Bulut tabanlı yazılımlar acentelere her yerden erişim, otomatik güncelleme ve donanım yükünden kurtulma gibi avantajlar sunar. Ancak "bulut" kelimesi, verilerin fiziksel olarak nerede durduğu sorusunu belirsizleştirir. Müşteri kayıtlarının bulunduğu sunucu yurt dışındaysa, yedekler başka bir ülkede tutuluyorsa ya da kullanılan e-posta ve mesaj servisleri yurt dışında işleniyorsa, bu durum KVKK'nın yurt dışına aktarım hükümlerini gündeme getirir. Bu yazıda, acentelerin bulut yazılım değerlendirirken yurt dışı aktarım konusunda sorabileceği soruları ve 2024 yılında yapılan düzenlemenin genel çerçevesini ele alıyoruz.
Aktarım nerede gerçekleşir?
Yurt dışı aktarım denince akla yalnızca ana veritabanının konumu gelir. Oysa bir acente yazılımında veri farklı noktalardan sınır dışına çıkabilir:
- Ana uygulamanın ve veritabanının barındırıldığı sunucular.
- Yedeklerin saklandığı depolama hizmetleri.
- Bildirim e-postalarını gönderen e-posta altyapısı.
- Kısa mesaj gönderim servisleri.
- Hata ve performans izleme araçları.
- Mobil uygulamalardaki bildirim ve analiz servisleri.
- Destek talepleri için kullanılan yardım masası araçları.
Bu listedeki her bileşen, müşteri verisinin bir kısmını işleyebilir. Örneğin bir hata izleme aracına gönderilen kayıtlarda yanlışlıkla müşteri adı veya telefon numarası yer alabilir. Bu nedenle aktarımı değerlendirirken yalnızca ana sunucuya değil, verinin dokunduğu tüm servislere bakmak gerekir.
2024 düzenlemesinin genel çerçevesi
KVKK'nın 9. maddesi 2024 yılında kapsamlı biçimde değiştirilmiş ve yurt dışına aktarım için kademeli bir yapı getirilmiştir. Genel hatlarıyla:
- Yeterlilik kararı: Kurul'un aktarım yapılacak ülke, sektör veya uluslararası kuruluş için yeterlilik kararı bulunması halinde, işleme şartlarından birinin varlığıyla aktarım yapılabilir.
- Uygun güvenceler: Yeterlilik kararı yoksa; Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi güvencelerden biriyle aktarım yapılabilir.
- Arızi aktarımlar: Yukarıdakilerin bulunmadığı durumlarda, düzenli olmamak kaydıyla sınırlı istisnai hallerde aktarım mümkündür.
Standart sözleşme yolu tercih edildiğinde, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurul'a bildirilmesi gerekir. Düzenli ve sürekli bir hizmet ilişkisi olan bulut barındırma gibi durumlarda arızi aktarım istisnasına dayanmak genellikle uygun bir seçenek değildir; bu nedenle aktarımın hangi mekanizmaya dayandığının netleştirilmesi önemlidir.
Yazılım sağlayıcısına sorulacak sorular
Bir acente yazılımı değerlendirirken aşağıdaki soruları yazılı olarak sormanız ve yanıtları sözleşmenize yansıtmanız önerilir:
- Müşteri verilerimizin bulunduğu ana veritabanı hangi ülkede barındırılıyor?
- Yedekler hangi ülkede saklanıyor?
- Bildirim, e-posta ve kısa mesaj gönderiminde hangi servisler kullanılıyor ve bu servisler hangi verileri işliyor?
- Hata izleme veya analiz araçlarına müşteri verisi gönderiliyor mu?
- Yurt dışına aktarım varsa bu aktarım hangi mekanizmaya dayanıyor?
- Alt hizmet sağlayıcılar değiştiğinde acenteye bilgi veriliyor mu?
Bu sorulara verilecek "bulutta, güvenli" gibi genel yanıtlar yeterli değildir. Somut ülke ve servis bilgisi istemek, acentenin kendi aydınlatma metnini doğru hazırlayabilmesi için de gereklidir.
