Uyuma yeni başlayan kurumlar
Hangi verinin nerede olduğunu görmeden politika yazmaya çalışan kurumların ilk yapması gereken çalışmadır.
KVK & Uyumluluk
Veri Envanteri (RoPA)
Uyum programının temeli envanterdir; hangi veriyi neden tuttuğunu bilmeyen kurum hiçbir yükümlülüğü doğru yerine getiremez.
Nedir?
Veri Envanteri (RoPA) nedir?
Kişisel veri işleme envanteri; kurumun işlediği verilerin hangi süreçte, hangi amaçla ve hangi hukuki dayanakla toplandığını, kimlere aktarıldığını, nerede saklandığını ve ne kadar süreyle tutulacağını gösteren temel belgedir. Sicile kayıtla yükümlü veri sorumluları için ilgili yönetmelik uyarınca envanter hazırlanması zorunludur; yükümlü olmayan kurumlar içinse uyumun doğal başlangıç noktasıdır.
Avrupa mevzuatındaki karşılığı, GDPR’ın 30. maddesinde düzenlenen işleme faaliyetleri kaydıdır ve uygulamada RoPA kısaltmasıyla anılır. İki belgenin mantığı aynıdır, alan başlıkları birebir örtüşmez. Yurt dışı bağlantısı olan kurumlarda envanteri, her iki düzenlemenin beklediği alanları tek yapıda karşılayacak biçimde kurgularız; böylece iki ayrı kayıt tutma yükü doğmaz.
Envanter, bir kez doldurulup rafa kaldırılan bir tablo değildir. Yeni bir uygulama devreye alındığında, bir departman kurulduğunda veya bir tedarikçi değiştiğinde satırların da değişmesi gerekir. Bu yüzden envanteri kurumun değişim süreçlerine bağlar, isteyen müşterilerimizde ise kendi geliştirdiğimiz VERKAGUARD platformu üzerinden canlı olarak yönetiriz.
Kimler için?
Bu hizmet kimler için uygun?
Aşağıdaki durumlardan biri size uyuyorsa bu hizmet doğru adrestir.
Çok sistemli, çok departmanlı yapılar
Verinin ERP, İK yazılımı, e-posta ve dağınık tabloların arasına yayıldığı kurumlarda bütünsel tek bir görünüm oluştururuz.
Şirket birleşme ve devralmaları
Devralınan şirketin veri varlıklarının ve risklerinin görülmesi gereken durumlarda envanter, durum tespitinin parçasıdır.
GDPR kapsamına da giren şirketler
Avrupa’da müşterisi veya çalışanı bulunan, tek kayıtla iki düzenlemeyi birden karşılamak isteyen kuruluşlar.
Saklama süresi kontrolsüz büyüyen kurumlar
Hiçbir veriyi silmeyen, arşivi yıllardır büyüyen yapılarda imha planının dayanağını envanter oluşturur.
Denetim veya sertifikasyon hazırlığındakiler
ISO belgelendirmesi ya da müşteri denetimi öncesinde varlık ve işleme kaydını düzene sokması gereken kurumlar.
Kapsam
Hizmet kapsamında neler var?
Süreç ve veri akışı çıkarımı
Departman bazlı görüşmelerle verinin kuruma nereden girdiği, hangi sistemlerde dolaştığı ve nereden çıktığı adım adım haritalanır.
Veri kategorisi ve ilgili kişi grubu tanımı
Kimlik, iletişim, özlük, finans ve varsa özel nitelikli veriler ayrıştırılır; çalışan, müşteri, aday ve ziyaretçi gibi gruplar netleştirilir.
Hukuki dayanak ve amaç eşlemesi
Her satır için işleme amacı ve dayanılan kanuni şart yazılır. Aynı verinin farklı amaçlarla işlendiği durumlar ayrı satır olarak ele alınır.
Aktarım ve tedarikçi haritası
Yurt içi ve yurt dışı alıcı grupları, kullanılan bulut hizmetleri ve veri işleyen sıfatındaki tedarikçiler kayda geçirilir.
Saklama süresi ve imha kararı
Her veri kategorisi için saklama süresi dayanağıyla birlikte belirlenir; sürenin sonunda silme, yok etme veya anonim hâle getirmeden hangisinin uygulanacağı kararlaştırılır.
Risk ve etki değerlendirmesi girdisi
Yüksek riskli işleme faaliyetleri işaretlenir; GDPR kapsamındaki kurumlarda 35. maddedeki veri koruma etki değerlendirmesi için girdi hazırlanır.
