SSS · Veri güvenliği
Veri güvenliği, KVKK ve alıcı manifesti işleme
Bir kurumsal merch programının kişisel olarak tanımlanabilir bilgileri nasıl ele aldığına uygulayıcının bakışı: alıcı manifestleri, KVKK (Türkiye'nin kişisel veri koruma kanunu) uyum duruşu, GDPR Madde 28 uyumu, alt işleyen yönetimi, saklama süreleri, ihlal bildirim yükümlülükleri ve satın alma incelemesi sırasında denetim ekiplerinin aradığı tedarikçi seçim kriterleri.
Veri güvenliği neden artık rutin bir tedarikçi değerlendirme kapısıdır
Üç yıl önce, veri güvenliği üzerine tedarikçi anketleri bir satın alma RFP'sinin altında 5 soruluk bir sonradan akla gelen şeydi. Bugün, aynı RFP veri ikamet alanı, şifreleme, alt işleyenler, ihlal bildirimi, denetim hakları, saklama, hukuki dayanak ve veri sahibi haklarını kapsayan özel bir Ek C ile gelir. Neden iki katlı: KVKK (Kişisel Verilerin Korunması Kanunu, 6698 sayılı Türk Kişisel Verilerin Korunması Kanunu, 2016'dan beri yürürlükte, GDPR ile uyumlu sonraki değişikliklerle), kurumsal alıcıların uyum duruşunu bilemiştir; ve B2B hizmetleri için kişisel veri ihlalinin ortalama maliyeti yedi haneli rakamları aşmıştır, bu da tedarikçiyi görmezden gelemedikleri finansal bir maruziyet haline getirir.
Pratik sonuçlar merch.org.tr'deki her tedarikçi ilişkisinde görülebilir. Standart kurumsal merch siparişi, operatörün alıcı manifestini ele almasını gerektirir — adlar, e-postalar, departmanlar, beden bilgileri, bazen teslimat adresleri. Bu manifest hem KVKK hem de GDPR (AB/AEA alıcılar varsayılarak) altında kişisel veridir, bunu takip eden tüm yükümlülüklerle: hukuki dayanak, işleme sınırı, saklama disiplini, alt işleyen açıklaması ve 72 saat içinde ihlal bildirimi (KVKK Madde 12 / GDPR Madde 33). Bunu doğru yapmayan programlar, gidermek için 6-18 ay sürecek cezalar, sözleşme geri alımları ve denetim bulgularıyla karşı karşıya kalır.
Alıcı verisi nerede yaşar: KVKK, GDPR ve çift ikamet modeli
Klasik soru "veri nerede depolanıyor?"dur. Türkiye alıcıları için Türk menşeli merch programlarında cevap basittir: KVKK Madde 9'un veri ülke sınırları içinde işlenmesi ilkesi uyarınca veri merkezleri Türkiye içinde. AB ofisleri, KİK veya Orta Asya bölgesel ofisleri olan İstanbul merkezli çok uluslular için tipik durum olan sınır ötesi programlar için, veri ikamet modeli tedarikçi yerine alıcının yargı alanını izler. Bu, çoklu ikamet kurulumu üretir: Türkiye alıcıları Türkiye-ikamet altyapısında (Türk Telekom, Turkcell veya mevcut olduğunda AWS / Azure Türkiye bölgeleri), AB alıcıları AB-ikamet altyapısında (Frankfurt, Amsterdam, Dublin, Stockholm), İngiltere alıcıları İngiltere-ikamet altyapısında (Londra) Brexit sonrası.
Şifreleme ikinci katmandır. Durağan şifreleme, uygulama katmanına gömülü olmak yerine adanmış bir KMS (Key Management Service) tarafından işlenen minimum AES-256'dır. Aktarım sırasında şifreleme, sıkı şifre sıralaması ve HSTS zorunlu kılınmış TLS 1.3'tür. Uçtan uca şifreleme (E2EE), alıcı manifesti için yüksek hassasiyetli programlar için ayrılmıştır — savunma, kamu sektörü, sağlıkla ilgili — manifest içeriği ekstra ifşa riski taşır. Tipik kurumsal merch manifesti için, durağan + aktarım sırasında doğru cevaptır; E2EE maliyet-fayda testini nadiren geçen operasyonel karmaşıklık ekler.
