# KVKK’ya Göre Yurt Dışında Veri Saklama Şartları

> KVKK’ya göre yurt dışında veri saklama şartları: yeterlilik kararı, standart sözleşme, Türkçe imza, bildirim ve sağlayıcı seçiminde dikkat edilecekler.

> **TL;DR:** Yurt dışında veri saklamak mümkün, ancak sunucunun ülkesini bildirmek yeterli değil. Standart sözleşme yolunu kullanacaksak Türkçe metni iki tarafın geçerli biçimde imzalaması ve sözleşmenin süresinde Kuruma bildirilmesi gerekiyor. Sağlayıcının yedekleme, destek ve diğer firmalarla veri paylaşımı da bu incelemeye dâhil. Aktarım şartlarını sağlamak, veriyi her amaçla kullanma izni vermiyor; Türkiye'de saklamak da güvenlik sorumluluğunu kaldırmıyor.

Geçenlerde KVKK uyumu için almamız gereken önlemleri konuştuğumuz bir ortamda, bir arkadaşım KVKK değiştiği için artık veriyi yurt dışında tutmanın kolaylaştığını söyledi. Bir portala girip sunucunun hangi ülkede olduğunu bildiriyorsunuz, mesele çözülüyor. Ancak maalesef konu bu kadar basit değil.

**Kişisel veriyi yurt dışında tutmak mümkün. Ama bir ülke adı bildirmek, bunun şartlarını yerine getirmek anlamına gelmiyor.** Yabancı bir sağlayıcı seçerken fiyat ve teknik özelliklerle birlikte, gerekli aktarım düzenini gerçekten kurup kuramayacağımıza da bakmalıyız.

Bu inceleme, hizmeti satın aldıktan sonra gizlilik politikasına eklenecek bir cümleye bırakılamaz. Sağlayıcının hangi veriyi alacağını, kimlere erişim vereceğini ve hangi belgeleri imzalayacağını önceden bilmek gerekiyor.

## Portalda sunucunun ülkesi mi bildiriliyor?

Konuşmada hangi portalın kastedildiğini bilmiyorum. Fakat Kurumun [Standart Sözleşme Bildirim Modülü](https://www.kvkk.gov.tr/Icerik/8043/Standart-Sozlesme-Bildirim-Modulu-Hakkinda-Kamuoyu-Duyurusu), **tarafların imzaladığı standart sözleşmenin bildirilmesi** için kullanılıyor.

Önce veriyi aktaran ve alan taraflar arasında geçerli bir standart sözleşme kuruluyor. Ardından imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılıyor. Modül bu bildirim için kullanılabilecek kanallardan biri.

Dolayısıyla “Finlandiya'da sunucu kiraladım, ülkesini sisteme girdim” ile “Bu aktarım için gerekli sözleşmeyi karşı tarafla imzaladım ve bildirdim” aynı işlem değil. Portal, sağlayıcının vermediği imzayı tamamlamıyor. Bildirim kaydı da Kurumun uygulamanızdaki bütün işlemleri inceleyip onayladığını göstermiyor.

## Yurt dışına aktarım yalnızca ana sunucuyla ilgili değil

Türkiye'de bir işletmenin müşteri kayıt uygulamasını düşünelim. Ana veritabanı İstanbul'da, gecelik yedek ise yabancı bir bulut şirketinin Almanya'daki hizmetinde tutuluyor. Bir sorun çıktığında yurt dışındaki ayrı bir destek firması müşteri kayıtlarını uzaktan görebiliyor.

Bu düzende “Ana sunucumuz Türkiye'de” demek doğru olabilir. Ancak yedek ve destek erişimi ayrıca incelenmeden “Kişisel verileri yurt dışına aktarmıyoruz” diyemeyiz. Destek firmasının dosyayı indirmemesi de tek başına meseleyi çözmez.

[Kurumun aktarım rehberi](https://www.kvkk.gov.tr/Icerik/8142/Kisisel-Verilerin-Yurt-Disina-Aktarilmasi-Rehberi), Kanuna tabi bir veri sorumlusu veya veri işleyenin, veriyi yurt dışındaki başka bir veri sorumlusu ya da veri işleyene erişilebilir kılmasını da aktarım kapsamında ele alıyor. Burada kimin, hangi sıfatla, hangi veriye eriştiği belirleyici. Her yabancı bağlantı hakkında aynı sonuca atlayamayız.

Sağlayıcının yerli veya yabancı olması da bütün cevabı vermiyor. Türkiye merkezli firma yabancı bir alt sağlayıcı kullanabilir. Yabancı firmanın Türkiye'deki hizmetinde ise saklama ve erişim düzenini ayrıca incelemek gerekir. Satın aldığımız hizmetin bütün veri akışına bakmalıyız.

