Güvenlik ve Uyum

Veri Koruma ve Uyum Çerçevesi

Sözleşme sürecinde kim neye karar verir, veri nerede işlenir, silme talebi nasıl yerine getirilir? Kurumsal satın alma ekiplerinin sorduğu soruların cevabı — iddia değil, çerçeve.

Veri Sorumlusu, Platform Sağlayıcı ve Uygulama Ortağı

Kurumsal alıcının güvenlik sorusunun ilk adımı rollerin netleşmesidir. Sözleşme sürecinde üç farklı aktör, farklı sorumluluklarla yer alır; kim neye karar verir, kim neyi işler, kim neye erişebilir soruları bu çerçeveyle yanıtlanır.

Müşteri, sözleşmenin tarafı olarak hangi verinin, hangi amaçla, hangi süreyle işleneceğine karar veren veri sorumlusudur. Hangi alanların doldurulacağı, imzacıların listesi, saklama süresi ve silme koşulları müşterinin iş süreci ve mevzuatına göre belirlenir.
Docusign, sözleşme verisinin işlendiği platformu sağlayıcı olarak sunar; eSignature ve CLM ürünleri üzerinden imza, arşiv ve denetim izi teknik altyapısını işletir. Müşteri tarafından açılan ortamda tanımlı kullanıcılar dışında sözleşme içeriğine erişim müşterinin verdiği yetki kapsamındadır.
Netkur, Docusign iş ortağı olarak kurulum, entegrasyon, eğitim ve destek hizmetlerini sağlayan uygulama ortağıdır. Netkur'un kendi adına sözleşme içeriğine erişim amacı yoktur; destek sürecinde müşterinin açık yetkilendirmesiyle ve sınırlı kapsamda hareket eder.
Bu dağılım, denetim izi kayıtlarının neden platformda tutulduğunu ve bir veri talebinin neden önce müşteriye yöneltilmesi gerektiğini açıklar. Her aktör kendi sorumluluğundaki kontrolleri işletir; bu ayrım sözleşme yönetiminin temel güvenlik bileşenidir.

Veri Yerleşimi, Saklama ve Silme Ayarları

Alıcıların sıklıkla sorduğu 'verim nerede saklanıyor' sorusu proje başlangıcında netleştirilir. Coğrafi yerleşim, saklama süresi ve silme süreçleri müşterinin politika ve mevzuatına göre yapılandırılır; bu yapılandırma sözleşmenin parçası haline gelir.

Veri yerleşimi: Hangi bölgede (ör. Avrupa, Kuzey Amerika, Asya-Pasifik) verinin tutulacağı proje başlangıcında müşteri talebine göre belirlenir. Müşterinin yargı alanı için uygun bölge seçimi, kurumsal onay sürecinde karara bağlanır.
Saklama süresi: Saklama süreleri müşterinin kendi kayıt yönetimi politikasına göre ayarlanır. Tamamlanan sözleşmeler için farklı, iptal edilen veya reddedilen taslaklar için farklı saklama süreleri tanımlanabilir; bu süreler uygulama aşamasında belirlenir.
Silme talebi: Müşteri tarafından başlatılan silme talepleri platform tarafından tanımlı politikaya göre yürütülür. Yedeklerdeki veriler için geçerli olan saklama süreleri, talep anından itibaren yedek döngüsü sonuna kadar uzayabilir; bu sınır proje belgelerinde açıkça yer alır.
Yapılandırma kayıtları: Bölge seçimi, saklama süreleri ve silme politikası gibi yapılandırma kararları denetim izine yansır. Bu kayıtlar, denetim veya makam denetimi sırasında müşterinin talebi üzerine sağlanır.

Erişim Güvenliği, Kimlik Doğrulama ve Denetim İzi

Sözleşme verisine kimin, hangi koşullarda eriştiği kurumsal alıcı için belirleyici bir kriterdir. Platform, erişim kontrolünün kurumsal kimlik altyapısıyla bütünleşik olmasına ve her erişimin denetim izine yansımasına olanak tanır.

Kurumsal kimlik bütünleşmesi: Kurumsal kullanıcılar müşterinin Identity Provider (IdP) altyapısı (ör. SAML tabanlı SSO, OpenID Connect) üzerinden platforma erişir. Bu yapı, kullanıcı yaşam döngüsünün (açma, kapama, rol değişikliği) tek kaynaktan yönetilmesini sağlar.
Çok faktörlü kimlik doğrulama (MFA): Hassas işlemler (ör. sözleşme gönderimi, toplu imza, kalıcı silme) için MFA zorunlu kılınabilir. Koşullu erişim (IP, cihaz, konum) politikası müşterinin IdP tarafında tanımlanır.
Rol tabanlı erişim ve yetki matrisi: Yönetici, hazırlayan, imzacı, gözlemci gibi roller ayrı ayrı tanımlanır. Şablon, klasör ve kullanıcı düzeyinde yetki matrisi proje başlangıcında müşteri politikasına göre kurulur.
Denetim izi: Oturum açma, belge görüntüleme, indirme, imza, ret, iptal ve yönetici işlemleri zaman damgasıyla kaydedilir. Denetim izi kayıtları silinemez; talep halinde adli amaçla dışa aktarılabilir.

