KVKK Uyum Paketi (Müşteri & Proje Verisi)

GES sektörü, kişisel veri işleme açısından sanılandan çok daha kapsamlı bir tabloya sahiptir. Müşteri adı ve iletişim bilgisinden fizibilite raporlarına, saha personeli kimlik ve sağlık belgelerinden uzaktan izleme sistemlerindeki kullanıcı erişim kayıtlarına kadar onlarca veri akışı söz konusudur. Bu verilerin tamamı Kişisel Verilerin Korunması Kanunu kapsamında değerlendirilebilir ve işleme faaliyetlerinin belgelenmesini, aydınlatma yükümlülüğünün yerine getirilmesini, saklama-imha politikalarının oluşturulmasını zorunlu kılar.

Bu paket özellikle şu firmalar için tasarlanmıştır:

• Çatı ve arazi GES kurulum firmaları: Bireysel ve kurumsal müşteri sözleşmesi, fizibilite teklifi ve imza süreçlerinde kişisel veri işleyen şirketler. Müşteri adı, TC kimlik numarası, tapu bilgisi, fatura adresi ve iletişim bilgileri gibi veriler bu kapsamda yer alır; her biri için ayrı bir işleme amacı ve saklama süresi belirlenmelidir.
• EPC şirketleri: Proje dosyalarında iş ortağı ve taşeron bilgisi, personel özlük verisi, bağlantı anlaşması belgeleri ve mühendis imzaları barındıran yapılar. Bu firmalar aynı zamanda veri aktarımı yaptıkları taşeronlarla veri işleme sözleşmesi yapmaları gerekebilir.
• O&M firmaları: Monitoring platformlarına erişim hesapları, saha ziyaret kayıtları, müşteri portal bilgileri ve servis geçmişi yöneten ekipler. Uzaktan erişim logları da kişisel veri sayılabilir; bu verilerin hangi süre saklandığı ve nasıl imha edildiği belgelenmelidir.
• Panel ve inverter bayileri: CRM, teklif sistemi veya muhasebe yazılımında müşteri iletişim ve fatura verisi saklayan işletmeler. E-posta listesi veya bülten kampanyası yürütüyorlarsa açık rıza zorunluluğu ayrıca gündeme gelir.
• Enerji yatırımcıları ve proje geliştiricileri: Birden fazla saha ve paydaş verisini merkezi sistemlerde konsolide eden yapılar. Bu firmalar çoğunlukla birden fazla veri kategorisini ve veri işleme amacını tek sözleşme çerçevesinde yönetmek durumundadır.

Firmanızın büyüklüğünden bağımsız olarak, dijital ortamda müşteri veya personel verisi işliyorsanız KVKK yükümlülükleri geçerlidir. Bu paket, sektörünüzün gerçek veri akışlarına göre uyarlanmış, uygulanabilir ve belgelenmiş bir altyapı sunar. Kurulumun, bakımın veya satışın ana faaliyetiniz olması fark yaratmaz; kişisel veri işleme gerçekleşiyorsa yükümlülük de geçerlidir. Denetim bu alanda her geçen yıl daha aktif hale gelmekte; belgesiz firmalar hem cezai risk hem de müşteri güveni kaybıyla karşı karşıya kalmaktadır. Sektörünüzde kurumsal müşterilerin sözleşme süreçlerinde KVKK uyum belgesi sorması da giderek yaygınlaşmaktadır.

GES firmalarında en yaygın KVKK uyum boşlukları aşağıdaki tabloda özetlenmiştir. Her bir sorun alanı, gerçek iş süreçlerinden elde edilen gözlemlerle oluşturulmuştur ve birbirini besleyen bir zincir oluşturmaktadır:

Tüm bu boşlukların ortak paydası, süreçsizliktir. Hangi verinin işlendiği bilinmediğinde aydınlatma metni yazılamaz. Saklama süresi tanımlanmadığında imhanın ne zaman yapılacağı belirsizleşir. Açık rıza mekanizması kurulmadığında e-posta pazarlaması yasal zemine oturtulamamaktadır. Bu zincir baştan sona belgelenmeden her halka ayrı bir risk noktasına dönüşür.

