KVKK uyumlu yazılım, kişisel veriyi 6698 sayılı Kanun'un ilkelerine göre işleyen; güvenlik tedbirlerini, saklama ve imha sürelerini, ilgili kişi başvurularını ve yurt dışına aktarımı tasarım aşamasında gereksinim olarak ele alan yazılımdır. Kanun, uyumu ürüne değil veri sorumlusunun yürüttüğü işleme faaliyetine bağlar. Yazılım tek başına uyum sağlamaz, ama yanlış kurulmuş bir yazılım uyumu fiilen imkânsız hâle getirebilir.
Öne çıkanlar
- Kanun'un 12. maddesi, veri sorumlusunu uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlü kılar. Veriyi onun adına işleyen yazılım tedarikçisi bu tedbirlerden onunla birlikte müştereken sorumludur (6698 sayılı Kanun, md. 12 (yeni sekmede açılır)).
- Kurum'un Kişisel Veri Güvenliği Rehberi, özet tablolarında 17 teknik ve 10 idari tedbir sayar (KVKK, Nisan 2025 baskısı (yeni sekmede açılır)).
- Saklama ve imha politikası hazırlamakla yükümlü olanlarda periyodik imha aralığı altı ayı geçemez (Yönetmelik, md. 11; RG 28 Ekim 2017 (yeni sekmede açılır)).
- İlgili kişi başvuruları en geç 30 gün içinde sonuçlandırılır. Kurum 1 Ekim 2026'da, cevabın yazılı ya da elektronik ortamda ve ispatlanabilir biçimde verilmesi gerektiğini hatırlattı (KVKK, 1 Ekim 2026 (yeni sekmede açılır)).
- Yurt dışındaki bir bulutta depolama ve yurt dışından uzaktan erişim, yalnızca ekranda görüntüleme olsa bile, belirli koşullarda aktarım sayılır (KVKK Yurt Dışına Aktarım Rehberi, Ocak 2025 (yeni sekmede açılır)).
Not
Bu rehber, Kanun'un ve Kurum'un yayınlarının yazılım ekibi için teknik bir okumasıdır, hukuki görüş değildir. Hukuki sebep, aydınlatma metni ve sözleşme dili için hukuk danışmanınızın değerlendirmesini alın.
"Uyumlu yazılım" hangi soruların cevabıdır?
Uyumlu yazılım, dört soruya her an cevap verebilen yazılımdır: hangi kişisel veri tutuluyor, hangi amaçla, ne kadar süre ve kiminle paylaşılıyor? Bu cevaplar kodda, veri modelinde ve kayıtlarda görünür olmalıdır.
Kanun yükümlülükleri veri sorumlusuna yükler. Veri sorumlusu, verinin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Yazılımı geliştiren ya da işleten firma çoğu zaman veri işleyendir; yani veriyi müşterisinin talimatıyla ve onun adına işler.
Bu ayrım yazılım projesinde iki sonuç doğurur. Birincisi, tedarikçi güvenlik tedbirlerinden müşterisiyle birlikte sorumludur. İkincisi, "bizim ürünümüz KVKK uyumlu" demek tek başına bir şey ifade etmez. Uyum, ürünün hangi veriyle, hangi amaçla ve hangi ayarlarla kullanıldığına bağlıdır.
Pratikte iyi bir yazılım üç şeyi kolaylaştırır:
- Doğru işlemeyi varsayılan yapar: gereksiz alan toplamaz, süresi dolan kaydı kendisi temizler.
- Yanlış işlemeyi zorlaştırır: yetkisiz erişimi engeller, toplu dışa aktarmayı sınırlar.
- Hesap verebilirliği sağlar: kim, neyi, ne zaman yaptı sorusunu kayıtla yanıtlar.
Kurum'un üretken yapay zekâ rehberinde de geçen tasarımdan itibaren mahremiyet (privacy by design) ve varsayılan olarak mahremiyet (privacy by default) yaklaşımları tam olarak budur.
Kanun'un beş ilkesi yazılımda neye karşılık gelir?
