Asansör Sözleşme Yönetim Yazılımı Veri Güvenliği Checklist’i

İÇERİK

Asansör bakım sözleşmeleri; bina bilgileri, yönetici iletişim kayıtları, bakım bedelleri, ödeme koşulları, cihaz bilgileri, imzalar ve sözleşme yenileme tarihleri gibi ticari açıdan kritik veriler içerir. Bu nedenle bir Asansör Sözleşme Yönetim Yazılımı seçerken yalnızca sözleşme hazırlama ve yenileme hatırlatma özelliklerine bakmak yeterli değildir. Verilerin kimler tarafından görülebildiği, nasıl yedeklendiği, kullanıcı işlemlerinin kayıt altına alınıp alınmadığı ve firma değişikliği halinde verilerin dışarı aktarılıp aktarılamadığı da değerlendirilmelidir. Bu rehberde, yazılımın veri güvenliğini demo ve satın alma aşamasında ölçebilmeniz için uygulanabilir bir kontrol listesi bulacaksınız.

Veri Güvenliği Neden Sözleşme Yönetiminin Bir Parçasıdır?

Bir asansör bakım firmasında sözleşme bilgileri çoğu zaman Excel dosyalarında, personelin bilgisayarında, e-posta kutularında veya basılı klasörlerde tutulur. Bu da aynı sözleşmenin birden fazla kopyasının oluşmasına, güncel sürümün karıştırılmasına ve yetkisiz kişilerin ticari bilgilere erişmesine neden olabilir.

Örneğin satış personeli bir binanın bakım fiyatını görebilirken, bütün müşterilerin tahsilat geçmişine ulaşması gerekmeyebilir. Teknisyenin hizmet verdiği binanın adresini ve cihaz bilgilerini görmesi normaldir; ancak sözleşmedeki iskonto oranlarını veya firma genelindeki sözleşme cirosunu görmesine ihtiyaç yoktur.

Güvenli bir sözleşme yönetimi şu riskleri azaltmalıdır:

• Sözleşmelerin yanlışlıkla silinmesi
• Eski sözleşme sürümünün kullanılması
• Yetkisiz personelin fiyat ve müşteri bilgilerine erişmesi
• İşten ayrılan kullanıcının sisteme girmeye devam etmesi
• Bilgisayar arızası nedeniyle kayıtların kaybolması
• Sözleşme üzerinde kimin değişiklik yaptığının belirlenememesi
• Müşteri verilerinin kontrolsüz biçimde dışarı aktarılması
• Yenileme, fesih ve ek protokol kayıtlarının birbirine karışması

Veri güvenliği yalnızca sisteme parola koymak değildir. Doğru kişinin, görevini yapabilmesi için gereken doğru veriye, gerektiği süre boyunca erişebilmesidir.

Kullanıcı Hesapları ve Yetkilendirme Checklist’i

İlk kontrol edilmesi gereken alan kullanıcı yönetimidir. Ofis çalışanlarının ortak bir kullanıcı adıyla sisteme girmesi pratik görünse de işlem geçmişinin izlenmesini zorlaştırır. Bir sözleşmenin bedeli değiştirildiğinde veya dosya silindiğinde işlemi kimin yaptığı belirlenemez.

Her çalışan için ayrı hesap açılmalı ve yetkiler göreve göre sınırlandırılmalıdır. Demo sırasında aşağıdaki işlemlerin gerçekten yapılabildiğini kontrol edin:

1. Her personele ayrı kullanıcı hesabı açılabiliyor mu?
2. Kullanıcıya göre görüntüleme, ekleme, düzenleme ve silme yetkileri ayrılabiliyor mu?
3. Şube çalışanı yalnızca kendi şubesinin sözleşmelerini görebiliyor mu?
4. Teknisyenlerin ticari bedel ve tahsilat bilgilerine erişimi kapatılabiliyor mu?
5. İşten ayrılan personelin hesabı silinmeden pasif duruma getirilebiliyor mu?
6. Parola yenileme ve güvenli oturum kapatma süreçleri bulunuyor mu?
7. Hatalı giriş denemelerine karşı koruma uygulanıyor mu?
8. Kritik işlemler için ek doğrulama veya yeniden parola isteme seçeneği var mı?
9. Kullanıcı oturumu uzun süre işlem yapılmadığında kapanıyor mu?
10. Yetki değişikliklerinin kim tarafından yapıldığı kaydediliyor mu?

Yetkilendirmeyi değerlendirirken sadece “rol tanımlanabiliyor” cevabıyla yetinmeyin. Örnek bir satış personeli, muhasebe çalışanı ve teknisyen hesabı açılmasını isteyin. Her hesapla sisteme girerek hangi bilgilerin görünür olduğunu bizzat kontrol edin.

