Neden bu kadar önemli?
Bir optik mağazasında her gün özel nitelikli kişisel veri işlenir. 6698 sayılı Kişisel Verilerin Korunması Kanunu sağlık verisini özel nitelikli kişisel veri sayar (md. 6); reçete ve göz değerleri bu kapsamdadır.
Kimlik bilgisi de günlük işin parçasıdır:
- ÜTS'de kimlikli tüketiciye verme bildiriminde müşterinin adı soyadı ile kimlik türü ve bilgisi (TCKN, yabancı kimlik numarası, pasaport veya YUPASS) girilir.
- SGK reçeteli işte malzemeyi teslim alanın TCKN'si kimlikten kontrol edilerek Medula'ya girilir.
- Reçete kayıt defterinde hastaya ve reçeteye ilişkin bilgiler tutulur.
Bu kayıtların saklama süreleri de uzundur: reçete kayıt defteri 5 yıl (Optisyenlik Müesseseleri Hakkında Yönetmelik md. 22), SGK'li hastaya ilişkin bilgi ve belgeler en az 10 yıl (2027 yılı SGK sözleşmesi md. 2.2.5) saklanır. Yıllarca tutulacak sağlık verisinin kimlerin erişimine açık olduğu, nasıl yedeklendiği ve nasıl silineceği bu yüzden önemli sorulardır.
Elektronik kayıtta yönetmeliğin aradığı şartlar
Optisyenlik Müesseseleri Hakkında Yönetmelik, reçete kayıtlarının elektronik ortamda tutulabilmesi için bazı şartlar arar (md. 19): kayıtların değişiklik ve silmeye karşı idari ve teknik tedbirlerle korunması, gizliliğin sağlanması, düzenli ve güvenli yedekleme ve ekrandaki veri ile eski çıktıların tutarlı olması. Bu şartlar yalnızca reçete defteri için değil, sağlık verisi tutan her kayıt düzeni için iyi bir ölçüttür.
TİTCK'nın 21.09.2026 tarihli görüşüne göre ise Kurum onaylı sistemler kullanılmadığı sürece fiziki reçete defteri tutma zorunluluğu devam eder. Ayrıntılar reçete kayıt defteri sayfamızda.
Kullanıcı bilgileri ve şifreler
ÜTS ve Medula Optik'e firmanız adına erişim sağlayan kullanıcı bilgileri, firmanızın resmî sistemlerdeki kimliğidir. Bu bilgilere sahip olan biri firmanız adına işlem yapabilir. Genel iyi uygulamalar şunlardır:
- Kullanıcı adı ve şifreleri e-posta, mesajlaşma uygulaması ya da ortak klasörlerde açık metin olarak tutmayın.
- Destek alırken şifrenin göründüğü ekranların görüntüsünü paylaşmayın.
- Bu bilgilere erişimi olan bir çalışan ayrıldığında şifreleri değiştirin.
- Ortak kullanıcı yerine kişiye özel kullanıcılar tanımlayın; hatalı bir işlemin kim tarafından yapıldığını bulmak kolaylaşır.
Medula şifresinin yeniden verilmesi için kuruma başvurulur ve 2027 yılı SGK sözleşmesine göre 650 TL bedel alınır (md. 2.2.8).
Üç ISO sertifikası pratikte ne anlama gelir?
DataStil ISO/IEC 27001, ISO/IEC 27701 ve ISO/IEC 20000-1 sertifikalıdır. Bu standartlar belirli bir teknolojiyi değil, bağımsız denetimlerle doğrulanan yönetim sistemlerini tanımlar.
ISO/IEC 27001: Bilgi güvenliği
27001, bilgi güvenliği risklerinin sistematik olarak belirlenmesini, bu risklere karşı kontroller seçilmesini ve sistemin düzenli olarak gözden geçirilmesini ister. Erişim yetkileri, olay yönetimi, tedarikçi ilişkileri ve iş sürekliliği gibi konuların tanımlı kurallara bağlanması bu yaklaşımın parçasıdır.
