Asansör Sözleşme Programı Veri Güvenliği Checklist

İÇERİK

Asansör bakım firmalarının sözleşme arşivinde yalnızca bina adı, bakım bedeli ve yenileme tarihi bulunmaz. Apartman yöneticilerinin iletişim bilgileri, bina adresleri, tahsilat kayıtları, imzalı belgeler, cihaz bilgileri ve sözleşme geçmişi de aynı sistemde tutulabilir. Bu nedenle Asansör Sözleşme Programı seçerken yalnızca hatırlatma, teklif hazırlama veya PDF oluşturma özelliklerine bakmak yeterli değildir. Programın verileri nasıl koruduğu, çalışanlara hangi yetkileri verdiği, silinen kayıtları nasıl yönettiği ve hizmet sona erdiğinde verilerin nasıl teslim edildiği de incelenmelidir.

Bu rehber, yazılım demosunda veya satın alma öncesindeki teknik görüşmede kullanabileceğiniz pratik bir veri güvenliği checklist sunar. Amaç, teknik terimlere boğulmadan firmanız, çalışanlarınız ve müşterileriniz açısından gerçek riskleri fark edebilmenizi sağlamaktır.

Önce Programda Hangi Verilerin Tutulacağını Belirleyin

Güvenlik değerlendirmesine başlamadan önce programda hangi bilgilerin saklanacağını listelemek gerekir. Çünkü yalnızca sözleşme başlangıç ve bitiş tarihlerini tutan bir sistemle imzalı sözleşme, IBAN ve kimlik bilgisi barındıran bir sistemin risk seviyesi aynı değildir.

Asansör bakım sözleşmelerinde genel uygulamada şu bilgiler bulunabilir:

• Bina veya site adı ve açık adresi
• Apartman ya da site yöneticisinin adı ve iletişim bilgileri
• Asansörün kimlik, durak ve teknik özellikleri
• Sözleşme başlangıç ve bitiş tarihleri
• Aylık bakım bedeli ve ödeme koşulları
• İmzalı sözleşme nüshaları
• Teklif, ek protokol ve fiyat güncelleme belgeleri
• Tahsilat ve borç durumu
• Sözleşme yenileme görüşmelerine ilişkin notlar
• Yetkili servis personelinin işlem kayıtları

İlk kontrol sorusu şu olmalıdır: Bu verilerin tamamını gerçekten programda saklamamız gerekiyor mu? Kullanılmayacak bir bilginin yalnızca ileride lazım olabilir düşüncesiyle toplanması, gereksiz risk oluşturur. Veri güvenliğinin en etkili adımlarından biri, ihtiyaç duyulmayan veriyi hiç toplamamaktır.

Kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi; amaçla bağlantılı, sınırlı ve ölçülü tutulması KVKK çerçevesindeki temel ilkeler arasındadır. Güncel yükümlülükler değerlendirilirken Kişisel Verileri Koruma Kurumunun resmî kaynakları ve gerektiğinde hukuk danışmanı esas alınmalıdır.

Kullanıcı Yetkileri Göreve Göre Ayrılmalı

Bir sözleşme programındaki en yaygın güvenlik problemi, bütün çalışanların bütün kayıtlara erişebilmesidir. Saha teknisyeninin bakım yapacağı binanın adresini ve iletişim kişisini görmesi gerekebilir; ancak tüm müşterilerin bakım bedellerini, tahsilat durumlarını veya imzalı ticari sözleşmelerini görmesi çoğu zaman gerekli değildir.

Programda rol bazlı yetkilendirme bulunmalı ve roller firmanın işleyişine göre düzenlenebilmelidir.

