Dijital Yönetimde Çerez ve Uygulama Verileri

Dijital yönetimde çerez ve uygulama verileri, apartman ve site yönetim yazılımlarının işleyişinin ayrılmaz bir parçasıdır. Hangi verilerin toplandığı, nasıl saklandığı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde nasıl yönetilmesi gerektiği; hem yöneticiler hem de sakinler için kritik öneme sahiptir.

Çerez Nedir ve Dijital Yönetim Platformlarında Ne İşe Yarar?

Çerezler (cookies), bir web sitesi veya uygulamayı ziyaret ettiğinizde tarayıcınıza ya da cihazınıza yerleştirilen küçük metin dosyalarıdır. Bu dosyalar; oturum bilgilerini, tercihlerinizi ve kullanım alışkanlıklarınızı kaydederek uygulamanın daha akıcı çalışmasını sağlar. Basit bir teknik araç gibi görünse de çerezler, kişisel veri kapsamında değerlendirilebilir ve bu nedenle yasal düzenlemelere tabidir.

Apartman yönetim yazılımları ve site yönetim platformları söz konusu olduğunda çerezler çok daha kritik bir anlam kazanır. Bir yönetici paneline giriş yaptığınızda sistemi sizi "tanıyan" şey büyük ölçüde oturum çerezidir. Daire sahibi ya da kiracı olarak aidat ödemelerinizi, ortak gider bildirimlerinizi veya arıza taleplerinizi görüntülediğinizde arka planda çalışan veri mekanizmaları devreye girer.

Teknik olarak çerezler üç temel kategoriye ayrılır: oturum çerezleri (tarayıcı kapanınca silinen geçici veriler), kalıcı çerezler (belirli bir süre cihazda kalan veriler) ve üçüncü taraf çerezleri (reklam ve analiz amacıyla farklı domain'lerden gelen veriler). Apartman yönetim yazılımları genellikle oturum ve kalıcı çerezleri yoğun biçimde kullanırken üçüncü taraf çerezleri entegre analiz araçları aracılığıyla sisteme dahil olabilir.

Kullanıcı deneyimi açısından bakıldığında, çerezler olmadan her sayfa yenilemesinde yeniden giriş yapmanız gerekir. Ancak bu kolaylık beraberinde bir sorumluluk da getirir: sakladığınız veriler kimin eline geçebilir ve ne kadar süreyle tutulur? İşte dijital yönetimde çerez politikasının önemi tam olarak burada ortaya çıkar.

Uygulama Verisi ile Çerez Arasındaki Fark

Çerez ve uygulama verisi kavramları sıklıkla birbirine karıştırılır, oysa aralarında önemli teknik ve hukuki farklar vardır. Çerezler istemci tarafında, yani kullanıcının cihazında saklanır. Uygulama verileri ise sunucu tarafında, yani platformun altyapısında depolanır. Bu ayrım, veri yönetimi sorumluluklarının da farklı şekillerde dağılması anlamına gelir.

Bir apartman yönetim yazılımı açısından ele aldığımızda uygulama verileri; ödeme geçmişleri, bakım talepleri, toplantı tutanakları, daire sahibi kayıtları ve fatura bilgilerini kapsar. Bu veriler sunucuda saklanır ve yazılım sağlayıcısının veri işleme altyapısına tabi olur. Çerezler ise yalnızca oturum açma kimliği, dil tercihi veya son görüntülenen sayfa gibi görece yüzeysel bilgileri taşır.

Yönetim platformlarında bu iki veri türü iç içe geçmiş bir döngü oluşturur: çerez, sizi uygulamada tanımlar; uygulama verisi ise sizinle ilişkili gerçek içeriği sunar. Bir yönetici olarak hangi veri türünün nerede saklandığını ve kimin tarafından erişilebildiğini bilmek, hem KVKK uyumu hem de site sakinlerine karşı şeffaflık açısından zorunludur.

