2026'da Dosya Paylaşımı İçin Onay İş Akışları: Kurulum Rehberi

KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) Madde 12 gereği kişisel veri içeren dosyaların yetkisiz aktarımını önlemek için teknik idari tedbirler almak zorunludur; bu yükümlülük, onay iş akışını yasal bir gereklilik haline getirir. Dosya paylaşımı için onay iş akışı, alıcının indirebilmeden önce giden dosyaları bir veya daha fazla adlandırılmış onaylayanın arkasına kilitler. Minimum uygulanabilir kurulum dört unsur gerektirir: gönderim formu, doğru onaylayanı seçen yönlendirme kuralı, bildirim kanalı (e-posta veya Slack) ve kimin neyi ne zaman onayladığını yakalayan denetim kaydı. SharePoint + Power Automate, Jira Service Management, Approval.io veya bir transfer hizmeti etrafındaki Zapier akışı bunu bir günde gerçekleştirebilir. Bu rehber iş akışının ikinci haftanın ötesinde hayatta kalmasını sağlayan kararları ele alır.

Gerçekte Neyin Onaylanması Gerektiğine Karar Verin

Her dosya gönderisi bir insan gerektirmez. Aşırı kısıtlama insanları iş akışını atlatmaya yönlendirir. Yetersiz kısıtlama ise durdurmak için kurduğunuz sızıntıları gözden kaçırır. İçeriğinizi riske göre eşleyin:

Onay yok: pazarlama materyalleri, yayınlanmış PDF'ler, genel veri sayfaları.
Tek onaylayan: sözleşme taslakları, müşteriye yönelik teklifler, yayınlanmamış basın bültenleri.
Çift onay: kişisel veri içeren dosyalar, duyuru öncesi finansal tablolar, kaynak kod arşivleri.
Hukuk + iş onayı: gizlilik sözleşmesi kapsamındaki her şey, birleşme ve satın alma belgeleri, patente ilişkin fikri mülkiyet.

Bunu tek sayfalık bir politikaya yazın. İnsanların gönderim yaptığı yere asın. Biri iş akışını atlayıp doğrudan gönderirse politika BT'nin müdahale etme gerekçesidir.

Oluşturmadan Önce Yönlendirme Mantığını Haritalayın

En yaygın hata, akışı haritalamadan önce aracı oluşturmaktır. Bir beyaz tahta alın ve şunu çizin:

Gönderici → otomatik sınıflandırma (klasör, etiket veya form alanına göre) → onaylayan(lar) → alıcı.
Zaman aşımı dalları: onaylayan 24 saat içinde yanıt vermezse ne olur? Yöneticiye ilet? Otomatik onayla (tehlikeli)? Süresiz beklet (can sıkıcı)?
Red dalları: gönderici geri bildirim alıyor mu? Değişikliklerle yeniden gönderebilir mi?

Bunu durum makinesi olarak yazın. Her ok bir bildirim, her düğüm bir roldür. Tek sayfaya sığdıramazsanız iş akışı çok karmaşıktır ve insanlar onu atlayacaktır.

Gönderim Ön Kapısını Oluşturun

Gönderenler için tek bir yer gerekir. Farklı ölçeklerde çalışan seçenekler:

Microsoft 365 ekipleri: Power Automate'e bağlı "Onay İçin Gönder" formuyla SharePoint listesi. Dosyalar güvenli bir kütüphaneye gelir; meta veri yönlendirmeyi tetikler.
Google Workspace ekipleri: Sheet'e yazan Google Formu, dosyayı taşıyıp bildiren Google Apps Script tetikleyicisi.
Atlassian ortamları: "Dosya Yayın Talebi" istek türüyle Jira Service Management. Yerleşik onaylar, SLA takibi ve denetim günlüğü.
Hafif kurulum: bir Slack eğik çizgi komutu (/dosyatalebi) kanalda gönderi açar, ardından onaydan sonra oluşturulan transfer aracı bağlantısı paylaşılır.

Hangi platformu seçerseniz seçin şunları zorunlu kılın: dosya adı, alıcı e-postası, iş gerekçesi, hassasiyet düzeyi ve dosyanın kendisi için bir bırakma alanı.

Kilitlenme Olmadan Çok Seviyeli Onaylar

Çift ve üçlü onaylar bir onaylayan izinde olduğunda tıkanır. Baştan devamsızlık için tasarlayın.

İş akışı motorunun içinde vekil kuralı belirleyin. Power Automate'te Exchange'de dışarıda mesajı ayarlandığında onaylayanın yöneticisine yönlendirmek için Get manager (V2) eylemini kullanın. Jira'da, "Hukuk Onaylayanları" grubunun herhangi bir üyesinin isteği temizleyebilmesi için adlandırılmış kişiler yerine onaylayan grupları kullanın.

Zamana duyarlı göndermeler için paralel onay kalıbı ekleyin: tüm onaylayanlar isteği aynı anda alır ve ilk yanıt veren temizler (düşük risk için uygun) veya tümü 24 saat içinde yanıtlamalıdır (yüksek risk için uygun). Sıralı onaylar, hukukun yalnızca iş onay verdikten sonra dosyayı görmesi gerektiği iş akışları için uygundur.

İnsanların Saygı Duyduğu Son Tarih Takibi

Yaptırımsız SLA'lar dilektir. İyi iş akışları gecikmiş onayları aleni biçimde yüzeye çıkarır ve otomatik olarak yükseltir.

