Opera Daki Hayalet Hub

Şirketinizde kişisel verilerin (çalışan, müşteri verileri vb.) yönetimi için atanmış bir Veri Sorumlusu veya ilgili bir rol var mı?

Evet, tam zamanlı ve yetkin bir Veri Koruma Görevlimiz (DPO) var.

Evet, bu sorumluluğu üstlenen bir çalışanımız var ancak ana işi bu değil.

Hayır, böyle bir rol veya atanmış bir kişi yok.

Emin değilim.

Kişisel verileri işlemeden önce ilgili kişilerden (örneğin müşteriler, çalışanlar) açık ve bilgilendirilmiş rıza alıyor musunuz?

Evet, tüm süreçlerimizde standart olarak aydınlatma metni ve açık rıza alıyoruz.

Genellikle evet, ama bazı süreçlerde eksiklikler olabilir.

Hayır, özel bir rıza prosedürümüz yok.

Sadece belirli durumlar için (pazarlama gibi) rıza alıyoruz.

Topladığınız kişisel verilerin bir envanteri (veri haritası) var mı? (Hangi veriyi, neden, nerede, ne kadar süreyle sakladığınızı gösteren bir kayıt)

Evet, güncel ve detaylı bir veri envanterimiz var.

Başlangıç seviyesinde bir envanterimiz var ama güncel değil.

Hayır, böyle bir envanterimiz yok.

Ne olduğunu biliyorum ama henüz başlamadık.

Çalışanlarınıza KVKK/GDPR ve veri güvenliği konusunda düzenli olarak eğitim veriyor musunuz?

Evet, işe alımda ve sonrasında yıllık olarak düzenli eğitimler veriyoruz.

Sadece işe alım sırasında bir bilgilendirme yapıyoruz.

Hayır, bu konuda özel bir eğitim programımız yok.

Sadece ilgili departmanlara (İK, Hukuk) eğitim veriliyor.

Bir veri ihlali (siber saldırı, veri sızıntısı vb.) durumunda takip edilecek bir acil durum eylem planınız var mı?

Evet, yazılı, test edilmiş ve tüm ekibin bildiği bir planımız var.

Yazılı bir planımız var ama hiç test etmedik.

Hayır, resmi bir planımız yok.

Ne yapacağımızı genel olarak biliyoruz ama yazılı değil.

Kişisel verilerin saklandığı sistemlere (bilgisayarlar, sunucular) erişim, sadece yetkili kişilerle mi sınırlandırılmış durumda?

Evet, 'bilmesi gereken' prensibine göre katı erişim kontrollerimiz var.

Geniş yetkilerle birçok çalışanın erişimi var.

Hayır, çoğu çalışan birçok veriye erişebiliyor.

Erişim kontrolleri var ama düzenli olarak gözden geçirilmiyor.

Üçüncü partilerle (örneğin, bulut hizmeti sağlayıcıları, pazarlama ajansları) veri paylaşırken veri koruma sözleşmeleri yapıyor musunuz?

Evet, tüm tedarikçilerimizle KVKK/GDPR uyumlu sözleşmelerimiz var.

Sadece büyük tedarikçilerle yapıyoruz.

Hayır, genellikle standart hizmet sözleşmelerini kullanıyoruz.

Sözleşmelerde veri koruma maddeleri var ama detaylı değil.

Bireylerin (müşteriler, çalışanlar) kendi verilerine erişme, düzeltme veya silme taleplerini karşılamak için bir prosedürünüz var mı?

Evet, bu talepleri almak ve yasal sürede yanıtlamak için net bir prosedürümüz var.

Talepler e-posta ile geliyor ve duruma göre yanıtlıyoruz, standart bir süreç yok.

Bu tür talepleri nasıl yöneteceğimizi bilmiyoruz.

Sadece yasal bir zorunluluk olduğunda ilgileniyoruz.

Web sitenizde, çerez kullanımı ve veri toplama hakkında kullanıcıları bilgilendiren bir çerez politikası ve gizlilik politikası bulunuyor mu?

Evet, güncel, anlaşılır ve kolayca erişilebilir politikalarımız var.

Var ama standart bir metin, şirketimize özel değil.

Hayır, web sitemizde bu politikalar yer almıyor.

Sadece gizlilik politikamız var, çerez politikamız yok.

Artık ihtiyaç duyulmayan veya yasal saklama süresi dolmuş kişisel verileri güvenli bir şekilde imha etmek için bir politikanız var mı?

Evet, otomatik veya periyodik olarak çalışan bir veri imha politikamız var.

Manuel olarak yapıyoruz ama düzenli değil.

Hayır, verileri genellikle süresiz olarak saklıyoruz.

Veri silme işlemini nasıl güvenli yapacağımızı bilmiyoruz.

KVKK/GDPR Uyum Riski Testi