Yabancı bulut, e-posta veya yazılım hizmeti kullanırken kişisel veriler Türkiye dışına aktarılıyorsa, aktarım için uygun hukuki güvenceyi belirlemek gerekir. Bu rehber, standart sözleşmenin seçilmesinden imzalanmasına, Kurum’a bildirilmesine ve kayıtların saklanmasına kadar işletmenin izleyeceği pratik adımları açıklar.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Standart sözleşme hangi aktarımda kullanılır?
Standart sözleşme, kişisel verilerin yurt dışındaki bir alıcıya aktarılması için kullanılabilecek uygun güvencelerden biridir. 6698 sayılı Kanun’un m.9’u yurt dışına kişisel veri aktarımını düzenler; bu nedenle önce veri akışının gerçekten sınır ötesi olup olmadığını belirlemek gerekir. Yalnızca yabancı bir şirketten hizmet satın almak, aktarımın nasıl gerçekleştiğini tek başına açıklamaz. Hizmet sırasında hangi kişisel verilerin hangi alıcı tarafından, hangi ülkelerden erişilebildiğini araştırmak gerekir.
Örneğin bir işletme yabancı sağlayıcının e-posta hizmetini kullanıyorsa çalışanların adları, kurumsal adresleri, yazışma içerikleri ve eklerdeki müşteri bilgileri hizmet kapsamında işlenebilir. Sağlayıcı veriyi kendi ülkesindeki sunucuda tutabilir, destek ekibine başka ülkelerden erişim verebilir veya alt hizmet sağlayıcılardan yararlanabilir. Bu ihtimallerin her biri veri akışı değerlendirmesinde dikkate alınmalıdır. Sunucunun bulunduğu yere ilişkin tek bir bilgiyle yetinmek, uzaktan erişimi ya da hizmet zincirindeki diğer alıcıları gözden kaçırmaya yol açabilir.
Sık yapılan hata, “sağlayıcı yurt dışında” bilgisini yeterli sayıp hangi verilerin gerçekten paylaşıldığını incelememektir. Bunun tersi de mümkündür: Sağlayıcının merkezi Türkiye’de olduğu için aktarım olmadığını varsaymak, veriye yurt dışından erişim sağlanıyorsa yanlış sonuca götürebilir. Pratik adım olarak kullanılan her hizmet için kısa bir akış listesi oluşturun: sisteme hangi veri giriyor, kim erişiyor, erişim hangi ülkelerden mümkün ve hizmet sona erdiğinde veriye ne oluyor? Ardından bu bilgileri sağlayıcının sözleşmesi, gizlilik açıklaması ve alt hizmet sağlayıcı bilgileriyle karşılaştırın.
Standart sözleşme, bütün yurt dışı veri kullanımlarında otomatik olarak uygulanacak tek yöntem değildir. Tarafların yapısı ve aktarımın niteliği birlikte değerlendirilmelidir. Yöntem konusunda tereddüt varsa imza öncesinde avukatınıza veya hukukçunuza danışın. Genel çerçeve için yurt dışına veri aktarımı rehberini inceleyebilirsiniz.
Taraf rolleri nasıl belirlenir?
Standart sözleşme seçiminin başlangıç noktası, aktarımda yer alan tarafların kişisel veriler üzerindeki gerçek rolleridir. 6698 sayılı Kanun’un m.3’ü tanımları düzenler; veri sorumlusu ve veri işleyen ayrımında sözleşmede kullanılan unvanlara değil, fiilî karar ve işleme düzenine bakmak gerekir. Bir hizmet sağlayıcının kendisini “işleyen” olarak adlandırması tek başına yeterli değildir. İşletmenin hangi amaçla veri topladığı ve işleme kararlarını kimin aldığı da incelenmelidir.
Örneğin işletme, müşteri siparişlerini karşılamak için müşteri bilgilerini topluyor ve yabancı bir yazılım sağlayıcısından bu bilgileri saklama hizmeti alıyorsa, işletmenin veri sorumlusu, sağlayıcının veri işleyen olması söz konusu olabilir. Ancak sağlayıcı aynı verileri kendi ürünlerini geliştirmek veya bağımsız amaçları için kullanıyorsa bu faaliyetler farklı bir rol değerlendirmesi gerektirebilir. Aynı şirketin bir hizmet kapsamında veri işleyen, başka bir faaliyet kapsamında veri sorumlusu olması mümkündür. Bu nedenle bütün hizmetleri tek bir şirket etiketiyle açıklamaya çalışmayın.