Kullanıcı rolü	Görmesi gereken bilgiler	Sınırlandırılması gereken alanlar
Firma sahibi	Tüm sözleşmeler, finansal özetler, kullanıcı hareketleri	İhtiyaca göre özel personel verileri
Ofis personeli	Müşteri, sözleşme, yenileme ve belge kayıtları	Sistem ayarları ve kritik silme yetkileri
Muhasebe personeli	Bakım bedelleri, tahsilat ve faturalandırma bilgileri	Teknik servis notları ve gereksiz müşteri belgeleri
Saha teknisyeni	Atandığı bina, iletişim ve bakım için gerekli bilgiler	Sözleşme bedelleri, tüm müşteri listesi ve toplu dışa aktarma
Şube sorumlusu	Kendi şubesine bağlı müşteriler ve sözleşmeler	Diğer şubelerin müşteri ve finansal verileri
Bina yöneticisi	Yalnızca kendi binasına ait belge ve işlemler	Diğer müşterilere ait tüm kayıtlar

Yetki kontrolünde yalnızca “kullanıcı rolü var mı?” sorusu yeterli değildir. Aşağıdaki işlemlerin ayrı ayrı sınırlandırılıp sınırlandırılamadığı da denenmelidir:

• Sözleşme görüntüleme
• Sözleşme ekleme ve düzenleme
• Bakım bedelini değiştirme
• Belge indirme
• Toplu veri dışa aktarma
• Kayıt silme
• Kullanıcı oluşturma
• Yetki değiştirme
• Geçmiş işlem kayıtlarını görüntüleme

Özellikle toplu dışa aktarma ve kalıcı silme yetkileri sınırlı sayıda kullanıcıya verilmelidir. İşten ayrılan personelin hesabı aynı gün kapatılmalı; ortak kullanıcı adı ve şifre kullanımından kaçınılmalıdır.

Giriş Güvenliği ve Oturum Kontrollerini Test Edin

Programdaki bilgiler ne kadar iyi yedeklenirse yedeklensin, zayıf bir şifre veya kontrolsüz kullanıcı hesabı tüm güvenlik zincirini bozabilir. Demo sırasında yalnızca sisteme giriş yapmayı değil, giriş güvenliğiyle ilgili seçenekleri de inceleyin.

Kontrol edilmesi gereken giriş özellikleri

1. Kullanıcılar kendi hesaplarıyla giriş yapabiliyor mu?
2. Güçlü parola kuralları uygulanabiliyor mu?
3. Çok faktörlü kimlik doğrulama seçeneği bulunuyor mu?
4. Başarısız giriş denemelerinde koruma uygulanıyor mu?
5. Şifre sıfırlama bağlantısı sınırlı süreyle mi geçerli?
6. Uzun süre kullanılmayan oturumlar otomatik kapanıyor mu?
7. Yeni cihazdan giriş yapıldığında kullanıcı bilgilendiriliyor mu?
8. Kullanıcının açık oturumları görüntülenip kapatılabiliyor mu?
9. İşten ayrılan çalışanın erişimi anında sonlandırılabiliyor mu?

Saha ekiplerinin telefon ve tablet kullandığı işletmelerde cihaz güvenliği ayrıca ele alınmalıdır. Telefonun kaybolması durumunda uygulama hesabının nasıl kapatılacağı önceden bilinmelidir. Ekran kilidi bulunmayan kişisel cihazlarda sözleşme belgelerinin indirilmesine izin verilmesi de ayrıca değerlendirilmelidir.

Ortak kullanılan tek bir ofis hesabı kısa vadede kolaylık sağlar; ancak kimin hangi kaydı değiştirdiğini belirlemeyi imkânsız hâle getirir.

Kayıt Geçmişi ve Değişiklik İzleri Görülebilmeli

Bir bakım sözleşmesinin tutarı, bitiş tarihi veya kapsamı yanlışlıkla değiştirildiğinde yalnızca güncel değeri görmek yeterli olmaz. Değişikliği kimin, ne zaman ve hangi değer üzerinden yaptığının anlaşılması gerekir.

Asansör Sözleşme Programı şu işlemler için izlenebilir bir kayıt geçmişi sunmalıdır:

• Yeni sözleşme oluşturulması
• Sözleşme bedelinin değiştirilmesi
• Başlangıç veya bitiş tarihinin güncellenmesi
• İmzalı belgenin yüklenmesi ya da kaldırılması
• Müşteri iletişim bilgilerinin değiştirilmesi
• Kullanıcı yetkisinin artırılması
• Verilerin dışa aktarılması
• Kayıtların silinmesi veya arşivlenmesi

Örneğin aylık bakım bedeli 8.500 TL iken kayıt 6.500 TL olarak değiştirilmişse sistem yalnızca son rakamı göstermemelidir. Önceki değer, yeni değer, işlem tarihi ve işlemi yapan kullanıcı incelenebilmelidir.