Sözleşme Dosyaları ve İşlem Geçmişi Nasıl Korunmalı?

Sözleşme yönetiminde en önemli konulardan biri belgenin geçmişini korumaktır. Bakım bedeli, başlangıç tarihi, sözleşme süresi veya fesih koşulu değiştirildiğinde eski bilginin tamamen kaybolması uyuşmazlık halinde sorun yaratabilir.

Yazılımın en azından kritik işlemler için bir hareket geçmişi sunması beklenir. Bu geçmişte işlemi yapan kullanıcı, işlem zamanı ve değiştirilen kayıt görülebilmelidir. Sistem sürüm geçmişi sunuyorsa eski ve yeni değerlerin karşılaştırılması da önemli bir avantajdır.

Kontrol alanı	Sorulacak soru	Beklenen güvenlik yaklaşımı
Dosya yükleme	Hangi dosya türleri yüklenebilir?	Riskli dosya türleri sınırlandırılmalı
Sürüm takibi	Eski sözleşme korunuyor mu?	Güncel ve önceki sürümler ayrılabilmeli
Değişiklik kaydı	İşlemi yapan kişi görülüyor mu?	Kullanıcı ve zaman bilgisi kaydedilmeli
Silme işlemi	Silinen kayıt hemen yok oluyor mu?	Yetkili geri alma veya arşivleme bulunmalı
Dosya indirme	Her kullanıcı sözleşme indirebilir mi?	İndirme yetkisi role göre sınırlandırılmalı
Toplu dışa aktarma	Müşteri listesi kimlerce alınabilir?	Yalnızca yetkili kullanıcılar yapabilmeli
Arşivleme	Süresi biten sözleşme ne oluyor?	Aktif kayıtlardan ayrılarak korunmalı
Paylaşım	Herkese açık bağlantı oluşuyor mu?	Süreli veya erişim kontrollü paylaşım kullanılmalı

Özellikle silme işlemini test edin. Yanlışlıkla kaldırılan bir sözleşmenin geri getirilememesi, yalnızca veri kaybına değil, müşteriyle yaşanabilecek ticari anlaşmazlıklara da yol açabilir.

Yedekleme ve Felaket Kurtarma Kontrolleri

“Yedek alıyoruz” ifadesi tek başına yeterli değildir. Yedeğin hangi sıklıkla alındığı, nerede tutulduğu, ne kadar süre saklandığı ve gerektiğinde ne kadar zamanda geri yüklenebildiği öğrenilmelidir.

Yazılım sağlayıcısına şu soruları yöneltin:

• Yedekleme otomatik mi, manuel mi yapılıyor?
• Yedekler hangi sıklıkla oluşturuluyor?
• Yedek kopyalar ana sistemden bağımsız bir ortamda tutuluyor mu?
• Yedekler yetkisiz erişime karşı korunuyor mu?
• Geri yükleme testleri düzenli olarak yapılıyor mu?
• Veri kaybı yaşanması halinde tahmini geri dönüş süresi nedir?
• Firmanın kendi verilerini ayrıca dışarı aktarması mümkün mü?
• Hizmet sona erdiğinde sözleşme ve müşteri kayıtları hangi formatta teslim ediliyor?
• Yedeklerdeki kişisel veriler ne kadar süreyle saklanıyor?
• Bir sözleşmenin yanlışlıkla silinmesi halinde tek kayıt geri getirilebiliyor mu?

Firma sahibi açısından en kritik konu, hizmet kesildiğinde işlerin ne kadar süre aksayacağıdır. Sadece sunucunun yeniden çalışması değil, sözleşmelerin eksiksiz ve güncel biçimde geri yüklenmesi de planlanmalıdır.

Kayıtları Asansorex gibi merkezi bir bakım ve sözleşme takip yazılımında tutmak, dağınık Excel dosyalarının ve kişisel bilgisayarlardaki kontrolsüz kopyaların azaltılmasına yardımcı olabilir. Ancak kullanılan çözüm ne olursa olsun, yedekleme ve veri dışa aktarma koşulları satın alma öncesinde açıkça sorulmalıdır.

KVKK Açısından Kontrol Edilmesi Gerekenler

Asansör sözleşmelerinde apartman yöneticisinin veya yetkili kişinin adı, telefonu, e-posta adresi, imzası ve kimi durumlarda ödeme bilgileri bulunabilir. Bu bilgiler, niteliğine göre kişisel veri kapsamında değerlendirilir. Bu nedenle firma, hangi veriyi hangi amaçla işlediğini ve ne kadar süre sakladığını bilmelidir.