Rol belirlerken şu soruları yanıtlayın: İşleme amacını kim belirliyor? Hangi kişilerin verilerinin işleneceğine kim karar veriyor? Verilerin ne kadar süre tutulacağını ve kimlere açılacağını kim belirliyor? Sağlayıcı yalnızca işletmenin talimatlarını mı uyguluyor, yoksa veriyi kendi belirlediği amaçlarla da mı kullanıyor? Bu soruların cevapları e-posta, bulut depolama ve müşteri yönetimi hizmetlerinde farklılaşabilir. Sağlayıcının hizmet şartları ve veri işleme koşulları bu ayrımı anlamaya yardımcı olur; ancak yazılı metnin uygulamayla uyuşup uyuşmadığını da kontrol etmek gerekir.
Sık yapılan hata, hazır sözleşmede en kolay görünen rolü seçmek veya işletmenin büyüklüğüne göre tarafların rolünü belirlemektir. Pratik adım olarak her veri akışı için ayrı bir tablo hazırlayın: tarafların tüzel kişilikleri, işleme amaçları, talimat ilişkisi ve erişim düzeni bu tabloda yer alsın. Birden fazla tedarikçi zinciri varsa her aktarımı ayrıca yazın. Belirsizlik sağlayıcıdan alınacak bilgiyle giderilemiyor veya rolün hukuki yorumu gerekiyorsa avukatınıza ya da hukukçunuza danışın.
Uygun metin nasıl seçilir?
Rol tespitinden sonra tarafların ilişkisine uygun standart sözleşme metni seçilir. Standart sözleşmeler farklı taraf yapılarını karşılamak üzere hazırlanmıştır. Veri sorumlusundan veri sorumlusuna aktarım ile veri sorumlusundan veri işleyene aktarım aynı ilişki değildir; başka bir senaryoda aktarımı yapan taraf veri işleyen olabilir. Metinlerin adları benzer görünse de yanlış taraf yapısına göre seçilen sözleşme, gerçek veri akışını ve tarafların görevlerini doğru yansıtmayabilir.
Örneğin işletme müşteri bilgilerini kendi amaçları için topluyor ve yabancı sağlayıcıdan bu bilgileri saklama hizmeti alıyorsa, önce sağlayıcının yalnızca işletmenin talimatıyla hareket edip etmediğini araştırmalıdır. Sağlayıcının hizmet şartları, veri işleme koşulları ve ürün açıklamaları bu konuda bilgi verebilir. Ancak belgelerdeki ifadeleri tek başına yeterli saymayın; hizmetin fiilen nasıl kullanıldığını da kontrol edin. Aynı sağlayıcı, farklı hizmetlerde farklı rollere sahip olabilir. Dolayısıyla işletmenin kullandığı her ürün için aynı metnin uygun olduğunu varsaymak doğru değildir.
Metni seçerken Kurum tarafından yayımlanan güncel standart sözleşme metinlerini ve açıklamalarını esas alın. Eski bir dosyayı, başka bir şirketin imzaladığı metni veya kaynağı doğrulanmayan örneği doğrudan kopyalamayın. Hazırlanmış metnin taraf bilgileri ve ekleri işletmenin aktarımına göre tamamlanmalıdır. Standart hükümleri işletmenin ihtiyacına göre değiştirmek, metnin yapısını ve hukuki sonucunu etkileyebilir; bu nedenle değişiklik talebi varsa imza öncesinde avukatınıza veya hukukçunuza danışın.