Mobil uygulamalarda durum biraz farklılaşır. Mobil platformlarda "çerez" yerine genellikle "uygulama depolama alanı" veya "yerel depolama" (local storage) kavramı kullanılır. Ancak işlev açısından benzerdir: cihazda bir kimlik bilgisi ya da tercih verisi saklanır. Apartman yönetim uygulamalarının mobil sürümleri bu tür yerel verileri sıklıkla kullanır ve bu verilerin de KVKK kapsamında değerlendirilmesi gerekir.

KVKK Çerçevesinde Çerez ve Veri İşleme Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu, Türkiye'deki tüm veri işleme faaliyetlerini düzenleyen temel yasal çerçevedir. Bu kanun kapsamında çerezler aracılığıyla toplanan veriler de kişisel veri sayılabilir; özellikle bu veriler bir gerçek kişiyi tanımlamaya ya da tanımlanabilir kılmaya yarayorsa. Apartman ve site yönetim yazılımları, daire sahiplerinin ve kiracıların kişisel verilerini işlediğinden doğrudan KVKK yükümlülüklerine tabidir.

KVKK'nın temel ilkeleri arasında açık rıza, veri minimizasyonu, amaçla sınırlılık ve şeffaflık yer alır. Bir yönetim platformunun çerez politikası bu ilkelerin tamamını yansıtmalıdır. Örneğin; yalnızca teknik zorunluluk için gerekli olan çerezler rıza alınmadan kullanılabilirken analitik veya pazarlama amaçlı çerezler için açık kullanıcı onayı şarttır.

Kişisel Verileri Koruma Kurumu (KVKK Kurumu), çerez politikalarına ilişkin rehber yayımlamıştır. Bu rehbere göre veri sorumluları; hangi çerezlerin kullanıldığını, amaçlarını, saklama sürelerini ve üçüncü taraflarla paylaşım durumlarını açıkça belirtmek zorundadır. Ayrıca kullanıcılara bu çerezleri kabul etme veya reddetme imkânı sunulmalıdır.

Apartman yönetim yazılımı kullanan bir apartman yöneticisi veya yönetim kurulu; bu yükümlülüklerin hem kendileri hem de yazılım sağlayıcısı açısından yerine getirilip getirilmediğini sorgulamalıdır. Yazılım sağlayıcısı ile yapılan sözleşmede veri işleme koşullarının açıkça tanımlanmış olması, hukuki güvence açısından kritik öneme sahiptir. Genel bilgi niteliğinde hatırlatmak gerekir ki bu konularda bir hukuki danışmandan destek almak her zaman tavsiye edilir.

Apartman Yönetim Yazılımlarında Toplanan Veriler

Modern apartman yönetim programları, pek çok farklı kategoride veri toplar. Bu verilerin bir kısmı zorunlu işlevler için gereklidir, bir kısmı ise kullanıcı deneyimini iyileştirmeye yönelik isteğe bağlı niteliktedir. Her iki kategorinin de hangi yasal dayanakla toplandığının netleştirilmesi gerekir.

Zorunlu veri kategorileri arasında şunlar sayılabilir: daire sahibi ve kiracı kimlik bilgileri (ad, soyad, T.C. kimlik numarası), iletişim bilgileri (telefon, e-posta), banka ve ödeme bilgileri, daire numarası ve tapu bilgileri. Bu veriler olmadan sistemin temel işlevleri çalışamaz. Ancak bu zorunluluk, verilerin sınırsız biçimde saklanabileceği anlamına gelmez.

İkincil veri kategorileri ise kullanım alışkanlıkları ve oturum logları, bildirimlere verilen yanıtlar, toplantı oy kayıtları ve bakım talepleri gibi unsurları kapsar. Bu veriler sistem kalitesini artırmak için faydalıdır ancak kullanıcıların bu verilerin neden toplandığını bilmesi gerekir. Çoğu kullanıcı bu tür verilerin saklandığından bile haberdar olmaz; bu şeffaflık eksikliği hem etik hem de hukuki açıdan sorunludur.

