Ajansa Müşteri Verisi Vermeden Önce: KVKK Maddeleri

Ajansa müşteri verisi vermeden önce üç şeyi yazıya dökün: hangi veri paylaşılacak, hangi amaçla kullanılacak ve çalışma bitince ne olacak. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, kişisel verileri sizin adınıza başka bir kişi işliyorsa veri güvenliği tedbirleri konusunda sizi o kişiyle birlikte sorumlu tutar. Yani ajansa verdiğiniz müşteri listesi, sipariş kaydı ya da form yanıtı, sözleşmeyi imzaladığınız anda sorumluluğunuzdan çıkmaz. Hukuki tavsiye değildir.

Konu en çok, ajansla çalışmaya yeni başlayan ve elinde müşteri kayıtları bulunan küçük işletmeleri ilgilendirir: bir e-ticaret sitesi, bir hizmet firması ya da bir yayıncı. Reklam hesabını, analitik hesabını ya da e-posta listesini ajansa açmadan önce sormanız gereken sorular aynıdır. Erişim yönetiminin Search Console tarafı için ajans müşteri hesabı erişim ve yetki yönetimi yazısına bakabilirsiniz. Burada ağırlık sözleşmenin gizlilik ve veri işleyen yanındadır.

Ajansa hangi veri gerçekten gerekir?

İlk adım sözleşme değil, envanterdir. Ajans reklam yönetiyorsa kampanya hesabına, içerik yazıyorsa ürün bilgisine, e-posta gönderiyorsa liste verisine ihtiyaç duyar. Her işin gerektirdiği veri farklıdır ve bazı işlerde müşterinin kimliğini taşıyan bilgi hiç gerekmez. Kanunun (yeni sekmede açılır) 4. maddesi, kişisel verilerin işlenmesinde uyulması zorunlu ilkeler arasında verilerin "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmasını sayar. Bu ilke ajansla ilişkinizde şuna dönüşür: işin yapılması için gereken veriyi verin, gerisini vermeyin.

Veri türlerine göre ayrım

Verileri üç kutuya ayırın. Birinci kutu, kimlik taşımayan veridir: toplam sipariş sayısı, sayfa gösterimleri, kategori bazlı ciro. İkinci kutu, kişiyi belirlenebilir kılan veridir: ad, telefon, e-posta, adres, sipariş geçmişi. Kanun kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar. Üçüncü kutu, ilişkinin dışında kalması gereken verilerdir: işin amacıyla bağlantısı olmayan müşteri notları, ödeme bilgileri, kimlik belgesi görüntüleri.

Verinin kaynağını hatırlayın

Müşteri listeniz belirli bir amaçla toplandıysa, o amacın dışına çıkan paylaşım ayrıca düşünülmelidir. Siparişi teslim etmek için alınan adres, bir ajansın reklam kitlesi kurması için alınmamıştır. Böyle bir kullanımın dayanağı ayrı bir değerlendirme gerektirir ve bu karar veri sorumlusu olarak sizin kararınızdır.

Hassas olan veriyi ayırın

Kanunun 6. maddesi, sağlık gibi bazı veri türlerini özel nitelikli kişisel veri olarak ayrı bir düzene bağlar. Pazarlama işi için bu tür verinin ajansa verilmesi gerekmiyorsa paylaşmayın. Bir müşteri notu, bir form alanı ya da bir yorum içinde böyle bir bilgi yer alıyorsa, dosyayı paylaşmadan önce o alanı çıkarın. Uygulama önerisi: veri dosyasının sütun başlıklarını ajansa göstermeden önce tek tek gözden geçirin; serbest metin sütunları (not, açıklama, mesaj) beklenmedik bilgi taşıyabilir.

Veri sorumlusu ve veri işleyen kimdir?

Kanunun 3. maddesi iki rolü tanımlar. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Bu iki tanım ajans ilişkisini anlamanın çıkış noktasıdır.

Ajans hangi rolde olur?