Kanun'un 4. maddesi beş ilke sayar ve bunlara uymayı zorunlu tutar. Her ilke, yazılımda test edilebilir bir tasarım kararına çevrilebilir. Aşağıdaki kabul kriterleri bizim önerdiğimiz örneklerdir; Kanun'un metni değildir.
| İlke (md. 4/2) | Yazılımdaki karşılığı | Kabul kriteri örneği |
|---|---|---|
| Hukuka ve dürüstlük kurallarına uygunluk | Kişinin beklemediği bir işleme yok; aydınlatma, verinin toplandığı yerde | Veri toplanan her formda aydınlatma metnine erişim var. |
| Doğru ve gerektiğinde güncel olma | Kişinin bilgisini düzeltebileceği bir akış; girişte doğrulama | Kullanıcı bilgisini güncelleyebiliyor ya da düzeltme talebi açabiliyor. |
| Belirli, açık ve meşru amaç | Her veri alanının amacı envanterde tanımlı | Envanterde amacı yazılmamış bir alan veri modelinde bulunmuyor. |
| Amaçla bağlantılı, sınırlı ve ölçülü olma | Veri en aza indirilmiş formlar | "İleride lazım olur" diye eklenen alan yok; zorunlu olmayan alanlar isteğe bağlı. |
| Gerekli süre kadar muhafaza | Her veri kategorisi için saklama süresi | Süresi dolan kayıt, periyodik işle siliniyor ya da anonimleşiyor. |
Kurul'un 17 teknik tedbiri: gereksinim ve kabul kriteri
Kurum'un Kişisel Veri Güvenliği Rehberi, teknik tedbirleri bir özet tabloda sayar. Rehbere göre tedbirler seçilirken verinin niteliği ve saklandığı ortam dikkate alınır; yani her sistemde her tedbir aynı ağırlıkta değildir. Aşağıda her tedbiri bir yazılım gereksinimine ve bir kabul kriterine çevirdik.
| Teknik tedbir | Yazılımdaki karşılığı | Kabul kriteri örneği |
|---|---|---|
| Yetki matrisi | Rol ve izinlerin tek bir yerde tanımlanması | Her ekran ve API uç noktası için hangi rolün erişebildiği tek tabloda yazılı. |
| Yetki kontrol | Her istekte sunucu tarafında yetki denetimi | Başka bir kullanıcının kaydına kimlik numarası değiştirilerek erişim denemesi reddediliyor. |
| Erişim logları | Kişisel veriyi görüntüleme ve dışa aktarma kaydı | "Bu müşterinin kaydını kim, ne zaman açtı?" sorusu panelden yanıtlanabiliyor. |
| Kullanıcı hesap yönetimi | Hesap açma, kapama, deneme sınırı | Ayrılan çalışanın hesabı aynı gün kapanıyor; art arda hatalı girişte hesap kilitleniyor. |
| Ağ güvenliği | Veri tabanının internete kapalı olması, ağ bölümleme | Veri tabanı dış ağdan erişilemiyor; yalnızca uygulama sunucusu bağlanıyor. |
| Uygulama güvenliği | Girdi doğrulama, veri bütünlüğü kontrolleri | Geçersiz girdi kayda ulaşmadan reddediliyor; bilinen zafiyet sınıfları test raporunda. |
| Şifreleme | Aktarımda ve depolamada şifreleme | Tüm trafik HTTPS üzerinden; yedekler ve hassas alanlar şifreli. |
| Sızma testi | Yayın öncesi ve düzenli güvenlik testi | Kritik bulgular kapanmadan canlıya çıkılmıyor. |
| Saldırı tespit ve önleme | Anormal davranışın fark edilmesi | Olağandışı giriş denemeleri uyarı üretiyor ve kayda geçiyor. |
| Log kayıtları | Sistem günlüklerinin ayrı ve korumalı tutulması | Günlükler uygulamadan ayrı yerde; içlerinde parola ya da kimlik numarası gibi alanlar yok. |
| Veri maskeleme | Ekran ve raporlarda kısmi gösterim | Destek ekranında kimlik ve telefon numarası kısmen görünüyor; test ortamında gerçek kişi verisi yok. |
| Veri kaybı önleme yazılımları | Toplu dışa aktarmanın sınırlanması | Toplu dışa aktarma ayrı yetkiye bağlı ve her seferinde kaydediliyor. |
