Yurt Dışı Bulut ve E-Posta Hizmeti Kullanıyorum: KVKK İçin Hangi Sözleşme Gerekir?

Yabancı hizmet kullanımı önce veri akışıyla incelenir

Bir işletmenin yurt dışı merkezli e-posta veya bulut hizmeti kullanması, yalnız abonelik seçimi değildir. Çalışan ve müşterilere ait belgelerin nerede tutulduğu, kimin erişebildiği ve hizmetin hangi şirket tarafından sunulduğu araştırılmalıdır. Aynı marka altında sunulan farklı paketler farklı veri akışlarına sahip olabilir. Hukuki inceleme yalnız ürünün adına veya fatura üzerindeki yerel satıcıya bakılarak tamamlanamaz.

Önce hizmet içinde hangi kişisel verilerin bulunduğu belirlenebilir. E-posta adres defteri, ekli sözleşme, çalışan dosyası ve müşteri destek kaydı aynı içerik değildir. Kullanıcıların ortak klasöre her şeyi yüklemesi, başlangıçta sınırlı amaçla alınan hizmetin kapsamını büyütebilir. Bir aktarım değerlendirmesi, sadece satın alma günündeki planı değil fiilen kullanılan sistemi tarif etmelidir.

Bu rehber düzenli iş süreçlerinde kullanılan e-posta, dosya saklama ve benzeri hizmetlere odaklanır. İşverenin çalışan yazışmasını denetlemesi veya siber olay bildirmesi farklı konulardır. Buradaki temel soru, kişisel verinin başka bir ülkedeki alıcıya hangi hukuki mekanizmayla ve hangi güvenceyle açıldığıdır. Veri güvenliği önlemleri ile aktarım dayanağı birlikte ele alınmalıdır.

Hizmetin yalnız bir çalışan tarafından denenmesiyle kurumsal olarak kullanılmaya başlanması arasında da fark olabilir. Deneme hesabına gerçek müşteri listesi yüklenmişse yalnız test yapıldığı söylenmesi, verinin niteliğini değiştirmez. Satın alma ekibi, hesap açan çalışan ve teknik yönetici aynı bilgiye sahip olmayabilir. Bu nedenle araştırma, fatura dosyasının yanında fiilen kullanılan hesap ve klasörleri de kapsayabilir. Kurumsal sözleşme hazırlığı tamamlanmadan oluşmuş veri akışı varsa bunun tarihi ve kapsamı ayrıca belirlenmelidir.

2024 sonrası aktarım modelini doğru yerden okuyun

KVKK'nın 9'uncu maddesindeki yeni aktarım düzeni 1 Haziran 2024'te yürürlüğe girmiştir. Kurumun güncel açıklaması yeterlilik, uygun güvence ve belirli şartlardaki arızi aktarım yollarını ayırır. Veri işleme şartının bulunması ile aktarım mekanizmasının sağlanması farklı değerlendirmelerdir. Bu nedenle yalnız veriyi işlemek için gerekçemiz var demek, bütün yurt dışı akışını açıklamaz.

Günlük bulut kullanımına eski internet metinleri üzerinden yaklaşılması önemli karışıklık yaratabilir. Tarihi belli olmayan bir yazıda yer alan açık rıza alındıysa yeterlidir anlatımı, yeni düzenin bütün şartlarını karşılayan bir rehber olarak görülmemelidir. İşletme hangi mekanizmayı kullandığını, bu mekanizmanın somut aktarımı neden kapsadığını ve hangi belgelerle desteklendiğini açıklayabilmelidir.

Standart sözleşme, kullanılabilecek uygun güvence yöntemlerinden biridir; bütün aktarım ilişkilerine tek başına ve aynı biçimde uygulanacak hazır bir ticari ek değildir. Yöntem seçilmeden önce alıcının rolü ve aktarımın yapısı belirlenmelidir. Bu inceleme yapılmadan herhangi bir sözleşmeyi imzalamak, dosyada belge bulunmasını sağlayabilir ama belgenin gerçek işleme uygun olduğu sorusunu cevapsız bırakabilir.