Sık yapılan hata, sipariş ekranında görünen ticari unvanı sözleşmenin tarafı kabul etmektir. Pratik adım olarak hizmet siparişinde, ana sözleşmede ve veri işleme koşullarında yazan tüzel kişilikleri karşılaştırın. İmzayı hangi şirketin atacağını, imza sahibinin yetkisini ve bu şirketin gerçekten veriyi alan taraf olup olmadığını doğrulayın. Grup şirketleri, yerel iştirakler ve hizmeti sunan ayrı şirketler birbirinin yerine geçmez. Alt sağlayıcı bulunuyorsa rolünü ve sözleşme eklerinde nasıl ele alındığını da kontrol edin. Başlangıç için ilgili araç ve şablonlara göz atabilirsiniz.
Ekler nasıl doldurulur?
Standart sözleşmenin ekleri, genel hükümlerin işletmenizin gerçek aktarımını nasıl kapsadığını gösterir. Ekleri boş bırakmak, “sonra tamamlarız” diye ertelemek veya sağlayıcının genel tanıtım metnini olduğu gibi kopyalamak, sözleşmeyle fiilî veri akışı arasındaki bağı zayıflatır. Her alanın hangi kaynağa dayanacağını belirleyin: hizmet envanteri, tedarikçi sözleşmesi, veri işleme koşulları, sistem ayarları, saklama kuralları ve alt hizmet sağlayıcı listesi bu kaynaklar arasında olabilir.
Aktarılan veri kategorilerini somut ve anlaşılır biçimde yazın. Örneğin e-posta hizmetinde kullanıcı hesabı bilgileri ve yazışma içeriği bulunabilir; bulut depolamada işletmenin yüklediği müşteri, çalışan veya tedarikçi bilgileri yer alabilir. Bunların hepsi her işletme için geçerli değildir. Sistemde gerçekte hangi verilerin bulunduğunu örnek klasörler, form alanları ve çalışanların kullanım alışkanlıkları üzerinden kontrol edin. Çok geniş bir ifade kapsamı belirsizleştirebilir; çok dar bir ifade ise olağan kullanımları dışarıda bırakabilir.
Örneğin işletme, bulut alanının yalnızca yedekleme için kullanıldığını düşünebilir. Ancak ekipler burada güncel müşteri dosyaları tutuyorsa eklerdeki amaç ve veri açıklaması gerçek kullanımı göstermelidir. Benzer şekilde e-posta hizmetinin yalnızca kurumsal yazışma için olduğu varsayımı, çalışanların müşteri belgelerini ek olarak gönderdiği durumda yetersiz kalabilir. Pratik adım olarak hizmeti yöneten çalışanlarla ekleri hazırlayan kişiyi birlikte çalıştırın; her veri kategorisinin hangi kullanım biçimine dayandığını not edin.
Sık yapılan bir hata, sağlayıcının paylaştığı ülke listesini aktarımın tamamı sanmaktır. Destek ekiplerinin eriştiği ülkeler, yedekleme düzeni, alt hizmet sağlayıcılar ve hizmet sona erdiğinde veriye ne olacağı ayrıca sorulmalıdır. Bilgi mevcut değilse tahmin yürütmek yerine sağlayıcıdan yazılı açıklama isteyin. Hangi alanın hangi belgeyle doğrulandığını kayıt altına almak, sonradan güncelleme gerektiğinde kolaylık sağlar. Eklerdeki bilginin hukuki yorumu veya kapsamı belirsizse avukatınıza ya da hukukçunuza danışın.
İmza süreci nasıl yürür?
İmza öncesinde tarafların doğru tüzel kişilikler olduğundan, imza atan kişilerin yetkisinin bulunduğundan ve seçilen metnin ekleriyle birlikte tamamlandığından emin olun. Bir bulut hizmetinin çevrim içi sipariş ekranında kabul edilmesi, standart sözleşmenin ayrıca imzalanması gereğini kendiliğinden ortadan kaldırmaz. Sağlayıcının imza yöntemini önceden öğrenin: imza sırası, kullanılacak nüsha, temsil yetkisi belgeleri ve tarafların saklayacağı son sürüm gibi konuları yazılı biçimde netleştirin.
