KVKK Outsourcing | Uyum Operasyonu ve Veri Envanteri

Son güncelleme: 8 Kasım 2026

KVKK uyum operasyonu outsourcing, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun günlük işlerinin, yani veri envanterinin güncel tutulmasının, VERBİS kayıtlarının, ilgili kişi başvurularının, aydınlatma ve açık rıza metinlerinin, saklama ve imha döngüsünün ve veri ihlali müdahalesinin dışarıdan, düzenli bir ekip tarafından yürütülmesidir. Uyum bir kez yapılan bir proje değildir: yeni bir form, yeni bir yazılım, yeni bir tedarikçi ya da yurt dışındaki bir bulut hizmeti eklendiğinde envanter, metinler ve kayıtlar da değişmelidir. Bu sayfa o “sürekli” kısmı anlatır. Başlangıç projesi ve teknik güvenlik için KVKK uyum ve siber güvenlik paketi, ilk envanter çalışması için KVKK veri envanteri hazırlama sayfalarımıza bakabilirsiniz.

Önemli sınır: 360 Soft bir hukuk bürosu değildir. Hukuki görüş, Kurul’a savunma ve dava süreçleri avukatınız tarafından yürütülür. Biz operasyonu, dokümantasyonu ve teknik koordinasyonu üstleniriz; hukuki değerlendirme gerektiren noktaları avukatınıza veya veri koruma danışmanınıza iletiriz.

Kimlerin ihtiyacı var

Kişisel veri işleyen her işletme KVKK’ya tabidir; ancak operasyon yükü şu yapılarda ağırlaşır:

E-ticaret ve perakende: Üyelik, sipariş, kampanya izinleri, çerezler, kargo ve ödeme tedarikçileri. Ticari elektronik ileti onayları 6563 sayılı Kanun ve İYS tarafında yönetilir.
Sağlık, ilaç ve medikal: Sağlık verisi özel nitelikli veridir; erişim ve paylaşım kuralları sıkıdır. Bkz. ilaç ve medikal outsourcing.
Finans, sigorta ve ödeme: Sektörel sır ve saklama kurallarıyla KVKK’nın birlikte yorumlanması gerekir.
İnsan kaynakları yoğun şirketler: Aday CV’leri, özlük dosyaları, sağlık raporları, kamera kayıtları, giriş kartı logları.
Çağrı merkezi ve CRM kullanan şirketler: Ses kayıtları, müşteri notları, pazarlama segmentleri. Bkz. CRM yönetimi outsourcing.
Yurt dışı bulut ve SaaS kullananlar: E-posta, CRM, analitik veya destek yazılımları yurt dışında barınıyorsa aktarım rejimi devreye girer.

Ortak sorunlar şaşırtıcı biçimde benzerdir: envanter bir danışmanlık projesinde hazırlanmış ama iki yıldır güncellenmemiştir; VERBİS kaydı gerçek süreçleri yansıtmaz; web sitesindeki aydınlatma metni ile mağazadaki form farklıdır; ilgili kişi başvuruları genel e-posta kutusunda kaybolur; bir ihlal yaşandığında kimin ne yapacağı yazılı değildir.

Mevzuatın operasyona dokunan başlıkları

VERBİS ve veri envanteri

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), Kanun’un 16. maddesine dayanır. Kayıt yükümlülüğü; yurt dışında yerleşik veri sorumlularını ve Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerini aşanları kapsar; eşiklerin altında kalsa da ana faaliyeti özel nitelikli kişisel veri işlemek olanlar için de kayıt öngörülmüştür. Eşik tutarları zaman içinde güncellendiğinden, kayıt yükümlülüğünüzü güncel Kurul kararına göre teyit ederiz. VERBİS’e girilen bilgi; veri kategorileri, işleme amaçları, alıcı grupları, yurt dışına aktarım ve saklama süreleri gibi envanterden türeyen bilgilerdir. Envanter değiştiğinde VERBİS kaydının da güncellenmesi beklenir.

Aydınlatma yükümlülüğü ve açık rıza

Kanun’un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, veri toplanırken kimliğinizi, amacı, aktarılan tarafları, toplama yöntemini ve hukuki sebebi ve ilgili kişi haklarını anlatmanızı ister. Açık rıza ise ancak başka bir işleme şartı bulunmadığında aranan, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen bir beyandır. Uygulamada en sık görülen hatalar; aydınlatma metni ile açık rızanın tek metinde birleştirilmesi, hizmetin rızaya bağlanması ve sözleşmenin ifası gibi başka bir şart varken gereksiz rıza alınmasıdır. Operasyon ekibi her yeni veri toplama kanalını bu açıdan kontrol eder.