Bir de "pasif veriler" denen kategori vardır: giriş saatleri, hangi modüllerin kullanıldığı, cihaz türü ve IP adresi gibi teknik kayıtlar. Bu veriler doğrudan tanımlayıcı olmasa da diğer verilerle birleştirildiğinde kişisel veri niteliği kazanabilir. Platformların bu tür meta verileri de veri politikaları kapsamında değerlendirmesi gerekir.

Çerez Türleri ve Yönetim Yazılımlarındaki Kullanım Senaryoları

Dijital yönetim platformlarında kullanılan çerez türlerini anlamak, hem teknik hem de hukuki boyutuyla veri yönetiminin temelini oluşturur. Her çerez türü farklı bir amaca hizmet eder ve farklı düzeyde kullanıcı onayı gerektirir.

Zorunlu (teknik) çerezler: Oturum yönetimi, güvenlik doğrulama ve sepet/form verilerinin geçici olarak tutulması için kullanılır. Kullanıcı girişinin sürdürülmesi bu kategori çerezler sayesinde mümkündür. Yasal açıdan bu tür çerezler için ayrıca onay alınmasına gerek yoktur çünkü hizmetin temel işleyişi için zorunludurlar.

Tercih çerezleri: Kullanıcının dil seçimi, tema tercihi veya panel görünümü gibi ayarlarını hatırlar. Bu çerezler olmadan her girişte tüm ayarların sıfırlanması gerekir. Kullanıcı deneyimi açısından büyük kolaylık sağlarlar ve genellikle kullanıcı bilgisi dahilinde işletilirler.

Analitik çerezler: Hangi özelliklerin ne sıklıkla kullanıldığını, hata oranlarını ve kullanıcı davranış kalıplarını izler. Yazılım geliştirme süreçlerini besleyen bu veriler, doğrudan kullanıcı deneyimini iyileştirmek için kullanılır. Ancak KVKK kapsamında açık rıza gerektiren bir kategori olarak kabul edilir.

Pazarlama/hedefleme çerezleri: Yönetim yazılımlarında daha az yaygın olsa da bazı platformlar entegre pazarlama araçları aracılığıyla bu tür çerezler kullanabilir. Bu çerezler en sıkı onay gerekliliklerine tabidir ve kullanıcıların açıkça bilgilendirilmesi zorunludur.

Veri Güvenliği: Yönetim Platformlarında Şifreleme ve Erişim Kontrolü

Veri toplama kadar önemli olan bir diğer konu, bu verilerin güvenli biçimde saklanıp saklanmadığıdır. Çerezler de dahil olmak üzere tüm uygulama verilerinin yetkilisiz erişime karşı korunması, hem KVKK zorunluluğu hem de temel bir etik yükümlülüktür. Özellikle finansal ve kimlik bilgileri içeren yönetim platformlarında bu güvenlik önlemleri hayati önem taşır.

İyi bir site yönetim yazılımında veri güvenliği için asgari olarak şu önlemlerin bulunması beklenir:

• HTTPS protokolü ile şifreli veri iletimi (SSL/TLS sertifikası)
• Kullanıcı şifrelerinin düz metin olarak değil, hash algoritmasıyla saklanması
• Rol tabanlı erişim kontrolü (yönetici, muhasebeci, sakini gibi farklı yetki seviyeleri)
• Oturum zaman aşımı (belirli süre işlem yapılmazsa otomatik çıkış)
• İki faktörlü kimlik doğrulama (2FA) desteği
• Düzenli yedekleme ve felaket kurtarma planı
• Sunucu tarafı güvenlik güncellemelerinin düzenli yapılması

Erişim kontrolü özellikle kritiktir. Bir apartman kompleksinde muhasebeci, sakin ve yöneticinin farklı veri erişim düzeylerine sahip olması gerekir. Muhasebecinin tüm sakin kimlik belgelerine erişmesi, ya da bir sakinin başka bir sakininin ödeme geçmişini görmesi ciddi bir güvenlik ve gizlilik ihlalidir.