GDPR, POPIA ve KVKK Çerçeveleri Arasındaki Farklar

Avrupa, Güney Afrika ve Türkiye yargı alanlarının her biri kendi veri koruma çerçevesine sahiptir. Bu bölümde her çerçevenin ne olduğu kısaca açıklanır; hangisinin 'geçerli' olduğu veya platformun hangisine tam uyum sağladığı iddia edilmez. Değerlendirme, alıcının kendi yargı alanı ve kullanım senaryosuna göre yapılır.

GDPR (Genel Veri Koruma Tüzüğü) — Avrupa Birliği: AB sınırları içinde kişisel veri işleyen tüm kuruluşlara uygulanır. Veri sorumlusunun açık rıza, amaç sınırı, veri minimizasyonu ve bildirim yükümlülükleri vardır; ihlal bildirimi 72 saat içinde yapılmalıdır.
POPIA (Protection of Personal Information Act) — Güney Afrika: Bilgi düzenleyici otoritesine kayıt, bilgilendirme, veri minimizasyonu ve açık rıza ilkeleri üzerine kuruludur. Yurt dışına veri aktarımı için yeterli koruma seviyesinin kanıtlanması beklenir.
KVKK (Kişisel Verilerin Korunması Kanunu) — Türkiye: Türkiye'de yerleşik veri sorumluları ve Türkiye'de veri işleyen yabancı kuruluşlar için geçerlidir. Açık rıza, VERBİS kaydı, kişisel veri envanteri ve sınır ötesi aktarım kuralları temel yükümlülüklerdir.
Çerçevelerin kesişim noktası: Tüm çerçeveler veri minimizasyonu, amaç sınırı, saklama sınırı, veri sahibinin hakları ve ihlal bildirimi üzerinde örtüşür. Farklılıklar çoğunlukla eşik değerler, kayıt yükümlülükleri ve yaptırım mekanizmalarında ortaya çıkar.
Değerlendirme: Bir kuruluş hangi çerçevenin geçerli olduğunu kendi yargı alanı, veri akışı ve kullanım senaryosuna göre belirler. Platform, müşterinin kendi uyum yükümlülüğünü karşılaması için gereken teknik kontrolleri (denetim izi, bölge seçimi, erişim kontrolü, silme) destekler; uyumun kendisini garanti etmez.

Satın Alma ve Hukuk Ekibinin Sorması Gereken Sorular

Sözleşme platformu seçimi öncesinde satın alma, hukuk ve bilgi güvenliği ekiplerinin yanıt aradığı tipik sorular aşağıda derlenmiştir. Bu liste satın alma sürecinde paydaşlara iletilebilir; yanıtlar proje başlangıcında resmi dokümantasyona bağlanır.

Veri işleme sözleşmesi (DPA / VİS): Müşteri ile platform sağlayıcı arasındaki veri işleme sözleşmesi kapsamı, alt işleyici listesi ve değişiklik mekanizması nedir? Yeni alt işleyici eklendiğinde bildirim ve itiraz süresi nasıl işler?
Alt işleyici listesi: Platformun hangi alt işleyicileri kullandığı, bunların yerleşik olduğu bölgeler ve hangi veri kategorilerine eriştiği dokümante midir? Liste değişikliği nasıl duyurulur?
İhlal bildirimi: Veri ihlali tespit edilmesi halinde bildirim süresi, kapsamı ve biçimi nedir? Müşteriye bildiriminden itibaren resmi bildirim yükümlülüklerinin yerine getirilmesi için yeterli süre sağlanır mı?
Saklama süresi ve silme: Müşterinin belirli bir sözleşmeyi veya tüm hesabı kalıcı olarak silme talebi nasıl yürütülür? Yedeklerden silme döngüsü ve bu döngüdeki gecikmenin sınırları nedir?
Denetim izi kanıtı: Bir ihtilaf veya resmi denetim sırasında denetim izi kayıtlarına kimin, hangi formatta ve sürede erişebileceği sözleşmeyle düzenlenmiş midir? Kayıtların bütünlüğü nasıl korunur?
Yetki yönetimi: Kurumsal IdP kesildiğinde platformda kalan hesapların durumu, idari hesap erişim kayıtları ve ayrıcalıklı erişim yönetimi nasıl denetlenir?

Satın alma ekibinizin listesi mi var?

Veri işleme, saklama ve denetim izi sorularınızı projeye özel yanıtlayalım; üreticinin güncel dokümantasyonunu talebiniz üzerine paylaşırız.

Bize Ulaşın