Veri koruma, teknoloji şirketlerinin ürün geliştirme, yayına alma ve ölçeklenme süreçlerinin merkezinde yer alır. Yazılım, SaaS, oyun, e-ticaret, fintech ve tüketici teknolojileri alanlarındaki startuplara ve uluslararası şirketlere; verinin toplanması, işlenmesi, açıklanması ve sınır ötesi aktarımını kapsayan tüm veri yaşam döngüsünde danışmanlık veriyoruz.
Belge hazırlamanın ötesine geçip uyumu günlük işleyişe yerleştiriyoruz: gerçek veri akışlarını yansıtan gizlilik politikaları ve aydınlatma metinleri, şirket içi yetki matrisleri, tedarikçi ve veri işleme sözleşmesi yönetimi ile olay müdahale desteği (işler ters gittiğinde adli inceleme koordinasyonu dahil).
Gizlilik ve siber güvenlik çalışmalarımız diğerlerinin yanı sıra şunları kapsar:
- KVKK ve GDPR uyum programları ve boşluk analizleri
- Şirket içi yetki matrisleri ve erişim yönetişimi
- Düzenleyici uyum incelemeleri ve denetimler
- BT ve internet hukuku konuları
- E-ticaret işlemleri ve platform koşulları
- Reklam, pazarlama ve sosyal medya uyumu
- Yeni nesil e-ödeme sistemleri
Bir çalışma genellikle nasıl ilerler
Veri koruma dosyalarının çoğu bir haritalama çalışmasıyla başlar: şirket hangi kişisel verileri tutuyor, veri nereden geliyor, hangi sistemler ve tedarikçiler bu veriye dokunuyor ve her işleme faaliyeti hangi hukuki sebebe dayanıyor. Bu harita sonraki her adımın omurgasıdır; VERBİS kaydından kişisel veri işleme envanterine, aydınlatma metinlerinden saklama ve imha politikasına kadar. Avrupa’daki kullanıcılara da hizmet veren şirketlerde KVKK ve GDPR analizini yan yana yürütür, iki rejimin izin verdiği her yerde tek bir belge setinin ikisini de karşılamasını sağlarız.
Program kurulduktan sonra asıl iş onu güncel tutmaktır: yeni tedarikçilerin ve veri işleme sözleşmelerinin incelenmesi, ilgili kişi başvurularının yanıtlanması, standart sözleşmelerle yurt dışına aktarımın hazırlanması ve bir ihlal yaşandığında Kurul ve ilgili kişiler nezdinde bildirim sürecinin yürütülmesi. KVKK ve GDPR Uyumu ile KVKK Denetimi sayfalarımız bu iki aşamayı ayrıntılı anlatır; KVKK Uyum Rehberi ise çerçeveyi bizi aramadan önce anlamak isteyen kurucular için yazıldı.
Bir Türk şirketinin fiilen taşıdığı güvenlik yükümlülükleri
- KVKK güvenlik yükümlülüğü. 6698 sayılı Kanun m. 12, kişisel verilerin güvenliği için gerekli teknik ve idari tedbirlerin alınmasını ister. Kurul’un yayımlanan kararları bunun uygulamada ne demek olduğunu gösterir: hiç sızma testi yaptırmamak, test bulgularını gidermemek, tahmin edilebilir parolalar ve saldırının yayılmasına izin veren ayrıştırılmamış ağlar para cezasına konu olmuştur (Fidye Yazılımı ve Yetkisiz Erişim).
- İhlal bildirimi. İhlal, öğrenilmesinden itibaren en geç 72 saat içinde Kurul’a bildirilmelidir (2019/10 sayılı Kurul Kararı); tüm bilgiler henüz yoksa ön bildirim yapılır, ilgili kişiler de en kısa sürede bilgilendirilir (Veri İhlali Müdahale Planı).