Erişim kontrolü üçüncü katmandır. Alıcı manifestleri asla e-posta ile veya şifrelenmemiş e-tablo ile paylaşılmamalıdır; standart model, her operatörün yalnızca göreviyle ilgili alıcıları gördüğü tedarikçi portalında rol tabanlı erişim kontrolüdür (RBAC). Denetim kaydı zorunludur — her erişim, her değişiklik, her dışa aktarma, kurcalamaya dayanıklı bir imzayla kaydedilir ve (denetim gereksinimi) veya (12 ay) uzun olanı için saklanır. Bu katmanı başarısız olan programlar genellikle alıcı listeli paylaşılan e-tabloların çok paydaşlı bir dağıtım ekibinde e-posta ile gönderilmesiyle başarısız olur; düzeltme manifestin ilk günden itibaren tedarikçinin portalında merkezileştirilmesidir.
KVKK uyum mekaniği: VERBİS kaydı, maskeleme ve veri sahibi hakları
Türkiye'nin KVKK'sı, kayıtlı veri sorumlularının (VERBİS) kaydını tutan ve uygulamayı denetleyen Kişisel Verileri Koruma Kurumu'nu (KVKK Kurumu) kurar. Hassas kişisel veri veya büyük ölçekli kişisel veri işleyen veri sorumluları VERBİS'e kaydolmalıdır; yılda 1.000+ alıcı kaydını işleyen kurumsal merch operatörleri genellikle eşiği karşılar. Kayıt, veri kategorileri, işleme amaçları, saklama süreleri ve sınır ötesi transfer önlemleri ile VERBİS portalı üzerinden yapılır. Eşik üzerindeki veri sorumluları için yıllık açıklama yükümlülüğü 31 Mart / 30 Haziran döngüsüdür — son tarihi kaçıran operatörler 1 milyon TL'ye kadar (~mevcut oranlarda 28.000 EUR) idari para cezasıyla karşılaşır.
Maskeleme, alıcı manifestinin operasyonel olmayan kullanımları için standart yaklaşımdır. Üretim penceresi kapandıktan sonra (genellikle kişiselleştirme için 30-60 gün, QA için 90 gün), manifest maskelenir: adlar → baş harfler, e-postalar → anonimleştirilmiş hash'ler, adresler → yalnızca bölge düzeyinde. Bu, kişisel veriyi maruz bırakmadan üretim sonrası istatistiksel raporlamaya ("teslim edildi ve iade edildi", "departman bazlı alıcı sayıları") izin verir. Maskeleme modeli, veri dışa aktarma yoluyla kazara maske açmayı önlemek için uygulama katmanı yerine depolama katmanında uygulanmalıdır.
KVKK Madde 11 altındaki veri sahibi hakları, GDPR Maddeleri 15-22 ile yakından uyumludur: bilgi hakkı, erişim hakkı, düzeltme hakkı, silme hakkı (hukuki dayanak artık geçerli olmadığında), itiraz hakkı, veri taşınabilirliği hakkı. Kurumsal merch programları için, bu hakların tipik kullanımı şöyle görünür: bir çalışan işvereninden manifest kaydını silmesini ister (şirketten ayrıldı, artık merch iletişimi istemiyor); işveren merch tedarikçisine yükseltir; tedarikçi 30 gün içinde (KVKK'nın yasal penceresi) silmeyi onaylar ve bir silme sertifikası sağlar. Bunun için belgelenmiş bir iş akışı olmayan operatörler genellikle 60-90 gün sürer ve son tarihi kaçırır. İş akışını yanıta değil sözleşmeye dahil edin.
Alt işleyen yönetimi: veriyi başka kim görüyor
Her veri sorumlusunun alt işleyenleri vardır — kontrolör adına veriye dokunan tedarikçiler. Kurumsal merch operatörü için tipik alt işleyen zinciri şöyle çalışır: merch tedarikçisi → dekorasyon baskıcısı → paketleme/yerine getirme deposu → son mil kurye → BT barındırma sağlayıcısı → e-posta / pazarlama otomasyonu (alıcı iletişimi için). Bunların her biri KVKK Madde 12 / GDPR Madde 28 altında alt işleyen. Her biri kontrolörün talimat verdiği kapsamla, izin verilen alıcı veri kategorileriyle, saklama sınırlarıyla, alt işleyen açıklamasıyla, güvenlik yükümlülükleriyle, denetim haklarıyla ve ihlal bildirim zaman çizelgeleriyle yazılı bir Veri İşleme Sözleşmesi (DPA) gerektirir.
