Pek çok acentede "Verileri ne kadar süre saklıyoruz?" sorusunun yanıtı "Silmiyoruz, hepsi duruyor" şeklindedir. Bu yanıt operasyonel açıdan rahat görünse de kişisel verilerin korunması açısından ciddi bir boşluk bırakır. Kişisel verilerin, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi KVKK'nın temel ilkelerinden biridir. Bu ilkeyi uygulamanın yolu da yazılı bir kişisel veri saklama ve imha politikasından geçer. Bu rehberde, bir acentenin politikasını sıfırdan hazırlarken izleyebileceği yapıyı ve bu yapının acente yazılımındaki karşılıklarını ele alıyoruz.
Politika neden yalnızca bir belge değildir?
Saklama ve imha politikası, VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları için mevzuatta açıkça öngörülen bir belgedir. Ancak kayıt yükümlülüğü olmayan bir acente için de değerlidir; çünkü "hangi veriyi neden ve ne kadar süre tutuyoruz" sorusuna tek bir referans yanıt sağlar. Belgenin asıl değeri, yazıldıktan sonra uygulanmasındadır. Raflarda bekleyen bir politika, hiç olmayan bir politikadan yalnızca biraz daha iyidir.
Politika belgesinin iskeleti
Bir acente için makul bir politika aşağıdaki bölümlerden oluşabilir:
- Amaç ve kapsam: Politikanın hangi verileri, hangi birimleri ve hangi kayıt ortamlarını kapsadığı.
- Tanımlar: Silme, yok etme, anonim hale getirme, kayıt ortamı gibi kavramların acentedeki anlamı.
- Sorumlular: Politikanın uygulanmasından, gözden geçirilmesinden ve imha işlemlerinden kimin sorumlu olduğu.
- Kayıt ortamları: Acente yazılımı, e-posta, dosya sunucusu, fiziksel dosyalar ve mobil cihazlar.
- Saklama süreleri tablosu: Veri kategorisi, saklama süresi ve dayanağı.
- İmha yöntemleri ve periyodu: Hangi veri için hangi yöntemin, hangi aralıklarla uygulanacağı.
- Teknik ve idari tedbirler: Erişim yetkileri, yedekleme, eğitim gibi önlemler.
- Güncelleme ve yürürlük: Belgenin hangi koşullarda revize edileceği.
Veri kategorilerine göre süre belirlemenin mantığı
Saklama süresi tablosunu doldururken her kategori için iki şeyi sormak gerekir: Bu veriyi saklamamı gerektiren bir yasal yükümlülük var mı? Yoksa, saklamanın gerekçesi işlem amacının devam etmesi mi? Ticari defterler, vergi kayıtları ve sigortacılık mevzuatı belirli kayıtlar için saklama yükümlülükleri öngörür. Süreleri belirlerken bu yükümlülükleri hukuk danışmanınızla tek tek eşleştirmeniz gerekir; aşağıdaki kategoriler yalnızca düşünme çerçevesidir.
Poliçeleşmiş işlemler
Düzenlenmiş poliçeye ait müşteri, teminat ve tahsilat kayıtları genellikle yasal saklama yükümlülükleriyle ilişkilidir. Bu kayıtlar için süre, poliçe bitişinden itibaren hesaplanan bir dönem olarak tanımlanabilir.
Poliçeye dönüşmemiş teklifler
Kabul edilmeyen teklifler çoğu acentede en uzun süre gereksiz yere saklanan veri grubudur. Bu kayıtlar için daha kısa bir süre belirlemek, saklamanın gerekçesini somutlaştırmak açısından önemlidir.
İletişim ve pazarlama verileri
Ticari ileti onayına bağlı olarak tutulan iletişim tercihleri, onayın geri alınmasıyla birlikte farklı bir rejime girer. Bu nedenle onay kayıtları ile iletişim içeriği ayrı satırlarda ele alınmalıdır.
Çalışan ve kullanıcı kayıtları
Acente yazılımındaki kullanıcı hesapları ve işlem kayıtları da kişisel veri içerir. Ayrılan bir çalışanın kullanıcı kaydının ne kadar süre tutulacağı politikada açıkça yazılmalıdır.
