Dernekler: PDF'lerdeki üye ve bağışçı verilerini korumak

Küçük bir dernek iyi niyet ve kıt kaynakla yürür. Biri muhasebeyi yapar, bir diğeri hibe evraklarının peşinden koşar, bir gönüllü daha iyi günler görmüş bir dizüstünde üye listesini güncel tutar. Kimse bu işe veri yönetmek için girmedi. Bir dava uğruna girdiler.

Verinin bunu umursadığı yok. Bir üye listesi adlarla, adreslerle, bazen yaşlar ve otomatik ödemeler için banka bilgileriyle doludur. Bir bağışçı kaydı, gerçek bir kişiyi ne kadar ve ne zaman bağışladığına bağlar. GDPR kapsamında, bu veriyi işleyen bir dernek, bir banka veya bir hastaneyle aynı yasal yükümlülüğü taşır. “Küçük hayır kurumu” muafiyeti diye bir şey yoktur; az fonlandığınız için kuralların gevşediğini söyleyen bir madde yoktur.

İşte o boşluk — büyük sorumluluk ve minik bütçe — işlerin tam da ters gittiği yerdir. Öyleyse PDF’lerden konuşalım.

Hassas şeyleri tutan belgeler

Bir derneğin hassas verisinin çoğu bir noktada PDF’lere dönüşür. Genel kurul için dışa aktardığınız yıllık üye listesi. Destekçilerin vergi indirimi talep edebilmesi için gönderdiğiniz bağış makbuzları. Yararlanıcı listesi içeren hibe raporu. Düzenli bağışlar için banka talimatları. Kimin neye oy verdiğini adıyla yazan toplantı tutanakları.

Bunların her biri aynı sıkıcı şekilde ele alınır. Biri imzalar, birkaç dosyayı tek bir pakette birleştirir ya da yönetim kuruluna e-postayla sığsın diye şişko bir taramayı küçültür. Bunların hiçbiri karmaşık değil. Tek gerçek soru, işin nerede yapıldığı — çünkü üyelerinizin verisinin binadan çıkıp çıkmadığını belirleyen şey budur.

Ücretsiz yükleme aracı neden yanlış refleks

İmkânlarınız zorlandığında, içgüdü yüklenen ilk ücretsiz PDF web sitesini kapmak, dosyayı sürüklemek ve sonucu indirmektir. Zararsız gibi gelir. Bir dakika kazandırır.

İşte o araçların çoğunda gerçekte olan şey. Dosyanız bir yerdeki sunucuya yüklenir, iş orada çalışır ve sonuç geri gelir. Bir saat sonra silmeyi vaat eden bildirim tamamen doğru olabilir. Sizin sadece bunu kontrol etmenin bir yolu yoktur. 200 üyenin adresini içeren bir liste, kontrol etmediğiniz bir makinede oturduğunda, yedekler kopya tutabilir, günlükler meta veri saklayabilir ve onların tarafındaki bir ihlal, üyelerinizin güveninin ihlali hâline gelir.

Ve bunu bildirmek zorunda olan kişi sizsiniz. GDPR yükümlülüğü, veriyi işlemeye karar veren kuruluşa yükler — bu da otuz saniyeliğine ödünç aldığınız web sitesi değil, sizsiniz. Gönüllülerle yürüyen bir grubun üyelerine ev adreslerinin neden bir sızıntıda çıktığını açıklaması, kimsenin başkanlık etmek istemeyeceği bir toplantıdır.

Bunun yerine işi kendi makinenizde yapın

Çözüm pahalı bir kurumsal yazılım paketi değil. Dosyanın hiçbir yere gitmediği, tarayıcınızın içinde çalışan araçlar seçmektir. reader.me tam olarak böyle çalışır. Bir PDF açarsınız, işlem cihazınızda olur ve sonucu kaydedersiniz. Yükleme adımı yoktur, dolayısıyla sızdırılacak bir şey, güvenilecek bir politika, gözünüzü kısarak okuyacağınız bir banner yoktur.

Bunu kendiniz kanıtlayabilirsiniz. Tarayıcınızın DevTools’unu açın, çalışırken Network sekmesini izleyin ve hiçbir isteğin dosyayı dışarı taşımadığını görürsünüz. Herhangi bir istekte yoksa, hiçbir yere gitmemiştir. Bu, bir saymanın bir kez yapıp sonra rahatça uyuyabileceği bir kontroldür.

Gönderdiğiniz şeyi kilitleyin. Bir üye listesi veya bağışçı dökümü yönetim kuruluna ya da bir denetçiye gitmek üzere dizüstünüzden ayrılmadan önce, üzerine bir parola koyun. PDF’yi koruyun — parolayla şifrelenir, böylece ele geçirilen bir e-posta veya yanlış adrese giden bir ek, anahtar olmadan okunamaz. Parolayı farklı bir kanaldan gönderin — bir telefon görüşmesi ya da bir mesaj — ve bu belgelerin en sık sızdığı yolu kapatmış olursunuz.

Yazıcı dansı olmadan imzalayın. Hibe sözleşmeleri, tutanaklar ve talimatlar çoğu zaman gerçek bir imza gerektirir. Olağan yol şudur: yazdır, kalemle imzala, geri tara, taramayı e-postayla gönder — çalışan bir yazıcı ararken yarım saat gitti. Hepsini atlayabilirsiniz. PDF’yi imzalayın ekranda, imzanızı sayfaya bırakın ve cihazınızdan hiç çıkmamış, temiz, imzalı bir dosya kaydedin. İmza görüntüsü de yüklenmez, çünkü onu yükleyecek bir yer yoktur.

Paketi tek dosyada toplayın. Hibe raporları ve genel kurul dosyaları genellikle ayrı belgelerden oluşan bir yığındır: kapak yazısı, hesaplar, üye özeti, makbuzlar. Dağınık ekler kaybolur ve sırası bozulur. PDF’leri birleştirin — doğru sırayla tek bir belgeye — ve bir klasör dolusu dağınık parça yerine tek, derli toplu bir dosya teslim edin. Hepsi bilgisayarınızda yığılı, hiçbir şey bir sunucuya gönderilmemiş.

Küçük bütçe, aynı yükümlülük, daha basit yanıt

Bunun bir derneği büyük bir şirketten daha çok ilgilendirmesinin nedeni, aynı zamanda onu daha kolay kılan nedendir. Bir kaymayı yutacak bir BT departmanınız yok, dolayısıyla bunu göze alamazsınız. Ama bundan kaçınmak için karmaşık bir kuruluma da ihtiyacınız yok. Her belgeyi zaten elinde tutan cihazda tutmak, tüm riski tek hamlede ortadan kaldırır.

GDPR sizden para harcamanızı istemez. İnsanların verisini özenle ele almanızı ve bunu yaptığınızı gösterebilmenizi ister. Asla yükleme yapmayan bir araç bunu göstermenin en temiz yoludur, çünkü bir üyenin adresi için en güvenli yer, onu zaten tutan tek makinedir. Yüklemenin neden riskli kısım olduğuna dair daha uzun argümanı istiyorsanız, PDF yüklemenin GDPR sorunu yazısında bunu adım adım anlattık.

Üyeleriniz ve bağışçılarınız, yaptığınız işe inandıkları için size bilgilerini emanet etti. O PDF’leri kendi makinenizde tutmak, o güveni korumanın yoludur ve size bunu yapma tercihinden başka hiçbir maliyeti yoktur.