KVKK açısından uygulamada kontrol edilmesi gereken temel başlıklar şunlardır:

• Toplanan kişisel verilerin iş amacıyla sınırlı olması
• İlgili kişilere gerekli aydınlatmanın yapılması
• Erişim yetkilerinin görev ve sorumluluğa göre belirlenmesi
• Gereksiz veri kopyalarının önlenmesi
• Saklama süresi dolan kayıtlar için silme, yok etme veya anonimleştirme sürecinin bulunması
• Veri aktarımı yapılan hizmet sağlayıcıların belirlenmesi
• Yetkisiz erişim veya veri ihlali durumunda uygulanacak sürecin tanımlanması
• Çalışanların kişisel veri güvenliği konusunda bilgilendirilmesi
• Hizmet sağlayıcıyla veri işleme ve gizlilik sorumluluklarının yazılı hale getirilmesi

Burada önemli bir ayrım vardır: Bir yazılımın teknik güvenlik özellikleri sunması, firmayı kendiliğinden KVKK’ya uyumlu hale getirmez. Firma; kullanıcı yetkilerini doğru tanımlamak, gereksiz verileri toplamamak ve çalışanların erişimlerini düzenli kontrol etmekle de sorumludur. Tereddüt edilen hukuki konular için KVKK alanında çalışan bir hukuk uzmanından destek alınması uygun olur.

Demo Gününde Uygulanacak Güvenlik Testi

Veri güvenliği yalnızca sunum dinleyerek değerlendirilemez. Demo öncesinde kişisel veri içermeyen örnek bir bina, müşteri ve bakım sözleşmesi hazırlayın. Ardından sistem üzerinde gerçek kullanım senaryolarını deneyin.

Birinci test: Yetkisiz erişim

Sınırlı yetkiye sahip bir teknisyen hesabıyla giriş yapın. Bu kullanıcının sözleşme bedelini, müşteri listesini, tahsilat durumunu ve diğer şubelerin kayıtlarını görüp göremediğini kontrol edin.

İkinci test: Değişiklik geçmişi

Örnek sözleşmenin bakım bedelini ve yenileme tarihini değiştirin. Ardından eski değerin, değişiklik zamanının ve işlemi yapan kullanıcının görülüp görülmediğine bakın.

Üçüncü test: Silme ve geri alma

Örnek sözleşmeyi silin veya arşivleyin. Kaydın geri getirilebilmesini ve bu işlemin geçmişte görünmesini isteyin. Silme yetkisinin her kullanıcıya açık olup olmadığını da inceleyin.

Dördüncü test: Dışa aktarma

Sözleşme listesini Excel, PDF veya yaygın başka bir formatta dışarı aktarmayı deneyin. Hangi kullanıcıların toplu veri indirebildiğini ve oluşturulan dosyanın hangi bilgileri içerdiğini kontrol edin.

Beşinci test: Oturum güvenliği

Hesabı farklı bir cihazda açın, parolayı değiştirin ve eski oturumun devam edip etmediğine bakın. İşten ayrılan bir personelin hesabı pasif hale getirildiğinde mevcut oturumlarının kapatılması tercih edilir.

Test sonuçlarını “var” veya “yok” şeklinde değil, başarılı, kısmen başarılı, başarısız ve açıklama gerekli biçiminde puanlayın. Böylece farklı yazılımları aynı ölçütlerle karşılaştırabilirsiniz.

Satın Alma Sözleşmesine Yazılması Gereken Güvenlik Maddeleri

Yazılımın demo sırasında iyi çalışması önemlidir; ancak hizmet süresince geçerli olacak sorumluluklar yazılı değilse ileride belirsizlik yaşanabilir. Teklif veya hizmet sözleşmesinde en azından şu konular açıklanmalıdır:

• Verilerin sahipliği
• Yedekleme kapsamı ve sıklığı
• Hizmet kesintilerinde uygulanacak destek süreci
• Yetkisiz erişim şüphesi halinde bildirim yöntemi
• Verilerin saklandığı ve işlendiği altyapıya ilişkin genel bilgiler
• Alt hizmet sağlayıcıların kullanılıp kullanılmadığı
• Abonelik sona erdiğinde veri teslim yöntemi
• Verilerin sistemden ne zaman silineceği
• Teknik destek ekibinin müşteri verilerine erişim koşulları
• Gizlilik ve kişisel veri işleme sorumlulukları
• Verilerin hangi yaygın formatlarda dışarı aktarılabileceği

Özellikle “Verilerinizi istediğiniz zaman alabilirsiniz” ifadesinin ayrıntısını sorun. Yalnızca müşteri adlarının aktarılması yeterli değildir. Sözleşme başlangıç ve bitiş tarihleri, fiyat geçmişi, ek protokoller, cihaz bağlantıları ve yüklenen belgelerin de aktarım kapsamına girip girmediği netleştirilmelidir.

