KVKK Aydınlatma Metni ve Veri İşleme Sözleşmesi: Vize Ofisleri İçin

Bir vize ofisinin iki temel belgeye ihtiyacı vardır: başvuru sahibine hangi kişisel verileri, hangi amaçla ve hangi hukuki sebeple işlediğinizi, kimlere aktardığınızı ve haklarını anlatan bir aydınlatma metni; ve verileri sizin adınıza işleyen CRM, e-posta ve bulut sağlayıcıları gibi her tedarikçiyle yapılan bir veri işleme sözleşmesi.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Metinlerinizin doğru ifadesi, ofisinizin fiilen ne yaptığına bağlıdır. Bu yazıyı çalışma notu olarak kullanın, nihai belgeleri bir KVKK avukatına veya veri koruma danışmanına kontrol ettirin.

İki belge farklı sorunları çözer. Aydınlatma metni şeffaflıkla ilgilidir: pasaportu, banka dökümü ve aile bilgileri dosyanızda duran kişiye ne yaptığınızı anlatır. Veri işleme sözleşmesi ise kontrolle ilgilidir: tedarikçinin veriyi yalnızca sizin talimatınızla kullanmasını sağlar. Bir web sitesi şablonundan kopyalanmış genel bir metin bu işlerin ikisini de iyi yapmaz; kredi kartıyla birkaç tıklamada açılan bir yazılım hesabının sözleşmesi de çoğu zaman kimse tarafından okunmadan kalır.

Türkiye'de çalışan bir ofis için temel mevzuat 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur (KVKK). AB veya Birleşik Krallık'taki başvuru sahipleriyle çalışıyorsanız GDPR de gündeminize girebilir; genel çerçeve için vize ofisleri için veri gizliliği uyumu yazımıza bakabilirsiniz. Türkiye pazarına özgü operasyon notları için Türkiye ülke sayfamız da işinize yarayacaktır.

Kurum ayrıca, ilgili kişinin kişisel verisinin işlendiği her durumda aydınlatılması gerektiğini vurgular. Yani hukuki sebebiniz açık rıza olmasa bile, örneğin sözleşmenin ifası için veri işliyorsanız, aydınlatma yükümlülüğü devam eder.

Bu başlıklar bir vize ofisinde şöyle karşılık bulur:

Kanunda sayılan beş başlıkla sınırlı kalmak yerine saklama sürenizi de açıkça yazmanız başvuru sahibinin güvenini artırır; süreleri belirlemek için vize ofisi müşteri verilerini ne kadar saklamalı yazımıza göz atın.

Vize ofislerinde sık görülen bir form tasarımı, aydınlatma metnini ve açık rıza beyanını tek bir onay kutusunun altına koymaktır. Kişisel Verileri Koruma Kurulu, 26.07.2018 tarihli ve 2018/90 sayılı kararında bu iki sürecin ayrı ayrı yerine getirilmesi gerektiğini belirtmiştir.

Özel nitelikli veriler: sağlık ve biyometri

KVKK'nın 6. maddesi sağlık, biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar. Bu verilerin işlenmesi kural olarak yasaktır ve yalnızca maddede sayılan şartlarda mümkündür; 6. madde 2024'te yapılan değişiklikle yeniden düzenlenmiştir. Vize dosyalarında bu, sağlık raporları, aşı kayıtları ve parmak izi veya yüz görüntüsü gibi biyometrik veriler anlamına gelir. En güvenli pratik, gidilecek ülkenin istemediği sağlık belgesini hiç toplamamak ve erişimi dosyayla ilgilenen personelle sınırlamaktır.

Başvuru sahibine doğrudan hizmet veren bir vize ofisi, bu kişinin verileri bakımından veri sorumlusudur. Verileri ofis adına ve ofisin talimatıyla işleyen tedarikçiler ise veri işleyendir. KVKK'nın 12. maddesi, verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi halinde veri güvenliği tedbirlerinin alınmasından veri sorumlusunun bu kişiyle birlikte müştereken sorumlu olduğunu belirtir. Bu yüzden tedarikçinin ne yaptığını sözleşmeyle bağlamak sizin çıkarınızadır.

Aşağıdaki tablo yaygın ilişkileri gösterir. Nihai rolü sözleşme ve fiili durum belirler; tabloyu danışmanınızla konuşmak için başlangıç noktası olarak kullanın.

