PDKS ve KVKK: Biyometri İlke Kararı ve Mesai Takibi

Personel devam takibi kişisel veri işler: kimin ne zaman girdiği, ne kadar çalıştığı, ne zaman izin aldığı. Bu kaçınılmazdır. Önemli olan, verinin ölçülü işlenmesi ve her adımın ispatlanabilir olmasıdır. Bu sayfa CloudPDKS'nin KVKK konusundaki yaklaşımını, biyometrik veriye ilişkin ilke kararını ve işverenin yapması gerekenleri anlatır. Hukuki görüş değildir; kendi süreçleriniz için hukuk danışmanınıza başvurun.

Veri sorumlusu kim

Çalışanların mesai verisinin veri sorumlusu işverendir; CloudPDKS bu veriyi işveren adına işleyen taraftır. Grup şirketlerinde her şirket kendi çalışanının verisinden ayrı sorumludur. Bu yüzden CloudPDKS'de aydınlatma metni şirket bazında yayınlanır.

Yönteme göre işlenen veri

Yöntem	İşlenen veri	Özel nitelikli mi
QR, kiosk, kart, şifre	Kim, ne zaman, hangi noktada	Hayır
GPS	Ek olarak okutma anındaki konum ve giriş alanına mesafe	Hayır; aydınlatma metninde ayrıca belirtilmelidir
Parmak izi, avuç içi, yüz	Cihazdaki biyometrik şablon; buluta yalnızca doğrulama yöntemi gelir	Evet; Kurulun ilke kararına göre mesai takibinde kart, şifre ya da PIN tercih edilir

Veri nerede durur

Her kurumun verisi kendine ait ayrı bir veritabanında durur; başka bir kurumla paylaşılmaz. Veritabanının fiziksel yerini kurulum modeli belirler: tam bulutta bizim altyapımızda, kurum içi ve hibrit kurulumda kurumun kendi sunucusunda. Verisini kendi binasında tutmak zorunda olan kurumlar için bu, KVKK değerlendirmesini sadeleştirir. Ayrıntılar kurulum seçenekleri sayfasında.

Biyometrik veri ve Kurulun ilke kararı

Parmak izi, avuç içi ve yüz verisi KVKK'da özel nitelikli kişisel veri sayılır. Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanan ilke kararıyla mesai takibi amacıyla biyometrik veri işlenmesini değerlendirdi: mesai takibi için açık rıza tek başına yeterli bir dayanak sayılmaz, daha az müdahaleci yöntemler varken biyometri ölçülülük ilkesini karşılamaz. Kurulun önerdiği yöntemler kart, şifre ya da PIN ve gözetim altında yapılan kayıttır. CloudPDKS'de bu yöntemlerin hepsi hazırdır ve işyeri biyometri politikası varsayılan olarak "kullanılmıyor"dur. Kararın tam metni Resmî Gazete'de. Mevcut biyometrik okuyucularınızı nasıl kullanacağınız:

Kart ve şifre modu: Parmak izi ve yüz okuyucuların büyük bölümü kart ve şifreyi de okur; okuyucu bu modda çalıştırılır, donanım yerinde kalır.
Temassız alternatif: Temassız giriş gereken yerlerde kiosk tablette kendini yenileyen QR ya da temassız kart kullanılır.
Aydınlatma metni: Şirket bazında ve sürüm numarasıyla yayınlanır; çalışanın okuduğu ve verdiği cevap sürümüyle saklanır. Yayınlanan metin sonradan düzenlenmez, değişiklik yeni bir sürümdür.
Yöntem kaydı: Her okutmanın yöntemi kaydedilir; raporlar işyerinizin kart, şifre ve QR ile çalıştığını gösterir.
İşyeri politikası: Biyometrinin kullanıldığı, ayarlarda bilinçli bir kararla açılır. Varsayılan "kullanılmıyor"dur.

Biyometrik şablon buluta gitmez

Parmak izi ve yüz şablonları okuyucunun içinde kalır. CloudPDKS hiçbir biyometrik şablonu okumaz, aktarmaz ya da saklamaz; buluta yalnızca okutmanın kim tarafından, ne zaman ve hangi yöntemle yapıldığı gelir. Merkezde bir biyometri veritabanı oluşmadığı için ihlal halinde de kaybedilecek bir biyometrik veri yoktur.