Ajans, sizin verdiğiniz yetkiyle ve sizin belirlediğiniz amaç için veriyi işliyorsa veri işleyen rolü gündeme gelir. Ajans verinin amacını ve yöntemini kendisi belirliyorsa, o kısım için tablo değişebilir. Rolün nasıl nitelendirileceği somut ilişkiye bağlıdır. Kanun metninde ajans gibi bir sektör için ayrı bir tanım yer almaz; belgelerde bu konuda ifade yok. Bu yüzden sözleşmede rolü açıkça yazmak, sonradan tartışmayı azaltır.

Rolü yazmanın pratik faydası

Sözleşmede "ajans, müşterinin talimatı doğrultusunda ve yalnızca sözleşmedeki amaç için veri işler" cümlesi, ajansın kendi amacıyla kullanımına açıkça sınır koyar. Uygulama önerisi: bu cümleyi sözleşmenin tanımlar bölümüne değil, ajansın yükümlülükleri bölümüne koyun. Uyuşmazlıkta ilk bakılan yer orası olur.

Kanundaki sorumluluk zinciri: madde 12

Kanunun 12. maddesi veri güvenliğini düzenler. Birinci fıkra, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorunda olduğunu söyler. İkinci fıkra ajans ilişkisi bakımından kritik olandır: kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, veri sorumlusu bu tedbirlerin alınması hususunda o kişilerle birlikte müştereken sorumludur.

Üç fıkranın ajansa yansıması

• Birinci fıkra: ajansa veri vermeden önce kendi tedbirlerinizin neler olduğunu bilmeniz gerekir.
• İkinci fıkra: ajansın tedbirleri alınmazsa sorumluluk yalnızca ajansta kalmaz, sizinle birlikte işler.
• Üçüncü fıkra: veri sorumlusu, kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu denetim yükümlülüğü veri sorumlusunun kendi kurumuna ilişkindir.

Kanun metni, ajanslar için sertifika, belirli bir sözleşme biçimi ya da zorunlu madde listesi tanımlamaz; belgelerde bu konuda ifade yok. Sözleşmeye hangi başlıkların gireceği bu yüzden uygulama kararıdır.

Gizlilik ve ifşa yasağı maddesi nasıl kurulur?

Kanunun 12. maddesinin dördüncü fıkrası doğrudan ifşa yasağını anlatır: veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Aynı fıkra bu yükümlülüğün görevden ayrılmalarından sonra da devam ettiğini söyler. Bu cümle, sözleşmedeki gizlilik maddesinin iskeletini verir: açıklama yasağı, amaç sınırı ve sürenin sözleşmeden sonra da sürmesi.

Maddenin dört bileşeni

1. Kapsam: gizli sayılan bilgi türleri sayılır, müşteri verisi bunların arasında açıkça yer alır.
2. Yasak: ajans ve çalışanları bu bilgileri üçüncü kişilere açıklamaz.
3. Amaç sınırı: bilgiler yalnızca sözleşmedeki iş için kullanılır.
4. Süre: yükümlülük sözleşme bitişinden sonra da devam eder.

Maddenin taslak dili

Uygulama önerisi olarak şu çerçeveyi kullanabilirsiniz: "Ajans, müşteri tarafından kendisine açılan kişisel verileri yalnızca sözleşmede yazılı iş için kullanır, üçüncü kişilere açıklamaz, çalışanlarının yalnızca işi yürütmek için gerekli olanlarının erişimine açar ve bu yükümlülük sözleşmenin sona ermesinden sonra da devam eder." Cümle kanunun 12. maddesinin dördüncü fıkrasındaki üç unsuru, yani açıklama yasağını, amaç dışı kullanma yasağını ve sürekliliği tek cümlede toplar. Sözleşmenin diğer yerlerindeki tanımlarla çelişmemesine dikkat edin: "gizli bilgi" tanımı müşteri verisini dışarıda bırakıyorsa, bu cümle işe yaramaz.

