Bir belgeyi imzalamak için tarayıcıda bir sekme açıyorsunuz, dosyayı sürüklüyorsunuz, birkaç saniye sonra imzalı hali iniyor. İşlem toplam kırk saniye sürüyor ve arada sorulmayan tek soru şu: bu dosya tam olarak nereye gitti.
Çoğu kullanıcı için cevabın önemi yok, çünkü belge bir kargo formu. Ancak aynı kırk saniyelik alışkanlıkla kimlik fotokopisi, kira sözleşmesi, maaş bordrosu ya da sağlık raporu da yükleniyor. İçerik değiştiğinde sorunun ağırlığı da değişiyor.
İki farklı mimari, aynı arayüz
Tarayıcı tabanlı belge araçları dışarıdan birbirinin aynısı görünür, ancak arka planda iki temelde farklı yaklaşım vardır.
Birincisinde işlem tamamen cihazınızda yapılır. Dosya tarayıcının belleğine yüklenir, JavaScript ile işlenir ve hiçbir zaman ağa çıkmaz. Bu yöntem imza yerleştirme, sayfa silme, döndürme gibi görece basit işlemler için yeterlidir.
İkincisinde dosya sunucuya gider, orada işlenir ve sonuç size geri gönderilir. OCR, biçim dönüştürme, büyük dosya sıkıştırma ve sertifika tabanlı imzalama genelde bu şekilde çalışır, çünkü işlem gücü tarayıcının sağlayabileceğinin ötesindedir.
Arayüz size hangisinin kullanıldığını söylemez. Söyleyen tek şey gizlilik politikasıdır ve onu da kimse okumaz.
Otuz saniyelik test
Hangi mimariyle karşı karşıya olduğunuzu anlamanın pratik bir yolu var: cihazı uçak moduna alın ve aracı tekrar deneyin.
Çalışıyorsa işlem yereldir. Çalışmıyorsa dosyanız bir sunucuya gidiyor demektir. Bu ikinci durum kendi başına bir sorun değildir, hizmetlerin çoğu böyle çalışır ve ciddi olanlar bunu açıkça yazar. Fakat bilerek kullanmak ile farkında olmadan kullanmak arasında fark vardır.
Saklama süresi, silme ve gerçekten ne kalıyor
Sunucuya giden bir dosya işlem bittikten sonra ne kadar orada kalır? Bu, gizlilik politikasında aranması gereken tek cümledir ve genelde saatlerle ölçülür.
Tarayıcı üzerinden çalışan bir pdf imza ekleme aracı kullanıyorsanız, işlem bittikten sonra dosyayı hizmetin sunucusundan elle silme seçeneği çoğu zaman vardır ve neredeyse hiç kullanılmaz. Otomatik silme süresini beklemek yerine düğmeye basmak, belgede kimlik numarası ya da finansal bilgi varsa anlamlı bir alışkanlıktır.
İkinci bir nokta: silme her zaman tek katmanlı değildir. Sunucudaki çalışma kopyası, yedek, önbellek ve varsa altyapı sağlayıcısındaki kopya farklı sürelerle yaşayabilir. Bunu bilmek paranoya değil, hangi belgeyi yükleyeceğinize karar verirken kullanacağınız bir bilgi.
Belgenin içinde göründüğünden fazlası var
PDF yalnızca gördüğünüz sayfalardan ibaret değildir. Dosya; oluşturulma tarihi, kullanılan yazılım, bazen yazarın kullanıcı adı ve düzenleme geçmişi gibi üstveriler taşır.
Word'den PDF'e dönüştürülmüş belgelerde yorum ve değişiklik izleri kalabilir. Üstü siyah dikdörtgenle kapatılmış bir metin, o dikdörtgen yalnızca çizim katmanıysa altındaki yazıyı hâlâ içerir ve kopyalanabilir.
Karartma işleminin doğru yolu metni gerçekten kaldıran redaksiyon aracını kullanmaktır. Görsel olarak ikisi aynı görünür, içerik açısından tamamen farklıdır.
Kanun ne diyor: veri sorumlusunun yükümlülüğü
Buradaki hukuki çerçeveyi 6698 sayılı Kişisel Verilerin Korunması Kanunu çizer. Kanun 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanmış olup, uygulamasını Kişisel Verileri Koruma Kurumu yürütür.
