2026'da yurt dışına veri aktarımı: standart sözleşme, bulut hizmeti ve KVKK

2026'da şirketler için asıl risk görünmeyen aktarım

Yurt dışına veri aktarımı denildiğinde çoğu şirketin aklına büyük veri tabanlarının başka ülkeye taşınması geliyor. Oysa 2026'da risk daha sıradan iş akışlarında ortaya çıkıyor: bulut tabanlı e-posta, CRM, insan kaynakları yazılımı, muhasebe aracı, müşteri destek sistemi, çevrim içi toplantı kaydı, yapay zekâ destekli belge özetleme servisi veya yurt dışındaki grup şirketiyle ortak kullanılan dosya alanı. Bu araçlarda müşteri adı, çalışan bilgisi, bordro, sözleşme, sağlık raporu, pasaport, ödeme bilgisi veya destek talebi yurt dışındaki sunuculara gidiyorsa KVKK m.9 kapsamında aktarım değerlendirmesi yapılmalıdır. Şirketler çoğu zaman sözleşmeyi satın alma veya bilgi işlem birimi üzerinden kapatıyor; hukuk ve KVKK kontrolü sona bırakılıyor. Bu sıralama tersine çevrilmelidir. Önce aktarım var mı, hangi veri gidiyor, alıcı kim, alıcı veri sorumlusu mu veri işleyen mi, ülke ve alt hizmet sağlayıcılar nerede, uygun güvence hangi yöntemle kurulacak soruları cevaplanmalıdır. Aksi halde şirket, fark etmediği bir aktarımı yıllarca sürdürüp denetimde savunması zor bir pozisyona düşebilir.

Aktarım gerçekten var mı, önce bunu tespit edin

Her yurt dışı bağlantılı hizmet otomatik olarak yurt dışına veri aktarımı sayılmaz; fakat hizmetin teknik akışı incelenmeden güvenli kabul edilmesi de doğru değildir. Şirket önce kullandığı yazılımları ve tedarikçileri listelemelidir. E-posta sağlayıcısı, bulut depolama, CRM, ödeme altyapısı, e-ticaret paneli, reklam ve analiz araçları, çağrı merkezi, bordro yazılımı, işe alım platformu, uzaktan destek aracı ve yapay zekâ servisleri tek tek yazılır. Her araç için hangi veri kategorisi işlendiği, veri konusu kişi grubu, alıcı ülke, alt işleyenler, saklama süresi ve erişim yetkileri not edilir. Bu çalışma veri işleme envanterinin canlı bir parçasıdır. Sadece sözleşmede "veriler Türkiye'de tutulur" denmesi yeterli olmayabilir; yedekleme, destek, log kayıtları veya alt hizmet sağlayıcı erişimi de aktarım doğurabilir. Bir şirket veri akışını haritalamazsa standart sözleşme tipini de doğru seçemez. Envanter çalışması bu yüzden formalite değil, hukuki güvenliğin başlangıcıdır.

KVKK m.9 rejimi: yeterlilik, uygun güvence ve arızi aktarım

KVKK m.9 değişikliklerinden sonra yurt dışına veri aktarımında aşamalı bir değerlendirme yapılır. İlk basamak, aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunup bulunmadığıdır. Yeterlilik yoksa kanunda sayılan uygun güvenceler değerlendirilir; standart sözleşmeler ve bağlayıcı şirket kuralları bu çerçevede önem kazanır. Uygun güvence de yoksa yalnızca kanunda sınırlı sayıda belirtilen arızi haller gündeme gelebilir. Arızi aktarım, sürekli kullanılan bir bulut hizmetini meşrulaştırmak için genel çözüm gibi kullanılamaz. Şirketin sürekli CRM hizmeti, düzenli bordro aktarımı veya her gün çalışan belge paylaşımı varsa bu faaliyet arızi değildir. Bu ayrım 2026 uyum çalışmalarında kritik hale gelmiştir; çünkü birçok işletme yurt dışına veri aktarımını "zaten sözleşme var" diyerek kapatmaya çalışıyor, fakat sözleşmenin KVKK m.9 anlamında uygun güvence sağlayıp sağlamadığı ayrıca incelenmelidir.

Standart sözleşme tipini yanlış seçmek süreci baştan bozar

KVKK Kurumu tarafından yayımlanan standart sözleşmeler farklı aktarım ilişkilerine göre ayrılır. Veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım tipleri aynı hukuki ilişkiyi anlatmaz. Örneğin bir şirketin müşteri verilerini yurt dışındaki CRM sağlayıcısına aktarması çoğu durumda veri sorumlusundan veri işleyene aktarım olarak incelenebilir; ancak grup şirketleri arasında ortak müşteri yönetimi varsa tarafların rolü değişebilir. Yanlış tipte standart sözleşme imzalanırsa kağıt üzerinde bir metin bulunur, fakat aktarım ilişkisini doğru karşılamaz. Bu yüzden sözleşme seçimi satın alma aşamasından önce yapılmalı, veri akışı ve taraf rolleri hukuk, bilgi işlem ve operasyon ekipleriyle birlikte çıkarılmalıdır. Standart metne serbestçe hüküm eklenemeyeceği veya çıkarılamayacağı da unutulmamalıdır. Seçimlik alanlar dışında yapılan değişiklikler, metnin güvence niteliğini zayıflatabilir.

