Veri Sorumlusu (PII Controller) ve Veri İşleyen (PII Processor) İçin ISO 27701 Ek-A ve Ek-B Kontrolleri

Rol Ayrımı Özeti: TS EN ISO/IEC 27701 standardı kişisel veri işleme kontrollerini iki ayrı ekte yapılandırır: kişisel verinin işleme amacını ve vasıtalarını belirleyen Veri Sorumluları (PII Controllers) için Ek-A'da 31 kontrol; müşterilerinin talimatları doğrultusunda veri barındıran veya işleyen Veri İşleyenler (PII Processors — SaaS, Bulut, Çağrı Merkezi, Bordro/İK firmaları) için Ek-B'de 18 kontrol yer alır. Kuruluşlar faaliyetlerine göre tek bir rol veya her iki rol birden için belgelendirilebilir.

Şirketiniz PII Controller mı Yoksa PII Processor mu? (Pratik Karar Matrisi)

ISO/IEC 27701 PIMS kapsamını tasarlarken ilk adım veri akışlarını rol bazında doğru etiketlemektir. Yanlış rol seçimi hem sözleşmelerde ağır tazminat yükü doğurur hem de belgelendirme denetiminde kapsam değişikliğine yol açar:

• Ne Zaman Veri Sorumlususunuz (PII Controller)? Kendi çalışanlarınızın İK/bordro verilerini, B2C müşterilerinizin sipariş/fatura verilerini, hastalarınızın tıbbi kayıtlarını veya web sitenizdeki potansiyel müşteri formlarını kendi belirlediğiniz ticari ve yasal amaçlarla topladığınızda Veri Sorumlususunuz.
• Ne Zaman Veri İşleyensiniz (PII Processor)? Kurumsal bir müşterinize bulut tabanlı CRM, ERP, İK, HBYS, e-ticaret altyapısı, veri merkezi barındırma, dış kaynak çağrı merkezi veya toplu SMS/e-posta gönderim hizmeti sunuyor ve müşterinizin yüklediği verileri yalnızca onun yazılı talimatıyla işliyorsanız Veri İşleyensiniz.

Ek-A (Veri Sorumlusu) vs Ek-B (Veri İşleyen) Kontrol Kümeleri Karşılaştırması

SaaS, Yazılım ve Bulut Sağlayıcılar Neden "Çift Kapsamlı (Controller + Processor)" Belge Almalıdır?

Bir B2B yazılım veya bulut şirketini düşünelim: kendi bünyesinde çalıştırdığı 60 mühendisin özlük verileri ve kurumsal satış ekibinin CRM kayıtları açısından Veri Sorumlusu (Ek-A); yazılımını kullanan 500 kurumsal müşterinin veritabanındaki milyonlarca son kullanıcı kaydı açısından ise Veri İşleyen (Ek-B) konumundadır.

Proxy Danışmanlık olarak teknoloji şirketlerinde Uygulanabilirlik Bildirgesini (SoA) hem Ek-A (31 kontrol) hem Ek-B (18 kontrol) hem de ISO 27001:2022 (93 kontrol) maddelerini kapsayacak şekilde tek bir birleşik matriste kurguluyoruz. Böylece kurumsal müşterilerinize sunduğunuz Alt Veri İşleyen Listesi (Sub-processor List), Veri İşleme Eki (DPA) ve Teknik/İdari Tedbirler Dokümanı (TOMs) doğrudan uluslararası akredite ISO/IEC 27701 sertifikanızla desteklenir.

B2B Sözleşmelerde Veri İşleme Eki (DPA) Hazırlarken ISO 27701 Kontrol Listesi

Kurumsal müşterilerinizle veya bulut/yazılım tedarikçilerinizle imzaladığınız Veri İşleme Sözleşmelerinde (Data Processing Addendum — DPA) ISO/IEC 27701 Ek-A ve Ek-B denetçilerinin mutlaka aradığı yedi sözleşmesel ve teknik madde şunlardır:

• İşlemenin Konusu, Süresi ve Veri Kategorileri: Hangi kişisel veri türlerinin hangi ilgili kişi grupları için sözleşme süresince işleneceğinin açık tanımı.
• Amaç Sınırlaması ve AI Eğitim Yasağı: Veri İşleyenin müşteri verilerini yazılı talimat dışında kendi ticari analitiği veya yapay zeka model eğitimi için kullanamayacağına dair açık taahhüt (B.8.2.2).
• Teknik ve İdari Tedbirler Listesi (TOMs): Şifreleme algoritmaları, erişim kontrolü, yedekleme izolasyonu ve sızma testi sıklığının somut olarak ekte tanımlanması.
• Alt Veri İşleyen (Sub-processor) Onay Mekanizması: Mevcut alt tedarikçilerin listesi ve yeni bir alt işleyen eklendiğinde önceden bildirim/itiraz süresi (B.8.5.7).
• Uluslararası Veri Aktarımı Güvenceleri: Sunucu lokasyonları ve KVKK Madde 9 Standart Sözleşme / GDPR SCC hükümleri.
• Denetim Hakkı ve Sertifika İbrazı: Müşterinin yerinde denetim yükünü azaltmak üzere güncel akredite ISO/IEC 27001 ve ISO/IEC 27701 sertifikalarının ve SoA özetinin paylaşılması.
• Sözleşme Sonu İade ve Güvenli İmha: Hizmet bitiminde müşteri verilerinin dışa aktarılması ve belirli gün içinde tüm canlı/yedek ortamlardan geri döndürülemez biçimde silinerek imha sertifikası düzenlenmesi (B.8.4.2).

Ortak Veri Sorumluluğu (Joint Controllership) Durumlarında Yaklaşım

Grup şirketleri (holding ve bağlı iştirakler), ortak sadakat programı yürüten markalar veya bayi/franchise ağlarında birden fazla tüzel kişilik veri işleme amaçlarını birlikte belirleyebilmektedir. ISO/IEC 27701 A.7.2.7 ve GDPR Madde 26 çerçevesinde ortak veri sorumluları arasındaki aydınlatma yükümlülüğünü, ilgili kişi başvurularını yanıtlama noktasını ve veri ihlali bildirim görev paylaşımını netleştiren protokolleri kurgulayarak grup şirketleri arası veri transferlerini hukuki ve teknik güvenceye kavuşturuyoruz.