Örneğin satın alma ekibi hizmet sözleşmesini imzalamış, fakat bilgi güvenliği ekibi standart sözleşme eklerini henüz gözden geçirmemiş olabilir. Böyle bir durumda ekiplerin farklı sürümler üzerinden ilerlemesi ve yanlış dosyanın imzaya gitmesi riski doğar. İmza öncesinde tek bir onaylanmış dosya belirleyin. Dosya adında hizmeti ve sürümü tanımlamak, taslakların karışmasını önlemeye yardımcı olur. Eklerde değişiklik yapıldığında eski nüshanın imzaya gönderilmediğini ayrıca doğrulayın.
Sık yapılan hata, karşı tarafın imzaladığı dosyayla işletmenin imzaladığı dosyanın aynı olduğunu kontrol etmemektir. Pratik adım olarak iki nüshayı karşılaştırın: taraf unvanları, ekler, metin sürümü ve imza tarihi birbirini tutuyor mu? İmza yetkilisinin doğru şirket adına hareket ettiğini doğrulayın ve imzalı son nüshayı erişimi kontrollü bir kayıt alanında muhafaza edin. Islak imza veya elektronik imza yönteminin kullanılabilirliği, tarafların yetki düzenine ve seçilen yöntemin geçerliliğine göre değerlendirilmelidir.
Sağlayıcı yalnızca kendi kabul sürecini sunuyorsa bunun standart sözleşmenin imzalanması için yeterli olduğunu varsaymayın. İmza ve bildirim gerekliliklerini ayrıca kontrol edin. Sözleşme hükümlerinde değişiklik talebi varsa, satın alma süreci hızlansın diye bunu otomatik olarak kabul etmeyin; uygunluk konusunda avukatınıza veya hukukçunuza danışın. İmza tamamlanınca bildirim sorumlusuna aynı gün bilgi verilmesini sağlayacak bir iç görev tanımı oluşturun. Böylece sözleşme birimde beklemez ve bildirim adımı sahipsiz kalmaz.
Bildirim nasıl yapılır?
Standart sözleşmenin imzalanması tek başına süreci tamamlamaz. İmzadan sonra Kurum’a bildirim yapılması ve bunun süresinde tamamlandığının kanıtlanması gerekir. Bildirim, sözleşmenin iki tarafça imzalanmasını izleyen beş iş günü içinde yapılmalıdır. Takvim hesabında imza tarihini ve iş günü olmayan günleri doğru kaydedin. Son güne bırakmak, eksik dosya, yetkisiz gönderim veya teknik sorun yaşandığında işletmenin hareket alanını daraltabilir.
Örneğin yabancı sağlayıcı sözleşmeyi imzalamış ancak imzalı nüshayı işletmeye geç iletmiş olabilir. İşletme yalnızca kendi imza tarihini izlerse sürecin ne zaman tamamlandığını yanlış değerlendirebilir. Bu nedenle imza sırasını ve karşı tarafın imza tamamlandığına ilişkin bildirimini takip edin. Bildirimi kimin yapacağını, kullanılacak nüshayı ve gönderim kanıtının nerede saklanacağını imzadan önce belirleyin. Sağlayıcıyla sorumluluk paylaşımını yazılı olarak netleştirmek faydalıdır; ancak işletmenin kendi kayıt ve takip ihtiyacı devam eder.
Pratik adım olarak her sözleşme için sorumlu kişi ve yedek kişi atayın, imza tamamlanma bilgisini takip kaydına işleyin ve gönderim için gereken belgeleri önceden hazırlayın. Bildirim formunda veya ilgili başvuru kanalında istenen bilgileri sözleşmeyle karşılaştırın. Taraf unvanı, adres, imza tarihi ya da rol açıklaması farklı görünüyorsa uyumsuzluğu açıklamadan gönderim yapmayın; önce farkın nedenini giderin. Kurumun güncel bildirim usulünü ve kabul ettiği kanalları işlem öncesinde doğrulayın.
Sık yapılan hata, hukuk, satın alma ve bilgi teknolojileri ekipleri arasında bildirimin kimin sorumluluğunda olduğunun belirsiz kalmasıdır. Yalnızca e-posta gönderilmiş olmasını bildirimin usulüne uygun tamamlandığının kanıtı saymayın; alındı bilgisi, gönderim kaydı veya ilgili kurumsal yazışmayı saklayın. Birden fazla aktarım varsa her sözleşme için ayrı kayıt tutun; bir hizmete ilişkin bildirim başka bir hizmeti kendiliğinden kapsamaz. Sürenin somut olayda hesaplanması veya usul konusunda tereddüt varsa avukatınıza ya da hukukçunuza danışın. Kontrol için KVKK uyum kontrol listesinden yararlanabilirsiniz.
