Şirketin yasalara, veri koruma kurallarına ve kendi etik ilkelerine uygun çalıştığını belgelenebilir biçimde güvence altına alan sistemin kurulmasıdır.
Uyum programı, ceza almamak için imzalanan bir dosya değildir; şirketin hangi riski nasıl yöneteceğini önceden yazıya dökmesidir. Denetim geldiğinde sorulan ilk soru 'bu konuda ne yaptınız' değil, 'bunu belgeleyebiliyor musunuz' olur.
KVKK tarafında yükümlülük üç aşamalıdır: kişisel verinin nerede ve neden tutulduğunun bilinmesi (envanter), ilgili kişinin bilgilendirilmesi (aydınlatma) ve verinin teknik-idari tedbirlerle korunması. Veri ihlali halinde Kurul'a bildirim için 72 saatlik bir pencere vardır.
SBP Legal, KVKK uyumunu ve şirket etik altyapısını tek bir program halinde kurar; ardından periyodik denetimle canlı tutar.
Bu alanda ne yapıyoruz?
KVKK uyum programı
Veri envanteri çıkarılması, işleme amaçlarının hukuki sebeplere bağlanması, saklama ve imha politikasının hazırlanması.
Metin ve kayıt seti
Aydınlatma metinleri, açık rıza formları, çerez politikası, VERBİS kaydı ve veri işleyen sözleşmeleri.
Veri ihlali müdahalesi
İhlal tespiti sonrası 72 saatlik bildirim süreci, ilgili kişilere bilgilendirme ve Kurul yazışmalarının yönetimi.
Yurt dışına veri aktarımı
Standart sözleşme, bağlayıcı şirket kuralları ve taahhütname yollarının değerlendirilmesi; bulut hizmetlerinde uyum.
Etik kod ve ihbar mekanizması
Davranış kuralları, çıkar çatışması politikası, hediye ve ağırlama sınırları, ihbar hattının kurulması.
Rüşvet ve yolsuzlukla mücadele
Üçüncü taraf due diligence süreci, tedarikçi uyum taahhütleri ve iç soruşturma yönetimi.
Bu sayfa size hitap ediyor mu?
Aşağıdaki durumlardan biri sizin için geçerliyse, konuşmanın tam zamanı:
- Kişisel Verileri Koruma Kurulu'ndan bir yazı veya şikâyet bildirimi aldınız.
- Şirketinizde veri sızıntısı yaşandığından şüpheleniyorsunuz.
- Yurt dışındaki grup şirketiyle çalışan verisi paylaşıyorsunuz.
- Kurumsal bir müşteri sizden uyum politikası ve etik kod talep etti.
Sık sorulan sorular
Küçük bir şirketim, KVKK beni de kapsıyor mu?
Evet. Yükümlülük şirket büyüklüğüne değil, kişisel veri işleyip işlemediğinize bağlıdır. Çalışanınız, müşteriniz veya web sitesi ziyaretçiniz varsa kişisel veri işliyorsunuz demektir. VERBİS kayıt zorunluluğunda ise çalışan sayısı ve mali bilanço gibi eşikler devreye girer; bu eşiğin altında kalmak diğer yükümlülükleri ortadan kaldırmaz.
Aydınlatma metni ile açık rıza aynı şey mi?
Hayır ve bu ayrım kritiktir. Aydınlatma, verinin neden işlendiğini anlatan tek taraflı bir bilgilendirmedir ve her durumda zorunludur. Açık rıza ise ancak başka bir hukuki sebep (sözleşme, kanuni yükümlülük, meşru menfaat) yoksa alınır. Her şeye rıza almaya çalışmak yaygın bir hatadır; rıza her an geri alınabildiği için şirketi daha kırılgan hale getirir.
Veri ihlalinde ne kadar sürede bildirim yapmalıyım?
Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmelidir. Etkilenen kişilere de makul en kısa sürede bilgi verilmesi gerekir. Bu nedenle ihlal müdahale planının olay yaşanmadan önce hazır olması önemlidir.
Bu sayfa 20.07.2026 tarihinde güncellenmiştir. İçerik genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez.