С точки зрения KVKK разница между облаком и собственным сервером не столько в том, где физически лежат персональные данные, сколько в том, кто их обрабатывает, кто имеет к ним доступ и куда они передаются. Закон Турции № 6698 о защите персональных данных считает оператором данных компанию, которая определяет цели и способы обработки, какой бы сервер она ни выбрала. Отсюда и вопрос главного бухгалтера: что меняется, если зарплатные данные и данные клиентов лежат в облаке, и что, если на нашем собственном сервере. Эта статья носит общий информационный характер и не является юридической консультацией; по своему случаю обратитесь к юристу. Действующий текст закона опубликован в официальной базе законодательства Турции, решения и руководства Совета на сайте Управления по защите персональных данных.
01.Требует ли KVKK локализации данных?
Как правило, KVKK не требует хранить данные в Турции или на собственном сервере компании; но передачу персональных данных за границу закон подчиняет отдельным условиям.
Локализация данных означает хранение данных в пределах определённой страны. Фокус KVKK в другом: на каком основании обрабатываются данные, был ли человек уведомлён, как данные защищены и кому они передаются. Если серверы облачного провайдера находятся за рубежом, данные могут считаться переданными в эту страну, и такая передача подчиняется отдельным условиям закона. С поправкой, вступившей в силу в 2024 году, передача за рубеж перешла к ступенчатому порядку: сначала решение Совета об адекватности, если его нет, надлежащие гарантии, например стандартный договор или обязательные корпоративные правила, а если нет и их, ограниченные разовые случаи; явное согласие теперь может служить основанием только на этой последней ступени.
Пример: представьте производителя мебели в Кайсери. Он работает не в отрасли с особым регулированием вроде банковского дела или платёжных услуг. Для него главный вопрос не «облако или свой сервер», а «где сервер поставщика облака и кто может видеть данные». В некоторых отраслях отдельные нормы могут требовать хранения данных внутри страны; правила вашей отрасли проверьте отдельно.
Поэтому локализация данных сама по себе не критерий выбора. Данные на сервере в Турции, к которым у всех есть доступ, могут нести больший риск, чем хорошо защищённые данные в другом месте. Место лишь одна из частей защиты.
02.Кто в облаке оператор данных, а кто обработчик?
Ваша компания, которая определяет цели и способы обработки данных, является оператором данных; облачный провайдер, предоставляющий услугу, обычно обрабатывает данные от вашего имени.
Перенос данных в облако не передаёт ответственность поставщику. Когда главный бухгалтер загружает ведомость в облачную HR-систему, ведомость по-прежнему остаётся ответственностью компании. При утечке сотрудник в первую очередь спрашивает работодателя.
Закон возлагает на оператора данных и на того, кто обрабатывает данные от его имени, совместную ответственность за меры безопасности; чтобы очертить границы этой общей ответственности, с обработчиком рекомендуется заключить письменный договор. Договор описывает, с какой целью и с какими мерами безопасности провайдер обрабатывает данные и что он делает с данными после окончания договора. Без договора неясно и то, где начинается и где заканчивается ответственность.
Как вернуть данные при смене поставщика, тоже предмет этого договора; иначе данные могут остаться у поставщика, договор с которым закончился.
Нужно также спросить, использует ли облачная программа других субподрядчиков по обработке. Приложение может находиться у одной компании, резервные копии у другой, рассылка почты у третьей; каждая остановка, через которую проходят данные, должна быть видна в договоре.
03.Снижает ли собственный сервер ответственность?
На собственном сервере ответственность по KVKK не уменьшается, а перемещается: вопрос передачи за рубеж может упроститься, но все меры безопасности переходят к вашей команде.
| Тема | Облако | Собственный сервер |
|---|---|---|
| Оператор данных | Ваша компания; поставщик обычно выступает обработчиком, который обрабатывает данные от вашего имени | Ваша компания |
| Передача за рубеж | Если сервер за рубежом, данные могут считаться переданными и подпадают под отдельные условия | Если данные не покидают страну, этот вопрос может упроститься |
| Меры безопасности | Вы несёте ответственность вместе с обработчиком; границу проводит письменный договор | Все они переходят к вашей команде |
| Первый вопрос | В какой стране данные, кто имеет доступ, как они передаются после окончания договора? | Кто видит какую запись, фиксируется ли доступ, где хранится резервная копия? |
Закон ожидает от оператора данных технических и организационных мер для надлежащего уровня безопасности. На вашем собственном сервере все эти меры ваши: кто видит какую запись, фиксируется ли доступ, куда делается резервная копия, когда ставятся обновления безопасности.
Пример: представьте офис строительной компании. Сервер стоит в шкафу под лестницей, резервная копия на внешнем диске в том же шкафу. Личные дела сотрудников видят все, потому что права доступа так и не настроили. Данные за границу не уходят, но и защищёнными их не назовёшь.
Настоящее преимущество своего сервера в видимом контроле: вы прямо видите, кто заходит на сервер и где лежит резервная копия. Это преимущество работает, только если меры записаны и регулярно проверяются. Поэтому первое, что делает компания, переходя на свой сервер, это таблица прав: какая роль видит какую запись, кто может выгружать, кто может удалять.
04.Какие вопросы задать поставщику?
Главные вопросы облачному провайдеру: в какой стране и на чьей инфраструктуре хранятся данные, куда делается резервная копия, кто имеет доступ, фиксируется ли доступ и как данные передаются после окончания договора.
- В какой стране и на чьей инфраструктуре хранятся база данных и файлы?
- Если данные за рубежом, на каком основании идёт передача, например на стандартном договоре?
- Куда уходит резервная копия, зашифрована ли она, проверялось ли восстановление?
- В каких случаях сотрудники поставщика могут получить доступ к данным и журналируется ли этот доступ?
- Готовы ли при внедрении договор об обработке данных и уведомление о конфиденциальности?
- Если договор закончится, в каком формате и как возвращаются данные?
- Если произойдёт утечка, как и когда вам сообщат?
Последний вопрос кажется мелким, но это не так. Закон обязывает оператора данных при утечке уведомить Совет по защите персональных данных и затронутых лиц. Если поставщик сообщит вам поздно, вы не выполните эту обязанность вовремя, поэтому порядок уведомления нужно прописать в договоре. Задавайте эти вопросы на этапе выбора, а не после подписания договора. Просите ответы в письменном виде; устное заверение нельзя предъявить ни при проверке, ни в ответ на запрос.
05.Где ведутся уведомления, согласия и запросы субъектов данных?
Каким бы ни было размещение, человека уведомляют, при необходимости получают явное согласие, а запрос субъекта данных получает ответ и фиксируется.
Уведомить значит сообщить человеку, какие данные обрабатываются, с какой целью и кому они могут быть переданы. Явное согласие нужно не для каждой обработки; если есть другое законное основание, согласие может не требоваться. Обязанность регистрации в Реестре операторов данных (VERBİS) тоже зависит от положения компании, а не от места размещения данных, и из неё есть исключения.
Если клиент спрашивает, какие его данные хранятся по старой акции, а для ответа нужно перебрать несколько отдельных систем, проблема скорее в разрозненности, чем в размещении. Когда данные лежат в одной записи, и на запрос отвечают из одного места. С какой работы начинать наведение порядка, рассказывает статья о цифровизации малого и среднего бизнеса.
То, что спрашивает субъект данных, чаще всего просто: какие мои данные хранятся, зачем и кому они переданы. В разрозненных системах ответ на эти вопросы может превратиться в поиск на несколько дней.
| Чего требует закон | Что есть в Corex360 | Что остаётся за вами |
|---|---|---|
| Технические и организационные меры для надлежащего уровня безопасности (KVKK, ст. 12 ч. 1) | Доступ строится на ролях; каждый пользователь видит только записи в рамках своей роли. Corex360 Security фиксирует входы, устройства и доступ. | Определить роли, закрыть доступ ушедшим, проводить внутренний контроль (ст. 12 ч. 3). |
| Условия ст. 9 для передачи за рубеж | Размещение: выделенное пространство компании в Corex360 Cloud или ваш собственный сервер; выбор фиксируется в договоре. В облаке запрос, написанный X AI, уходит выбранному вами поставщику ИИ; при установке на собственном сервере X AI работает с локальной моделью. | Определить правовое основание передачи и с учётом этого выбрать поставщика ИИ. |
| Право субъекта данных запросить информацию (ст. 11 ч. 1) | Модули используют одну и ту же запись клиента; переписка, предложения и договоры человека хранятся в одной карточке. | Принять обращение, ответить в срок и зафиксировать ответ. |
| Регистрация в Реестре операторов данных (ст. 16) | Аналога нет; регистрацию в реестре выполняет само предприятие, а не программа. | Проверить по решениям на kvkk.gov.tr, освобождено ли предприятие от регистрации, и при необходимости зарегистрироваться. |
06.В какой среде хранятся данные в Corex360?
В Corex360 выбор за вами: отдельное пространство компании в Corex360 Cloud или ваш собственный сервер; в обоих случаях работает один и тот же уровень безопасности.
В Corex360 входы, устройства, скачивания и изменения прав фиксируются; доступ строится по ролям. Персональные данные обрабатываются в рамках KVKK. Все эти факты описаны на странице безопасность Corex360 и KVKK.
Доступ основан на ролях; зарплатные и персональные данные видят только те, кому это разрешает роль. В перечень вопросов к продавцу нужно добавить также форматы выгрузки и то, как передаются данные после окончания договора. Если корпоративная политика требует хранить данные в собственной инфраструктуре, подробности на странице работа на собственном сервере. Принесите на демо вопросы о том, где хранятся данные, кому они открыты и как передаются; ответы для вашей ситуации мы запишем вместе.
