Sağlık
Sağlık kuruluşları için KVKK odaklı kurumsal e-posta
Randevu teyidinden tetkik ekine kadar bir kliniğin kutusundan geçen her şey kişisel veridir. AkıllıPosta bu yazışmayı Türkiye’de işler; giden postayı kendi alan adınızdan gönderirsiniz.
Bir muayenehanede de çok birimli bir hastanede de posta kutusu, hasta kabulü ile laboratuvar arasındaki asıl kanaldır. Sekreter randevuyu teyit eder, hasta sonucunu ekler, hekim sevk yazısını iletir. Bu akış durmaz, durdurulması da doğru olmaz. Sorulacak soru şu: bu kayıt kimin sunucusunda duruyor?
Gelen kutusunda kişisel veri
Hasta bilgisi kutuya girdiği anda sorumluluk başlar
Gelen posta süzülür, kalan yazışma değişmez biçimde saklanır.
Sahte randevu postası kapıda kalır
Kliniğe gelen oltalama denemesi çoğu zaman tanıdık bir kılıkta gelir — laboratuvar sonucu bildirimi ya da kurum yazısı görüntüsünde. Gelen her posta, gönderen itibarına ve içerik davranışına bakan modellerden geçer. Eşiği aşan posta karantinada tutulur ve hasta kabuldeki bilgisayara hiç inmez. Sınırda kalan, yani şüpheli görünen ama emin olunamayan posta silinmez; Önemsiz klasörüne işaretli olarak düşer ve orada bekler. Karantinayı panelden siz de gözden geçirir, yanlış durdurulmuş bir hasta yazısını oradan serbest bırakırsınız.
Yazışma sonradan değişmez
Arşiv özelliği açık planlarda bir yazışma arşive düştüğü anda mühürlenir: içeriği de tarihi de sonradan sessizce düzeltilemez, düzeltme denemesi kaydın kendisinde iz bırakır. Bir sevk yazısının hangi gün hangi içerikle gönderildiği yıllar sonra da aynı yerden okunur. Klinikte bunun karşılığı basit — hasta dosyasının e-posta tarafı da hafızası olan bir yerde durur.
Özel nitelikli veri
Sağlık verisi KVKK’da ayrı bir sınıfta durur
Kişisel veri kategorileri KVKK’da eşit ağırlıkta değildir. Sağlık verisi, kanunun “özel nitelikli” saydığı gruba girer ve işlenmesi için kural açık rızadır. Kanun bu kuralın dışında kalan bazı hâller de tanımlar — koruyucu hekimlik, teşhis, tedavi ve bakım hizmetlerini yürüten, sır saklama yükümlülüğü altındaki kişilerce yapılan işleme bunlardan biri. Hangi hâlin kliniğinizin hangi süreci için geçerli olduğuna hukuk danışmanınız karar verir; biz bu kararı vermeyiz, teknik tarafı üstleniriz.
Teknik taraf şu: kutuya düşen tetkik sonucu ya da sevk yazısı Türkiye’deki sunucuda kalır, arşive düştüğü andan sonra sessizce değişmez, erişimi kutu sahibiyle ve yetkilendirdiği kişilerle sınırlıdır. Sağlık Bakanlığı’nın SBYS ya da e-Nabız gibi sistemlerine bağlanan bir entegrasyonumuz yok — bunu vaat etmiyoruz. Vaat ettiğimiz, kutudan geçen yazışmanın nerede durduğunu ve kime göründüğünü gösterebilmemiz.
Kliniklerin ilk sorduğu şeyler
Sık sorulanlar
- Hasta verileri hangi ülkede saklanıyor?
- Türkiye’de. Bunu bir slogan olarak değil, sözleşme maddesi olarak veriyoruz: metnin imzalanan hâlinde işlemenin nerede yapıldığı açıkça yazılı. Kliniğin yazışması bu sınırın dışına taşınmıyor.
- Tetkik sonucu gibi özel nitelikli veriyi e-postayla göndermeli miyiz?
- Mümkün olduğunca kendi klinik sisteminizde tutun; e-posta bu kategori için ilk tercih olmamalı. Pratikte tetkik ekleri ve randevu yazışmaları yine de kutudan geçiyor. O zaman iki şey belirleyici olur: verinin barındığı yer ve yazışmanın sonradan değiştirilip değiştirilemeyeceği.
- E-postalar uçtan uca şifreli mi?
- Değil; içerik sunucuda okunabilir kalır. Şifrelemenin hangi adımda devrede olduğunu ve uçtan uca şifrelemeyi neden sunmadığımızı Güvenlik ve KVKK sayfasında yazdık. Uçtan uca şifrelemeye ihtiyaç duyduğunuz belgeleri klinik sisteminizden paylaşmak daha doğru olur.
- KVKK denetiminde hangi belgeleri gösteririz?
