KVKK Uyum Paketi (Müşteri & Cihaz Verisi)

Bu paket; onarım sürecinde müşterilerden telefon numarası, e-posta adresi ve kimlik bilgisi toplayan her ölçekteki teknik servis işletmesi için tasarlanmıştır. Tek kişilik küçük tamir atölyesinden çok şubeli zincir servis ağına kadar uygulanabilir. Kişisel veri işleme eylemi gerçekleştiren her işletme, büyüklüğünden bağımsız olarak KVKK kapsamındadır.

Özellikle şu profillere uygundur:

• Telefon ve tablet servis merkezleri: Müşteriye ait cihaz içindeki fotoğraf, mesaj, konum geçmişi ve kişisel uygulama verilerine teknik gereklilik kapsamında erişim söz konusu olabilir. Bu erişim yazılı dayanak olmaksızın gerçekleştirildiğinde kişisel veri ihlali riski doğar.
• Bilgisayar onarım atölyeleri: Hard disk kurtarma, işletim sistemi kurulumu veya format süreçlerinde müşteri belgelerine, parolalarına ve finansal verilerine temas riski taşıyan servisler. Bu alanda gizlilik yükümlülükleri özellikle ağır sonuçlar doğurabilir.
• Beyaz eşya ve küçük ev aleti servisleri: İsim, adres ve iletişim bilgilerini fiziksel ya da dijital ortamda tutan, randevu kaydı ve garanti belgesi oluşturan işletmeler. Görece az veri işleseler de saklama ve imha yükümlülükleri geçerlidir.
• Kurumsal müşteriye hizmet veren B2B servisler: Hem bireysel hem tüzel kişilere ait verileri aynı anda yöneten, şirket cihazlarını onaran ve kurumsal müşteri iletişim bilgilerini saklayan atölyeler. Bu profilde veri minimizasyonu ve aktarım yükümlülükleri ön plana çıkar.
• Franchise ve zincir servis ağları: Merkezi veri politikasını tüm şubelere tutarlı biçimde uygulamak isteyen, şube bazında aydınlatma ve rıza yönetimi yapılandırmaya ihtiyaç duyan zincir yapılar.

Paketi uygulamak için hukuk ya da bilişim uzmanlığı şart değildir. Tüm belgeler, servis çalışanlarının günlük iş akışına kolayca entegre edebileceği yalın ve uygulanabilir biçimde hazırlanır. Çalışan eğitim rehberi, teknik bilgisi olmayan personelin bile doğru adımları izleyebilmesini sağlar.

Paketi uygulamak isteyenler için iyi haber şudur: mevzuat uyumu sıfırdan başlamak zorunda değildir. Atölyenizde halihazırda kullanılan bazı belgeler veya alışkanlıklar, küçük güncellemelerle uyumlu hale getirilebilir. Keşif aşaması bu mevcut yapıyı değerlendirir ve gerçekten eksik olan parçaları tespit eder; var olanı yıkıp sıfırdan başlamak yerine en verimli güzergahı izler. Nihai hukuki sorumluluk veri sorumlusu sıfatıyla işletmede kalır; bu paket avukat veya DPO hizmetinin yerine geçmez.

Teknik servis işletmeleri, farkında olmadan binlerce kişisel veri işleme eylemi gerçekleştirir. Onarıma gelen bir akıllı telefon; müşteriye ait fotoğraf, mesaj, konum geçmişi, sağlık uygulaması ve banka uygulamalarını barındırır. Bu verilere erişim, teknik zorunluluk olsa bile KVKK kapsamında kişisel veri işleme sayılır ve yazılı dayanak gerektirir. Özel nitelikli kişisel veri (sağlık, biyometrik, mali) içeren cihazlar ise daha yüksek dikkat ve güvence gerektirir.

