KVKK Uyum Paketi (Müşteri & Proje Verisi)

Bu paket, kişisel veri işleyen her ölçekteki peyzaj ve bahçe düzenleme firması için hazırlanmıştır. Sektörün doğası gereği firmalar müşterinin adı, iletişim bilgisi, taşınmazın konumu, proje fotoğrafları ve ödeme geçmişi gibi çok sayıda kişisel veriyi günlük iş akışında toplar ve saklar. Bu verilerin hukuka uygun biçimde işlenmesi yasal zorunluluktur; ancak pek çok firma bu yükümlülüklerin boyutunu tam olarak kavramadan çalışmaya devam etmektedir.

Türk hukukunda kişisel verinin işlenmesi, saklanması ve üçüncü kişilere aktarılması Kişisel Verilerin Korunması Kanunu kapsamında düzenlenmiştir. Kanun yalnızca teknoloji şirketlerini değil, müşterinin adını ve telefon numarasını kaydeden her işletmeyi bağlamaktadır. Bu gerçekten hareketle paket aşağıdaki firma profillerine hitap etmektedir.

• Peyzaj uygulama ve tasarım firmaları: Müşteri keşif formları, proje sözleşmeleri ve sahaya ait fotoğraflar aracılığıyla düzenli olarak kişisel veri toplar. Sözleşme imzalanmadan önce aydınlatma yükümlülüğünün yerine getirilmesi gerekir. Fotoğraflarda müşteri veya üçüncü kişiler görünüyorsa bu görsellerin kullanımı için ek dikkat gerekmektedir.
• Bahçıvanlık ve site bakım şirketleri: Yüzlerce aboneyle bakım sözleşmesi yapar, ödeme ve ziyaret kayıtlarını tutar. Bu kayıtlar kişisel veri niteliği taşıdığında saklama süresi ve imha politikasına bağlanmalıdır. Ayrıca saha ziyaretleri sırasında özel konutlara ait bilgiler elde edildiğinden bu verilerin işlenme amacı açıkça sınırlandırılmalıdır.
• Peyzaj mimarlığı büroları: Müşteri brifingleri, arazi analizleri ve çizimler kapsamlı proje dosyaları oluşturur. Aynı zamanda serbest çalışan veya alt yüklenici personelin özlük bilgilerini işlemek durumundadır. Arşivde biriken bu verilerin ne kadar süre saklanacağı ve süresi dolandığında nasıl imha edileceği yazılı bir politikayla belirlenmelidir.
• Sulama sistemi ve yeşil çatı uygulayıcıları: Tesisat projelerinde taşınmaz adresi ve malik bilgisi gibi hassas konum verisi alır; bu verinin işlenme amacı ve süresi belgelenmek zorundadır. Özellikle kamu veya ticari mülklerde yürütülen projelerde ek dikkat gerekebilir.
• Web sitesi üzerinden lead toplayan her ölçekteki firma: İletişim formu, teklif talebi veya abonelik gibi kanallarla veri topluyor ve bu veriyi e-posta listesinde ya da CRM'de saklıyorsa çerez politikası ve aydınlatma metni zorunludur. Pazarlama e-postası göndermek için ayrıca açık rıza alınması gerekmektedir.

Kısaca: müşteri sözleşmesi imzalayan, personel kaydı tutan, fotoğraf çeken veya web formundan kayıt alan her peyzaj firması bu pakete konu olan yükümlülüklere tabidir. Paketin içeriği sektörün gerçek iş akışına göre uyarlanmıştır; genel kalıp belgeler yerine firmanızın verilerine ve süreçlerine özel dokümanlar hazırlanır. Bu sayede belgelerin gerçek iş sürecinizi yansıtması ve denetimde inandırıcı olması sağlanır.

Firmanızın büyüklüğü veya dijitalleşme düzeyi ne olursa olsun uyum süreci yönetilebilir adımlara bölünür. Küçük ölçekli bir bahçe bakım firması için sadeleştirilmiş bir set yeterli olabilirken, onlarca personeliyle çalışan bir peyzaj uygulama firması için daha kapsamlı bir belge seti ve VERBİS kaydı gereklidir. Paket başlangıçta bu farklılığı tespit ederek uygun kapsamı belirler.

Peyzaj firmaları, KVKK uyumunu genellikle salt internet şirketlerinin sorunu olarak görür. Oysa müşteri telefon numarasını kaydetmek, keşif sırasında çekilen fotoğrafta kişi görünmek ya da WhatsApp üzerinden sözleşme göndermek de veri işleme faaliyetidir ve yasal gerekliliklere tabidir. Aşağıdaki tablo sektördeki yaygın uyumsuzluk alanlarını özetlemektedir.

