Ahırınızda hangi kişisel veriler var?
Uyumun ilk adımı envanterdir: neyi, nerede, kimin için tuttuğunuzu bilmeden onu koruyamazsınız. Atın kendisi kişi değildir; ama at kaydı sahibinin adıyla, telefonuyla ve faturasıyla birleştiği anda kişisel veri içeren bir kayda dönüşür. Ahırlarda tipik tablo aşağı yukarı şöyledir.
| Kimin verisi | Örnek veriler | Genellikle nerede durur |
|---|---|---|
| At sahipleri | Ad, telefon, e-posta, adres, fatura ve ödeme bilgisi, yazışmalar | Sözleşme dosyası, Excel, telefon rehberi, WhatsApp |
| Personel (seyis, antrenör, yönetici) | Kimlik, iletişim, bordro, izin, sağlık raporu | Muhasebe, özlük dosyası, e-posta |
| Binici ve öğrenciler | Ad, yaş, veli bilgisi, sağlık beyanı | Kayıt formu, mesaj grupları |
| Dış hizmet verenler | Veteriner hekim, nalbant, nakliyeci iletişim bilgileri | Takvim, telefon |
| Ziyaretçiler | Kamera görüntüsü, giriş kaydı | Güvenlik kamerası kaydedicisi |
Personelin sağlık raporu veya binicinin sağlık beyanı gibi bilgiler, KVKK'da özel nitelikli kişisel veri, GDPR'da özel kategori veri sayılır ve daha sıkı kurallara tabidir. Bunları kimin görebildiğini özellikle sorgulayın.
Temel kavramlar: veri sorumlusu, veri işleyen, hukuki dayanak
Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), AB'de ise 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) geçerlidir. AB'deki at sahiplerine hizmet veriyorsanız veya AB'de faaliyet gösteriyorsanız GDPR de gündeminize girebilir. İki düzenlemenin dili farklı olsa da temel fikirleri benzerdir.
- Veri sorumlusu (controller): Verinin neden ve nasıl işleneceğine karar veren taraftır. Ahırınızın at sahibi ve personel verileri için bu taraf çoğunlukla ahırın kendisidir.
- Veri işleyen (processor): Veriyi veri sorumlusu adına ve onun talimatıyla işleyen taraftır; örneğin kullandığınız bulut yazılımı veya muhasebe hizmeti. Aranızdaki ilişkinin yazılı bir sözleşmeyle düzenlenmesi beklenir.
- Hukuki dayanak: Her işleme faaliyetinin bir dayanağı olmalıdır. Sözleşmenin ifası (pansiyon sözleşmesi için sahibin iletişim bilgisi), hukuki yükümlülük (fatura kayıtları) veya meşru menfaat gibi dayanaklar varsa her şey için ayrıca rıza gerekmez.
- Açık rıza: Başka bir dayanağın bulunmadığı durumlarda gerekir; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Örneğin sahibin atıyla çekilen fotoğrafın tanıtımda kullanılması.
Aydınlatma metni ve veri minimizasyonu
Veri topladığınız kişiyi, kim olduğunuz, veriyi hangi amaçla ve hangi dayanakla işlediğiniz, kimlere aktarabileceğiniz ve haklarının neler olduğu konusunda bilgilendirmeniz gerekir. KVKK'da buna aydınlatma yükümlülüğü, GDPR'da gizlilik bildirimi denir. Pratikte pansiyon sözleşmesine, personel işe giriş evrakına ve binici kayıt formuna kısa, anlaşılır bir aydınlatma metni eklemek iyi bir başlangıçtır.
Aydınlatma metni ile açık rıza metnini aynı belgede birleştirmeyin; ikisi farklı işlevlere sahiptir. Bir de şu soruyu sık sık sorun: bu veriye gerçekten ihtiyacım var mı? Sahibin kimlik numarasına ya da personelin tüm sağlık geçmişine ihtiyacınız yoksa, toplamayın. Toplamadığınız veriyi kaybedemezsiniz.
Erişim kontrolü, cihazlar ve WhatsApp
Ahırlarda veri sızıntıları genellikle sofistike saldırılardan değil, gündelik alışkanlıklardan doğar: herkesin bildiği tek bir şifre, ayrılan personelin hâlâ erişebildiği bir hesap, kaybolan bir telefon. Seyisin sahibin fatura bilgisini görmesine gerek yoktur; erişimi göreve göre sınırlamak hem güvenliği hem düzeni artırır.
Ahır için temel veri güvenliği kontrol listesi
- Kişisel veri envanteri çıkarıldı: hangi veri, nerede, kim erişiyor.
- Her kullanıcının kendi hesabı var; ortak şifre kullanılmıyor.