Log kayıtları da veri güvenliğinin ayrılmaz bir parçasıdır. Kim, ne zaman, hangi veriye erişti? Bu sorulara yanıt verebilecek denetim izleri (audit trail) olmadan güvenlik ihlallerini tespit etmek neredeyse imkansızlaşır. Özellikle finansal verilere yapılan erişimlerin loglanması, sonraki olası anlaşmazlıklarda güçlü bir kanıt niteliği taşır.

Çerez Politikası Nasıl Oluşturulur? Yönetim Platformları İçin Pratik Rehber

Bir apartman veya site yönetim yazılımı satan ya da kullanan taraflar için çerez politikası oluşturmak yasal bir zorunluluktur. Ancak pratikte pek çok platform bu politikayı ya hiç yayınlamamakta ya da güncel olmayan, genel bir metin olarak bırakmaktadır. Doğru bir çerez politikası şu unsurları içermelidir.

İlk olarak politika; kullanılan çerezlerin tam listesini, her birinin amacını, saklama süresini ve kaynağını (birinci veya üçüncü taraf) açıkça belirtmelidir. "Çerez kullanıyoruz" demek yeterli değildir; hangi çerez, ne için, ne kadar süre sorularının yanıtlanması gerekir. Bu şeffaflık hem yasal gerekliliktir hem de kullanıcı güvenini pekiştirir.

İkinci unsur, onay mekanizmasıdır. Zorunlu olmayan çerezler için kullanıcıdan aktif rıza alınmalıdır. Bu genellikle ilk ziyarette gösterilen bir çerez bildirimi (cookie banner) aracılığıyla sağlanır. Kullanıcının "kabul et" veya "reddet" seçeneğini açıkça kullanabilmesi, varsayılan olarak tüm çerezlerin aktif olmaması ve tercih değiştirebilme imkânı sunulması KVKK uyumu için zorunludur.

Üçüncü unsur ise güncellik ve erişilebilirliktir. Politika; kolayca erişilebilir bir sayfada (genellikle footer'da bağlantı), anlaşılır bir Türkçeyle ve son güncellenme tarihiyle birlikte yayınlanmalıdır. Her büyük platform değişikliğinde ya da yeni çerez eklenmesinde politikanın güncellenmesi ve gerekirse kullanıcıların yeniden bilgilendirilmesi gerekir.

Sakin ve Yönetici Hakları: Verilerime Kim Erişebilir?

KVKK kapsamında kişisel verilerin işlendiği her durumda veri sahiplerinin belirli hakları vardır. Apartman veya site yönetim platformları kullanan sakinler ve yöneticiler bu haklardan haberdar olmalıdır. Söz konusu haklar; veri erişim hakkı, düzeltme hakkı, silme hakkı ve işlemeye itiraz hakkı olarak özetlenebilir.

Sakinler açısından değerlendirildiğinde: bir sakin, hakkında tutulan hangi verilerin var olduğunu sorma hakkına sahiptir. Platform bu soruya makul süre içinde yanıt vermekle yükümlüdür. Yanlış bir bilgi (hatalı ödeme kaydı, yanlış iletişim bilgisi gibi) varsa bunun düzeltilmesini talep edebilir. Artık o platformun sakinliği sona ermişse verilerinin silinmesini isteyebilir; ancak muhasebe kayıtları gibi yasal saklama süresine tabi bazı veriler bu kapsamın dışında tutulabilir.

Yöneticiler açısından ise sorumluluk daha karmaşık bir hal alır. Yönetici, hem kendi kişisel verilerinin sahibi hem de diğer sakinlerin verilerini işleyen "veri sorumlusu" konumundadır. Bu ikili rol, KVKK kapsamındaki yükümlülüklerin de çift katmanlı olduğu anlamına gelir. Yönetici olarak aldığı kararlar (hangi verilerin saklandığı, kimlerle paylaşıldığı gibi) hukuki sonuçlar doğurabilir.