Tedarikçinin alt işleyenler üzerindeki durum tespiti şunları doğrulamalıdır: (a) alt işleyenin uygun güvenlik sertifikaları (ISO 27001, SOC 2 Tip II veya sektöre özgü eşdeğerler) tarafından desteklenen kendi DPA hazır şablonu vardır; (b) alt işleyenin işlemesi coğrafi olarak kontrolörün izin verdiği yargı alanları içindedir (uygun olmayan yargı alanlarında sürpriz işleme yok); (c) alt işleyen kontrolöre geri kendi ihlal bildirim yükümlülüğünü sürdürür; (d) kontrolörün NDA altında alt işleyenin işlemesini denetleme hakkı vardır. Uygun olmayan yargı alanlarındaki (Schrems II sonrası özellikle ABD-ikamet alt işleyenler) AB-ikamet veri alt işleyenler için Transfer Etki Değerlendirmesi (TIA) ile Standart Sözleşme Maddeleri (SCC'ler) gibi ek önlemler gereklidir.
Pratik bir operatör zorluğu alt işleyen haritasını güncel tutmaktır — alt işleyenler operatörün yığını geliştikçe zamanla değişir. Standart uygulama, üç ayda bir veya herhangi bir değişiklikte yenilenen yayınlanmış bir alt işleyen listesidir, yeni bir alt işleyen işlemeye başlamadan önce 30 günlük bildirim dönemiyle. Listeye abone olanlar — genellikle kontrolörün satın alma ve hukuk ekipleri — değişikliği gözden geçirir ve pencere içinde onay veya itiraz eder. Alt işleyen değişiklik bildiriminin doğru paydaşlara ulaşmadığı için programların 60+ gün durduğunu gördük; düzeltme, bildirimi başlangıçtan itibaren her iki tarafta adlandırılmış bir yükseltme kişisi ile kontrolörün onboarding akışına dahil etmektir.
Saklama, silme ve manifest yaşam döngüsü
Manifestin açık uçlu bir saklama değil, tanımlanmış bir yaşam döngüsü vardır. Üretim aşaması (genellikle kişiselleştirilmiş merch için 30-60 gün, karmaşık çok dilli paketler için 90 güne kadar) manifesti üretim QA'sı ve sevkiyat uzlaştırması için canlı tutar. Üretim sonrası, manifest istatistiksel raporlama ve denetim erişimi için 7 yıl boyunca maskelenir (faturalı B2B işlemler için Türk vergi denetimi penceresiyle ve muhasebe belgeleri için AB GDPR kayıt tutmayla eşleşir). 7 yıl sonra, maskelenmiş manifest yıkım sertifikası 3 ek yıl saklanarak yok edilir.
Farklı veri kategorilerinin farklı saklama kuralları vardır. Üretim verileri — adlar, bedenler, departmanlar — yalnızca üretimin gerektirdiği kadar saklanır (genellikle 30-60 gün), kişiselleştirme söz konusu olduğunda sipariş tamamlanmasından 90 gün içinde yok edilir. Teslimat verileri — adresler, kurye takibi — kuryenin kendi saklama politikasına göre saklanır (genellikle vergi kaydı amaçları için 12-24 ay). Mali veriler — faturalar, ödeme kayıtları, banka transferi referansları — Türk vergi kanununa göre saklanır (5 yıl ticari, vergi soruşturmaları için 10 yıl). Tam saklama çizelgesi operatörün KVKK kaydında ve sözleşme eklerinde olmalıdır.
Saklama sonunda silme denetlenebilir olmalıdır. Veri kategorisi başına yılda bir yok etme sertifikası düzenliyoruz; veri seti tanımlayıcılarını, yok etme tarihini, yok etme yöntemini (şifreleme silme, depolama ortamının fiziksel yok edilmesi veya güvenli üzerine yazma) ve adlandırılmış bir tanığı listeliyoruz. Sertifika, operatörün kendi denetim amaçları için dahili olarak saklanır ve istek üzerine kontrolöre sağlanır. Denetlenebilir silme olmadan programlar genellikle yedekleme sistemlerinde yıllarca asılı kalan manifestlere sahiptir, bu da bir KVKK denetimi veya GDPR önderliğinde DPA soruşturmasının hızla yakalayacağı şeydir — o noktadaki çare pahalıdır (zorla düzeltme, denetim cezası ve operatörün kaydında kamuya açık bir bildirim).