Veri ihlali ve 72 saat

Kanun’un 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde Kurul’a ve ilgili kişiye bildirim yapılmasını öngörür. Kurul’un kararıyla bu bildirimin, veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması beklenir; ilgili kişilere bildirim ise etkilenen kişilerin tespitinden sonra makul en kısa sürede yapılmalıdır. 72 saat, teknik inceleme bitmeden dolar. İhlal müdahale planının önceden yazılı olması, kimin kararı vereceğinin belli olması ve bildirim formunun alanlarının önceden hazırlanmış olması gerekir. Gecikmeli bildirimde gecikme gerekçesinin açıklanması beklenir.

Yurt dışına aktarım: 2024 değişikliği

7499 sayılı Kanun ile 2024 yılında Kanun’un 6. ve 9. maddeleri önemli ölçüde değişti ve değişiklikler 1 Haziran 2024’te yürürlüğe girdi. Yeni 9. madde yurt dışına aktarımı kademeli bir yapıya bağladı: önce Kurul’un yeterlilik kararı aranır; yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname gibi uygun güvencelerden biri kullanılır; bunlar da yoksa arızi nitelikteki aktarımlar için sınırlı istisnalar uygulanabilir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurul’a bildirilmesi gerekir. Konunun ayrıntıları Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’te düzenlenmiştir. Değişiklik, eskiden yaygın olan “her şey için açık rıza” yaklaşımını fiilen geride bıraktı. Operasyon açısından iş; yurt dışında barınan her SaaS ve bulut hizmetinin tespit edilmesi, aktarım mekanizmasının belirlenmesi, standart sözleşmelerin takibi ve bildirim tarihlerinin kaydıdır.

İlgili kişi başvuruları, saklama ve imha

Kanun’un 11. maddesindeki haklara ilişkin başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ise VERBİS’e kayıtlı veri sorumlularından kişisel veri saklama ve imha politikası hazırlamalarını ve periyodik imhayı yönetmelikte belirtilen azami aralıklarla yapmalarını ister. Bu iki süreç, takvimi ve kaydı olan klasik operasyon işleridir.

Hizmet kapsamı

Modül	Tipik görevler	Sıklık
Veri envanteri bakımı	Süreç sahipleriyle görüşme, yeni süreç ve sistemlerin envantere eklenmesi, veri kategorisi, amaç, hukuki sebep, alıcı ve saklama süresinin güncellenmesi	Sürekli, çeyreklik gözden geçirme
VERBİS yönetimi	Kayıt yükümlülüğünün teyidi, kayıt bilgilerinin envanterle eşlenmesi, güncelleme taslağı, irtibat kişisiyle koordinasyon	Değişiklikte ve yıllık kontrolde
Aydınlatma ve rıza metinleri	Web, mobil, form, kamera, İK ve çağrı merkezi metinlerinin envanterle tutarlılık kontrolü, rıza kayıtlarının izlenebilirliği	Her yeni kanal ve değişiklikte
İlgili kişi başvuruları	Başvuru kanalı, kimlik doğrulama, kayıt ve süre takibi, ilgili birimlerden veri toplama, yanıt taslağı	Sürekli, otuz günlük süre takibiyle
Yurt dışı aktarım	SaaS ve bulut envanteri, aktarım mekanizmasının belirlenmesi, standart sözleşme takibi ve Kurul bildirim tarihleri	Yeni tedarikçide ve yıllık
Tedarikçi ve veri işleyen yönetimi	Veri işleme sözleşmeleri, güvenlik soru formları, alt işleyen listesi	Sözleşme döngüsüne bağlı
Saklama ve imha	İmha takvimi, sistem bazlı silme talimatları, imha tutanakları	Periyodik
İhlal müdahalesi	Müdahale planı, tatbikat, ihlal anında zaman çizelgesi ve bildirim formu taslağı, etkilenen kişi listesi	Yıllık tatbikat, olay anında
Farkındalık	Rol bazlı kısa eğitimler, yeni başlayan eğitimi, eğitim kayıtları	Yıllık ve işe girişte
Uyum raporu	Açık aksiyonlar, risk listesi, başvuru metrikleri, yönetim özeti	Aylık veya çeyreklik