Politikayla çelişen cihaz sessiz kalmaz

İşyeri biyometri kullanmadığını beyan ettiği hâlde bir okuyucu parmak izi ya da yüzle doğrulama yapıyorsa, bu okutmalar reddedilmez ama işaretlenir ve istisna panosunda ayrıca sayılır. Raporlarda her okutmanın doğrulama yöntemi görünür. Böylece politikanız ile sahadaki gerçek arasındaki fark denetimden önce ortaya çıkar.

Konum verisi

CloudPDKS mobil uygulaması konumu arka planda izlemez. Konum yalnızca giriş-çıkış düğmesine basıldığında bir kez okunur. Uygulama telefonda yalnızca konum (kullanım sırasında), kamera ve bildirim izni ister.

İlgili kişi başvuruları (KVKK madde 11)

Çalışanın verisine erişim, düzeltme, silme ve itiraz talepleri sistemde kayıt altına alınır. KVKK'nın öngördüğü 30 günlük cevap süresi başvurunun işyerine ulaştığı günden itibaren sayılır. Ret cevabı gerekçesiz kaydedilemez.

Ürünün sağladığı diğer güvenceler

Değiştirilemez denetim izi: kimin hangi kayda eriştiği ve neyi değiştirdiği.
Yetki kapsamı: bir yönetici yalnızca kendi ekibinin, bir şirketin İK'sı yalnızca kendi şirketinin verisini görür.
Saklama süresi dolan verinin temizlenmesi; kapanmamış puantaj dönemine dokunulmaz.
Sitemizde yazı tipleri ve dosyalar kendi sunucumuzdan sunulur; ziyaretçinin IP adresi üçüncü taraflara taşınmaz.

İşveren için kontrol listesi

Aydınlatma metniniz mesai takibini ve kullandığınız yöntemleri kapsıyor mu?
Mesai takibini kart, şifre, PIN ya da QR ile yapıyor, biyometrik okuyucularınızı kart ve şifre moduna aldınız mı?
Konum doğrulaması kullanıyorsanız metinde belirttiniz mi?
Saklama sürelerinizi yazılı olarak belirlediniz mi?
Veri işleyenle aranızda yazılı bir sözleşme var mı?

KVKK hakkında sık sorulan sorular

Parmak izi ya da yüz tanıma kullanmak zorunda mıyız?

Yöntemi siz seçersiniz. QR, GPS, kiosk, mobil, kart ve şifre yöntemleriyle biyometri kullanmadan tam bir personel devam takibi kurulur. Kişisel Verileri Koruma Kurulu'nun ilke kararına göre mesai takibinde açık rıza tek başına yeterli sayılmaz ve kart, şifre ya da PIN gibi daha az müdahaleci yöntemler tercih edilir; mevcut parmak izi ve yüz okuyucular bu modda çalışır.

Verilerimiz nerede tutuluyor, kimler erişiyor?

Her kurumun verisi kendine ait ayrı bir veritabanında durur; başka bir kurumla paylaşılmaz. Veritabanının yerini kurulum modeli belirler: tam bulutta bizim altyapımızda, kuruma ayrılmış sunucuda ya da kurum içi ve hibrit kurulumda kendi sunucunuzda. T.C. kimlik numarası ve şifre gibi hassas alanlar şifreli saklanır ve ekranda maskelenir; her erişim ve değişiklik değiştirilemez denetim izine yazılır.

Uygulama çalışanın konumunu gün boyu izliyor mu?

Hayır. Konum yalnızca çalışan giriş ya da çıkış düğmesine bastığı anda bir kez okunur ve o kayıtla birlikte saklanır. Uygulama arka planda konum izlemez; telefondan yalnızca kullanım sırasında konum, QR için kamera ve bildirim izni ister.

Uygulama telefonda hangi izinleri istiyor?

Yalnızca üç izin: konum (yalnızca uygulama kullanılırken), QR okutmak için kamera ve bildirim. Rehbere, fotoğraflara ya da mesajlara erişmez; biyometrik veri toplamaz.

Parmak izi ya da yüz verisi CloudPDKS'ye aktarılıyor mu?

Biyometrik şablon okuyucunun içinde kalır; CloudPDKS hiçbir parmak izi ya da yüz şablonunu okumaz, aktarmaz veya saklamaz. Buluta yalnızca okutmanın kim tarafından, ne zaman, hangi cihazda ve hangi yöntemle yapıldığı bilgisi gelir. Mesai takibinde okuyucunun kart ve şifre modunda kullanılması önerilir.

