Üye verileriniz ortak bir havuzda değil, size özel sunucuda
Sendika üyeliği, KVKK'nın özel nitelikli saydığı bir veridir. SendikaPro her sendikaya ayrı sunucu tahsis eder; veritabanınız başka hiçbir kurumla paylaşılmaz ve siz izin vermedikçe üçüncü kişilere aktarılmaz.
Gündem · 15 Eylül 2026
Sendika yazılımı üzerinden kişisel veri soruşturması
Basına yansıyan bilgilere göre Ankara Cumhuriyet Başsavcılığı, sendikalara yazılım hizmeti veren bir şirketin, geliştirdiği yazılıma kimlik numarasıyla kişisel veri sorgulanabilen gizli bir arayüz yerleştirdiği iddiasıyla soruşturma başlattı. MİT, Siber Güvenlik Başkanlığı ve Jandarma koordinasyonunda 6 adrese operasyon düzenlendi, 5 şüpheli gözaltına alındı. Soruşturma sürmektedir; kesin hüküm yargıya aittir.
Olay bir kez daha gösterdi: Sendikanın en hassas varlığı olan üye verisi, sendikanın göremediği merkezi bir havuzda ve tek bir firmanın denetimsiz erişiminde durmamalı.
Sendika için üye verisinin sorumluluğu ağırdır
Verinin yazılım firmasının sunucusunda durması, sendikanın sorumluluğunu ortadan kaldırmaz.
Sendika üyeliği özel nitelikli veridir
6698 sayılı Kanun; dernek, vakıf ya da sendika üyeliğini sağlık ve ceza mahkûmiyeti gibi verilerle aynı sınıfta, özel nitelikli kişisel veri olarak sayar. Bu veriler için Kurul'un belirlediği yeterli önlemlerin alınması zorunludur.
Güvenlikten sendika da sorumludur
Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli her türlü teknik ve idari tedbiri almak zorundadır. Veriler bir yazılım firması tarafından işleniyorsa sendika bu tedbirlerden firmayla birlikte müştereken sorumludur.
İhlal 72 saat içinde bildirilir
Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu durumu ilgili kişiye ve Kurul'a en kısa sürede bildirir. Kurul bu süreyi, ihlalin öğrenildiği andan itibaren en geç 72 saat olarak belirlemiştir.
Özel nitelikli veri için yeterli önlemler
Uzaktan erişimde en az iki kademeli kimlik doğrulama, işlem kayıtlarının güvenli tutulması, yetkilendirme ve periyodik yetki kontrolü, güvenlik güncellemeleri ve testleri, güvenli aktarım, çalışan eğitimi ve gizlilik taahhüdü bu önlemler arasındadır.
2026 idari para cezaları
Veri güvenliği yükümlülüğünü yerine getirmeyenlere 2026 yılı için 256.357 TL'den 17.092.242 TL'ye kadar idari para cezası öngörülmüştür. Kurul kararlarını yerine getirmemenin cezası 427.263 TL'den başlar.
Cezai sorumluluk
Kişisel verileri hukuka aykırı olarak kaydetmek Türk Ceza Kanunu'nun 135. maddesine göre bir yıldan üç yıla kadar hapis cezası gerektirir; veri sendikal bağlantıya ilişkinse ceza yarı oranında artırılır. Verileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek 136. maddede ayrıca suç olarak düzenlenmiştir.
Merkezi havuz yerine sendikaya özel sunucu
Pek çok yazılım, müşterilerinin verisini tek bir merkezi altyapıda toplar. Biz her sendikayı kendi sunucusunda çalıştırıyoruz.
| Konu | Paylaşımlı merkezi sistem | SendikaPro · sendikaya özel sunucu |
|---|---|---|
| Verinin yeri | Pek çok sendikanın verisi aynı merkezi altyapıda | Sendikaya ayrılmış sunucu, ayrı veritabanı |
| Bir açığın etkisi | Tek bir zafiyet bütün müşterileri etkileyebilir | Etki alanı tek sendikayla sınırlı |
| Veriyi kim görür | Sendikanın göremediği merkezi erişimler olabilir | Erişim sendikanın bildiği yetkililerle sınırlı |
| Kimlik sorgusu | Kaynağı belirsiz veri setleri riski | Yalnızca NVİ'nin resmî KPS servisi, sendikanın kendi yetkisiyle |
| Üçüncü kişilere aktarım | Sözleşmeye ve sağlayıcının tercihine bağlı | Sendika izin vermedikçe aktarım yok |
| Sunucunun konumu | Belirsiz olabilir | Türkiye'de |
Kurul'un özel nitelikli veri için istediği önlemler sahada çalışıyor
Aşağıdaki her önlem, kullanımdaki sendika otomasyonunda etkin durumdadır.
Altyapı
Sendikaya özel sunucu
Her sendikaya ayrı sunucu ve ayrı veritabanı. Başka kurumlarla ortak veri havuzu yok.