Kanunun 12. maddesi veri sorumlusuna üç yükümlülük getirir: kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak. Bunun için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorunludur. Aynı madde, verilerin başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde bu tedbirlerin alınmasından müştereken sorumlu olunacağını söyler.
Kanunun 3. maddesindeki açık rıza tanımı da önemlidir: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. Yani rıza, ne yapıldığının anlaşılmasını gerektirir.
Bunun günlük karşılığı şudur: kendi belgenizi kendi rızanızla yüklüyorsanız durum farklıdır, ancak bir çalışanın, müşterinin ya da hastanın belgesini bir hizmete yüklüyorsanız veri sorumlusu sıfatıyla hareket ediyor olabilirsiniz. Bu yazı genel bilgi amaçlıdır, hukuki danışmanlık değildir; kurumsal bir süreç kuruyorsanız konuyu bir hukukçuyla değerlendirmek gerekir.
Kurumsal ve bireysel sürümler arasındaki fark
Aynı markanın ücretsiz çevrimiçi aracı ile kurumsal aboneliği çoğu zaman farklı veri işleme koşullarına tabidir ve bu, gizlilik politikasında ayrı bölümler halinde yazılır.
Ücretsiz katmanlarda dosyalar genellikle daha kısa süre saklanır ancak hizmet şartları daha geneldir. Kurumsal planlarda ise veri işleme sözleşmesi, saklama bölgesi tercihi ve yönetici tarafından belirlenen silme politikaları devreye girer.
Bir kurumda kullanılacak aracı seçerken bakılması gereken yer ürün sayfası değil, sözleşme ekleridir. Ürün sayfası yeteneği anlatır, sözleşme eki sorumluluğu belirler.
Başkasının belgesi sizin belgeniz değildir
Bireysel kullanımda risk sizindir ve tercihi siz yaparsınız. Kurumsal kullanımda risk başkasınındır ve tercih genelde hiç yapılmaz.
İnsan kaynakları biriminde çalışan biri bir özgeçmişi, muhasebede çalışan biri bir bordroyu, bir klinik çalışanı bir raporu kişisel alışkanlığıyla rastgele bir çevrimiçi araca yüklediğinde, kurumun hiç değerlendirmediği bir işleme faaliyeti başlamış olur.
Bu, aracı yasaklamak anlamına gelmez. Hangi araçların onaylı olduğunu bir kez belirlemek ve yazılı hale getirmek anlamına gelir.
Paylaşım bağlantısı da bir karar
Belge imzalandıktan sonra çoğu kişi onu e-postayla ya da mesajlaşma uygulamasıyla gönderir. Bazı araçlar ise bunun yerine bir paylaşım bağlantısı üretir.
Bağlantı pratiktir ve bir riski vardır: bağlantıyı bilen herkes belgeye erişebilir. Süre sınırı ya da parola koymadan üretilen bir bağlantı, iletildiği sohbetin ne kadar yaşadığına bağlı olarak aylarca açık kalabilir.
Belge hassassa dosyayı doğrudan göndermek, bağlantı üretmekten daha kontrollüdür. Bağlantı kullanılacaksa da geçerlilik süresini kısaltmak birkaç saniyelik bir ayardır.
Yüklemeden önce dört kontrol
Uçak modu testini bir kez yapın, aracın yerel mi uzak mı çalıştığını öğrenin.
Gizlilik politikasında yalnızca iki şeyi arayın: saklama süresi ve dosyaların model eğitiminde kullanılıp kullanılmadığı.
Belgede işleme gereksiz alanları önceden karartın; imzalamak için kart numarasının görünmesi gerekmez.
İşlem bitince varsa silme düğmesini kullanın, otomatik süreyi beklemeyin.
Alışkanlığı belgeye göre ayarlamak
Kırk saniyelik işlem alışkanlığı kötü bir şey değil, aksine iş görüyor. Sorun, aynı alışkanlığın kargo formuna da sağlık raporuna da uygulanması.
Belgeyi yüklemeden önce tek bir soru yeterli: bu dosya elime yabancı birinin geçmesi durumunda ne olur. Cevap "hiçbir şey" ise devam edin. Cevap düşünmenizi gerektiriyorsa, aynı işlemi yerel çalışan bir araçla yapmak ya da belgeyi önce sadeleştirmek birkaç dakikanızı alır ve sonradan telafisi olmayan bir şeyi önler.