| Yedekleme | Ayrı ortamda, erişimi sınırlı yedek | Yedekler canlı ağın dışında; geri yükleme düzenli deneniyor. |
| Güvenlik duvarları | Yalnızca gerekli bağlantılara izin | Açık portların listesi belgelenmiş; listede olmayan port kapalı. |
| Güncel anti-virüs sistemleri | Sunucu ve yüklenen dosyalar için tarama | Kullanıcının yüklediği dosya taranmadan işlenmiyor. |
| Silme, yok etme veya anonim hâle getirme | Zamanlanmış imha işi | Saklama süresi dolan kayıt periyodik işle siliniyor; işlemin kaydı tutuluyor. |
| Anahtar yönetimi | Anahtarların koddan ayrı ve sınırlı erişimle saklanması | Şifreleme anahtarları kaynak kodda ve depoda yok; erişim kayıt altında. |
Rehber bazı tedbirleri ayrıca açar. Erişim yetkisi, çalışanın görevi için gerektiği ölçüde verilmeli; yönetici yetkisi yalnızca gerektiğinde açılmalıdır. İlişiği kesilen çalışanın hesabı zaman kaybetmeden kapatılmalıdır. Yedekler yalnızca sistem yöneticisinin erişebileceği biçimde ve ağ dışında tutulmalıdır. Bulutta tutulan kişisel veri şifrelenmeli, mümkün olan yerlerde her bulut hizmeti için ayrı şifreleme anahtarı kullanılmalı ve hizmet ilişkisi bitince anahtarların tüm kopyaları yok edilmelidir.
İdari tedbirler de yazılımı etkiler. Rehberin idari tedbir tablosunda kişisel veri işleme envanteri, kurumsal politikalar, veri işleyen sözleşmeleri, risk analizleri ve eğitim gibi maddeler yer alır. Bunların çoğu, yazılımın hangi veriyi tutacağını belirleyen girdilerdir.
Sağlık ve biyometrik veri işleyen sistemlerde çıta yükselir
Kanun'un 6. maddesi sağlık, biyometrik ve genetik veriler gibi verileri özel nitelikli sayar ve işlenmelerini kural olarak yasaklar. 2024 değişikliğiyle işleme şartları aynı fıkrada toplandı. Maddenin son fıkrası, bu veriler işlenirken Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşar.
Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı bu önlemleri sayar (KVKK, Karar 2018/10 (yeni sekmede açılır)). Elektronik ortam için yazılıma doğrudan dönüşen maddeler şunlardır:
- Verinin kriptografik yöntemlerle saklanması; anahtarların güvenli ve farklı ortamlarda tutulması.
- Veri üzerindeki tüm hareketlerin işlem kayıtlarının güvenli biçimde tutulması.
- Güvenlik güncellemelerinin izlenmesi ve güvenlik testlerinin düzenli yapılıp sonuçlarının kaydedilmesi.
- Veriye bir yazılımla erişiliyorsa kullanıcı yetkilerinin tanımlanması ve yazılımın güvenlik testlerinin düzenli yapılması.
- Uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama.
- Aktarımda şifreli kurumsal e-posta ya da KEP; farklı fiziksel ortamlardaki sunucular arasında VPN veya sFTP.
Kararda ayrıca kullanıcıların erişim kapsamının ve süresinin tanımlanması, yetkilerin düzenli gözden geçirilmesi ve görevi değişen ya da ayrılan çalışanın yetkisinin derhâl kaldırılması yer alır. Bir randevu, klinik ya da insan kaynakları yazılımı yapıyorsanız bu maddeler kabul kriterlerinin içinde olmalıdır.
Teklif ve sözleşmeye yazılacak KVKK maddeleri
Yazılım satın alırken ya da yaptırırken KVKK gereksinimleri teklif aşamasında yazılmazsa, sonradan "ek iş" olarak geri gelir. Teklif isterken tedarikçiden şu soruları yazılı olarak yanıtlamasını isteyin:
- Veri hangi ülkede, hangi sağlayıcıda saklanacak; yedekler nerede duracak?
- Tedarikçinin ve alt yüklenicilerinin hangi ekipleri, hangi ülkeden, hangi yetkiyle veriye erişecek?
