# Bulut araçlarınız veriyi yurt dışına taşıyor olabilir Kaynak: https://www.globya.com.tr/blog/kvkk-yurt-disi-veri-aktarimi Tarih: 2026-01-26 > E-posta, bulut depolama, analitik, CRM... Firmanın kullandığı araçların çoğu veriyi yurt dışındaki sunucularda tutar. 2024'te değişen kuralları ve bu araçlar için atılacak adımları sade dille anlatıyoruz. KVKK yurt dışı veri aktarımı, uzun yıllar boyunca uygulamada en çok zorlanılan konulardan biriydi. Kanun'un ilk hâli, açık rıza olmadan yapılacak aktarımlar için ya yeterli korumanın bulunduğu ülkeler listesini ya da Kurul izni alınmış bir taahhütnameyi şart koşuyordu. Liste hiç yayımlanmadı, taahhütname süreci de uzun sürdü. Sonuç olarak birçok firma yurt dışı aktarımı fiilen açık rızaya dayandırdı. 12 Mart 2024'te Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la yapılan değişiklik 1 Haziran 2024'te yürürlüğe girdi ve bu tabloyu önemli ölçüde değiştirdi. Bu yazıda yeni düzeni ve bir firmanın gündelik araçları açısından ne anlama geldiğini anlatıyoruz. ## Hangi durum "yurt dışına aktarım" sayılır? Pek çok firma yurt dışına veri aktarmadığını düşünür; çünkü kimseye dosya göndermemiştir. Oysa aşağıdaki durumların her biri aktarım kapsamında değerlendirilebilir: - Kurumsal e-postanın yurt dışında barındırılan bir hizmette tutulması - Dosyaların yurt dışı merkezli bir bulut depolama servisine yüklenmesi - Web sitesindeki analitik ve reklam etiketlerinin ziyaretçi verisini yurt dışına göndermesi - CRM, destek, anket ya da form aracının sunucularının yurt dışında olması - Yapay zekâ servislerine müşteri bilgisi içeren metin gönderilmesi - Yurt dışındaki grup şirketi ya da iş ortağıyla müşteri listesi paylaşılması İlk adım bu yüzden envanterdir: hangi araç, hangi veriyi, hangi ülkede tutuyor? ## 2024 değişikliğiyle gelen kademeli yapı Yeni düzen, aktarımı üç kademede ele alıyor. Sıralama önemlidir; bir alt kademeye ancak üsttekinin uygulanamadığı durumda geçilir. | Kademe | Ne demek | Pratikte | |---|---|---| | 1. Yeterlilik kararı | Kurul, bir ülke, sektör ya da uluslararası kuruluş için yeterli koruma kararı verir | Karar varsa ve işleme şartlarından biri mevcutsa aktarım yapılabilir | | 2. Uygun güvenceler | Yeterlilik kararı yoksa, taraflar arasında güvence sağlanır | Kurulun ilan ettiği standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname | | 3. Arızi aktarım | İlk iki yol yoksa, istisnai ve tekrarlanmayan durumlar | Açık rıza, sözleşmenin ifası için zorunluluk gibi dar sayılmış hâller | Burada en çok kullanılacak yol **standart sözleşmedir**. Kurul, standart sözleşme metinlerini ilan etti; metin taraflarca değiştirilmeden imzalanır. Düzenlemeye göre imzalanan standart sözleşmenin belirli bir süre içinde Kurum'a bildirilmesi gerekir; uygulamada kısa bir süre olarak belirlenen bu bildirimin yapılmaması ayrıca idari yaptırım konusu olabilir. Süre ve bildirim usulünü hukuk danışmanınızla teyit edin. Uygulamanın ayrıntıları 2024'te yayımlanan yönetmelikle düzenlendi. Açık rıza artık aktarımın ana yolu değil; yalnızca arızi, yani düzenli ve tekrarlanan nitelikte olmayan aktarımlarda başvurulabilecek bir istisnadır. Bu, "her şeye rıza alalım" yaklaşımının yurt dışı aktarımda da geçerliliğini yitirdiği anlamına gelir. Rızanın genel mantığını [açık rıza ne zaman gerekir](https://www.globya.com.tr/blog/kvkk-acik-riza-ne-zaman-gerekir) yazısında ele aldık. ## Bulut ve SaaS araçları için pratik yol haritası 1. **Envanter çıkarın.