KVKK Uyum Paketi (Personel, Müşteri, Konum Verisi)

Bu paket, Kişisel Verilerin Korunması Kanunu (KVKK / 6698 sayılı Kanun) kapsamındaki yükümlülükleri yerine getirirken günlük operasyonlarını sekteye uğratmak istemeyen temizlik, dezenfeksiyon, haşere ilaçlama ve endüstriyel hijyen firmalarına yöneliktir. Temizlik sektörü, pek çok meslek grubunun aksine, aynı anda üç farklı kişisel veri kategorisini — personel verisi, müşteri verisi ve çalışan konum verisi — birlikte işler. Bu çok katmanlı yapı, sektörü KVKK açısından özel bir dikkat gerektiren bir konuma taşımaktadır.

Özellikle Bu Profiller Fayda Sağlar

• 10 ve üzeri personeli olan temizlik işletmeleri: Personel özlük dosyaları, periyodik sağlık muayene kayıtları, banka hesap bilgileri, kimlik fotokopileri gibi hassas ve özel nitelikli kişisel verilerin belgelenmiş, usule uygun biçimde saklanması kanuni zorunluluktur. Bu dosyalama kâğıt ortamında ve kontrolsüz erişimle yürütülüyorsa idari yaptırım riski taşır.
• Konut ve ofis temizliği yapan firmalar: Müşteri ev adresi, kat ve daire numarası, kapı şifresi veya giriş kartı bilgisi, hizmet sözleşmesi ve ödeme bilgileri kişisel veri kapsamına girer. Bu verilerin nasıl toplandığı, nerede saklandığı, kimlerle paylaşıldığı ve ne kadar süre elde tutulduğu kayıt altında olmak zorundadır.
• GPS veya rota takip sistemi kullanan firmalar: Araç takip cihazı veya çalışan akıllı telefonu üzerinden konum verisi toplandığında çalışana aydınlatma yapılması ve duruma göre açık rıza alınması zorunluluğu doğar. Bu sürecin belgelenmemesi iş mahkemelerinde de sorun yaratabilir.
• Kamu ihalesi veya kurumsal sözleşme sahipleri: Hastane, belediye, bakanlık veya büyük özel şirketlere hizmet veren firmalar artık tedarikçilerinden KVKK uyum belgesi talep etmektedir. Bu paket sözleşme ekine konulabilecek sistematik uyum dokümantasyonu üretir ve ihale süreçlerinde güçlü bir referans sunar.
• VERBİS kaydı henüz yapılmamış veya eksik olan firmalar: Kanun kapsamında kayıt yükümlülüğü bulunan işletmeler veri işleme envanterlerini VERBİS'e bildirmek ve güncellemek zorundadır. Eksik veya hiç yapılmamış kayıt, Kişisel Verileri Koruma Kurulu tarafından idari para cezasına konu edilebilir.
• Franchise ağları ve çok lokasyonlu yapılar: Merkez ofis, her lokasyonun veri akışını tek panelden izleyebilir; bir noktada gerçekleşen KVKK ihlali tüm ağı etkileyebileceğinden tutarsız uygulamaların önüne geçmek kritik önem taşır. Paket her lokasyon için ayrı ayrı uyum akışı tanımlar.

Sisteme Hazır Olmayabilirsiniz?

Henüz herhangi bir dijital kayıt sistemi kullanmayan, tüm müşteri ve personel bilgilerini yalnızca kâğıt ortamında tutan firmalar için öncelikle temel dijitalleşme adımlarını atmanız önerilir. KVKK uyum paketi mevcut veri akışlarını düzenler; sıfırdan veri toplama altyapısı kurmaz. Eğer başlangıç noktasından yardıma ihtiyaç duyuyorsanız bu adımı birlikte değerlendirebiliriz.

Mevzuat Dürüstlüğü: Bu yazılım teknik altyapıyı ve süreç yönetimini kolaylaştırır. Hukuki yorumlar, bireysel başvuru yönetimi ve Kurul nezdindeki temsil konularında bir veri koruma uzmanı ya da avukattan danışmanlık almanız gerekir. Yazılım hukuki garanti sunmaz.

Temizlik sektörü, KVKK açısından üç farklı kişisel veri kategorisini aynı anda işleyen nadir sektörlerden biridir: personele ait özel nitelikli veriler (sağlık, biyometrik), müşterilere ait adres ve erişim bilgileri, çalışanların gerçek zamanlı konum verileri. Tek bir temizlik firmasında bu üç kategori bir arada bulunabilir ve her biri farklı uyum yükümlülüğü doğurur. Birini atlamak, denetimde yeterlilik savunmasını çökertir.

