Yurt Dışı Bulut CRM Kullanmak KVKK'ya Aykırı mı? Standart Sözleşme, Beş İş Günü Bildirimi ve Veri Envanteri

Bir CRM seçim toplantısında en sık duyulan cümle şudur: "Sunucusu yurt dışında, KVKK'ya takılırız." Bu cümle genellikle toplantıyı bitirir. Karşılaştırma tablosu kapanır, karar ertelenir, ekip Excel'e geri döner. Oysa cümlenin dayandığı varsayım 1 Haziran 2024'ten beri geçerliliğini yitirmiş durumda.

O tarihte, 7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9 uncu maddesi baştan yazıldı. Değişikliğin gerekçesi bugün hâlâ okunmaya değer: 7499 sayılı Kanun'un 34 üncü maddesinin gerekçesinde, eski rejimin "sunucuları yurt dışında bulunan ve çoğu bulut tabanlı yazılım ve uygulamaların hukuka uygun olarak kullanılabilmesini neredeyse imkânsız hale getirdiği" açıkça yazıyor. Yani sorunu yasa koyucunun kendisi tespit etti ve düzeltti.

Ama düzeltme, "artık serbest" anlamına gelmiyor. Yerine bir prosedür geldi: doğru sözleşme tipini seçmek, doldurmak, imzalamak ve imzadan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirmek. Bu bildirimi yapmamak, aktarımın kendisinden bağımsız bir kabahat ve 2026 yılı için 90.308 TL ile 1.806.177 TL arasında idari para cezası taşıyor. İşin ilginç tarafı şu: pek çok işletme aktarım yapıyor, çoğu bunu bilmiyor, bilenlerin bir kısmı da sözleşmeyi imzalayıp bildirimi unutuyor.

Bu yazı, hukuk bürosu bülteni değil. Amacı, elinizdeki araç listesine bakıp her satır için "bu aktarım mı, kim veri sorumlusu, ne imzalamam gerekiyor, bildirdim mi" sorularını cevaplayabilmeniz. Sonunda kendi envanterinizi dökebileceğiniz bir tablo ve on sekiz maddelik bir kontrol listesi var. Baştan söyleyelim: burada yazılanlar bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Somut bir uyuşmazlıkta veya yüksek riskli bir veri işleme faaliyetinde avukatınıza danışın.

Önce şu yanlışı düzeltelim: yurt dışı sunucu yasak değil

Türkiye'de bulut kullanımı hâlâ düşük ama hızla artıyor. TÜİK'in 2025 Girişimlerde Bilişim Teknolojileri Kullanım Araştırması'na göre on ve üzeri çalışanı olan girişimlerin %20,4'ü ücretli bulut bilişim hizmeti kullanıyor, aynı araştırmada CRM yazılımı kullanan girişim oranı %12,0. Bu iki rakamın arasındaki boşluk tesadüf değil. Türkiye'de satılan ciddi CRM ürünlerinin büyük bölümü bulut tabanlı ve pek çoğunun altyapısı yurt dışında. "KVKK riski" algısı, bu boşluğun sebeplerinden biri.

Eski rejim gerçekten tıkalıydı, bu bir efsane değildi

2024 öncesinde durum şuydu: kişisel veriler, ilgili kişinin açık rızası olmadan yurt dışına aktarılamıyordu. Açık rıza istemeyecekseniz, ya aktarım yapılacak ülkede "yeterli koruma" bulunacaktı ya da iki taraf yazılı bir taahhütname imzalayıp Kurul'dan izin alacaktı.

Bu iki yolun ikisi de kapalıydı. Yeterli korumaya sahip ülkeler listesi hiç yayımlanmadı. Taahhütname yolunun ne kadar dar olduğunu ise Kurum'un kendi rehberi yazıyor: Kanun'un yürürlüğe girdiği 7 Nisan 2016 ile değişikliğin yürürlüğe girdiği 1 Haziran 2024 arasındaki sekiz yılda Kurul'a 86 taahhütname başvurusu yapılmış, bunlardan yalnızca 10 tanesi kabul edilmiş. Aynı dönemde 3 bağlayıcı şirket kuralı başvurusu gelmiş, hepsi usul ve esas eksikliği nedeniyle reddedilmiş. Bu rakamlar Kişisel Verilerin Yurt Dışına Aktarılması Rehberi'nde (KVKK Yayınları No: 48, Ocak 2025) geçiyor.

Sonuç ortadaydı: herkes açık rızaya sarıldı. Kayıt formlarının altına "verilerimin yurt dışına aktarılmasına açık rıza veriyorum" kutusu kondu, iş görüldü sanıldı. O kutunun bugün ne kadar zayıf bir dayanak olduğunu birazdan göreceğiz.

7499 sayılı Kanun ile gelen üç kademeli yapı

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'un 34 üncü maddesi, KVKK m.9'u değiştirdi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Aynı Kanun'un eklediği geçici 3 üncü madde, eski birinci fıkranın 1 Eylül 2024'e kadar yeni hükümle birlikte uygulanmaya devam edeceğini söylüyordu. Yani üç aylık bir geçiş penceresi vardı ve o pencere kapandı. 1 Eylül 2024'ten bu yana, düzenli aktarımlar için tek başına açık rıza yeterli değil.

Uygulama kuralları, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlendi. Yeni yapı üç kademeli:

Kademeler sıralı işliyor. Önce yeterlilik kararı var mı diye bakılır, yoksa uygun güvencelere geçilir, o da sağlanamıyorsa son çare olarak istisnai aktarım gündeme gelir. Rehber bu sırayı özellikle vurguluyor ve istisnai aktarım için "son derece dar bir yorum yapılmalı" diyor.

Yeterlilik kararı neden bugün işinize yaramıyor

Kurum'un Yurt Dışına Aktarım sayfasında, yeterli koruma bulunan ülkeler konusunda "Kurul tarafından henüz bir belirleme yapılmamıştır" ifadesi yer alıyor. Bu satır, yazının hazırlandığı 15 Ağustos 2026 itibarıyla hâlâ orada. Yani ne Avrupa Birliği ülkeleri, ne Amerika Birleşik Devletleri, ne de başka bir ülke için "burası güvenli" kararı çıkmış değil.

Pratik sonucu şudur: aktarım yaptığınız her ülke için otomatik olarak ikinci kademeye düşüyorsunuz. Sağlayıcınızın merkezi Almanya'da olsun, İrlanda'da olsun, Amerika'da olsun fark etmiyor. Aynı prosedür.

Aktarım nedir, ne değildir: işletmelerin en çok yanıldığı yer

Kanun'da "yurt dışına aktarma" tanımı yok. Tanım Yönetmelik'in 4 üncü maddesinde: kişisel verilerin, Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi.

Cümlenin ikinci yarısı asıl kritik olan. "İletilmesi" herkesin anladığı şey: dosya gönderdiniz, senkronizasyon çalıştı, veri gitti. Ama "başka bir suretle erişilebilir hâle getirilmesi" çok daha geniş bir kapı. Rehber bu kapının arkasına neler girdiğini tek tek sayıyor.