** Kullandığınız her aracı, işlediği veriyi ve sunucu konumunu yazın. 2. **Gerçekten gerekli mi, sorun.** Bazı araçlar yurt içi ya da Türkiye'de barındırılan bir alternatifle değiştirilebilir. Web sitesi ve e-posta için yurt içi [barındırma](https://www.globya.com.tr/hizmetler/barindirma-ve-bakim) seçeneği işi sadeleştirir. 3. **Sağlayıcının belgelerine bakın.** Büyük sağlayıcıların çoğu veri işleme sözleşmesi ve bölge seçimi sunar. Türkiye'nin standart sözleşmesini imzalayıp imzalamadıklarını sorun. 4. **Veriyi azaltın.** Yurt dışı araca yalnız gereken alanları gönderin. Analitikte IP kısaltma, formlarda gereksiz alanları kaldırma gibi adımlar riski küçültür. 5. **Aydınlatma metnini güncelleyin.** Yurt dışına aktarım yapılıyorsa bu, aydınlatma metninde açıkça yer almalı. 6. **Kaydı tutun.** Hangi araç için hangi güvenceye dayandığınızı bir tabloda belgeleyin. ## Yapay zekâ servisleri özel bir dikkat ister Son dönemde en hızlı büyüyen aktarım kalemi yapay zekâ servisleri. Bir çalışanın müşteri mailini özetlemesi için metni yurt dışındaki bir sohbet aracına yapıştırması da aktarımdır. Kurumsal kullanım için veri saklamayan, eğitimde kullanmayan sözleşme seçenekleri tercih edilmeli; kişisel veri içeren metinler mümkünse önce anonimleştirilmeli. ## Kontrol listesi - Veri işleyen tüm araçlar ve sunucu konumları listelendi - Her aktarım için kademe (yeterlilik, uygun güvence, arızi) belirlendi - Gereken yerlerde standart sözleşme imzalandı ve Kurum'a bildirimi yapıldı - Açık rıza yalnız arızi aktarımlarda kullanılıyor - Aydınlatma metni yurt dışı aktarımı anlatıyor - Yapay zekâ kullanımına dair kısa bir iç kural yazıldı ## Globya'da nasıl yapıyoruz Kurduğumuz sitelerde ve yazılımlarda veri akışını proje başında haritalıyoruz; hangi bileşenin yurt dışına veri gönderdiğini açıkça raporluyoruz. Mümkün olan yerde yurt içi barındırma ve [kurumsal e-posta](https://www.globya.com.tr/hizmetler/kurumsal-e-posta) çözümleri öneriyor, yurt dışı araç zorunluysa gönderilen veriyi en aza indiriyoruz. Sözleşme ve bildirim adımları hukuk danışmanınızın işidir; biz ona gereken teknik envanteri hazır veririz. Bu çalışma [KVKK uyumu](https://www.globya.com.tr/hizmetler/kvkk-uyumu) yaklaşımımız gereği ek ücrete tabi değildir. ## Sık sorulan sorular **Soru: Eskiden aldığımız yurt dışı aktarım rızaları hâlâ geçerli mi?** Düzenli ve tekrarlanan aktarımlar için artık uygun güvencelere dayanılması bekleniyor. Mevcut rızaların durumu ve geçiş süreci için hukuk danışmanınızla birlikte değerlendirme yapmanızı öneririz. **Soru: Standart sözleşmeyi kim imzalar?** Veriyi aktaran taraf (siz) ile alıcı taraf (sağlayıcı) arasında imzalanır. Büyük sağlayıcılarla bireysel sözleşme yapmak her zaman mümkün olmayabilir; bu durumda alternatif araç ya da veri azaltma seçenekleri değerlendirilir. **Soru: Sunucusu Avrupa'da olan bir araç da yurt dışı sayılır mı?** Evet. Türkiye dışındaki her konum yurt dışıdır. Avrupa'daki güçlü koruma, Kurul tarafından ayrıca yeterlilik kararı verilmedikçe tek başına aktarımı serbest bırakmaz. **Soru: Hangi araçlarımızın yurt dışına veri gönderdiğini nasıl öğreniriz?** Sitenizi ve kullandığınız araçları birlikte gözden geçirebiliriz. 0850 432 55 13 ya da [iletişim sayfası](https://www.globya.com.tr/iletisim) üzerinden ulaşın.