# KVKK e-posta saklama süresi ve kurumsal dosya saklama: temel ilkeler > KVKK kapsamında kurumsal e-posta ve dosyaların saklama süresi nasıl belirlenir? Temel ilkeler ve uygulama adımları, genel bilgi olarak. Kaynak sayfa: https://smart360.com.tr/rehberler/kvkk-uyumlu-e-posta-ve-dosya-saklama --- - Ana sayfa - Rehberler - KVKK e-posta saklama süresi ve kurumsal dosya saklama: temel ilkeler ## KVKK e-posta saklama süresi ve kurumsal dosya saklama: temel ilkeler KVKK e-posta saklama süresi için tek bir sabit süre öngörmez; kişisel veriler ilgili mevzuatta öngörülen ya da işleme amacı için gerekli süre kadar saklanır. Bu rehber kurumsal e-posta ve dosyalarda erişim, saklama, silme ve kayıt tutmaya ilişkin temel ilkeleri genel bilgi olarak özetler; hukuki tavsiye değildir. 6 dk okuma Yayın: 24 Eylül 2026 Güncelleme: 29 Eylül 2026 Bu rehberde - KVKK kurumsal e-posta ve dosyalar için ne ister? - E-posta ve dosyalarda saklama süresi nasıl belirlenir? - Kişisel veri içeren dosyalara erişim nasıl sınırlanır? - Kayıt tutma neden önemlidir? - Veri ihlali olursa ne yapılmalı? - Saklama ve imha politikası nasıl hazırlanır? - Çalışanlara hangi kurallar bildirilmeli? - Smart360 ailesi bu ilkeleri nasıl destekler? - Sık sorulan sorular - İlgili sayfalar - Smart360 ile başlayın ### KVKK kurumsal e-posta ve dosyalar için ne ister? 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesi, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlar için, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini ve ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. 12. madde ise veri sorumlusuna, verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kurumsal e-posta kutuları ve paylaşılan klasörler, çoğu şirkette en fazla kişisel verinin biriktiği yerlerdir: müşteri yazışmaları, çalışan belgeleri, sözleşmeler, faturalar ve kimlik fotokopileri. Uygulamada KVKK uyumu bu alanlarda üç soruya net yanıt vermek demektir: Bu veriye kimler erişebiliyor? Ne kadar süre saklanıyor? Süre dolduğunda nasıl siliniyor? ### E-posta ve dosyalarda saklama süresi nasıl belirlenir? Saklama süresi, verinin türüne ve işleme amacına göre belirlenir. Vergi, ticaret ve iş mevzuatı farklı belge türleri için farklı saklama süreleri öngörür; bir faturanın, bir iş sözleşmesinin ve bir müşteri talebinin saklanma gerekçesi ve süresi aynı değildir. Bu yüzden her veri kategorisi için süre, dayanağıyla birlikte bir kişisel veri saklama ve imha politikasında yazılı olmalıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, bu politikayı hazırlama yükümlülüğü olan veri sorumlularının silme işlemlerini periyodik olarak yapmasını öngörür. E-posta ve dosya sistemlerinde bunun pratik karşılığı, silinen içeriğin bir çöp kutusunda belirli süre bekledikten sonra kalıcı olarak temizlenmesi ve bu sürenin kurum tarafından ayarlanabilmesidir. Silme işleminin kimin tarafından ve ne zaman yapıldığı da kayıt altında olmalıdır. ### Kişisel veri içeren dosyalara erişim nasıl sınırlanır? Kişisel veri içeren kutulara ve klasörlere yalnızca işi gereği ihtiyaç duyan kişiler erişmelidir. Ortak parolayla paylaşılan bir kutuda kimin eriştiği ayırt edilemez; ayrılan bir çalışanın erişimini kesmek için herkesin parolasını değiştirmek gerekir. Daha sağlıklı yaklaşım, erişimi kişi ya da departman bazında vermek ve yetkiyi işe göre ayırmaktır: okuyabilen ama silemeyen, yükleyebilen ama başkasının dosyasını düzenleyemeyen gibi. İnsan kaynakları belgeleri yalnız İK departmanına, müşteri sözleşmeleri yalnız ilgili ekibe açık olur. Böylece en az yetki ilkesi uygulanır ve erişim listesi kendiliğinden bir kayıt hâline gelir. ### Kayıt tutma neden önemlidir? Bir veri ihlali şüphesinde ya da ilgili kişinin KVKK'nın 11. maddesi kapsamındaki