Okul öncesi kurumlar; sağlık notları, alerji bilgisi, ilaç kayıtları, fotoğraflar ve aile bilgileri gibi hassas verilerle çalışır. Bu verilerin bir kısmı özel nitelikli kişisel veri kapsamına girer. Dolayısıyla KVKK, "büyük şirketlerin işi" değil, her kreşin günlük operasyonunun parçası.
1. Hangi veriyi tutuyoruz?
İlk adım envanter: öğrenci kayıt formu, sağlık beyanı, ilaç takip listesi, veli iletişim bilgileri, fotoğraf/video, servis bilgileri, personel özlük dosyası, aday (iş başvurusu) verileri. Her kalem için tek bir soru: bunu tutmazsak süreç aksar mı? Aksatmıyorsa tutmamak en güvenli tercih.
2. Kim görebilmeli?
- Öğretmen yalnızca kendi sınıfındaki çocukları görmeli.
- Kampüs müdürü kendi kampüsünü, merkez yöneticisi tüm kampüsleri görebilmeli.
- Muhasebe yalnızca ücret/tahsilat verisini, sağlık bilgisini değil.
- Mutfak personeli menü ve alerjen bilgisini görür, veli iletişim bilgisini görmez.
HabittApp'te rol ve yetki matrisi bu ayrımı tanımlar; kampüs bazlı kısıtlama ile bir kampüsün verisi diğerine görünmez.
3. Ne kadar saklanmalı?
Saklama süresi yazılı olmalı: mezun öğrenci kaydı ne kadar tutulacak, aday personel CV'si ne zaman silinecek, çağrı/görüşme kayıtları ne kadar saklanacak. Süre bitince silme işlemi de kayıt altına alınmalı — "sildik" demek yetmez, silme kaydı gerekir. HabittApp'te aday havuzu için saklama süresi ve toplu silme tanımlanabilir.
4. Veli onayı ve şeffaflık
Fotoğraf paylaşımı, etkinlik izni ve üçüncü taraf hizmetler (servis, yemek, SMS sağlayıcı) için onay ayrı ayrı alınmalı. Bir onay kutusuyla hepsini kapsamak, sonradan itiraz edilebilir bir zemin yaratır. Dijital izin formları hem onayı hem zaman damgasını saklar.
5. Denetim kaydı: en çok atlanan madde
"Kim, ne zaman, hangi veriye erişti" sorusunun cevabı olmadan KVKK süreçleri havada kalır. Destek amaçlı erişimler dahil tüm erişimlerin gerekçeli ve süre sınırlı olması, kayda işlenmesi gerekir. Bu, hem denetimde hem de iç güvenlikte işinizi kolaylaştırır.
Küçük kurumlar için minimum kontrol listesi
- Veri envanteri ve saklama süresi tablosu
- Rol bazlı yetki tanımı (kim neyi görür)
- Aydınlatma metni ve ayrı onaylar (fotoğraf, izin, üçüncü taraf)
- Erişim ve silme kayıtları
- Yedekleme ve geri yükleme testi
- İhlal durumunda bildirim akışı (kim, kime, ne kadar sürede)
Bu altı madde tamamlandığında KVKK, kâğıt üstünde bir yükümlülük olmaktan çıkıp günlük işleyişin doğal parçası haline gelir. HabittApp Takip'te yetki matrisi, denetim kaydı ve saklama süresi ayarları bu çerçevenin uygulama tarafını oluşturur.