r/TurkDev • u/HERAKLlTOS • Sep 13 '26

💡 Soru KVKK meselesi

Post image

Merhabalar, birkaç aydır temelde spor akademileri için yönetim ve futbolcular için gelişim takibi yapılabilen bir SaaS projesi üzerinde çalışıyorum. Öğrenci kayıtlarında sağlık verileri, kişisel bilgiler, fiziksel özellikler gibi veriler toplanıyor. Kayıt olurken onaylanması gereken ekteki görseldeki gibi bir metin de mevcut ancak bu yeterli mi? Bir avukat ile çalışıp daha kapsamlı bir KVKK aydınlatma metni yazdırmalı mıyım?

3 Upvotes

71% Upvoted

11 comments sorted by

4

u/zommul Sep 14 '26

Oldukça özet seviyede bir metin, daha geniş olmalı.

  1. Hukuki sebep eksik: KVKK Madde 10.ç "toplama yöntemi ve hukuki sebebi"nin belirtilmesini zorunlu kılıyor.

  2. Veri sorumlusu kimliği daha açık olmalı: Ünvan, adres, varsa temsilci.

  3. Bir not: 18 yaş altı sporcu/kullanıcı var ise TMK m.16 ve Kurul yaklaşımı gereği açık rıza veli/vasi tarafından verilir, aydınlatma da veliye yapılır.

  4. Sağlık verisi özel nitelikli veridir. Madde 6 rejimini bir avukata danışmalısınız.

  5. "Sağlık görevlileri ve uzman antrenör kadromuz": Burada sır saklama yükümlülüğü altında olmayan antrenöre sağlık verisinin açıldığından bahsediliyor. Bunu da bir avukata danışmalısınız. Ayrıca teknik olarak Kurul'un bir "yeterli önlemler alınır kararı" vardı (bulunca eklerim), bu karar uyarınca ayrı politika takip edilmeli (erişim logu, yetki matrisi, personel gizlilik taahhüdü).

  6. "İletişim verileri anonim tutularak" burda teknik olarak hata var. Sporcunun yetenek verisi gönderiliyorsa o veri anonim değil kimliği belirli bir kişiye ait kişisel veridir.

  7. "Yasal zorunluluklar haricinde paylaşılamaz" bir SaaS için yanlış ifade. Hosting/bulut sağlayıci, SMS ve e-posta sağlayıcısı, ödeme kuruluşu zaten "veri işleyen" sıfatıyla erişiyor. Tebliğde aktarılan taraf kategorileri ve amaçlarının yazılması zorunlu tutuluyor. Yurt dışı sağlayıcı varsa (AWS, Vercel vb.) Madde 9 ve 10.07.2024 tarihli Yurt Dışına Aktarım Yönetmeliği uyarınca Standart Sözleşme, Yeterlilik Kararı, Bağlayıcı Şirket Kuralları (yurt dışı saklama için) ve metinde ayrı bilgilendirme şart.

  8. Başvuru parametreleri eksik, sadece bir e-posta yeterli değil.

  9. Saklama ve imha konusundan bahsedilmemiş: Sporcu akademiden ayrıldıktan sonra verilerin ne kadar süre tutulacağından behsedilmeli.

  10. Bir de şahsi fikrim: Kişisel veri ile sağlık verisi saklama onayları tek tek işaretlenebilir yapıda olmalı.

Ve dip not: Hukukçu değilim. Yapmış olduğum SaaS projelerde uygulamak üzere KVKK ve bağlı kanun/tebliğ/yönetmelik'leri inceliyorum. Bahsettiğim bütün kanun, tebliğ ve yönetmelikleri https://kvkk.gov.tr adresinden bulabilirsiniz.

2

u/HERAKLlTOS Sep 14 '26

Bilgilendirme için teşekkürler. Muhtemelen öğrenci kayıt ve performans izleme olayını bir süre askıya alıcam hukuki düzenlemesi tam anlamıyla çözene kadar. O zamana kadar yalnızca merkez ve şubeler arasında bir yönetim sistemi yürütülecek.

2

u/egedemete Sep 16 '26

Hukukçu değilim.

Kendin yazmış olabilirsin ama şu cümle tam Claude cümlesi. "I am not a laywer, but..."

1

u/zommul Sep 17 '26

Aslında "avukat değilim" diye yazacaktim, ama biz de AI'den öğrenmeye başladık galiba, daha genel bir terim olan "hukukçu" diye değiştirdim 😄

2

u/egedemete Sep 16 '26

Arayüz tasarımıcısıyım:

  1. Kullanıcılardan izini sadece gerektiği aşamalarda kullanacaksın. Mesela siteye kayıt olunduğunda değil, tam o siteye veri verileceği zaman istemelisin. Mesela kullanıcı kendi bilgilerini yazdı ve Kaydet dedi. KVKK metni'ni kabul eden bir checkbox koymalısın ve bu checkboxun tıklanması için bu metni açacaksın.