Üstelik kayıt ve saklama da [Kanun'daki veri işleme tanımının](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/062384e3-d18c-4c38-b108-3a7a2a28e849.pdf) içinde. “Analiz yapmıyoruz, sadece saklıyoruz” demek işleme şartlarını ortadan kaldırmıyor. Veriyi niçin işleyebildiğimizle, onu hangi koşullarda yurt dışına çıkarabildiğimiz iki ayrı soru.

## Hangi aktarım yolu bugün kullanılabilir?

1 Haziran 2024'teki değişiklik, yurt dışına aktarım yollarını yeniden düzenledi. Yurt dışında veri işlemek ilk kez o tarihte mümkün olmadı. Bugünkü yapıda üç basamak var:

**Yeterlilik kararı:** Kurulun ilgili ülke, ülke içindeki sektör veya uluslararası kuruluş için verdiği ve aktarımı kapsayan bir karar aranır. Sağlayıcının “Avrupa'dayız, güvenliyiz” demesi bunun yerine geçmez.

**Uygun güvence:** Yeterlilik kararı yoksa kanunun kabul ettiği güvencelerden biri gerekir. Verisi aktarılan kişinin o ülkede haklarını kullanabilmesi ve etkili hukuki yollara başvurabilmesi de şarttır.

**Arızi aktarım:** İlk iki yol sağlanamıyorsa, düzenli ve sürekli olmayan aktarımın ayrıca kanunda sayılan sınırlı istisnalardan birine girmesi gerekir. Tek seferlik olması yetmez. Sürekli kullanılan yabancı bulut hizmetini, kullanıcıdan riskleri kabul ettiğine dair rıza alarak bu istisnaya yerleştiremeyiz.

İlk iki yolda Kanun'un 5. veya 6. maddesine uygun bir işleme şartı da bulunmalı. Aktarım mekanizması, bu şartın yerine geçmez.

Peki yeterlilik kararı var mı? Kurumun [Yurt Dışına Aktarım sayfasındaki](https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim) ülke listesi bağlantısı, **23 Eylül 2026 kontrolünde Kurulun henüz bir belirleme yapmadığını** söylüyordu. Birinci basamağı bugün seçebileceğimiz hazır bir ülke listesi varmış gibi okuyamayız. Karar durumunu ve kapsamını hizmet almadan önce yeniden kontrol etmeliyiz.

Yeterlilik kararı yoksa, yabancı hosting şirketiyle **Kurulun yayımladığı standart sözleşmeyi imzalayabiliriz**. Kanunun kabul ettiği güvencelerden biri bu. Sözleşmeyi Kuruma bildirmemiz gerekir, fakat ayrıca izin başvurusu yapıp onay beklemeyiz. Veriyi işlemek ve yurt dışına aktarmak için gereken diğer şartlar da geçerli olmaya devam eder.

Standart sözleşme dışında seçenekler de var. Örneğin şirketle, verileri nasıl koruyacağını anlatan bir yazılı taahhütname hazırlayabiliriz. Ancak bu seçenekte, verileri göndermeden önce Kurulun izin vermesini beklememiz gerekir.

Bir şirketler grubunun kendi içindeki veri aktarımı için kullanabildiği “bağlayıcı şirket kuralları” da var. Bir grubun Türkiye'deki şirketinden Almanya'daki şirketine veri gönderilmesi buna örnek olabilir. Bu kuralların da Kurul tarafından onaylanması gerekir. Bir hosting şirketinin müşterisi olmak, onunla aynı gruba dâhil olduğumuz anlamına gelmez.

Yabancı bir hosting şirketiyle görüşürken soracağımız sorulardan biri şu olmalı: Gerekli standart sözleşmeyi bizimle imzalayacak mı? İmzalamıyorsa, diğer seçeneklerden birini gerçekten kullanabiliyor muyuz? Bu soruların cevabı, o hizmeti alıp alamayacağımızı etkiler.

## Hangi sözleşmeyi imzalayacağız, içine ne yazacağız?

Hosting şirketinin üyelik sırasında kabul ettirdiği hizmet şartları, burada sözünü ettiğimiz standart sözleşmenin yerine geçmez. Kullanacağımız metin, Kurulun [yayımladığı standart sözleşmeler](https://www.kvkk.gov.tr/Icerik/7938/Standart-Sozlesmeler-ve-Baglayici-Sirket-Kurallarina-Iliskin-Dokumanlar-Hakkinda-Kamuoyu-Duyurusu) arasından seçilir. Doğru metni seçmek için de bizim ve sağlayıcının veriyle ne yaptığını bilmemiz gerekiyor.

