KVKK Uyum Paketi (Müşteri, Reçete, Kamera Verisi)

Kuyumculuk ve optik sektöründe KVKK yükümlülükleri, pek çok başka sektörden daha karmaşık bir üst üste binme içerir. Bu paket bu karmaşıklığı sistematik biçimde çözmek için tasarlanmıştır.

Değerli Maden Alım-Satım Yapan Kuyumcular

Altın, gümüş veya platin alımında Kuyumcular ve Sarraflar Hakkında Yönetmelik kapsamında müşteriden kimlik belgesi alınması zorunludur. Bu kimlik verisi kişisel veri kapsamındadır; nasıl saklandığı, ne kadar süreyle tutulduğu ve imha edildiği KVKK'ya tabidir. Pek çok kuyumcu bu verinin işlenme ve saklama koşullarını KVKK gerekliliklerine göre düzenlememektedir.

Güvenlik Kamerası Kullanan Mağazalar

Mağaza içi güvenlik kamera sistemi değerli mağazalarda neredeyse evrenseldir; ama kamera görüntüsü de kişisel veridir. Aydınlatma yükümlülüğü, saklama süresi, erişim yetkisi ve imha prosedürü KVKK çerçevesinde tanımlanmak zorundadır. Bu gereklilikleri karşılamamak denetimde doğrudan ihlal sayılır.

Optikçiler & Gözlük Mağazaları

Optik reçetesi, göz basıncı ve göz hastalığı bilgisi KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veridir — sağlık verisi olarak sınıflandırılır ve işlenmesi için açık rızaya ek olarak daha yüksek güvenlik tedbirleri zorunludur. Bu grubu kuyumculukla birleştiren tek bir sistemle yönetmek hem verimli hem zorunludur.

Çok Şubeli Zincirler

Her şube ayrı bir veri işleme noktasıdır. Merkezi bir VERBİS (Veri Sorumluları Sicili) kaydı ve şube bazında uyum protokolleri gereklidir. Bu paketle merkezi belge yapısı oluşturulur; şubelere replika politika dokümanları ve eğitim materyalleri dağıtılır.

Küçük tek noktadan satış yapan, kimlik kaydı tutmayan ve kamera sistemi olmayan bir kuyumcu için bu paketin tüm bileşenleri gerekli olmayabilir. Keşif toplantısında kapsamı birlikte belirleriz.

KVKK'yı 'büyük şirketlerin meselesi' olarak görmek kuyumculuk sektöründe yaygın bir yanılgıdır. Oysa kimlik, kamera ve reçete verisi üçlüsü nedeniyle küçük ölçekli kuyumcular bile KVKK yükümlüsü konumundadır.

Yükümlülüklerin Bilinmemesi

Hangi verinin kişisel veri sayıldığını, işleme şartlarının ne olduğunu, saklama sürelerinin nasıl belirleneceğini bilmeden uyum sağlamak mümkün değildir. Bu paket önce mevcut durumu haritalayarak hangi yükümlülüklerin geçerli olduğunu netleştirir.

Kimlik Verisi İşleme Altyapısı Yok

Altın alımında kimlik fotokopisi veya el yazısıyla not alınan TC numarası yaygın uygulamadır. Ancak bu belgelerin nerede saklandığı, kimin erişebildiği ve ne zaman imha edildiği çoğunlukla belirsizdir. Paketle standart kimlik veri işleme prosedürü ve silme/imha takvimi oluşturulur.

Kamera Aydınlatma Metni Eksikliği

Kamera kaydının yapıldığını müşteriye bildiren aydınlatma metni ve görünür uyarı levhası KVKK'nın zorunlu kıldığı temel tedbirdir. Bu metnin içeriği kanunun öngördüğü unsurlara sahip olmak zorundadır; genel ifadeler yeterli sayılmaz.

Özel Nitelikli Veri Güvencesi Yok

Optik reçeteleri dijital ortamda veya fiziksel klasörde saklanıyorsa erişim yetkisi, şifreleme ve yedekleme politikaları özel nitelikli veri standartlarına göre belirlenmek zorundadır. Bu standartların altında kalmak KVKK Kurulu kararlarında tekrarlayan ihlal kategorisindedir.

VERBİS Kaydı & Denetim Hazırlığı

Yıllık cirosu belirli eşiğin üzerinde olan ya da özel nitelikli veri işleyen veri sorumluları VERBİS'e kayıt olmak zorundadır. Bu kayıt ve ona bağlı veri envanteri çoğu mağazada eksik ya da hiç yoktur. Denetim anında bu eksiklik doğrudan yaptırım gerekçesi olur.