Üç kriter: hepsi birden sağlanıyorsa aktarım vardır

Rehber, aktarım faaliyetini üç kritere ayırıyor. Bir işlemin yurt dışına aktarım sayılması için üçünün birden gerçekleşmesi gerekiyor:

1. Veriyi aktaran taraf Kanun'a tabi olmalı. Yani Türkiye'de yerleşik veya faaliyeti Türkiye'deki kişileri etkileyen bir veri sorumlusu ya da veri işleyen olmalısınız.
2. Veri iletilmeli veya erişilebilir hâle getirilmeli. Rehberin verdiği somut örnekler: bir hesap oluşturulması, mevcut bir hesaba erişim hakkı verilmesi, uzaktan erişim talebinin kabul edilmesi, bir sabit sürücünün yerleştirilmesi, bir dosyaya şifre gönderilmesi.
3. Karşı taraf coğrafi olarak üçüncü bir ülkede olmalı. O tarafın Kanun'a tabi olup olmaması sonucu değiştirmiyor.

Uzaktan erişim aktarımdır, ekranda görüntülemek bile

Rehberin en net cümlelerinden biri şu: üçüncü bir ülkeden uzaktan erişim, "yalnızca kişisel verilerin bir ekranda görüntülenmesi yoluyla gerçekleşse bile, örneğin destek durumlarında, sorun giderme veya yönetim amacıyla" aktarım kabul ediliyor. Aynı cümlede, bir hizmet sağlayıcının yurt dışında bulunan bulutunda depolama da aktarım sayılıyor.

Bunun günlük hayattaki karşılığı çok geniş. Türkiye'deki bir sunucuda duran müşteri veritabanınıza, yurt dışındaki bir destek ekibi sorun gidermek için bağlanıyorsa aktarım var. Yazılımınız Türkiye'de barındırılıyor ama hata izleme aracınız Amerika'daysa ve hata kayıtları müşteri e-postası içeriyorsa aktarım var. Veri fiziksel olarak hiç hareket etmese bile.

Aktarım sayılmayan hâl: veri size uğramadan gidiyorsa

Rehber, aktarım olmayan bir durumu da örnekle anlatıyor ve bu ayrım pratikte işe yarıyor. Türkiye'de yaşayan bir kişi, Türkiye pazarını hedefleyen ama yurt dışında mukim bir sitenin formuna adını ve e-postasını kendisi yazıyorsa, veri doğrudan ilgili kişiden elde edilmiş oluyor. Ortada veriyi ileten bir veri sorumlusu veya veri işleyen olmadığı için bu bir aktarım değil.

Ama rehber hemen ekliyor: bu işleme faaliyeti yine de Kanun'a tabi. Yani "aktarım değil" demek "kural yok" demek değil. Aydınlatma, güvenlik, saklama ve ilgili kişi hakları olduğu gibi devam ediyor.

Sonraki aktarımlar ve alt veri işleyenler: zincir kopmuyor

KVKK m.9/8, yurt dışına aktarılan verilerin sonraki aktarımları için de aynı güvencelerin sağlanacağını söylüyor. Rehberdeki bir örnek tam olarak modern yazılım yığınını tarif ediyor: Türkiye'deki bir veri sorumlusu, Türk bir şirketi veri işleyen olarak görevlendiriyor, o Türk şirket işin bir kısmını üçüncü ülkedeki bir alt veri işleyene devrediyor. Türk veri işleyenden alt veri işleyene giden bu adım aktarımdır ve m.9 hükümleri uygulanır.

Bu yüzden sağlayıcınızın alt yüklenici listesi, sözleşmenin en önemli ekidir. Türkiye'de barındırılan bir hizmet, e-posta gönderimi için yurt dışındaki bir servisi, arama için başka bir servisi, hata izleme için üçüncüsünü kullanıyor olabilir. Zincirin ilk halkasının yerli olması, sonraki halkaları görünmez yapmıyor.

Kim veri sorumlusu, kim veri işleyen: bu cevap hangi sözleşmeyi imzalayacağınızı belirler

Standart sözleşmenin dört tipi var ve doğru tipi seçmek için önce rolleri doğru koymanız gerekiyor. Kanun'un tanımı kısa: veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir.

Kural: siz karar veriyorsanız siz sorumlusunuz

Müşteri listenizin hangi amaçla toplandığına, ne kadar saklanacağına, kime gönderileceğine siz karar veriyorsanız veri sorumlusu sizsiniz. CRM sağlayıcınız bu kararları vermiyor, sizin talimatınızla saklıyor ve işliyorsa veri işleyendir. Bu, bulut yazılımlarının büyük çoğunluğunda geçerli olan tablodur.

Ama otomatik kabul etmeyin. Bazı hizmetler, size hizmet verirken aynı zamanda kendi amaçları için de veri işler. Reklam platformları, bazı analitik araçları ve bazı pazaryerleri bu gruba girer. Sağlayıcının sözleşmesinde "kendi meşru menfaatlerimiz doğrultusunda işleriz" tipinde ifadeler varsa, o taraf en azından bazı işlemeler bakımından veri sorumlusudur. Bu ayrım sözleşme tipini değiştirir.

Veri işleyen aktarım yapabilir, ama sizin sorumluluğunuz kalkmaz

Yönetmelik'in 7 nci maddesi bu noktayı tek başına bir madde yapmış. Veri işleyen, yurt dışına aktarım yaparken veri sorumlusunun belirlediği amaç ve kapsam çerçevesinde, onun talimatlarına uygun hareket eder ve gerekli teknik ve idari tedbirleri alır. İkinci fıkra ise şunu söylüyor: veri işleyenin aktarım yapması, usul ve esaslara uyulması ve güvencelerin sağlanması konusunda veri sorumlusunun sorumluluğunu ortadan kaldırmaz. Veri sorumlusu, tedbirlerin veri işleyen tarafından alınmasını sağlamakla yükümlüdür.

Türkçesi: "sağlayıcı halleder" diye bir savunma yok. Sağlayıcınızın aldığı önlemleri sormak, belgelendirmek ve dosyalamak sizin işiniz. Aynı maddenin üçüncü fıkrası, veri işleyenin bildirim yükümlüsü olduğu durumlarda veri sorumlusunun talimatını beklemeden bildirimi yapması gerektiğini söylüyor.

İkinci kademe: gerçek seçeneğiniz standart sözleşme

KVKK m.9/4, yeterlilik kararı yokken kullanılabilecek dört uygun güvence yöntemi sayıyor. Bunları eleyerek gidelim, çünkü küçük ve orta ölçekli bir işletme için üçü pratikte kapalı.

Kullanamayacağınız üç yöntem

Uluslararası sözleşme niteliğinde olmayan anlaşma: Yalnızca yurt dışındaki kamu kurumları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları arasında kullanılabiliyor, ayrıca Kurul izni gerekiyor. Özel sektörü ilgilendirmiyor.

Bağlayıcı şirket kuralları: Aynı teşebbüs grubu içindeki şirketler arasındaki aktarımlar için. Kurul'a başvurulup onaylanması gerekiyor, karşılığında grup içi aktarımlar için tek tek izin alma yükü kalkıyor. Çok uluslu gruplar için mantıklı bir yatırım, üç kişilik bir ekip için değil. Ayrıca bu yöntem yalnızca grup içi aktarımı kapsıyor, kullandığınız dış yazılımları kapsamıyor.