İhlal protokolü: 72 saat bildirim ve operatörün rolü
KVKK Madde 12 altında, veri sorumluları kişisel veri ihlalinden haberdar olduktan sonra 72 saat içinde KVKK Kurumu'na bildirimde bulunmalıdır — bazen belirli koşullar altında belgelenmiş bir gecikmeye izin verilen "en hızlı makul süre" olarak adlandırılır. AB GDPR eşdeğeri için kontrolör denetim makamına Madde 33 altında 72 saat içinde bildirimde bulunmalıdır. Hizmet sağlayıcıları için (yani işlemci olarak hareket eden merch tedarikçisi), yükümlülük kontrolöre makul olmayan gecikme olmadan bildirimde bulunmaktır, kontrolör denetim makamı bildiriminden sorumlu. Merch operatörünün sözleşmesi kontrolöre ihlal bildirim penceresini belirtmelidir — en iyi uygulama "makul olmayan gecikme olmadan ve her durumda 24 saat içinde"dir — kontrolöre tam 72 saat dosyalaması için maksimum kullanılabilir süre verir.
Masa üstü egzersizleri protokolü kağıttan kas hafızasına çeviren disiplindir. Üç ayda bir, operatör olası bir ihlal senaryosundan geçer — merch programı için tipik senaryolar şunlardır (a) manifest içeren kayıp kurye paketi, (b) tehlikeye girmiş tedarikçi portal kimlik bilgileri, (c) manifest kayıtlarını ortaya çıkaran yanlış yapılandırılmış bulut depolama, (d) kontrolörün verilerinin dahil olduğu üçüncü taraf alt işleyen ihlali. Her senaryodan geçilir: algılama, triyaj, kapma, bildirim, düzenleyici irtibat, veri sahiplerine iletişim, ölüm sonrası inceleme ve düzeltici eylem. Son 5 yılda 14 böyle egzersiz yürüttük; ortalama kapma süresi ~14 saatten ~3 saate düştü, çünkü oyun planı olgunlaştı.
Siber sigorta poliçesi mali yedektir. Tipik bir poliçe bildirim maliyetini, düzenleyici cezaları (sigortalanabilir olduğunda), etkilenen veri sahipleri için kredi izlemeyi, halkla ilişkiler yönetimini, üçüncü taraf sorumluluğunu ve adli inceleme maliyetini kapsar. Kurumsal merch operatörleri için 2-10 milyon dolarlık limitler yaygındır; primler sigortalanan cironun yüzde 0.15-0.4'üdür. 24 saatlik ihlal hattı ve adlandırılmış düzenleyici danışmanlıkla 5 milyon doların üzerinde siber sorumluluk sürdürüyoruz; bu merch tedarikçisi evreninde evrensel değildir, ancak anlamlı hacimde ve adlandırılmış katman 1 tedarikçisi durumunda merch satın alan kurumsal satın alma ekipleri için rutin bir satın alma gereksinimidir.
Denetim hakları ve SOC 2 / ISO 27001 beklentileri
Kontrolörler (alıcının satın alma ekibi) merch operatörünün veri işlemesini denetleme hakkına sahiptir. Sözleşme genellikle yıllık denetim, makul bildirimle (minimum 14 gün) bir ihlal veya önemli değişiklik sonrasında ad-hoc denetimler ve "inceleme hakkı" sağlar — kontrolör operatörün işleme tesislerini ziyaret edebilir, belgeleri gözden geçirebilir, personel ile görüşebilir ve yerindeki kontrolleri kontrol edebilir. İlkede denetim haklarına itiraz eden operatörler nadiren sözleşmeyi kazanır; daha iyi duruş denetimleri temiz bir şekilde kolaylaştırmaktır. Yılda ortalama 6 kontrolör liderliğinde denetim ağırlıyoruz; maliyet yaklaşık 8-16 saat operatör personel zamanı ve harici denetim desteğinde ~2.000-4.000 dolardır, ancak anlaşma değeri bunun birkaç katıdır.
Üçüncü taraf sertifikaları denetim yolunu pürüzsüzleştirir. ISO 27001 (Bilgi Güvenliği Yönetim Sistemleri) küresel temel çizgidir; SOC 2 Tip II (Hizmet Organizasyonu Kontrolü, güvenlik, kullanılabilirlik, işleme bütünlüğü, gizlilik, gizlilik kapsayan) ABD lezzetli temelidir ve AB kontrolörleri tarafından da giderek daha fazla talep edilir. Her iki sertifikayı da elinde tutan operatörler kontrolörün denetim yükünü önemli ölçüde azaltır — kontrolörün satın alma ekibi üçüncü taraf güvencesine tüm kontrol envanterini yeniden çalıştırmadan güvenebilir. ISO 27001 sertifikasyonunu ve SOC 2 Tip II denetimlerini tamamladık; sertifika döngüsü, aralarında gözetim denetimleri ile yıllıktır.
