Kısa cevap: SaaS hizmetlerinde “KVKK’ya uyumluyuz” etiketi çoğu zaman yüzeysel kalıyor; gerçek uyum ise sadece birkaç teknik veya hukuki dokümanla değil, veri yönetiminin tüm süreçlerinde titizlikle sağlanmalı. Satın almadan önce, müşteri verilerinizin gerçekten güvende olup olmadığını anlamak için göstergelere, sözleşme detaylarına ve pratik uygulamalara bakmanız şart.
Bir sabah, müşteriniz arıyor: “Verilerim internete sızmış, sorumlusu sizsiniz!” O anda, aslında SaaS firmanızın size ne kadar az garanti verdiğini ve para ödediğiniz sertifikaların hiçbir işe yaramadığını fark ediyorsunuz.
Neden Her SaaS ‘KVKK’ya Uygun’ Olduğunu Söylüyor? (Ve Hangileri Gerçekten Uygun Değil)
"KVKK’ya uygunuz" ibaresi, SaaS sağlayıcılarının web sitelerinde sıkça karşınıza çıkar. Ancak, gerçek uyumluluk sadece bir gizlilik politikası yayınlamakla veya birkaç teknik önlemle sağlanmaz. Pratikte, veri işleme süreçlerinin tamamı ve teknik altyapı denetlenmeli. Örneğin, verilerinizin yurt dışında tutulduğu bir SaaS’ta, KVKK kapsamında açık rıza veya ek sözleşmeler gerekir. Ayrıca, sağlayıcıların birçoğu sadece yazılı beyan verir, fakat bağımsız denetim raporu sunmaz. Eğer bir SaaS hizmeti, verilerin nerede tutulduğunu ve hangi şifreleme standartlarının kullanıldığını açıkça belirtmiyorsa, gerçek anlamda KVKK uyumundan söz etmek risklidir.
Kurucu İçin En Büyük Risk: ‘Veri İhlali’ Senaryosunda Kim Yanar?
Veri ihlali gerçekleştiğinde, KVKK kapsamında asıl sorumluluk genellikle verilerin sahibi olan işletmeye (yani size) aittir. SaaS sağlayıcısı, sözleşmede açıkça “veri işleyen” olarak tanımlanmadıysa veya ihlal bildirimi süresi net verilmediyse, cezai yaptırım doğrudan size uygulanabilir. Örneğin, veri sızıntısında KVKK tarafından işletmelere kesilen para cezaları 50.000 TL ile 2.000.000 TL arasında değişebiliyor (tahmini aralık, zamanla değişebilir). Sağlayıcınızın sigorta poliçesi, ihlal yönetimi prosesi veya veri kurtarma planı yoksa, risk tamamen size yüklenmiş olur.
Sözleşmede Mutlaka Görülmesi Gereken 3 Şey: Maddelerle Açıklama
- Veri Sorumluluğu ve İşleyenin Tanımı: Sözleşmede kim veri sorumlusu, kim veri işleyen açıkça yazmalı. "Tüm veri ihlali sorumluluğu müşteriye aittir" gibi maddelerden kaçının.
- Veri İhlali Bildirimi Süresi: KVKK, ihlal sonrası en geç 72 saat içinde bildirim ister. Sözleşmede bu sürenin altında (ör. 24 saat) bir taahhüt varsa, avantaj sağlar.
- Veri Taşınabilirliği ve Silinebilirliği: Hizmeti bırakmak isterseniz, tüm verilerin size açık formatta ve eksiksiz teslim edileceği ve tamamen silineceği sözleşmede açıkça yazmalı.
Veri Taşıma ve Silme: Gerçekte Ne Kadar Kolay?
Çoğu SaaS sağlayıcı, “verilerinizi istediğiniz zaman taşıyabilirsiniz” der. Ancak pratikte, veri ihracı genellikle CSV veya JSON gibi standart formatlarla sınırlı kalır ve ilişkili veriler (ör. dosya ekleri, loglar) eksik olabilir. Ayrıca, bazı SaaS’larda veri silme talebiniz olsa bile, yedeklerden silinme süresi 30-180 gün arasında değişebilir. Eğer SLA’da (hizmet seviyesi sözleşmesi) “tam silme” ve “geri alınamaz şekilde imha” taahhüdü yoksa, veri taşıma ve silme süreci ciddi risk barındırır.
‘KVKK Uyumluluğu’ Etiketinin Arkasında Hangi Teknik Standartlar Var?
