KVKK uyumlu bayi portalı: teknik ekibin sözleşme öncesi netleştirmesi gerekenler
Bayi portalı “sadece şirketler arası” bir sistem gibi görünür, ama içinde gerçek kişilerin verisi vardır: bayi çalışanının adı, e-postası, telefonu, IP adresi, oturum kayıtları, hangi siparişi ne zaman verdiği. Bunlar kişisel veridir ve KVKK kapsamındadır.
Roller sözleşmede tanımlanmalı
Genel kurgu şudur: portalı işleten üretici firma veri sorumlusu, yazılımı geliştiren ve barındıran firma veri işleyendir. Bu ayrım sözleşmede açıkça yazmalı; veri işleyenin hangi talimatlarla, hangi sınırlar içinde işlem yapacağı tanımlanmalıdır. Dış hizmet sağlayıcı kullanmak veri sorumlusunun sorumluluğunu ortadan kaldırmaz.
Aydınlatma ve açık rıza
Bayi kullanıcısı sisteme ilk girişinde hangi verilerinin, hangi amaçla, ne kadar süreyle işlendiğini görmelidir. Sözleşmenin ifası için gerekli veriler açık rıza gerektirmez; ancak pazarlama amaçlı kullanım ayrı rıza ister ve bu rızanın geri alınabilir olması gerekir.
Saklama süreleri
“Her şeyi sonsuza kadar sakla” bir strateji değildir. Her veri türü için saklama süresi ve süre sonunda ne olacağı (silme mi, anonimleştirme mi) tanımlanmalıdır. Ticari kayıtların yasal saklama süresi ile oturum günlüklerinin saklama süresi aynı olmak zorunda değildir.
Teknik tedbirler — asgari liste
- Rol bazlı yetkilendirme; bayi kullanıcısı yalnızca kendi bayisinin verisini görür
- Aktarımda ve saklamada şifreleme
- Silinemez denetim izi: kim, ne zaman, hangi kaydı, hangi değerden hangi değere
- Yönetici erişimlerinde çok faktörlü doğrulama
- Yedekleme ve geri dönüş testi — yedeğin çalıştığı denenmeden yedek sayılmaz
- Veri ihlali durumunda bildirim prosedürü ve sorumluları
Ödeme tarafı
Kart bilgilerini kendi uygulamanızda saklamayın. Ödeme işlemini uyumlu bir ödeme kuruluşunun yönlendirme sayfasına veya güvenli iframe’ine bırakmak, hem güvenlik yükünü hem uyum yükünü ciddi biçimde azaltır. Sisteminizde yalnızca işlem referansı tutulur.
Çıkış planı
Sözleşme biterse ne olacak? Verinin hangi formatta, hangi sürede teslim edileceği ve sağlayıcının kopyalarını ne zaman sileceği baştan yazılmalıdır. Bu maddeyi konuşmak ilişkiyi bozmaz; aksine karşı tarafa profesyonellik sinyali verir.