Çalışanlar ve alt yükleniciler

Ajansın çalışanları ve ona hizmet veren serbest çalışanlar da veriye ulaşabilir. Uygulama önerisi: gizlilik maddesine "ajans, bu yükümlülüğü verilere erişen her çalışanına ve hizmet sağlayıcısına yazılı olarak aktarır" cümlesini ekleyin ve veriye hangi araçlarla ulaşıldığını listeletin. Kanun metni alt hizmet sağlayıcıya özel bir hüküm vermez; belgelerde bu konuda ifade yok. Bu cümle sözleşmenin sağladığı bir korumadır.

Veri işleyen maddeleri: sözleşmede ne istenir?

Tablodaki başlıklar kanunun zorunlu tuttuğu bir liste değildir. Madde 4'teki amaç ve ölçülülük ilkesi ile madde 12'deki tedbir ve denetim yükümlülüklerini sözleşmeye taşımanın bir yoludur.

Olay bildirimi neden ayrı bir madde olmalı?

Kanunun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildireceğini söyler. Bildirimi yapacak taraf veri sorumlusudur, yani sizsiniz. Ajansta yaşanan bir olayı siz öğrenmezseniz bildirimi yapamazsınız. Bu yüzden ajansın olayı size bildirme yükümlülüğünü ve bildirimin kimden kime, hangi kanaldan yapılacağını sözleşmede açıkça yazın. Kanun metnindeki ifade "en kısa sürede" biçimindedir. Ajans bildirimine bir gün sınırı koymak sözleşme tercihidir.

Erişim yetkisini en düşük düzeyde tutmak

Gizlilik maddesi kâğıt üzerindeki korumadır. Teknik koruma, hesaplarda ajansa verdiğiniz yetkiyle sağlanır. Search Console (yeni sekmede açılır)'da üç izin düzeyi vardır: sahip, tam kullanıcı ve kısıtlı kullanıcı. Google'ın yardım sayfasına göre kısıtlı kullanıcı basit görüntüleme hakkına sahiptir ve araç erişimi sınırlıdır. Tam kullanıcı bazı işlemleri yapabilir ama kullanıcı ekleyip çıkaramaz. Yalnızca sahipler kullanıcı ekleyebilir. Arayüzü Türkçe kullanıyorsanız menü ve etiket adları farklı görünebilir. Kullanıcı eklemek için "Settings" altındaki "Users and permissions" bölümü kullanılır; e-posta grupları kabul edilmez, geçerli bir Google hesabı gerekir.

Analytics rolleri ve veri kısıtları

Google Analytics yardım sayfası (yeni sekmede açılır) Yönetici, Düzenleyici, Pazarlamacı, Analist ve Görüntüleyici rollerini tanımlar. Yönetici kullanıcıları yönetebilir ve her rolü veya kısıtlamayı atayabilir. Düzenleyici mülk ayarlarını yönetir ama kullanıcıları yönetemez. Analist ve Görüntüleyici veriyi görür. Sayfada ayrıca "No Cost Metrics" ve "No Revenue Metrics" veri kısıtları yer alır: bu kısıtlarla kullanıcı maliyet veya gelir metriklerini göremez. Uygulama önerisi: raporlama yapan bir ajansa Görüntüleyici ya da Analist rolü verin, gelir bilgisini paylaşmak istemiyorsanız kısıtı ekleyin.

Kişisel hesap yerine kurumsal hesap

Ajans çalışanının kendi kişisel Google hesabını yetkilendirdiğinizde, çalışan ajanstan ayrıldığında erişim onunla birlikte gider ya da tersine, çalışan ayrıldığı hâlde hesabınızda kalır. Uygulama önerisi: ajans tarafında ortak bir kurumsal hesap yerine, her çalışanın kendi iş hesabı için ayrı bir kullanıcı ekleyin. Böylece kimin ne zaman baktığını ve kimin erişiminin kapatılacağını izleyebilirsiniz. Search Console e-posta gruplarını kabul etmediği için tek tek kullanıcı eklemeniz gerekir.

