Bordro, izin yönetimi, performans değerlendirme, işe alım ve eğitim süreçlerini bulut tabanlı bir İK yazılımına taşımak, artık küçük şirketler için bile standart bir adım. Yazılım satın alma sürecinde fiyat, kullanım kolaylığı ve entegrasyon özellikleri titizlikle karşılaştırılır; ancak çoğu zaman en kritik belge olan veri işleyen sözleşmesi son dakikada, sağlayıcının hazır şablonu imzalanarak geçiştirilir.
Oysa 6698 sayılı KVKK açısından tablo nettir: İK yazılımı sağlayıcısı, sizin adınıza ve talimatınızla çalışan verilerini işleyen bir veri işleyendir; şirketiniz ise veri sorumlusu olarak kalır. KVKK md. 12/2'ye göre veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, veri güvenliğine ilişkin tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Yani sağlayıcınızda yaşanacak bir veri ihlali, doğrudan sizin sorumluluğunuzu da doğurur.
Bu yazıda bulut İK yazılımı seçerken ve sözleşme imzalarken kontrol etmeniz gereken başlıkları bir liste halinde sunuyoruz.
Veri Sorumlusu ve Veri İşleyen Ayrımı
| Rol | Kim? | Temel sorumluluk |
|---|---|---|
| Veri sorumlusu | İşveren şirket | İşleme amacını ve vasıtalarını belirler, aydınlatma yapar, başvuruları yanıtlar, ihlali bildirir |
| Veri işleyen | Bulut İK yazılımı sağlayıcısı | Veri sorumlusunun talimatıyla işler, güvenlik tedbirlerini uygular |
| Alt veri işleyen | Sağlayıcının kullandığı barındırma, yedekleme veya destek firmaları | Veri işleyenin talimatıyla ve sözleşme zinciriyle bağlı olarak işler |
Bu ayrım önemlidir, çünkü veri işleyen verileri kendi amaçları için kullanmaya başlarsa (örneğin ürün geliştirme veya pazarlama için), artık o işlem bakımından veri sorumlusu konumuna geçebilir. Sözleşme bu sınırı açıkça çizmelidir.
Satın Alma Öncesi: Due Diligence Soruları
Sözleşme masasına gelmeden önce sağlayıcıya şu soruları yazılı olarak yöneltin:
- Veriler hangi ülkedeki sunucularda tutuluyor? Yedekler nerede?
- Destek ekibi verilere hangi ülkelerden ve hangi yetkiyle erişebiliyor?
- Hangi alt veri işleyenler kullanılıyor ve bunlar nasıl değiştiriliyor?
- Hangi bilgi güvenliği sertifikalarına veya bağımsız denetim raporlarına sahipsiniz?
- Veriler aktarım sırasında ve depolama ortamında şifreleniyor mu?
- Erişim yetkileri rol bazlı tanımlanabiliyor mu? Erişim logları tutuluyor ve raporlanabiliyor mu?
- Bir veri ihlalinde bize ne kadar sürede ve hangi kanaldan bildirim yapıyorsunuz?
- Sözleşme sona erdiğinde verileri hangi formatta iade ediyor ve nasıl imha ediyorsunuz?
- Saklama süresi dolan kayıtların otomatik silinmesi veya anonimleştirilmesi için sistemde özellik var mı?
- İlgili kişi başvurularını yanıtlamamız için veri dışa aktarma imkânı sunuyor musunuz?
Sunucuların veya erişimin yurt dışından olması, KVKK md. 9 kapsamında yurt dışına aktarım sonucunu doğurabilir. Bu konudaki yeni kurallar için yurt dışına veri aktarımı rehberimize göz atabilirsiniz.
Veri İşleyen Sözleşmesinde Bulunması Gereken Maddeler
Sağlayıcının standart şablonunu imzalamadan önce aşağıdaki başlıkların yer aldığından emin olun:
- Konu ve kapsam: İşlenecek veri kategorileri (kimlik, iletişim, özlük, finans, sağlık gibi), ilgili kişi grupları (çalışan, aday, stajyer) ve işleme amaçları.
- Talimatla işleme: Sağlayıcının verileri yalnızca sizin yazılı talimatınızla ve sözleşme amacıyla işleyeceği; kendi amaçları için kullanmayacağı.
- Gizlilik: Sağlayıcı personelinin gizlilik yükümlülüğü altında olduğu.
