KVKK nedir, ERP'yi nasıl ilgilendirir?

KVKK, 7 Nisan 2016 tarihli Resmî Gazete’de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır; aynı kısaltma Kanun’u uygulayan Kişisel Verileri Koruma Kurumu için de kullanılır. Kanun’un amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumak ve veriyi işleyenlerin uyacağı usul ve esasları belirlemektir. Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

ERP’de hangi veriler kişisel veridir?

Bir ERP’de kişisel veri sanıldığından fazladır: personel kartları, gerçek kişi cariler, firma yetkililerinin ad, telefon ve e-posta bilgileri, aday müşteriler, kullanıcı hesapları ve oturum kayıtları. Kanun’un 6. maddesi sağlık, ceza mahkûmiyeti, biyometrik ve genetik veriler gibi bazı kategorileri özel nitelikli kişisel veri sayar ve işlenmelerini daha sıkı şartlara bağlar. Personel dosyasındaki sağlık raporu ve ceza mahkûmiyeti bilgisi içeren adli sicil kaydı bu kategorilere girer.

Veri sorumlusunun temel yükümlülükleri

ERP’ye veri giren işletme, verinin işlenme amaçlarını ve vasıtalarını belirlediği için veri sorumlusudur. Kanun’daki başlıca yükümlülükler şunlardır:

• Aydınlatma (m.10): veri elde edilirken kişiye veri sorumlusunun kimliği, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi, hukuki sebep ve hakları bildirilir.
• Veri güvenliği (m.12): hukuka aykırı işlemeyi ve erişimi önlemek, verinin muhafazasını sağlamak için uygun teknik ve idari tedbirler alınır.
• Silme, yok etme, anonim hâle getirme (m.7): işlenme sebebi ortadan kalkan veri resen ya da kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir.
• Başvurular (m.13): ilgili kişinin talebi en geç 30 gün içinde sonuçlandırılır.
• Sicil (m.16): Kurulun getirdiği istisnalar dışında, veri işlemeye başlamadan önce Veri Sorumluları Siciline kayıt olunur.
• Yurt dışı aktarım (m.9): 1 Haziran 2024’te yürürlüğe giren değişiklikle yeterlilik kararı, uygun güvenceler ve arızi hâller sırasıyla uygulanır.

IWB’de KVKK

IWB bu yükümlülüklerin yazılımla ilgili kısmı için işlevler içerir. Uyumu ise veri sorumlusu kendi süreçleri ve kayıtlarıyla sağlar.

• Gerçek kişi carisi, cari yetkilisi ve kullanıcı hesabı anonimleştirilebilir. Cari anonimleştirildiğinde kişisel alanlar silinir ve kart salt okunur kalır; servis emri ve RMA alanları da maskelenir.
• İnsan Kaynakları’nda saklama süresi dolan ayrılmış personelin kimlik bilgilerini gerekçe yazarak temizlersiniz; işlem kendiliğinden çalışmaz. T.C. kimlik numarası ve IBAN personel kartında kapalı gelir, ayrı izinle açılır.
• Personel kartındaki hassas bilgileri kimin okuduğu Güvenlik Günlüğü’ne yazılır.
• Hassas alanlar role göre gizlenir ya da maskelenir.
• CRM adayında veri kaynağı, aydınlatma tarihi ve aydınlatma metni sürümü saklanır.
• Puantajda biyometrik veri toplanmaz.

IWB AI, yanıt üretmek için soruyu ve ilgili kayıtları yapay zekâ sağlayıcısına gönderir. Sağlayıcının adı Sık sorulan sorular sayfasında yazılıdır. Hizmet yurt dışındaysa bu bir yurt dışı aktarımıdır ve aydınlatma metninde yer almalıdır. Kendi sunucunuza kurulumda veritabanı ve dosyalar sizin sunucunuzda kalır.