Erişim listesi

Sözleşmeye ekli bir tablo tutun: hangi hesap, hangi kişi, hangi rol, ne zaman verildi, ne zaman kapatılacak. Bu tablo hem ajansa neyi paylaştığınızı hatırlatır hem de iş bitince kapatma işini hızlandırır.

Çalışma bitince veri ve erişimin kapatılması

Madde 12'deki ifşa yasağı görevden ayrıldıktan sonra da sürer, ama bu, verinin ajansın elinde kalabileceği anlamına gelmez. Madde 4'e göre veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Amaç bittiğinde ajansın elindeki kopyanın dayanağı kalmaz.

Bitiş günü adımları

1. Search Console ve Analytics'te ajansın kullanıcılarını kaldırın. Search Console'da kullanıcının menüsünden "Remove access" seçilir. Doğrulanmış sahip bir kullanıcıysa, ajansın sitenize eklediği doğrulama jetonunu da kaldırmanız gerekir.
2. Reklam hesaplarındaki, e-posta aracındaki ve ortak klasörlerdeki ajans erişimlerini kapatın.
3. Ajanstan, elindeki veri kopyalarının iade edildiğini veya silindiğini yazılı olarak isteyin.
4. Ajansa verdiğiniz parola ve API anahtarlarını yenileyin.
5. Kapanış bilgisini erişim listesine işleyin ve tarihleyin.

Ajans değiştirirken

Eski ajansın erişimini kapatmadan yeni ajansa erişim açmak, iki ajansın aynı veriye sahip olduğu bir geçiş dönemi yaratır. Geçişte sırayı şöyle kurun: yeni ajansın sözleşmesi imzalanır, yeni ajansa gerekli en düşük rol verilir, eski ajanstan raporların son kopyası alınır, eski ajansın erişimi kapatılır ve silme teyidi istenir. Geçiş tarihlerini erişim listesine yazın; böylece iki ajansın birlikte erişim sahibi olduğu günler belgelenir ve sonradan açıklanabilir.

Yedekler ve raporlar

Ajansın hazırladığı raporlar müşteri verisi içeriyorsa silme kapsamına girer. Yedeklerin gecikmeli silinmesi gerçek bir durumdur. Uygulama önerisi: sözleşmeye yedeklerin ne zaman devre dışı kalacağını da yazdırın.

Verinin ajansa ulaştığı yollar

Aynı veri, hangi yoldan aktarıldığına göre farklı risk taşır. Kanunun 12. maddesi tedbirleri "teknik ve idari" olarak anar; aktarım yolunu seçmek bu tedbirlerin en somut parçasıdır. Her yolun sorulması gereken bir yönü vardır.

E-posta ekindeki dosya

En kolay yol olduğu için en çok kopya üreten yoldur. Ek bir kez gönderildiğinde ajansın posta kutusunda, çalışanların indirilenler klasöründe ve yedeklerinde kalır. Silme talebiniz geldiğinde bu kopyaların hepsini bulmak güçtür. Uygulama önerisi: kişi verisi içeren dosyayı e-postayla göndermeyin, süreli bağlantı veya erişim kontrollü bir paylaşım klasörü kullanın ve klasörü iş bitince kapatın.

Paylaşılan klasör ve ortak tablo

Ortak bir tablo, kimin ne zaman baktığını gösterebilir ve erişimi tek tuşla kapatabilirsiniz. Buna karşılık tabloyu indirmek ve kendi diskine kaydetmek ajansın elindedir. Sözleşmede "dosyalar yerel cihazlara indirilmez" ya da "indirilen kopya iş bitince silinir" cümlelerinden biri bulunmalıdır.

Hesap erişimi ve uygulama arayüzü

Reklam, analitik ve e-posta araçlarında veriyi dosya olarak vermek yerine ajansa araçta bir rol vermek, veriyi sizin hesabınızda tutar. Çıkış gününde rolü kaldırmak yeterlidir. Hangi rolün hangi veriyi gösterdiğini bir önceki bölümde gördüğünüz izin tablolarıyla kontrol edin.

