"KVKK uyumlu aday takip sistemi hangileri?" sorusunun karşılığı bir marka listesi değil — ve size bir liste veren herkese şüpheyle bakın. Sebep basit: uyumluluk yazılımın değil, kurulumun özelliğidir.
Kanun karşısında veri sorumlusu sizsiniz. Kullandığınız yazılım veri işleyendir. Yani en iyi araçla bile uyumsuz, sıradan bir araçla bile uyumlu olabilirsiniz; belirleyen, aracı nasıl yapılandırdığınız ve sağlayıcıyla aranızdaki sözleşmedir. Sertifika satın alınan bir şey değil.
Buna rağmen yazılım seçimi kararı ciddi biçimde etkiliyor. Bazı ürünler uyumlu olmayı kolaylaştırıyor, bazıları neredeyse imkânsız kılıyor. Aşağıda önce seçenek kümeleri, sonra hangisi olursa olsun sormanız gereken sorular var.
Seçenekler üç kümede toplanıyor
Marka marka "şu uyumlu, bu değil" demek yerine kümelere bakmak daha doğru, çünkü küme sizin için farklı olan şeyi belirliyor: verinin nerede durduğunu ve aktarımın hangi mekanizmaya dayandığını.
Küme 1 — Türkiye merkezli çözümler
Hiroo, SorsX, Peoplise, IKAI HR, HrPanda, Kolay İK, Logo gibi ürünler. Bir kısmı saf işe alım yazılımı, bir kısmı daha geniş İK paketinin modülü.
Uyumluluk açısından kolaylaştırdığı: Şirket Türkiye'de kurulu olduğunda veri sorumlusu–veri işleyen ilişkisi Türk hukuku altında kuruluyor; sözleşme, muhatap ve uyuşmazlık tarafı yerelde kalıyor. Verinin yurt içinde tutulduğu durumlarda yurt dışına aktarım maddesi hiç devreye girmiyor.
Yine de doğrulayın: Türkiye'de kurulu olmak verinin Türkiye'de tutulduğu anlamına gelmiyor. Pek çok yerli ürün altyapıyı yurt dışı bulut sağlayıcılarından alıyor ve yapay zekâ özellikleri için yurt dışındaki dil modellerine veri gönderiyor. Bu ikisi de aktarımdır. Sorun, cevabı yazılı alın.
Küme 2 — Global ATS'ler
Workable, Greenhouse, SmartRecruiters, Teamtailor, Manatal, Ashby gibi ürünler.
Uyumluluk açısından kolaylaştırdığı: Çoğu GDPR için olgun altyapı kurmuş durumda — saklama süresi tanımlama, veri konusu talebi karşılama, silme akışları, denetim kaydı. Bunlar KVKK'nın istediklerinin önemli bir kısmıyla örtüşüyor.
Yine de doğrulayın: GDPR uyumu KVKK uyumu demek değil. İki metin akraba ama aynı değil ve en belirgin ayrıldıkları yer tam olarak sizi ilgilendiren yer: yurt dışına aktarım. Verinin yurt dışında işlendiği bir kurulumda aktarımın hangi mekanizmaya dayandığını (açık rıza mı, taahhütname mi, yeterlilik kararı mı) belgelemek zorundasınız. Sağlayıcının standart sözleşmesi bunu sizin yerinize halletmez.
Küme 3 — Yapay zekâ odaklı yeni nesil araçlar
Otomatik CV eleme, puanlama ve ön mülakat tarafına yoğunlaşan ürünler — Jobbar.AI dahil.
Uyumluluk açısından ek gündem: Burada iki konu daha var. Birincisi, CV metni bir dil modeline gidiyorsa bu bir aktarımdır ve hangi sağlayıcıya gittiği sorulmalıdır. İkincisi, tamamen otomatik kararlar özel dikkat gerektirir: elenen adayın itiraz edebilmesi ve sürece bir insanın dahil olabilmesi beklenir.
Bunlar "yapay zekâ kullanmayın" anlamına gelmiyor. Puanlamanın neye baktığını açıklayabilmeniz ve elemenin insan onayına açık olması anlamına geliyor.
Küme fark etmeksizin sorulacak yedi soru
Bu yedi sorunun cevabı bir demoda on dakikada alınır ve "KVKK uyumluyuz" cümlesinden kıyaslanamayacak kadar bilgilendiricidir. Cevapları yazılı isteyin.
- Veri fiziksel olarak nerede tutuluyor? Ülke ve sağlayıcı adı. "Bulutta" bir cevap değil.
- Alt işleyenler kimler? Yapay zekâ özellikleri hangi modeli, hangi sağlayıcıdan kullanıyor?
- Saklama süresi tanımlanabiliyor mu ve süre dolduğunda sistem otomatik bir işlem yapıyor mu?
- Silme gerçekten siliyor mu, yoksa kaydı pasife mi alıyor? Yedeklerden ne oluyor?
- Bir adayın tüm verisi tek yerden görülüp dışa aktarılabiliyor mu? (Erişim ve taşınabilirlik talepleri bunsuz karşılanamaz.)
- Rıza kaydı tutuluyor mu — kimin, ne zaman, neye rıza verdiği ve geri çekme kaydı?
- Erişim kaydı ve rol bazlı yetki var mı — kimin hangi adayın verisini görüntülediği?
Yazılımın çözemeyeceği üç şey
Doğru aracı seçmek işin yarısı. Diğer yarısı sizde ve hiçbir ürün sizin yerinize yapamaz:
Aydınlatma metni. Adaya, veriyi kimin hangi amaçla ne kadar süre işlediğini başvuru anında bildirmek zorundasınız. Başvuru formunda görünür olmalı, kayıtlı olmalı.
VERBİS kaydı. Kayıt yükümlülüğü kapsamındaysanız veri kategorilerinizi ve saklama sürelerinizi burada beyan etmişsinizdir. Sistemdeki gerçek durumun beyanla uyuşması gerekir — politikada 2 yıl yazıp sistemde 6 yıllık CV tutmak, politikası olmamaktan kötüdür.
Veri işleme sözleşmesi. Sağlayıcıyla aranızda yazılı olmalı; veri lokasyonunu, alt işleyenleri ve ihlal bildirim süresini içermeli.
Kısa cevap
Sorunun kısa cevabı şu: KVKK uyumlu ATS diye bir ürün kategorisi yok; KVKK uyumlu kurulum var. Seçim yaparken bakılacak şey markanın kendi hakkındaki iddiası değil, yukarıdaki yedi sorunun yazılı cevabı.
Bu yazı hukuki danışmanlık değil. KVKK'nın kendi metni ve Kurul kararları kvkk.gov.tr üzerinde yayımlanıyor; tereddütlü durumlarda hukuk danışmanınıza sorun.
Dayanaklar, saklama süreleri ve adayın hakları konusunda daha ayrıntılı bir anlatım için KVKK uyumlu işe alım yazısına, Jobbar.AI'nin kendi veri işleme yaklaşımı ve alt işleyen listesi için aydınlatma metnimize bakabilirsiniz.