Bu özellik hem olası kötüye kullanımları araştırmayı hem de basit kullanıcı hatalarını düzeltmeyi kolaylaştırır. Ancak işlem geçmişine erişim de herkes için açık olmamalıdır. Kayıtlar yalnızca görevi gereği incelemesi gereken yetkililer tarafından görülebilmelidir.

Yedekleme ve Geri Yükleme Birlikte Sorgulanmalı

“Veriler yedekleniyor” cevabı tek başına güvence değildir. Bir yedeğin işe yarayıp yaramadığı ancak geri yükleme işlemi başarıyla denenmişse anlaşılır. Bu nedenle yazılım sağlayıcısından yedekleme sıklığı kadar geri yükleme süreci hakkında da açıklama istenmelidir.

Yedekleme checklist

• Yedekler hangi sıklıkta alınıyor?
• Sözleşme belgeleri ile veri tabanı birlikte yedekleniyor mu?
• Yedekler ana sistemden ayrı bir ortamda tutuluyor mu?
• Yedek veriler korunuyor ve erişimleri sınırlandırılıyor mu?
• Geri yükleme testleri yapılıyor mu?
• Son başarılı geri yükleme testi ne zaman yapıldı?
• Bir arıza durumunda kabul edilen veri kaybı aralığı nedir?
• Sistemin yeniden kullanılabilir hâle gelmesi için hedeflenen süre nedir?
• Yanlışlıkla silinen tek bir kayıt geri getirilebiliyor mu?
• Müşteri, kendi verilerinin kopyasını düzenli olarak alabiliyor mu?

Buradaki iki önemli kavram veri kaybı toleransı ve hizmetin geri dönüş süresidir. Örneğin firma için son bir günlük sözleşme değişikliklerinin kaybolması kabul edilemezse yedekleme düzeni buna göre değerlendirilmelidir. Tedarikçinin verdiği sürelerin sözleşmede veya hizmet koşullarında yazılı olması tercih edilmelidir.

Veri Aktarımı, Saklama Yeri ve Tedarikçiler Sorulmalı

Bulut tabanlı bir sözleşme programında veriler yalnızca yazılım firmasının kendi sistemlerinde işlenmeyebilir. Sunucu, e-posta, SMS, dosya depolama veya destek hizmeti sağlayan başka kuruluşlar sürece dâhil olabilir.

Satın alma görüşmesinde şu sorular açık biçimde yöneltilmelidir:

• Veriler hangi ülkede veya bölgede saklanıyor?
• Hangi hizmet sağlayıcılar veriye erişebiliyor?
• Yurt dışına veri aktarımı söz konusu mu?
• Veri aktarımı varsa hangi hukuki ve teknik güvence kullanılıyor?
• Sistem ile kullanıcı arasındaki veri trafiği korunuyor mu?
• Saklanan sözleşme dosyaları ve yedekler nasıl korunuyor?
• Destek personeli müşteri kayıtlarına hangi koşullarda erişebiliyor?
• Bu erişimler kayıt altına alınıyor mu?
• Alt hizmet sağlayıcısı değiştiğinde müşteriye bilgi veriliyor mu?

“Bulutta çalışıyor, dolayısıyla güvenlidir” veya “sunucularımız güçlüdür” gibi genel cevaplar yeterli görülmemelidir. Sağlayıcının uyguladığı kontrolleri anlaşılır ve yazılı biçimde açıklayabilmesi gerekir.

KVKK, Saklama Süresi ve Silme Süreci Netleştirilmeli

Yazılım kullanmak, bakım firmasının kişisel verilerle ilgili sorumluluğunu tamamen yazılım sağlayıcısına devretmez. Firma; hangi veriyi neden topladığını, kimlerle paylaştığını ve ne kadar süre sakladığını kendi faaliyeti kapsamında değerlendirmelidir.