Sözleşme nasıl saklanır?
Saklama, imzalı dosyayı herhangi bir klasöre koymaktan ibaret değildir. İşletme, hangi hizmete ve aktarım akışına ait olduğunu anlaşılır biçimde göstermeli; imzalı son sürümü ekleriyle birlikte korumalıdır. Bildirim formu, gönderim kaydı, alındı bilgisi ve taraflar arasındaki açıklamalar da aynı kayıt dizisiyle ilişkilendirilmelidir. Böylece hizmet değiştiğinde veya aktarımın nasıl kurulduğu sorulduğunda, işletme yalnızca imzalı metni değil kararın dayandığı bilgileri de bulabilir.
Örneğin aynı sağlayıcı e-posta ve bulut depolama hizmeti sunuyorsa her iki hizmeti tek bir dosyada toplamak kapsam karışıklığına neden olabilir. Her hizmet için ayrı kayıt açın; sağlayıcı ortak belgeleri sunuyorsa bu belgelerin hangi hizmetleri kapsadığını belirtin. Dosya adlarında hizmet adı, taraflar, imza tarihi ve sürüm bilgisi kullanmak erişilebilirliği artırır. Sözleşmeye erişimi yalnızca görev gereği ihtiyaç duyan kişilerle sınırlayın. Bu düzen, çalışanlar değiştiğinde veya hizmetin sahibi başka bir birime geçtiğinde de kaydın anlaşılır kalmasına yardım eder.
Sözleşmenin saklanma ve gözden geçirilme düzenini belirlerken yalnızca imza tarihine bakmayın. Hizmetin devam edip etmediğini, aktarımın sürüp sürmediğini, sözleşmenin yenilenip yenilenmediğini ve hizmet sonunda verinin nasıl silindiğini ya da iade edildiğini takip edin. 6698 sayılı Kanun’un m.7’si kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler; bu konu sözleşme dosyasının saklanmasıyla karıştırılmamalıdır. Kişisel verilerin sistemlerden kaldırılması ile uyum kayıtlarının uygun saklama ve erişim düzeninde muhafazası farklı işlerdir.
Sık yapılan hata, sözleşmeyi imzalandığı gün doğru kabul edip sonraki değişiklikleri izlememektir. Pratik adım olarak hizmet sahibi birim, satın alma, bilgi teknolojileri ve uyum sorumlusu arasında kayıt görevlerini paylaştırın. Sağlayıcı yeni alt hizmet sağlayıcı eklediğinde, erişim ülkeleri değiştiğinde veya işletme sisteme yeni veri türleri yüklemeye başladığında eski eklerin güncel olup olmadığını kontrol edin. Değişiklikleri kimlerin bildireceğini belirleyin ve değerlendirme sonucunu kaydedin. Önemli bir değişikliğin hukuki etkisi belirsizse avukatınıza veya hukukçunuza danışın.
Standart sözleşme diğer aktarım güvencelerinden nasıl ayrılır?
Standart sözleşme, yurt dışına aktarım için değerlendirilebilecek güvence seçeneklerinden biridir; her işletme için en kolay veya en uygun yol olduğu varsayılmamalıdır. 6698 sayılı Kanun’un m.9’u yurt dışına aktarım konusunu düzenler; kullanılacak güvence, aktarımın taraflarına, yapısına ve sürekliliğine göre değerlendirilir. Alternatifler arasında yeterlilik kararına dayalı aktarım, uygun güvenceler kapsamında başka mekanizmalar ve istisnai aktarım hâlleri bulunabilir. Seçeneklerin kapsamı ve izlenecek usul aynı değildir.