Roller

Rol	Sorumluluk
KVKK uyum uzmanı	Envanter, metinler, başvurular ve günlük koordinasyon
Teknik güvenlik uzmanı	Teknik tedbirlerin kontrolü, ihlal anında teknik inceleme koordinasyonu
Proje/uyum yöneticisi	Takvim, raporlama, yönetimle iletişim
Avukat (sizin veya anlaşmalı)	Hukuki görüş, Kurul yazışmaları, uyuşmazlıklar

Çalışma modelleri

Lokasyon	Nasıl işler	Uygun olduğu durum
Uzaktan	Belge yönetimi ve görüşmeler çevrim içi; sistemlere salt okuma erişimi	Tek lokasyonlu, dijital süreçleri ağır şirketler
Yerinde	Periyodik ziyaretlerle süreç sahipleriyle yüz yüze çalışma, fiziksel arşiv ve kamera kontrolü	Fabrika, mağaza, hastane gibi fiziksel veri noktaları
Hibrit	Aylık yerinde gün, kalan iş uzaktan	Çoğu orta ölçekli şirket için en verimli yapı

Sözleşme modeli	Açıklama
Managed service	Takvimli uyum operasyonu, aylık rapor ve SLA ile; en yaygın model
Dedicated team	Çok iştiraki olan holdingler için şirkete ayrılmış uyum ekibi
Staff augmentation	Kendi KVKK biriminize belirli bir rolde destek; hukuki yapı aşağıdaki notta
Proje	Envanter yenileme, yurt dışı aktarım geçişi, ihlal sonrası iyileştirme gibi süreli işler

Hukuki not: Hizmet, 4857 sayılı İş Kanunu md. 2’deki alt işverenlik kurallarına uygun bir hizmet alımı olarak kurulur; ekip 360 Soft’un yönetimindedir. Personelin doğrudan sizin talimatınızla çalıştığı geçici iş ilişkisi (md. 7) ancak İŞKUR izinli özel istihdam bürosu aracılığıyla kurulabilir; 360 Soft özel istihdam bürosu değildir.

Süreç ve tipik süreler

Durum tespiti (tipik 2-3 hafta): Envanter, VERBİS kaydı, metinler, başvuru kanalı, tedarikçi listesi ve yurt dışı aktarımların hızlı değerlendirmesi; boşluk listesi.
Öncelikli düzeltmeler (tipik 3-6 hafta): En yüksek riskli boşluklar: güncel olmayan aydınlatma metinleri, eksik aktarım mekanizması, yazılı olmayan ihlal planı.
Operasyon takviminin kurulması (tipik 1-2 hafta): Çeyreklik envanter gözden geçirmesi, periyodik imha, yıllık tatbikat, eğitim takvimi.
Sürekli operasyon: Başvuru takibi, değişiklik yönetimi, aylık rapor.
Yıllık değerlendirme: Envanterin baştan sona doğrulanması, mevzuat değişikliklerinin etkisi, yeni yıl planı.

SLA ve KPI tablosu

Gösterge	Tanım
Başvuru yanıt süresi	İlgili kişi başvurusunun alınmasından yanıtın gönderilmesine kadar geçen süre; yasal otuz günlük sınırın çok altında iç hedef
İhlal ilk değerlendirme süresi	Olayın bildirilmesinden ilk risk değerlendirmesinin karar vericilere sunulmasına kadar geçen süre
Envanter güncelliği	Son çeyrekte gözden geçirilmiş süreçlerin oranı
Açık aksiyon yaşı	Boşluk listesinde süresi geçmiş aksiyon sayısı
Metin tutarlılığı	Toplama kanallarından envanterle tutarlı aydınlatma metnine sahip olanların oranı
Aktarım kapsaması	Yurt dışı aktarım yapılan hizmetlerden mekanizması belgelenmiş olanların oranı
Eğitim tamamlama	Hedef kitlede eğitimi tamamlayanların oranı

Hedef değerler şirketinizin büyüklüğüne ve risk profiline göre sözleşmede belirlenir.

Fiyatlandırma etkenleri

TL fiyatı sayfada vermiyoruz. Modeller: adam/ay (belirli bir uzman kapasitesi), saatlik (danışma ve ihlal anı desteği), sabit fiyat (envanter yenileme gibi kapsamı belli işler) ve sonuç bazlı/birim (örneğin başvuru başına veya şirket başına aylık sabit operasyon bedeli).