Bu paket, her boşluğu sektörünüzün gerçek iş süreçlerine göre ele alır; tek seferlik kontrol listesiyle değil, sürdürülebilir belge ve süreç altyapısıyla kapatır. Hukuki danışmanınızla koordinasyon sağlanarak firmanıza özgü ilave gereksinimler de değerlendirilebilir.

Uyum sürecinin gecikmesi riski artırır. Envanter olmadan aydınlatma metni yazmak mümkün değildir. Aydınlatma metni olmadan açık rıza toplamak hukuki dayanaktan yoksun kalır. Saklama süresi belirlenmeden imha takvimi oluşturulamaz. Bu zincirin herhangi bir halkası eksik kaldığında bütünün değeri azalır. Paketin bütüncül yaklaşımı bu nedenle tasarlanmıştır: önce veriyi tanı, sonra belgele, ardından sisteme ekle ve sonra sürdür.

Pratikte en çok atlanan nokta, mevcut müşteri kayıtlarının durumudur. Yeni sözleşmelerde aydınlatma metni eklemek görece kolaydır; ancak geçmiş müşteri verilerinin hangi hukuki dayanak ve hangi saklama süresine tabi olduğu genellikle belirsiz bırakılır. Paket bu tarihi veri sorununu da kapsama dahil ederek başından netleştirir. Ayrıca taşeronlar ve tedarikçilerle paylaşılan veriler için veri işleme sözleşmelerinin (DPA) gerekip gerekmediği de bu aşamada değerlendirilir. Unutulmamalıdır ki aydınlatma metni yayınlamak bir başlangıçtır; onu güncel tutmak ve değişikliklerde güncellemek de uyum zincirinin parçasıdır.

Paket, dört aşamalı yapılandırılmış bir süreçle teslim edilir. Her aşamanın çıktısı bir sonrakinin temelini oluşturur; aşama tamamlanmadan ilerleme yapılmaz. Bu yaklaşım hem sürecin sağlamlığını korur hem de firmaya gerçek bir uyum altyapısı bırakır:

• 1. Keşif ve Veri Haritalama: Firmanızın kullandığı tüm yazılımlar (CRM, muhasebe, izleme platformu, e-posta hizmet sağlayıcısı), fiziksel ortamlar ve üçüncü taraf hizmetler (bulut depolama, saha uygulamaları, taşeron erişimleri) taranır. Hangi kişisel verinin hangi kanaldan aktığı, kimler tarafından işlendiği ve nereye iletildiği belgelenir. Bu aşamada farklı departman temsilcileriyle (İK, proje yöneticisi, muhasebe) kısa görüşmeler yapılır; her birinin veri temas noktası tespit edilir.
• 2. Kapsam Belirleme ve Önceliklendirme: VERBİS yükümlülüğü (çalışan sayısı ve veri işleme hacmine göre), saklama süreleri ve rıza gerektiren veri kategorileri belirlenir. Olası ihlal riski yüksek olan alanlar öne alınır ve bir çalışma belgesiyle aşama kapatılır. Firmanızın hukuk danışmanı varsa bu aşamada kapsama dahil edilmesi önerilir.
• 3. Belge ve Süreç Üretimi: Müşteriye yönelik aydınlatma metni, taşeron ve personel bildirimleri, açık rıza formları, saklama-imha politikası ve çerez yönetimi konfigürasyonu hazırlanır. Tüm belgeler firmanızın mevcut dili, markası ve sözleşme yapısıyla uyumlu biçimde yazılır. Belgeler taslak olarak sunulur; hukuk danışmanınıza iletilmesi tavsiye edilir. Geri bildirimlere göre revizyon yapılır.
• 4. Entegrasyon ve Aktarım: Belgeler mevcut web sitesi, CRM veya e-posta sistemine entegre edilir. Çerez banner ve tercih paneli web altyapısına eklenir. Sorumlu personele kısa kullanım kılavuzu sağlanır. Devir teslim sonrası kontrol seansıyla süreç kapatılır ve periyodik gözden geçirme için takvim önerisi iletilir.

Sürecin her aşamasında firmanızın avukatı veya mali müşaviriyle koordinasyon sağlanabilir. Nihai hukuki yorumlama ve imza yetkisi her zaman firmanızın yasal danışmanındadır. Bu paket teknik ve belgesel altyapı sunar; hukuki danışmanlık hizmeti vermez.

