Como alinhar o inventário VERBİS com os fluxos de dados reais

Uma divergência entre a comunicação VERBİS e os fluxos reais da empresa é um problema operacional frequente nos projetos KVKK. O inventário pode ter sido preparado há anos, enquanto entretanto foram introduzidos novos sistemas CRM ou SaaS, aplicações móveis, serviços de nuvem ou ferramentas de IA.

Atualizar o inventário Excel existente não basta. É necessário voltar a mapear tecnicamente de que sistema os dados são recolhidos, onde são tratados, por que integrações são transmitidos, onde são conservados e quando são eliminados.

Por onde começar o mapeamento dos fluxos de dados?

Comece por listar as unidades da empresa e os sistemas. Os processos de recursos humanos, apoio ao cliente, vendas, comércio eletrónico, marketing, contabilidade e TI podem ser analisados separadamente.

Para cada processo, identifique a origem dos dados, o grupo de titulares, a aplicação utilizada, o destino da transferência e o local de armazenamento.

Crie um inventário de sistemas

ERP
CRM
E-mail
Sistema de recursos humanos
Infraestrutura de comércio eletrónico
Aplicação móvel
Análise da Web
Armazenamento em nuvem
Aplicações SaaS
Sistemas de IA e automação

Examine as Integrações Separadamente

Os dados de um sistema podem ser transferidos para outro por API, webhook, processo ETL ou exportação manual. Um inventário que apenas identifica a aplicação principal pode tornar essa transferência invisível.

Mapeie em especial as ligações CRM–ERP, web–CRM, marketplace–ERP e IA–fonte de dados como fluxos separados.

Correspondência com os campos VERBİS

Associe os grupos de titulares, categorias de dados, finalidades, destinatários, transferências internacionais, medidas de segurança e prazos máximos de conservação descritos pela Autoridade aos elementos correspondentes dos fluxos reais dos sistemas.

Poder associar cada entrada VERBİS ao processo de negócio e aos sistemas de origem facilita as atualizações.

Verifique tecnicamente os fluxos internacionais de dados

Mesmo que um fornecedor SaaS tenha sede na Turquia, a infraestrutura, os subcontratantes ulteriores e os locais de armazenamento podem exigir uma análise separada.

Analise estes aspetos individualmente nos serviços de nuvem, análise, apoio ao cliente, correio eletrónico e IA.

Verifique os prazos de conservação nos sistemas

Indicar «10 anos» ou «durante a relação laboral» no inventário não basta. Verifique a conservação efetiva nas bases de dados, servidores de ficheiros, cópias de segurança, CRM e sistemas de registo técnico.

Se a eliminação ou a anonimização não puderem ser implementadas tecnicamente, o inventário não corresponde ao sistema real.

Estabeleça a gestão de alterações

Verificar os fluxos de dados à luz do KVKK antes de introduzir novo software, uma integração API, um campo de dados, um fornecedor ou um projeto de IA evita que o inventário volte a ficar desatualizado.

Pode estabelecer-se um processo simples de comunicação de alterações entre TI, equipas jurídicas/KVKK e unidades de negócio.

Matriz de correspondência

Processo de negócio
Grupo de titulares dos dados
Categoria de dados
Finalidade do tratamento
Base jurídica
Sistema de origem
Sistema de destino
Grupo de destinatários
Transferência internacional de dados
Prazo de conservação
Medida de segurança
Campo VERBİS correspondente

Gira o VERBİS como um controlo contínuo, não como um registo estático

O VERBİS e o inventário de dados pessoais podem ficar rapidamente desatualizados quando desligados das operações reais da empresa. Uma nova aplicação para trabalhadores, um CRM, uma infraestrutura de pagamentos, um formulário web, uma ferramenta de marketing, um serviço SaaS, um fornecedor de nuvem ou uma aplicação de IA podem introduzir novas categorias de dados, grupos de destinatários ou transferências internacionais. Por isso, os processos de aquisição, desenvolvimento de software, integração e entrada de novos fornecedores devem incluir a análise das implicações para os dados pessoais.

Num modelo de controlo sólido, cada atividade de tratamento está associada a um responsável pelo processo de negócio, a um responsável pelo sistema e a uma avaliação jurídica. Registar em conjunto os sistemas de origem e destino, o grupo de titulares, a categoria de dados, a finalidade, a base jurídica, o destinatário, o país ou mecanismo de transferência, o prazo de conservação e as medidas de segurança permite atualizar o VERBİS com base nas operações reais. Assim, o registo deixa de ser um documento consultado apenas nas auditorias.

As revisões periódicas devem abranger os processos descontinuados e os novos. Aplicações sem utilização, contas antigas, arquivos, registos técnicos, cópias de segurança e ligações a fornecedores já terminadas podem criar riscos de conservação e acesso. A verificação nos dois sentidos entre o inventário e os sistemas técnicos ajuda a evitar tanto notificações incompletas como a permanência desnecessária no registo de atividades de tratamento que já não existem.

A abordagem da B10 Digital Agency ao KVKK e à conformidade digital

A B10 Digital Agency não limita o trabalho de conformidade com o KVKK à preparação de documentos: considera-o um modelo operacional que reúne o inventário de dados, o VERBİS, o mapeamento de sistemas e integrações, as transferências internacionais, os controlos de segurança e a gestão de alterações.

Perguntas frequentes

O inventário VERBİS pode ser mantido apenas em Excel?

A atualização importa mais do que a ferramenta, mas deve existir uma ligação rastreável aos sistemas e fluxos reais.

O novo produto SaaS pode afetar o VERBIS?

Sim. Um novo produto SaaS pode alterar as categorias de dados, os destinatários, as transferências internacionais ou a estrutura de segurança.

Os dados das cópias de segurança também devem ser considerados nos prazos de conservação?

Avalie também os ambientes de cópias de segurança ao conceber os processos reais de conservação e destruição.

Quando deve atualizar-se o inventário?

Reveja o inventário quando ocorrerem alterações importantes, como novos sistemas, integrações, fornecedores ou finalidades de tratamento.

Orientações VERBIS relacionadas

Fontes oficiais

Nota: este conteúdo fornece informação geral. As obrigações concretas de uma empresa ao abrigo do VERBİS e do KVKK devem ser avaliadas separadamente, tendo em conta a sua atividade e a legislação em vigor.

Alinhe o seu registo VERBİS com os fluxos de dados reais

Conheça o serviço de KVKK e conformidade digital da B10 Digital Agency para avaliar em conjunto o inventário de dados, o VERBİS, as transferências internacionais e os sistemas digitais.

Conhecer a consultoria em KVKK e conformidade digital →