1. Amaçla sınırlı saklama
Tüm veriler için tek bir süre kullanılmaz. Aşağıdaki süreler, henüz işletme sahibi tarafından kabul edilmemiş ve altyapıda uygulanmamış yayın öncesi önerilerdir. Kanuni yükümlülük, uyuşmazlık veya sözleşme gereği daha farklı süre gerekiyorsa dayanak ve başlangıç olayı kategori bazında kayıt altına alınır. Nihai süreler doğrulanmadan genel yayına geçilmez.
2. Yayın öncesi süre planı
| Kategori | Önerilen ölçüt / süre | Uygulama koşulu |
|---|---|---|
| Sitedeki teklif taslağı | Yalnızca açık sayfa belleği; sunucu form arşivi oluşturulmaz. | Mevcut uygulama davranışı. |
| Sözleşmeye dönüşmeyen teklif yazışması | Son anlamlı iletişimden itibaren en çok 12 ay önerilir; amaç daha erken biterse daha erken değerlendirilir. | İşletme sahibinin onayı ve kullanılan e-posta/WhatsApp arşivinde uygulanması gerekli. |
| VPS web erişim/güvenlik günlükleri | Rutin kayıt için 30 gün üst sınır önerisi; olay ve hukuki yükümlülük ayrı değerlendirilir. | Sunucu incelendikten sonra kesinleştirilecek. Şu an uygulanmış kabul edilmez. |
| Sözleşme ve mali kayıtlar | VUK kapsamındaki ilgili defter/belgeler: ilgili yılı izleyen takvim yılından itibaren 5 yıl. Başka mevzuat veya hukuki gereklilik ayrıca değerlendirilir. | Mali müşavir ve sözleşme kapsamıyla teyit gerekli; her veri bu süreye bağlanmaz. |
| Müşteri proje verileri | Teslim, iade ve silme tarihi proje sözleşmesinde belirlenir; süresiz geliştirme kopyası tutulmaz. | Veri işleme rolü ve proje sözleşmesi gerekli. |
| Siteye ait operasyonel yedek | 30 günlük döngü önerisi; silinen verinin geri yüklemeyle yeniden işlenmesini önleyen prosedür. | Mevcut yedekleme verilerinize veya takvimine uygulanmaz; ayrı site alanı için tasarlanacak. |
| İmha işlem kayıtları | Silme/yok etme/anonimleştirme işlemlerinin kayıtları, diğer yükümlülükler saklı kalmak üzere en az 3 yıl. | Yönetmelik kapsamındaki kayıt yükümlülüğü. |
| KVKK başvurusu / uyuşmazlık | Başvuru veya hakkın korunması için gerekli ve dayanağı belgelenmiş süre. | Nihai süre ve hukuki sebep işletme kayıtları incelenerek belirlenecek. |
3. Gözden geçirme ve imha
İşleme şartları ortadan kalktığında erişim sınırlandırılır; uygun silme, yok etme veya geri döndürülemez anonimleştirme yöntemi seçilir. Süreç sorumlusu ve işlem kaydı belirlenir. Politikaya tabi periyodik imha aralığı altı ayı aşamaz; politika hazırlama yükümlülüğü bulunmayan veri sorumluları bakımından ilgili yönetmelikteki üç aylık süre dikkate alınır. İlgili kişi talepleri ayrıca yasal başvuru süresinde ele alınır.
Yedekler rutin kullanıma kapalı tutulmalı; geri yüklemede daha önce silinmesi gereken kayıtların yeniden silinmesi sağlanmalıdır. Bu site projesi, mevcut VPS yedeklerini silme veya saklama sürelerini değiştirme yetkisi vermez.
4. Güvenlik ve ihlal yönetimi
Yayın planı; en az yetki, ayrı site dizini ve servis kapsamı, TLS, güncelleme, kontrollü erişim, günlük rotasyonu ve geri dönüş denemesini kapsar. Bu ayarlar sunucuda uygulanıp test edilmeden “tamamlandı” olarak işaretlenmez.
Bir ihlal halinde etki, kapsam ve alınan önlemler kayda alınır. Kurula bildirim bakımından öğrenmeden itibaren en geç 72 saat kuralı ve etkilenen kişilere makul olan en kısa sürede bildirim gerekliliği değerlendirilir; veri işleyen gecikmeksizin veri sorumlusuna bilgi verir.