Taahhütname ve Kurul izni: Standart sözleşmenin uygulanamadığı, sektörel veya bölgesel zorunluluk barındıran durumlar için bırakılmış bir kapı. Kurul'un tek tek incelemesini ve iznini gerektiriyor. Eski rejimde bu yolun ne kadar dar olduğunu yukarıdaki 86'ya 10 rakamı gösteriyor.

Kullanacağınız yöntem: dört tipten biri

Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört ayrı standart sözleşme metni kabul edildi ve 10 Temmuz 2024 tarihli kamuoyu duyurusuyla yayımlandı. Aynı duyuruda bağlayıcı şirket kuralları başvuru formları ve yardımcı kılavuzlar da var. Metinlerin İngilizce çevirileri de ayrıca yayımlandı, bu yurt dışındaki karşı tarafla masaya oturduğunuzda hayat kurtarıyor.

Bir ajans için bu tablonun iki satırı birden geçerli olabilir. Kendi müşteri listeniz için SS-2, hizmet verdiğiniz markanın verisini yurt dışındaki bir araca aktarırken SS-3. Aynı şirket, farklı ilişkiler için farklı metinler imzalar. Her aktarım ilişkisi ayrı değerlendirilir.

Standart sözleşmeyi doğru hazırlamak: metne dokunamazsınız, eklere dokunmak zorundasınız

Standart sözleşme, adı üstünde standart. Kurul'un ilan ettiği metin olduğu gibi kullanılır. Rehberin ifadesiyle, taraflar yalnızca seçimlik veya alternatif içerikli maddeler üzerinde değişiklik yapabilir; bunun dışında metne ekleme, çıkarma veya değişiklik yapılmamalıdır. Yönetmelik'in 14 üncü maddesinin yedinci fıkrası, ilan edilen metinde değişiklik yapılması ya da taraflardan birinin geçerli imzasının bulunmaması hâlinde Kurul'un Kanun'un 15 inci maddesi uyarınca inceleme yapacağını söylüyor. Yani sözleşmeyi "iyileştirmek" sizi denetime çağırır.

Dil meselesi: Türkçe metin esastır

Yönetmelik m.14/3'e göre standart sözleşme yabancı dilde de akdedilirse Türkçe metin esas alınır. Rehber, pratik çözümü de veriyor: Kurum'a çift sütunlu olarak, Türkçe ve başka bir dilde düzenlenmiş sözleşme bildirmek yükümlülüğü karşılıyor. Yurt dışındaki sağlayıcınıza "bu Türkçe belgeyi imzala" demek zorunda kalmıyorsunuz, iki dilli tek bir metin yeterli.

Eklerde ne isteniyor

Ekler, sözleşmenin ayrılmaz parçasıdır ve asıl emek isteyen kısım da burasıdır. Rehberin saydığı başlıklar şunlar:

• İlgili kişi grubu veya grupları: müşteriler, potansiyel müşteriler, çalışanlar, aday çalışanlar, tedarikçi çalışanları gibi.
• Aktarılan kişisel veri kategorileri: kategori ve tür bazında. Örneğin "iletişim" kategorisi altında "e-posta adresi", "cep telefonu numarası". Varsa özel nitelikli veriler ayrıca belirtilir.
• Aktarımın hukuki sebebi: Kanun'un 5 ve 6 ncı maddelerindeki hangi işleme şartına dayandığınız.
• Aktarım sıklığı: tek seferlik mi, sürekli mi.
• İşleme faaliyetinin niteliği: saklama, kaydetme, yayımlama, birleştirme, kategorize etme gibi.
• Aktarımın ve sonraki işlemenin amaçları: rehberin örnekleri arasında "müşteri destek hizmetlerinin sağlanması" ve "piyasa araştırması" var.
• Saklama süresi: kesin süre yazılamıyorsa süreyi belirleyen ölçüt yazılır. Farklı veri kategorileri farklı sürelere tabiyse ayrı ayrı belirtilir.
• Alıcılar veya alıcı grupları: sonraki aktarımın yapılacağı taraflar. Rehber bu bölümün sözleşme süresince güncel tutulmasını istiyor.
• VERBİS bilgileri: veri aktaran veri sorumlusu sicile kayıtla yükümlüyse, SS-1 ve SS-2'de VERBİS bilgilerine yer verilir ve bu bilgiler VERBİS kayıtlarıyla uyumlu olmalıdır.
• Alt veri işleyene aktarımlar: SS-2 ve SS-3'te, alt veri işleyenin yaptığı işin konusu, niteliği ve süresi açıklanır.

Son maddeye dikkat edin. Standart sözleşme ekleriniz ile VERBİS kaydınızın birbirini tutması bekleniyor. VERBİS'te "yurt dışına aktarım yapılmıyor" yazıp aynı ay standart sözleşme bildirmek, kendi elinizle çelişki üretmektir.

Bildirime eklenecek belgeler

Rehber, Kurum'a yapılacak bildirimde üç şeyin bulunması gerektiğini söylüyor: aktarımın niteliğine uygun standart sözleşme metninin doldurulmuş ve imzalanmış nihai hâli, imzalayanların yetkili olduğunu gösterir belgeler, ve yabancı dildeki belgelerin noter onaylı çevirisi. Yabancı ülkede düzenlenmiş resmî belgeler için apostil şerhi gerekebiliyor; Yabancı Resmî Belgelerin Tasdiki Mecburiyetinin Kaldırılması Sözleşmesi'ne taraf ülkelerde apostil yeterli, diğerlerinde konsolosluk onayı gerekiyor.

Bu, ilk sözleşmede iki üç hafta sürebilecek bir iş. Sözleşmeyi imzaladıktan sonra başlamak için değil, öncesinde hazırlanmak için bir sebep.

Beş iş günü: bu bir onay süreci değil, ayrı bir kabahat

Uygulamada en çok atlanan adım burası. Standart sözleşmenin en güzel yanı, Kurul'dan izin veya yetkilendirme almanıza gerek olmaması. İmzalanmış uygun tipte bir sözleşme varsa aktarımı yapabilirsiniz. Ama KVKK m.9/5, sözleşmenin taraflarca imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesini zorunlu kılıyor.

Bunu bir başvuru sanmayın. Kurum size "onaylandı" yanıtı vermiyor. Bildirim, Kurum'un yurt dışına giden veri akışını takip edebilmesi için var. Ama bildirmemek, Kanun'un 18 inci maddesinin birinci fıkrasının (d) bendi uyarınca bağımsız bir idari para cezası doğuruyor.

Kim bildirir

Yönetmelik m.14/5, bildirim yükümlülüğünün veri aktaran tarafından mı yoksa veri alıcısı tarafından mı yerine getirileceğinin sözleşmede kararlaştırılabileceğini söylüyor. Sözleşmede böyle bir belirleme yoksa bildirimi veri aktaran yapar. Yani siz. Yurt dışındaki sağlayıcınız "biz hallederiz" demediyse ve bunu sözleşmeye yazmadıysa, yükümlülük sizde.

Bir de veri işleyen durumu var: veri işleyen sıfatındaki taraf bildirimle yükümlüyse, Yönetmelik m.7/3 gereği veri sorumlusunun talimatını beklemeden bildirimi yapar.