Sektöre Özgü Başlıca Sorunlar

• Özel nitelikli sağlık verisi işleme: Çalışanların periyodik sağlık muayene sonuçları ve portör muayene belgeleri, KVKK Madde 6 kapsamında "özel nitelikli kişisel veri" sayılır. Bu verilerin işlenebilmesi açık rıza veya kanunun öngördüğü bir istisna gerektirir; çoğu firmada bu akış belgelenmeden ve rıza alınmadan yürütülmektedir. Denetimde bu boşluk ağır yaptırıma yol açar.
• Müşteri adres ve erişim bilgilerinin kontrolsüz yönetimi: Ev veya ofis adresi, kat-daire bilgisi, kapı şifresi, akıllı kilit kodu ya da güvenlik kartı bilgisi; hem kişisel veri hem de ciddi fiziksel güvenlik riski taşır. Bu bilgilerin hangi sistemde tutulduğu, erişimin kimlere açık olduğu, kaç kopyasının bulunduğu ve ne kadar süre saklandığı belgelenmek zorundadır.
• Konum ve GPS verisi için aydınlatma eksikliği: Araç takip sistemi veya mobil uygulama üzerinden toplanan çalışan konum verisi kişisel veridir. İş başlamadan önce ya da takip sistemine geçişte çalışana yazılı aydınlatma yapılmalı ve duruma göre açık rıza belgesi alınmalıdır. Sözel bilgilendirme yeterli kabul edilmez; yazılı kayıt zorunludur.
• VERBİS boşluğu ve güncelleme eksikliği: Kanun kapsamındaki firmalar veri işleme envanterlerini VERBİS sistemine kaydetmek ve faaliyet değişikliklerinde güncellemek zorundadır. Pek çok firmada kayıt ya hiç yapılmamış, ya eksik bırakılmış ya da ilk kurulumdan bu yana güncellenmemiştir. Bayat kayıtlar da idari yaptırım gerekçesi oluşturabilir.
• Veri ihlali bildirim sürecinin belirsizliği: Bir veri ihlali gerçekleştiğinde veri sorumlusu bunu öğrendiği andan itibaren 72 saat içinde Kurul'a bildirmek zorundadır. Bu sürecin kimin yürüteceği, hangi bilgilerin nasıl hazırlanacağı ve ilgili kişilerin nasıl bilgilendirileceği önceden tanımlanmamışsa kriz anında uyum mümkün olmaz.

Uyum Durumu Karşılaştırması

Tablodaki çözümler teknik ve idari uyum araçlarıdır. Hukuki geçerliliğin bir veri koruma danışmanı tarafından onaylanması firmanın sorumluluğundadır.

Kişisel Verileri Koruma Kurulu'nun sektörel incelemelerinde temizlik ve hizmet firmalarının sıkça karşılaştığı eksiklikler arasında müşteriye yönelik aydınlatma yükümlülüğünün yerine getirilmemesi ve veri işleme envanterinin bulunmaması ya da güncellenmemesi öne çıkmaktadır. Bu paket tam olarak bu iki kritik açığı kapatmaya odaklanır.

Proje beş aşamada yürütülür. Her aşama tamamlandığında yazılı onay alınır ve bir sonraki adıma geçilir. Bu yapı hem tarafların sorumluluklarını netleştirir hem de denetimde sunulabilecek bir proje izleme kaydı oluşturur.

Aşama 1 — Veri Akışı Haritalama (1. Hafta)

Firmanızda hangi kişisel verilerin toplandığı, hangi amaçla kullanıldığı, kiminle (alt yükleniciler dahil) paylaşıldığı, nerede saklandığı ve ne kadar süre elde tutulduğu tek tek belgelenir. Bu aşama yüz yüze veya çevrimiçi müzakere toplantısıyla gerçekleştirilir. Çıktı: veri işleme envanteri taslağı — VERBİS kaydına doğrudan aktarılabilecek formatta.

Aşama 2 — Hukuki Belge Üretimi (2. Hafta)

• Personel için aydınlatma metni: özlük verisi, sağlık muayenesi, banka bilgisi, konum.
• Müşteri için aydınlatma metni ve açık rıza formu: adres, erişim bilgisi, fotoğraf veya video kayıt varsa.
• Çalışan için GPS ve konum aydınlatma metni ile rıza belgesi.
• Veri ihlali bildirim süreci şablonu: Kurul'a 72 saat içinde bildirim adım adım akışı ve ilgili kişi bildirim metni.
• Saklama ve imha politikası belgesi: her veri kategorisi için azami saklama süresi ve imha yöntemi.

Mevzuat Notu: Üretilen belgeler KVKK gerekliliklerine uygun bir iskelet sunar. Hukuki geçerliliğin ve duruma özgü uyarlamanın bir veri koruma danışmanı tarafından onaylanması firmaya aittir.

