“Tüzel kişi verisi kapsam dışı” cümlesi doğru ama eksik. Tedarikçi kaydınızın içinde gerçek kişi verisi var.
Yaygın yanlış: “biz şirketlerle çalışıyoruz”
Satın alma tarafında KVKK konusu açıldığında ilk verilen cevap genelde şu oluyor: biz gerçek kişilerle değil şirketlerle çalışıyoruz, bu konu bizi ilgilendirmiyor.
Tüzel kişilere ait bilgiler, örneğin firma unvanı, vergi numarası, ticaret sicil bilgisi, kişisel veri sayılmıyor. Bu kısmı doğru.
Ama tedarikçi kaydınızın içinde durup düşünürseniz şunlar da var: yetkili kişinin adı soyadı, cep telefonu, kişisel e-posta adresi. Şahıs firmalarında doğrudan gerçek kişi bilgileri. Sahaya gelen taşeron personelinin listesi. Sözleşmeye eklenen imza sirküleri ve kimlik fotokopisi. Bazı durumlarda saha girişi için toplanan kimlik bilgileri.
Bunların hepsi gerçek kişiye ait ve satın alma süreci boyunca toplanıyor, saklanıyor, paylaşılıyor.
Yani konu satın almayı ilgilendiriyor. Sadece göründüğü yerden değil.
Satın alma sürecinde nerede kişisel veri oluşuyor
Zincirin adımlarına bakıldığında veri birden çok noktada birikiyor.
Tedarikçi kaydı açılırken. Yetkili kişi bilgileri, iletişim bilgileri, şahıs firmalarında kimlik bilgileri.
Teklif toplarken. Teklifi gönderen kişinin adı ve iletişim bilgisi, e-posta yazışmaları.
Sözleşme aşamasında. İmza sirküleri, vekaletname, imza yetkilisi bilgileri.
Saha ve teslimat aşamasında. Taşeron ve nakliye personelinin listesi, araç ve sürücü bilgileri, saha giriş kayıtları.
Ödeme aşamasında. Banka hesap bilgileri, şahıs firmalarında doğrudan kişiye ait.
Bu noktaların çoğunda veri toplanıyor ama kimse bunu bir veri toplama işlemi olarak görmüyor. E-postayla gelen bir imza sirküleri, ortak sürücüde yıllarca duruyor.
Üç pratik soru
Mevzuat metnine girmeden, satın alma tarafında sorulması gereken üç soru var.
Bu veriyi neden tutuyoruz? Her alanın bir gerekçesi olmalı. Yetkilinin cep telefonu iş için gerekli olabiliyor. Yetkilinin doğum tarihi muhtemelen değil. Kayıt formunda “ne olur ne olmaz” diye açılmış alanlar, gerekçesi olmayan veri topluyor.
Ne kadar süre tutacağız? Çalışılmayan bir tedarikçinin yetkilisinin bilgileri on yıl sonra hâlâ sistemde duruyor mu? Saklama süresi tanımlanmamışsa cevap genelde evet.
Kimler görebiliyor? Tedarikçi kaydına şirketteki herkes erişebiliyor mu, yoksa satın alma ve muhasebe mi? Yetkilendirme, bu sorunun tek pratik cevabı.
Üçü de teknik olmayan sorular ama cevapları doğrudan sistemin nasıl kurulduğuna bakıyor.
Sistemin sağlaması gerekenler
Uygulamada işe yarayan başlıklar şunlar.
Yetkilendirme. Kimin hangi kaydı görebileceğinin tanımlanabilmesi. Tedarikçi kartındaki iletişim bilgilerine erişimin sınırlanabilmesi.
Erişim kaydı. Kimin hangi kayda ne zaman baktığının izlenebilmesi. Bir sorun çıktığında tek dayanak bu oluyor.
Saklama ve silme. Kayıtların süresiz durmaması, pasife alınabilmesi ve gerektiğinde silinebilmesi. Silme talebi geldiğinde ticari kayıt yükümlülükleriyle çakışan kısmın ayrılabilmesi.
Belge yönetimi. Sözleşme ekleri ve imza sirkülerinin ortak sürücüde değil, erişimi kontrollü bir yerde durması.
Bir de en çok atlanan madde var: veri sistemden çıkınca kontrol de çıkıyor. Tedarikçi listesini Excel’e aktarıp e-postayla gönderen bir kullanıcı, bütün bu düzeni tek adımda devre dışı bırakıyor. Dışa aktarma yetkisinin sınırlanması, diğer maddelerin tamamı kadar önemli.
Tedarikçiye karşı yükümlülük
Bir de ters yön var ve satın alma tarafında hiç konuşulmuyor.
Tedarikçiden kişisel veri talep ediyorsanız, bunu neden istediğinizi ve ne kadar süre tutacağınızı bildirmeniz gerekiyor. Saha girişi için personel listesi isteyen bir şirket, o listeyi neden ve ne kadar tutacağını söylemek durumunda.
Aynı şekilde tedarikçiye kendi personelinizin verisini gönderiyorsanız, bu da bir aktarım.