Her verinin sonsuza kadar sistemde kalması doğru bir yaklaşım değildir. Aktif sözleşmeler, sona ermiş sözleşmeler, teklif aşamasında kalan müşteriler ve kullanıcı hesapları için ayrı saklama kuralları gerekebilir. Hukuki yükümlülükler ve olası uyuşmazlık süreleri dikkate alınarak yazılı bir saklama planı oluşturulmalıdır.

Programda şu imkânların bulunması önemlidir:

• Sona eren sözleşmeyi arşivleme
• Yetkili kullanıcı tarafından silme talebi oluşturma
• Silme işlemini kayıt altına alma
• Gerekli olduğunda anonimleştirme
• Müşteri verilerini okunabilir formatta dışa aktarma
• Kullanıcı hesabı kapatıldığında erişimi sonlandırma
• Saklama süresi dolan kayıtları belirleme
• Veri ihlali şüphesinde ilgili kayıtları inceleme

KVKK uyumu yalnızca yazılım özelliğiyle tamamlanan bir konu değildir. Aydınlatma metinleri, çalışan yetkileri, sözleşmeler, saklama politikası ve kurum içi uygulamalar birlikte değerlendirilmelidir.

Hizmet Sonunda Verilerinizi Nasıl Alacağınızı Belirleyin

Firmalar çoğu zaman yazılımı satın alırken kurulumu sorar, ancak ayrılma sürecini sormaz. Oysa hizmet sona erdiğinde yılların sözleşme arşivinin hangi formatta teslim edileceği kritik bir konudur.

Satın almadan önce aşağıdaki maddeler yazılı olarak netleştirilmelidir:

• Müşteri ve sözleşme listeleri Excel veya CSV olarak alınabiliyor mu?
• İmzalı sözleşmeler özgün dosya biçiminde indirilebiliyor mu?
• Dosyalar sözleşme kayıtlarıyla eşleştirilebilir şekilde adlandırılıyor mu?
• İşlem geçmişi dışa aktarılabiliyor mu?
• Toplu veri aktarımı ek ücrete tabi mi?
• Hizmet bittikten sonra verilere kaç gün erişilebiliyor?
• Teslimat tamamlandıktan sonra sağlayıcıdaki kopyalar ne zaman siliniyor?
• Yedeklerde kalan veriler hangi süreçle temizleniyor?
• Silme işlemiyle ilgili yazılı teyit veriliyor mu?

Örnek verilerle dışa aktarma denemesi yapmak, satın alma öncesindeki en yararlı testlerden biridir. Beş müşterilik örnek listeyi dışarı aldığınızda Türkçe karakterler, tarihler, sözleşme tutarları ve belge bağlantıları bozuluyorsa binlerce kaydın taşınması daha büyük sorun yaratabilir.

Demo Gününde Kullanılabilecek 20 Maddelik Checklist

Aşağıdaki listeyi yazılım demosunda doğrudan kullanabilirsiniz:

1. Her çalışan için ayrı kullanıcı hesabı açılabiliyor mu?
2. Roller ve ekran yetkileri özelleştirilebiliyor mu?
3. Şube kullanıcıları yalnızca kendi müşterilerini görebiliyor mu?
4. Çok faktörlü kimlik doğrulama destekleniyor mu?
5. Kullanılmayan oturumlar otomatik kapatılıyor mu?
6. Başarısız giriş denemeleri izleniyor mu?
7. Sözleşme değişiklik geçmişi görülebiliyor mu?
8. Silme ve dışa aktarma işlemleri kaydediliyor mu?
9. Toplu veri indirme yetkisi sınırlandırılabiliyor mu?
10. Verilerin saklandığı ülke veya bölge açıklanıyor mu?
11. Veriler aktarım sırasında korunuyor mu?
12. Sözleşme belgelerinin saklanmasına yönelik güvenlik önlemleri açıklanıyor mu?
13. Yedekleme sıklığı yazılı olarak bildiriliyor mu?
14. Geri yükleme testleri düzenli yapılıyor mu?
15. Veri kaybı ve kesinti hedefleri açıklanıyor mu?
16. Silinen kayıtlar için kontrollü kurtarma süreci var mı?
17. Sözleşme ve ekleri toplu indirilebiliyor mu?
18. Hizmet sonunda veri teslim koşulları belirlenmiş mi?
19. Güvenlik olayı yaşandığında izlenecek süreç açıklanıyor mu?
20. Destek talepleri ve veri erişimleri kayıt altına alınıyor mu?