- Rol ve yetki yapısı nasıl kurulacak; erişim ve dışa aktarma kayıtları tutulacak mı?
- Saklama süreleri ve periyodik imha nasıl tanımlanacak?
- İlgili kişi başvurusunda bir kişinin verisi nasıl bulunacak, düzeltilecek ve silinecek?
- Yayından önce hangi güvenlik testleri yapılacak; bulgular nasıl kapatılacak?
- Bir güvenlik olayında tedarikçi sizi ne kadar sürede ve hangi bilgiyle haberdar edecek?
- Proje bittiğinde ya da ilişki sona erdiğinde veri ve şifreleme anahtarları nasıl iade edilecek ya da yok edilecek?
Proje adım adım: tasarımdan yayına
KVKK gereksinimlerini projenin başında belirlemek, yayından sonra eklemeye çalışmaktan çok daha kolaydır. Aşağıdaki sıra, bir yazılım ya da yapay zekâ projesinde bu gereksinimleri ele almanın bir yolunu gösterir.
- Kişisel veri envanteri. Sistem hangi kişilere ait hangi veriyi, hangi amaçla, nereden alıp nerede saklayacak? Envanter ve veri akış haritasının nasıl hazırlanacağını kişisel veri envanteri yazısında, örnek bir şablonla anlatıyoruz.
- Rollerin yazılı hâle gelmesi. Kim veri sorumlusu, kim veri işleyen? Alt yükleniciler ve bulut sağlayıcıları kimin adına çalışıyor? Bu ayrımın sözleşmeye nasıl yansıyacağını veri işleyen sözleşmesi yazısında ele alıyoruz.
- Hukuki sebep ve aydınlatma. Her işleme faaliyeti için Kanun'un 5. ya da 6. maddesindeki şartlardan biri belirlenir. Aydınlatma metni, verinin toplandığı ekranda erişilebilir olur.
- Mimari ve barındırma kararı. Veri hangi ülkede saklanacak, destek ekibi nereden erişecek? Bu teknik bir karar gibi görünür ama hukuki sonuç doğurur; aşağıda ayrıca anlatıyoruz.
- Güvenlik gereksinimleri. Yukarıdaki 17 tedbir, sistemin riskine göre seçilip kullanıcı hikâyesine ve kabul kriterine dönüşür.
- Saklama ve imha. Her veri kategorisinin saklama süresi ve imha yöntemi veri modeline işlenir.
- İlgili kişi başvuruları. Başvuruyu kaydeden, süresini izleyen ve cevabı belgeleyen bir akış kurulur.
- Test ve kabul. Yetki testleri, zafiyet taraması ve sızma testi yapılır. Rehber, zafiyet taramalarının ve sızma testlerinin düzenli yapılmasını öngörür.
- Yayın sonrası izleme. Güvenlik uyarıları ve erişim kayıtları düzenli kontrol edilir; çalışanların güvenlik sorunlarını bildirebileceği resmî bir prosedür olur.
Saklama ve imha: zamanlanmış bir iş olarak
Kanun'un 7. maddesine göre işleme sebebi ortadan kalkan veri silinir, yok edilir ya da anonim hâle getirilir. Yazılım açısından bu, "silme" düğmesinden fazlasıdır: süreye bağlı, kendiliğinden çalışan bir iştir.
Yönetmelik burada üç kural koyar. VERBİS'e kayıt yükümlüsü olan veri sorumluları, envantere uygun bir saklama ve imha politikası hazırlar. Politikada belirlenen periyodik imha aralığı altı ayı geçemez. Politika hazırlama yükümlülüğü olmayanların da silme ve anonimleştirme yükümlülüğü devam eder.
Bunun yazılımdaki karşılığı şöyledir:
- Her veri kategorisi için saklama süresi ve süreyi başlatan olay tanımlıdır; örneğin sözleşmenin bitişi.
- Zamanlanmış bir iş, süresi dolan kayıtları imha aralığı içinde bulur ve siler ya da anonimleştirir.
- Her imha işleminin kaydı tutulur: hangi kategori, kaç kayıt, hangi yöntem, ne zaman.