Depolama yeri kadar uzaktan erişim de önemlidir

Kurumun Ocak 2025 tarihli yurt dışına aktarım rehberi, gerekli ölçütler gerçekleştiğinde uzaktan erişimi ve yabancı ülkedeki bulutta saklamayı aktarım değerlendirmesine dahil eder. Dolayısıyla dosya yerel sunucuda bulunuyor açıklaması, başka ülkeden erişim ihtimalinin ayrıca incelenmesini gereksiz kılmaz. Erişim düzeni somutlaştırılmalıdır.

Hizmet sağlayıcıya yalnız veriler hangi ülkede sorusu yöneltmek yeterli olmayabilir. Yedeklerin konumu, bakım sırasında erişen ekipler, destek hesapları ve kullanılan alt hizmetler ayrıca sorulabilir. Bu soruların her birine verilen cevabın dayanağı belirlenmelidir. Pazarlama broşüründeki kısa açıklamayla sözleşmedeki teknik düzenlemenin farklı olması halinde fark giderilmeden kesin değerlendirme yapılmamalıdır.

Bir erişim yetkisinin bulunmasıyla fiilen gerçekleşen her işlemin ayrıntısı aynı bilgi değildir. Hukuki dosya, hangi kişiye veya kuruluşa hangi verinin erişilebilir hale getirildiğini açıklamalıdır. Teknik ekip bunun sınırlarını gösterebilir. İşletme ise hizmeti hangi amaçla kullandığını ve hangi kullanıcıların hangi dosyaları yüklediğini ortaya koyar. İki bilgi grubu bir araya geldiğinde aktarımın gerçek kapsamı anlaşılabilir.

Sağlayıcı tarafından yalnız bölge adı verilmesi her soruyu cevaplamayabilir. Ana saklama alanıyla yedekleme ve destek erişimi farklı düzenlere tabi olabilir. İşletme açıklamayı alırken hangi hizmet sürümüne ve hangi abonelik türüne ilişkin olduğunu kaydetmelidir. Başka müşteriye sunulan teknik seçeneğin kendi hesabında da açık olduğu varsayılmamalıdır. Bir ayarın değiştirilebilmesi ile gerçekten değiştirilmiş olması farklıdır; ilgili yönetim ekranı veya sağlayıcının yazılı teyidi bu farkın anlaşılmasına yardımcı olabilir.

Veri sorumlusu ve veri işleyen rolleri nasıl belirlenir?

Sözleşmede kullanılan sıfatın gerçek ilişkiyle uyuşması gerekir. Bir sağlayıcının işletmenin talimatıyla belge saklaması ile veriyi kendi amaçları için kullanması aynı değerlendirme değildir. Rol belirlenirken işlemin amacını ve temel araçlarını kimin belirlediği araştırılır. Ticari sözleşmedeki tek bir başlık, farklı faaliyetlerin tamamının aynı role girdiğini göstermeyebilir.

Kurumun aktarım rehberi, farklı taraf rollerine göre dört standart sözleşme tipi bulunduğunu açıklar. Bu seçim, sözleşmenin başındaki işaretlemeden önce aktarım ilişkisinin doğru kurulmasını gerektirir. Aynı işletme farklı hizmetler bakımından farklı aktarım senaryolarıyla karşılaşabilir. Bütün hizmetler için aynı dosyanın çoğaltılması yerine her ilişkinin rol ve amaç bakımından kontrol edilmesi yararlıdır.

Örneğin dış sağlayıcı yalnız dosyaları barındırıyorsa bunun işleyişi açıklanabilir. Aynı sağlayıcının ek analiz hizmeti ayrı şartlarla devreye giriyorsa bu faaliyet de dosyaya eklenmelidir. Ana paket için hazırlanmış değerlendirmenin yeni özelliği kendiliğinden kapsadığı varsayılmaz. Sözleşmede hangi hizmetlerin ve hangi veri kategorilerinin bulunduğu fiili kullanım üzerinden karşılaştırılır.

Standart sözleşmeyi ticari abonelikten ayırın

Kurumun standart sözleşmeler hakkındaki duyurusu, uygun tip seçildikten sonra seçimlik veya alternatif hükümler dışındaki standart metnin değiştirilmemesini ister. Her iki tarafın geçerli imzası ve temsil yetkisi de önemlidir. Bu nedenle sağlayıcının genel hizmet koşullarını kabul etmek ile Türkiye'deki aktarım mekanizması için gerekli standart sözleşmeyi tamamlamak aynı işlem olarak görülmemelidir.