Yaygın Uyumsuzluk Noktaları

Bu sorunlar çoğunlukla kasıtlı değil; bilgi ve süreç eksikliğinden kaynaklanır. Pek çok teknik servis işletmecisi, müşterisine ait bir cihazı onarmak için cihaza erişmenin kişisel veri işleme sayıldığından habersizdir. Oysa KVKK, veri işlemenin amacını, kapsamını ve süresini önceden müşteriye bildirme yükümlülüğü getirir. Bu bildirimin yazılı ve kayıt altında tutulması zorunludur.

Veri envanteri eksikliği de ciddi bir sorundur. Hangi verilerin nerede tutulduğunu bilmeyen bir işletme; imha takvimi oluşturamaz, ihlal durumunda etkilenen kişileri tespit edemez ve Kurum'a 72 saat içinde bildirim yapamaz. Paketin amacı bu boşlukların tamamını sistematik biçimde kapatmanızı kolaylaştırmaktır.

KVKK uyumsuzluklarının çoğu, işletmenin kötü niyetinden değil; hangi eylemlerin kişisel veri işleme sayıldığından habersiz olmasından kaynaklanır. Örneğin müşteri telefon numarasını servis fişine yazmak veri toplama eylemidir; bu verinin tedarikçiyle paylaşılması ise aktarımdır. Her ikisi de aydınlatma ve gerektiğinde rıza gerektiren eylemlerdir. Teknik servis atölyeleri özellikle iki nedenle yüksek risk taşır. Birincisi: cihaz içi verilere erişim sıklığı yüksektir ve bu erişim çoğunlukla müşterinin farkındalığı olmadan gerçekleşir. İkincisi: müşteri veritabanı yıllar içinde büyür ve içerdiği kişisel veri miktarı binlerce kişiyi kapsayabilir; ama saklama ve imha prosedürü çoğunlukla hiç oluşturulmamıştır. Bu iki faktörün bir araya gelmesi, idari inceleme veya müşteri şikayeti durumunda işletmeyi savunmasız bırakır.

Önemli not: Bu paket uyum süreçlerinizi sistematikleştirmenize yardımcı olur; hukuki değerlendirme yapılması gerekiyorsa bir avukata danışılmasını öneririz.

Paket dört aşamada hayata geçirilir. Her aşama, bir öncekinin çıktısını temel alır ve işletmenizin günlük iş akışını bozmadan ilerler. Süreç boyunca her karar sizinle birlikte alınır; dayatma değil, rehberlik esasıyla çalışılır.

Aşama 1 — Keşif & Veri Haritalama (1–2 Hafta)

İşletmenizde hangi kişisel verinin toplandığı, nasıl saklandığı ve kimlerle paylaşıldığı tespit edilir. Servis fişleri, müşteri kayıt defterleri, WhatsApp iş grupları, e-posta yazışmaları ve kullanılan yazılım sistemleri incelenir. Veri akışında yer alan tüm kanallar ve taraflar (çalışanlar, parça tedarikçileri, muhasebeci, kargo firması) haritalanır. Çıktı: Veri Akış Haritası ve Veri Envanteri Tablosu. Bu iki belge, sonraki tüm aşamaların temelini oluşturur.

Aşama 2 — Doküman Hazırlığı (2–3 Hafta)

İşletmenize özgü dört temel belge oluşturulur: müşteri aydınlatma metni, açık rıza formu, cihaz teslim tutanağı ve veri saklama ile imha politikası. Her belge, müşteriye sunum sırasında okunabilir ve sade dilde yazılır. Belgeler hem fiziksel (baskı, raf belgesi) hem dijital (web sitesi, servis yazılımı formu) kullanıma uygun biçimde teslim edilir.

Aşama 3 — Süreç Entegrasyonu (2–3 Hafta)

Hazırlanan belgeler ve prosedürler günlük servis iş akışına nasıl ekleneceği rehberlik materyalleriyle aktarılır. Müşteri karşılama, cihaz teslim alma, onarım aşaması ve iade süreçlerinin her birinde personelin uygulaması gereken adımlar örneklerle açıklanır. Çalışan eğitim seansı gerçekleştirilir; sık sorulan müşteri sorularına nasıl yanıt verileceği pratikte gösterilir.