- "Anonim" denen veri gerçekten anonim olmalıdır. Kurum'un üretken yapay zekâ rehberi, anonimliğin teknik yöntemler ve nesnel ölçütlerle ortaya konmasını bekler.
İlgili kişi başvurusu modülü
Kanun'un 11. maddesi ilgili kişiye verisine erişme, düzeltme, silme isteme ve otomatik karara itiraz gibi haklar tanır. Kanun'un 13. maddesine göre başvurular en geç 30 gün içinde sonuçlandırılır.
Kurum'un 1 Ekim 2026 tarihli duyurusu, bu sürecin nasıl belgeleneceğini netleştirir. Nihai cevap yazılı ya da elektronik ortamda verilir. Telefonla ya da yüz yüze yapılan bilgilendirme mevzuata göre cevap sayılmaz. Talebin kabul mü ret mi edildiği, ret gerekçesi, yapılan işlemler ve cevabın kişiye ulaştığı tarih açık, denetlenebilir ve ispatlanabilir olmalıdır.
Bir başvuru modülünün asgari alanları bu nedenle bellidir:
- Başvuru tarihi ve 30 günlük sürenin bitiş tarihi
- Talebin türü ve başvuranın kimlik doğrulaması
- Karar (kabul ya da ret) ve açık, anlaşılır gerekçe
- Talep üzerine yapılan işlemler; örneğin düzeltilen ya da silinen kayıtlar
- Cevabın gönderildiği kanal ve kişiye ulaştığı tarih
Modülün çalışabilmesi için yazılımın bir kişinin verisini tüm tablolarda bulabilmesi gerekir. Envanter bu yüzden ilk adımdır.
Bulut, yurt dışı ve uzaktan destek
Sunucunun nerede olduğu ve kimin nereden eriştiği, Kanun'un 9. maddesini doğrudan ilgilendirir. Kurum'un Ocak 2025 tarihli rehberi, bir aktarımı üç koşulla tanımlar: veriyi aktaran Kanun'a tabidir, veriyi karşı tarafa iletir ya da erişilebilir kılar ve karşı taraf başka bir ülkededir.
Rehbere göre bu koşullar sağlandığında şu durumlar da aktarımdır:
- Yurt dışındaki bir hizmet sağlayıcının bulutunda depolama.
- Başka bir ülkeden uzaktan erişim; destek, sorun giderme ya da yönetim amacıyla veriyi yalnızca ekranda görüntülemek dâhil.
Yani yurt dışındaki bir destek ekibine panele erişim vermek, mimari kararı kadar hukuki bir karardır. Aktarım için önce Kurul'un yeterlilik kararı aranır. Karar yoksa Kanun'daki uygun güvencelerden biri gerekir; bunlardan biri Kurul'un ilan ettiği standart sözleşmedir. Bu yol seçilirse sözleşmenin Kurum'a beş iş günü içinde bildirilmesi gerekir (Kanun md. 9/5; Yönetmelik md. 14/5 (yeni sekmede açılır)).
Aktarım yollarını, sözleşme tiplerini ve bulut ya da dil modeli sağlayıcısı seçerken kullanılabilecek kontrol listesini KVKK'da yurt dışına aktarım yazısında anlatıyoruz.
Yapay zekâ bileşeni olan projelerde ek kontroller
Yapay zekâ, Kanun'un uygulanmasını değiştirmez ama yeni riskler ekler. Kurum'un Kasım 2025 tarihli üretken yapay zekâ rehberi bunları sayar. Yazılım ekibini doğrudan ilgilendirenler şunlardır:
- Ayrı amaçlar: Aracı çalıştırmak, modeli geliştirmek ve çıktıyı işlemek ayrı faaliyetlerdir. Her biri için hukuki sebep ayrı belirlenir.
- Yapay zekâya özgü saldırılar: İstem enjeksiyonu (prompt injection), jailbreak girişimleri, modeli ters çevirme ve üyelik çıkarımı saldırılarına karşı kontroller.
- Kırmızı takım testi: Bilinmeyen zayıflıkları erken bulmak için.
- Şeffaflık: Kullanıcı bir sohbet botuyla konuşuyorsa bunu açıkça bilmelidir.
- Kayıt: İşleme kayıtları ve sistem günlükleri güvenli ve denetlenebilir saklanır.