Etken	Etkisi
Süreç ve departman sayısı	Envanterin büyüklüğünü ve görüşme yükünü belirler
Özel nitelikli veri	Sağlık, biyometrik veya ceza mahkumiyeti verisi ek tedbir ve kontrol gerektirir
Lokasyon ve şube sayısı	Kamera, ziyaretçi ve fiziksel arşiv kontrolleri artar
Yurt dışı aktarım sayısı	Her tedarikçi için mekanizma ve sözleşme takibi
Başvuru hacmi	Tüketici markalarında başvuru sayısı yüksek olabilir
Grup şirketi sayısı	Her tüzel kişi ayrı veri sorumlusudur
Olgunluk	Sıfırdan başlamak ile güncel bir envanteri sürdürmek arasında ciddi fark vardır

KVKK Uyum Operasyonu Outsourcing — konu başlıkları

Kurum içi, freelancer ve outsourcing

Kriter	Kurum içi KVKK sorumlusu	Freelancer danışman	Outsourcing
Süreklilik	Kişi izin veya ayrılıkta durur	Projeden projeye	Yedekli ekip, takvimli operasyon
Yetkinlik genişliği	Tek kişide hukuk, süreç ve teknik nadiren birleşir	Genellikle tek alan	Uyum, teknik güvenlik ve proje yönetimi birlikte
İhlal anında hız	Kişinin müsaitliğine bağlı	Belirsiz	Önceden tanımlı müdahale planı ve iletişim zinciri
Kurum bilgisi	En yüksek	Düşük	Envanter ve prosedürlerle kurumda kalır
Maliyet esnekliği	Sabit	Esnek ama öngörülemez	Kapsama göre ölçeklenir

Riskler ve önlemler

Kağıt üstünde uyum: Envanter gerçeği yansıtmıyorsa tüm metinler yanlış temele oturur. Önlem: süreç sahibiyle doğrulama ve sistem kayıtlarıyla örnekleme.
72 saati kaçırmak: Önlem: yazılı müdahale planı, karar vericiler listesi, önceden hazırlanmış bildirim taslağı ve yıllık tatbikat.
Gölge SaaS: Departmanların kendi açtığı bulut hesapları aktarım envanterinde görünmez. Önlem: satın alma ve kart harcamalarıyla çapraz kontrol, BT ile düzenli tarama.
Rıza yorgunluğu: Gereksiz rıza toplamak hem hukuki hem itibar riskidir. Önlem: hukuki sebep analizini önce yapmak.
Danışmana bağımlılık: Önlem: tüm belgeler sizin doküman yönetim sisteminizde tutulur, çıkış planı sözleşmededir.

Güvenlik, gizlilik, NDA ve fikri mülkiyet

Uyum operasyonu sırasında envanter, sözleşmeler ve zaman zaman ihlale konu verilerle temas ederiz. Bu ilişkide 360 Soft, sizin adınıza veri işleyen konumundadır; veri işleme sözleşmesi imzalanır, ekip bireysel gizlilik taahhüdü verir, erişimler en az yetki ilkesiyle ve isimli hesaplarla açılır. Belgeler sizin sisteminizde tutulur, yerel kopya alınmaz. Hazırlanan envanter, politika, metin ve şablonların tüm hakları size aittir. Siber güvenlik izlemesi gereken durumlarda SOC ve siber güvenlik izleme, açık yönetimi için zafiyet yönetimi outsourcing hizmetlerimiz teknik tedbirleri tamamlar. Finans yükümlüleri için KYC/AML operasyon outsourcing ile veri akışlarının birlikte ele alınması faydalıdır.

Temsili senaryodur: Çok şubeli bir perakende şirketi, pazarlama ekibinin yurt dışında barınan yeni bir e-posta otomasyon aracına geçtiğini envanter gözden geçirmesinde fark ediyor. Operasyon ekibi aracı aktarım envanterine ekliyor, uygun güvence mekanizmasını hukuk danışmanıyla belirliyor, standart sözleşmenin bildirim tarihini takvime işliyor ve aydınlatma metnindeki aktarım bölümünü güncelliyor.

Seçim kontrol listesi

Hukuki görüş ile operasyonun sınırı açıkça çizilmiş mi
Envanteri sistem kayıtlarıyla doğrulama yöntemi var mı
2024 sonrası yurt dışı aktarım rejimine göre çalışılıyor mu
İhlal müdahale planı ve 72 saat iş akışı yazılı olarak sunuluyor mu
İlgili kişi başvuruları için süre takibi ve kayıt sistemi var mı
Teknik güvenlik bilgisi ekipte bulunuyor mu
Belgeler sizin sisteminizde mi tutuluyor
Raporlama sıklığı ve içeriği tanımlı mı
Veri işleme sözleşmesi ve gizlilik taahhütleri hazır mı
Çıkış planı ve devir yükümlülüğü sözleşmede mi

Sık sorulan sorular

Hukuki danışmanlık veriyor musunuz?