| Ölçüt | Standart sözleşme | Yeterlilik kararına dayalı aktarım | Diğer uygun güvenceler | İstisnai aktarım hâlleri |
|---|---|---|---|---|
| Amaç | Tarafların aktarım için standart yükümlülükler üstlenmesi | Belirli ülke veya yapı için yeterlilik değerlendirmesinden yararlanma | Aktarım ilişkisine uygun güvence kurma | Sınırlı ve özel durumlarda aktarımı değerlendirme |
| Kapsam | İmzacı taraflar ve sözleşmede açıklanan aktarım | İlgili yeterlilik kararının kapsadığı alan | Seçilen güvence türünün tarafları ve şartları | Somut olayın istisna koşulları |
| Süreç | Rolü belirleme, metni seçme, ekleri tamamlama, imzalama ve bildirme | Uygulanabilir kararın ve kapsamın doğrulanması | İlgili mekanizmanın şartlarının yerine getirilmesi | İstisnanın gerçekten uygulanıp uygulanmadığının incelenmesi |
| Sonuç | Taraflar arasında aktarım güvencesi ve bildirim kaydı | Kararın kapsadığı aktarım için ilgili dayanağın kullanılması | Seçilen güvenceye bağlı yükümlülükler | Sürekli ve genel aktarım yolu olarak kabul edilmemesi gereken dar kapsam |
Örneğin bir hizmet sağlayıcının bulunduğu ülkeye ilişkin yeterlilik durumu, işletmenin bütün hizmetleri ve veri akışları için otomatik sonuç doğurmayabilir. Aynı sağlayıcı farklı ülkelerde destek ekibi veya alt sağlayıcı kullanıyorsa aktarımın kapsamı ayrıca anlaşılmalıdır. Standart sözleşmenin imzalanması da tüm sorumlulukların sona erdiği anlamına gelmez; sözleşme hükümlerinin uygulanması, veri akışının izlenmesi ve kayıtların güncel tutulması gerekir. Tablodaki karşılaştırma, somut olay için hukuki sonucu tek başına belirlemez.
Sık yapılan hata, “standart sözleşme var” bilgisini değerlendirme sürecinin tamamı gibi görmek veya istisnai bir durumu düzenli hizmet akışına dayanak yapmaktır. Pratik adım olarak önce aktarım envanterini çıkarın, ardından kullanılabilecek güvence seçeneklerini karşılaştırın ve tercih edilen yolun şartlarını doğrulayın. Örneğin devamlı kullanılan bulut depolama ve e-posta hizmetlerinde aktarımın sürekliliği, erişim düzeni ve alıcıların yapısı önem taşır. İşletme, kullandığı hizmetler için gerekçesini ve kontrol ettiği bilgileri kaydetmelidir. Genel değerlendirme için Kurul kararları indeksini inceleyebilir; somut hukuki değerlendirme için avukatınıza veya hukukçunuza danışabilirsiniz.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir işletmenin yabancı bir e-posta hizmeti kullandığını, çalışanların müşteri yazışmalarını bu sistem üzerinden yürüttüğünü ve hizmet sağlayıcının destek ekibinin farklı ülkelerden sisteme erişebildiğini düşünelim. İşletme önce hangi verilerin işlendiğini, hangi tüzel kişiliğin hizmeti sunduğunu, sağlayıcının verileri hangi amaçlarla kullandığını ve aktarımın hangi ülkelere uzandığını belirlemelidir. Bu bilgiler netleşmeden standart sözleşme türü seçmek veya ekleri doldurmak, yanlış varsayımlara dayalı işlem yapılmasına yol açabilir.
Senaryo: Bir işletme yabancı bulut sağlayıcısıyla veri akışını ve taraf rollerini belirleyip uygun sözleşme metnini seçer.
Uygulanabilir kalemler ve kanundaki bantlar:
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Bu örnekte yapılacak değerlendirme, bir ceza tutarı tahmini üretmekten ibaret değildir. İşletme, veri akışını ortaya koymalı, rol tespitini yapmalı, uygun güvence yolunu seçmeli ve imza ile bildirim adımlarını belgelemelidir. Aktarımın hukuki dayanağı ve yükümlülüklerin kapsamı somut olayın şartlarına bağlıdır. 6698 sayılı Kanun’un m.18’i kabahatleri ve idari para cezalarını düzenler; olası yaptırım değerlendirmesi ilgili yükümlülüğün ve olayın özelliklerinin incelenmesini gerektirir. Bu nedenle bir hesap sonucu, hukuki görüş veya yaptırımın kesinleşeceği anlamına gelmez.