Tüm bu boşluklar, Kişisel Verileri Koruma Kurulu'nun denetimlerinde idari para cezasına yol açabilir. Ceza miktarları her yıl yeniden belirlenmekte olup küçük ölçekli firmalar için bile ciddi mali yük oluşturabilmektedir. Bunun ötesinde müşteri güveni açısından da önemli bir itibar riski söz konusudur. Özellikle kurumsal müşterilere ve kamu projelerine çalışan peyzaj firmaları için veri güvenliği ve uyum belgesi artık ihale değerlendirmesinde belirleyici bir faktör haline gelmektedir.

Paketin odaklandığı somut sorunlar aşağıda açıklanmıştır:

• Veri nerede, kim saklıyor bilgisi eksik: Müşteri kayıtları kimi zaman kişisel e-postada, kimi zaman WhatsApp'ta, kimi zaman eski Excel dosyalarında dağınık biçimde bekler. Bu dağınıklık hem güvenlik açığı hem uyum riskidir. Bir personel firmadan ayrıldığında veya cihazını kaybettiğinde bu veriler tehlikeye girebilir.
• Aydınlatma metni hiç yapılmamış: Müşteri sözleşmesi, veriyi işleyeceğinizi anlatmaz; ayrı bir aydınlatma belgesi gerekmektedir. Bu belge yoksa hukuki geçerliliği tartışmalı olan sözleşmelerle çalışılıyor demektir.
• Personel verisi gözden kaçıyor: Özlük dosyası, maaş bordrosu ve İSG kayıtları da kişisel veri kapsamındadır ve özel kategorili veri içerebilir. Bu verilerin işlenmesinde ek titizlik gerekmektedir.
• Web sitesi çerezleri kanunsuz: Analitik araçlar ve üçüncü taraf widget'lar kişisel veri toplar; kullanıcıya önceden açık onay fırsatı verilmesi zorunludur. Pasif onay veya önceden işaretli kutucuk yasal değildir.
• Fotoğraf ve görsel kullanım belirsizliği: Tamamlanan projelerin fotoğraflarının sosyal medyada veya portfolyoda kullanılması kişisel veri işleme olabilir; müşteriden önceden rıza alınması gerekmektedir.

Bu paketle nihai sorumluluk firmanın ve gerektiğinde danıştığı hukuk danışmanının olmaya devam eder; hizmet, uyum altyapısını kurmanıza ve süreci belgeli yürütmenize destek verir. Kesin hukuki uyum garantisi verilmez; sağlanan belgeler iyi niyetle uyum çabasının kanıtı niteliğinde olup bir avukat tarafından gözden geçirilmeleri önerilir.

Uyum süreci dört ana aşamada yürütülür. Her aşamanın çıktısı bir sonraki aşamaya girdi oluşturur; böylece belgeler birbirini destekleyen tutarlı bir bütün oluşturur. Süreç boyunca firmanın mevcut iş akışını mümkün olduğunca az aksatmak hedeflenir.

Aşama 1 — Veri Envanteri: Firma ile birlikte yürütülen yapılandırılmış görüşmeler ve mevcut belge taramasıyla hangi kişisel verinin, hangi amaçla, hangi sistemde tutulduğu ve kimlerle paylaşıldığı belirlenir. Müşteri verileri (ad, sözleşme, proje adresi, fotoğraf), personel verileri (TC kimlik, maaş, sağlık belgesi) ve tedarikçi verileri ayrı ayrı kategorize edilir. Veri akış diyagramı oluşturularak hangi verinin hangi departman veya kişi üzerinden geçtiği görünür hale getirilir. Bu aşama tamamlanmadan belgeleme aşamasına geçilmez; eksik envanter üzerine inşa edilen belgeler ilerleyen dönemde ciddi boşluk bırakır.

Aşama 2 — Belgeleme: Sektöre özgü aydınlatma metni hazırlanır; bakım sözleşmelerine, teklif formlarına ve web sitesi iletişim formlarına eklenecek bölümler tarif edilir. Açık rıza alınması gereken senaryolar, örneğin pazarlama e-postası, fotoğraf kullanımı ve üçüncü taraflarla paylaşım, için imzalanabilir veya dijital onay alınabilir rıza şablonları üretilir. Saklama-imha politikası her veri kategorisi için ayrı ayrı yazılır; örneğin tamamlanan proje dosyaları belirli bir süre sonra imha edilirken aktif bakım sözleşmelerine ait kayıtlar farklı bir süre boyunca tutulabilir. Politikanın uygulamada nasıl takip edileceği de belgelere eklenir.

