KVKK uyumlu müşteri portalı mimarisi: 7 teknik ilke

KVKK uyumluluğu bir etiket değildir; her teknik seçim ve mimari kararın toplamıdır. Müşteri self-service portalı geliştirirken uyumluluğu yalnızca "aydınlatma metni" ile sağlamak mümkün değildir. Bu yazıda portal mimarisinde uygulanması gereken 7 somut teknik ilkeyi ve her birinin uygulama kriterlerini ele alıyoruz.

"KVKK'ya göre kişisel veri işleyen her organizasyon, veri güvenliğini sağlamakla yükümlüdür. Bu yükümlülük yalnızca yasal uyumluluk değil, aynı zamanda müşteriye verilen bir güven taahhüdüdür."

İlke 1 — Veri minimizasyonu

KVKK madde 4'ün temel prensiplerinden biri; "işleme amacı ile bağlantılı, sınırlı ve ölçülü" veri toplama yükümlülüğüdür. Portal mimarisinde bu şu şekilde uygulanır:

Uygulama kriterleri

• Zorunlu olmayan alanlar opsiyonel hale getirilir ve açıkça belirtilir
• Her toplanan veri alanının işleme amacı dokümante edilir
• İşlem için gereksiz veri sorgusu yasaklanır (örn: teslimat için TC kimlik numarası istenmez)
• Veritabanı şemasında yalnızca aktif kullanılan alanlar yer alır

Kod düzeyinde örnek

Müşteri kayıt tablosunda "isteğe bağlı" alanlar, veritabanı seviyesinde NULLABLE olarak tanımlanır. Uygulama katmanında da bu alanlar form dışında bırakılarak yalnızca talep halinde doldurulması istenir.

İlke 2 — Katmanlı şifreleme

Kişisel veri; saklandığı, iletildiği ve işlendiği her aşamada şifrelenmelidir. Tek katmanlı şifreleme kapsamsızdır.

Üç katman

1. Transit şifrelemesi: TLS 1.3, HTTPS zorunlu (HSTS header ile)
2. Saklama şifrelemesi: Veritabanı şifrelemesi (MySQL InnoDB encryption veya uygulama katmanında AES-256)
3. Özel alan şifrelemesi: TC kimlik, IBAN gibi kritik alanlar ayrıca uygulama şifreleme ile saklanır

Kritik alan örnekleri

Aşağıdaki alanlar her zaman uygulama katmanı şifreleme ile saklanır:

• TC kimlik numarası
• Pasaport / yabancı kimlik numarası
• IBAN / kart numarası (zaten tokenize edilmeli, saklanmamalı)
• Sağlık verisi (tanı, tedavi, reçete)
• Biyometrik veri

İlke 3 — Rol bazlı erişim kontrolü (RBAC)

Her çalışanın veya sistem kullanıcısının yalnızca görev tanımında yer alan verilere erişebilmesi gerekir. "Tüm personel her şeyi görsün" yaklaşımı KVKK uyumsuzluğudur.

Minimum rol seti

• Müşteri: Yalnızca kendi verilerine erişir, diğer müşterilerin verisini hiçbir koşulda göremez
• Operasyon (ops): Müşteri verilerini işler, ancak silme yetkisi yoktur
• Yönetici: İstisnai silme ve değişiklik yetkisine sahip, her eylem loglanır
• Veri sorumlusu: Tam erişim, tüm logları görüntüleme

Rol atama işlemi her zaman "yetki talep edildiğinde açılır, görev bittiğinde kapanır" prensibi ile yapılır. Kalıcı süper-kullanıcı yetkileri sınırlı tutulur.

İlke 4 — Kapsamlı loglama ve izlenebilirlik

Kişisel veriye yapılan her erişim ve işlem değiştirilemez biçimde loglanır. Loglar; veri sorumlusunun "kim, ne zaman, hangi veriye eriştin" sorusuna kanıtla cevap verebilmesini sağlar.

Log kayıt seti

Log dosyaları; ayrı bir sunucuda veya log servisinde saklanır, uygulama sunucusuyla aynı yerde tutulmaz. Bu, kötü niyetli erişim durumunda log tahrifatını önler.

İlke 5 — Saklama sürelerinin otomatikleştirilmesi

KVKK; kişisel verilerin işleme amacı sona erdiğinde silinmesini zorunlu kılar. Manuel silme süreçleri yetersizdir çünkü unutulur ve tutarsızdır.

Otomasyon kuralları

• Her tablo ve veri türü için saklama süresi (TTL) tanımlanır
• Günlük çalışan arka plan görevi (cron) TTL'si dolan kayıtları siler veya anonimleştirir
• Silme işlemi geri dönülemez olmalıdır (soft delete KVKK kapsamında "silme" sayılmaz)
• Silinen kayıtların silinme bilgisi loglanır (hangi kayıt, ne zaman, hangi politika ile)

Tipik saklama süreleri

• İletişim formu başvurusu: 1 yıl
• Aktif müşteri hesabı: aktif olduğu sürece + 10 yıl (VUK gereği)
• Fatura kayıtları: 10 yıl (VUK)
• Log kayıtları: 2 yıl
• Analitik veri: 6 ay (anonimleştirilmiş)

İlke 6 — Kullanıcı hakları için self-service araçlar

KVKK madde 11 kapsamında kullanıcılara tanınan haklar (bilgi talep etme, silme isteme, veri taşınabilirliği) portal üzerinden self-service olarak sunulmalıdır. Her başvurunun manuel işlenmesi uyumsuzluk üretir.

Portal içinde sunulan araçlar

• Veri Görüntüleme: Kullanıcı kendi verilerinin tamamını tek sayfada görebilir
• Veri İndirme: JSON veya PDF formatında kendi verilerini indirebilir (data portability)
• Düzeltme: Yanlış kayıtları kendi panelinden düzeltebilir
• Silme Talebi: Hesap silme talebini form üzerinden iletir, 7 gün içinde yanıt alır
• İtiraz: Otomatik karar verme sistemlerine itiraz için açık kanal

İlke 7 — Felaket kurtarma ve iş sürekliliği

KVKK; veri sorumlusunun sadece veri güvenliğini değil, bütünlüğünü ve erişilebilirliğini de koruma yükümlülüğünü içerir. Felaket kurtarma planı olmayan bir portal, uyumsuz sayılır.

Temel uygulamalar

• Yedekleme: Günlük şifrelenmiş yedek; 3-2-1 kuralı (3 kopya, 2 farklı ortam, 1 off-site)
• Yedek restorasyon testi: Ayda bir, rastgele bir yedek test ortamında geri yüklenir
• RTO (Recovery Time Objective): Felaket sonrası en geç kaç saatte hizmet başlar (tipik: 4 saat)
• RPO (Recovery Point Objective): Maksimum veri kaybı penceresi (tipik: 24 saat)
• KVKK ihlal bildirimi planı: İhlal tespitinden itibaren 72 saat içinde Kurul'a bildirim

Sonuç

KVKK uyumluluğu tek bir uygulama veya metin değil, portal mimarisinin her katmanına sinmesi gereken bir disiplindir. Bu 7 ilke; proje başlangıcında uygulandığında, sonradan kurtarma maliyeti çok büyük bir yükümlülüğü ortadan kaldırır.

Mevcut portal mimariniz bu ilkelerden kaçını karşılıyor? Bir denetim talebi oluşturursanız, 30 dakikalık ücretsiz keşif görüşmesi kapsamında mevcut yapının uyumluluk haritası çıkarılır ve iyileştirme yol haritası sunulur.