KVKK Uyum Modülü yakında: çalışan verisinde envanter, açık rıza ve imha kayıtları

Kimler için, hangi sorunu çözecek?

KVKK Uyum Modülü, çalışan ve aday verisi işleyen her işveren için planlanıyor; özellikle kişisel veri envanterini ayrı bir tabloda tutan, açık rızaları klasörlerde saklayan ve saklama süresi dolan kayıtları düzenli olarak gözden geçiremeyen işletmelerde işe yarayacak. Bu yöntemde hangi verinin hangi amaçla ve ne kadar süre tutulduğu güncel kalmaz, işten ayrılanların verisi süresiz durur ve çalışan başvuruları e-postada kaybolur.

• İK yöneticisi: envanteri güncelleyecek, açık rıza kayıtlarını ve başvuruları tek ekranda izleyecek.
• KVKK sorumlusu ya da irtibat kişisi: saklama süresi dolan kayıtları, imha işlemlerini ve ilgili kişi başvurularının hedef tarihlerini takip edecek.
• Hukuk danışmanı: envanteri, imha tutanaklarını ve erişim raporunu inceleyecek.

KVKK Uyum Modülü neler yapacak?

KVKK Uyum Modülü, işverenin verdiği kararları uygulanabilir ve kanıtlanabilir kayıtlara dönüştürecek; kararın kendisini vermeyecek. Modülün tamamı yakında eklenecek; planlanan kapsam şöyle:

• Kişisel veri envanteri: İK verileri için veri kategorisi, işleme amacı, hukuki sebep, saklama süresi ve aktarım bilgisi işletmenizin politikasına göre girilecek; envanter CSV olarak dışa aktarılabilecek.
• Saklama ve imha: saklama süresi dolan kayıtlar belirli aralıklarla listelenecek; silme, anonimleştirme ya da yok etme onayla yapılacak ve tutanağı tutulacak.
• İlgili kişi başvuruları: başvurular durum, yanıt ve hedef tarihle kaydedilecek.
• Açık rıza kayıtları: rızaya dayanan işlemler için rızanın verilmesi ve geri çekilmesi kaydedilecek.
• Erişim raporu: Rol, Yetki ve Güvenlik modülündeki mevcut denetim kaydından hassas veri görüntülemelerini gösterecek.

Aydınlatma metinlerini ve politikaları şirket geneli belge olarak yayımlama, okundu raporu ve okumayanlar listesi de Doküman ve Sözleşme Yönetimi'ne yakında eklenecek. Hazır aydınlatma ya da politika metni şablonları, veri ihlali bildirim akışı ve VERBİS'e doğrudan kayıt planlanan kapsamda yer almaz.

Sora İK'nın veri işleyen olarak yükümlülükleri Veri İşleme Sözleşmesi sayfasında, şifreleme, yedekleme ve alt işleyenlere ilişkin bilgiler güvenlik sayfasında yer alır.

Nasıl çalışacak?

Planlanan modül, işverenin politikasını beş adımda uygulanabilir hâle getirecek.

1. Envanter: veri kategorileri, işleme amaçları, hukuki sebepler, saklama süreleri ve aktarımlar hukuk danışmanınızla birlikte girilecek.
2. Saklama süreleri: veri türlerine göre süreler tanımlanacak; süresi dolan kayıtlar belirli aralıklarla listelenecek.
3. İmha: listelenen kayıtlar için silme, anonimleştirme ya da yok etme onaylanacak ve tutanağı oluşacak.
4. Rıza ve başvurular: açık rızanın gerektiği işlemlerde rıza kayıtları tutulacak; gelen ilgili kişi başvurusu kaydedilip durumu ve hedef tarihi izlenecek.
5. Erişimin gözden geçirilmesi: erişim raporuyla hassas veri görüntülemeleri düzenli olarak incelenecek.