başvurusunda, kurumun "kim, neye, ne zaman erişti" sorusuna yanıt verebilmesi gerekir. Yetki değişiklikleri, kutu ve klasör erişimleri, ayar değişiklikleri ve silme işlemleri tarih, saat ve kullanıcı bilgisiyle kaydedilmelidir. Verilerin nerede saklandığı da önemlidir. Kurumların verilerinin birbirinden ayrı tutulması, yetkisiz erişime karşı korunması ve yurt dışına aktarım olup olmadığının bilinmesi, teknik tedbirlerin temelidir. Kayıtların kendisi de korunmalıdır: kimin neye eriştiğini gösteren kayıtlar yalnızca yetkili kişilerce görüntülenmeli ve kayıtların saklama süresi de politikada belirlenmelidir. Otomatik sistemlerin yaptığı işlemler, örneğin kendiliğinden yapılan silme ya da karantinaya alma, bir insanın yaptığı işlemden ayırt edilebilir biçimde yazılmalıdır; böylece bir işlemin kimin kararı olduğu hiçbir zaman karışmaz. ### Veri ihlali olursa ne yapılmalı? KVKK'nın 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Kişisel Verileri Koruma Kurulu, bu sürenin veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat olarak uygulanacağına karar vermiştir. Bir e-posta kutusunun ele geçirilmesi ya da kişisel veri içeren bir klasörün yanlış kişilerle paylaşılması bu kapsamda değerlendirilebilir. Bu yüzden ihlal şüphesinde hangi verilere, kimin, ne zaman eriştiğini kayıtlardan hızla çıkarabilmek, bildirimi zamanında ve doğru yapabilmenin ön koşuludur. ### Saklama ve imha politikası nasıl hazırlanır? - Kurumda işlenen kişisel veri kategorilerini çıkarın: müşteri, çalışan, tedarikçi, aday gibi. - Her kategorinin hangi sistemde durduğunu yazın: e-posta kutuları, dosya alanları, muhasebe yazılımı. - Her kategori için saklama süresini ve bu sürenin hukuki dayanağını belirleyin. - Süre dolduğunda uygulanacak yöntemi yazın: silme, yok etme ya da anonim hâle getirme. - Periyodik silme sürelerini ve sorumlu kişileri belirleyin. - Politikayı düzenli aralıklarla gözden geçirin. Politikanın ayrıntıları kurumdan kuruma değişir; hazırlık sırasında bir hukuk danışmanıyla çalışmanız önerilir. ### Çalışanlara hangi kurallar bildirilmeli? - Kurumsal e-postanın ve dosya alanlarının hangi amaçla kullanılacağı. - Kişisel veri içeren belgelerin kişisel cihazlara ya da kişisel hesaplara aktarılmaması. - Kişisel veri içeren eklerin yalnızca gerekli alıcılara gönderilmesi. - Artık gerekmeyen belgelerin politikaya göre silinmesi. Bu kuralların yazılı bir politikayla bildirilmesi, hem farkındalık sağlar hem de kurumun hesap verebilirliğini güçlendirir. Kurallar işe girişte bir kez anlatılıp bırakılmamalı; yılda en az bir kez kısa bir hatırlatmayla yenilenmeli ve politika değiştiğinde çalışanlara ayrıca duyurulmalıdır. ### Smart360 ailesi bu ilkeleri nasıl destekler? Smart360 ürünlerinde her kurumun verisi, her ürün için kendi ayrı veritabanında durur. Erişim kişi ya da departman bazında verilir: SmartMail'de her posta kutusu için dokuz, SmartFiles'ta her depo alanı için sekiz ayrı yetki vardır. Departmandan çıkan kişinin SmartMail erişimi kendiliğinden geri alınır; kurumdan çıkarılan kişinin tüm ürünlerdeki erişimi tek işlemle kaldırılır. Silinen mailler ve dosyalar çöp kutusunda kurumun belirlediği süre kadar bekler, ardından kalıcı olarak temizlenir. Kutu açma, erişim verme, ayar değiştirme ve gönderen kuralı ekleme gibi işlemler aktörü, zamanı ve IP adresiyle denetim kaydına yazılır. Ayrıntılar: Smart360 ekosistemi ve SmartFiles alan bazlı yetkilendirme. ### Sık sorulan sorular ### İlgili sayfalar - İşten ayrılan çalışanın e-posta erişimi Rehber - En az yetki ilkesi nedir? Rehber - Smart360 ekosistemi Smart360 - Smart360 KVKK aydınlatma metni Smart360 ### Smart360 ile başlayın İhtiyacınıza göre fiyatı hesaplayın ya da sorularınız için ekibimize yazın; aynı iş günü içinde dönülür.