Örneğin işletme, destek erişiminin hangi ülkelerden yapıldığını doğrulamamış veya sağlayıcının alt hizmet sağlayıcı listesini incelememiş olabilir. Bu eksikleri önce sağlayıcıdan bilgi alarak gidermelidir. Ayrıca müşteri yazışmalarında hangi veri türlerinin bulunabildiğini, tarafların imza yetkisinin kontrol edilip edilmediğini ve hizmet sona erdiğinde verilerin nasıl ele alınacağını değerlendirmelidir. Pratik adım olarak her hizmet için ayrı kontrol kaydı açın ve değerlendirmede kullanılan varsayımları yazın. Böylece hangi bilginin doğrulandığı, hangisinin sağlayıcıdan beklendiği görünür olur.
Sık yapılan hata, hesaplama sonucunu aktarımın hukuka uygunluğuna ilişkin kesin yanıt gibi değerlendirmektir. Oysa süreç; aktarımın kapsamı, tarafların rolü, seçilen güvence, imza ve bildirim kayıtları birlikte incelenerek yönetilir. Kararınızı, sorumlu kişiyi ve dayanak aldığınız belgeleri kayıt altına alın. Hizmetin kapsamı değiştiğinde değerlendirmeyi yenileyin: yeni bir destek ülkesi eklenmesi, başka bir alt sağlayıcının devreye girmesi veya sisteme yeni veri türlerinin yüklenmesi eski varsayımları etkileyebilir. Hesaplama aracı yalnızca ön değerlendirme desteği sağlar; somut durum için avukatınıza veya hukukçunuza danışın. İlk tarama için KVKK ceza riski hesaplayıcısını kullanabilirsiniz.
Kurul kararlarında kvkk standart sözleşme: işletme ne öğrenebilir?
Bu konuda anılabilecek bir Kurul kararı verilmediğinden, burada belirli bir kararın tespiti, numarası veya özeti sunulmuyor. Aşağıdaki maddeler karar özeti değil, standart sözleşme uygulamasında işletmenin izleyebileceği genel süreç dersleridir.
- Aktarımı belgeleyin: Hangi hizmetin hangi veri türlerini hangi alıcıya ve hangi ülkelerde erişilebilir kıldığını yazılı hâle getirin. “Yabancı yazılım kullanıyoruz” gibi genel bir ifade, sözleşmenin kapsamını tek başına açıklamaz.
- Metni role göre seçin: Tarafların sözleşmedeki unvanlarını değil, fiilî işleme ilişkisini inceleyin. Veri sorumlusu ve veri işleyen rollerini her aktarım akışı için ayrı değerlendirin.
- İmza ve bildirimi birlikte planlayın: Sözleşme tamamlanınca bildirim süresini kaçırmamak için sorumlu kişiyi önceden atayın. İmzalı metni, ekleri ve gönderim kanıtını aynı kayıt düzeninde muhafaza edin.
Bu maddeler, belirli bir Kurul kararından çıkarılmış sonuçlar değildir. İşletmenin kendi aktarım sürecini kontrol etmesine yönelik pratik hatırlatmalardır. Standart sözleşme, tarafların gerçek görevlerini ve veri akışını yansıtmalıdır; sağlayıcının sunduğu hazır açıklamayı doğrulamadan kullanmak, sözleşmeyle uygulama arasında fark yaratabilir. Bu nedenle hizmet sahibi birimin bilgilerini bilgi teknolojileri ve satın alma ekiplerinin verdiği bilgilerle karşılaştırın. Özellikle veri kategorileri ve erişim düzeni konusunda yalnızca tek bir çalışanın varsayımına dayanmayın.