Beş iş günü bildirimi ve imza düzeni

Standart sözleşme yalnızca taraflar arasında imzalanıp dosyada bırakılan bir metin değildir. KVKK m.9 uyarınca standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Kurumun duyurularında imza yetkisi, Türkçe metin üzerinde imza, temsil belgeleri, imza tarihleri, adres ve irtibat bilgileri gibi konular özellikle vurgulanmıştır. Bu ayrıntılar pratikte sık hata yapılan alanlardır. Yabancı dilde sözleşme düzenleniyorsa Türkçe metnin imzalanması, yetkili kişinin imza sirküleri veya temsil belgesinin eklenmesi, yabancı belgeler için noter onaylı Türkçe çeviri ve gerektiğinde apostil sürecinin planlanması gerekir. Şirketler bu işleri son güne bırakırsa beş iş günü bildirimi kolayca kaçabilir. Bu nedenle imza takvimi, tedarikçiyle sözleşme pazarlığı başlamadan planlanmalı ve standart sözleşme bildirimi için sorumlu kişi belirlenmelidir. Uyumun güçlü görünmesi, sadece doğru metne değil, doğru usule de bağlıdır.

Bulut hizmeti sözleşmelerinde KVKK kontrol listesi

Bulut hizmeti veya SaaS aboneliği alınırken teknik güvenlik maddeleri ile KVKK hükümleri birlikte okunmalıdır. Sözleşmede veri merkezi ülkesi, yedekleme lokasyonu, alt işleyen listesi, teknik ve idari tedbirler, ihlal bildirimi süresi, destek personelinin erişim yetkisi, log kayıtları, veri silme ve iade prosedürü, fesih sonrası saklama süresi ve denetim hakkı açık olmalıdır. Tedarikçi tek taraflı olarak alt işleyen ekleyebiliyorsa şirketin bildirim alma ve itiraz hakkı bulunmalıdır. Veriler yapay zekâ modeli eğitimi için kullanılacaksa bu ayrıca değerlendirilmelidir. KVKK m.12 kapsamında veri güvenliğine ilişkin makul tedbirler alınmadan sadece standart sözleşme imzalamak yeterli değildir. Şirketin kendi iç yetkilendirmesi de önemlidir; herkesin müşteri verisini indirebildiği veya dış servise aktarabildiği bir düzende en iyi tedarikçi sözleşmesi bile riski tam kapatmaz. Bu yüzden sözleşme, teknik ayar ve şirket içi prosedür aynı dosyada yönetilmelidir.

Aydınlatma metni ve veri envanteri güncellenmeden uyum tamamlanmaz

Yurt dışına veri aktarımı çalışması sadece tedarikçi sözleşmesiyle bitmez. Aydınlatma metinlerinde veri aktarımı yapılan alıcı grupları, aktarım amacı ve hukuki sebep doğru yazılmalıdır. Veri işleme envanterinde yurt dışına aktarılan veri kategorileri, kişi grupları, aktarım amacı, alıcı veya alıcı grubu, saklama süresi ve güvenlik tedbirleri güncellenmelidir. VERBİS yükümlülüğü bulunan şirketlerde sicil kaydı ile fiili veri akışı arasında çelişki olmamalıdır. Çalışan verileri ile müşteri verileri aynı metinle geçiştirilemez; işe alım platformu, bordro sağlayıcısı, e-posta sistemi ve CRM farklı veri grupları doğurur. Ayrıca veri sahibinin başvuru hakkı bakımından şirketin hangi veriyi hangi tedarikçide tuttuğunu hızlıca gösterebilmesi gerekir. Bu düzen kurulmadığında sorun yalnızca mevzuata uyumsuzluk değildir; müşteri güveni, tedarikçi yönetimi ve kriz anında cevap verme kapasitesi de zayıflar.

