Bu yazı hukuki tavsiye değil; Almanya, İtalya ve Birleşik Krallık'tan müşterilerle çalışırken kendi kurduğumuz ve her yeni projede tekrarladığımız pratik bir kontrol listesi. Avukatınızın yerini tutmaz, ama avukatınızla yapacağınız görüşmeyi çok kısaltır.
Temel çerçeve şu: müşteriniz veri sorumlusu, siz büyük ihtimalle veri işleyensiniz ve kullandığınız her bulut servisi alt işleyicidir. Bu üç kelimeyi doğru yerleştirdiğinizde geri kalan maddeler kendiliğinden sıraya giriyor.
GDPR bir belge işi değil, bir mimari kararıdır. Belgeler mimariyi anlatır, yerine geçmez.
01Sözleşme katmanı: DPA ve standart sözleşme maddeleri
Her AB müşterisiyle imzalanmış bir veri işleme sözleşmesi (DPA) olmalı. Türkiye yeterlilik kararına sahip olmadığı için, veri Türkiye'de işlenecekse buna standart sözleşme maddeleri (SCC) ve kısa bir transfer etki değerlendirmesi eşlik eder. Uygulamada bu üç belge birlikte gider ve bir kere iyi hazırlandığında her projede yeniden kullanılır.
İkinci adım alt işleyici listesidir. Kullandığınız her servis — barındırma, e-posta gönderimi, hata takibi, analitik, yedekleme — isim, amaç ve bölge bilgisiyle listelenir ve bu liste müşteriyle paylaşılır. Listeye yeni bir satır eklediğinizde müşteriye haber vermek sözleşme gereğidir; bu yüzden listeyi bir sayfa olarak tutup bağlantısını sözleşmeye koymak en pratik yöntem.
02Mimari katmanı: bölge, saklama, silme
AB müşterileri için varsayılanımız net: veritabanı ve dosya depolama AB bölgesinde (Viyana veya İrlanda), yedekler de aynı bölgede kalır. Bu tek karar, sonraki yüz sorunun cevabını basitleştiriyor. Geliştirme ekibi Türkiye'den erişiyorsa bu bir "uzaktan erişim" konusudur ve DPA'da öyle tanımlanır.
Saklama süreleri veri tipine göre ayrı ayrı yazılır: sözleşme ve fatura kayıtları mevzuat gereği yıllarca, pazarlama izinleri iptal edilene kadar, sunucu erişim kayıtları doksan gün, aday özgeçmişleri altı ay. Bu süreleri yazılıma gömmek ("silinme tarihi" alanı ve gece çalışan bir görev) belge yazmaktan daha güvenilirdir.
Silme ve dışa aktarma taleplerini ilk günden bir özellik olarak ele alın. Bir kullanıcının verisini tek bir işlemle dışa aktarabiliyor ve silebiliyorsanız, otuz günlük yasal süre stres kaynağı olmaktan çıkar. Sonradan eklemek ise her zaman zordur, çünkü veri o zamana kadar beş tabloya yayılmıştır.
03Günlük pratik: çerezler, formlar, ihlal planı
Çerez bandı bir tasarım öğesi değil, teknik bir sözdür: kullanıcı onay vermeden analitik ve pazarlama betikleri yüklenmemelidir. "Reddet" seçeneği "kabul et" kadar görünür olmalı. Bu ikisini doğru yapan bir site, denetimde konuşulacak listenin başındaki iki maddeyi çoktan geçmiş olur.
Formlarda amaç ayrımı yapın: teklif talebi ile bülten aboneliği ayrı onaylardır ve önceden işaretli kutu kullanılmaz. Her formun yanında aydınlatma metnine bir bağlantı bulunur ve o metin gerçekten o formdaki alanları anlatır.
Son madde, kimsenin hazırlamak istemediği maddedir: ihlal planı. Kimin haberdar edileceği, kayıtların nereden okunacağı, müşteriye hangi cümlelerle yazılacağı ve yetmiş iki saatlik sürenin kimin takibinde olduğu tek sayfada yazılı olsun. O sayfayı sakin bir günde yazmak, kötü bir günde yazmaktan çok daha ucuzdur.
Yazan
Paradigma7 ekibi
Ürün, mühendislik ve operasyon
Ankara merkezli, Avrupa için yazılım geliştiren bir ekibiz. Burada yazdıklarımız teorik değil; müşteri projelerinde kurduğumuz süreçlerin kendisi.
Hakkımızda