Ajansın kendi aracı

Bazı ajanslar veriyi kendi yönetim panellerine, raporlama araçlarına ya da hizmet sağlayıcılarına yükler. Bu durumda veri sizin kontrolünüzden çıkar. Aktarımdan önce şunu sorun: veri hangi araçlarda tutulacak, bu araçlara kimler erişiyor ve araçtan nasıl silinecek? Yanıtı sözleşmenin ekine yazdırın. Verinin yurt dışındaki bir araca aktarılıp aktarılmayacağı ayrıca sorulması gereken bir sorudur. Bu soruya ilişkin kanun hükmünün ayrıntısı bu konunun dışındadır.

İlgili kişi talebi geldiğinde ajansın rolü

Müşterileriniz kendi verileriyle ilgili size başvurabilir. Kanunun 13. maddesi, ilgili kişinin taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna ileteceğini söyler. Veri sorumlusu, başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Muhatap veri sorumlusu olarak sizsiniz; ajans değil. Ama talebin konusu olan veri ajansın elindeyse, siz cevap vermeden önce ajansın o veriyi bulup size iletmesi gerekir.

Sözleşmeye yazılabilecek yardım maddesi

• Ajans, müşterinin kişisel veriyle ilgili talebini fark ederse kendisi yanıtlamaz, size iletir.
• Ajans, talep edilen verinin kendi sistemlerinde nerede tutulduğunu belirli bir sürede size bildirir.
• Ajans, silme veya düzeltme kararınızı kendi kopyalarına uygular ve yazılı teyit verir.

Kanun metni, ajansın yardım etme biçimi için süre veya ayrıntı vermez; belgelerde bu konuda ifade yok. Maddeyi yazarken sürenizi kanunun size tanıdığı süreyi aşmayacak biçimde, ajans için daha kısa tutun. Uygulama önerisi: ajansın sizi bilgilendirme süresini, kendi yanıt sürenizin içinde kalacak biçimde belirleyin.

Teklif aşamasında ajansa sorulacak sorular

Sözleşme imzalanmadan önce, teklif toplantısında sorulan sorular ajansın veri alışkanlığını gösterir. İyi bir ajans bu soruları beklenmedik bulmaz; yanıtları yazılı verir. Yanıtın kalitesi, sonradan sözleşmeye yazacağınız maddelerin zorluğunu da belirler.

Yanıt vermekten kaçınan ajans

Ajans bu sorulara cevap vermiyorsa ya da yanıtı geçiştiriyorsa, bu bir bilgi eksikliğidir ve karar sürecinizde ağırlık taşımalıdır. Yanıtların yazılı alınması, sonradan "bunu konuşmuştuk" tartışmasını önler. Teklif karşılaştırmasını nasıl kuracağınız için reklam alanı tekliflerinin karşılaştırılması yazısındaki puanlama mantığına bakabilirsiniz; veri güvenliği yanıtlarını da o tabloya bir ölçüt olarak ekleyebilirsiniz.

Örnek senaryo: bir nakliyat firması

Örnek senaryo: bir nakliyat firması, taşınma sonrası memnuniyet kampanyası için ajansla çalışmak istiyor. Firmanın elinde müşteri adı, telefon, eski ve yeni adres, taşınan eşya listesi, taşınma tarihi ve sigorta bilgisi var. Ajansın görevi yalnızca arama reklamları ve yorum toplama e-postaları.

Firmanın verdiği ve vermediği

Firma, yorum e-postaları için yalnızca e-posta adresini ve taşınma ayını paylaşıyor. Eşya listesi, adresler ve sigorta bilgisi paylaşılmıyor, çünkü yorum isteme işi bunlara ihtiyaç duymuyor. Arama reklamları için ise kişi verisi hiç gerekmiyor: ajansa Analytics'te Görüntüleyici rolü ve gelir kısıtı veriliyor. Eşya listesi bir kişinin evindeki eşyaları anlattığı için ayrıca hassas olabilir. Bu yüzden listeden uzak durmak mantıklı bir tercihtir.