Nasıl bildirilir

Üç yol var: fiziki olarak elden veya posta ile, kayıtlı elektronik posta (KEP) adresi üzerinden, ya da Kurul'un belirlediği diğer yöntemlerle. Bu üçüncüsü, 25 Ekim 2024 tarihli Standart Sözleşme Bildirim Modülü duyurusuyla hayata geçti. Kurul'un 17 Ekim 2024 tarihli ve 2024/1793 sayılı kararı ile çevrimiçi bir bildirim sistemi kuruldu ve standartsozlesme.kvkk.gov.tr adresinde kamunun kullanımına açıldı. Modülde veri sorumlusu veya veri işleyen olarak hesap açılıyor, yetkili kişi girişi ayrıca tanımlanıyor.

Bir kere bildirmek yetmiyor

Rehber, bildirimden sonra verdiğiniz bilgilerde değişiklik olması ya da sözleşmenin sona ermesi hâlinde tekrar bildirim yapılması gerektiğini söylüyor. Standart sözleşme metinleri iki değişikliği ayrıca işaret ediyor:

• SS-1'de, sonraki aktarım yapılacak alıcı veya alıcı gruplarında değişiklik olması.
• SS-2 ve SS-3'te, sonraki aktarım alıcılarında ve alt veri işleyenlerde değişiklik olması.

Pratikte bu şu demek: sağlayıcınız alt yüklenici listesine yeni bir isim eklediğinde sizin dosyanız eskimiş oluyor. Sağlayıcınızın alt yüklenici değişiklik bildirimlerine abone olun, gelen her bildirimi eklerinizi güncellemek için bir tetikleyici sayın.

Üçüncü kademe: arızi haller ve açık rızanın neden kurtarmadığı

Formunuzun altındaki "yurt dışına aktarıma açık rıza veriyorum" kutusu, 1 Eylül 2024'ten sonra düzenli aktarımlar için işlevini kaybetti. Sebebi açık rızanın zayıflığı değil, üçüncü kademenin kapısındaki "arızilik" şartı.

Arızi ne demek

Rehberin tanımı net: arızi aktarım, düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan hâlleri ifade eder. Birden fazla kez olabilir, ama öngörülemeyen koşullar altında ve belirsiz zaman aralıklarında olması gerekir.

Rehber iki örnekle sınırı çiziyor. Bir turizm şirketinin müşteri rezervasyon bilgilerini yurt dışına aktarması arızi değildir, çünkü şirketin olağan faaliyet akışı içindedir. Buna karşılık, yurt dışındaki müşterileri ziyaret edecek bir satış müdürünün bilgilerinin toplantı ayarlamak için karşı tarafa gönderilmesi arızi kabul edilebilir.

Bir cümle daha var ve doğrudan yazılım kullanımını ilgilendiriyor: "veri alıcısına, bir veri tabanına doğrudan erişim izni verilmesi de kural olarak düzenli ve süreklilik arz eden bir veri aktarımı olarak kabul edileceğinden bu kapsamda sayılmayacaktır." Bulut CRM'e her yeni kişi kaydı yazıldığında veri yurt dışına gidiyorsa, bu tanım gereği süreklidir. Arızi değildir. Açık rıza yolu kapalıdır.

Açık rızaya dayanacaksanız da eşik yüksek

Diyelim ki gerçekten arızi bir aktarım var. O zaman bile açık rıza kolay bir kutucuk değil. Rehber üç şartı ayrıntılandırıyor:

• Belirli bir konuya ilişkin olmalı. Rıza, belirli bir aktarım veya belirli aktarımlar için verilmiş olmalı ve aktarımdan önce alınmalı. Rehberin örneği çarpıcı: teslimat amacıyla veri toplarken alınan rıza, şirketin daha sonra yurt dışından devralınması üzerine yapılacak aktarım için yeterli değildir.
• Bilgilendirmeye dayanmalı. Bilgilendirme; veri aktaranın kimliğini, aktarımın amacını, aktarılan veri türlerini, rızayı geri alma hakkını, açık rızanın hukuki dayanak olduğunu ve aktarım yapılacak ülke hakkında yeterlilik kararı bulunmadığını içermeli.
• Muhtemel riskler ayrıca anlatılmalı. Kanun m.9/6(a), ilgili kişinin "muhtemel riskler hakkında bilgilendirilmesi" şartını arıyor. Rehber örnekliyor: aktarım yapılacak ülkede bir denetim otoritesinin bulunmayabileceği, veri işleme ilkelerinin veya ilgili kişi haklarının orada sağlanmayabileceği gibi bilgiler.

Üstüne bir de özgür irade şartı var. Rehber, belli bir hizmetin veya ürünün sağlanmasının açık rıza koşuluna bağlanmasını, açık rızanın özgür iradeyle açıklanmadığına örnek gösteriyor. Yani "rıza vermezseniz bu formu gönderemezsiniz" tasarımı, rızayı geçersiz kılar. Ve ilgili kişi rızasını her zaman geri alabilir. Rehberin kendi ifadesiyle, "açık rızaya dayanarak yurt dışına veri aktarımı için oldukça yüksek bir eşik belirlenmiştir."

Sözleşmenin ifası istisnası da düşündüğünüz kadar geniş değil

"Müşterimle sözleşmem var, aktarım bunun ifası için zorunlu" savunması, iki filtreye takılıyor: zorunluluk ve arızilik. Rehberin verdiği olumsuz örnek doğrudan iş yazılımlarını hedefliyor: bir şirket grubunun bordro ve insan kaynakları faaliyetlerini yurt dışında sürdürmesi, iş sözleşmesinin ifası için zorunlu sayılmaz, çünkü aktarımla sözleşmenin ifası arasında doğrudan ve nesnel bir bağlantı yoktur. Rehber bu durumda standart sözleşme veya bağlayıcı şirket kurallarına başvurulmasının daha makul olacağını söylüyor.

Kısacası: gündelik iş yazılımınız için üçüncü kademeye bakmayın. Cevap ikinci kademede.

Araç araç karar tablosu: sizin yığınınız hangi kategoride

Şimdi asıl işe gelelim. Aşağıdaki tablo, tipik bir Türk küçük işletmesinin kullandığı araç türlerini kategoriye ayırıyor. "Tipik rol" sütunu genel durumu gösterir; sizin sağlayıcınızın sözleşmesi farklı olabilir, önce onu okuyun.

Sosyal ağların özel durumu

Bu tablodaki en yanıltıcı satır sonuncudan bir önceki. Bir sosyal medya platformunun sayfasını yönetiyorsanız, platform sizin veri işleyeniniz değildir. Kendi kuralları, kendi amaçları ve kendi gizlilik politikası olan ayrı bir veri sorumlusudur. Ona standart sözleşme imzalatamazsınız, zaten imzalamaz. Sizin sorumluluğunuz, o platformdan gelen mesajları kendi sisteminize taşıdığınız noktada başlar. Tüm kanalları tek gelen kutusunda toplayan bir araç kullanıyorsanız aktarım incelemeniz o aracı hedef almalı, platformu değil.