Aşama 4 — İmha Prosedürü & Takvim (1–2 Hafta)

Süreç sonunda elinizde şu belgeler bulunur: veri envanteri ve akış haritası, 4 adet özelleştirilmiş belge şablonu, çalışan eğitim rehberi, imha takvimi ve periyodik iç denetim kontrol listesi. Mevzuat değişikliklerinde güncelleme desteği için bakım anlaşması seçeneği mevcuttur.

Dört aşamalı süreç, işletmenizin büyüklüğüne ve veri işleme karmaşıklığına göre özelleştirilir. Tek lokasyonlu küçük atölye için hafifletilmiş kapsam; çok şubeli zincir yapı için genişletilmiş denetim ve entegrasyon planı uygulanır. Her iki durumda da amaç aynıdır: uygulanabilir, sürdürülebilir ve günlük iş akışını bozmayan bir uyum altyapısı oluşturmak.

Paket, KVKK'nın (6698 sayılı Kanun) veri sorumlusu yükümlülüklerine ilişkin maddeleri esas alınarak hazırlanır. Kişisel Verileri Koruma Kurumu'nun yayımladığı rehber ilkeler, sektörel karar örnekleri ve güncel mevzuat değişiklikleri izlenerek belgelerin uygunluğu korunur.

Güvenlik & Süreklilik Katmanları

• Erişim kısıtlaması: Müşteri verilerine yalnızca yetkili personelin erişebileceği prosedür önerileri sunulur; en az yetki ilkesi temel alınır. Çalışan bazlı erişim ayrımı için uygulama rehberi hazırlanır.
• Cihaz güvenliği: Onarıma alınan cihazlardaki verilere teknik erişimin tarih ve içerikle kayıt altına alınması için şablon belgeler ve log prosedürü hazırlanır. Bu kayıtlar ihtilaf durumunda birincil savunma belgesi işlevi görür.
• Veri ihlali müdahale planı: Olası bir veri sızıntısı durumunda KVKK Madde 12 kapsamındaki 72 saatlik bildirim yükümlülüğü çerçevesinde izlenecek adımlar, kimin ne yapacağını gösteren pratik müdahale rehberiyle aktarılır. Panik yerine prosedür esas alınır.
• Gizlilik sözleşmesi (NDA) şablonu: Onarım sürecinde cihaza erişen teknik personel için gizlilik taahhüt belgesi şablonu hazırlanır. Bu şablon, çalışan devir süreçlerinde de kullanılabilir.
• Süreklilik: Belgeler modüler yapıda tasarlanır; mevzuat değişikliklerinde yalnızca ilgili bölümler güncellenir. Yıllık gözden geçirme kontrol listesi ve bakım anlaşması seçeneği mevcuttur.

Belge ve prosedür seti teslim edildikten sonra işletmeniz bağımsız biçimde uyum sürecini sürdürebilecek kapasiteye kavuşur. Yeni çalışan işe girişinde, yeni şube açılışında veya mevzuat güncellendiğinde hangi adımların tekrarlanması gerektiği protokol belgesiyle netleştirilir.

KVKK uyumu yalnızca yaptırımdan kaçınma mekanizması değildir; aynı zamanda işletme itibarına yapılan bir yatırımdır. Veri gizliliğine önem veren müşteriler giderek artmaktadır ve cihazlarını teslim ettikleri servisten gizlilik güvencesi beklemektedirler. Öte yandan gizlilik ihlali iddiasının yaşanmadığı dönemlerde yapılan bu hazırlık çalışması, olası bir Kişisel Verileri Koruma Kurumu incelemesinde teknik ve idari tedbir aldığınızın somut kanıtı olur. Pek çok durumda, işletmenin uyum çabası gösteren belgeler idari sonuçları hafifletici etken olarak değerlendirilebilir. Bu paket uyum süreçlerini kolaylaştıran bir araç ve belge setidir; avukatlık, DPO hizmeti veya resmi başvuruların yerine geçmez.