ISO/IEC 27701: Kişisel veri yönetimi
27701, 27001'i kişisel verilerin korunması yönünden genişletir. Kişisel verilerin hangi amaçla işlendiği, kimlerin erişebildiği, ne kadar saklandığı ve ilgili kişilerin taleplerinin nasıl karşılandığı gibi konuları kapsar.
ISO/IEC 20000-1: BT hizmet yönetimi
20000-1, bir BT hizmetinin planlı ve ölçülebilir biçimde sunulmasıyla ilgilidir. Destek taleplerinin kayda alınıp çözülmesi, değişikliklerin kontrollü yapılması ve hizmet seviyelerinin izlenmesi bu standardın temel başlıklarıdır.
Sertifikaların kapsamı ve geçerlilik tarihleri talep edildiğinde paylaşılır.
KVKK'ya yaklaşımımız
6698 sayılı Kanun, kişisel verilerin hukuka uygun, belirli amaçlarla sınırlı ve ölçülü işlenmesini öngörür. Yaklaşımımız, yalnızca gerekli veriyi istemek ve onu belirtilen amaçla kullanmaktır.
Yazılım hizmetlerinde genellikle hizmeti alan işletme, işlediği müşteri ve çalışan verileri bakımından veri sorumlusu; hizmet sağlayıcı ise veri işleyen konumundadır. Rollerin sözleşmede nasıl tanımlandığını satın alma sürecinde sormanızı öneririz.
Web sitemizdeki formlar
Demo talep formunda yalnızca talebinizi değerlendirmek ve sizinle iletişim kurmak için gereken bilgileri isteriz. Formla birlikte, talebin hangi sayfadan ve hangi kampanya bağlantısı üzerinden geldiğine dair temel teknik bilgiler de kaydedilebilir. Formu göndermeden önce KVKK Aydınlatma Metni'ni okuduğunuzu onaylarsınız. Ticari elektronik ileti izni ayrı ve isteğe bağlıdır.
Formda müşteri, reçete veya hasta bilgisi ya da ÜTS ve Medula kullanıcı bilgisi istemeyiz; bu tür bilgileri e-postayla da paylaşmayın.
Rol ve yetki planlaması
Güvenli kullanımın temeli, her çalışana yalnızca işinin gerektirdiği yetkiyi vermektir. Yönetmeliğe göre bilgisayar kayıtları ile yazılı kayıtların tutarlılığından mesul müdür sorumludur (md. 18). İptal ve iade gibi geri dönüşü dikkat isteyen işlemleri sınırlı bir ekibe bırakmak ve ayrılan bir çalışanın erişimini aynı gün kapatmak riski azaltır. TraceOptik'te birden fazla kullanıcıyla çalışabilirsiniz; yetki yapısını demoda kendi örneğiniz üzerinden sorabilirsiniz.
Satın almadan önce sorabileceğiniz sorular
Barındırma yeri, şifreleme yöntemleri, yedekleme sıklığı ya da güvenlik testleri gibi teknik ayrıntıları bu sayfada genel ifadelerle vermek yerine talep edildiğinde paylaşıyoruz. Hangi programı değerlendiriyor olursanız olun, görüşmeye şu sorularla gidebilirsiniz:
- Sertifikaların kapsamı nedir, bu ürünü kapsıyor mu, geçerlilik tarihleri ne zamana kadar?
- Verilerim nerede barındırılıyor ve hangi yöntemlerle korunuyor?
- Yedekler ne sıklıkla alınıyor, geri yükleme nasıl yapılıyor?
- Reçete ve müşteri verilerine kimler erişebiliyor; hangi işlemin hangi kullanıcı tarafından yapıldığını izleyebilir miyim?
- ÜTS kullanıcı bilgilerim nasıl saklanıyor?
- Bir güvenlik olayı yaşanırsa nasıl bilgilendirilirim?
- Sözleşme sona erdiğinde verilerim nasıl teslim ediliyor ya da siliniyor? 5 ve 10 yıllık saklama sürelerini nasıl karşılayacağım?
Bu soruları iletişim sayfamızdan iletebilir ya da demo talebinizle görüşmeye taşıyabilirsiniz.