KVKK Uyumlu İK Yazılımı Seçerken Nelere Bakılmalı?

İnsan kaynakları yazılımları, bir şirketin işlediği en hassas kişisel verilerin önemli bir kısmını barındırır: kimlik ve iletişim bilgileri, izin ve sağlık raporu belgeleri, performans puanları, maaş bordroları, çalışanlar arasındaki yazışmalar. Bu nedenle bir İK yazılımı seçerken özellik listesi kadar, verinin nasıl korunduğu da karar kriteridir.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), yazılımı satın alan şirketi veri sorumlusu olarak muhatap alır. Yani yazılımı seçmek sizin, seçimin sonuçlarından sorumlu olmak da sizin işinizdir. Bu yazıda tedarikçiye sormanız gereken soruları başlık başlık topladık.

Önce rolleri netleştirin: veri sorumlusu ve veri işleyen

Çalışan verilerini hangi amaçla ve nasıl işleyeceğinize siz karar verdiğiniz için veri sorumlusu sizsiniz. Yazılımı bulut hizmeti olarak sunan firma ise bu veriyi sizin adınıza işlediğinden genellikle veri işleyen konumundadır. KVKK’nın veri güvenliğine ilişkin 12. maddesi, veri işleyenin de güvenlik tedbirlerinden sizinle birlikte sorumlu olduğunu belirtir. Bu ilişki yazılı bir sözleşmeyle düzenlenmelidir.

Aydınlatma ve veri minimizasyonu

Çalışanlarınızı hangi verilerinin, hangi amaçla ve hangi hukuki sebeple işlendiği konusunda aydınlatmanız gerekir. Yazılım seçerken, ihtiyaç duymadığınız verileri toplamaya zorlamayan, modülleri ihtiyaca göre açıp kapatabildiğiniz bir yapı veri minimizasyonu ilkesine yardım eder.

Veri nerede barındırılıyor?

Kişisel verilerin yurt dışına aktarılması KVKK’nın 9. maddesinde ayrıca düzenlenmiştir ve bu madde 2024 yılında kapsamlı biçimde değiştirilmiştir. Yurt dışında barındırılan bir hizmet kullanmak, ek hukuki değerlendirme ve belgeler gerektirebilir. Bu nedenle ilk sorulardan biri şudur: Veri hangi ülkede, hangi veri merkezinde duruyor? Verinin Türkiye’de barındırılması, bu başlıktaki belirsizliği büyük ölçüde azaltır.

Yedekler ve yardımcı servisler de sorulmalı

Ana veritabanı Türkiye’de olsa bile yedeklerin, e-posta gönderim servislerinin ya da yazılımın içindeki yapay zekâ özelliklerinin veriyi başka bir yere taşıyıp taşımadığını ayrıca sorun. Özellikle yapay zekâ özelliklerinde, çalışan ve görev verilerinin üçüncü taraf bir servise gönderilip gönderilmediği, yurt dışı aktarım açısından belirleyici olabilir.

Erişim yetkileri ve veri izolasyonu

KVKK’nın “ölçülülük” ilkesi, her kullanıcının yalnızca işi için gereken veriyi görmesini gerektirir. Bir yöneticinin tüm şirketin performans puanlarını ya da sağlık raporlarını görmesi gerekmez. Sorulacak sorular:

• Yetkiler rol ve izin bazında mı tanımlanıyor?
• Bir izin kendi kaydı, ekip, departman ve şirket gibi kapsamlarla sınırlandırılabiliyor mu?
• Bulut hizmetinde şirketlerin verileri birbirinden kesin olarak ayrılmış mı?

Çalışan hakları ve verinin yaşam döngüsü

KVKK’nın 11. maddesi, çalışanlara verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini ve koşulları oluştuğunda silinmesini isteme gibi haklar tanır. Seçeceğiniz yazılım, bu taleplere cevap verirken işinizi kolaylaştırmalıdır: kişinin verilerine kolayca ulaşabilmeli, yanlış kayıtları düzeltebilmeli ve gerektiğinde silme ya da anonimleştirme yapabilmelisiniz.