Türkiye'de barındırma
Veritabanı ve dosyalar Türkiye'deki veri merkezlerinde tutulur; üye kayıtları yurt dışındaki bir sunucuda saklanmaz.
Dışarıya kapalı veritabanı
Veritabanına yalnızca sunucunun kendi içinden erişilir; internete açık değildir.
Anahtarla sunucu erişimi
Sunucu yönetimine parolayla girilemez; yalnızca şifreli anahtarla, standart dışı porttan erişilir. Güvenlik duvarı açıktır.
HTTPS ve güvenlik başlıkları
Tüm trafik şifreli (HTTPS/HSTS). İçerik güvenlik politikası ve tıklama korsanlığına karşı başlıklar etkindir.
Erişim
SMS ile iki adımlı giriş
Kullanıcı girişinde telefona tek kullanımlık kod gider; parola tek başına yetmez.
Hesap kilidi ve istek sınırı
Hatalı denemelerde hesap geçici olarak kilitlenir; giriş denemeleri IP bazında sınırlandırılır.
Bölge bazlı yetki
Genel merkez, il, ilçe ve temsilci yalnızca kendi kapsamındaki veriyi görür; menüler role göre açılır.
Onaylı değişiklik
Temsilci veya üyenin yaptığı bilgi değişikliği genel merkez onayı olmadan kayda işlenmez.
Kayıt
Giriş ve işlem kayıtları
Kim, ne zaman, hangi cihazdan girdi; hangi kayıtta ne değiştirdi tutulur ve raporlanır. Aktif oturumlar görülebilir.
Düzenli yedek ve geri alma
Veritabanı saatlik yedeklenir, dosyalar günlük kopyalanır. Hatalı bir değişiklik geri alınabilir.
Uygulama
Güvenli parola saklama
Parolalar düz metin olarak değil, geri döndürülemez biçimde (hash) saklanır. Formlar sahte isteklere karşı korunur.
Resmî kanaldan kimlik doğrulama
TC ile kimlik doğrulama yalnızca NVİ'nin Kimlik Paylaşım Sistemi (KPS) üzerinden, sendikanın kendi yetkisiyle yapılır. Dış veri seti kullanılmaz.
SMS kodlu kritik işlem
Evrak silme ve kilit açma gibi geri dönüşü zor işlemler ayrıca SMS koduyla onaylanır.
Yazılım sağlayıcınıza bugün sorun
Kullandığınız sistem hangisi olursa olsun, bu soruların açık ve yazılı cevabını alın. Bizim cevaplarımız bu sayfada.
- 1Üye verilerimiz hangi sunucuda, hangi ülkede duruyor?
- 2Bizim verimiz başka sendikaların verisiyle aynı veritabanında mı?
- 3Firmanızda verimize kimler, hangi yetkiyle erişebiliyor? Bu erişimler kayıt altında mı?
- 4Yazılımda bizim bilmediğimiz bir sorgu, rapor ya da dışa aktarma ekranı var mı?
- 5TC kimlik sorgusu hangi kaynaktan yapılıyor? Resmî KPS mi?
- 6Uzaktan erişimde iki adımlı doğrulama zorunlu mu?
- 7Kim hangi kayıtta ne değiştirdi, geriye dönük görebiliyor muyuz?
- 8Yedekler nerede, ne sıklıkla alınıyor, geri dönüş denendi mi?
- 9Bir ihlal olursa 72 saatlik bildirim süresi için bizi ne zaman, nasıl haberdar edersiniz?
- 10Sözleşme bittiğinde verimizin tamamı bize teslim edilip sizde silinecek mi?
Veri güvenliği hakkında sorulanlar
Resmî mevzuat ve Kurul kararları
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kurul Kararı 2018/10 — Özel nitelikli verilerde yeterli önlemler
- Kurul Kararı 2019/10 — Kişisel veri ihlali bildirimi
- KVKK idari para cezası tutarları
- 5237 sayılı Türk Ceza Kanunu
- 4688 sayılı Kamu Görevlileri Sendikaları ve Toplu Sözleşme Kanunu
Bu sayfadaki mevzuat özetleri bilgilendirme amaçlıdır; bağlayıcı metin için Resmî Gazete, mevzuat.gov.tr ve kvkk.gov.tr esas alınmalıdır. Gündem bölümündeki bilgiler basına yansıyan haberlere dayanır; soruşturma sürmekte olup hiçbir kişi veya kurum hakkında kesin hüküm bulunmamaktadır.
Sendikanızın işini tek sisteme toplayın
Size özel bir demo hazırlayalım; teşkilat yapınızı, veri güvenliği beklentinizi ve ihtiyaçlarınızı birlikte konuşalım. Sendikanıza özel sunucu ve standart sendika web sitesi dahil.