- Erişim role göre sınırlı (seyis, antrenör, muhasebe, yönetici).
- Ayrılan personelin erişimi aynı gün kapatılıyor.
- Telefon ve bilgisayarlarda ekran kilidi ve güncel işletim sistemi var.
- Mümkün olan yerlerde iki adımlı doğrulama açık.
- Sözleşme, kayıt formu ve işe giriş evrakında aydınlatma metni var.
- Kullanılan yazılım sağlayıcılarıyla veri işleme sözleşmesi yapıldı.
- Saklama süreleri belirlendi ve süresi dolan veriler siliniyor.
- Veri ihlali ve ilgili kişi başvurusunda kimin ne yapacağı belli.
Saklama süreleri ve ilgili kişi başvuruları
Kişisel veriler, işlendikleri amaç için gerekli olan süre boyunca saklanmalıdır. Atını ahırdan alan bir sahibin iletişim bilgilerini sonsuza dek tutmak bu ilkeye uymaz; ancak vergi ve muhasebe mevzuatı gereği fatura kayıtlarını belirli bir süre saklamanız gerekebilir. Hangi kayıt için hangi sürenin geçerli olduğunu avukatınız veya mali müşavirinizle belirleyip yazılı hale getirin.
At sahipleri ve personel, hakkında hangi verileri tuttuğunuzu sorma, düzeltilmesini veya silinmesini isteme hakkına sahiptir. KVKK'da başvurulara en geç otuz gün içinde, GDPR'da kural olarak bir ay içinde cevap verilmesi beklenir. Başvuruyu kimin karşılayacağını önceden belirlerseniz, bu talepler panik yaratmaz.
Ayrıca KVKK kapsamında veri sorumluları siciline (VERBİS) kayıt yükümlülüğü bazı işletmeler için geçerlidir; çalışan sayısı, yıllık mali bilanço ve ana faaliyet konusuna göre muafiyetler bulunur. İşletmenizin kapsamda olup olmadığını kontrol edin.
Bir şeyler ters giderse
Kaybolan bir telefon, yanlış kişiye gönderilen bir fatura listesi veya ele geçirilen bir e-posta hesabı veri ihlali sayılabilir. GDPR, bildirim gerektiren ihlallerin denetim otoritesine farkına varıldıktan sonra 72 saat içinde bildirilmesini öngörür; KVKK'da da Kurul'a en kısa sürede bildirim beklenir ve Kurul bu süreyi 72 saat olarak yorumlamıştır. Bu kısa sürede ne yapacağınızı önceden bilmek gerekir.
- Durumu kayıt altına alın: ne oldu, ne zaman fark edildi, hangi veriler etkilendi.
- Zararı sınırlayın: şifreleri değiştirin, cihazı uzaktan kilitleyin, erişimi kapatın.
- Avukatınıza veya veri koruma görevlinize hemen haber verin.
- Bildirim gerekip gerekmediğine ve etkilenen kişilere nasıl haber verileceğine birlikte karar verin.
Equ Crm bu sürece nasıl destek olur?
Equ Crm'de ahır veri sorumlusu, Equ Crm ise veri işleyen konumundadır. Veriler AB'de (İrlanda) barındırılır ve bağlantılar şifrelidir. Rol ve yetki ayarlarıyla her rol için modül bazında görme, ekleme ve düzenleme izni verir, kişileri belirli lokasyonlara veya atlara sınırlarsınız; önemli işlemler erişim kaydında tutulur. Birden fazla ahırla çalışan bir veteriner hekim tek hesap kullanır, ama her ahırın verisi veritabanı düzeyinde ayrı tutulur.
Sahiple yazışmalar ve onaylar at sahibi portalında ata bağlı durur, kişisel telefonlara dağılmaz. Raporları dışarıyla paylaşmanız gerektiğinde süreli paylaşım bağlantıları kullanılabilir; hesap silme ise uygulama içinden yapılabilir. Yurt dışında barındırmanın KVKK açısından sonuçlarını kendi hukuk danışmanınızla değerlendirmenizi öneririz. Güvenlikle ilgili sık sorulan sorular için SSS sayfamıza bakabilirsiniz.
Özet
Ahırda veri güvenliği büyük bir BT projesi değildir; neyi tuttuğunuzu bilmek, sadece gerekeni toplamak, erişimi göreve göre sınırlamak, süresi dolanı silmek ve kötü bir günde ne yapacağınızı önceden belirlemekten ibarettir. Bu alışkanlıklar hem yasal riskinizi azaltır hem de at sahiplerinin size duyduğu güveni güçlendirir. Ayrıntılar için mutlaka bir hukuk uzmanından destek alın.