Diyelim ki müşterilerimizin adlarını, iletişim bilgilerini ve siparişlerini kendi işimiz için kaydediyoruz. Hosting şirketi bu kayıtları bizim adımıza, verdiğimiz talimatlara göre saklıyor. Bu örnekte biz “veri sorumlusu”, hosting şirketi ise “veri işleyen” konumundayız. Bu iki taraf arasındaki aktarım için hazırlanmış sözleşmeyi kullanırız. Şirket aynı kayıtları kendi amaçları için de kullanacaksa, yaptığı o işi ayrıca incelememiz gerekir.

Sözleşmede yalnızca şirket adları ve sunucunun ülkesi yazmıyor. Eklerine, müşterilerin hangi bilgilerinin gönderileceğini, bunlarla ne yapılacağını, ne sıklıkta işleneceğini, ne kadar süre saklanacağını ve nasıl korunacağını da yazıyoruz. Örneğin yalnızca iletişim bilgilerini saklayacağımızı yazıp kimlik belgelerini de yüklemeye başlarsak, sözleşmede anlattığımız işle yaptığımız iş birbirini tutmaz.

Sağlayıcının veriyi başka şirketlerle paylaşıp paylaşmadığı da önemli. [Bu örneğe uygun standart sözleşme](https://www.kvkk.gov.tr/Icerik/7931/Kisisel-Verilerin-Yurt-Disina-Aktarilmasinda-Kullanilacak-Standart-Sozlesme-2-Veri-Sorumlusundan-Veri-Isleyene-), sağlayıcının veriyi başka şirketlere göndermesini ve yedekleme ya da destek için kullandığı diğer firmaları da düzenliyor. Yedekleme veya destek için başka bir şirket kullanıyorsa, o şirketin neye eriştiğini de bilmeliyiz.

Yazının başındaki örneğe dönelim: Sunucu İstanbul'da olsa bile yedek Almanya'daki şirkete gidiyor, başka bir yabancı firma da destek için kayıtları görüyor. Yalnızca İstanbul'daki sunucuyu anlatan bir sözleşme, bu iki işlemi açıklamış olmaz.

## Yabancı şirket Türkçe sözleşmeyi imzalayacak mı?

Kurumun [imzaya ilişkin açıklamasına](https://www.kvkk.gov.tr/Icerik/8170/Yurt-Disina-Kisisel-Veri-Aktariminda-Kullanilacak-Standart-Sozlesmelerde-Dikkat-Edilmesi-Gereken-Hususlara-Iliskin-Kamuoyu-Duyurusu) göre **sözleşmenin Türkçe metnini iki taraf da imzalamalı**. İngilizcesini de hazırlayabilirsiniz, ama bu Türkçe metindeki imzaların yerine geçmiyor. Türkçe ve İngilizce yan yana iki sütun hâlindeyse, iki tarafın imzası Türkçe sütunda da bulunmalı.

Şirket adına imza atan kişinin bunu yapmaya yetkili olduğunu gösteren belgeler de gerekiyor. Kuruma sunulacak yabancı dildeki belgelerin noter onaylı Türkçe çevirileri isteniyor. Yabancı bir makamın düzenlediği resmî belgelerde ise imza veya mührün doğruluğunu teyit etmek için, duruma göre apostil ya da başka bir tasdik işlemi gerekebiliyor. Bunlar sağlayıcıyla önceden konuşulması gereken işler.

Burada “imza” deyince yalnızca ıslak imzayı anlamamak gerekiyor. Türk hukukundaki şartları karşılayan güvenli elektronik imza da el yazısıyla imzaya eşdeğer olabilir. [BTK'nın açıklamasında](https://www.btk.gov.tr/en/frequently-asked-questions-about-e-signature), yurt dışında verilen elektronik sertifikaların hangi şartlarda tanınacağı da anlatılıyor. İnternette herhangi bir imzalama aracını kullanmak veya bir kutucuğu işaretlemek, bu şartların karşılandığını tek başına göstermiyor.

Finlandiya'da bir hosting şirketinden hizmet alacağımızı düşünelim. Şirket Türkçe sözleşmeyi imzalamıyorsa, biz metni tek başımıza imzalayıp portala yükleyerek eksikliği gideremeyiz. “Çok büyük şirket, güvenliği de iyi” dememiz de karşı tarafın imzasının yerini tutmaz.

Türkiye'deki bir temsilci veya iş ortağıyla görüşmek evrak işini kolaylaştırabilir. Ancak o kişinin yabancı şirket adına imza atmaya yetkili olması gerekir. Türkiye'de bir satış ofisi bulunması, oradaki herkesin bu sözleşmeyi imzalayabileceği anlamına gelmez.