Ajansın yanıtı ve firmanın kararı

Ajans, yorum e-postalarını kendi gönderim aracıyla yollayacağını ve listeyi o araca yükleyeceğini söylüyor. Firma, listenin gönderimden sonra araçtan silinmesini ve ajansın bunu yazılı teyit etmesini istiyor. Ajans ayrıca iki çalışanının listeye erişeceğini bildiriyor. Firma bu iki kişiyi sözleşme ekine adıyla yazdırıyor. Reklam tarafında kişi verisi paylaşılmadığı için ek bir önlem gerekmiyor, ama erişim listesine ajansın Analytics kullanıcısı ekleniyor ve bitiş tarihi işleniyor.

Sözleşmede yazılanlar

Sözleşmede amaç sınırı, ifşa yasağı, olay bildirimi ve bitiş günü silme maddesi bulunuyor. Firma ayrıca ajansın e-posta gönderim aracını ve oraya veriyi nasıl yüklediğini soruyor. Ajansın cevabı sözleşmenin ekine yazılıyor.

Karar kuralı: bu veri ajansa gider mi?

Her veri alanı için sırasıyla sorun. Birincisi, ajansın sözleşmedeki işi bu veri olmadan yapılabilir mi? Yapılabiliyorsa verilmez. İkincisi, veri kimlik taşıyor mu? Taşıyorsa maskeleme veya toplulaştırma mümkün mü? Mümkünse o biçimde verilir. Üçüncüsü, kimlik taşıyan veri gerçekten gerekiyorsa, amaç sınırı, ifşa yasağı, güvenlik tedbirleri ve bitiş günü silme sözleşmede yazılı mı? Yazılı değilse veri verilmez, önce sözleşme tamamlanır. Dördüncüsü, veriyi hangi araçla ve hangi kullanıcı üzerinden aktardığınızı biliyor musunuz? Bilmiyorsanız aktarım ertelenir. Bu dört soruyu her yeni veri talebinde yeniden sorun: ajansla ilişki sürerken yeni bir kampanya, yeni bir araç ya da yeni bir çalışan, önceki cevapları geçersiz kılabilir. Cevapları tarihleyerek saklarsanız, hangi kararın hangi bilgiyle verildiğini sonradan gösterebilirsiniz.

Ajansa veri vermeden önce kontrol listesi

• Paylaşılacak veri alanları tek tek yazıldı ve her biri için bir amaç belirlendi.
• Gereksiz kimlik bilgileri çıkarıldı ya da maskelendi.
• Sözleşmede ajansın rolü, amaç sınırı ve yazılı talimat cümlesi var.
• İfşa yasağı sözleşme bitiminden sonra da sürecek biçimde yazıldı.
• Güvenlik tedbirleri ve ajansın veriye eriştiği araçlar listelendi.
• Olay bildirimi için kişi, kanal ve süre belirlendi.
• Hesap erişimleri en düşük rolle açıldı, erişim listesi tutuluyor.
• Bitiş günü silme veya iade adımları ve yedeklerin durumu yazıldı.
• Çerez ve ölçüm tarafı için çerez onayı ve ölçüm kaybı yazısındaki rıza akışı, e-posta listesi için ticari elektronik ileti izni yazısı kontrol edildi.

Karıştırılan noktalar

"Gizlilik sözleşmesi imzaladık, iş tamam"

Gizlilik maddesi ifşayı sınırlar. Hangi verinin gerektiğini, ne kadar süre saklanacağını ve olayda kimin kimi bilgilendireceğini düzenlemez. Veri işleyen maddeleri bu boşlukları kapatır.

"Ajans sorumlu, ben değilim"

Madde 12'nin ikinci fıkrası, veri sorumlusunu tedbirlerin alınmasında veri işleyenle müştereken sorumlu tutar. Sorumluluğun paylaşılması sizi devre dışı bırakmaz.

"Erişim verdim, veri vermedim"

Analytics veya reklam hesabına rol vermek, o hesaptaki verinin ajansa açılması demektir. Rol düzeyi bu yüzden bir veri paylaşımı kararıdır.