- Siber Güvenlik Kanunu. 19 Mart 2025’ten bu yana yürürlükte olan 7545 sayılı Siber Güvenlik Kanunu, sistemin merkezine Siber Güvenlik Başkanlığı’nı koyar. 5 Mayıs 2026’da on beş sektör kritik altyapı olarak belirlendi; 7590 sayılı Kanun (31 Temmuz 2026) Başkanlığa, işletmeci, erişim, yer ve içerik sağlayıcılar ile veri merkezlerinin iki saat içinde uygulaması gereken acil tedbirler alma yetkisi verdi (BTK’dan Siber Güvenlik Başkanlığı’na).
- Avrupa’ya satış. 11 Eylül 2026’dan bu yana AB pazarındaki yazılım ve bağlantılı ürün üreticileri, AB dışındakiler dahil, aktif olarak istismar edilen açıkları ve ciddi olayları Siber Dayanıklılık Tüzüğü uyarınca 24 saat içinde bildirmek zorundadır (AB Siber Dayanıklılık Tüzüğü).
Müvekkillerin sorduğu sorular
KVKK Kurulu hangi teknik tedbirleri bekliyor?
Kararlar tutarlıdır: düzenli sızma testi ve bulgularının giderilmesi, güçlü ve tekil kimlik bilgileri, erişim kontrolü ve kayıt tutma, ağ ayrıştırması ve verinin kontrollü sistemlerin dışına çıktığı yerlerde şifreleme. Bir kararda hiç sızma testi yaptırılmamış olması 1,5 milyon TL’lik cezada belirleyici etken oldu; başka kararlarda maliyetsiz olduğu hâlde alınmayan tedbirler yüksek cezalara yol açtı.
Yazılım sağlayıcımız ya da barındırma firmamız ihlale uğrarsa sorumlu kim?
Çoğu durumda veri sorumlusu. Kurul, veri sorumlusunun veri işleyeni yalnızca sözleşmeyle değil uygulamada da denetlemesini bekler: sözleşmedeki güvenlik taahhüdü tek başına yeterli değildir, denetim hakları fiilen kullanılmalıdır (Hizmet Sağlayıcı Kaynaklı İhlaller).
Veri ihlalini ne kadar sürede bildirmeliyiz?
Öğrenildiği andan itibaren 72 saat içinde KVKK Kurulu’na; her şey bilinmiyorsa ön bildirim yapılır, sonradan tamamlanır ve gecikmenin gerekçesi açıklanır. İlgili kişiler en kısa sürede bilgilendirilir. GDPR de uygulanıyorsa Avrupa’daki denetim makamının 72 saatlik süresi paralel işler (İhlal Bildirimi: Beş Karar).
Siber Güvenlik Kanunu şirketimize uygulanır mı?
Kanun, Türkiye’nin siber uzayında faaliyet gösteren herkes için çerçeveyi çizer; ancak ağır yükümlülükler sektöre göre değişir: kritik altyapı işletmecileri, elektronik haberleşme işletmecileri, erişim, yer ve içerik sağlayıcılar ile veri merkezleri, acil tedbirler için iki saatlik süre dahil en doğrudan yükümlülükleri taşır. Bir SaaS veya e-ticaret şirketi, barındırma ve hizmet sağlayıcılarının nerede durduğunu kontrol etmelidir; çünkü onların yükümlülükleri sözleşmelerine yansır.
Avrupa’daki müşterilere yazılım satıyoruz. Bizim için ne değişiyor?
AB’deki kişilere mal veya hizmet sunuyorsanız GDPR uygulanır; Siber Dayanıklılık Tüzüğü’nün 24 saatlik bildirim yükümlülüğü de AB pazarındaki yazılım ve bağlantılı ürünler için başladı. Avrupalı kurumsal müşterilerle yapılan sözleşmeler giderek kendi olay bildirim ve denetim hükümlerini ekliyor; aynı olayın üç farklı saatle yürümemesi için bunlar KVKK ihlal prosedürünüzle uyumlu hâle getirilmelidir.
Okuma listesi
- Kimlik Doğrulama, E-posta ve Fiziksel Erişim: Beş Kararda Güvenlik Standardı
- Model Yanılınca Sigorta Öder mi? E&O, Siber ve Ürün Sorumluluğu
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu; (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR); 7545 sayılı Siber Güvenlik Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
Diğer Pratik Alanları
Bu alanda birlikte çalışacağınız ekip
Profil için isme tıklayın.