Pratik bir örnek üzerinden düşünelim: bir site yöneticisi, apartmana giren kişilerin kayıt altına alındığı bir kamera sistemi kullanıyorsa bu veriler de kişisel veri kapsamındadır. Bu verilerin saklanma süresi, erişim yetkileri ve aydınlatma yükümlülükleri eksiksiz yerine getirilmelidir. Uygunsuz veri saklamanın cezai sonuçları olabileceği unutulmamalıdır; bu nedenle konunun bir hukuk uzmanıyla değerlendirilmesi tavsiye edilir.

Veri Saklama Süreleri ve Silme Politikaları

Veri toplama kadar, toplanan verilerin ne kadar süreyle saklanacağı ve nasıl silineceği de büyük önem taşır. KVKK'nın temel ilkelerinden biri olan "amaçla sınırlılık ve süreyle orantılılık" ilkesi, verilerin amacının sona ermesinin ardından saklanmaya devam etmemesi gerektiğini öngörür. Bu ilke dijital yönetim platformları için pratik sonuçlar doğurur.

Farklı veri türleri için farklı saklama süreleri belirlemek iyi bir uygulamadır. Aşağıdaki tablo, apartman ve site yönetim platformlarındaki yaygın veri kategorileri için genel yaklaşımları göstermektedir. Bu süreler yasal yükümlülüklere ve platforma özgü koşullara göre değişebilir; kesin süreler için bir hukuk danışmanına başvurulması önerilir:

Silme politikası da en az saklama politikası kadar önemlidir. Veriler, saklanma süresi dolduğunda gerçekten silinmeli ve bu silme işlemi kayıt altına alınmalıdır. "Silindi" demek yeterli değildir; verilerin geri kurtarılamayacak biçimde imha edildiğinin belgelenebilir olması gerekir. Özellikle çerezler ve log dosyaları için otomatik silme mekanizmalarının kurulması hem pratik hem de yasal açıdan en doğru yaklaşımdır.

Dijital Yönetim Platformu Seçerken Veri Güvenliği Kriterleri

Bir apartman yönetim kurulu veya profesyonel yönetici olarak yeni bir dijital platform seçerken teknik özellikler kadar veri güvenliği ve KVKK uyumu da değerlendirme kriterleri arasında yer almalıdır. Ne yazık ki bu konu pek çok karar sürecinde göz ardı edilmektedir.

Platform seçiminde sorulması gereken başlıca sorular şunlardır: Sağlayıcı, veri işleme sözleşmesi (VİS) imzalıyor mu? Türkiye'de mi, yurt dışında mı barındırılıyor? Yurt dışı barındırma söz konusuysa KVKK kapsamındaki yurt dışı veri aktarımı kurallarına uyum sağlanıyor mu? Hangi üçüncü taraf hizmetler (analiz araçları, ödeme sistemleri, bulut altyapısı) kullanılıyor ve bu hizmetlerin veri işleme koşulları nedir?

Teknik güvenlik özellikleri açısından ise sertifikalandırma (ISO 27001 gibi) ve düzenli penetrasyon testi yapılıp yapılmadığı önemli göstergelerdir. Ayrıca veri ihlali durumunda sağlayıcının bildirimi kaç saat içinde yapacağı da sözleşmede netleştirilmesi gereken bir konudur; KVKK, ihlalden haberdar olunmasının ardından 72 saat içinde Kurul'a bildirim yükümlülüğü öngörmektedir.

Kullanıcı arayüzü açısından da bazı işaretlere dikkat etmek gerekir: Platform, çerez onay mekanizmasını düzgün çalıştırıyor mu? Gizlilik politikası ve çerez politikası erişilebilir ve güncel mi? Bu sorulara olumlu yanıt alamadığınız platformlar, uzun vadede hem yasal hem de güvenlik riski taşıyabilir. Daha kapsamlı bir yönetim çözümü için rezidans yönetim sistemlerinin sunduğu entegre veri yönetimi özelliklerini incelemenizi öneririz.

Sık Sorulan Sorular