KVKK ve klinik yazılım: sağlayıcıya sorulacaklar

Psikoterapi kayıtları KVKK’nın 6. maddesi anlamında özel nitelikli kişisel veridir. Bu, sıradan bir müşteri listesinden farklı bir işleme rejimi demek: açık rıza ya da kanunda öngörülen özel bir işleme şartı, daha dar bir paylaşım alanı ve Kurul’un belirlediği ek teknik tedbirler.

Pratik sonucu şu: yazılım seçimi bir konfor tercihi değil, bir uyum kararıdır. Aşağıdakiler, sözleşme imzalamadan önce net cevap alınması gereken sorular.

1. Veri sorumlusu kim, veri işleyen kim?

Bu ayrım çoğu zaman atlanır ve sonradan sorun çıkarır. Danışanınızın klinik verisinde veri sorumlusu sizsiniz — aydınlatma yükümlülüğü, rıza yönetimi ve ilgili kişi başvurularına cevap verme sorumluluğu size aittir. Yazılım sağlayıcısı, bu veriyi sizin adınıza işleyen veri işleyendir.

Sağlayıcı bu ayrımı kendi metinlerinde açıkça kuruyor mu? Kurmuyorsa, bir ihlal anında sorumluluğun nerede durduğu belirsiz kalır.

2. Veri İşleyen Sözleşmesi (DPA) var mı?

KVKK m.12 uyarınca veri sorumlusu, veri işleyenle birlikte müştereken sorumludur. Yazılı bir veri işleme sözleşmesi olmadan bu ilişkiyi yönetmenin yolu yoktur. Sözleşmede aranacaklar:

• İşlemenin konusu, süresi ve amacı
• Alt işleyen (hosting, e-posta, yapay zekâ sağlayıcısı) listesi ve değişiklik bildirimi
• İhlal bildirim süresi — KVKK’da Kurul’a bildirim için 72 saat esas alınır, sağlayıcının size bildirimi bundan kısa olmalıdır
• Sözleşme sonunda verinin iadesi veya imhası

3. Veri nerede tutuluyor?

Yurt dışına aktarım KVKK m.9 kapsamında ayrı bir rejime tabidir ve 2024 değişikliğiyle standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi mekanizmalara bağlanmıştır. Sağlayıcının barındırma konumunu ve — varsa — hangi aktarım mekanizmasına dayandığını yazılı olarak alın.

Yapay zekâ özelliği kullanılıyorsa bu soru ikiye katlanır: seans metni bir model sağlayıcısına gidiyorsa, bu da bir aktarımdır.

4. Yapay zekâ işlemesi ayrıca aydınlatılıyor mu?

Seans kaydının yazıya dökülmesi, danışan açısından ayrı ve ek bir işleme faaliyetidir. Genel aydınlatma metnine gömülmüş bir cümle bunu karşılamaz; kaydın alınacağı, ne amaçla işleneceği ve reddedebileceği danışana ayrıca açıklanmalıdır.

İyi tasarlanmış bir üründe bu, metinsel bir vaat değil teknik bir kısıttır: rıza kaydı yoksa işlem hiç başlamaz. psisula’da ses kaydından not taslağı üretimi, rıza kaydı olmadan sağlayıcıya hiç gitmez — talep uygulama katmanında reddedilir.

5. Silme ve dışa aktarım gerçekten çalışıyor mu?

KVKK m.11 ilgili kişiye silme ve bilgi talep etme hakkı verir; siz de veri sorumlusu olarak bu talebi karşılamak zorundasınız. Sağlayıcının bunu bir destek talebi olarak değil, işleyen bir özellik olarak sunması gerekir.

Sorulacaklar: Silme talebi kaç adımda tamamlanıyor? Yedeklerden ne zaman düşüyor? Dışa aktarım hangi formatta ve okunabilir mi?

6. Erişim kaydı tutuluyor mu?

Klinik veride “kim, neyi, ne zaman gördü” sorusunun cevabı olmalıdır. Çok terapistli bir klinikte bu sadece uyum meselesi değil, ekip içi güven meselesidir. Erişim ve değişiklik kaydı tutulmuyorsa, bir sorunun ardından geriye dönüp bakabileceğiniz bir yer yok demektir.

---

Bu sorulara verilen cevaplar, sağlayıcının pazarlama metnindeki uyum iddiasından daha bilgilendiricidir. “%100 KVKK uyumlu” gibi ifadeler bir güvence değildir — uyum bir ürün özelliği değil, ürünle sizin aranızdaki sözleşmenin ve sizin işleyişinizin ortak sonucudur.

Kendi metinlerimiz Güvenlik sayfasında ve yasal metinler bölümünde yayımlanır. Metinlerin bir kısmı hâlen hukuki inceleme aşamasındadır ve bu, ilgili sayfalarda açıkça belirtilir.