Analitik ve canlı sohbette "kişisel veri var mı" sorusu

Analitik araçlarında pratik test şudur: gönderilen veri tek başına veya elinizdeki diğer verilerle birleştirildiğinde bir kişiyi belirlenebilir kılıyor mu. IP adresi, çerez kimliği, cihaz parmak izi ve giriş yapmış kullanıcı kimliği genellikle bu tanıma girer. Bunları göndermeyen, gerçekten toplulaştırılmış bir sayaç kullanıyorsanız aktarım tartışması bitmiştir. Ama pek çok araç "anonim" derken aslında takma adlı veri işler. Kanun'un 3 üncü maddesi kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" diye tanımladığı için, kaydın sizde duran başka bir bilgiyle eşleştirilip kişiye geri bağlanabildiği her durumda ortada kişisel veri vardır.

Canlı sohbette risk daha yüksektir, çünkü içeriği siz üretmiyorsunuz. Müşteri sohbet kutusuna kimlik numarasını, hastalığını veya kart bilgisini yazabilir. Bu yüzden canlı sohbet kayıtlarının saklama süresi kısa tutulmalı ve sohbet penceresine ne yazılmaması gerektiği açıkça belirtilmelidir.

Yapay zekâ: müşteri mesajınız bir dil modeline gittiğinde ne oluyor

2026'nın en çok sorulan sorusu bu ve Türkçe kaynak neredeyse yok. Cevabı bulmak için yeni bir kural aramaya gerek yok, yukarıdaki üç kriteri uygulamak yetiyor.

Üç kriteri uygulayalım

Müşterinizden gelen bir WhatsApp mesajını, yanıt taslağı üretmesi için yurt dışındaki bir dil modeli sağlayıcısının API'sine gönderiyorsunuz. Birinci kriter: siz Türkiye'de yerleşik bir veri sorumlususunuz, Kanun'a tabisiniz. İkinci kriter: mesaj metnini ilettiniz. Üçüncü kriter: alıcı üçüncü bir ülkede. Üçü de sağlandı. Bu bir yurt dışına aktarımdır.

Peki arızi olabilir mi? Hayır. Gelen her mesaj için çalışan bir otomasyon, tanım gereği düzenli, sürekli ve olağan faaliyet akışı içindedir. Dolayısıyla ikinci kademeye, standart sözleşmeye düşüyorsunuz. Sağlayıcı sizin talimatınızla ve sizin belirlediğiniz amaçla işlediği için tipik dağılım veri sorumlusundan veri işleyene, yani SS-2.

"Verilerim eğitimde kullanılmıyor" cümlesi aktarımı ortadan kaldırmaz

Model sağlayıcılarının dokümanları bu konuda genellikle açık. Örneğin OpenAI'nin geliştirici dokümantasyonuna göre API'ye gönderilen veriler, açıkça tercih edilmedikçe model eğitiminde kullanılmıyor; kötüye kullanım izleme kayıtları en fazla 30 gün saklanıyor ve uygun müşteriler için sıfır veri saklama seçeneği bulunuyor. Aynı dokümanda veri ikametgâhı seçenekleri de listeleniyor: bölgesel işleme için Amerika Birleşik Devletleri, Avrupa (Avrupa Ekonomik Alanı ve İsviçre) ve Birleşik Arap Emirlikleri; yalnızca depolama için Avustralya, Kanada, Japonya, Hindistan, Singapur, Güney Kore ve Birleşik Krallık.

Bu listede Türkiye yok. Yani veriyi Türkiye'de tutma seçeneği bulunmuyor, aktarım kaçınılmaz. Eğitimde kullanılmaması ve kısa saklama süresi risk azaltıcı önlemlerdir, hukuki dayanağın yerine geçmez.

Kurum'un yapay zekâ tavsiyeleri ne diyor

Kişisel Verileri Koruma Kurumu, Nisan 2025'te Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler belgesini yayımladı (KVKK Yayınları No: 76). Bu bir yönetmelik değil, tavsiye metni; ama Kurum'un beklentisini gösteriyor. İş tarafını doğrudan ilgilendiren maddeler şunlar:

• Paydaşların veri sorumlusu veya veri işleyen olma statüleri projenin başında belirlenmeli ve aralarındaki hukuki ilişki mevzuatla uyumlu hâle getirilmeli.
• Aynı sonuca kişisel veri işlemeden ulaşılabiliyorsa, verilerin anonim hâle getirilerek işlenmesi tercih edilmeli.
• Kullanılan verilerin kalitesi, niteliği, kaynağı, miktarı ve içeriği değerlendirilerek asgari veri kullanımına gidilmeli.
• Yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi uygulanmalı.
• Uygulamayla etkileşime giren kişiler, veri işlemenin gerekçeleri, yöntemleri ve muhtemel sonuçları hakkında aydınlatılmalı.
• Karar alma süreçlerinde insan müdahalesinin rolü tesis edilmeli; bireylerin, münhasıran kendi görüşleri dikkate alınmaksızın otomatik işlemeye dayalı olarak kendilerini etkileyecek bir karara maruz kalmamalarını sağlayacak ürün ve hizmetler tasarlanmalı.

Pratikte ne yapmalı

Yapay zekâ kullanımını hukuka uygun hâle getirmek için sırasıyla şunlar:

1. Sağlayıcıyla uygun tipte standart sözleşme imzalayın ve beş iş günü içinde bildirin.
2. Aydınlatma metninize yapay zekâ kullanımını ve yurt dışına aktarımı ekleyin. Aydınlatma yükümlülüğünün kapsamı, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile belirlenmiş; "kişisel verilerin kimlere ve hangi amaçla aktarılabileceği" zaten asgari unsurlar arasında.
3. Modele giden veriyi kısın. Tam ad yerine hitap, tam telefon yerine son dört hane, adres yerine il bilgisi çoğu senaryoda yeterlidir.
4. Özel nitelikli veriyi modele göndermeyin. Sağlık, din, biyometri ve ceza mahkûmiyeti verisi için ek tedbir yükümlülüğü var ve otomatik akışlarda bunu kontrol etmek zordur.
5. Hangi mesajın modele gittiğini ve ne yanıt üretildiğini kayıt altına alın. Denetimde "sistem böyle karar verdi" cümlesi kabul edilebilir bir açıklama değil.

Son maddenin ürün tarafındaki karşılığı şu: kullandığınız yazılım, yapay zekânın hangi mesajı okuduğunu ve ne ürettiğini görebileceğiniz bir kayıt tutmalı. CRM Solid'de bu, tüm planlarda açık olan yapay zekâ şeffaflık kaydıyla yapılıyor; Pro ve üzeri planlarda kendi model anahtarınızı getirip ilişkiyi doğrudan sağlayıcıyla kurabiliyorsunuz, bu da standart sözleşmenin taraflarını sadeleştiriyor. Türkçe konuşan bir asistanı sıfırdan kurmanın operasyonel tarafını merak ediyorsanız, Türkçe yapay zekâ müşteri temsilcisi kurmayı anlatan yazı bu işin veri tarafını değil, kurulum tarafını ele alıyor.

Veri envanteri: bir öğleden sonrada bitirilebilecek iş

Yukarıdaki tabloların hepsi, elinizde bir liste yoksa işe yaramaz. Envanter çıkarmak, uyumun en sıkıcı ama en getirisi yüksek adımı. Çünkü bir kere çıkardığınızda, hem standart sözleşme eklerini doldurmak kolaylaşıyor hem de VERBİS bildiriminiz kendiliğinden şekilleniyor.