Задавайте эти вопросы и для Corex360 Cloud, и для варианта с собственным сервером; в обоих вариантах ответ должен быть письменным.
Материалы
- Управление по защите персональных данных, решения Совета Последняя проверка
Как подготовлена эта страница?
- Автор: Şevket Erer, Сооснователь, специалист по ИИ
- Источники: сведения о законодательстве, официальных органах и производителях берутся из первичных источников в списке «Материалы» на этой странице; рядом с каждым источником указана дата последней проверки.
- Сведения о продукте: утверждения о Corex360 основаны на записях компании о фактах продукта; неподтверждённые функции не описываются.
- Использование ИИ: текст пишет команда Corex360; инструменты ИИ применяются при подготовке черновиков и переводе. Редакционные принципы
- Даты: первая публикация , последнее обновление . Порядок исправлений
Вопросы и ответы
01В чём разница между облаком и собственным сервером с точки зрения KVKK?
Разница не столько в физическом месте хранения данных, сколько в том, кто их обрабатывает, кто имеет доступ и куда они передаются. В обоих случаях компания, которая определяет цели и способы обработки, остаётся оператором данных. Этот ответ не является юридической консультацией.
02Требует ли KVKK хранить данные в Турции?
Как правило, нет; но передача персональных данных за границу по закону подчиняется отдельным условиям. В некоторых отраслях, например в банковском деле и платёжных услугах, отдельные нормы могут требовать хранения данных внутри страны.
03Становится ли облачный провайдер оператором данных?
Как правило, нет. В большинстве случаев провайдер обрабатывает данные от вашего имени; оператором данных остаётесь вы. Поэтому с провайдером рекомендуется заключить письменное соглашение об обработке данных.
04Как долго можно хранить персональные данные?
Закон требует удалить, уничтожить или обезличить персональные данные, когда цель обработки отпала; срок определяется соответствующими нормами и целью обработки. Этот ответ не является юридической консультацией.
05Как передаются данные облачному провайдеру за рубежом?
С поправкой, вступившей в силу в 2024 году, передача данных за рубеж подчиняется ступенчатому порядку: сначала решение Совета об адекватности, а если его нет, надлежащие гарантии, например стандартный договор или обязательные корпоративные правила. Если нет и их, передача возможна только в ограниченных разовых случаях, и явное согласие служит основанием лишь на этой последней ступени. Этот ответ не является юридической консультацией.
Несколькими короткими вопросами мы узнаём вашу работу; демо готовим с вашими каналами, вживую и онлайн.
Похожие статьи
Продолжайте читать.
On-premise CRM – это CRM на собственном сервере компании. Где на деле лежат данные, за кем установка и обновления и почему безопасность не приходит сама?
ДатаЧитать статью01Бизнес-аналитикаЧто такое KPI-панель? Первый экран, который руководитель открывает утром
Панель KPI собирает на одном экране показатели движения к цели с порогами и ответственными. Что на неё попадает и почему на неё перестают смотреть?
ДатаЧитать статью02Бизнес-аналитикаУправленческий отчёт или экран решений: где заканчивается отчёт в Excel
Отчёт руководителя сводит период для того, кто решает; отчёт в Excel застывает в момент подготовки. Некоторые задачи Excel всё же делает хорошо.
ДатаЧитать статью03АссистентЧто ИИ-ассистент в CRM делает, а чего не делает
ИИ-ассистент в CRM читает переписку, делает сводки, готовит черновики и следит за делами; решение за вами. О риске неверного ответа спросите до выбора.
ДатаЧитать статью04АссистентЧто такое движок правил в бизнес-процессах: напоминания, назначение, одобрение
Движок правил превращает работу из памяти в письменное правило: триггер, условие, действие. Что в неделе отдела продаж привязать к правилу и где согласование?
ДатаЧитать статью05ДокументыЧто такое СЭД (система управления документами)? Как файл привязывается к карточке клиента
Система управления документами хранит документ, делает его находимым и привязывает доступ к правам. Почему общей папки мало и что даёт привязка к клиенту?
ДатаЧитать статью06ДокументыКак вести архив договоров: подписанный документ, даты и доступ
Архив договоров хранит подписанный договор, приложения и даты с фиксацией доступа. Собственноручная и электронная подпись, названия файлов, сроки и права.
ДатаЧитать статью07ЦифровизацияПокупка бизнес-ПО с поддержкой цифровой трансформации KOSGEB: кого охватывает, что требует
Поддержка KOSGEB покрывает проценты по кредиту малых и средних производителей на покупку ПО и оборудования. Условия, отчёт о зрелости, шаги и частые ошибки.
ДатаЧитать статью08