KVKK ve Veri Güvenliği

Erişim kuralları arayüzde değil veritabanında uygulanır. Menü gizlemek veriyi korumaz; doğrudan yapılan bir istek arayüz kısıtını aşar.

Roller: veri sorumlusu ve veri işleyen

Öğrenci verisini toplayan ve işleme amacını belirleyen okuldur; KVKK anlamında veri sorumlusu sıfatı okuldadır. Okulza, okul adına veriyi işleyen taraftır. Bu ayrım önemlidir: sözleşme sorumluluğu ortadan kaldırmaz, taraflar arasında paylaştırır.

Okullar arası izolasyon

Her kayıt bir okula bağlıdır ve sorgular okul kimliğiyle filtrelenir. Filtre istemci tarafında değil veritabanında, satır bazlı güvenlik politikalarıyla uygulanır. Bir okulun kullanıcısı, isteği elle değiştirse bile başka okulun kaydını okuyamaz.

Veli ve öğrenci erişimi

Veli erişimi bir role değil bağa dayanır: veli yalnızca kendisine bağlanmış öğrencinin verisini görür. Veli kendi kendine kaydolamaz; bağ yalnızca okul yönetiminin girdiği e-postayla kurulur. Aksi hâlde okul kodunu bilen herkes kendini istediği öğrencinin velisi ilan edebilirdi.

Öğretmen erişimi

Öğretmenin hangi işlemi yapabileceğine okul karar verir. Yetki kademesi işlem bazında seçilir ve kural yine veritabanında uygulanır; menüyü gizlemek tek başına bir koruma sayılmaz.

Yazılım seçerken sorulması gerekenler

• Erişim kısıtı arayüzde mi, veritabanında mı uygulanıyor?
• Bir okulun kullanıcısı başka okulun kaydını sorgulayabiliyor mu?
• Veli yalnızca kendi çocuğunun verisini mi görüyor?
• Veri işleyen sözleşmesi imzalanıyor mu?
• Sözleşme bittiğinde veriler dışa aktarılabiliyor mu?

Bu başlıkların ayrıntılı açıklaması için KVKK ve Öğrenci Verileri rehberine bakabilirsiniz.