Türkiye-ikametli işlemciler için ek yerel standartlar geçerlidir. TSE (Türk Standardları Enstitüsü) sektöre özgü güvenlik sertifikalarına sahiptir. BTK (Bilgi Teknolojileri ve İletişim Kurumu) belirli elektronik iletişim verisi kategorilerini düzenler. SPK (Sermaye Piyasası Kurulu) finans sektörü müşterileri için geçerlidir. Bankacılık sektörü operatörleri BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) ek gereksinimleriyle karşı karşıyadır; sağlık sektörü operatörleri TITCK (Türkiye İlaç ve Tıbbi Cihaz Kurumu) kontrolleriyle karşı karşıyadır. Kurumsal merch programı kontrolörün endüstrisine göre ek yükümlülükler alacaktır; herhangi bir tek kontrolörün boşluk olmadan desteklenebilmesi için katmanlı bir uyumluluk duruşu sürdürüyoruz.
Operatör kontrol listesi: bir merch DP sözleşmesi imzalamadan önce doğrulanacak 10 şey
Sözleşmeden önce, kontrolör şunları doğrulamalıdır: (1) operatörün KVKK ve GDPR kayıt duruşu; (2) operatörün standart DPA'sının kontrolör uyumlu olup olmadığı veya müzakere gerektirip gerektirmediği; (3) alt işleyen listesi ve herhangi birinin uygun olmayan yargı alanı ikametli olup olmadığı; (4) şifreleme standartları (durağan, aktarım sırasında, anahtar yönetimi); (5) ihlal bildirim penceresi (önerilen "makul olmayan gecikme olmadan, maksimum 24 saat"); (6) veri kategorisi başına saklama sınırları; (7) denetim hakları kapsamı ve sıklığı; (8) kontrolörün yanıt süresi dahil veri sahibi hakları iş akışı; (9) siber sigorta kapsamı; (10) operatörün olay geçmişi (iyi operatörler proaktif olarak ifşa edecek; şeffaf ifşa güçlü bir olumlu sinyaldir).
Yukarıdaki liste yüksek hassasiyetli programlar için (savunma, kamu sektörü, sağlık, bankacılık) vazgeçilmezdir ve 1.000+ alıcı kaydı işleyen herhangi bir program için temel olarak önerilir. Bir veya iki öğeyi atlayan satın alma ekiplerini gördük, yalnızca 3-6 aylık düzeltme projeleriyle karşı karşıya kaldıklarında denetim döngüsü yetiştiğinde. Bir kontrolörün en iyi uygulaması, operatörün yanıtlarını satın alma aşamasının Ek C'sinde yakalamak ve yanıtları sözleşme inceleme aşamasında yeniden doğrulamaktır — bu iki inceleme arasında yazılı olarak sapan her şey kırmızı bir bayraktır.
Operatörün tarafı bunu yansıtır: satın alma son tarihinde tamamlanan ve döndürülen veri güvenliği anketleri, müzakere gerektirmeyen bir DPA şablonu, tam ve güncel alt işleyen açıklaması, kontrolörün yasal ihtiyaçlarıyla uyumlu saklama çizelgeleri ve operatörün program yürütme penceresi sırasında 7/24 ulaşılabilen adlandırılmış yükseltme kişileri (DPO, güvenlik lideri, ihlal yanıt lideri). Bu yetenekleri kurumsal alıcı anketlerinin yüzde 90+'ını takip gerektirmeden tamamlayan bir rutine dahil ettik — bu disiplini olmayan operatörler genellikle büyük RFP başına 4-8 hafta geri çekilir yaşar ve anlaşmayı zamanın ötesinde kaybeder.
Programınız için veri güvenliği paketi alın
Veri koruma paketini isteyin — DPA şablonu, alt işleyen listesi, saklama çizelgesi, ihlal protokolü özeti, NDA altında ISO 27001 ve SOC 2 Tip II raporları. Satın alma ve hukuk ekiplerinizin ihtiyaç duyduğu belgelerle bir iş günü içinde döneceğiz.