- İnsan denetimi: Kişi hakkında sonuç doğuran çıktılar insan gözetiminden geçer.
Rehberin işletmeye ne söylediğini üretken yapay zekâ ve KVKK rehberi yazısında soru soru özetledik. Çalışanların herkese açık yapay zekâ araçlarını hangi sınırlarla kullanacağını belirlemek için de yapay zekâ kullanım politikası şablonumuzdan yararlanabilirsiniz.
Veri ihlali ve güvenlik olayına hazırlık
Kanun'un 12. maddesi, verinin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde durumun ilgilisine ve Kurul'a "en kısa sürede" bildirilmesini ister. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi en geç 72 saat olarak yorumladı. Etkilenen kişilere ise belirlendikten sonra makul olan en kısa sürede bildirim yapılır (KVKK (yeni sekmede açılır)).
72 saat, sistem kayıtları yoksa çok kısadır. Bu yüzden ihlal hazırlığı da bir yazılım gereksinimidir: hangi kayıtların etkilendiğini bulabilen erişim kayıtları, olay anında delillerin korunması ve kimin kimi arayacağını gösteren bir plan. Bildirim süreci ve olay müdahale planı için veri ihlali bildirimi yazısına bakabilirsiniz.
Siber güvenlik tarafında 19 Mart 2025'te Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu da bilişim sistemleriyle hizmet sunanlara ayrı görev ve sorumluluklar tanımlıyor. Küçük bir şirket için temel önlemleri KOBİ siber güvenlik kontrol listesi yazısında sıraladık.
Web sitesi katmanı: çerez, ölçüm ve güvenlik
Kişisel verinin toplandığı ilk yerlerden biri web sitesidir. Burada üç konu ayrı ele alınmalıdır.
- Çerez paneli: Zorunlu olmayan çerezler için onay akışı, reddetme seçeneği ve onay kaydı nasıl kurulur? Teknik kurulumu çerez paneli yazısında anlatıyoruz.
- Ziyaret ölçümü: Kişisel veri tutmadan ziyaret saymak mümkün mü? Seçenekleri çerezsiz analitik yazısında karşılaştırıyoruz.
- Site güvenliği: Güvenlik başlıkları, güncellemeler ve yedek. Kurumsal site ve e-ticaret için temel kontrolleri web sitesi güvenliği yazısında topladık.
AB'ye satış yapıyorsanız
Ürününüz ya da hizmetiniz Avrupa Birliği'ndeki kullanıcılara ulaşıyorsa, Türk mevzuatına ek olarak AB kuralları da gündeme gelebilir. Yapay zekâ içeren ürünler için bunun ne anlama geldiğini AB Yapay Zekâ Yasası yazısında ele alıyoruz.
Kodda ve altyapıda görülen KVKK hataları
- Kişisel veriyi günlüğe yazmak: Hata ayıklamak için istek gövdelerinin tamamını günlüğe yazmak, günlükleri ikinci bir veri tabanına çevirir.
- Test ortamında gerçek veri: Canlı veri tabanının kopyasıyla test etmek, verinin daha az korunan bir ortama taşınması demektir.
- Sonsuz saklama: "Silme" işleminin kaydı yalnızca pasife alması ve hiçbir saklama süresi kuralının çalışmaması.
- Aynı yerde yedek: Yedeği canlı sunucuyla aynı ağda tutmak. Rehber, yedeklerin ağ dışında tutulmasını ister.
- Unutulan uzaktan erişim: Yurt dışındaki bir destek ekibine erişim verip bunun aktarım sayılabileceğini düşünmemek.
- Her şeye açık rıza kutusu: Başka bir şart varken ayrıca açık rıza istemek. Kurum'un yapay zekâ rehberi bunu ilgili kişiyi yanıltan bir uygulama olarak değerlendirir.
- Açık kalan hesaplar: Ayrılan çalışanın ya da proje bitince tedarikçinin hesabının açık kalması.
Bizim deneyimimiz
Güvenliği ve veri korumayı ayrı bir paket olarak değil, her projede bir çalışma ilkesi olarak ele alıyoruz. Teknoloji ve yapay zekâ danışmanlığında bir çözümü değerlendirirken toplam maliyet ve tedarikçi bağımlılığı kadar veri güvenliği ve KVKK uyumunu da ölçüt olarak kullanıyoruz.