Aydınlatma metni nasıl yayınlanıyor ve nasıl ispat ediliyor?

Şirketiniz aydınlatma metnini sürüm numarasıyla yayınlar. Çalışan metni kendi ekranında okur; okuduğu ve verdiği cevap, hangi sürüme verildiği ve tarihiyle saklanır. Her metin sürümü için okuyan, onay veren ve reddeden çalışanlar ayrı ayrı görünür. Yayınlanan metin sonradan değiştirilemez; değişiklik yeni sürümdür ve çalışanlara yeniden sorulur.

Parmak izi okuyucusu olan işyerinde çalışanlar nasıl giriş yapar?

Aynı okuyucu kart ve şifre modunda çalışır: çalışan kartını okutur ya da sicil ve şifresini girer; isterseniz girişe bir kiosk tablet de konur. Kişisel Verileri Koruma Kurulu'nun ilke kararı mesai takibinde bu yöntemleri öne çıkarır. Puantaj yöntemden bağımsız hesaplanır.

Biyometri kullanmadığımızı beyan ettik ama bir cihaz parmak izi alıyorsa ne olur?

O okutmalar kaydedilir, çünkü çalışan gerçekten işe gelmiştir; her biri ayrıca işaretlenir ve istisna panosunda sayılır. Raporlarda her okutmanın doğrulama yöntemi (parmak izi, avuç içi, yüz, kart, şifre, QR, GPS) ayrı ayrı görünür. Böylece politikanızla çelişen bir cihazı denetimden önce fark edersiniz.

KVKK'da veri sorumlusu kim, CloudPDKS'nin rolü ne?

Çalışanların mesai verisinin veri sorumlusu işverendir; CloudPDKS bu veriyi işveren adına işleyen taraftır. Grup şirketlerinde her şirket kendi çalışanının verisinden ayrı sorumludur; bu yüzden aydınlatma metni şirket bazında yayınlanır.

Çalışanların KVKK başvuruları nasıl takip ediliyor?

Erişim, düzeltme, silme ve itiraz talepleri sistemde kayıt altına alınır. 30 günlük cevap süresi başvurunun işyerine ulaştığı günden itibaren sayılır. Ret cevabı gerekçe yazılmadan kaydedilemez.

Belgelerde hangi şirketin unvanı yazar?

Çalışanın o tarihteki şirketinin. Nakilden önceki bir ayın belgesi eski şirketin, sonraki ayın belgesi yeni şirketin unvanını taşır. KVKK aydınlatma metni de şirket bazında yayınlanır.

Ziyaretçiden hangi bilgiler alınıyor?

Ad ve soyad; isteğe bağlı olarak firma, e-posta ve telefon. Ziyaretçi kaydı çalışan kaydından ayrıdır. Ziyarete eklenen belgeler erişimi denetlenen dosya deposunda tutulur.

Edge parmak izi ya da yüz verisini buluta taşır mı?

Biyometrik şablon okuyucunun içinde kalır; Edge yalnızca okutmanın kim tarafından, ne zaman, hangi cihazda ve hangi yöntemle yapıldığını taşır. Mesai takibinde okuyucunun kart ve şifre modunda kullanılması önerilir.

Çalışanın konumu kişisel veri midir?

Evet. Kimliği belli bir kişinin belirli bir anda nerede olduğu kişisel veridir; ancak biyometrik veri gibi özel nitelikli sayılmaz. Belirli bir amaç için, amaçla sınırlı ve ölçülü işlenmeli; çalışan aydınlatılmalıdır.

Hibrit kurulum nedir?

Web arayüzünün bulutta, kurumun API'si ve veritabanının kurumun kendi ağında çalıştığı modeldir. Veri kurumun binasından çıkmaz; arayüzün bakımı ve güncellemesi bizde kalır. Kullanıcılar her yerden tarayıcıyla bağlanır.

Aktarımda TC kimlik numarası kullanılabilir mi?

Kullanılabilir. Programınız personeli TC kimlik numarasıyla tanıyorsa profil bu anahtarla kurulur. Bu dosya bütün personelin kimlik numarasını içerdiği için onu yalnızca hassas veri yetkisi olan kullanıcılar üretebilir ve her üretim kayda geçer.