Hayır. 360 Soft bir hukuk bürosu değildir. Uyum operasyonunu, dokümantasyonu ve teknik koordinasyonu yürütürüz; hukuki görüş ve Kurul nezdindeki temsil avukatınız tarafından yapılır.

VERBİS kaydı yaptırmamız gerekiyor mu?

Yurt dışında yerleşik veri sorumluları, Kurul kararlarındaki çalışan sayısı veya yıllık mali bilanço eşiğini aşanlar ve ana faaliyeti özel nitelikli veri işlemek olanlar kayıt yükümlüsüdür. Eşikler güncellendiği için durumunuzu güncel Kurul kararına göre teyit ederiz.

Veri ihlalinde ne kadar sürede bildirim yapılmalı?

Kurul kararına göre ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapılmalıdır. Etkilenen kişilere ise tespit sonrası makul en kısa sürede bildirim yapılır.

Aydınlatma metni ile açık rıza aynı metinde olabilir mi?

Olmamalıdır. Aydınlatma bir bilgilendirme yükümlülüğüdür, açık rıza ise ayrı bir irade beyanıdır. Başka bir hukuki sebep varsa gereksiz yere rıza istenmemelidir.

2024 değişikliği yurt dışı aktarımı nasıl etkiledi?

7499 sayılı Kanun ile yeni bir aktarım rejimi getirildi: yeterlilik kararı, yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvenceler, bunlar da yoksa arızi aktarımlar için sınırlı istisnalar. Standart sözleşmenin imzadan itibaren beş iş günü içinde Kurul’a bildirilmesi gerekir.

Yurt dışı bulut hizmeti kullanıyoruz, ne yapmalıyız?

Önce tüm yurt dışı hizmetleri envantere ekleriz, ardından her biri için uygun aktarım mekanizmasını hukuk danışmanınızla belirler, sözleşme ve bildirim tarihlerini takip ederiz.

İlgili kişi başvurularına ne kadar sürede yanıt verilmeli?

Kanun, başvurunun niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmasını ister. Biz iç hedefi bu sürenin çok altında tutarız.

Saklama ve imha politikası zorunlu mu?

VERBİS’e kayıtlı veri sorumluları için yönetmelik gereği zorunludur. Diğer şirketler için de saklama sürelerinin belirlenmesi Kanun’un genel ilkelerinin gereğidir.

Uzaktan çalışmak yeterli mi?

Dijital süreçleri ağır şirketlerde çoğunlukla evet. Mağaza, fabrika veya hastane gibi fiziksel veri noktaları varsa periyodik yerinde ziyaretlerle hibrit model öneririz.

Hizmet ne kadar sürede başlar?

Durum tespiti tipik olarak 2-3 haftada tamamlanır; öncelikli düzeltmeler bunu izleyen 3-6 haftada yapılır, ardından sürekli operasyona geçilir.

Fiyat neye göre belirlenir?

Süreç ve departman sayısı, özel nitelikli veri, şube sayısı, yurt dışı aktarım sayısı, başvuru hacmi ve grup şirketi sayısı belirleyicidir. Adam/ay, saatlik, sabit fiyat veya aylık operasyon bedeli modelleri kullanılır.

Bu hizmet personel kiralama mı?

Hayır. Hizmet alımı olarak, 4857 sayılı İş Kanunu md. 2 kapsamındaki alt işverenlik kurallarına göre kurulur. Geçici iş ilişkisi İŞKUR izinli özel istihdam bürolarıyla kurulabilir; 360 Soft özel istihdam bürosu değildir.

İletişim

Envanterinizi, VERBİS durumunuzu ve kullandığınız yurt dışı hizmetleri kısaca yazın; boşluk analizi ve operasyon planı içeren yazılı bir teklif hazırlayalım. Telefon: +90 850 335 10 87 · E-posta: info@360-soft.com · İletişim formu. 360 Soft, Nidakule Ataşehir, İstanbul. Tüm hizmetler: outsourcing hizmetleri.

İlgili sayfalar

Bu işi bize devredin Kapsamı ve hacmi yazın; kurulum planını ve yazılı teklifi paylaşalım. Teklif alın · WhatsApp · +90 850 335 10 87

Bu sayfa 360 Soft Yetkili Temsilcisi Yasir Bünyamin İncedere tarafından hazırlanmıştır. Son güncelleme: Kasım 2026.

İlgili hizmetler

Tüm hizmetler: Outsourcing Hizmetleri