Uyum · KVKK ve GDPR
Mevzuatın istediği tedbirler ve süreler, tek panelde
Veri koruma mevzuatı iki şey ister: verinin güvenliği için teknik tedbirler ve süreli süreçler — başvurulara 30 günde cevap, ihlali 72 saatte bildirme, periyodik imha. NornGuard ikisini aynı yerde yönetir: veri hareketini izler ve sınırlar, değiştirilemez kayıt tutar; başvuruları, imha döngüsünü ve ihlal taslağını süre sayacıyla takip eder.
Teknik tedbir nedir, idari tedbir nedir?
Kanun ikisini birlikte ister, ama sorumluları farklıdır. Teknik tedbir, verinin hareketini sistemle sınırlamaktır: kanal kontrolü, şifreleme, erişim yetkisi, izlenebilirlik. Bir yazılım bunları uygular ve ölçer. İdari tedbir kurumun kararıdır: saklama politikası, aydınlatma metni, ihlalde kimin ne yapacağı, personel eğitimi.
NornGuard idari kararları kurumun yerine vermez — ama o kararların süresini sayar, kaydını tutar ve çıktısını üretir. Uyum panosu da teknik olarak karşılanan maddeleri karşılanmış, kurumsal süreç gerektirenleri bilerek Kısmi gösterir.
Süreç modülleri
Süresi olan her yükümlülük, sayacıyla birlikte
Bu modüllere yalnız KVKK Sorumlusu rolü ve yetkili yöneticiler erişir; DLP politikalarına ya da çalışan izleme verisine dokunmadan kendi işlerini görürler.
-
30 gün
İlgili kişi başvuruları — KVKK m.11 · GDPR m.12–15
"Hakkımda hangi veriyi tutuyorsunuz?" diye gelen her başvuru dokuz tür ve beş kanal ayrımıyla,
BSV-YYYY-NNNNNkoduyla kaydedilir. Son tarih alınış anından otomatik hesaplanır; yaklaşan ve geciken başvurular panoda görünür. Kişi araması yapılır, cevaba eklenecek döküm PDF, kayıt defteri CSV olarak alınır. Başvuru sahibinin kimliği sistemde maskeli tutulur. -
≤ 6 ay
Periyodik imha — Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği · GDPR m.5/1-e
Veri sınıfı başına saklama süresi tanımlanır. Veri keşfi bulgularından süresi dolan dosyalar listelenir; yöntem (silme, yok etme, anonimleştirme) seçilip kaydedilir ve imha tutanağı PDF/CSV olarak üretilir. İmha, bir sonraki taramada dosyanın artık bulunmadığı görülerek doğrulanır. Dosyayı sistem kendisi silmez — yetkili kişi siler, sistem kanıtlar.
-
72 saat
Veri ihlali bildirimi — KVKK m.12/5 · GDPR m.33
İhlal bir olay kaydından başlatılır; sayaç tespit anından işler ve kalan ya da geciken süre panoda görünür. İlgili olay kayıtları kanıt eki olarak toplanır, bildirim taslağı PDF olarak hazırlanır. Süre aşılırsa gecikme gerekçesi zorunlu alan olur. Bildirimi Kurul'a kurumun yetkilisi yapar.
-
Her gün
Teknik tedbirler — KVKK m.12/1 · GDPR m.32
Altı kanalda izleme, izinsiz USB ve şifresiz diskin kapatılması, yasaklı sitelerin engellenmesi, kişisel veri içeren e-postanın gönderimden önce durdurulması, rol ve izin ayrımı, BitLocker durumu ve kurtarma anahtarı emaneti, hash zincirli kayıt.
Madde eşlemesi
Hangi hüküm, NornGuard'da neye karşılık gelir
Uyum panosu KVKK'nın 10, GDPR'ın 11 ve ISO/IEC 27001:2022 Annex A'nın 10 kontrolünü sistemin canlı metrikleriyle Karşılanıyor / Kısmi / Planlı olarak işaretler.
| Yükümlülük | KVKK | GDPR | NornGuard'daki karşılığı |
|---|---|---|---|
| Veri güvenliği tedbirleri | m.12/1 | m.32 | Kanal kontrolü, aygıt ve site kapısı, rol/izin modeli |
| İzlenebilirlik | m.12 | m.5/2 hesap verebilirlik | SHA-256 hash zincirli denetim kaydı + bağımsız doğrulama |
| Şifreleme | m.12 | m.32/1-a | BitLocker durumu, kurtarma anahtarı emaneti, şifresiz USB kilidi |
| Özel nitelikli veri | m.6 | m.9 | En yüksek önemli sınıf, 6 dilde kategori sözlüğü, hazır politikalar |
| Başvuru hakları | m.11, m.13 | m.12–15 | Kodlu başvuru kaydı, 30 gün sayacı, yanıt eki PDF |
| Saklama ve imha | m.7 + Yönetmelik | m.5/1-e, m.17 | Sınıf bazlı saklama süresi, imha tutanağı, taramayla doğrulama |
| İhlal bildirimi | m.12/5 | m.33–34 | 72 saat sayacı, kanıt eki, PDF taslak |
| Kişisel veri envanteri | m.16 (VERBİS) | m.30 | Duran veri keşfinden birleşik envanter ve kanıt dışa aktarımı |
| Yurt dışına aktarım | m.9 | m.44–49 | Sistem kurum içinde çalışır; ürün kişisel veriyi dışarı aktarmaz |
Denetim günü
"Yapıyoruz" demek yerine gösterin
Denetçiye sunulan her belge, panelde canlı duran veriyle aynı kaynaktan üretilir.
Uyum panosunun çıktısı
KVKK, GDPR ve ISO 27001 kontrollerinin canlı durumu.
Periyodik imha tutanakları
Dönem dönem imha kararları, yöntemleri ve doğrulama sonuçları.
Başvuru defteri
Alınış, tür, kanal, son tarih ve cevap tarihiyle tüm ilgili kişi başvuruları.
Zincir ve envanter kanıtı
Denetim kaydının değiştirilmediğinin doğrulaması, şifreli cihaz oranı ve hassas veri keşif bulguları.
Ölçülülük
Çalışan izlemede orantı, ürünün içinde tanımlı
Çalışan izleme, veri koruma açısından en hassas başlıktır. NornGuard bu veriyi diğer verilerden ayrı tutar.
- Çalışan izleme verisi ayrı bir izinle korunur — DLP yöneticisi olmak yetmez.
- Ekran görüntüsü sürekli değil, yalnız tanımlı kural tetiklendiğinde alınır.
- E-posta ve takvimden yalnız sayılar tutulur, içerik okunmaz.
- Pano metni sunucuya gönderilmez; yalnız veri sınıfı ve maskeli örnek.
- Ayrılan çalışan izlemesi süreli (≤180 gün) ve gerekçe zorunlu.
Hukuki feragat: NornGuard KVKK uyumu için hukuki garanti vermez; Kanunun aradığı teknik tedbirlerin bir bölümünü teknolojik olarak destekler. Uyum, kurumun politika, süreç ve dokümantasyonuyla tamamlanır. Aynı ilke GDPR için de geçerlidir.