Şirket yönetimi için 2026 aksiyon planı

2026 için pratik plan dört aşamada kurulabilir. Birinci aşama veri akışı haritasıdır; tüm bulut, SaaS, yapay zekâ, ödeme, bordro, CRM ve destek araçları çıkarılır. İkinci aşama hukuki sınıflandırmadır; aktarım var mı, taraf rolleri nedir, yeterlilik veya uygun güvence hangi yolla sağlanacak belirlenir. Üçüncü aşama sözleşme ve bildirimdir; doğru standart sözleşme tipi seçilir, imza yetkileri kontrol edilir, beş iş günü bildirimi takvime bağlanır. Dördüncü aşama operasyonel kontroldür; aydınlatma metinleri, veri envanteri, VERBİS, saklama imha politikası, tedarikçi denetimi ve çalışan eğitimleri güncellenir. Yönetim kurulu veya şirket müdürleri bu süreci sadece bilgi işlem işi olarak görmemelidir. Yurt dışına veri aktarımı, müşteri güveni ve idari yaptırım riski yanında ticari sözleşme ilişkisinin devamını da etkiler. Özellikle uluslararası çalışan KOBİler, e-ticaret şirketleri ve profesyonel hizmet firmaları için erken kontrol, sonradan yapılacak kriz yönetiminden daha düşük maliyetlidir.

Grup şirketleri ve global ekiplerle veri paylaşımı

Yurt dışına veri aktarımı yalnızca harici tedarikçi ilişkilerinde ortaya çıkmaz. Türkiye'deki şirketin yurt dışındaki ana şirketi, bağlı ortaklığı, franchise ağı, ortak müşteri destek ekibi veya bölgesel insan kaynakları birimiyle veri paylaşması da aktarım doğurabilir. Grup içi veri akışları çoğu zaman "zaten aynı şirketler topluluğuyuz" düşüncesiyle daha gevşek yönetilir; oysa KVKK açısından ayrı tüzel kişilikler ve ayrı amaçlar dikkate alınır. Çalışan performans verisi, müşteri portföyü, satış raporu, bordro, kamera görüntüsü, seyahat kaydı veya disiplin süreci gibi bilgiler global sisteme açılıyorsa hukuki sebep, aydınlatma ve aktarım güvencesi birlikte kurulmalıdır. Grup şirketleri arasında standart sözleşme mi, bağlayıcı şirket kuralı mı, yoksa başka bir uygun güvence mi kullanılacağı somut veri akışına göre belirlenir. Ayrıca global yazılımlarda Türkiye'deki kullanıcıların erişim yetkileri, yurt dışındaki ekiplerin görüntüleme ve indirme yetkileri, raporlama amaçları ve veri saklama süreleri ayrı ayrı yazılmalıdır. Grup içi ilişki güven ilişkisi yaratabilir, fakat bu güven KVKK yükümlülüğünü ortadan kaldırmaz.

Denetim dosyasında hangi belgeler saklanmalı?

Şirketin 2026 uyum dosyasında sadece imzalı standart sözleşme bulunması yeterli değildir. Veri akışı haritası, tedarikçi listesi, taraf rol analizi, standart sözleşme tipi seçimi, imza yetki belgeleri, Kuruma yapılan beş iş günü bildirimi, aydınlatma metinlerinin güncel halleri, veri envanteri, VERBİS kaydı, tedarikçi güvenlik ekleri, alt işleyen listesi, ihlal bildirimi prosedürü ve saklama imha planı aynı dosyada tutulmalıdır. Bu belgeler düzenli güncellenmezse şirket bir denetimde geçmişte doğru adım atmış görünse bile bugün fiili akışın değiştiğini açıklamakta zorlanır. Özellikle bulut hizmetlerinde tedarikçi alt işleyen listesini değiştirebilir, veri merkezi lokasyonu yenilenebilir veya yapay zekâ özellikleri sonradan aktif hale gelebilir. Bu nedenle sözleşme imzalandıktan sonra dosya kapanmış sayılmamalıdır. En az yılda bir, yüksek riskli hizmetlerde ise her büyük ürün değişikliğinde tekrar kontrol yapılmalıdır. Denetim dosyası iyi tutulduğunda şirket, yalnızca mevzuata uyduğunu değil, riski izlediğini de gösterebilir.

Basvuru Oncesi Kisa Kontrol Listesi

• Kullanılan tüm bulut, CRM, bordro, e-posta, destek ve yapay zekâ araçlarını listeleyin.
• Her araç için yurt dışına aktarım olup olmadığını, alıcı ülkeyi ve alt işleyenleri tespit edin.
• Veri sorumlusu ve veri işleyen rollerini belirleyerek doğru standart sözleşme tipini seçin.
• Standart sözleşme imzalarının yetkili kişilerce ve Türkçe metin üzerinde tamamlandığını kontrol edin.
• İmza tarihinden itibaren beş iş günü içinde KVKK Kurumuna bildirim takvimini planlayın.
• Aydınlatma metni, veri envanteri, VERBİS ve saklama imha politikasını aynı veri akışına göre güncelleyin.
• Tedarikçi sözleşmelerinde veri merkezi, alt işleyen, ihlal bildirimi ve silme hükümlerini inceleyin.