Nasıl işliyor?
Çalışma sürecimiz
Her adımın çıktısı bellidir; süreç boyunca nerede olduğunuzu bilirsiniz.
-
Hazırlık ve kapsam belirleme
Hangi departmanların ve sistemlerin çalışmaya dâhil olacağı, görüşme takvimi ve envanter şablonu belirlenir. Çıktı: kapsam ve takvim dokümanı.
-
Saha çalışması ve görüşmeler
Süreç sahipleriyle yüz yüze veya çevrim içi görüşülür, ekran üzerinden sistemler incelenir. Çıktı: doldurulmuş ham envanter formları.
-
Konsolidasyon ve tutarlılık kontrolü
Departman çıktıları tek yapıda birleştirilir, çelişen beyanlar ve boşluklar giderilir. Çıktı: birleştirilmiş envanter taslağı.
-
Saklama ve imha planının kurulması
Süreler karara bağlanır, periyodik imha takvimi oluşturulur ve sorumlular atanır. Çıktı: saklama ve imha planı.
-
Devreye alma ve güncel tutma
Envanter kurumla paylaşılır, güncelleme sorumluluğu tanımlanır ve talep hâlinde VERKAGUARD üzerinde canlıya alınır. Çıktı: yürürlükteki envanter ve güncelleme prosedürü.
Çıktılar
Size ne teslim ediyoruz?
Çalışma sonunda elinizde kalan somut belge ve kurulumlar.
- Departman bazlı kişisel veri işleme envanteri
- Veri akış şemaları ve sistem eşlemesi
- Aktarım ve tedarikçi listesi
- Saklama süresi tablosu ve gerekçeleri
- Periyodik imha takvimi ve sorumluluk atamaları
- VERBİS bildirimine hazır özet çıktı
SSS
Sık sorulan sorular
Envanter ile VERBİS bildirimi aynı şey mi?
Aynı değildir. Envanter kurum içi, ayrıntılı ve süreç düzeyinde bir belgedir; Sicil bildirimi ise bu belgeden türetilen, kategori düzeyinde bir beyandır. Bildirim envanterden çıkarılır, tersi yapılamaz. Envanteri olmayan kurumların beyanı neredeyse her zaman eksik ya da gerçeğe aykırı olur.
Periyodik imha ne sıklıkta yapılmalı?
Silme, yok etme ve anonim hâle getirmeye ilişkin yönetmelik uyarınca periyodik imha işlemi altı ayı geçmeyen aralıklarla tekrarlanır. Kurumlar bu süreyi genellikle takvime bağlamayı unutur; envanter çalışmasında imha zamanlarını sorumlusuyla birlikte takvime yazarız.
Saklama süresini kim belirler?
Süre öncelikle mevzuattan gelir; ilgili kanunlarda öngörülen zamanaşımı ve saklama zorunlulukları esas alınır. Mevzuatta bir süre yoksa işleme amacının gerektirdiği makul süre belirlenir ve bu gerekçe yazılı hâle getirilir. Kanun’un 4. maddesindeki süreyle sınırlı saklama ilkesi burada belirleyicidir.
Anonim hâle getirme ile silme arasındaki fark nedir?
7. madde üç yöntemi birlikte sayar. Silme, verinin ilgili kullanıcılar bakımından hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir; yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasıdır. Anonim hâle getirmede ise veri saklanmaya devam eder ancak hiçbir eşleştirmeyle kimliği belirli bir kişiyle ilişkilendirilemez.
Envanteri elektronik tabloda tutmak yeterli mi?
Küçük ölçekli kurumlarda tablo yeterli olabilir. Süreç sayısı arttıkça sürüm karmaşası, kimin neyi güncellediğinin izlenememesi ve imha takviminin unutulması sorun hâline gelir. Bu noktada envanteri, değişiklik geçmişi tutan ve hatırlatma üreten VERKAGUARD platformuna taşımayı öneriyoruz.
Çalışma sırasında iş akışımız aksar mı?
Görüşmeler süreç sahibi başına kısa oturumlar hâlinde planlanır ve takvim önceden paylaşılır. Ekranda inceleme gereken durumlarda sistemlere yalnızca görüntüleme yetkisiyle bakarız; üretim ortamında hiçbir değişiklik yapmayız.
İlgili
Bunlar da ilginizi çekebilir
Veri Envanteri (RoPA) için teklif alın
İhtiyacınızı yazın; kapsamı netleştirmek için önce kısa bir görüşme planlayalım.