Dosyada ticari abonelik, veri işleme sözleşmesi ve standart sözleşmenin hangi işlevi gördüğü ayrı gösterilebilir. Bir belgenin diğerine bağlantı vermesi, eksik imza veya yanlış taraf sorununu otomatik gidermez. Sağlayıcının farklı ülkelerdeki şirketleri bulunuyorsa imzacı alıcıyla hizmetin gerçek alıcısının uyumu kontrol edilir. Yerel satıcının adıyla yabancı veri alıcısı birbirine karıştırılmamalıdır.

Sözleşmenin ekleri de gerçek işlemi tarif etmelidir. Aktarılan veri, amaç ve güvenlik uygulamaları için her duruma uyabilecek belirsiz ifadeler kullanıldığında neyin güvence altına alındığı anlaşılmaz. Teknik ekip hangi ayarların etkin olduğunu, işletme hangi veri gruplarının gönderildiğini açıklayabilir. İmzadan önce bu bilgilerin tamamlanması, daha sonra yanlış taraf veya yanlış kapsamla belge düzenlendiğinin fark edilmesi riskini azaltır.

İşletmenin hizmeti bir bayiden alması halinde standart sözleşmeyi hangi tarafın imzalayacağı ayrıca netleştirilmelidir. Bayi yalnız satış ve destek sunuyorsa alıcının yerine otomatik olarak geçmeyebilir. Bir şirket grubundaki benzer unvanlar da karışıklık yaratabilir. İnceleme sırasında sözleşmedeki isimler, resmi şirket bilgileri ve sağlayıcının hizmet açıklaması eşleştirilir. Tarafın tam olarak belirlenemediği durumda uygun metni seçmek için önce bu belirsizlik giderilmelidir; yalnız markanın logosunun sözleşmede görünmesi yeterli bir eşleştirme değildir.

Beş iş günlük bildirim süresi neye bağlıdır?

Kurumun güncel standart sözleşme duyurusuna göre imzaların tamamlanmasından itibaren beş iş günü içinde bildirim yapılır; tarafların imza tarihleri belirtilmelidir. İmza ve bildirim aynı işlem değildir. İşletme imzalı metnin kendi dosyasında bulunmasını, Kuruma bildirim yapıldığına ilişkin kayıtla karıştırmamalıdır.

Farklı ülkelerde imzalanan belgelerde tarihlerin açık olması özellikle önemlidir. Dosya sorumlusu son imzanın ne zaman tamamlandığını, bildirimi kimin hazırladığını ve hangi yöntemle gönderildiğini takip edebilir. Bildirim görevini dışarıdan bir danışman yürütüyorsa işletme yalnız sözlü tamamlandı cevabıyla yetinmemeli; gönderilen belge ve teslim kaydıyla eşleştirme yapmalıdır. Aynı adda farklı sürümlerin bulunması yanlış metnin gönderilmesine yol açabilir.

Kurumun ayrıca duyurduğu Standart Sözleşme Bildirim Modülü, internet üzerinden bildirim yapılmasına imkan sağlar. Bu araç sözleşmenin fiili kapsamını kendiliğinden doğrulayan bir hukuki değerlendirme değildir. Modüle erişebilmek, gerekli temsil ve sözleşme belgelerinin doğru hazırlandığını tek başına göstermez. Gönderim öncesi içerik kontrolü ve gönderim sonrası kayıt eşleştirmesi ayrı adımlar olarak yürütülebilir.

Sürekli bulut kullanımında arızi aktarım yanılgısı

Kurumun açıklamasında istisnai aktarım yolları arızi olma şartıyla ele alınır. Bu nedenle her gün çalışan bir e-posta veya dosya hizmeti bakımından tek seferlik aktarım varsayımına dayanılması dikkatle değerlendirilmelidir. Açık rıza ifadesi kullanılan her formun düzenli aktarım için otomatik çözüm olduğu söylenemez; seçilen mekanizmanın koşulları incelenmelidir.

İşletme gerçek kullanım sıklığını ortaya koyabilir. Başlangıçta bir dosya gönderimi için açılan hesap, sonradan bütün müşteri kayıtlarının tutulduğu sisteme dönüşmüş olabilir. Bu değişiklik, değerlendirme dosyasının güncellenmesini gerektiren bir işaret oluşturur. İşlemin teknik kolaylığı veya küçük işletme tarafından yapılması, veri akışının niteliğini değiştirmez.