Metni şirkete kabul ettirmek için istediğimiz maddeleri çıkarma serbestimiz de yok. Kurulun seçim yapmamıza izin verdiği kısımlar dışında standart metni değiştiremiyoruz. Bu yüzden şirketin sözleşmeyi ve gerekli belgeleri sağlayıp sağlayamayacağını, verileri taşımadan önce öğrenmeliyiz.

## Bütün işletmeler bunları gerçekten yapıyor mu?

Bu kadar belge, imza ve kontrolü okuyunca insanın aklına şu geliyor: Bunca işletme bunların hepsiyle uğraşıyor olabilir mi? Türkçe sözleşme, yetki belgeleri ve çeviriler, özellikle küçük bir ekip için ciddi iş çıkarabilir. Birkaç dakikada satın alabildiğimiz hizmetin hukuki hazırlığı aynı hızda bitmeyebilir.

Ama başka işletmelerin hangi sözleşmeleri imzaladığını, hangi kontrolleri yaptığını dışarıdan bilmiyoruz. Bir hizmetin çok kullanılması, herkesin gerekli şartları sağladığını göstermiyor. Eksik yapanlar da olabilir. Bugüne kadar sorun çıkmamış olması da eksik bir işlemi doğru hâle getirmiyor. Buradan hareketle işletmelerin çoğunun kurallara uymadığını söylemek de elimizdeki bilgiyi aşar.

Bu yükü azaltmanın bir yolu, belge ve sözleşme konusunu sağlayıcı seçiminin parçası yapmak. Gerekli metni imzalayabilen, yetki belgelerini sunabilen ve veriyi nerede tuttuğunu açıklayabilen bir firmayla baştan çalışmak işleri kolaylaştırabilir. Hizmeti önce satın alıp bunları sonra istemek, verileri başka yere taşımak zorunda kalmamıza yol açabilir. Veriyi göndereceğimiz hizmet sayısını ihtiyacımız kadar tutmak da takip edeceğimiz işi azaltır; kullandığımız hizmetlerin şartlarını yerine getirme gereğini kaldırmaz.

## Türkiye'de tutmak işi ne kadar kolaylaştırır?

Benim için mesele yalnızca bir sorun çıktığında hukuken haklı olmak değil. Günlük işleyişte daha az belirsizlik yaşamak, daha az evrak peşinde koşmak ve ne yaptığımızı kolayca anlatabilmek de önemli.

Bir denetimde “Verileri yurt dışına göndermiyoruz. Türkiye'deki şu sağlayıcıda tutuyoruz, sözleşmelerimiz de burada” diyebilmek işi kolaylaştırabilir. Ama bunu söyleyebilmek için gerçekten böyle çalışıyor olmamız gerekir. Ana sunucu Türkiye'deyken yedekler yabancı bir şirkete gidiyorsa bu açıklama eksik kalır.

Yabancı hizmetin bize sağladığı faydaya bakarken, bu takip işini de hesaba katmalıyız. Sağlayıcı yarın yedekleri başka bir ülkeye taşırsa ne olacak? Destek işini başka bir şirkete verirse kimlerin erişimi değişecek? Başlangıçta imzaladığımız belgelerin yeni durumu da kapsayıp kapsamadığını kontrol etmemiz gerekecek.

İhtiyacımızı karşılayan, güvenliği ve sözleşmeleri uygun bir Türkiye seçeneği varsa daha az uğraştıran çözüm bu olabilir. Fakat sırf Türkiye'de diye güvenliği zayıf bir sağlayıcıya geçmek de doğru karar olmaz. Veriyi koruma sorumluluğumuz, sunucunun ülkesi değişince bitmiyor.

Yabancı sağlayıcıyla bütün sözleşmeleri tamamlasak bile, müşteriye verisini neden aldığımızı ve ne yapacağımızı açıklamamız gerekir. Yapacağımız iş için açık rıza gerekiyorsa onu da almalıyız. Sözleşme imzaladık diye veriyi istediğimiz amaçla kullanamayız veya her çalışana açamayız. Sağlık gibi sektörlerde ayrıca verinin nerede tutulabileceğini belirleyen kurallar bulunabilir.

Bu yazıda çözmeye çalıştığımız ilk soru şu: Seçtiğimiz yabancı hizmeti, gerekli şartları gerçekten sağlayarak kullanabiliyor muyuz? Bunun cevabını, hizmeti satın alıp verileri yüklemeden önce bulmalıyız.

---

Language: Turkish
License: CC BY 4.0
License URL: https://creativecommons.org/licenses/by/4.0/
Scope: Evren Bal-authored text, unless this article expressly states otherwise.
Excluded: Third-party material, quoted excerpts, logos, and separately marked images retain their own rights.
Attribution: Credit Evren Bal, link to the canonical source and license, and indicate changes.
Source: https://evrenbal.com/tr/kvkk-yurt-disinda-veri-saklama-sartlari