Kayıt ortamlarını eksiksiz listelemek
Politikaların en sık zayıf kaldığı nokta, yalnızca ana yazılımı kapsamasıdır. Gerçekte kişisel veri birçok yerde bulunur:
- Teklif ekranlarından indirilmiş PDF dosyaları.
- Çalışanların e-posta kutularındaki müşteri yazışmaları.
- Rapor amacıyla dışa aktarılmış tablolar.
- Mesajlaşma uygulamalarıyla alınmış belge fotoğrafları.
- Arşiv dolaplarındaki fiziksel dosyalar.
Bir veri kategorisi için belirlediğiniz süre, o verinin bulunduğu tüm ortamlarda uygulanabilir olmalıdır. Yazılımdaki kaydı silip aynı bilgiyi masaüstündeki bir tabloda bırakmak, politikayı fiilen işlevsiz kılar.
Politikayı yazılım ayarlarıyla eşleştirmek
Yazılı süreleri uygulanabilir kılmanın en etkili yolu, bunları kullandığınız sigorta acentesi yazılımı içindeki kayıt yapısıyla eşleştirmektir. Bunun için her kategorinin yazılımda hangi ekrana, hangi kayıt türüne karşılık geldiğini çıkarın. Ardından süre dolumunun nasıl tespit edileceğini belirleyin: Poliçe bitiş tarihi mi, teklif oluşturma tarihi mi, son işlem tarihi mi?
Bu eşleştirme sırasında yazılım sağlayıcınıza şu soruları yöneltmeniz yararlı olur: Kayıtlar tarih bazlı filtrelenip toplu olarak listelenebiliyor mu? Silme veya anonimleştirme işlemi yetkili kullanıcılarla sınırlandırılabiliyor mu? İşlemin kimin tarafından yapıldığı kayıt altına alınıyor mu? Yedeklerdeki kopyalar için nasıl bir süreç işliyor?
Politikayı yaşayan bir belge haline getirmek
Politika yazıldıktan sonra üç alışkanlık onu canlı tutar. Birincisi, yeni bir veri alanı ya da yeni bir kanal eklendiğinde politikanın gözden geçirilmesidir. İkincisi, periyodik imha dönemlerinin takvime bağlanmasıdır. Üçüncüsü ise çalışanların politikanın kendileriyle ilgili bölümünü bilmesidir; örneğin bir satış temsilcisi, dışa aktardığı bir listeyi işi bitince silmesi gerektiğini bilmelidir.
InsureHub gibi bir platformda müşteri, teklif ve poliçe kayıtlarının acente CRM yapısında birbirine bağlı tutulması, hangi kaydın hangi kategoriye ait olduğunu belirlemeyi kolaylaştırır. Ancak politika kararlarını yazılım değil, veri sorumlusu olarak acente verir.
Örnek: Bir teklif kaydının politika içindeki yolculuğu
Politikanın işleyişini somutlaştırmak için tek bir kaydı takip etmek faydalıdır. Bir müşteri, telefonla trafik teklifi istesin ve teklif kabul edilmesin. Bu kayıt önce "poliçeye dönüşmemiş teklif" kategorisine girer. Politikada bu kategori için belirlenen süre, teklif oluşturma tarihinden itibaren işlemeye başlar. Süre içinde müşteri yeniden arayıp aynı aracı sorarsa kayıt güncellenir ve süre yeniden başlar. Süre dolduğunda ise kayıt bir sonraki periyodik imha döneminin aday listesine düşer.
Aynı müşteri birkaç ay sonra DASK poliçesi yaptırırsa durum değişir. Artık müşteri kaydı, poliçeleşmiş işlem kategorisine bağlıdır ve daha uzun bir saklama süresine tabidir. Ancak kabul edilmemiş eski trafik teklifi kendi kategorisinin süresiyle değerlendirilmeye devam eder. Bu örnek, sürelerin müşteri bazında değil kayıt türü bazında düşünülmesi gerektiğini gösterir.
Sonuç
İyi bir saklama ve imha politikası, kısa, uygulanabilir ve acentenin gerçek kayıt ortamlarını yansıtan bir belgedir. Süreleri belirlerken hukuki destek almanızı, uygulamayı planlarken ise yazılımınızın filtreleme, yetkilendirme ve kayıt özelliklerinden yararlanmanızı öneririz. Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.