Araçları nereden bulacaksınız

Kimse tüm araçlarını hatırlamıyor. Dört kaynağa bakın:

• Şirket kartı ekstresi ve abonelik faturaları. Aylık ödediğiniz her yazılım bir satırdır.
• Alan adı DNS kayıtlarınız. SPF ve MX kayıtları, e-postanızı kimin taşıdığını ve hangi servislerin sizin adınıza posta gönderdiğini açık eder.
• Web sitenizin kaynak kodu ve tarayıcının ağ sekmesi. Sayfa açıldığında hangi alan adlarına istek gittiğini gösterir. Genellikle bilmediğiniz iki üç servis çıkar.
• Ekibin tarayıcı sekmeleri. "Ben şu aracı kullanıyorum" cevapları, resmi listede olmayan araçları ortaya çıkarır. Gölge yazılım en sık burada yakalanır.

Envanter tablosu şablonu

Aşağıdaki sütun yapısını bir hesap tablosuna kurun. İlk iki satır, nasıl doldurulacağını göstermek için yazılmış kurgu örneklerdir, gerçek bir işletmeye ait değildir.

Sekiz sütunun her biri bir iş yapıyor. "Veri kategorisi" ve "kişi grubu" doğrudan standart sözleşme eklerine geçiyor. "Rolüm" hangi sözleşme tipini seçeceğinizi söylüyor. "Bildirim durumu" beş iş günü kuralını takip etmenizi sağlıyor. "Saklama süresi" ise hem sözleşme ekinde isteniyor hem de saklama ve imha politikanızın temeli.

Envanteri canlı tutmanın tek yolu

Envanter, bir kere doldurulup unutulan bir dosya olduğunda değersizleşir. Üç tetikleyici belirleyin: yeni bir araç satın alındığında, mevcut bir sağlayıcı alt yüklenici değişikliği bildirdiğinde ve yılda bir kez planlı gözden geçirmede. Bu üç anın dışında dokunmanıza gerek yok.

Bir de çıkış planı yapın. Kullandığınız yazılımdan verinizi tam olarak dışarı alamıyorsanız, sağlayıcı değiştirmek teorik bir seçenek olarak kalır ve pazarlık gücünüz sıfırlanır. CRM Solid'de tam veri dışa aktarımı ücretsiz plan dahil bütün planlarda açık; bunu bir özellik olarak değil, sözleşme feshi hâlinde verilerin iadesi yükümlülüğünün pratik karşılığı olarak düşünün. Standart sözleşmenin son hükümler bölümü de zaten sözleşmenin sona ermesi hâlinde verilerin iadesi veya imhasına ilişkin usulleri düzenliyor. Elektronik tablolardan düzenli bir sisteme geçmeyi planlıyorsanız, Excel'den CRM'e göç rehberi göçün veri hijyeni tarafını anlatıyor.

Yerli barındırmanın gerçek avantajı ve gerçek sınırı

"Türkiye'de barındırılan bir ürün seçelim, iş biter" yaklaşımı yarı doğru. Neyi kaldırdığını ve neyi kaldırmadığını ayırmak gerekiyor.

Gerçekten kaldırdıkları

Veri Türkiye'de kalıyor, dışarıdan erişim yok ve alt yüklenici zinciri de yurt içindeyse, KVKK m.9 zinciri devreye girmez. Standart sözleşme imzalamazsınız, beş iş günü bildirimi yapmazsınız, standart sözleşme bildirim yükümlülüğüne aykırılık cezasıyla karşılaşmazsınız. Ek olarak, veri talebi hâlinde muhatabınız Türk hukukuna tabi bir taraftır; uygulamada bu, ilgili kişi başvurularını 30 günde cevaplamayı kolaylaştırır.

Kaldırmadıkları

Bu kısmı dürüstçe yazmak gerekiyor, çünkü "yerli sunucu = KVKK uyumlu" denklemi yanlıştır. Yerli barındırma şunları hiç değiştirmez:

• Aydınlatma yükümlülüğü. KVKK m.10 ve ilgili Tebliğ, verinin nerede durduğuna bakmaz. İspat yükü veri sorumlusundadır.
• Veri güvenliği yükümlülüğü. KVKK m.12 gereği teknik ve idari tedbirler aynen gerekir. Kurum'un Ocak 2018 tarihli Kişisel Veri Güvenliği Rehberi, bulutta depolama için somut beklentiler sayıyor: bulutta hangi verilerin durduğunun detaylıca bilinmesi, yedekleme, senkronizasyon, uzaktan erişimde iki kademeli kimlik doğrulama, verilerin kriptografik yöntemlerle şifrelenmesi ve her bulut çözümü için ayrı şifreleme anahtarları kullanılması. Hizmet ilişkisi sona erdiğinde şifreleme anahtarlarının tüm kopyalarının yok edilmesi de bu listede. Bu maddelerin hiçbiri sunucunun Türkiye'de olmasıyla ortadan kalkmıyor.
• VERBİS kaydı. Eşiklerin üstündeyseniz kayıt zorunluluğu yerli barındırmayla bitmiyor.
• Saklama ve imha politikası. Süresi dolan verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi yükümlülüğü aynı.
• İlgili kişi hakları. Bilgi talebi, düzeltme, silme ve itiraz başvurularını karşılamak yine sizin işiniz.
• Ticari elektronik ileti kuralları. KVKK ile 6563 sayılı Kanun ayrı rejimlerdir. Sunucunuz Ankara'da olsa da izinsiz toplu mesaj gönderemezsiniz. Bu ayrımı WhatsApp toplu mesajın yasallığını inceleyen yazıda ayrıntılı ele aldık, izin altyapısının işleyişini ise İYS rehberinde bulabilirsiniz.

Zincirin ilk halkası yerli olabilir, ikincisi olmayabilir

En sık atlanan tuzak bu. Türkiye'de barındırılan bir yazılım, işlem e-postalarını yurt dışındaki bir gönderim servisiyle atıyor olabilir. Harita, arama, hata izleme, video barındırma, faturalandırma, canlı destek, hepsi ayrı sağlayıcı olabilir. KVKK m.9/8 sonraki aktarımlar için de aynı güvenceleri istiyor. Dolayısıyla sağlayıcı seçerken sorulacak soru "sunucunuz nerede" değil, "alt yüklenici listeniz nedir ve nerede duruyorlar".

Bu sorunun cevabını yazılı isteyin. Ciddi bir sağlayıcı, alt yüklenici listesini yayımlar ve değişiklikleri önceden duyurur. Duyurmuyorsa, envanterinizi güncel tutmanız mümkün değil demektir. Kendi tarafımızda bu tür bilgileri güvenlik sayfamızda topluyoruz; hangi sağlayıcıyı değerlendirirseniz değerlendirin, benzer bir sayfa arayın.

VERBİS: kim kayıt olacak, kim muaf

Kural basit: Kanun'un 16 ncı maddesi uyarınca tüm veri sorumluları Veri Sorumluları Siciline kayıt olmak zorunda. Kayıt, veri işleme faaliyetine başlamadan önce yapılmalı. Kurum'un sicile kayıt istisnaları sayfası, Kurul'a objektif kriterlerle istisna getirme yetkisi verildiğini belirtiyor.

