Adım 1: Veri Envanteri Çıkarma
KVKK uyum sürecinin ilk adımı, işletmenizde hangi kişisel verilerin toplandığını, nerede saklandığını ve kimlerle paylaşıldığını belirlemektir. Bir Excel tablosu veya özel yazılım kullanarak tüm veri akışını haritalandırın.
Eskişehir’deki bir perakende mağazası, müşteri ad-soyad, telefon ve kredi kartı son 4 hanesini işler. Bu verilerin hangi departman tarafından toplandığı, hangi sunucuda tutulduğu ve ne kadar süreyle saklanacağı envantere kaydedilmelidir. Eskişehir Bilgisayar, bu aşamada size özel bir veri envanter şablonu sağlayabilir.
Adım 2: Aydınlatma Metni ve Açık Rıza Metni Hazırlama
Veri sahiplerine, hangi verilerinin hangi amaçla işlendiğini açıkça bildiren bir aydınlatma metni hazırlayın. Bu metin, web sitenizde, mobil uygulamanızda veya fiziksel başvuru formlarında görünür olmalıdır.
Açık rıza metni ise özellikle pazarlama e-postası göndermek veya üçüncü tarafla veri paylaşmak gibi durumlarda gereklidir. Eskişehir’de bir e-ticaret sitesi, üyelik sırasında kullanıcıya “KVKK kapsamında kişisel verilerimi işlemenize izin veriyorum” onay kutusu sunmalıdır.
Adım 3: Veri İşleme Sözleşmeleri ve Politikalar
Veri işleyen tedarikçilerinizle (örneğin bulut hizmet sağlayıcısı, muhasebe yazılımı firması) KVKK uyumlu veri işleme sözleşmesi imzalayın. Ayrıca şirket içi veri güvenliği politikası oluşturun ve çalışanlara duyurun.
Politika belgesinde, hangi çalışanın hangi verilere erişebileceği, şifre değiştirme sıklığı ve veri ihlali durumunda izlenecek prosedürler yer almalıdır. Eskişehir Bilgisayar, bu dokümanların hazırlanmasında danışmanlık hizmeti sunar.
Adım 4: Teknik ve İdari Güvenlik Önlemlerini Uygulama
Teknik önlemler: Tüm veritabanlarını şifreleyin, sunuculara güvenlik duvarı kurun, düzenli güvenlik güncellemeleri yapın. İdari önlemler: Çalışanlara KVKK eğitimi verin, yetki matrisi oluşturun, periyodik denetimler yapın.
Eskişehir’de bir hukuk bürosu, müvekkil dosyalarını şifreli bir bulut sisteminde saklamalı ve yalnızca ilgili avukatın erişimine izin vermelidir. Aksi halde veri sızıntısı durumunda hem cezai hem de hukuki yaptırımla karşılaşabilir.
Adım 5: Veri İhlali Bildirim Prosedürü Oluşturma
Veri ihlali durumunda ne yapacağınızı önceden belirleyin. KVKK, ihlali öğrendikten sonra 72 saat içinde Veri Sorumlusu Başvuru Sistemi (VERBİS) üzerinden bildirim yapılmasını zorunlu kılar.
Bildirimde ihlalin türü, etkilenen kişi sayısı, olası sonuçlar ve alınan önlemler yer almalıdır. Eskişehir Bilgisayar, ihlal anında hızlı müdahale için bir acil durum planı hazırlamanıza yardımcı olur.
Adım 6: VERBİS Kaydı ve Periyodik Denetim
Veri sorumluları, VERBİS’e kayıt yaptırmak ve belirli aralıklarla güncellemekle yükümlüdür. Kayıt sırasında veri işleme faaliyetlerinizi, veri kategorilerini ve yurt dışı aktarım varsa bunu beyan edin.
Yılda en az bir kez iç denetim yaparak sürecin güncelliğini kontrol edin. Eskişehir’de faaliyet gösteren bir KOBİ, düzenli denetim sayesinde olası açıkları erken fark eder ve cezai riski minimize eder.
