Lojistik KVKK Uyum Paketi (Sürücü, Konum, Müşteri Verisi)

Bu paket; araçlarına GPS takip cihazı bağlayan, sürücülere mobil uygulama kullatan veya müşteri adres ve kimlik bilgisini dijital ortamda saklayan her ölçekteki nakliyat ve lojistik firması için tasarlanmıştır.

Özellikle şu profillerdeki işletmeler yüksek KVKK riski taşır ve bu pakete ihtiyaç duyar:

• Araç filo takip sistemi işletenler: GPS konum verisi 6698 sayılı Kanun kapsamında kişisel veri sayılır. Sürücüden yazılı veya elektronik açık rıza alınmamışsa ve mesai dışı saatler de izleniyorsa Kurul incelemesi başlatılabilir.
• Evden eve nakliyat firmaları: Müşteri adres, T.C. kimlik, telefon ve eşya listesi gibi hassas veriler toplanır. Bu verilerin ne kadar süre saklandığı, kimlerle paylaşıldığı ve nasıl imha edildiği belgelenmek zorundadır.
• Uluslararası taşımacılık şirketleri: Sürücü pasaport fotokopisi, gümrük belgeleri ve müşteri şirket yetkilisi kimlik bilgileri çapraz sınır veri aktarımı kurallarına tabidir.
• Kurye ve son mil dağıtım operatörleri: Alıcı adı, kapı kodu, imza ve teslimat fotoğrafı gibi veriler kısa sürede büyük hacme ulaşır; saklama-silme politikası zorunludur.
• Üçüncü taraf taşeron kullananlar: Veri işleyen sıfatındaki taşeronlarla imzalanması gereken veri işleme sözleşmeleri (DPA) yoksa sorumluluk veri sorumlusuna yani size aittir.

İşletme büyüklüğü önemli değildir. Kurul'un son denetim raporlarında küçük ve orta ölçekli nakliyat firmalarına da idari para cezası uygulandığı görülmektedir. Erken uyum, cezadan çok daha düşük maliyetlidir.

Paket, hâlihazırda bir GPS veya TMS yazılımı kullanan firmalar için mevcut sisteme entegre çalışan bir uyum katmanı olarak konumlandırılmıştır; mevcut altyapıyı değiştirmeniz gerekmez.

Nakliyat sektörünün KVKK ile ilişkisi diğer sektörlerden farklıdır çünkü kişisel veri işleme, operasyonun tam merkezindedir.

1. Sürücü konum verisi ve mesai dışı takip sorunu

GPS cihazları araç kapanana kadar konum kaydeder. Sürücünün evine, markete veya camiye gittiği saatlerin de sisteme düştüğü anlamına gelir. Bu durum özel hayatın gizliliğine müdahale sayılır ve açık rıza olmaksızın Kurul tarafından doğrudan ihlal kabul edilir. Pek çok firma bu riski bilmeden işletmektedir.

2. Aydınlatma yükümlülüğünün eksik yerine getirilmesi

Sürücü işe alınırken imzalanan iş sözleşmesine eklenen tek satır «GPS takip sistemimiz mevcuttur» ifadesi hukuki olarak yeterli değildir. Kanun, veri kategorisi, saklama süresi, aktarılan taraflar ve haklara ilişkin ayrıntılı aydınlatma metni zorunlu kılar. Müşteriler için de benzer yükümlülük geçerlidir.

3. Saklama süresiz, imha tanımsız

Çoğu lojistik yazılımı geçmiş siparişleri, müşteri adreslerini ve sürücü rotalarını süresiz saklar. KVKK bu uygulamayı açıkça yasaklar; her veri kategorisi için azami saklama süresi ve bu süre sonunda imha prosedürü tanımlanmalıdır.

4. Veri ihlali hazırlığı sıfır

Sunucu çöktüğünde, araç takip sistemi hacklendiğinde veya eski çalışan veri sızdırdığında 72 saat içinde Kurul'a bildirim yapılması zorunludur. Bu protokolü önceden kurmayan firmalar hem bildirim yükümlülüğünü kaçırır hem de kamuoyuna açıklama yükümlülüğünü yönetemez.

Bu dört sorun birleştiğinde 50.000 TL'den başlayan idari para cezaları ve Kurul'un kamuoyu duyurusu gündeme gelir. Paketimiz tüm bu riskleri sistematik biçimde kapatır.