Eşikler

Kurul'un 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararıyla, istisna kriterindeki mali eşik güncellendi. Önceki kriter yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan veri sorumlularını kapsıyordu; karar bu tutarı 100 milyon TL'ye çıkardı. İstisna, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları için geçerli.

Üç noktaya dikkat edin. Birincisi, iki şart birlikte aranıyor: hem çalışan sayısı hem bilanço eşiğin altında olmalı. İkincisi, ana faaliyeti özel nitelikli veri işlemek olan işletmeler (sağlık kuruluşları, laboratuvarlar gibi) eşiklerin altında olsa bile muaf değil. Üçüncüsü, bu istisna yalnızca sicile kayıt yükümlülüğünü kaldırır; Kanun'un diğer bütün yükümlülükleri devam eder.

Kayıtla standart sözleşmeyi birbirine bağlayın

Standart sözleşme eklerinde VERBİS bilgilerinizin istendiğini ve bu bilgilerin sicil kayıtlarınızla uyumlu olması gerektiğini yukarıda gördük. Bunun tersi de doğru: VERBİS bildiriminde yurt dışına aktarılan veri kategorileri ve aktarılan ülkeler alanları var. İki belgeden birini güncellerken diğerine bakmayı alışkanlık hâline getirin. Denetimde en hızlı yakalanan çelişki bu ikisinin arasından çıkar.

2026 idari para cezaları ve gerçek risk hesabı

KVKK'daki idari para cezaları, Kabahatler Kanunu uyarınca her yıl 1 Ocak'tan itibaren yeniden değerleme oranıyla güncelleniyor. 2026 yılı tutarları, 27 Kasım 2025 tarihli ve 33090 sayılı Resmî Gazete'de yayımlanan 585 sıra numaralı Vergi Usul Kanunu Genel Tebliği ile açıklanan %25,49 yeniden değerleme oranına göre belirlendi.

Tutarların derlemesi için Esenyel Partners'ın 2026 KVKK idari para cezaları özetine bakabilirsiniz; ceza maddelerinin kendisi 6698 sayılı Kanun'un 18 inci maddesinde, Mevzuat Bilgi Sistemi üzerinden okunabilir.

Ceza tablosunu doğru okumak

Bu rakamlara bakıp panik yapmanın da, "bize gelmez" demenin de anlamı yok. Kanun'un 15 inci maddesi, Kurul'un hem ilgili kişinin şikâyeti üzerine hem de ihlal iddiasını öğrendiğinde resen inceleme yapabileceğini söylüyor. Yani iki ayrı kapı var: bir müşterinin ya da eski bir çalışanın şikâyeti ve Kurum'un kendiliğinden başlattığı inceleme. Kanun'un 12 nci maddesinin beşinci fıkrası gereği bir veri ihlalini Kurul'a bildirmek zorunda kaldığınızda ikinci kapı da açılır.

Ve en önemlisi: standart sözleşme bildirimi yapmamanın cezası tabloda en düşük olanı, ama tetiklenmesi en kolay olanı. Çünkü ortada tartışma yok. Sözleşme imzalanmış mı, imzalanmışsa beş iş günü içinde bildirilmiş mi. İki soru, iki cevap. Aydınlatma metninizin yeterliliği tartışılabilir, bildirim tarihinin geçmiş olması tartışılamaz.

Uygulama kontrol listesi

Aşağıdaki on sekiz maddeyi sırayla yapın. İlk altısı bir öğleden sonra, kalanı birkaç haftaya yayılır.

1. Kullandığınız tüm yazılımların listesini çıkarın. Kart ekstresi, DNS kayıtları, sitenizin ağ istekleri ve ekibin sekmeleri, dört kaynak.
2. Her araç için sunucu ve destek konumunu yazılı olarak öğrenin. "Bilmiyoruz" cevabı da bir bulgudur, not edin.
3. Her araç için üç kriteri uygulayın ve aktarım var mı yok mu kararını satıra yazın.
4. Aktarım olan her satır için rolleri belirleyin: siz veri sorumlusu musunuz veri işleyen mi, karşı taraf ne.
5. Rollere göre doğru standart sözleşme tipini seçin: SS-1, SS-2, SS-3 veya SS-4.
6. Sağlayıcıdan alt yüklenici listesini ve değişiklik bildirim kanalını isteyin.
7. Sözleşme metnini Kurul'un yayımladığı hâliyle indirin. Seçimlik maddeler dışında metne dokunmayın.
8. Ekleri doldurun: kişi grubu, veri kategorileri, hukuki sebep, aktarım sıklığı, işleme niteliği, amaç, saklama süresi, alıcı grupları, VERBİS bilgileri, alt veri işleyenler.
9. Türkçe ve yabancı dilde çift sütunlu bir metin hazırlayın.
10. İmza yetkisi belgelerini ve gerekiyorsa noter onaylı çeviri ile apostil şerhini önceden hazırlayın.
11. Sözleşmeyi imzalayın. İmza tarihini takvime işleyin ve beş iş günlük süreyi hemen sayın.
12. Bildirimi yapın: Standart Sözleşme Bildirim Modülü, KEP veya fiziki yol. Bildirim kaydını arşivleyin.
13. Aydınlatma metninizi güncelleyin: kimlere ve hangi amaçla aktarıldığı, yurt dışı aktarımın varlığı ve kullanılan güvence yöntemi.
14. VERBİS kaydınızı gözden geçirin ve standart sözleşme ekleriyle tutarlı hâle getirin. Eşiklerin altındaysanız bunu da bir notla kayıt altına alın.
15. Saklama ve imha politikanızı, envanterdeki saklama süreleriyle eşleyin.
16. Veri güvenliği tarafını kapatın: erişim yetkileri, iki kademeli kimlik doğrulama, şifreleme, yedekleme, her bulut çözümü için ayrı anahtar.
17. İlgili kişi başvuruları için tek bir kanal ve sorumlu belirleyin, cevap süresini takip edin.
18. Üç tetikleyici tanımlayın: yeni araç alımı, sağlayıcının alt yüklenici değişikliği, yıllık gözden geçirme. Envanteri yalnızca bu üç anda güncelleyin.

Bu listeyi tamamladığınızda elinizde üç dosya olur: envanter tablosu, imzalı sözleşmeler ve bildirim kayıtları. Bir denetim veya şikâyet durumunda istenen de tam olarak bu üçüdür.

Sık sorulan sorular

Yurt dışı sunucuda müşteri verisi tutmak KVKK'ya aykırı mı?

Hayır. 1 Haziran 2024'te yürürlüğe giren KVKK m.9, yurt dışına aktarımı yasaklamıyor, şarta bağlıyor. Aktarım yapılacak ülke hakkında yeterlilik kararı yoksa, uygun güvencelerden biri sağlanarak aktarım yapılabilir. Ticari işletmeler için bu pratikte standart sözleşme demek. Aykırılık, aktarımın kendisinde değil, hiçbir güvence sağlamadan veya sözleşmeyi imzalayıp bildirmeden aktarım yapmakta.

Kullanıcılarımdan açık rıza aldım, yine de standart sözleşme lazım mı?

