, kayıt ve güncelleme bildirimlerini envanterle tutarlı biçimde hazırlarız.
Saklama ve İmha Politikası
Her veri kategorisi için saklama süresi belirlenir, periyodik imha takvimi kurulur ve imhanın gerçekten yapıldığı kayıt altına alınır. "Sildik" demek yetmez; ispatlanması gerekir.
Teknik ve İdari Tedbirler
Erişim yetkilendirmesi, log kayıtları, şifreleme, yedekleme, çok faktörlü kimlik doğrulama ve personel farkındalığı; Kurul'un rehberlerinde beklenen tedbirler bütünü.
İhlal Müdahale Planı
İhlal anında kimin ne yapacağı, hangi kayıtların toplanacağı ve bildirimin nasıl hazırlanacağı önceden yazılır. Kriz anında plan yazmaya vakit kalmaz.
Yurt Dışına Veri Aktarımı
Bulut hizmetleri ve grup şirketi aktarımları için uygun aktarım mekanizması (standart sözleşme, bağlayıcı kurallar, taahhütname) belirlenir ve gerekli bildirimler yapılır.
İlgili Kişi Başvuru Süreci
Başvuruların alınması, kimlik doğrulaması, süresi içinde yanıtlanması ve kayıt altına alınması için işleyen bir akış kurarız — Kurul şikâyetlerinin çoğu bu aşamada doğar.
Yurt Dışı Temsilcisi Edinin
Avrupa Birliği'nde veya Birleşik Krallık'ta yerleşik olmadığınız hâlde buradaki kişilere mal/hizmet sunuyor ya da davranışlarını izliyorsanız, GDPR m. 27 ve UK GDPR m. 27 uyarınca ilgili bölgede yazılı olarak bir temsilci atamanız gerekir. AB ve Birleşik Krallık ayrı hukuk düzenleri olduğundan, ikisine birden hitap eden kuruluşların iki ayrı temsilciye ihtiyacı olur.
Kimin temsilciye ihtiyacı var?
AB/UK'da kuruluşu bulunmayan, ancak buradaki kişilere yönelik e-ticaret, SaaS, mobil uygulama, pazarlama veya analitik faaliyeti yürüten veri sorumluları ve veri işleyenler.
Temsilci ne yapar?
İlgili kişilerin ve denetim otoritelerinin muhatabı olur; işleme faaliyetleri kaydını bulundurur ve otorite taleplerinde kurumla otorite arasındaki iletişimi yürütür.
Nerede bulunmalı?
AB için, verisi işlenen ilgili kişilerin bulunduğu üye devletlerden birinde; Birleşik Krallık için UK sınırları içinde. Temsilcinin adı ve adresi aydınlatma metninde yayımlanır.
Atamamanın sonucu
Temsilci atamamak başlı başına bir GDPR ihlalidir ve idari para cezasına konu olabilir. Ayrıca otoriteyle iletişim kanalı bulunmadığından süreç kurum aleyhine ilerler.
Bu sayfadaki bilgiler genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Legalitik teknik uyum danışmanlığı sunar; somut hukuki değerlendirme için yetkili bir avukata danışınız.