1. Veri Envanteri & Boşluk Analizi: Mağazada hangi kişisel verinin toplandığı, nasıl işlendiği ve nerede saklandığı haritalanır. Kimlik belgesi, kamera kaydı ve reçete kapsamında mevcut uygulamayla KVKK gereklilikleri arasındaki fark (gap) tespit edilir. Bu rapor paket sonunda da size kalır.
2. Aydınlatma & Açık Rıza Metinleri: Müşteriye gösterilecek aydınlatma metinleri (kamera, kimlik kaydı, reçete) KVKK'nın asgari içerik şartlarını karşılayacak biçimde hazırlanır. Açık rıza formları (özellikle sağlık verisi için zorunlu) tasarlanır. Bu metinlerin hukuki geçerliliği için hukuk büronuzla gözden geçirmenizi öneririz.
3. Saklama & İmha Takvimi: Her veri kategorisi için saklama süresi belirlenir. Kimlik kaydı için mevzuatın öngördüğü süre esas alınır. Saklama süresi dolan verilerin nasıl imha edileceği (fiziksel kâğıt için güvenli imha, dijital veri için üzerine yazma/silme prosedürü) belgelenir.
4. Teknik Güvenlik Tedbirleri: Dijital veri için şifreleme, erişim yetkisi matrisi ve güvenli yedekleme altyapısı kurulur veya mevcut altyapıya bu özellikler eklenir. Kamera sistemi için kayıt saklama süresi konfigürasyonu, erişim logu ve yetkisiz erişim alarmı devreye alınır.
5. VERBİS Kayıt Desteği: VERBİS'e kayıt zorunluluğu varsa kayıt sürecine rehberlik edilir; veri işleme envanteri VERBİS formatına dönüştürülür. VERBİS girişini yasal danışman yapmalıdır; biz teknik ve operasyonel verileri hazırlarız.
6. Personel Farkındalık Eğitimi & Belgeler Teslimi: Mağaza sahibi ve ilgili personele kısa bir KVKK farkındalık eğitimi verilir. Tüm belgeler (politika, prosedür, form, aydınlatma metni, imha kaydı) dijital olarak teslim edilir; fiziksel klasör düzeni için de şablon sunulur.

Proje 4–8 hafta sürer. Fiyat 25.000–60.000 TL; kapsam (kaç veri kategorisi, şube sayısı, mevcut altyapı durumu) keşif sonrası netleşir.

Risk & Tedbir Özet Tablosu

Bu paketin amacı doğrudan KVKK uyumunu sağlamak olduğundan güvenlik katmanları paketin çekirdeğini oluşturur; tüm teknik ve operasyonel kararlar bu eksen etrafında şekillenir.

Veri envanteri ve boşluk analizi raporu yalnızca mağaza sahibi ve yetkili kişilerin erişebildiği şifreli ve güvenli kanallarla iletilir; hiçbir koşulda üçüncü taraflarla paylaşılmaz. Bu rapor mağazanın veri zafiyetlerini ayrıntılı biçimde belgeler; yanlış ellere geçmesi tam anlamıyla mağazanın güvenlik açık haritasını ifşa etmek demektir, bu nedenle iletim ve saklama güvenliğine özel önem verilir.

Teknik altyapı kurulumunda asgari ayrıcalık ilkesi (least privilege) uygulanır: her çalışan ve sistem bileşeni yalnızca görevinin gerektirdiği veriye erişebilir. Gereksiz erişim hakları kaldırılır; erişim matrisi belgelenir ve periyodik gözden geçirme için şablon bırakılır. Kamera kayıtları varsayılan olarak 7–30 gün saklanır; saklama süresi aşıldığında kayıtlar otomatik ve geri dönülemez biçimde silinir.

Özel nitelikli sağlık verisi niteliğindeki optik reçeteler için ek teknik tedbirler uygulanır: şifreli depolama, katmanlı erişim kontrolü ve her erişim işlemini belgeleyen denetim günlüğü (audit log) bunların başında gelir. Bu tedbirler Kişisel Veri Güvenliği Rehberi kapsamında Kurul tarafından öngörülen teknik standartlarla birebir örtüşür.

Paketle teslim edilen hukuki belgeler (aydınlatma metni, açık rıza formu, gizlilik politikası şablonları) hukuki tavsiye niteliği taşımaz; teknik ve operasyonel içerikli şablonlardır. Bu belgelerin kendi hukuk danışmanınız tarafından gözden geçirilip onaylanmasını şiddetle tavsiye ediyoruz. Paket teknik ve operasyonel altyapıyı eksiksiz hazırlar; hukuki yorumu tamamlamaz.