Müşavirlik Ofisi KVKK Uyum Paketi

Türkiye'deki her muhasebe ve mali müşavirlik ofisi, yürüttüğü faaliyet gereği binlerce kişiye ait hassas kişisel veriyi işlemektedir. Mükellef adı, vergi numarası, banka bilgileri, gelir ve gider tabloları, kira beyanları, mirasla ilgili bildirimler... Bunların tamamı 6698 sayılı KVKK kapsamında kişisel veri, bir kısmı ise Madde 6 uyarınca özel nitelikli kişisel veri statüsündedir.

Bu paket, aşağıdaki profildeki ofislere doğrudan hitap eder:

• Veri işleme faaliyetleri kaydını (VERBİS) henüz tamamlamamış veya güncellememiş ofisler
• Mükellef belgelerini WhatsApp, e-posta ekleri veya bulut depolama servisleriyle paylaşan danışmanlar
• Mükelleflerden aldıkları açık rızanın kapsamı konusunda emin olmayan SMMM ve YMM'ler
• KVK Kurulu denetiminde veya şikayet sürecinde ofisin haklarını ispat edecek dokümantasyonu hazırlamak isteyenler
• Ortak büro ve birden fazla danışmanın çalıştığı yapılar; stajyer ve destek personelinin veri erişimini kontrol altına almak isteyenler

Meslek sırrı yükümlülüğü ve KVKK yükümlülüğü birbirini tamamlar; ancak meslek sırrı KVKK'nın teknik ve idari tedbir yükümlülüklerini karşılamaz. Mali müşavir, mükellef bilgisini üçüncü kişilerle paylaşmayabilir; ama bu veriyi işlerken yeterli teknik güvenlik önlemini almak zorundadır. Aksi hâlde Madde 12 kapsamında idari yaptırım doğabilir.

Mükellef portali entegrasyonu bu paketin teknik bileşenlerinden biridir: belgeler şifreli kanal üzerinden iletilir, WhatsApp akışı ortadan kalkar, her veri paylaşım adımı loglanır. Muhasebeci randevu sistemi ile entegre çalışan yapı, randevu sırasında imzalanan aydınlatma metnini dijital ortamda saklar. 60.000 TL'den başlayan bu paket, ofisinizin büyüklüğüne ve mevcut uyum seviyesine göre kişiselleştirilir.

Paket, yalnızca cezadan korunmak isteyen değil, uyumu rekabet avantajına çevirmek isteyen ofisler için de tasarlanmıştır: kurumsal mükellefler tedarikçi denetimlerinde muhasebecisinin veri güvenliği duruşunu sorgulamaya başladı ve 'KVKK uyum dosyamız hazır' diyebilen müşavir, bu görüşmelerden güçlü çıkıyor. Birden fazla şubesi veya uzak personeli olan, evrakı bulut ve e-posta üzerinden dolaştıran ofislerde ihtiyaç daha da acildir; paket bu dağıtık yapıyı da kapsayacak şekilde ölçeklenir.

KVKK ihlallerinin muhasebe ofislerine yansıması çoğunlukla beklenmedik anda gerçekleşir. Bir mükellef şikayeti, rakip tarafından yapılan ihbar veya sektörel denetim; bu üç senaryonun her birinde ofisin ispat yükü vardır. İspat edemezseniz ceza kaçınılmazdır.

Muhasebe Ofislerinde En Yaygın KVKK Riskleri

• WhatsApp Veri Akışı: Kimlik fotokopisi, banka ekstresi, kira kontratı, maaş bordrosu gibi belgeler WhatsApp üzerinden iletilir. Bu uygulama kişisel veriyi şifreli olmayan bir üçüncü taraf altyapısına bırakır ve KVKK Madde 12 kapsamında yeterli teknik tedbir sayılmaz.
• Eksik Aydınlatma Metni: Mükellefle imzalanan sözleşmede veri işleme faaliyetleri belirtilmemişse mükellef, verisinin nasıl kullanıldığını bilmek hakkına sahipken bu hak karşılanmamış olur.
• VERBİS Kaydı Eksikliği veya Güncelliği: Kayıtlı olup aktif olmayan veri kategorileri işleniyorsa bu durum doğrudan ihlal oluşturabilir.
• Veri İhlali Bildirimi: Siber saldırı, fidye yazılımı veya usulsüz erişim durumunda 72 saat içinde KVK Kuruluna bildirim zorunludur. Planı olmayan ofis bu süreyi kaçırır.

KVK Kurulu'nun uyguladığı idari para cezaları Madde 18 uyarınca ihlalin niteliğine göre farklılaşır. Teknik ve idari tedbirleri almayan veri sorumluları için belirlenen üst sınırlar, muhasebe ofisi ölçeğindeki bir işletme için yıkıcı sonuçlar doğurabilir. Uyum, ceza riskini ortadan kaldırmanın yanı sıra mükellef güvenini de pekiştirir.

Uyumsuzluğun maliyeti yalnızca idari para cezası değildir: bir veri ihlalinde Kurula bildirim, mükelleflere açıklama ve itibar hasarı birlikte gelir; mükellef mali verisini emanet ettiği müşavirinin ihlal yaşadığını öğrendiğinde sözleşmesini sorgular. İnternetten indirilen şablon metinlerle 'uyumluyuz' demek bu riski gidermez; denetimde ilk bakılan şey, belgelerin ofisin gerçek veri akışıyla örtüşüp örtüşmediğidir. Bu paket, kâğıt üzerinde değil işleyişte uyum kurar.

Uyum paketi, ofisinizin mevcut durumunu önce haritalandırmak, ardından eksiklikleri sistematik biçimde kapatmak üzerine kurulmuştur. Dokümantasyon ve teknik altyapı paralel ilerler; hiçbir adım onaysız geçilmez.