- Teknik ve idari tedbirler: Şifreleme, erişim kontrolü, loglama, yedekleme, zafiyet testleri gibi asgari güvenlik önlemleri.
- Alt veri işleyenler: Önceden bildirim, itiraz hakkı ve alt işleyenlere aynı yükümlülüklerin yansıtılması.
- Veri ihlali bildirimi: İhlalin öğrenilmesinden sonra gecikmeksizin bildirim yükümlülüğü ve bildirimin içeriği. Sizin Kurul'a en geç 72 saat içinde bildirim yükümlülüğünüz olduğunu unutmayın; sağlayıcının gecikmesi bu süreyi tüketir.
- İlgili kişi başvurularına destek: Çalışan başvurularını en geç 30 gün içinde yanıtlayabilmeniz için sağlayıcının makul destek vermesi.
- Denetim hakkı: Sizin veya bağımsız bir denetçinin uyumu denetleme hakkı ya da sağlayıcının düzenli denetim raporlarını paylaşma yükümlülüğü.
- Yurt dışı aktarım: Aktarım varsa dayanağı (standart sözleşme vb.) ve sorumluluk paylaşımı.
- Sözleşme sonu: Verilerin iadesi, belirlenen süre içinde imhası ve imhanın belgelenmesi.
- Sorumluluk ve tazminat: Sağlayıcıdan kaynaklanan ihlallerde rücu imkânı.
Uygulama Aşamasında Dikkat Edilecekler
Sözleşme imzalandıktan sonra da veri sorumlusu olarak yapmanız gerekenler vardır:
- Yetki matrisi oluşturun: Yöneticiler yalnızca kendi ekiplerinin verilerini görmeli; maaş ve sağlık verilerine erişim ayrıca sınırlanmalıdır.
- Saklama sürelerini sisteme tanımlayın: Saklama ve imha politikanızdaki süreleri yazılımın otomatik silme ayarlarına yansıtın. Periyodik imha süresinin 6 ayı geçemeyeceğini dikkate alın.
- Veri taşıma sürecini planlayın: Eski sistemden yeni sisteme geçerken eski verilerin nerede kalacağına, hangisinin taşınıp hangisinin imha edileceğine karar verin.
- Aydınlatma metnini güncelleyin: Yeni yazılım ve alıcı grupları çalışan aydınlatma metnine yansıtılmalıdır.
- VERBİS ve envanteri güncelleyin: Alıcı grupları ve yurt dışı aktarım bilgisi değiştiyse sicili güncelleyin.
Örnek senaryo
Bir orta ölçekli üretim şirketi, izin ve bordro süreçlerini bulut tabanlı bir yazılıma taşıyor ve sağlayıcının standart kullanım koşullarını onaylamakla yetiniyor. Bir yıl sonra sağlayıcının destek ekibinin bulunduğu ülkede bir güvenlik olayı yaşanıyor ve şirket bunu sağlayıcıdan değil, basından öğreniyor. Sözleşmede ihlal bildirimi, alt işleyenler ve erişim ülkeleri düzenlenmediği için şirket ne kadar verinin etkilendiğini tespit etmekte zorlanıyor ve Kurul'a bildirim için gerekli bilgileri zamanında toplayamıyor. Satın alma aşamasında yukarıdaki on soruyu sormak ve sözleşmeye ilgili maddeleri eklemek, bu belirsizliği büyük ölçüde önlerdi.
İK yazılımı seçiminde işlevsellik kriterleri için İK yazılımı seçerken nelere dikkat edilmeli yazımız tamamlayıcı bir kaynak olabilir.
Tedarikçi Sözleşmelerinizi Gözden Geçirelim
İK yazılımı, PDKS, bordro hizmeti, işe alım platformu, eğitim sistemi... Her biri ayrı bir veri işleyen ilişkisi ve ayrı bir sözleşme demek. İK Partner, İK tedarikçilerinizin envanterini çıkarır, mevcut sözleşmeleri KVKK açısından inceler ve eksik maddeler için öneriler sunar. İş hukuku ve mevzuat uyumu hizmetimiz kapsamında ücretsiz ilk görüşmede tedarikçi yapınızı birlikte değerlendirebiliriz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat değişebilir. Somut sözleşmeler için hukuk danışmanınıza başvurmanızı öneririz.