Düzenli aktarımlar için evet. Açık rıza, KVKK m.9/6'daki istisnai aktarım hâllerinden biri ve bu maddenin kullanılabilmesi için aktarımın arızi olması gerekiyor. Rehberin tanımıyla arızi aktarım, düzenli olmayan, süreklilik göstermeyen ve olağan faaliyet akışı dışında kalan aktarımdır. Her yeni kayıtta veri gönderen bir bulut yazılımı bu tanıma girmiyor. 1 Eylül 2024'te geçiş dönemi de kapandığı için, tek başına açık rıza artık düzenli aktarımların dayanağı olamaz.

Standart sözleşmeyi Kurul onaylıyor mu, cevap ne kadar sürüyor?

Onay süreci yok. Rehber açıkça belirtiyor: Kurul tarafından izin verilmesi veya yetkilendirme yapılması gerekmeksizin, aktarım tipine uygun imzalanmış bir standart sözleşmenin varlığı hâlinde veriler yurt dışına aktarılabilir. Bildirim, sonradan yapılan bir bilgilendirmedir, ön izin değildir. Dolayısıyla "cevap bekliyorum" diye aktarımı durdurmanız gerekmiyor. Ancak bildirimin beş iş günü içinde yapılması zorunlu ve bunun cezası ayrıdır.

Sağlayıcım Kurul'un standart sözleşmesini imzalamıyor, ne yapacağım?

Bu gerçek bir sorun ve dürüst cevabı şu: büyük küresel sağlayıcıların bir kısmı Türkiye'ye özgü metinleri imzalamakta isteksiz. Sırasıyla şunları deneyin. Önce sağlayıcının kurumsal veya işletme planlarında Türkiye eki sunup sunmadığını sorun, bazıları sunuyor. Sonra çift sütunlu Türkçe ve İngilizce metin teklif edin, çeviri engeli çoğu zaman böyle aşılıyor. Bu da olmuyorsa, o veri akışını mimari olarak kesmeyi değerlendirin: kişisel veriyi o araca hiç göndermeyin, maskeleyin veya toplulaştırın. Son çare, aynı işi Türkiye'de barındırılan veya sözleşmeyi imzalayan bir alternatifle yapmaktır. Hukuka uygun olmayan bir aktarımı sürdürmek, listedeki en kötü seçenek.

Bir yapay zekâ sohbet aracına müşteri mesajını yapıştırmak aktarım mı?

Evet. Aracın tarayıcıdan mı yoksa API üzerinden mi kullanıldığı sonucu değiştirmiyor. Siz Kanun'a tabi bir veri sorumlusu olarak kişisel veriyi ilettiniz, alıcı üçüncü bir ülkede. Üç kriter de sağlanıyor. Ekip üyelerinin kişisel hesaplarıyla kullandığı araçlar, envanterde görünmediği için en riskli grup. Yazılı bir kullanım kuralı belirleyin ve hangi araçların onaylı olduğunu duyurun.

Verilerimi şifreleyerek gönderiyorum, yine de aktarım sayılır mı?

Şifreleme bir güvenlik tedbiridir, hukuki dayanağın yerine geçmez. Alıcı tarafın veriyi çözebildiği her senaryoda aktarım vardır. Kurum'un Kişisel Veri Güvenliği Rehberi zaten şifrelemeyi bulut kullanımında beklenen tedbirler arasında sayıyor; yani şifreleme sizi m.9'dan kurtarmaz, m.12 kapsamında zaten yapmanız gereken şeydir. Tek istisna, verinin gerçekten anonim hâle getirilmiş olmasıdır: geri döndürülemez biçimde kimliksizleştirilmiş veri kişisel veri sayılmaz, dolayısıyla Kanun kapsamı dışında kalır.

On kişilik bir şirketim, VERBİS'e kayıt olmak zorunda mıyım?

Kurul'un 2023/1154 sayılı kararına göre, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları sicile kayıt yükümlülüğünden istisna tutuluyor. İki şart birlikte aranıyor. Bilançonuz eşiğin üstündeyse çalışan sayınız az olsa da kayıt gerekir. İstisna kapsamında olsanız bile aydınlatma, güvenlik, saklama ve yurt dışı aktarım kuralları aynen geçerli.

Avrupa Birliği'nin standart sözleşme maddelerini imzaladım, Türkiye için yeterli mi?

Hayır. Avrupa Birliği'nin standart sözleşme maddeleri, Genel Veri Koruma Tüzüğü kapsamındaki aktarımlar için geçerli bir araçtır ve Türk mevzuatında bir karşılığı yoktur. KVKK m.9/4(c), Kurul tarafından ilan edilen standart sözleşmeye atıf yapıyor. Dolayısıyla Türkiye'den yapılan aktarımlar için Kurul'un dört metninden birini kullanmanız gerekiyor. İki rejimin metinleri benzer mantıkla kurulmuş olsa da birbirinin yerine geçmiyor.

Yurt dışındaki firmalara soğuk e-posta gönderiyorum, bu da mı aktarım?

Kişisel veri gönderiyorsanız, evet, ama önce hangi verinin kimden geldiğine bakın. Kendi listenizi bir yurt dışı e-posta aracına yüklüyorsanız araca yaptığınız aktarım için standart sözleşme gerekir. Alıcıya gönderdiğiniz mesajın kendisi ise ayrı bir konu. Ticari elektronik ileti tarafında, alıcının tacir veya esnaf olması KVKK'daki yükümlülüklerinizi kaldırmıyor; bu ayrımın sınırlarını tacir ve esnaf istisnasını inceleyen yazıda ayrıntılı anlattık.

Karar

"Yurt dışı sunucu, KVKK'ya takılırız" cümlesi bir karar değil, karar vermekten kaçınmanın kibar hâli. Doğrusu şu: yurt dışına aktarımın tanımlı bir prosedürü var. İlk sözleşme, imza yetkisi belgeleri ve çeviri işleri yüzünden birkaç haftanızı alır; ikincisi ve sonrakiler günlere iner. O prosedürü hiç yapmamak ise ayrı ayrı cezalandırılan birden fazla kabahat doğurur.

Bu hafta yapabileceğiniz üç şey var. Birincisi, envanteri çıkarın. Kart ekstresini açıp yazılım satırlarını listelemek yarım saat sürer ve büyük ihtimalle bilmediğiniz iki üç servis ortaya çıkar. İkincisi, aktarım olan her satır için doğru sözleşme tipini belirleyin; tablodaki dört seçenekten biri, fazlası yok. Üçüncüsü, imza tarihini takvime yazın ve beş iş gününü kaçırmayın.

Araç seçerken de soruyu değiştirin. "Sunucunuz nerede" yerine "alt yüklenici listeniz nedir, standart sözleşmeyi imzalar mısınız, verimi tam olarak dışarı alabiliyor muyum" diye sorun. Bu üç sorunun cevabını net veren bir sağlayıcıyla çalışmak, sunucunun coğrafyasından daha çok işinize yarar. Kendi tarafımızda ne yaptığımızı merak ediyorsanız, kişi ve müşteri kaydı tarafına ve güvenlik sayfamıza bakabilirsiniz.

Son bir hatırlatma: bu yazı mevzuatın 15 Ağustos 2026 itibarıyla geçerli hâline dayanıyor ve bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kurul yeterlilik kararı verdiğinde tablo değişecek. O gün gelene kadar geçerli olan yol, doğru metni seçmek, doldurmak, imzalamak ve beş iş günü içinde bildirmektir.