Bu başlıklar çoğu şirkette hukuk ya da uyum biriminin işi olarak görülüyor. Doğru, ama veriyi toplayan adım satın alma. Formu satın alma tasarlıyor, bilgiyi satın alma istiyor.
Bu yazı bir hukuki değerlendirme değil. Uyum tarafındaki kararların kurumunuzun hukuk ya da uyum birimiyle netleştirilmesi gerekiyor. Buradaki amaç, satın alma süreci içinde verinin nerelerde oluştuğunu görünür kılmak.
Yetkilendirme sıkıydı, liste yine de dışarı çıktı
Not: Aşağıdaki örnek gerçek bir müşteriye ait değildir; sahada sık karşılaşılan durumlardan oluşturulmuş bir senaryodur.
Verinin sistemden çıktığında ne olduğunu gösteren bir örnek.
Bir lojistik firmasında tedarikçi kayıtlarına erişim sınırlıydı. Sadece satın alma ve muhasebe görebiliyordu, yetkilendirme düzgün kurulmuştu.
Bir çalışan işten ayrıldı. Ayrılmadan iki hafta önce tedarikçi listesini Excel’e aktarmıştı: 400 küsur firma, yetkili adları, cep telefonları, e-posta adresleri ve çalışma koşulları.
Aktarma işlemi yetkisi dahilindeydi. Kendi işini yapmak için sık sık dışa aktarım kullanıyordu ve bu normal karşılanıyordu.
Dosyanın nereye gittiği bilinmiyor. Bilinen tek şey, sistemdeki bütün erişim kontrollerinin o dosya için geçerliliğini kaybettiği.
Olay fark edildiğinde bakılan ilk şey erişim kaydıydı. Kimin hangi kayda baktığı izleniyordu ama dışa aktarım işlemi ayrı bir kayıt üretmiyordu. Yani hangi tarihte, hangi kapsamda aktarım yapıldığı bile net değildi.
İki değişiklik yapıldı. Dışa aktarma yetkisi ayrı bir yetki olarak tanımlandı ve sınırlı kişiye verildi. Aktarım işlemi kayda geçmeye başladı: kim, ne zaman, kaç kayıt.
Bir de operasyonel bir düzeltme oldu: dışa aktarımın asıl sebebi, kullanıcıların ihtiyaç duyduğu bir raporun sistemde bulunmamasıydı. O rapor eklendiğinde aktarım ihtiyacı büyük ölçüde ortadan kalktı.
Codigno tarafında
Codigno ERP’nin satın alma tarafında gelişmiş kullanıcı yetkilendirmeleri ve gelişmiş depo yetkileri bulunuyor; kimin hangi kaydı görebileceği tanımlanabiliyor.
Kayıt geçmişi tutuluyor ve talep üzerindeki değişiklikler versiyon kontrolüyle izleniyor.
Teklif tarafında tedarikçi kayıtları ve değerlendirme bilgileri sistemde tutuluyor, ayrı dosyalarda dağılmıyor.
Codigno’nun kendi aydınlatma metni: KVKK aydınlatma metni. Zincirin bütünü: satın alma yönetimi rehberi.
Sık sorulan sorular
Tüzel kişi bilgileri kişisel veri sayılıyor mu?
Firma unvanı, vergi numarası gibi tüzel kişiye ait bilgiler kişisel veri kapsamında değerlendirilmiyor. Ancak tedarikçi kaydının içindeki yetkili kişi bilgileri gerçek kişiye ait.
Şahıs firmalarında durum farklı mı?
Şahıs firmalarında ticari bilgi ile kişisel bilgi iç içe geçiyor. Bu kayıtların ayrı değerlendirilmesi gerekiyor.
Tedarikçi verisini ne kadar süre saklamalıyız?
Saklama süresi ticari ve mali mevzuattaki yükümlülüklerle birlikte belirleniyor. Bu sürenin kurumunuzun hukuk ya da uyum birimiyle netleştirilmesi gerekiyor.
Silme talebi geldiğinde ne yapılmalı?
Ticari kayıt yükümlülüğü kapsamındaki veriler ile iletişim amaçlı tutulan verilerin ayrılabilmesi gerekiyor. Bu ayrım sistemde yapılabiliyorsa talep karşılanabiliyor.
Tedarikçi listesinin dışa aktarılması risk mi?
Veri sistemden çıktığında erişim kontrolü de sona eriyor. Dışa aktarma yetkisinin sınırlanması, yetkilendirme kadar önemli bir madde.
Bu yazı hukuki tavsiye yerine geçer mi?
Geçmiyor. Buradaki amaç satın alma süreci içinde kişisel verinin nerelerde oluştuğunu görünür kılmak. Uyum kararları için hukuk ya da uyum birimine danışılması gerekiyor.
Tedarikçi kaydınıza şirkette kaç kişi erişebiliyor? Tedarikçi sayınızı ve mevcut yetkilendirme yapınızı paylaşın; erişim ve kayıt izinin sizde nasıl kurulacağını gösterelim.