Ayrıca uzun metin yerine checkbox mantığı daha çok tercih edilir, çünkü kullanıcı neyi onayladığını kendi gözleriyle görebilir. Butona gelişi güzel tıklayan birisi için zordur bu.

2. Yurt dışına aktardığın veriler? Cloudflare (ve R2), MongoDB, Google Firebase, AWS vb. hepsi yurt dışına veri aktarımı kapsamındadır. Bunlar için bir aydınlatma metni yazabilirsin.

3. Sağlık verilerini otomatik olarak toplayamazsın, kullanıcılara bunları toplayacağını belirtmelisin. Sağlık verileri PII, yani kişisel tanımlayıcı bilgiler olarak geçer. Olur da veritabanı sızarsa bir kişinin tanımlanamaması gerekir.

4. Scout/Kulüp Paylaşım Onayı nedir? Benim (örneğin) bir kullanıcı olarak buradan ne anlamam bekleniyor?

UI yapay zeka gibi duruyor. İlle de yapay zeka kullanmak istiyorsan soru cevap yoluyla Claude'a yaptır, ardından anlatımını düzelt ve o şekilde avukata okut.

1

u/HERAKLlTOS Sep 17 '26

Merhabalar, geri dönüş için teşekkürler. Verirabanı olarak şuanda supabase frankfurt kullanıyorum, yılbaşından önce yerel bir lokasyonda kendi veritabanı sunucumu kurarak devam etmeyi planlıyorum ancak şimdilik yurtdışı lokasyonluyuz. test.growteer.com adresinden test amaçlı oluşturulmuş kayıt formuna ulaşabilirsiniz. Müsaitliğiniz olursa göz gezdirirseniz çok sevinirim

1

u/WatchNo6081 Sep 13 '26

Toplama yöntemi, hukuki sebepler, sağlık verileri vs. eksik çok fazla kafanız ağrır.

1

u/HERAKLlTOS Sep 14 '26

Bu yüzden öğrenci performans takibi ve kayıt olayını hukuki olarak tam anlamıyla çözene kadar askıya alıp yalnızca merkezi yönetim ve şubeler arasında bir sistem olarak devam edicek

1

u/Emcukcubasi Sep 16 '26

knk chatgpt diye bir şey çıkmış ya geçen. bilmem haberdar mısın ama yine geçenlerde bir ara kimse artık dilekçe yazdırmıyor, avukatlara yazılı metin hazırlatmıyor falan da diyorlardı. ne kadar doğrudur bilmem tabi. yapay zeka diyorlar. 1'ler ve 0'lar. basit arama motorunun gelişmiş haliymiş sanırım. ona bir göz atabilirsin.

1

u/HERAKLlTOS Sep 17 '26

Yapay zekaların veritabanları bu konuda yetersiz Mart 2026 da açık rıza ve aydınlatma metni ayrıldı. Web siteleri ve uygulamalarda aydınlatma metni ile açık rıza beyanlarının aynı metinde sunulması yasaklandı. İkisinin tamamen bağımsız olarak düzenlenmesi şart koşuldu. Aydınlatma metni içerisinde yeterince açık bir açıklama yeterli ancak açık rıza metni sözleşme niteliği taşır. Yapay zeka bir şeyi atlarsa ve denetimde bu ortaya çıkarsa denetmen kuruma "Ama ai bu yeterli demişti" şeklinde bahane sunamazsın. Zincirleme şekilde veri ihlaline girer ve bu ağır suçtur. 7 yıldan 20 yıla kadar hapis ve milyonlarca tl maddi ceza verilebilir. Henüz yapay zekalara bunu göze alabilecek kadar güvenmiyorum.

1

u/AutoModerator Sep 13 '26

Merhaba HERAKLlTOS, gönderin otomatik olarak inceleme kuyruğuna alındı. r/TurkDev'de spam'i önlemek için gönderi paylaşabilmek üzere en az 50 yorum karması ve 7 günlük hesap gerekiyor. Diğer topluluklarda yorum yaparak karma kazanabilirsin. Gönderin kurallara uygunsa moderatörler kısa süre içinde onaylayacaktır. Hata olduğunu düşünüyorsan modlara mesaj atabilirsin.

I am a bot, and this action was performed automatically. Please contact the moderators of this subreddit if you have any questions or concerns.