1. Başlangıç Denetimi (Hafta 1-2): Ofiste işlenen kişisel veri kategorileri, veri akışları (giriş, işleme, paylaşım, saklama, silme) ve mevcut güvenlik önlemleri haritalandırılır. VERBİS kaydınızın durumu incelenir. Mükelleflerle imzalanan sözleşmeler ve mevcut aydınlatma metinleri analiz edilir. Bu aşamanın çıktısı, ofisinize özgü boşluk analizi raporudur.
2. Hukuki Dokümantasyon (Hafta 2-3): Meslek sırrı yükümlülüğüyle uyumlu, SMMM/YMM ofisine özel aydınlatma metni hazırlanır. Açık rıza formları ve rıza geri çekme prosedürleri oluşturulur. Veri saklama ve imha politikası (periyodik imha takvimi dahil) yazılır. Personel gizlilik taahhüdü ve veri erişim politikası hazırlanır.
3. VERBİS Güncelleme (Hafta 3-4): Veri işleme faaliyetleri kaydı hazırlanır veya mevcut kayıt güncellenir. İşlenen her veri kategorisi, işleme amacı, hukuki dayanak, alıcı kategorisi ve saklama süresiyle birlikte kayıt altına alınır.
4. Teknik Altyapı (Hafta 4-6): Mükellef portali üzerinden güvenli belge paylaşımı devreye alınır. Rol tabanlı erişim sistemi yapılandırılır; stajyer, asistan ve ortak için ayrı yetki tanımları oluşturulur. Erişim logları ve denetim izi aktif edilir. Muhasebe KVKK gereksinimlerine uygun veri şifreleme katmanları doğrulanır.
5. Personel Eğitimi (Hafta 6-7): Tüm ekibe KVKK farkındalık eğitimi verilir. Veri ihlali senaryosu üzerinden 72 saatlik bildirim prosedürü simüle edilir. Mükelleften gelen veri erişim talepleri nasıl yanıtlanır uygulamalı gösterilir.
6. Kapanış ve Belgelendirme (Hafta 8): Uyum paketi tamamlanır. Denetimde ibraz edilebilecek tüm belgeler (politikalar, formlar, eğitim katılım tutanakları, VERBİS kayıt özeti) klasörlenir ve dijital arşivde saklanır. Yıllık güncelleme takvimi oluşturulur.

Paketin başlangıç fiyatı 60.000 TL (KDV hariç) olup mükellef sayısı, personel yapısı ve teknik entegrasyon kapsamına göre teklif güncellenir. Keşif görüşmesi ücretsizdir.

Proje boyunca ofisinizin günlük işi aksamaz: görüşmeler ve tespit çalışmaları beyanname takvimine göre planlanır, yoğun dönemlere denk getirilmez. Her aşamanın çıktısı yazılıdır ve birikerek KVKK uyum dosyanızı oluşturur; proje sonunda elinizde denetime hazır, ofisinize özgü ve personelin gerçekten bildiği bir uyum sistemi kalır.

KVKK uyum paketinin teknik bileşenleri, ofisinizin veri güvenliğini yalnızca kağıt üzerinde değil, gerçek sistem katmanlarında güçlendirmek üzere tasarlanmıştır.

Teknik Güvenlik Önlemleri

• Şifreli Belge Kanalı: Mükellef belgelerinin iletimi mükellef portali üzerinden gerçekleşir. Tüm dosya transferleri end-to-end şifrelemeyle korunur. WhatsApp veya e-posta eki kanalı kapanır.
• Denetim İzi (Audit Log): Sistemde kimin hangi veriye ne zaman eriştiği loglanır. Bu log denetimde ibraz edilebilir kayıt niteliği taşır.
• Rol Tabanlı Erişim Kontrolü: Stajyerler yalnızca kendi sorumlu oldukları mükellef verilerine ulaşabilir. Ortak ve kıdemli danışmanların yetki seviyeleri ayrı tanımlanır.
• Parola ve Oturum Güvenliği: Yönetim paneline iki faktörlü kimlik doğrulama uygulanır. Oturum zaman aşımı politikası yapılandırılır.

Veri İhlali Müdahale Planı

KVKK Madde 12/5 gereği, veri ihlalinin öğrenilmesinden itibaren 72 saat içinde KVK Kuruluna bildirim yapılması zorunludur. Bu süreyi karşılayabilmek için önceden hazırlanmış bir prosedür şarttır. Paket kapsamında hazırlanan ihlal müdahale planı; ihlalin tespiti, sınırlandırılması, değerlendirilmesi ve bildirim adımlarını net sorumlularla tanımlar. Ofisinizin bu planı bilmesi için simülasyon eğitimi de pakete dahildir.

Muhasebe ofislerinde meslek sırrı ile muhasebe KVKK yükümlülüklerinin kesişimi, sektöre özgü dikkat gerektiren bir alandır. Geliştirdiğimiz dokümantasyon şablonları, hem TTK hem de KVKK gerekliliklerini karşılayacak biçimde hazırlanmıştır.

Çalışma sırasında ofisinizden edindiğimiz tüm bilgiler karşılıklı gizlilik sözleşmesi altındadır; tespit raporları ve envanter belgeleri yalnızca yetkilendirdiğiniz kişilerle paylaşılır. Teknik tarama ve sızma denemeleri yalnızca yazılı onayınızla, mesai dışı saatlerde ve veri bütünlüğünü bozmayacak yöntemlerle yapılır; bulgular giderilene kadar üçüncü kişilerle asla paylaşılmaz.