Örneğin satın alma birimi sağlayıcının yalnızca yerel hizmet verdiğini düşünürken bilgi teknolojileri ekibi destek taleplerinin yurt dışındaki ekiplerce karşılandığını biliyor olabilir. Bu bilgileri bir araya getirmek, aktarım değerlendirmesini daha gerçekçi hâle getirir. Pratik adım olarak hizmet sahibi kişiden sistemin kullanımını açıklamasını, sağlayıcıdan ülke ve alt hizmet sağlayıcı bilgilerini istemeyi ve bulguları kayıt altına almayı görev akışına ekleyin. Sonra hazırlanan sözleşme eklerinin bu bilgilerle tutarlı olup olmadığını kontrol edin.
Karar veya düzenlemelerde değişiklik olup olmadığını takip etmek isteyen işletmeler, güncel resmî duyuruları ve yayımlanan standart sözleşme açıklamalarını kontrol etmelidir. Eski bir bilgi notuna göre işlem yapmadan önce kullanılan metnin güncel sürümünü doğrulayın. Belirli bir kararın bulunmaması, aktarımın yükümlülük dışında kaldığı veya bildirim gereğinin ortadan kalktığı anlamına gelmez. Sık yapılan hata, karar özeti arayıp kendi aktarımının koşullarını incelemeyi ertelemektir. Somut aktarımınızın kapsamı, tarafların rolü veya bildirim işlemi belirsizse avukatınıza ya da hukukçunuza danışın.
Sık sorulan sorular
Standart sözleşme her yurt dışı hizmetinde zorunlu mudur?
Hayır. Standart sözleşme, yurt dışına aktarım için değerlendirilebilecek güvence seçeneklerinden biridir; aktarımın şartlarına göre başka bir yol uygulanabilir. Önce verinin gerçekten yurt dışına aktarılıp aktarılmadığını, tarafların rollerini ve aktarımın devamlılığını inceleyin. Hangi seçeneğin uygun olduğu somut aktarım değerlendirilerek belirlenmelidir.
Yabancı bulut sağlayıcısı kendi sözleşmesini gönderirse onu imzalayabilir miyim?
Sağlayıcının kendi metninin Kurum tarafından yayımlanan standart sözleşmeyle aynı olduğunu varsaymayın. Metni, ekleri, taraf unvanlarını ve taraf rollerini karşılaştırın. Sağlayıcının hükümleri değiştirme talebi varsa, bunun standart sözleşmenin yapısına etkisini değerlendirin. Uygunluk konusunda emin değilseniz avukatınıza veya hukukçunuza danışın.
Bildirim süresini kim takip etmeli?
İşletme, imza öncesinde bildirim işlemini kimin yürüteceğini ve gönderim kanıtını kimin saklayacağını belirlemelidir. Sorumluluğu bir çalışana vermek, işletmenin kendi süre ve kayıtlarını takip etme ihtiyacını ortadan kaldırmaz. İmza tamamlanınca sorumlu kişiye haber verilmesini sağlayan açık bir iç süreç kurun. Gönderim kanıtını sözleşme ve ekleriyle ilişkilendirerek saklayın.
Standart sözleşme imzalandıktan sonra ekler değiştirilebilir mi?
Eklerdeki bilgiler gerçek aktarımı yansıtmalıdır; hizmet veya veri akışı değiştiğinde mevcut kayıtların güncelliğini gözden geçirin. Önce değişikliğin hangi verileri, tarafları ve erişim düzenini etkilediğini belirleyin. Ardından sözleşme ve bildirim sürecine etkisini değerlendirin. Bu değerlendirme hukuki yorum gerektiriyorsa avukatınıza veya hukukçunuza danışın.
Hizmet sona erdiğinde sözleşme dosyası da silinmeli midir?
Hizmetin sona ermesi, imzalı sözleşme ve bildirim kayıtlarının otomatik olarak silinmesi gerektiği anlamına gelmez. Kişisel verilerin hizmetten kaldırılması ile uyum kayıtlarının uygun erişim ve saklama düzeninde tutulmasını ayrı süreçler olarak yönetin. Sağlayıcıdan verilerin iade edilmesi veya silinmesine ilişkin bilgi alın ve bu işlemin kaydını saklayın. Dosyanın saklanma düzenini işletmenizin kayıt politikası ve yükümlülükleriyle uyumlu belirleyin.