Verinin yaşam döngüsü işten ayrılmayla bitmez. Hangi verinin ne kadar süre saklanacağını belirleyen bir saklama ve imha politikası, yazılımın sunduğu silme ve anonimleştirme imkânlarıyla birlikte düşünülmelidir. Saklama sürelerini sizin politikanız belirler; yazılım bu politikayı uygulamanıza yardımcı olmalıdır.

Teknik tedbirler kontrol listesi

1. Hassas içerikler (ör. yazışmalar) veritabanında şifreli mi saklanıyor?
2. Yedekler şifreli mi?
3. Oturum süreleri kısa mı; kullanıcı açık oturumlarını görüp sonlandırabiliyor mu?
4. Başarısız giriş denemelerine karşı sınırlama var mı?
5. Önemli kayıtlardaki değişikliklerin geçmişi tutuluyor mu?
6. Silme talebi geldiğinde veri nasıl silinir veya anonimleştirilir?
7. Gerekirse yazılım kendi sunucularınıza kurulabiliyor mu?

Sık yapılan hatalar

• Yalnızca “KVKK uyumludur” ifadesine güvenip ayrıntı sormamak. Uyum bir ürün etiketi değil, sizin süreçlerinizle birlikte oluşan bir durumdur.
• Tüm yöneticilere geniş yetki verip sonra daraltmayı unutmak.
• Yazılımdaki yapay zekâ özelliklerinin veriyi nereye gönderdiğini sormamak.
• Ayrılan çalışanların verileri için bir saklama ve imha planı yapmamak.
• Deneme sürecinde gerçek çalışan verisi yüklemek; denemede mümkün olduğunca örnek veya sınırlı veriyle çalışın.
• Yazılım seçimini yalnızca İK’ya bırakmak; bilgi işlem ve hukuk birimlerinin de sürece katılması gerekir.

HibritİK bu sorulara nasıl yanıt veriyor?

HibritİK güvenlik yaklaşımı yukarıdaki kontrol listesine şu karşılıkları verir:

• Türkiye’de barındırma: Bulut hizmetinde veriler Türkiye’de, İstanbul’da barındırılır.
• Kurum içi kurulum seçeneği: Aynı yazılım, isterseniz kendi sunucularınıza kurulabilir. Ayrıntılar için bulut ve kurum içi kurulum sayfasına bakabilirsiniz.
• Yetki kapsamları: Rol ve izin bazlı erişim; izinler Kendi / Ekip / Departman / Şirket kapsamlarıyla sınırlandırılır. Şirketlerin verileri birbirinden kesin olarak ayrılır.
• Şifreleme: Mesajlaşma içerikleri veritabanında şifreli saklanır; yedekler şifrelidir.
• Oturum yönetimi: Kısa ömürlü erişim anahtarları ve giriş deneme sınırlaması kullanılır; kullanıcılar açık oturumlarını görüp sonlandırabilir.
• Hesap silme: Hesap silme talebinde hesap 30 gün sonra anonimleştirilir.
• Yapay zekâ asistanı: Görev asistanı, HibritİK’in kendi sunucularında çalışan bir model kullanır; görev verisi üçüncü taraf bir yapay zekâ servisine gönderilmez. Ayrıntılar yapay zekâ ve veri gizliliği yazımızda.
• Modül bazlı lisans: Lisanslanmayan modüller gizlenir; yalnızca ihtiyacınız olan alanları açarsınız.

Sotech Bilgi Teknolojileri ISO 27001 sertifikalı bir şirkettir. Kişisel verilerin işlenmesine ilişkin metnimizi KVKK sayfamızda bulabilirsiniz.

Sonuç

KVKK açısından doğru İK yazılımı, verinin nerede durduğunu, kimin neyi görebildiğini ve veriyle işiniz bittiğinde ne olacağını açıkça cevaplayabilen yazılımdır. HibritİK’in izin ve performans modüllerini kendi kurallarınızla incelemek için 14 gün ücretsiz deneyin.

Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. KVKK yükümlülükleriniz için bir hukuk danışmanından destek almanızı öneririz.