E-posta imzası ve KVKK: nelere dikkat etmeli?
Kurumsal e-posta imzası çalışanın adı, unvanı, telefonu ve çoğu zaman fotoğrafı gibi kişisel veriler içerir; bu yüzden 6698 sayılı KVKK kapsamında düşünülmelidir. İmza aracı seçerken e-posta içeriğinin kuruluşunuzun dışına çıkıp çıkmadığını, verilerin nerede saklandığını, hangi profil alanlarının kullanıldığını ve verilerin silinip silinemediğini sorun.
Kısa cevap: evet, e-posta imzası kişisel veri içerir. Çalışanın adı, unvanı, telefon numarası ve fotoğrafı, kimliği belirli bir kişiye ait bilgilerdir. Bu yüzden imzaları merkezden yönetirken 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) temel ilkelerini göz önünde bulundurmak ve kullandığınız aracın verileri nasıl işlediğini bilmek gerekir.
Bu yazı genel bilgi amaçlıdır, hukuki danışmanlık değildir; şirketinize özel değerlendirme için bir KVKK uzmanına danışın.
E-posta imzasında hangi kişisel veriler var?
Tipik bir kurumsal imzada şunlar bulunur:
- ad soyad ve unvan;
- departman ve ofis adresi;
- iş telefonu ve cep telefonu;
- e-posta adresi;
- çoğu zaman bir profil fotoğrafı, bazen bir QR kod ya da kartvizit (vCard) bilgisi.
Bu bilgiler genellikle kurumun kullanıcı dizininden, Microsoft 365 kullanan şirketlerde kişinin Microsoft 365 profilinden gelir. İmza her giden e-postayla birlikte alıcılara da ulaşır.
KVKK açısından temel noktalar
KVKK'nın e-posta imzası için öne çıkan ilkeleri sade bir dille şöyle özetlenebilir:
- Hukuki dayanak: Kişisel veriyi işlemek için kanunda sayılan şartlardan birine dayanmanız gerekir. Çalışan bilgilerinin iş yazışmalarında kullanılması çoğu şirkette iş ilişkisinin doğal bir parçasıdır, ancak dayanağı şirketinizin kendisi belirlemelidir.
- Aydınlatma: Çalışanlar, bilgilerinin imzada ve imza aracında nasıl kullanıldığını bilmelidir. Bu genellikle şirketin çalışan aydınlatma metninde yer alır.
- Ölçülülük (veri minimizasyonu): İmzada yalnızca gerekli bilgileri gösterin. Örneğin her imzada cep telefonu ya da fotoğraf gerekmeyebilir; kurum içi yazışmalarda daha kısa bir imza yeterli olabilir.
- Yurt dışına aktarım: İmza aracı verileri Türkiye dışında saklıyorsa, bu aktarımın kanundaki şartlara uygun olup olmadığını değerlendirmeniz gerekir. Bu, her sağlayıcıya ayrıca sormanız gereken bir konudur.
- Silme ve saklama süresi: Bir çalışan ayrıldığında ya da araçtan vazgeçtiğinizde verilerin nasıl silineceği net olmalıdır.
İmza aracı seçerken sorulacak sorular
Bir e-posta imza aracını değerlendirirken sağlayıcıya şu soruları sorun:
- E-posta içerikleri aracın sunucularından geçiyor mu? Bazı yaklaşımlar e-postaları imza eklemek için kendi sunucularından geçirir. İçeriğin kuruluşunuzun dışına hiç çıkmaması, işlenen veri miktarını baştan azaltır.
- Veriler nerede saklanıyor? Hangi ülkede ya da bölgede, hangi bulut altyapısında?
- Hangi profil alanları kullanılıyor? Araç yalnızca imzada görünen alanları mı okuyor, yoksa daha fazlasını mı?
- Veriler silinebiliyor mu? Tüm şirket verilerini tek adımda silebiliyor musunuz, yedekler ne kadar sonra kalkıyor?
- Yönetici işlemleri kayıt altına alınıyor mu? Kimin hangi imzayı ne zaman değiştirdiğini görebiliyor musunuz?
Mailtiv'in yaklaşımı
Mailtiv, bu sorulara KVKK'ya uygun bir yaklaşımla yanıt verecek şekilde tasarlanmıştır:
- E-posta içerikleri okunmaz, kaydedilmez, saklanmaz. İmza Outlook'un içinde eklenir; e-postalarınız hiçbir zaman Mailtiv'den geçmez.
- Yalnızca imza için gereken profil alanları kullanılır: ad, unvan, departman, telefon numaraları, ofis adresi, fotoğraf ve benzerleri. Bu bilgiler yalnızca o kişinin kendi e-postalarında gösterilir.
- Veriler Microsoft Azure'da, Avrupa'da (Kuzey Avrupa bölgesi) saklanır. Saklananlar imza şablonları, kampanyalar, şirket varlıkları (logo, bağlantılar, adres, sorumluluk reddi), şirket ayarları ve yönetici değişikliklerinin etkinlik kaydıdır. Etkinlik kaydı 12 ay tutulur.
- Tüm şirket verileri portaldan silinebilir. Ayarlar → Tüm şirket verilerini sil ile imzalar, kampanyalar, şirket varlıkları, ayarlar ve etkinlik kaydı hemen silinir; yedekler 8 gün içinde kendiliğinden kalkar.
Ayrıntılar için Mailtiv nasıl çalışır sayfasındaki "Veri ve gizlilik" bölümüne bakın. Sitemizdeki KVKK Aydınlatma Metni mailtiv.com ziyaretçilerine yöneliktir; ürünün kendisini kapsamaz.
Sık sorulan sorular
E-posta imzası kişisel veri sayılır mı?
Evet. İmzadaki ad, unvan, telefon ve fotoğraf belirli bir kişiye ait bilgilerdir ve KVKK kapsamında kişisel veridir.
İmza aracı e-postalarımızı okuyor mu?
Araçtan araca değişir; bazı yaklaşımlar e-postaları imza eklemek için kendi sunucularından geçirir. Mailtiv'de imza Outlook'un içinde eklenir; e-posta içerikleri okunmaz, kaydedilmez ve saklanmaz.
Mailtiv verileri nerede saklıyor?
Microsoft Azure'da, Avrupa'daki Kuzey Avrupa bölgesinde. Yurt dışına aktarım açısından değerlendirmenizi şirketinizin KVKK danışmanıyla yapmanızı öneririz.
Mailtiv'i bırakırsak verilerimiz ne olur?
Portalda Ayarlar → Tüm şirket verilerini sil ile verilerinizi silebilirsiniz. Ardından eklentiyi Microsoft 365 yönetim merkezinden kaldırır, Mailtiv'in erişimini Microsoft Entra yönetim merkezinden silersiniz.
Mailtiv'i görmek ister misiniz?
Kısa bir demo planlayın ya da portala giriş yapın.