İşe alımda KVKK nasıl uygulanır?

Aday verisinde veri sorumlusu ilanı açan şirkettir. Yazılım sağlayıcısı veri işleyendir, yani veriyi şirketin talimatıyla saklar ve işler. Bu ayrım kozmetik değil: aydınlatma metnini kimin adına kuracağınız, aday talebine kimin cevap vereceği ve denetimde kimin hesap vereceği buradan çıkar. Adaya sunulan metin de bu yüzden şirketinizin adıyla kurulur, ürünün adıyla değil.

Yazılımın çözdüğü problem şu: KVKK'nın istediklerinin çoğu belge değil kayıttır. Rızanın alındığı an, veriyi kimin gördüğü, hangi alanın neyle değiştiği, kaydın ne zaman silindiği. Bunlar elde tutulan bir tabloda ilk denetimde dağılır, çünkü kimse her görüntülemeyi elle yazmaz.

Aşağıdaki beş adım panelde yapılacak işler. İkisi kurulumda bir kez yapılır, üçü sürekli işler. Sonraki bölümler denetimde istenecek kayıtları, verinin gittiği yerleri ve aday taleplerinin nasıl karşılandığını ayrı ayrı ele alıyor.

• Kurulumda bir kez: aydınlatma ve rıza metinleri, rol ve yetki matrisi.
• Sürekli: topladığınız alanın sınırı, kayıtların kontrolü, silme takvimi.
• Yazılımın kendiliğinden yapmadığı tek şey var: süresi dolan veriyi silmek.

Başvuru formunun altında iki ayrı onay kutusu durur: "KVKK Aydınlatma Metni'ni okudum ve onaylıyorum." ve "Kişisel verilerimin işlenmesine ilişkin Açık Rıza Metni'ni okudum ve onaylıyorum." İkisi de işaretlenmeden form gönderilmez. Ayrı olmaları bilinçli bir karar: aydınlatma bir bilgilendirme, açık rıza ayrı bir irade beyanıdır. Tek kutuda birleşirse adayın neye onay verdiği belirsizleşir.

Metinlerin tam hali formdaki bağlantıdan açılır ve sunucuda kurulur. İçindeki veri sorumlusu her zaman ilanı açan şirkettir. İki onay da zaman damgasıyla başvuru kaydına yazılır; "bu aday ne zaman rıza verdi" sorusunun cevabı sonradan üretilen bir tahmin değil, kaydın kendisidir.

Kendi hukukçunuzun onayladığı bir metin varsa varsayılan metnin yerine birebir geçer. Bunu panelden yazacağınız bir ekran yok: metin şirket ayarları kaydından okunur, şirket ayarları ekranındaki bölümlerin hiçbiri bu alanı göstermez. Metni değiştirmek kurulum tarafında yapılan bir iştir, kendiniz denemeyin, isteyin.

Amaçla sınırlılık ilkesi en ucuza başvuru formunda uygulanır. Hazır form kişisel bilgileri, eğitimi, CV dosyasını, maaş beklentisini ve başlangıç tarihini alır. Bir ön değerlendirme için bu kadarı yeter; hiçbir şey eklemezseniz form bu haliyle çalışmaya devam eder.

TC kimlik numarası ve IBAN başvuru formunda hiç yoktur. Bu iki alan yalnızca işe alım kararından sonraki bilgi toplama adımında istenir ve veritabanına AES-256-GCM ile şifrelenerek yazılır. Sıralama tesadüf değil: kimlik numarasını başvuru anında isteyen bir form, elenen adayların da kimlik numarasını saklamak zorunda kalır.

İlana özel soru eklemek için Özel Başvuru Alanları bölümünü kullanırsınız, ilan başına en fazla 20 alan. Eklediğiniz her alan bir kişisel veri kalemidir; saklama, maskeleme ve silme yükümlülüğüne dahil olur. Soruyu eklemeden önce "işe yarar mı" değil, "bu kararı vermek için gerekli mi" diye sorun.

• Aday CV'si yalnızca PDF olarak alınır, dosya sınırı 5 MB.
• Özel alan cevapları başvuru detayında ve değerlendirmenin bağlamında görünür, yani onlar da maskeleme kapsamındadır.
• Aday belge yüklerken hesap açmaz: her talep için tekil ve süreli bir bağlantı üretilir, adayın panele ya da başka bir kaydın verisine erişimi olmaz.

Kişisel veriyi maskesiz görmek ayrı bir izindir: pii:view. Bu izni taşımayan her kullanıcı aday adını, e-postasını ve telefonunu maskeli alır. İzin kullanıcıya değil role bağlıdır; "şu kişi yalnız bu adayda maskesiz görsün" denemez. Kimliği kapalı tutarak değerlendirme yaptırmak istiyorsanız o kişiye ayrı bir rol açarsınız.

Kurulumla dört rol gelir: CompanyAdmin (tüm yetkiler), HRManager, Recruiter ve Viewer. Son üçünde pii:view yoktur. Yani kurulumdan sonra hiçbir şey yapmazsanız İK yöneticiniz aday adını maskeli görür. Bu bir arıza değil kapalı başlangıçtır, ama fark edilmezse "panel bozuk" sanılır. Yetkiyi rol ekranından bilerek açmanız gerekir.

Yetkiyi ararken "KVKK" ya da "Gizlilik" başlığına bakmayın. Yetkiler modül modül gruplanır; bu modülün Türkçe adı tanımlanmadığı için grup başlığı ham kodla, yani "pii" olarak listelenir. Grubun içindeki tek yetkinin adı "PII Görüntüle", açıklaması "KVKK kapsamındaki kişisel verileri maskesiz görüntüleme".

Maskeleme ekranda bulanıklaştırma değil, sunucuda yapılan bir kesmedir. Liste, detay, aday karşılaştırma, havuz özeti, doğal dil arama ve dışa aktarım uçlarının hepsi veriyi maskelenmiş döndürür. Ekrandaki bulanıklık bunun üstündeki sunum katmanıdır, tek savunma değil. Fark önemli: geliştirici araçlarını açan bir kullanıcı da maskelenmiş veriyi görür.

Dosya erişimi aynı kapıdan geçer. Maskeli bir kullanıcı CV ve transkript dosyasını açamaz; arayüz dosya yerine gizlendiği bilgisini gösterir, sunucu da erişimi kişisel veri kısıtı gerekçesiyle keser. Aday dosyalarına verilen bağlantılar imzalıdır ve süreli: varsayılan bir saat, kısa yol beş dakika. Süresi dolan bağlantı kimsede çalışmaz.

Yapay zeka değerlendirmesinde CV'den birebir alınan alıntılar da kişisel veri sayılır ve maskeli kullanıcıda düşer: anlamsal kanıt, serbest metin gerekçe ve madde alıntıları boşalır, maddenin kararı ve puanı kalır. Denetim kaydı kaybolmaz, içeriği gizlenir: hangi alanın değiştiği, kimin değiştirdiği ve ne zaman değiştirdiği görünür, eski ve yeni değer gizlenir.

Bu rehberdeki en önemli sınır burada: sistem aday verisini süresi doldu diye kendiliğinden silmez, anonimleştirmez ve size hatırlatmaz. Saklama süresini siz belirlersiniz, takvimi kendi süreçlerinizde kurarsınız, silmeyi panelden elinizle uygularsınız. Bunu bir takvim hatırlatıcısına bağlamayan politika kâğıt üstünde kalır.

Silme iki kademelidir. Panelden silinen başvuru önce çöp kutusuna düşer; kaydın üstünde kimin ne zaman sildiği yazar ve buradan geri yüklenebilir. Çöp kutusundan kalıcı silme ise geri alınamaz ve dosyaları da götürür: CV ve portfolyo dosyaları, belge talebi dosyaları, yapay zeka profili ve kaydın kendisi birlikte kalkar.

Depolama tarafında silinen dosya da doğrudan yok olmaz: gerekçesiyle birlikte çöp kutusuna taşınır ve 30 gün sonra kalıcı silinir. Veritabanında karşılığı kalmamış dosyalar için Ayarlar > Depolama altında Sahipsiz Dosyalar taraması vardır; tarama bulduğu dosyaları aynı çöp kutusuna taşır.

Bir veri sorumlusundan istenen şey genelde "politikanız var mı" değil, "bu kişiyle ilgili ne yaptınız" olur. Aşağıdaki tablo o soruların panelde hangi kayda düştüğünü ve maskeli bir kullanıcının aynı kayıtta neyi görebildiğini gösteriyor.

Son satır bilerek yazıldı: rıza zaman damgası veritabanına yazılır, ama panelde onu gösteren bir ekran ya da dışa aktarım sütunu yok. Kayıt duruyor, ekrandan okunmuyor. Bu bilgi denetimde istenecekse kurulum tarafından çıkarılması gerekir; talep geldiğinde değil, öncesinde ayarlayın.

Aydınlatma metninde en çok atlanan yer alt işleyici listesidir. Cevap kısa: aday CV dosyaları yurt dışında yerleşik bir bulut depolama sağlayıcısında saklanır, analiz için yurt dışında yerleşik bir yapay zeka sağlayıcısına gönderilir. Bunun dışında aday verisi üçüncü bir tarafa aktarılmaz.

Aktarılmamasının sebebi bir söz değil, bir eksiklik: üründe LinkedIn, Indeed, İK bilgi sistemi ya da Slack entegrasyonu yok. Veriyi dışarı taşıyacak bir kanal olmadığı için "kimseye göndermiyoruz" cümlesi doğrulanabilir bir cümle olur. Entegrasyon eklendiği gün bu bölüm de değişir.

İç tarafta iki sınır daha var. Şirket sınırı arayüzde değil sunucuda uygulanır: her okuma ve yazma şirket kimliğini parametre olarak ister, servis onu kendisi tahmin etmez. Aday belge yüklerken hesap açmaz; her talep için tekil ve süreli bir bağlantı üretilir, o bağlantı yalnız kendi talebinin kalemlerini açar.

• Dosya bağlantıları imzalı ve süreli: varsayılan bir saat, kısa yol beş dakika.
• Aday verisinde veri sorumlusu sizsiniz; platformun kendi aydınlatma metni bu sıfat dağılımını yazılı olarak söyler.
• Değerlendirme geçmişten öğrenmez: kimin davet edildiği ya da işe alındığı puanlamaya girmez, bir adayın verisi başka bir adayın puanını etkilemez.

Aday başvurduktan sonra size dört tür talep gelir: verisini sorma, düzeltme isteme, silinmesini isteme ve otomatik değerlendirmeye itiraz etme. Dördünün de panelde bir karşılığı var, ama üçü elle işletilir.