Dijital Kartvizit KVKK Uyumu: Kurumlar Neye Bakmalı?

Dijital kartvizit KVKK açısından risk taşımaz; ama kişisel veriyi nerede tuttuğunuza, kime açtığınıza ve ziyaretçiyi nasıl bilgilendirdiğinize bağlıdır. Platform seçerken önce veri konumuna, erişim yetkilerine ve hesap güvenliğine bakın. Bu yazı, tedarikçiyle konuşmadan önce sorulacak soruları sıralar.

Kartvizitteki hangi bilgiler kişisel veridir?

Ad, soyad, telefon, e-posta ve unvan tek başına ya da birleşince bir kişiyi belirler. Dolayısıyla çalışanınızın dijital kartı kişisel veri içerir. Kâğıt kartta bu fark edilmezdi; çünkü veri tek seferde elden çıkardı.

Dijital kartta ise bilgi tek bir adreste durur ve herkes görebilir. Üstelik kart yönetim paneli de çalışan verisini saklar. Yani iki ayrı yüzey var: ziyaretçinin gördüğü kart ve sizin yönettiğiniz kayıtlar.

İlk karar şudur: karta hangi alanların konacağını önceden belirleyin. Çalışanın kişisel cep telefonu ya da ev adresi gerekmiyorsa hiç eklemeyin. Az veri, az risk demektir.

Veri nerede duruyor? Sunucu konumunu sorun

Tedarikçiye sorulacak ilk soru verinin hangi ülkedeki sunucularda tutulduğudur. 6698 sayılı Kanun'un 9. maddesi, kişisel verilerin yurt dışına aktarılmasını düzenler. Bu madde 7499 sayılı Kanun ile değiştirildi ve değişiklik 1.6.2024'te yürürlüğe girdi.

Veriler yurt içinde tutuluyorsa aktarım kaynaklı başlıkların çoğu baştan sadeleşir. Piküp'ün DigiCardSystem çözümünde veriler Türkiye sunucularında tutulur ve KVKK uyumlu çalışacak biçimde kurgulanmıştır. Ayrıntıları DigiCardSystem dijital kartvizit platformu sayfasından inceleyebilirsiniz.

Hangi çözümü seçerseniz seçin, yanıtı sözlü bırakmayın. Konum bilgisini sözleşmeye ya da yazılı teklife işletin.

Aydınlatma metni sizin işiniz, talebe beklemeyin

Sık yapılan bir hata, aydınlatmayı biri sorunca vermektir. KVKK Veri Yönetimi Dairesi Başkanlığı'na göre aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir. Veri sorumlusu, veri işlerken bunu kendiliğinden yerine getirmelidir.

Kartınızda ziyaretçiden veri topluyorsanız (örneğin bir iletişim formu) form yanında kısa bir aydınlatma bağlantısı bulunmalı. Metin; hangi verinin, hangi amaçla işlendiğini ve başvuru yolunu açıkça anlatmalı.

Metnin hukuki içeriği için kurumunuzun KVKK sorumlusuna ya da hukuk danışmanına başvurun. Tedarikçi tasarımı yapabilir, ama veri sorumlusu sizsiniz.

Kim neyi görüp değiştirebilir? Yetkileri ayırın?

Yüzlerce çalışanı olan bir kurumda herkesin her kartı düzenleyebilmesi ciddi bir sorundur. Rol tabanlı erişim burada devreye girer: her kullanıcıya yalnızca işine yetecek yetki verilir.

Örneğin çalışan kendi kartındaki sınırlı alanları güncelleyebilir. Pazarlama şablonları yönetir. Yalnızca bir yönetici kullanıcı ekler ya da siler. Ayrıntılı bir kurgu için Kurumsal Dijital Kartvizit Yönetimi: Ekip, Rol, Şablon yazısına göz atın.

İşten ayrılan çalışanın kartını kapatma süreci de yetki planının parçasıdır. Bu adım atlanırsa eski çalışanın adı ve unvanı yayında kalır.

Giriş güvenliği ve iz bırakma: asgari beklentiler

Bağlantı güvenliği pazarlık konusu değildir; tüm sayfalar HTTPS üzerinden sunulmalıdır. Ardından hesap korumasına bakın. Parola denemelerini sınırlayan bir sistem, kaba kuvvet saldırılarına karşı ilk engeldir.

DigiCardSystem'de başarısız 5 girişte hesap otomatik kilitlenir. Oran sınırlama da aşırı istekleri yavaşlatır. Denetim kaydı ise kimin, neyi, ne zaman değiştirdiğini tutar. Bir veri sorusu geldiğinde yanıtı buradan bulursunuz.

Denetim kaydını sadece sorun çıkınca değil, düzenli aralıklarla da gözden geçirin. Olağan dışı bir toplu değişiklik erken fark edilebilir.

• HTTPS tüm sayfalarda zorunlu mu?
• Başarısız girişlerde hesap kilitleniyor mu?
• Oran sınırlama var mı?
• Denetim kaydı kimin neyi değiştirdiğini gösteriyor mu?
• Rol tabanlı erişim tanımlanabiliyor mu?

Çoklu dil ve yurt dışı ziyaretçi: veri açısından ne değişir?

Türkçe ve İngilizce kart kullanıyorsanız her dil alanını ayrı yönetebilirsiniz. Ziyaretçinin dil tercihine göre doğru içerik gösterilir. Yurt dışı müşteri İngilizce kartı, yerli müşteri Türkçe kartı görür.

KVKK açısından önemli nokta, aydınlatma metninin de her dilde bulunmasıdır. Kartı İngilizce okuyan kişi bilgilendirmeyi de anlayabildiği dilde almalıdır. Dil alanlarını ayrı yönetmek bunu kolaylaştırır.

Kart yurt dışından açılsa bile veriler Türkiye sunucularında durur. Yine de yurt dışındaki bir kişiden veri topluyorsanız hukuk danışmanınıza sorun.

Tedarikçiyi karşılaştırırken hangi ölçütleri tabloya yazın?

Tekliflere bakarken tasarım ve fiyat öne çıkar; güvenlik soruları sonraya kalır. Oysa aynı soruları her tedarikçiye yöneltip yanıtları yan yana koymak daha sağlıklıdır.

Kurumunuzda bilgi güvenliği yönetim sistemi kurma niyeti varsa ISO'nun KOBİ'ler için hazırladığı kılavuz iyi bir başlangıçtır. ISO/IEC 27001'e uygun bir sistemin kurulmasında yol gösterir. Dijital kartvizit tedarikçisi seçimi de bu çerçevenin küçük bir parçası olabilir.

Bu hafta yapacağınız üç iş

Önce mevcut kartlardaki alanları gözden geçirin ve gereksiz kişisel bilgileri kaldırın. Sonra aydınlatma metninizin kartta ve formlarda erişilebilir olduğundan emin olun. Üçüncü olarak kimin hangi yetkiye sahip olduğunu yazılı hale getirin.

E-posta imzası da aynı veriyi kullanır; tutarlılık için Dijital Kartvizitten Kurumsal E-posta İmzası Üretmek yazısına bakabilirsiniz. Platform değerlendirmesi için yukarıdaki tabloyu tedarikçilere gönderin.

Hukuki yorum gereken noktalarda KVKK sorumlunuza ya da hukuk danışmanınıza başvurun. Teknik kontrolü siz yapın, hukuki onayı uzmanına bırakın.