Gerçek KVKK uyumluluğu için SaaS’ın şu teknik standartları karşılaması beklenir:
- Verilerin Türkiye içinde barındırılması veya yasal geçerli transfer mekanizmalarının kullanılması
- Veri şifrelemesi: En az AES-256 seviyesinde
- Erişim loglarının tutulması ve düzenli denetim
- Bağımsız denetim raporları (ör. ISO 27001, SOC 2)
- Yıllık KVKK eğitimi ve testleri (personel için)
Tüm bunların sözleşmede veya teknik dokümanda açıkça belirtilmemesi, KVKK etiketinin sadece pazarlama taktiği olarak kullanıldığını gösterebilir.
SaaS ürününüzün veri güvenliği gerçekten yeterli mi?
Satın almadan önce risklerinizi analiz etmek ve sözleşmenizi uzman gözüyle değerlendirmek için bize ulaşın.
Ücretsiz Değerlendirme İsteyinBaşınıza Gelebilecek En Pahalı Hatalar (Gerçek Hayattan Durumlarla)
- Veri Sızıntısı Sonrası Cezalar: Birçok işletme, yurt dışı merkezli SaaS kullandığında, veri Türkiye dışına çıktığı için doğrudan para cezası aldı.
- Veri Taşıyamama: Sözleşmede veri taşınabilirliği açıkça yazmadığı için, eski SaaS sağlayıcısından verilerini eksiksiz alamayan firmalar, aylarca operasyonel kayıp yaşadı.
- İhlal Bildirimi Eksikliği: SaaS sağlayıcı ihlali zamanında bildirmediği için, asıl ceza müşteriye (yani size) kesildi.
Bu tür örnekler, "ucuz" ya da "çok bilinen" SaaS’larda bile yaşanabiliyor. B2B ve B2C SaaS farklarını inceleyerek riskinizi daha iyi yönetebilirsiniz.
Satın Almadan Önce Sormanız Gereken 5 Kritik Soru
Satın alma öncesi, aşağıdaki tabloyu kullanarak aday SaaS ürününüzü puanlayın. Her satırda “Evet”, “Hayır” veya “Açıkça belirtilmemiş” seçeneklerinden birini işaretleyin. Her “Hayır” veya “Belirtilmemiş” risk puanınızı arttırır.
| Kriter | Evet | Hayır | Açıkça belirtilmemiş |
|---|---|---|---|
| Veriler Türkiye'de mi tutuluyor? | |||
| Sözleşmede veri sorumluluğu açıkça tanımlı mı? | |||
| Veri ihlali bildirimi süresi belirtilmiş mi? | |||
| Veri taşınabilirliği ve silinebilirliği mümkün mü? | |||
| Sağlayıcı bağımsız denetim raporunu paylaşabiliyor mu? | |||
| Yıllık KVKK eğitimi veriliyor mu? |
Tabloda “Hayır” veya “Açıkça belirtilmemiş” kutuları fazlaysa, hizmeti tekrar değerlendirin. Risk skorunuz arttıkça, hukuki ve operasyonel yükünüz de artar.
Ek Karar Aracı: Sözleşme Maddeleri Kontrol Listesi
- Veri sorumluluğu ve işleyen tanımı net mi?
- Veri ihlali bildirimi kaç saat içinde yapılacak?
- Veri taşınabilirliği nasıl sağlanacak?
- Veriler hangi ülkede ve hangi teknik standartlarla saklanıyor?
- Bağımsız denetim raporu talep edebiliyor musunuz?
Bu soruların en az 4’üne “evet” diyemiyorsanız, alternatif SaaS’lara yönelin veya sağlayıcıdan ek dokümantasyon talep edin. Yazılım danışmanlık hizmetlerimiz ile sözleşme ve teknik altyapı denetimi yaptırabilirsiniz.
Sonuç: ‘KVKK Uyumlu’ Etikete Kanmayın, Kontrol Sizde Olsun
Bir SaaS’a para yatırmadan önce, “KVKK’ya uyumluyuz” demekle gerçekten uyumlu olmak arasında büyük fark var. Kontrol listelerini ve sözleşme maddelerini somut olarak inceleyin; bu adımları atlamadan hareket etmek, sizi hem hukuki hem de operasyonel büyük kayıplardan korur. Süreç karmaşık geliyorsa, ücretsiz değerlendirme ile uzman desteği alabilirsiniz. Ayrıca, SaaS geliştirme maliyetleri ve fikir doğrulama rehberlerimize de göz atabilirsiniz.
