Comment rapprocher l’inventaire VERBİS des flux de données réels ?

Un décalage entre la déclaration VERBİS et les flux réels de l’entreprise est un problème opérationnel fréquent dans les projets KVKK. L’inventaire peut dater de plusieurs années, alors que de nouveaux systèmes CRM ou SaaS, applications mobiles, services cloud ou outils d’IA ont été introduits depuis.

Actualiser l’inventaire Excel existant ne suffit pas. Il faut refaire la cartographie technique : système de collecte, lieu de traitement, intégrations assurant les transferts, lieux de conservation et moment de suppression des données.

Par où commencer la cartographie des flux de données ?

Commencez par répertorier les services de l’entreprise et les systèmes. Les processus RH, de service client, de vente, de commerce électronique, de marketing, de comptabilité et d’informatique peuvent être examinés séparément.

Pour chaque processus, identifiez la source des données, le groupe de personnes concernées, l’application utilisée, la destination du transfert et le lieu de stockage.

Constituez un inventaire des systèmes

ERP
CRM
E-mail
Système RH
Infrastructure de commerce électronique
Application mobile
Analyse Web
Stockage en nuage
Applications SaaS
Systèmes d’IA et d’automatisation

Examiner séparément les intégrations

Les données d’un système peuvent être transférées vers un autre via une API, un webhook, un processus ETL ou un export manuel. Un inventaire qui ne mentionne que l’application principale peut masquer ce transfert.

Représentez notamment les connexions CRM–ERP, web–CRM, place de marché–ERP et IA–source de données comme des flux distincts.

Correspondance avec les champs VERBİS

Rapprochez les groupes de personnes, catégories de données, finalités, destinataires, transferts internationaux, mesures de sécurité et durées maximales de conservation décrits par l’Autorité de leurs équivalents dans les flux réels des systèmes.

Pouvoir relier chaque entrée VERBİS au processus métier et aux systèmes dont elle provient facilite les mises à jour.

Vérifiez techniquement les flux internationaux de données

Même si un fournisseur SaaS a son siège en Turquie, son infrastructure, ses sous-traitants ultérieurs et ses lieux de stockage peuvent nécessiter un examen distinct.

Examinez à cet égard chaque service cloud, d’analyse, de support client, de messagerie et d’IA.

Vérifiez les durées de conservation dans les systèmes

Inscrire « 10 ans » ou « pendant la relation de travail » dans l’inventaire ne suffit pas. Vérifiez la conservation réelle dans les bases de données, serveurs de fichiers, sauvegardes, CRM et systèmes de journalisation.

Si la suppression ou l’anonymisation ne peuvent pas être mises en œuvre techniquement, l’inventaire ne correspond pas au système réel.

Mettez en place une gestion des changements

Vérifier les flux de données au regard du KVKK avant l’introduction d’un logiciel, d’une intégration API, d’un champ de données, d’un fournisseur ou d’un projet d’IA évite que l’inventaire redevienne obsolète.

Un processus simple de notification des changements peut relier les équipes informatiques, juridiques/KVKK et les services métier.

Matrice de correspondance

Processus métier
Groupe de personnes concernées
Catégorie de données
Finalité du traitement
Base juridique
Système source
Système cible
Groupe de destinataires
Transfert international de données
Durée de conservation
Mesures de sécurité
Champ VERBİS correspondant

Gérez VERBİS comme un contrôle continu, et non comme une inscription figée

VERBİS et l’inventaire des données personnelles peuvent vite devenir obsolètes s’ils sont déconnectés des opérations réelles de l’entreprise. Une nouvelle application pour les salariés, un CRM, une infrastructure de paiement, un formulaire web, un outil marketing, un service SaaS, un fournisseur cloud ou une application d’IA peuvent introduire de nouvelles catégories de données, de nouveaux destinataires ou des transferts internationaux. Il faut donc examiner les implications pour les données personnelles lors des achats, du développement logiciel, des intégrations et de l’intégration de nouveaux fournisseurs.

Dans un modèle de contrôle solide, chaque activité de traitement est rattachée à un responsable métier, à un responsable du système et à une analyse juridique. Le suivi conjoint du système source, du système cible, du groupe de personnes concernées, de la catégorie de données, de la finalité, de la base juridique, du destinataire, du pays ou du dispositif de transfert, de la durée de conservation et des mesures de sécurité permet d’actualiser VERBİS à partir des opérations réelles. L’inscription ne se réduit alors plus à un document consulté uniquement lors des audits.

Les contrôles périodiques doivent couvrir les processus abandonnés comme les nouveaux. Les applications inutilisées, anciens comptes utilisateurs, archives, journaux, sauvegardes et connexions avec d’anciens fournisseurs peuvent présenter des risques de conservation et d’accès. Un rapprochement dans les deux sens entre l’inventaire et les systèmes techniques aide à éviter les notifications incomplètes et le maintien inutile dans le registre d’activités de traitement qui n’existent plus.

L’approche de B10 Digital Agency en matière de KVKK et de conformité numérique

B10 Digital Agency ne réduit pas les travaux de conformité KVKK à la rédaction de documents : son modèle opérationnel réunit l’inventaire des données, VERBİS, la cartographie des systèmes et intégrations, les transferts internationaux, les contrôles de sécurité et la gestion des changements.

Questions fréquentes

L’inventaire VERBİS peut-il être tenu uniquement dans Excel ?

L’actualisation importe plus que l’outil, mais un lien traçable avec les systèmes et flux réels doit être établi.

Le nouveau produit SaaS peut-il affecter VERBIS?

Oui. Un nouveau produit SaaS peut modifier les catégories de données, les destinataires, les transferts internationaux ou la structure de sécurité.

Les données sauvegardées doivent-elles aussi être prises en compte dans les durées de conservation ?

Examinez aussi les environnements de sauvegarde lors de la conception des processus réels de conservation et de destruction.

Quand faut-il actualiser l’inventaire ?

Vérifiez l’inventaire lors de changements importants : nouveaux systèmes, intégrations, fournisseurs ou finalités de traitement.

Lignes directrices connexes du VERBIS

Sources officielles

Remarque : ce contenu fournit des informations générales. Les obligations précises d’une entreprise au titre de VERBİS et du KVKK doivent être évaluées séparément selon ses activités et la législation en vigueur.

Alignez votre inscription VERBİS sur vos flux de données réels

Découvrez le service KVKK et conformité numérique de B10 Digital Agency pour examiner ensemble votre inventaire, VERBİS, les transferts internationaux et les systèmes numériques.

Découvrir le conseil en KVKK et conformité numérique →