Süreç boyunca şeffaflık esastır. Hangi adımda ne bekleneceği, hangi belgenin ne zaman teslim edileceği ve geri bildirimin nasıl dahil edileceği baştan paylaşılır. Firmanızın zamanı değerlidir; görüşmeler odaklı ve önceden hazırlanmış gündemle yürütülür. Teslim edilen her belge, gerçekten kullanılabilir olacak biçimde yazılır; raflarda beklemek için değil.

Devir teslim yalnızca bir belge paketi değildir. Hangi belgenin ne zaman güncellenmesi gerektiği, mevzuat değişikliklerini nasıl takip edeceğiniz ve sorumluluğu dahili olarak nasıl sahipleneceğiniz de aktarılır. Böylece paket bittiğinde uyum süreci bitmez, kendi kendini sürdürebilir hale gelir. Firmada belirli kişilere atanmış roller olmadan uyum çabası zamanla dağılır; bu nedenle devir teslimde net sorumluluk ataması da yapılır.

KVKK uyumu tek seferlik bir proje değil, sürdürülmesi gereken bir süreçtir. Firma büyüdükçe, yeni hizmetler veya sistemler eklendikçe ve mevzuat değiştikçe belgelerin güncellenmesi gerekir. Bu paket başlangıç altyapısını kurar; devam eden güncelleme sorumluluğu firmaya aittir ve bu konu devir teslim aşamasında açıkça aktarılır.

• Dürüstlük notu: Bu paket KVKK kapsamında tam uyum garantisi vermez ve vermemelidir. Yasal uyumun nihai denetimi ve yorumu Kişisel Verileri Koruma Kurumu ile firmanızın hukuk danışmanına aittir. Paket, uyumu kolaylaştıran belge ve süreç altyapısı sağlar; hukuki danışmanlık içermez. Denetim sonucunda doğabilecek yaptırım sorumluluğu firmaya aittir.
• Veri güvenliği: Keşif sürecinde elde edilen bilgiler yalnızca proje kapsamında kullanılır, üçüncü taraflarla paylaşılmaz ve proje tamamlandıktan sonra imha edilir. Erişim, ilgili proje sorumlusuyla sınırlı tutulur.
• Süreklilik ve bakım: Yıllık gözden geçirme veya mevzuat değişikliği takibi isteğe bağlı bakım kapsamında ayrıca sunulabilir. İlk paketle bu hizmetler otomatik dahil değildir; kapsam ve takvim netleştirilmesi gerekir. Yeni veri kategorisi eklediğinizde veya yeni bir yazılım devreye aldığınızda envanteri güncellemeniz önerilir.
• Personel farkındalığı: Belgelerin hazırlanması yeterli değildir; ilgili çalışanların KVKK farkındalığına sahip olması da önemlidir. Kısa farkındalık eğitimi veya bilgilendirme notu isteğe bağlı olarak eklenebilir. Farkındalıksız personel, en iyi yazılmış politikanın işlevsiz kalmasına yol açabilir.

Sonuç olarak bu paket, KVKK yükümlülüklerini firmanız için anlamsız bürokratik belgelerden ibaret sayan yaklaşımın aksine, gerçek veri akışlarına dayalı ve uygulanabilir bir altyapı kurmayı hedefler. Uyum süreklidir; bu paket o sürecin doğru başlangıç noktasını oluşturur. Nihai yasal sorumluluk her zaman firmanızda ve hukuk danışmanınızdadır; bu paket o sorumluluğu yerine getirmenizi kolaylaştıran altyapıyı kurar. Periyodik denetim, personel değişimi sonrası güncelleme ve yeni yazılım devreye alındığında envanter revizyonu gibi bakım ihtiyaçları isteğe bağlı yıllık bakım paketi kapsamında sunulabilir. Bu sürekli destek ilk pakete dahil olmasa da ihtiyaç duyulduğunda kolayca planlanabilir. Uyum yolculuğu hiçbir zaman tamamlanmış değildir; organizasyon büyüdükçe ve veri akışları çeşitlendikçe envanterin güncellenmesi zorunludur.