Bir muhasebe ofisi, kendi çalışanlarından çok müşterilerinin çalışanlarına ait veri işler: bordrolar, SGK bildirgeleri, kimlik bilgileri, sağlık raporları. Bu ölçekte veri işleyen bir büronun 'bizim müşterimiz KOBİ, bize KVKK dokunmaz' deme lüksü yoktur.
Büro kendi personeli ve müşteri kayıtları için veri sorumlusu; müşterileri adına yürüttüğü bordro ve beyanname işlemlerinde çoğu durumda veri işleyendir. İki sıfatın yükümlülükleri farklıdır ve sözleşmelerde netleştirilmemesi her iki tarafı da riske sokar.
Bordro ve kimlik verilerinin şifresiz e-posta ekiyle veya WhatsApp üzerinden gönderilmesi, m.12 kapsamındaki teknik tedbir yükümlülüğünün ihlalidir — ve bir sızıntı halinde 72 saatlik ihlal bildirimi sürecini tetikler.
Engellilik indirimi, sağlık raporları ve sendika kesintileri gibi kayıtlar özel nitelikli veri içerir; bu verilerin işlenmesi ve saklanması m.6'nın dar şartlarına tabidir.
VUK ve TTK'nın uzun saklama süreleri ile KVKK'nın amaçla sınırlılık ilkesi birlikte yönetilmelidir: yasal saklama süresi işlemenin dayanağıdır, ama süresi dolan verinin imhası da aynı derecede zorunludur.
Her müşteri sözleşmesine veri sorumlusu/veri işleyen rollerini, işleme talimatlarını ve güvenlik taahhütlerini içeren hükümlerin eklenmesi.
Büronun kendi personeli, müşteri temsilcileri ve iş başvuruları için ayrı aydınlatma metinleri.
Bordro ve kimlik verileri için şifreli paylaşım kanalları, erişim yetkilendirmesi ve işlem kayıtları.
Çalışan sayısı 50 ve üzeri veya yıllık mali bilançosu 100 milyon TL ve üzeri olan bürolar VERBİS'e kayıt olmak zorundadır; müşterilerin kendi VERBİS yükümlülükleri ayrıca değerlendirilmelidir.
Sızıntı halinde etkilenen müşterilerin (veri sorumlularının) derhal bilgilendirilmesini ve Kurul'a 72 saat içinde bildirimi sağlayan süreç.
VUK/TTK saklama süreleriyle uyumlu, süre sonunda periyodik imhayı işleten yazılı politika.
Bu liste bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.
Bu sayfadaki yükümlülükleri her müşteriniz için tek panelden takip edin: uyum puanı, belge seti ve süre hatırlatmaları müşteri başına.
Bordro ve beyanname gibi müşteri adına, müşterinin talimatıyla yürütülen işlemlerde büro çoğu durumda veri işleyen konumundadır; veri sorumlusu müşterinizdir. Ancak büronuzun kendi müşteri kayıtları ve personeli için veri sorumlusu sizsiniz. Roller sözleşmede açıkça yazılmalıdır.
Şifresiz ek olarak göndermek m.12 kapsamındaki güvenlik tedbirlerine aykırılık riski taşır. Şifreli dosya, güvenli paylaşım platformu veya erişim kontrollü portal kullanılması; şifrenin ayrı kanaldan iletilmesi beklenen asgari pratiktir.
Müşterinizin veri sorumlusu olarak yükümlülükleri size geçmez; ancak veri işleyen sıfatıyla, güvenlik tedbirlerinin alınması hususunda müşterinizle (veri sorumlusuyla) birlikte müştereken sorumlusunuz (m.12/2). Ayrıca müşterilerinize KVKK sürecini hatırlatmak, danışmanlık ilişkisinde hem koruma hem değer yaratır.
Web sitenizi ücretsiz tarayın; aydınlatma metni, çerez ve form eksiklerinizi dakikalar içinde raporlayalım.
Ücretsiz Tarama Başlat →