- Veri işleme sözleşmesini imzadan önce okur, hangi işlemi hangi sıfatla yaptığımızı orada görürsünüz. Bir yazışmanın değişmediğini göstermeniz gerekirse arşiv kaydının yanındaki bütünlük kanıtını panelden indirirsiniz; kanıt, kaydı SHA-256 ile bir öncekine bağlayan ve Ed25519 ile imzalayan zincirden üretilir. Denetimde gösterilen belgelerin geri kalanı, örneğin envanteriniz ve aydınlatma metniniz, kurumunuzun kendi metinleridir.
- Klinik e-posta geçişi hasta akışını durdurur mu?
- Durdurmaz. Devreye alma saatini siz seçersiniz; çoğu klinik poliklinik kapandıktan sonrasını tercih ediyor. Kopyalama sürerken eski sisteminiz açık kaldığı için o aralıkta gelen hasta yazısı boşlukta kalmaz. Kurumsal planda taşımayı baştan sona ekibimiz yürütür.
- Hekimler kurumsal e-postaya telefondan bağlanabilir mi?
- Evet. Panel ve web posta tarayıcıdan açılır, telefonun posta uygulamasına da aynı hesabı IMAP olarak kurarsınız; kurulum değerleri panelde Posta Ayarları başlığında hazır durur. Bir cihaz kaybolursa o kutunun parolasını panelden anında değiştirirsiniz.
- Bir hekim ya da personel kurumdan ayrıldığında hasta yazışmasına erişim nasıl kapanır?
- Kutuyu panelden hemen kapatır ya da başka bir personele devredersiniz; parola sıfırlama ve oturumu tüm cihazlardan kapatma aynı ekrandan yapılır. Ayrılan kişinin telefonunda kalan posta uygulaması, parola değiştikten sonra kutuya artık bağlanamaz. Devam eden hasta yazışmalarının sorumluluğunu kime devredeceğiniz klinik yönetiminin kararıdır; biz yalnız erişimi kapatma aracını veririz.
Mobil erişim
Vizit arasında da aynı kutu
Aynı hesap panelde, web postada ve telefonda açılır; kurallar her üçünde de aynı kalır.
Vizit arasında gelen sonuç bildirimini telefondan görür, sekreterin ilettiği randevu değişikliğini oradan yanıtlarsınız. Öncelikli gelen kutusu küçük ekranda daha da işe yarar: elinize aldığınız telefonda önce cevap bekleyen yazışma görünür.
Telefon kaybolabilir, parola başka bir sitede sızmış olabilir. Bir kutuda olağandışı oturum davranışı görülürse alan adı yöneticisine hesap ele geçirme uyarısı düşer; uyarı İş planından itibaren gelir. Klinikte bunun karşılığı somuttur, çünkü aynı kutuda randevu listesi de sevk yazısı da durur.
Şubeler ve poliklinikler tek panelde toplanır; her birim için ayrı hesap açmak gerekmez. Kutu ve yetki işlerini aynı ekrandan yürütürsünüz.
Veri Türkiye’de işlenir, Türkiye’de kalır
Bir hastanın tetkik sonucu kliniğinizin kutusuna düştüğü anda özel nitelikli veri işlemeye başlarsınız. Bu kaydın işlendiği ve saklandığı yer Türkiye: kutu da yedeği de buradaki veri merkezlerinde durur, içerik yurt dışına aktarılmaz. Taahhüdün yazılı hâli aydınlatma metninde ve veri işleme sözleşmesinde, imzadan önce okunacak yerde duruyor.
KVKK sıfatları da net: kurum veri sorumlusu, biz veri işleyeniz. Hangi işlemi nerede yaptığımızı yazılı veririz.
KVKK belgeleri
İmzadan önce okunabilir
Kliniğin hasta hakları ya da hukuk tarafına bakan kişi genelde iki şeyi sorar: neyi hangi sıfatla işliyoruz ve veriye kim erişebiliyor. Birincisinin cevabı veri işleme sözleşmesinde, ikincisininki şifrelemenin nerede devrede olduğunu ve saklama sürelerinin nasıl işlediğini anlatan Güvenlik ve KVKK sayfasında. İkisi de imzadan önce okunacak hâlde yayında; eksik gördüğünüz bir kalem olursa yazın, cevabını yazılı veririz.
Kliniğinizin kutusunu taşımaya hazırız
Ödeme sonrası kutularınız açılır; postanın akmaya başlaması, MX kaydını çevirdikten sonra alan adınızın yayılma süresine bağlıdır.
İlgili rehberler
KVKK ve e-posta üzerine rehberler
Veri lokasyonu, KVKK yükümlülükleri ve hesap güvenliği üzerine yazdıklarımız.
- KVKK ve e-posta uyumuHasta yazışmasının KVKK metinlerinde hangi maddeye dokunduğunun haritası.
- KVKK uyumlu e-posta: veri Türkiye’de mi?Sağlayıcınızın kutuyu gerçekten nerede tuttuğunu doğrulama yöntemi.
- Şirket e-postası ele geçirildi: ne yapmalı?Ele geçirilen bir kutunun ilk saatinde atılacak adımlar.