Yapay zekâ ajanı projelerinde ajanın hangi sisteme hangi yetkiyle erişeceğini baştan tasarlıyor, konuşmaları ve kullanılan kaynakları kayıt altına alıyoruz. Veri akışlarının KVKK açısından gözden geçirilmesi bu projelerin teslim listesinde yer alıyor. Modeli seçerken verinin hangi ülkede ve kimin sunucusunda işleneceğini de seçim ölçütlerine katıyoruz.
Kendi ürünümüz Kolay Sevkiyat'ın temel yeteneklerinden biri işlem ve hareket kayıtlarıdır. Bu, yukarıdaki tablodaki kayıt tedbirlerinin bir ürünün içinde nasıl yer alabileceğine bir örnektir.
Sık sorulan sorular
"KVKK uyumlu" diye satılan bir yazılımı almak yeterli mi?
Hayır. Kanun uyumu ürüne değil, veri sorumlusunun yürüttüğü işleme faaliyetine bağlar. İyi tasarlanmış bir ürün işinizi kolaylaştırır, ama hangi veriyi hangi amaçla işlediğiniz, kimlere aktardığınız ve ne kadar sakladığınız sizin kararınızdır. Ürünün bu kararları uygulamanıza izin verip vermediğine bakın: rol ve yetki ayarı, saklama süresi, dışa aktarma ve silme.
Yazılım firması veri işleyen mi, veri sorumlusu mu?
Bu, verinin amaç ve vasıtalarını kimin belirlediğine bağlıdır. Yazılım firması müşterisinin talimatıyla ve onun adına veri işliyorsa çoğu zaman veri işleyendir. Bu durumda güvenlik tedbirlerinden müşterisiyle birlikte sorumludur. Rol dağılımını sözleşmede açıkça yazmak gerekir.
Sunucularımız yurt dışında; ne yapmalıyız?
Yurt dışındaki bir bulutta depolama, Kanun'un 9. maddesindeki aktarım kurallarını devreye sokar. Yeterlilik kararı yoksa standart sözleşme gibi bir uygun güvence gerekir; bu sözleşmenin imza tarihinden sonraki beş iş günü içinde Kurum'a bildirimi de unutulmamalıdır. Yurt dışından uzaktan destek erişimi de aynı değerlendirmeye girer.
Kişisel verileri ne kadar süre saklayabiliriz?
Mevzuatta bir süre öngörülmüşse o süre kadar; yoksa işlendikleri amaç için gerekli olan süre kadar. Saklama ve imha politikası hazırlamakla yükümlüyseniz, süresi dolan veri en geç altı aylık periyodik imha döngüsünde silinmeli, yok edilmeli ya da anonimleştirilmelidir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, Resmî Gazete 7 Nisan 2016; 7499 sayılı Kanun'la değişik güncel metin. mevzuat.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)", KVKK Yayınları No 72, Nisan 2025 baskısı. PDF (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurulu, 31 Ocak 2018 tarihli ve 2018/10 sayılı karar (özel nitelikli kişisel veriler için yeterli önlemler). kvkk.gov.tr (yeni sekmede açılır)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, Resmî Gazete 28 Ekim 2017, sayı 30224. mevzuat.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "İlgili Kişilerin Başvurularına Verilecek Cevabın Bildirim Usulüne İlişkin Kamuoyu Duyurusu", 1 Ekim 2026. kvkk.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Veri İhlali Bildirimi" (Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararına ilişkin duyuru), 15 Şubat 2019. kvkk.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Kişisel Verilerin Yurt Dışına Aktarılması Rehberi", KVKK Yayınları No 48, Ocak 2025. PDF (yeni sekmede açılır)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmî Gazete 10 Temmuz 2024, sayı 32598. resmigazete.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)", Yayın No 113, Kasım 2025. PDF (yeni sekmede açılır)
- 7545 sayılı Siber Güvenlik Kanunu, Resmî Gazete 19 Mart 2025, sayı 32846. resmigazete.gov.tr (yeni sekmede açılır)
