Mentorluk programını kim tasarlıyor: komisyon mu, satın alınan yazılım mı

Bir mezun mentorluk programının nasıl kurulduğunu anlatan belgelerde genellikle insan kararları görünür: kaç mentor alınacak, program hangi dönem başlayacak, eşleştirme neye göre yapılacak. Uygulamada bu kararların kayda değer bir bölümü daha önce alınmıştır. Başvuru formundaki soruların sırası, mentee'nin profilde neyi görebileceği, iki hafta sonra giden hatırlatma e-postasının metni ve dönem sonunda çıkan raporun sütunları satın alınan yazılımla birlikte gelir. Komisyon çoğu zaman bu varsayılanları tartışmaz; onların etrafında program tasarlar.

Aşağıdaki üç soru, yazılımın iyi ya da kötü olduğuyla ilgili değil. Sözleşme imzalanmadan önce yazılı cevabı alınabilen, alınmadığında ise cevabı yıllar sonra ve pahalıya öğrenilen sorular.

Birinci soru: kayıtlar fiziksel olarak nerede duruyor

Sağlayıcıların bir kısmı bunu kendi sayfalarında açıkça yazar. Bir mentorluk yazılımı firmasının 31 Mart 2023 tarihli GDPR açıklamasında, Avrupa Birliği'ndeki kullanıcılara ait kişisel verilerin Birleşik Krallık'taki bir Amazon Web Services veri merkezinde tutulduğu belirtiliyor [4]. Bu netlik istisnadır; birçok sözleşmede yalnızca bulut denir ve alt işleyenlerin listesi verilmez.

Türkiye'deki bir kurum için soru buradan mevzuata bağlanır: yurt dışına aktarım ya Kurul'un yeterlilik kararı verdiği bir ülkeye yapılır, ya uygun güvencelerden birine dayanır — kamu kurumları arası anlaşma ve Kurul izni, onaylanmış bağlayıcı şirket kuralları, Kurul'ca ilan edilen standart sözleşme ve Kuruma bildirim, ya da taahhütname ve Kurul izni — ya da sınırlı sayıdaki arızi hâllerden birine girer [2]. Buradaki ayrım sık atlanır: yeterlilik kararı ülkeye ilişkindir, bir sağlayıcıya verilmiş sertifika değildir [2]; veri merkezinin bulunduğu ülkeye ilişkin bir karar, o sağlayıcının uygunluğunu tek başına göstermez.

Ölçeğe dair sayı Kurum'un bilgi notunda: 2024 yılında Kuruma 1.345 standart sözleşme bildirilmiş, aynı yıl 281 veri ihlali bildirimi Kurula iletilmiş, bunların 63'ü kamuoyuna duyurulmuştur [3]. Bu sayılar tüm sektörleri kapsar; içinde mezun ilişkileri veya mentorluk yazılımlarının payı bilinmiyor.

İkinci soru: sözleşme bitince kayıtlar dışarı çıkabiliyor mu

Sözleşmedeki "veriler kuruma aittir" cümlesi ile verilerin fiilen dışa aktarılabilir olması ayrı şeylerdir. Test edilebilir soru şudur: hangi alanlar çıkıyor? Profil bilgileri mi, yoksa eşleştirme geçmişi, taraflar arası mesajlar, görüşme notları ve tamamlanma kayıtları da dâhil mi? Hangi biçimde, kaç gün içinde, ücretli mi?

Avrupa Birliği bu sorunun cevabını sözleşmelerin insafına bırakmaktan vazgeçti. Data Act (Regulation 2023/2854) 22 Aralık 2023'te yayımlandı ve 12 Eylül 2025'ten itibaren uygulanıyor; bulut hizmetleri arasında geçiş ücretleri 12 Ocak 2027 itibarıyla tamamen kalkıyor, o tarihe kadar sağlayıcılar geçiş ve veri çıkışı maliyetlerini talep edebiliyor [5]. Bu düzenleme Türkiye'deki bir kurumu bağlamaz; burada işe yarayan tarafı, sorulacak soruların listesini vermesidir — bildirim süresi, geçiş süresi, veri alma penceresi, ücret. Türkiye'de aynı güvence, genel bir mevzuattan değil, sözleşme metnindeki maddelerden gelmek zorunda.

Üçüncü soru: veri sorumlusu kurum mu, sağlayıcı mı

Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı karar özeti, bu tespitte bakılacak ölçütleri sayıyor: verilerin toplanmasına ve yöntemine karar verme, toplanacak veri türlerini belirleme, kimlerin verisinin toplanacağını seçme, saklama süresi ile erişim ve paylaşım gibi temel unsurlara karar verme, emir ve talimat almadan karar verebilme, ilgili kişilerle doğrudan muhatap olma, veri işleyen atayabilme ve işleme faaliyetinden menfaat sağlama [1]. Aynı karar özetinde aydınlatma yükümlülüğünün veri sorumlusuna ait olduğu, bunun veri sorumlusunun yetkilendirdiği kişi aracılığıyla da yerine getirilebileceği belirtiliyor [1].

Bu ölçütler soyut değil; teker teker sorulabilir. Eşleştirme algoritmasının ağırlıklarını kurum değiştirebiliyor mu, saklama süresini kim belirliyor, mezuna gönderilen aydınlatma metnini kim yazdı ve kimin adına yayımlanıyor, sistemdeki kayıtlara sağlayıcının hangi personeli erişebiliyor. Sözleşmedeki etiket ile bu sorulara verilen cevaplar ayrışıyorsa, mesele bir belge sorunu değil, program tasarımının nerede yapıldığı sorunudur.

Karşılaştırılabilir hâle getirmek

Bu üç soru, ancak cevapları bir iddiaya değil bir belgeye bağlandığında kurumlar arasında karşılaştırılabilir olur:

• Veri merkezinin ülkesi ve alt işleyen listesi sözleşme ekinde yazılı mı; liste değişirse önceden bildirim yükümlülüğü var mı
• Aktarım hangi yola dayanıyor: yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya taahhütname [2]
• Dışa aktarım kapsamı alan alan listelenmiş mi; eşleştirme geçmişi ve mesajlar dâhil mi
• Dışa aktarım biçimi, sözleşme bitiminden sonraki süre ve ücreti yazılı mı
• Aktarım sonrası sağlayıcıdaki kopyaların, yedekler dâhil, silinme takvimi belirtilmiş mi
• Aydınlatma metnini kim hazırlıyor ve kimin adına yayımlanıyor [1]