Düzenli Güvenlik Kontrolü İçin Pratik Takvim

Güvenlik değerlendirmesi yalnızca yazılım satın alınırken yapılmamalıdır. Personel, şube ve görev değişiklikleri nedeniyle yetkiler zaman içinde güncelliğini kaybedebilir.

Genel uygulamada aşağıdaki kontrol düzeni kullanılabilir:

• Aylık: İşten ayrılan veya görevi değişen kullanıcıları kontrol edin.
• Üç aylık: Kullanıcı rollerini ve toplu veri indirme yetkilerini gözden geçirin.
• Altı aylık: Örnek bir kayıt üzerinden silme, geri alma ve dışa aktarma testi yapın.
• Yıllık: Veri envanterini, saklama sürelerini ve hizmet sağlayıcı sözleşmesini değerlendirin.
• Her personel ayrılışında: Hesabı pasifleştirin, açık oturumları kapatın ve kullanılan cihazları kontrol edin.
• Her güvenlik olayından sonra: Olayın nedenini, etkilenen kayıtları ve alınan önlemleri yazılı hale getirin.

Bu kontrollerin sorumlusu belirlenmelidir. “Ofiste biri bakıyor” yaklaşımı yerine kontrol tarihi, kontrolü yapan kişi ve bulunan eksiklikler kayıt altına alınmalıdır.

Sıkça Sorulan Sorular

Bulut tabanlı sözleşme yazılımı güvenli midir?

Bulut tabanlı olması tek başına güvenli veya güvensiz olduğu anlamına gelmez. Yetkilendirme, şifreleme, yedekleme, işlem kayıtları, altyapı yönetimi ve hizmet sağlayıcının güvenlik süreçleri birlikte değerlendirilmelidir.

Her çalışana ayrı kullanıcı hesabı açmak gerekli midir?

Evet. Ortak hesaplar, bir işlemi kimin yaptığının belirlenmesini zorlaştırır. Ayrı hesap kullanımı hem erişim kontrolünü hem de personel değişikliklerinde hesabın kapatılmasını kolaylaştırır.

Teknisyenler sözleşme bedellerini görmeli mi?

Genellikle teknisyenin görevini yapabilmesi için bina, cihaz, bakım planı ve arıza bilgilerini görmesi yeterlidir. Ticari bedeller ancak görev gerektiriyorsa açılmalı; yetkiler firma yapısına göre sınırlandırılmalıdır.

Yazılımdan veri dışa aktarma neden önemlidir?

Firma, hizmet sağlayıcısını değiştirdiğinde veya kendi arşivini oluşturmak istediğinde verilerine erişebilmelidir. Dışa aktarma kapsamı sadece müşteri listesini değil, sözleşme ayrıntılarını ve ilgili belgeleri de içermelidir.

Sözleşmeler ne kadar süre saklanmalıdır?

Tek bir süre her firma ve belge için geçerli olmayabilir. Sözleşmenin niteliği, ticari yükümlülükler, olası uyuşmazlıklar ve kişisel veri saklama ilkeleri birlikte değerlendirilmelidir. Firma kendi saklama ve imha politikasını oluşturmalıdır.

Asansorex sözleşme güvenliğine nasıl katkı sağlar?

Asansorex, sözleşme ve bakım bilgilerinin merkezi olarak takip edilmesine, kullanıcı erişimlerinin düzenlenmesine ve yenileme süreçlerinin kayıtlı yürütülmesine yardımcı olur. Firma yine de kullanıcı yetkilerini düzenli kontrol etmeli ve kendi veri güvenliği prosedürlerini uygulamalıdır.

Özet

Bir Asansör Sözleşme Yönetim Yazılımı seçerken yalnızca sözleşme hazırlama, fiyat güncelleme ve yenileme hatırlatma özelliklerini değerlendirmek eksik kalır. Kullanıcı bazlı yetkilendirme, işlem geçmişi, sürüm takibi, otomatik yedekleme, geri yükleme, veri dışa aktarma ve KVKK süreçleri satın alma kararının temel parçaları olmalıdır. En sağlıklı yöntem; örnek bir sözleşmeyle gerçek demo yapmak, farklı kullanıcı rolleriyle erişimleri sınamak ve hizmet sona erdiğinde verilerin nasıl teslim edileceğini yazılı hale getirmektir.