Türkiye'de SaaS için KVKK ve GDPR

Avukatınız veri sorumlusu mu, veri işleyen mi yoksa her ikisi mi olduğunuzu ve hangi hukuki sebebin geçerli olduğunu belirler. Bu çağrıyı biz yapmayız ve bir gizlilik politikası şablonunu onun yerine yayımlamayız. Yaptığımız, yazılı bir talimatın işaret edebileceği kontrolleri kurmaktır: veri nerede durur, kim okuyabilir, ne kadar saklanır, bir kişi nasıl dışa aktarılır veya silinir ve hangi alt işleyenler onu görür.

Banner ile değil veri haritasıyla başlayın

Çerez bandı bir SaaS ürününü anlatmaz. Keşifte istediğimiz harita, ürünün sakladığı kişisel verinin listesidir: hesap e-postaları, adlar, destek dökümleri, kiracının yüklediği dosyalar, kullanım olayları ve bir model sağlayıcının alacağı her şey. Her kalem için amaç, depo, bölge ve saklamayı yazarız. Amacı olmayan alan çıkmaz.

Türkiye'deki ilgili kişiler KVKK sorusu getirir. AB'deki ilgili kişiler GDPR sorusu getirir. Türk şirketi AB müşterisine sattığında veya AB şirketi İstanbul'dan işletilen bir ürünü kullandığında ürün ikisiyle birden karşılaşabilir. Mühendislik yanıtı aynı şekildedir: kaydı bilin, bölgeyi bilin, talimatın yasakladığı yere göndermeyin. Hukuki yanıt avukatındır. İmzaladıkları talimatı uygularız.

Bölge bir dağıtım gerçeğidir

Sözleşme AB müşterilerinin kişisel verisinin AB'de işlendiğini diyorsa veritabanı, nesne deposu, yedekler ve o alanları içeren log boru hattı orada çalışır. Kimsenin test etmediği bir yapılandırma bayrağı yerleşim değildir. Sızıntı çoğu zaman yedektedir: Frankfurt'taki birincil ve başka bölgedeki gecelik kopya hâlâ bir aktarımdır. Yedek bölgesini tasarımda adlandırırız.

Gerçekten kullandığımız barındırma seçenekleri Cloudflare, AWS ve GCP'dir. Bölge, antet Şişli'de diye değil ürün başına seçilir. Stüdyo İstanbul'dadır. Veri düzlemi, talimat ve gecikme bütçesinin dediği yerdedir.

Erişim, silme ve kiracı sınırı

Bir silme talebi kiracının satırlarına, arama dizinine, nesne deposuna ve yedeklerin saklama saatine ulaşmalıdır. Yükledikleri dosya bir kovada ve ambar dışa aktarımında duruyorsa “kullanıcı satırını sildik” yetmez. Silmeyi, neye dokunduğunun kaydı olan bir iş olarak tasarlarız. Dışa aktarım aynı işin ters yönüdür: o kişinin verisinin makinece okunur kopyası, ekran görüntüsü değil.

Çok kiracılı mimari notunda anlatılan kiracı izolasyonu aynı zamanda bir gizlilik kontrolüdür. Başka müşterinin yöneticisi arka kapı olmamalıdır. Destek erişimi varsa bu, paylaşılan parola değil denetlenen kimliğe bürünmedir.

Alt işleyenler, modeller ve loglar

E-posta teslimi, hata izleme, ödemeler ve model API'leri mimari diyagram çizse de çizmese de alt işleyendir. Her birinin adı konmuş bir amacı ve alan listesi vardır. Tüm DOM'u üçüncü tarafa gönderen bir destek aracı ürün kararıdır ve bunu işaret ederiz. Bir LLM çağrısı aynı tür karardır: istem bir aktarımdır. Adını koymadığınız bir sağlayıcıya kiracının belgelerini göndermeyiz. Erişim, kullanmanıza izin verilen belgelerde kalır. Bu sınır kurumsal yapay zeka sayfasındakidir.

E-posta, IP adresi veya istek gövdesi içeren loglar kişisel veridir. Onları yazılı bir süre tutarız ve sohbet araçlarındaki ekran görüntülerinden uzak tutarız. Üretim erişimi sistemi işleten kişilerle sınırlıdır.

Yapmayacağımız şey

Avukatınızın adlandırdığı kontrolü uygularız. Hukuki rolü, hukuki sebebi veya sınır ötesi mekanizmayı uydurmayız.

Standart sözleşme maddeleri, bir KVKK bildirimi veya eşdeğer başvuru ve veri işleme sözleşmesi belgedir. Teknik eke göre inşa edebiliriz — aktarımda ve dururken şifreleme, erişim logları, bölge listesi, silme yolu. Onları avukatınızın yerine imzalamayız ve “AB'de barındırma” analizin bittiğini söylemeyiz. Veri haritası kısaysa ilk SaaS dilimi hâlâ 10–16 haftalık planlama bandına sığar. Depolarını adlandıramayan ürün sığmaz.

Teslimat sırasını istiyorsanız nasıl çalıştığımızı okuyun. Ürün sayfasını istiyorsanız SaaS platform geliştirmeyi okuyun. Avukatınızın sorduğu soruları getirin; veri haritası başlamışsa keşif kısalır.