Agent Hukuku
Ücretsiz kitaplar
Akademi · Seviye 3 — KVKK & Uyum
Ders 3.4

VERBİS, sözleşmeler ve standartlar

MB Slaytlı ders · ~8 dk · Mert Can Boyar

Ajanlar eski KVKK yükümlülüklerinizi silmez; her birine yeni satırlar ekler. Bu derste VERBİS ve sözleşme etkisini, en sık atlanan “otomatik karar” riskini, tedarikçi due diligence formunu ve mevzuat radarını öğreneceksiniz.

Ders 3.4 · KVKK & Uyum01 / 08

VERBİS, sözleşmeler ve standartlar

Ajanlar eski yükümlülükleri değiştirmez, büyütür.

Slayt02 / 08

Vaka: durum tespiti günü

Bir yatırım turu incelemesinde dört boşluk çıktı: tedarikçiyle veri işleme sözleşmesi yok, VERBİS 14 aydır eski, İK ajanı adayları eliyor (profilleme), EU AI Act hiç değerlendirilmemiş.

Slayt03 / 08

VERBİS & envanter: yeni satırlar

Her yeni ajan getirir: yeni işleme faaliyetleri, yeni alıcı grupları (tedarikçi, model sağlayıcı, alt bulut), yeni yurt dışı aktarımlar, belki yeni veri kategorileri. Envanter yoklamasına bir soru daha: “Bu, VERBİS'te doğru yansıyor mu?”

Slayt04 / 08

“Ürünü aldık” yetmez

Bir ajan ürünü almak, o ürünle veri işleme ilişkisi kurmaktır — ve bu ilişki sözleşme ister. “Kullanım koşullarını kabul ettik” çoğu zaman yetmez: o metin tedarikçiyi korur, sizi değil.

Slayt05 / 08

Gizli tehlike: otomatik karar & profilleme

İK ajanı “sadece sıralıyordu” — ama düşük puanlıları kimse bakmadan eliyordu. Bu, bir insan hakkında önemli sonuç doğuran otomatik bir karardır. Kural: kişi hakkında sonuç doğuran her otomatik karar, insan gözetimine ve itiraz kanalına bağlanır.

Slayt06 / 08

Tedarikçi due diligence formu

İmzadan önce doldurulacak tek sayfa: kimlik (Ders 2.3) + durdurma (2.5) + veri yeri (3.3) + güvenlik + sözleşme. Bu formu dolduramayan tedarikçi, satmaya değil ikna etmeye çalışıyordur.

Slayt07 / 08

Standartlar & mevzuat radarı

  • Çerçeveler: NIST AI RMF, ISO/IEC 42001, RAISE.
  • Radar: TBMM YZ teklifleri, KVKK-GDPR yakınlaşması, EU AI Act (AB müşteriniz varsa öncelikli).
Slayt08 / 08

Özet

Yatırımcı, denetçi ve büyük müşteri aynı yere bakar: söylediğinizle yaptığınız aynı mı?

Makyaj yakalanır; yapı kalır.

1 / 8

VERBİS, envanter ve veri işleme sözleşmesi

Ajan kullanmaya başladığınızda VERBİS ve kişisel veri işleme envanteri yükümlülükleriniz kaybolmaz, genişler: yeni faaliyetler, alıcı grupları ve aktarımlar bildirimlerinize yansımalı. En sık atlanan adım ise sözleşmedir: tedarikçi sizin adınıza veri işliyorsa (ki genelde işler), aranızda KVKK'nın aradığı unsurları taşıyan yazılı bir veri işleme sözleşmesi olmalı — talimatla işleme, güvenlik, alt yüklenici, aktarım, sürе sonu akıbeti, denetim hakkı.

Unutmayın
Kişi hakkında önemli sonuç doğuran her otomatik karar — İK taraması, kredi değerlendirmesi, fiyat farklılaştırma, içerik moderasyonu — insan gözetimine ve itiraz kanalına bağlanmalı. “Sadece öneri veriyor” savunmasını iki kez kontrol edin: öneriye kimse bakmadan uyuluyorsa, o bir karardır.

Due diligence formu ve radar

Kitap boyunca tedarikçiye sorulacak soruları biriktirdik; yeni bir ajan almadan önce doldurulacak tek bir sayfada toplayın: kimlik, durdurma/geri alma, veri yeri, güvenlik ve sözleşme. İmzadan sonra pazarlık gücünüz sıfırdır. Ayrıca “hangi çerçeveye uyuyorsunuz?” sorusuna hazır olun (NIST AI RMF, ISO 42001, RAISE) ve mevzuat radarını çeyreklik gündeme koyun: TBMM YZ teklifleri, KVKK-GDPR yakınlaşması ve — AB müşteriniz varsa öncelikli — EU AI Act.

Dikkat
“Temeliniz sağlam” cümlesine yaslanıp boşlukları ertelemeyin. Ertelenen uyum, kapanış sözleşmesinde “90 gün içinde giderilmezse yatırımcının hakları doğar” maddesine — yani faizli bir borca — dönüşebilir.
Bu derste öğrendikleriniz
  • Ajanlar VERBİS ve envantere yeni satırlar ekler.
  • “Kullanım koşulları” değil, veri işleme sözleşmesi gerekir.
  • Otomatik kararı insan gözetimi + itiraz kanalına bağlayın.
  • Due diligence formunu imzadan önce doldurun; radarı canlı tutun.
← Önceki: Yurt dışına veri aktarımı Sonraki ders: Kurumun YZ rehberleri →