Veri minimizasyonu
KVKK md. 4 · GDPR md. 5
İhbar formları yalnızca vakayı incelemek için gereken bilgiyi ister. Anonim ihbarda IP adresi, cihaz parmak izi ve konum toplanmaz; ilgisiz veri baştan sisteme girmez.
Kısa cevap
KVKK ve GDPR uyumlu etik ihbar hattı ne demek?
Bir etik ihbar hattı; ihbarcının, hakkında ihbar yapılan kişinin ve tanıkların kişisel verilerini işler. Bu nedenle yalnızca anonim bildirim almak yetmez: verinin hangi hukuki dayanakla işlendiği, kimlerin görebildiği, ne kadar saklandığı ve ilgili kişi başvurularının nasıl yanıtlandığı da KVKK ve GDPR'a uygun olmalıdır. EthicAll bu kuralları sonradan eklenen ayarlar olarak değil, ürünün varsayılan davranışı olarak sunar.
AB Whistleblower Direktifi (2019/1937) de ihbar kanallarındaki kişisel verilerin GDPR'a uygun işlenmesini açıkça şart koşar (md. 17). Yani direktife uyum, veri koruma uyumundan bağımsız düşünülemez.
Uyum nasıl sağlanıyor
Her veri koruma ilkesinin üründe bir karşılığı var
Doğru hukuki dayanak
KVKK md. 5–6 · GDPR md. 6, 9, 10
İhbar verisi; hukuki yükümlülük, bir hakkın korunması ve meşru menfaat dayanaklarıyla işlenir. İhbarlarda sıkça geçen sağlık veya ceza mahkûmiyeti gibi özel nitelikli veriler ayrıca korunur.
Aydınlatma yükümlülüğü
KVKK md. 10 · GDPR md. 13–14
İhbar sayfasında EthicAll'ın ve kurumunuzun aydınlatma metinleri ihbarcıya gönderimden önce gösterilir. Panelde hazır aydınlatma metni şablonu bulunur.
Veri güvenliği ve gizlilik
KVKK md. 12 · GDPR md. 25, 32
AES-256 şifreleme, rol bazlı erişim ve değiştirilemez denetim izi. İhbarcının kimliği yalnızca yetkili kişilerce görülebilir; her erişim zaman damgasıyla kaydedilir.
Saklama ve imha
KVKK md. 7 · GDPR md. 5(1)(e) · Direktif md. 18
Kurumunuza özel saklama süresi tanımlanır; süresi dolan kapalı vakalar otomatik anonimleştirilir. Delil silme talepleri ikinci bir yöneticinin onayından geçer.
İlgili kişi hakları
KVKK md. 11, 13 · GDPR md. 15–23
KVKK başvuruları yasal sürelerle panelden yönetilir. Hakkında ihbar yapılan kişinin erişim talebi, ihbarcının kimliğini ifşa etmeden değerlendirilir.
Yurt dışına aktarım
KVKK md. 9 · GDPR md. 44–49
Veriler AB ve Türkiye sınırları içindeki, KVKK ve GDPR'a uygun lokasyonlarda barındırılır. Sınır ötesi aktarım kayıtları panelde ayrıca tutulur.
Veri işleyen sözleşmesi
KVKK md. 12/2 · GDPR md. 28
EthicAll veri işleyen olarak hareket eder. Veri işleme sözleşmesi (DPA) şablonu ve VERBİS kaydınız için veri işleme envanteri panelde hazırdır.
Misillemeye karşı koruma
Direktif md. 19–21
İhbarcı bir iletişim adresi bıraktıysa, belirli aralıklarla misilleme kontrol anketi gönderilir; olası misilleme sinyalleri yetkili ekibin önüne erken düşer.
Regülasyon ekibimiz
Yazılımın arkasında bir hukuk ekibi var.
Mevzuat durmuyor: KVKK Kurulu yeni kararlar alıyor, AB ülkeleri direktifi kendi hukuklarına aktarıyor, sektör düzenleyicileri beklentilerini güncelliyor. EthicAll'ın regülasyon ekibi bu gelişmeleri sizin yerinize izler. Sizin işiniz uyum takvimini kovalamak değil, gelen ihbarları yönetmek olur.
Hukukçular tarafından tasarlandı
Her ihbar akışı, form alanı ve yetki kuralı; KVKK, GDPR ve AB Whistleblower Direktifi gözetilerek hukukçular tarafından tasarlandı.
Sürekli regülasyon takibi
KVKK Kurulu kararları ve rehberleri, AB Veri Koruma Kurulu (EDPB) kılavuzları, direktifin üye ülke uygulamaları ve SPK, BDDK, TTK kaynaklı gelişmeler düzenli izlenir.
Size özel etik regülasyonlar
Sektörünüze ve faaliyet gösterdiğiniz ülkelere özgü etik ve uyum düzenlemelerini sizin için takip ederiz.
Değişiklik ürüne yansır
Mevzuat değiştiğinde süreler, aydınlatma metinleri ve iş akışları güncellenir; ek bir proje başlatmanız gerekmez.