Aydınlatma metnine yansıması
Yurt dışı aktarım bulunuyorsa, bu durumun acentenin aydınlatma metninde de yer alması gerekir. Müşterilerin, verilerinin hangi amaçla ve hangi alıcı gruplarına aktarılabileceğini bilme hakkı vardır. Yazılım sağlayıcınızdan aldığınız bilgiler, aydınlatma metninizin "aktarım" bölümünün doğrudan girdisidir. Metinde yer almayan bir aktarımın sonradan ortaya çıkması, hem müşteri güveni hem de uyum açısından sorun yaratabilir.
Acentenin kendi kullandığı araçlar
Yurt dışı aktarım yalnızca yazılım sağlayıcısının konusu değildir. Acentelerin günlük işlerde kullandığı araçlar da değerlendirmeye dahil edilmelidir:
- Müşteri belgelerinin paylaşıldığı bulut depolama hesapları.
- Toplu e-posta gönderimi için kullanılan bülten servisleri.
- Müşteriyle yazışılan mesajlaşma uygulamaları.
- Çevrim içi form ve anket araçları.
Bu araçların her biri ayrı bir aktarım noktası olabilir. Müşteri verisini mümkün olduğunca ana acente yazılımı içinde tutmak, değerlendirilmesi gereken araç sayısını azaltır.
Veri minimizasyonu ile riski azaltmak
Yurt dışı aktarımın bulunduğu servislerde işlenen veri ne kadar azsa, risk de o kadar sınırlı kalır. Örneğin bildirim e-postalarında müşteri kimlik numarası yerine yalnızca genel bir bilgilendirme ve uygulamaya giriş bağlantısı bulunması, aktarılan verinin kapsamını daraltır. Hata kayıtlarında kişisel verilerin maskelenmesi de benzer bir etki yaratır. Bu tür tasarım kararları, aktarım mekanizmasının yerine geçmez ancak olası bir sorunun etkisini önemli ölçüde azaltır.
Örnek: Bir yenileme bildiriminin izlediği yol
Somut bir örnek, aktarım noktalarını görmeyi kolaylaştırır. Bir acente, poliçe bitişine yaklaşan müşterilere yazılım üzerinden otomatik bir bilgilendirme e-postası göndersin. Müşteri kaydı yurt içindeki bir sunucuda dursa bile, e-postanın gönderimi için kullanılan servis yurt dışında olabilir. Bu durumda müşterinin adı, e-posta adresi ve e-posta içeriğindeki poliçe bilgileri o servis tarafından işlenir. Aynı e-postada bir hata oluşursa, hata kaydı başka bir izleme servisine gönderilebilir ve kayıtta alıcı adresi yer alabilir.
Bu tek akışta, ana veritabanı dışında iki ayrı servis devreye girmiştir. Acente bu servislerin varlığından haberdar değilse, aydınlatma metninde de bu aktarıma yer veremez. Bu nedenle yazılım sağlayıcısından yalnızca "veriler nerede duruyor?" sorusunun değil, "veriler hangi yollardan geçiyor?" sorusunun da yanıtını istemek gerekir. Yanıtların yazılı olarak alınması ve sözleşme ekinde güncel tutulması, ilerideki değişikliklerin takibini de kolaylaştırır.
Sonuç
Bulut tabanlı bir sigorta acentesi yazılımı kullanmak tek başına bir uyum sorunu değildir; sorun, verinin nerede işlendiğinin bilinmemesidir. Ana sunucudan bildirim servislerine kadar tüm bileşenleri sorgulamak, aktarım mekanizmasını netleştirmek ve aydınlatma metnini buna göre güncellemek temel adımlardır. Mobil uygulama bileşenlerini de bu incelemeye dahil etmeyi unutmayın. Bu yazı genel bilgilendirme amaçlıdır; aktarım mekanizmalarına ilişkin kararlarınız için hukuk danışmanınızdan destek alın.