1. Veri Haritalama ve Envanter Çıkarımı (1–2. hafta): Mevcut sistemlerinizde (GPS, TMS, CRM, muhasebe) hangi kişisel verinin hangi amaçla, kimin tarafından işlendiği belirlenir. Veri envanteri ve veri akış diyagramı hazırlanır. Bu adım olmadan uyum çalışması eksik kalır.
2. Risk Değerlendirmesi ve Hukuki Analiz (2–3. hafta): Envanter üzerinden KVKK açıkları tespit edilir. Sürücü konum verisi, mesai dışı takip, müşteri kimlik saklama ve taşeron paylaşımı gibi yüksek riskli noktalar önceliklendirilir. Bulgular yazılı raporla paylaşılır.
3. Açık Rıza ve Aydınlatma Altyapısının Kurulumu (3–5. hafta): Sürücüler için dijital imzalı elektronik açık rıza formu sisteme entegre edilir. Müşteri aydınlatma metni sipariş akışına eklenir. Tüm metinler Kurul kılavuzlarına uygun dilde hazırlanır.
4. Mesai Dışı Takip Sınırı Modülü (4–6. hafta): GPS sistemine veya TMS'e bağlanan bir kural motoru; mesai bitiş saatinde konum kaydını durduran, sürücüye bildirim gönderen ve yönetici panelinde takip durumunu gösteren modül devreye alınır.
5. Saklama ve İmha Politikası Otomasyonu (5–8. hafta): Her veri kategorisi için tanımlanan azami süre dolduğunda sistemin otomatik imha başlatması veya yöneticiye uyarı göndermesi sağlanır. İmha tutanakları dijital olarak arşivlenir.
6. İhlal Bildirim Prosedürü ve Eğitim (8–10. hafta): 72 saatlik bildirim süreci için hazır şablon ve iletişim protokolü oluşturulur. Personele kısa e-öğrenme modülü sunulur; yöneticilere test senaryosuyla tatbikat yapılır. Sistem canlıya alınır.

Proje sonunda elinizde teknik yazılım modülleri, güncel veri envanteri, imzalanmış politika dokümanları ve Kurul denetimine hazır kayıt paketi bulunur. Her teslim edilebilir, sizin tarafınızdan test edildikten ve onaylandıktan sonra nihai olarak kabul edilir; tek taraflı teslimat yoktur.

Bu paket, yalnızca uyum belgesi üretmek için değil; teknik güvenlik önlemlerini fiilen uygulamak için geliştirilmiştir. KVKK'nın 12. maddesi veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini önlemek ve yetkisiz erişimi engellemek için uygun güvenlik düzeyini sağlamakla yükümlü kılar. Bu yükümlülük teknik ve idari tedbirlerin birlikte uygulanmasını gerektirir.

• Erişim kontrolü: Sürücü konum geçmişine yalnızca yetkili operasyon yöneticileri erişebilir; rol tabanlı izin sistemi kurulur. Muhasebe personeli finansal verileri görürken konum geçmişine erişemez; her rol yalnızca göreviyle ilgili veri katmanında çalışır.
• Veri minimizasyonu: Yalnızca operasyonel amaç için gerekli veri toplanır; fazlası sistem düzeyinde engellenir. Örneğin sürücünün hız bilgisi tutulurken adres bilgisi tutulması gerekmiyorsa bu alan hiç işlenmez.
• Şifreleme: Konum verisi ve müşteri kimlik bilgisi aktarımda TLS 1.3, veritabanında AES-256 ile korunur. Yedek dosyaları da şifreli saklanır; şifreleme anahtarı yalnızca müşteriye aittir.
• Denetim izi: Kim, ne zaman, hangi veriye erişti? Tüm işlemler loglanır ve değiştirilemez kayıt altına alınır. Bu kayıtlar Kurul denetiminde ispat aracı olarak kullanılabilir.
• Taşeron sözleşmeleri: GPS yazılım sağlayıcısı ve bulut altyapısı gibi üçüncü taraflarla Veri İşleme Anlaşması (DPA) şablonu hazırlanır; taşeron uyumu kontrol altına alınır.
• İhlal müdahale planı: Güvenlik ihlali senaryosu için 72 saatlik bildirim protokolü teknik altyapıya entegre edilir; otomatik alarm sistemi ihlal tespitinde derhal devreye girer.

Yazilim.pro, bu çalışma süresince müşteri verilerine yalnızca gerekli ölçüde erişir; proje başında karşılıklı gizlilik sözleşmesi (NDA) imzalanır ve proje tesliminde tüm geçici erişimler kapatılır, imha tutanağı paylaşılır.