Bir acente, müşteri kayıtlarını bulut tabanlı bir yazılımda tuttuğunda sıkça şu soru gelir: "Verilerden kim sorumlu, biz mi yazılım firması mı?" KVKK bu soruyu iki kavramla yanıtlar: veri sorumlusu ve veri işleyen. Rol dağılımını doğru kurmak, hem sözleşmelerin içeriğini hem de bir sorun çıktığında kimin ne yapacağını belirler. Bu yazıda, sigorta acentesi ile acente yazılımı sağlayıcısı arasındaki ilişkiyi bu iki kavram üzerinden ele alıyor ve sözleşme aşamasında dikkat edilebilecek konuları paylaşıyoruz.
Kavramları netleştirmek
Veri sorumlusu
Kanun veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi olarak tanımlar. Kısacası "neden" ve "nasıl" sorularına yanıt veren taraf veri sorumlusudur.
Veri işleyen
Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Veri işleyen kendi amaçlarını belirlemez; veri sorumlusunun talimatları çerçevesinde hareket eder.
Acente hangi durumda veri sorumlusudur?
Bir acente, müşterilerinden teklif ve poliçe için bilgi topladığında, bu bilgilerin hangi amaçla kullanılacağına, hangi alanların toplanacağına, ne kadar süre saklanacağına ve kimlerin erişeceğine kendisi karar verir. Bu kararlar, acenteyi kendi müşteri verileri bakımından veri sorumlusu konumuna getirir.
Bu konum, yazılımın kim tarafından geliştirildiğinden bağımsızdır. Acente verilerini kendi bilgisayarında bir tabloda da tutsa, bulut tabanlı bir platformda da tutsa, amaç ve yöntemi belirleyen taraf olmaya devam eder. Aydınlatma yükümlülüğü, ilgili kişi başvurularının yanıtlanması ve saklama politikasının belirlenmesi bu nedenle acentenin sorumluluğundadır.
Yazılım sağlayıcısı hangi durumda veri işleyendir?
Bulut tabanlı bir acente yazılımı sağlayıcısı, acentenin müşteri verilerini kendi sunucularında barındırır, yedekler ve teknik destek sırasında gerektiğinde bu verilere erişebilir. Ancak bu verileri kendi amaçları için kullanmaz; yalnızca acenteye hizmet sunmak için işler. Bu yapıda yazılım sağlayıcısı, acentenin müşteri verileri bakımından veri işleyen olarak değerlendirilir.
Öte yandan yazılım sağlayıcısı, acente kullanıcılarının hesap bilgileri ve faturalama gibi kendi hizmet ilişkisine ait veriler bakımından kendisi veri sorumlusu olabilir. Yani aynı firma, farklı veri grupları için farklı rollerde bulunabilir. Bu ayrımı sözleşmede açıkça yazmak, karışıklığı önler.
Sigorta şirketleriyle ilişki ayrıca değerlendirilmeli
Acente, teklif ve poliçe süreçlerinde sigorta şirketleriyle de veri paylaşır. Bu ilişkide tarafların rolleri, aradaki acentelik sözleşmesine ve sigortacılık mevzuatına göre farklılık gösterebilir. Bu yazının odağı acente ile yazılım sağlayıcısı arasındaki ilişki olsa da, sigorta şirketleriyle yapılan veri paylaşımlarının da aydınlatma metninde yer alması ve rol dağılımının ayrıca değerlendirilmesi gerekir.
Müşterek sorumluluk ne anlama gelir?
KVKK'nın 12. maddesi, kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi halinde, veri güvenliğine ilişkin tedbirlerin alınması hususunda veri sorumlusunun bu kişilerle birlikte müştereken sorumlu olduğunu düzenler. Bu hüküm, acentenin "verileri yazılım firması tutuyor, güvenlik onların işi" diyemeyeceği anlamına gelir. Acente, çalıştığı veri işleyenin yeterli önlemleri alıp almadığını değerlendirmek ve bunu sözleşmeyle güvence altına almak durumundadır.
Benzer şekilde yazılım sağlayıcısı da acentenin kendi tarafında alması gereken önlemleri, örneğin kullanıcı şifrelerinin paylaşılmaması veya yetkilerin doğru tanımlanması gibi konuları ona hatırlatmakla yükümlülükten kurtulmuş olmaz; her iki taraf da kendi alanındaki tedbirleri almalıdır.
Sözleşmede bulunması gerekenler
Acente ile yazılım sağlayıcısı arasındaki veri işleme ilişkisini düzenleyen bir sözleşme veya ek protokolde şu başlıkların yer alması önerilir:
- İşlenen veri kategorileri ve işleme amacının yalnızca hizmet sunumuyla sınırlı olduğu.
- Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda hareket edeceği.
- Alınan teknik ve idari güvenlik tedbirlerinin genel çerçevesi.
- Veri işleyen çalışanlarının gizlilik yükümlülüğü.
- Barındırma, yedekleme gibi hizmetler için kullanılan alt hizmet sağlayıcılar ve bunların değiştirilmesi halinde bilgilendirme.
- Verilerin barındırıldığı konum ve yurt dışı aktarım olup olmadığı.
- Veri ihlali durumunda bildirim süresi ve iletişim kanalı.
- İlgili kişi başvurularında veri işleyenin vereceği destek.
- Sözleşme sona erdiğinde verilerin iadesi veya silinmesi.
Sözleşme sonu: Verilere ne olacak?
Acenteler yazılım seçerken başlangıca odaklanır, bitişi ise nadiren düşünür. Oysa hizmet ilişkisi sona erdiğinde verilerin hangi formatta ve ne kadar süre içinde acenteye teslim edileceği, ardından sağlayıcının sistemlerinden ve yedeklerinden nasıl silineceği önemli bir konudur. Bu konunun sözleşmede yer alması, hem veri taşınabilirliği hem de veri işleyende gereksiz kopya kalmaması açısından değerlidir.
Acente olarak sorulacak sorular
- Sağlayıcı, müşteri verilerimizi hangi amaçlarla işliyor ve bu amaçlar sözleşmede yazılı mı?
- Destek ekibi verilerimize hangi durumlarda, hangi yetkiyle erişiyor?
- Barındırma ve yedekleme için hangi alt hizmet sağlayıcılar kullanılıyor?
- Bir ihlal durumunda bize ne kadar sürede haber verilecek?
- Hizmet sona erdiğinde verilerimiz nasıl teslim edilip silinecek?
InsureHub'ın bakış açısı
InsureHub bir sigorta acentesi yazılımı sağlayıcısıdır; sigorta satmaz ve acentenin müşterileriyle doğrudan bir ilişkisi bulunmaz. Bu nedenle acentelerin müşteri verileri bakımından rolümüzü, acentenin talimatıyla hizmet sunan taraf olarak görüyoruz. Platformu değerlendiren acentelerin yukarıdaki soruları sormasını ve yanıtları sözleşme aşamasında netleştirmesini öneriyoruz. Ayrıntılı bilgi için demo talebi oluşturabilirsiniz.
Sonuç
Veri sorumlusu ve veri işleyen ayrımı, bir sorumluluğu devretmenin değil, paylaştırmanın yoludur. Acente amaç ve yöntemi belirleyen taraf olarak kendi yükümlülüklerini taşır; yazılım sağlayıcısı ise talimatlar çerçevesinde verileri güvenle işlemekle yükümlüdür. Bu yazı genel bilgilendirme amaçlıdır; sözleşme metinleriniz için hukuk danışmanınızdan destek almanızı öneririz.