Aşama 3 — Teknik Uygulama: Web sitesine çerez onay mekanizması entegre edilir; çerez politikası ve gizlilik politikası sayfaları oluşturulur. Mevcut iletişim formlarına gerekli aydınlatma ifadeleri eklenir. Bu aşama bir web yazılım hizmeti kapsamındadır ve ayrıca tekliflendirilir. Teknik uygulama için firmanın web sitesine erişim bilgilerine ihtiyaç duyulmaktadır.

Aşama 4 — VERBİS Başvurusu ve Personel Farkındalığı: Belirlenen veri kategorileri, işleme amaçları ve aktarım bilgileri esas alınarak VERBİS sistemi için hazırlık dosyası oluşturulur; başvuru sürecinde teknik destek sunulur. Ofis ve saha personelinin günlük iş akışında dikkat etmesi gereken temel noktalar sade bir farkındalık notu ile aktarılır. Farkındalık notunun dağıtımı için firmanın iç iletişim kanalları kullanılabilir; canlı sunum ayrıca planlanabilir. Süreç boyunca üretilen tüm belgeler firmanın kendi markası altında kullanımına açık formatlarda teslim edilir.

KVKK uyumu bir defalık bir proje değil; personel değişikliği, yeni hizmet kanalı açılması veya mevzuat güncellemesi gibi değişikliklerde yeniden gözden geçirilmesi gereken sürekli bir süreçtir. Bu paket size başlangıç altyapısını kurar; ilerleyen süreçteki güncellemeler firmanın ve gerektiğinde danıştığı hukuk uzmanının takibindedir.

Güvenlik ve yasal uyum boyutunda paketin kapsadığı konular aşağıda açıklanmıştır:

• İdari ve teknik tedbirler: Veri güvenliği politikası kapsamında personelin sadece ihtiyaç duyduğu veriye erişmesi, asgari yetki ilkesi, ve fiziksel arşivlerin kilit altında tutulması gibi temel önlemler tarif edilir. Dijital ortamdaki verilere parola politikası ve erişim yetkilendirmesi uygulanması için somut öneriler sunulur. Saha personelinin mobil cihazları üzerinden kurumsal verilere erişmesi söz konusuysa bu cihazlara ilişkin temel güvenlik önlemleri de belgelere eklenir.
• Veri ihlali prosedürü: Yetkisiz erişim, kayıp veya sızma durumunda Kurula bildirim ve ilgili kişilerin uyarılması adımlarını açıklayan basit bir akış hazırlanır. Bu prosedür sayesinde ihlal anında hangi adımların atılması gerektiği önceden bellidir; bu hem yasal zorunluluktur hem de itibar yönetimi açısından kritik önem taşır. İhlalin tespitinden bildirimine kadar geçen süre yasal sınırlar içinde tutulmalıdır.
• Saklama-imha takvimi: Her veri kategorisi için saklama süresi belirlenir ve süre dolduğunda güvenli imha yöntemi, dijital silme veya fiziksel imha, tarif edilir. Bu takvim düzenli gözden geçirme ile güncel tutulmalıdır. Arşivlerin giderek büyümesi hem depolama maliyetini hem de sızıntı riskini artırır; düzenli imha bu riski azaltır.
• Üçüncü taraf ve tedarikçi uyumu: Firmadan veri alan veya firma adına veri işleyen alt yükleniciler, yazılım sağlayıcıları ve muhasebe firmaları veri işleyen sıfatında değerlendirilebilir. Bu taraflarla yapılan sözleşmelere veri işleme hükmü eklenmesi gerekip gerekmediği analiz aşamasında değerlendirilir.
• Periyodik gözden geçirme önerisi: Kanunun uygulanmasına ilişkin ikincil mevzuat ve Kurul kararları değişebilmektedir. Paket tesliminden itibaren düzenli aralıklarla bir hukuk danışmanıyla kısa değerlendirme yapılması tavsiye edilir.
• Süreklilik notu: Bu hizmet yasal garanti veya kesin uyum taahhüdü içermez. Firmanın nihai yasal yükümlülüğü ve mevzuat takibi için yetkili bir avukattan veya KVKK danışmanından destek alması önerilir. Hizmet, uyum altyapısını ve belge setini oluşturur; uyumun devamlılığını sağlamak firmanın ve danışmanlarının sorumluluğundadır.