Aşama 3 — Yazılım Kurulumu ve Yapılandırma (3.-4. Hafta)

• Açık rıza kayıt modülü: personel ve müşteri rızaları dijital ortamda alınır, tarih-saat damgası ve IP bilgisiyle saklanır; istendiğinde PDF olarak dışa aktarılır.
• Veri envanteri paneli: hangi veri kategorisi, hangi hukuki dayanak, hangi amaçla, ne kadar süre, nerede saklanıyor; görsel veri akışı diyagramı ile birlikte.
• VERBİS izleme ve güncelleme takvimi: kayıt güncelleme tarihlerini hatırlatan bildirimler ve değişiklik geçmişi logu.
• Erişim kontrolü ve yetkilendirme: İK personeli, operasyon yöneticisi ve genel müdür için farklı veri erişim seviyeleri; her erişim olayı kayıt altında.
• Saklama süresi takibi: süre dolan veriler için otomatik uyarı; imha onay akışı.

Aşama 4 — Ekip Eğitimi (5. Hafta)

Rol bazlı üç farklı eğitim modülü düzenlenir:

• İK ekibi: Yeni personel alımında KVKK akışı — aydınlatma, rıza, dijital dosyalama. Sağlık verisi için ek dikkat noktaları.
• Müşteri hizmetleri ve saha koordinasyon: Müşteri kaydı oluştururken aydınlatma yükümlülüğünü yerine getirme, rıza formunu dijital olarak alma.
• Yönetim: Veri ihlali durumunda izlenecek adımlar, Kurul bildirimi ve kriz iletişimi yönetimi.

Aşama 5 — Canlıya Alma ve Denetim Hazırlığı (6.-7. Hafta)

Sistem gerçek verilerle test edilir. Tüm belgeler firma yöneticisinin imzasıyla onaylanır. Kurul denetiminde ibraz edilmek üzere hazır bir uyum dosyası paketi teslim edilir: veri envanteri, aydınlatma metinleri, rıza örnekleri, erişim logları ve teknik önlem belgesi.

Modül Özeti

KVKK uyum paketi, bizzat kişisel veri güvenliği ilkeleri üzerine inşa edilmiştir. Bir uyum aracının kendisinin de güvenli olması zorunludur; aksi hâlde çözüm yeni bir risk kaynağına dönüşür. Bu bölüm sistemin teknik güvenlik önlemlerini ve hukuki çerçevesini özetler.

Teknik Güvenlik Önlemleri

• Şifreli veri saklama: Kişisel veriler AES-256 şifrelemeyle saklanır. Veri tabanı sunucusu fiziksel erişime karşı korunan ortamda barındırılır; yedekler de şifreli tutulur.
• Erişim logu: Kim, ne zaman, hangi kayda eriştiyse veya değiştirdiyse; tarih, saat ve kullanıcı kimliğiyle kayıt altına alınır. KVKK Madde 12 kapsamında teknik önlemlerin belgeli tutulması zorunludur.
• Rol tabanlı yetkilendirme: İK personeli yalnızca personel verilerine; müşteri temsilcisi yalnızca müşteri verilerine erişebilir. Yetki aşımı sistem tarafından engellenir ve loglanır.
• TLS 1.2 ve üzeri aktarım güvenliği: Tüm veri iletimi şifreli kanal üzerinden gerçekleşir; man-in-the-middle saldırılarına karşı korumalıdır.
• Günlük yedekleme: Veriler günlük olarak şifreli biçimde yedeklenir; 30 günlük rotasyon politikası uygulanır. Yedek bütünlüğü otomatik olarak doğrulanır.
• Oturum güvenliği: İki faktörlü kimlik doğrulama (2FA) desteği; oturum zaman aşımı ve şüpheli giriş uyarısı.

KVKK Yasal Çerçevesi

• 6698 sayılı KVKK kapsamında veri sorumlusu yükümlülükleri (Madde 10, 11, 12, 16) teknik araçlarla desteklenir.
• VERBİS Yönetmeliği uyarınca kayıt ve yıllık güncelleme takibi sistem tarafından hatırlatılır.
• Özel nitelikli kişisel veri (sağlık) işleme faaliyetleri için sıkılaştırılmış erişim ve şifreleme politikası uygulanır.

Süreklilik ve Destek

KVKK mevzuatı dinamik bir yapıdadır: Kurul kararları, yeni rehberler ve uygulama tebliğleri belge şablonlarının ve sistem parametrelerinin güncellenmesini gerektirebilir. Yıllık bakım paketi bu güncellemeleri kapsar. Ancak mevzuat değişikliklerini anlık olarak takip etmek ve hukuki yorumunu yapmak için ayrıca bir veri koruma danışmanıyla çalışmanız önerilir; yazılım otomatik hukuki güncelleme sağlamaz.

Sorumluluk sınırı: Bu yazılım KVKK uyumunu kolaylaştıran teknik bir araçtır. Hukuki uyum sorumluluğu, Kurul'a karşı hesap verebilirlik ve bireysel başvuru yönetimi veri sorumlusu sıfatıyla firmanıza aittir.