Uyum matrisi
Yasal gereklilik ve EthicAll'daki karşılığı
| Gereklilik | Dayanak | EthicAll |
|---|---|---|
| İhbarın 7 gün içinde teyit edilmesi | Direktif md. 9 | Otomatik süre takibi ve hatırlatma |
| En geç 3 ay içinde ihbarcıya geri bildirim | Direktif md. 9 | Vaka bazında SLA sayacı |
| İhbarcı kimliğinin gizliliği | Direktif md. 16 · KVKK md. 12 | Tam anonim seçenek, maskelenmiş kimlik, rol bazlı erişim |
| Kayıtların tutulması ve gereğinden uzun saklanmaması | Direktif md. 18 · KVKK md. 7 · GDPR md. 5 | Yapılandırılabilir saklama süresi, otomatik anonimleştirme |
| İlgili kişi başvurularına 30 gün içinde yanıt | KVKK md. 13 · GDPR md. 12 | KVKK başvuru modülü, yanıt şablonları, denetim izi |
| Teknik ve idari tedbirler | KVKK md. 12 · GDPR md. 32 | AES-256, değiştirilemez log, 4-göz onaylı silme |
| Veri işleyenle yazılı sözleşme | KVKK md. 12/2 · GDPR md. 28 | Hazır DPA şablonu |
Sık sorulan sorular
KVKK, GDPR ve etik ihbar hattı
KVKK ve GDPR uyumlu etik ihbar hattı nedir?
Çalışanların ve iş ortaklarının usulsüzlükleri anonim ya da kimliğini açarak bildirebildiği; toplanan kişisel verilerin KVKK ve GDPR'daki veri minimizasyonu, hukuki dayanak, aydınlatma, veri güvenliği, saklama-imha ve ilgili kişi hakları kurallarına göre işlendiği bildirim kanalıdır. EthicAll bu gereklilikleri ürünün varsayılan ayarı olarak sunar.
Etik ihbar hattı için çalışanlardan açık rıza almak gerekir mi?
Genellikle hayır. İhbar verisi çoğunlukla hukuki yükümlülük, bir hakkın tesisi veya korunması ve veri sorumlusunun meşru menfaati dayanaklarıyla işlenir (KVKK md. 5/2, GDPR md. 6). Açık rızaya dayanmak, rızanın geri alınabilmesi nedeniyle soruşturma sürecini riske atar. Kurumunuzun durumuna göre doğru dayanağı belirlemenize destek oluruz.
Hakkında ihbar yapılan kişi KVKK kapsamında verilerine erişmek isterse ne olur?
İlgili kişinin KVKK md. 11 ve GDPR md. 15 kapsamındaki hakları saklıdır; ancak bu hak ihbarcının kimliğini açığa çıkaracak şekilde kullanılamaz. AB Whistleblower Direktifi md. 16 ihbarcının kimliğini korur, GDPR md. 23 ise bu tür sınırlamalara izin verir. EthicAll başvuruyu panelde kayıt altına alır, yanıtı ihbarcıyı ifşa etmeden hazırlamanızı sağlar.
İhbar verileri ne kadar süre saklanmalı?
Veriler, işlendikleri amaç için gerekli süre kadar saklanmalıdır (KVKK md. 4 ve 7, GDPR md. 5). EthicAll'da kurumunuza özel bir saklama süresi tanımlanır; süresi dolan kapalı vakalar otomatik olarak anonimleştirilir ve bu işlem denetim izinde görünür.
Veriler yurt dışına aktarılıyor mu?
Veriler AB ve Türkiye sınırları içindeki, KVKK ve GDPR'a uygun lokasyonlarda barındırılır. Sınır ötesi aktarım gerektiğinde KVKK md. 9 ve GDPR Bölüm V'teki güvenceler uygulanır; aktarım kayıtları panelde ayrıca tutulur.
EthicAll veri sorumlusu mu, veri işleyen mi?
İhbar verileri bakımından veri sorumlusu kurumunuzdur; EthicAll veri işleyen olarak hareket eder. Bu ilişki, panelde hazır bulunan veri işleme sözleşmesi (DPA) ile yazılı hale getirilir.
Mevzuat değiştiğinde ne oluyor?
Regülasyon ekibimiz KVKK, GDPR, AB Whistleblower Direktifi ve sektörel düzenlemelerdeki gelişmeleri sürekli takip eder. Değişiklikler ürüne yansıtılır; süreler, aydınlatma metinleri ve iş akışları güncel tutulur. Sektörünüze ve ülkenize özel etik regülasyonları da sizin için izleriz.
Türkiye'deki şirketler AB Whistleblower Direktifi'ne tabi mi?
Direktif doğrudan AB üye ülkelerindeki şirketleri bağlar. Ancak AB'de iştiraki, müşterisi veya tedarik ilişkisi olan Türk şirketlerinden de çoğunlukla aynı standartta bir ihbar kanalı beklenir. EthicAll'ın akışı hem KVKK'ya hem direktife göre kurulduğu için ikisini tek sistemde karşılarsınız.
Uyumlu bir etik ihbar hattını birkaç gün içinde devreye alın.
Kurumunuza özel regülasyon gereksinimlerini regülasyon ekibimizle birlikte değerlendirelim.