Öte yandan her yabancı bağlantıyı aynı senaryoya koymak da doğru değildir. Alıcının kimliği, veriyi kimin hangi sıfatla erişilebilir hale getirdiği ve işleme amacı önemlidir. İşletme emin olmadığı akışları ayrı listede tutup ilgili teknik açıklamayı isteyebilir. Bilinmeyen bir erişim ihtimalini kesin gerçekleşmiş gibi yazmak da açıklama olmadan hiç aktarım yok sonucuna varmak da değerlendirmeyi zayıflatır.

Varsayımsal örnek: Yerel satıcıdan alınan yabancı bulut paketi

Tamamen varsayımsal bir örnekte Antalya'daki bir şirket, yerel satıcıdan ekip e-postası ve ortak dosya paketi alsın. Faturası Türkiye'deki firmadan gelsin; teknik açıklamada ise verinin başka ülkede saklandığı ve yabancı destek ekibinin erişebildiği anlaşılsın. Şirket yalnız yerel faturaya bakarak aktarım bulunmadığını düşünmüş olsun. İlk iş, satıcıyla gerçek hizmet sağlayıcının rollerini ayırmaktır.

Şirket ticari sözleşmeyi, teknik açıklamayı, etkin hizmetleri ve kullanılan dosya türlerini bir araya getirebilir. Sağlayıcının hangi şirketinin veri alıcısı olduğu sorulur. Uygun aktarım mekanizması değerlendirildikten sonra gerekli sözleşme ve bildirim işlemleri planlanır. Aynı paketteki ek analiz özelliği kapalıysa açıkmış gibi yazılmaz; sonradan açılırsa bu değişiklik kaydedilir.

Bu örnekte doğru sözleşmenin kurulması, geçmiş dönemdeki bütün işlemlerin otomatik uygun hale geldiği anlamına gelmez. Önceki ve yeni uygulama tarihleri ayrı tutulur. Kullanıcı erişimleri, gereksiz dosyaların yüklenmesi ve hesap kapatma düzeni de gözden geçirilebilir. Amaç yalnız kağıt üzerinde bir metin hazırlamak değil, sözleşmenin anlattığı ilişkiyle gerçek kullanımın örtüşmesini sağlamaktır.

Şirket daha sonra başka hizmete geçmek isterse eski dosyaların nasıl çıkarılacağı ve mevcut hesapların nasıl kapatılacağı da planlanabilir. Yeni sağlayıcıya geçiş sırasında aynı verilerin iki ayrı ortamda uzun süre kalması mümkündür. Bu geçici kullanımın kapsamı ve bitişi takip edilirse eski sözleşme dosyasının artık hangi veriler için önem taşıdığı anlaşılır. Teknik taşıma tamamlandı ifadesiyle eski erişimlerin kapatıldığı bilgisi ayrı teyit edilmelidir.

Sık sorulan sorular ve aktarım dosyası

Sağlayıcının güvenlik sertifikası yeterli midir? Teknik güvenliğe ilişkin belge yararlı olabilir; ancak aktarımın hukuki mekanizmasını tek başına açıklamaz. Belgenin hangi hizmeti, hangi şirketi ve hangi dönemi kapsadığı da kontrol edilmelidir. Tanınmış marka kullanılması, somut veri akışını incelemenin yerine geçmez.

Standart sözleşmeyi imzaladıktan sonra başka kontrol gerekir mi? Kullanılan hizmetin ve tarafların aynı kalıp kalmadığı izlenmelidir. Yeni özellik, yeni alıcı veya değişen erişim düzeni mevcut dosyayla karşılaştırılabilir. Sözleşmenin varlığı, bütün verilerin her amaçla gönderilebileceği sınırsız bir izin gibi okunmamalıdır.

Başlangıç dosyasında hizmet ve alıcı listesi, veri kategorileri, aktarım akışı, teknik erişim açıklamaları, seçilen mekanizma, imzalı belgeler ve bildirim kaydı bulunabilir. Ticari hesap adıyla hukuki unvanın farklı olduğu durumlar özellikle açıklanır. Eksik bilgi kesinmiş gibi tamamlanmaz. Böylece hukuki değerlendirme yalnız hangi uygulamayı kullanıyoruz sorusuna değil, hangi veriyi kime nasıl açıyoruz sorusuna cevap verebilir.