Bir vize başvuru merkezi sizin talimatınızla çalışmaz; başvurusu yapılan ülkenin makamları adına çalışır. Bu nedenle onunla kendi veri işleme sözleşmenizi yapamazsınız. Yapmanız gereken, başvuru sahibine verilerinin konsolosluğa ve onun yetkilendirdiği merkeze gideceğini açıkça söylemektir.

İş ortağı acentelerle çalışıyorsanız, belge akışı başlamadan önce kimin hangi veriyi hangi amaçla kullandığını yazılı hale getirin. Ticari yönü için B2B iş ortağı ağı kurma rehberimize bakabilirsiniz.

KVKK, 12. maddedeki müşterek sorumluluk nedeniyle veri sorumlusunu tedarikçisini denetlemeye yöneltir. Sözleşmenin içeriği için ayrıntılı bir liste arıyorsanız, GDPR'ın 28. maddesine dair ICO rehberi iyi bir kontrol çerçevesi sunar; birçok uluslararası yazılım sağlayıcısının standart şartları da bu yapıyı izler.

Serbest tercüman veya dış destek aldığınız kişiler için de aynı mantık geçerlidir: standart bir sözleşmeleri olmasa bile, iş mektubunuza gizlilik, talimat dışında kullanmama, işin sonunda silme ve ihlal halinde size hemen haber verme yükümlülüklerini ekleyin. Sözleşmelerin imzalı kopyalarını ve tedarikçinin güncel şartlarının tarihli bir kaydını tek bir klasörde saklayın; bir denetimde ya da ilgili kişi başvurusunda ilk istenecek belgeler bunlardır.

Platform değerlendiriyorsanız vize başvuru verileri nerede saklanır ve VisaCRM GDPR uyumlu mu sayfalarındaki sorular iyi bir kontrol listesidir.

Vize işi doğası gereği uluslararasıdır: başvuru sahibinin verisi yabancı bir devlete gider, bazen de verileri yurt dışında barındıran yazılım sağlayıcılarına. KVKK Kurumunun açıklamasına göre, 7499 sayılı Kanunla 6698 sayılı Kanunun 9. maddesinde değişiklik yapılmış ve bu değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir.

Yeni sistem kademelidir:

Arızi aktarım istisnaları arasında, olası riskler hakkında bilgilendirilmiş ilgili kişinin açık rızası ile hayatın veya beden bütünlüğünün korunması için zorunlu aktarımlar sayılır. Kurumun sayfasına göre bu istisnalar ancak arızi ve tekrarlanmayan hallerde uygulanabilir.

Standart sözleşme ve beş iş günü kuralı

Kanunun 9. maddesinin beşinci fıkrası, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesini öngörür. Kurum, 17.10.2024 tarihli ve 2024/1793 sayılı kararla Standart Sözleşme Bildirim Modülünü kullanıma açmıştır. Bildirimin yapılmaması Kanunun 18. maddesinde idari para cezasına bağlanmıştır; tutarlar değişebildiği için güncel rakamı Kurumdan kontrol edin.

Aydınlatma metni ve sözleşmeler, operasyon değiştiği anda eskir. Vize ofislerinde bu sık olur: yeni bir ülke, yeni bir mesajlaşma kanalı, yeni bir iş ortağı. Gözden geçirmeyi tek seferlik bir hukuk işi olarak değil, operasyonun parçası olarak kurgulayın.

Yazılım bu yükün bir kısmını taşıyabilir. Belgeleri tek yerde tutan, her dosyayı kimin açabileceğini kontrol eden ve erişimi kayıt altına alan bir platform, aydınlatma metninde verdiğiniz sözleri tutmayı kolaylaştırır. VisaCRM, ajanslar için bu altyapıyı kendi markalarıyla kurup işletir ve yazılı sözleşmeyle veri işleyen olarak çalışır; ayrıntılar için belge yönetimi sayfamıza bakın. Anyvisa, personel eklemeden başvuru kapasitesini üç katına çıkardı; bunun operasyon tarafını Anyvisa vaka çalışmasında okuyabilirsiniz.

Hangi aracı kullanırsanız kullanın, belgelerin sorumluluğu veri sorumlusu olarak sizdedir. Metinleri tarihleyin, sürümleyin ve yayımlamadan önce, ardından her önemli değişiklikte bir uzmana kontrol ettirin.