Mevzuat notu

KVKK'nın uygulanmasına ilişkin kurallar Kanun, yönetmelikler, tebliğler ve Kişisel Verileri Koruma Kurumu'nun rehber ve kararlarıyla belirlenir; bu sayfada madde numarası ya da süre verilmez.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Kişisel Verileri Koruma Kurumu
• Aydınlatma Yükümlülüğü
• Açık Rıza Alırken Dikkat Edilecek Hususlar
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi
• Kurum rehberleri

Sora İK'nın kendi web sitesi ve hesap verileri için hazırladığı metin KVKK Aydınlatma Metni sayfasındadır. Bu sayfa hukuki tavsiye değildir; işletmenize özgü durumlar için hukuk danışmanınıza danışın.

Sora İK bugün hangi teknik tedbirlerle katkı sağlıyor?

KVKK Uyum Modülü gelmeden de Sora İK'nın kullanımdaki modülleri, çalışan verisini en az yetki ilkesiyle işlemeye yönelik şu tedbirleri bugün uygular:

• Rol ve yetki: kimin hangi veriyi göreceği roller ve özel rollerle sınırlanır; Rol, Yetki ve Güvenlik modülünde yönetilir.
• Denetim kaydı: değiştirici her işlem, yapan kişi ve değişen alanların adlarıyla kayda geçer; değerler ve kişisel veri yazılmaz. Başkasının kimlik numarasının açık gösterilmesi, ücret geçmişinin, bordro ayrıntısının, aday ve performans kayıtlarının görüntülenmesi, belge indirme ve dışa aktarma da ayrıca kaydedilir.
• Özel nitelikli belgeler: sağlık raporu ve adli sicil kaydı ayrı yetkiyle görülür; varsayılan olarak yalnızca firma sahibi ve İK bu yetkiye sahiptir.
• Belge silme: yetkili kullanıcı bir belgeyi sildiğinde tüm sürümleri depodan da kaldırılır ve işlem denetim kaydına geçer.
• Aday rızası: aday takip sistemi'nde başvurudaki isteğe bağlı açık rıza, metnin SHA-256 parmak izi ve onay zamanıyla birlikte saklanır.
• Kimlik numarası: listelerde gösterilmez, yetkisi olmayan kullanıcıya gösterilmez ve uygulama günlüklerine yazılmaz.
• Ekip görünümü: ekip yöneticisi puantajda rapor gününü ücretli mazeretten ayırt edemez; izin bildirim e-postasında sağlık gerekçeli izin nötr bir adla yazılır.
• PDKS: biyometrik veri işlenmez; konum yalnızca QR kaydı anında doğrulama için alınır, ham koordinat saklanmaz; giriş-çıkış kaydında IP adresi ve tarayıcı bilgisi saklanmaz.
• Firma ayrımı: her firmanın verisi veritabanı düzeyinde satır güvenliğiyle ayrılır.

Bir İK yazılımı KVKK uyumunu tek başına sağlar mı?

Hayır. KVKK'ya uyumun sorumluluğu, kişisel veriyi hangi amaçla ve hangi yöntemle işleyeceğine karar veren veri sorumlusundadır; çalışan verisi için veri sorumlusu işverendir. Bir İK yazılımı envanter, açık rıza, saklama ve imha gibi süreçlerin düzenli yürütülmesine ve kayıt altına alınmasına yardımcı olur; ancak hangi verinin hangi hukuki sebeple işleneceği, metinlerin içeriği, saklama sürelerinin belirlenmesi, Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) yükümlülükleri, çalışanların bilgilendirilmesi ve kâğıt arşivin yönetimi işverenin kararı ve sorumluluğu olarak kalır.

Bir yazılımı bu açıdan değerlendirirken sorulacak sorular şunlardır:

1. Veri işleme sözleşmesi imzalanıyor mu, alt işleyenler listeleniyor mu?
2. Veriler nerede barındırılıyor ve nasıl yedekleniyor?
3. Kimin hangi veriye eriştiği rol bazlı olarak sınırlanabiliyor ve denetim kaydında izlenebiliyor mu?
4. Sözleşme bittiğinde veriler dışa aktarılabiliyor ve silinebiliyor mu?

Sora İK için bu soruların cevapları güvenlik, Veri İşleme Sözleşmesi ve fiyatlandırma sayfalarında yer alır. Uyum ve raporlama alanındaki diğer modüller (iş sağlığı ve güvenliği, disiplin ve yasal raporlar) Uyum ve Raporlama kategorisi sayfasında listelenir.