Her maddeyi var, kısmen var, yok veya teyit bekliyor şeklinde puanlayabilirsiniz. Kritik bir güvenlik maddesine yalnızca sözlü cevap verilmişse bunu tamamlanmış kabul etmeyin; doküman, sözleşme maddesi veya canlı ekran üzerinden doğrulama isteyin.

Sıkça Sorulan Sorular

Asansör Sözleşme Programı KVKK uyumunu tek başına sağlar mı?

Hayır. Program gerekli teknik kontrolleri destekleyebilir; ancak KVKK uyumu firmanın veri toplama amacı, aydınlatma süreçleri, çalışan yetkileri, saklama süreleri ve kurum içi politikalarıyla birlikte değerlendirilir. Yazılım seçimi bu bütünün önemli bir parçasıdır.

Saha teknisyeni sözleşme bedelini görmeli mi?

Görevi gerektirmiyorsa görmemelidir. Teknisyene bina adresi, iletişim kişisi ve bakım için gerekli teknik bilgiler açılırken ticari bedeller ve tahsilat bilgileri sınırlandırılabilir. En güvenli yaklaşım, ihtiyaç kadar erişim vermektir.

Günlük yedek alınması yeterli midir?

Bu, firmanın kabul edebileceği veri kaybına bağlıdır. Yoğun sözleşme güncellemesi yapan bir işletme için bir günlük veri kaybı ciddi olabilir. Ayrıca yedekleme kadar yedeğin başarılı şekilde geri yüklenebilmesi de önemlidir.

Eski çalışanların hesapları silinmeli mi?

İşten ayrılan çalışanın erişimi gecikmeden kapatılmalıdır. Hesabı tamamen silmek yerine işlem geçmişini koruyacak biçimde pasifleştirmek daha doğru olabilir. Böylece geçmişte yaptığı işlemler izlenebilir kalır.

Sözleşme PDF’lerini bilgisayarda ayrıca saklamak gerekir mi?

Programın yedekleme ve dışa aktarma kabiliyeti yeterli olsa bile firma kendi iş sürekliliği politikasına göre kontrollü bir kopya alabilir. Bu kopyalar rastgele bilgisayarlarda değil, erişimi sınırlandırılmış ve düzenli yedeklenen bir ortamda tutulmalıdır.

Asansorex sözleşme güvenliğine nasıl yardımcı olabilir?

Asansorex gibi yetkilendirme, sözleşme takibi, işlem geçmişi ve düzenli kayıt yönetimini bir arada sunan sistemler; dağınık Excel dosyaları ile mesajlaşma uygulamalarında kalan belgeleri merkezi bir düzene taşıyabilir. Yine de firma, kullanıcı rollerini doğru tanımlamalı ve kendi veri saklama kurallarını uygulamalıdır.

Özet

Güvenli bir Asansör Sözleşme Programı, yalnızca sözleşme bitiş tarihini hatırlatan bir takvim değildir. Kullanıcıları görevlerine göre sınırlandırmalı, kritik değişiklikleri kaydetmeli, verileri düzenli yedeklemeli ve hizmet sona erdiğinde tüm kayıtların alınabilmesini sağlamalıdır.

Karar verirken gösterişli özelliklerden önce üç temel soruya cevap arayın: Veriye kim erişiyor, bir sorun yaşanırsa kayıtlar nasıl geri getiriliyor ve yazılımdan ayrılırken veriler nasıl teslim ediliyor? Bu sorulara açık, test edilebilir ve yazılı cevap veren bir çözüm, bakım firmasının sözleşme arşivini uzun vadede daha güvenli ve yönetilebilir hâle getirir.