Üç eşik belirleyin:

24 saat: onaylayına hatırlatma bildirimi.
48 saat: onaylayanın yöneticisine ve gönderene iletme.
72 saat: durumu çözebilecek "iş akışı sahibi" rolüne otomatik iletme.

Haftalık metrikler yayınlayın: onaylayan başına ortalama onay süresi, ekip başına gecikmiş sayısı, verimlilik. Sayılarını emsalleriyle yan yana gören onaylayanlar daha hızlı yanıt verme eğilimindedir.

Düzenleyicilerin Gerçekten Okuduğu Denetim İzi

KVKK Madde 30 kapsamında kişisel veri işleme faaliyetlerine ilişkin kayıtlar tutulmalıdır. USOM gibi güvenlik kurumları ve BTK da veri ihlali olaylarında denetim izlerini inceler. Onay iş akışı denetim günlüğünün herhangi bir transfer için şunları yanıtlaması gerekir:

Dosyayı kim gönderdi, ne zaman, hangi IP adresinden.
Hangi dosya (hash, boyut, tür), hangi alıcıya.
Hangi onaylayanlar yönlendirildi, kararları ve zaman damgaları.
Herhangi bir yorum veya red gerekçesi.
İndirme bağlantısı, son kullanma tarihi ve erişim olayları.

Gönderimde ve yayınlamada dosyanın SHA-256 hash'leri aşamalar arasında herhangi bir manipülasyon olmadığını kanıtlar. Günlükleri uyumluluk rejiminizin belirlediği saklama süresince saklayın.

Bildirim Disiplini

Onay iş akışları gürültü üretir. Gürültülü iş akışları sessize alınır, sessize alınan iş akışları görmezden gelinir ve görmezden gelinen iş akışları başarısız olur. Bildirimleri agresif biçimde dizginleyin:

Dakika başı değil, her durum değişikliğinde bir bildirim.
Onay talepleri, onaylayanın ana gelen kutusuna değil, özel bir kanala veya e-posta adresine gider.
Tartışmanın taleple birlikte yaşaması için yorumlar için Slack veya Teams konuları kullanın.
Saat 09:00'da "3 bekleyen onayınız var" özetlerini toplu olarak gönderin, kesmeyin.

Ağır kuyruklara sahip onaylayanlar için bir web formuna tıklamadan bildirimden satır içi onaylamalarına izin verin (Slack etkileşimli düğmeleri, Outlook eyleme alınabilir mesajları).

Transfer Aracını Bağlamak

Onay verildikten sonra dosyanın alıcıya gerçekten ulaşması gerekir. İş akışı şunları yapmalıdır:

Kısa son kullanma (24-72 saat) ile transfer bağlantısı oluştur.
Hassasiyet sınıflandırması gerektiriyorsa parola uygula.
Parolayı ayrı bir kanaldan gönder (örneğin doğrulanmış numaraya SMS).
Oluşturulan bağlantıyı ve son kullanma tarihini denetim kaydına kaydet.

Dosyaları tarayıcıda AES-256-GCM ile şifreleyen HexaTransfer gibi bir araç, iş akışı sunucunuzun bile düz metni hiçbir zaman görmemesi anlamına gelir; bu, iş akışı platformunun güvenliği ihlal edildiğinde patlama yarıçapını azaltır. TLS 1.3 iletim güvenliğini sağlar. Şifreli blob transfer sunucusunda oturur; yalnızca bağlantıya (ve ayarlanmışsa parolaya) sahip alıcı şifresini çözebilir.

Goodwill Yakmayan Red İşleme

Reddedilen talepler gönderenleri hayal kırıklığına uğratır. Reddi eyleme dönüştürülebilir kılın:

Bir neden kodu zorunlu kılın (yanlış alıcı, kişisel veriyi düzeltin, feragatname eksik vb.).
Nüans için serbest metin yorumlarına izin verin.
Orijinal meta veriyi taşıyan "değişikliklerle yeniden gönder" düğmesi sunun.
Gönderen başına tekrarlayan redleri, cezalandırıcı değil, bir eğitim sinyali olarak izleyin.

Test Etme ve Ayarlama

İlk günde iş akışını tüm kuruluşa açmayın. Bir ekibi seçin, iki hafta boyunca çalıştırın ve şunları ölçün:

Gönderimdeki teslim edilen dosyaya kadar geçen süre.
Onaylayan yanıt dağılımı (p50, p90, p99).
İş akışını atlayan isteklerin yüzdesi (doğrudan e-posta, kişisel araçlar).
Gönderen memnuniyet puanı.

p90 onay süresi iş toleransınızı aşıyorsa ya onay adım sayısını azaltın ya da vekil ekleyin. Atlama oranı yüzde onu aşıyorsa iş akışı çok ağrılıdır ve insanlar etrafından dolaşıyor demektir — genişletmeden önce gönderim UX'ini düzeltin.

Sıkıcı Tutun, Çalışır Tutun

En iyi onay iş akışları sıkıcıdır. Öngörülebilir yönlendirme, öngörülebilir zamanlama, öngörülebilir denetim günlükleri. Yaratıcılığı onayladığınız içerik için saklayın, onay mekanizması için değil. İş akışını üç ayda bir gözden geçirin, bir yılda hiçbir şey yakalamayan adımları kırpın ve yalnızca gerçek bir riski tespit ettiğinizde adım ekleyin.

hexatransfer.com'da deneyin — ücretsiz, hesap gerektirmez, maksimum 10 GB.