"Veriyi maskeledik, artık kişisel veri değil"

Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Bir alanı gizlemek, geri kalan alanlar kişiyi hâlâ belirlenebilir kılıyorsa yeterli olmayabilir. Sipariş tarihi, semt ve ürün bilgisi birlikte bir kişiyi gösterebilir. Maskelemeyi yaptıktan sonra dosyaya yeniden bakın ve tek başına ya da birlikte bir kişiyi işaret eden alan kalıp kalmadığını sorun.

"Ajans başka ülkede, bizi ilgilendirmez"

Verinin ajansın hangi ülkedeki aracına yüklendiği sizin için bir sorudur. Veri sorumlusu olarak tedbirleri alma yükümlülüğünüz, verinin nerede durduğundan bağımsız olarak sürer. Yurt dışı aktarımın kanundaki ayrıntısı bu konunun dışındadır, ama ajansa araçlarının ve sunucularının nerede olduğunu sormak her zaman mümkündür.

"Çalışma bitti, artık dert değil"

İfşa yasağı görevden ayrılmadan sonra da sürer. Silme ve erişim kapatma adımlarını bitiş günü yapmazsanız, açık kalan erişim yeni bir risk doğurur.

Sık Sorulan Sorular

Ajansa müşteri listesinin tamamını vermek zorunda mıyım?

Hayır. Ajansın işi için gereken en dar veri kümesini verin. Kanunun 4. maddesi verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ilke olarak sayar.

Ajans veri işleyen mi sayılır?

Kanunun 3. maddesine göre veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Ajans bu yetkiyle çalışıyorsa bu rol gündeme gelir. Rol somut ilişkiye bağlıdır ve sözleşmede açıkça yazılmalıdır.

Ajanstan kaynaklı bir veri sızıntısında kim sorumlu olur?

Madde 12 ikinci fıkra, kişisel veriler veri sorumlusu adına başka biri tarafından işleniyorsa tedbirlerin alınmasında veri sorumlusunun o kişiyle birlikte müştereken sorumlu olduğunu söyler. Bildirim yükümlülüğü beşinci fıkraya göre veri sorumlusundadır. Hukuki tavsiye değildir.

Gizlilik taahhüdü sözleşme bitince sona erer mi?

Madde 12 dördüncü fıkra, ifşa yasağı ve amaç dışı kullanma yasağının görevden ayrılmalardan sonra da devam ettiğini söyler. Sözleşme metninde de aynı sürekliliği yazmak sizin elinizdedir.

Search Console erişimini ajansa hangi düzeyde vermeliyim?

Google yardım sayfasına göre kısıtlı kullanıcı basit görüntüleme hakkına sahiptir, tam kullanıcı daha fazla araç kullanır ama kullanıcı yönetemez. Sahip düzeyi kullanıcı ekleme yetkisi verir. İşin gerektirdiği en düşük düzeyi seçin.

İş bitince ajansın elindeki veriyi nasıl silerim?

Sözleşmede iade veya silme adımını ve yazılı teyidi isteyin. Erişimleri aynı gün kapatın ve parolaları yenileyin. Yedeklerin ne zaman devre dışı kalacağını da sorun.

Sonuç

Ajansa müşteri verisi vermeden önce işin gerektirdiği en dar veri kümesini belirleyin, ajansın rolünü ve amaç sınırını sözleşmeye yazın, ifşa yasağını sözleşme sonrasına taşıyın, olay bildirimi ve silme adımlarını netleştirin ve hesap erişimlerini en düşük rolle açın. Kanunun 12. maddesi bu zincirde sizi ajansla müştereken sorumlu tutar, bu yüzden verdiğiniz her alanın bir gerekçesi olmalı. Hukuki tavsiye değildir.

Kendi kontrolünüzdeki yayıncı sitelerinde bağlantı çalışması yaptırmak ve bunun için müşteri verisi paylaşmadan ilerlemek istiyorsanız backlink paketleri sayfasına bakabilirsiniz.