I. SORUNUN ÇERÇEVESİ

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleyen her aktörü iki temel kategoriden birine yerleştirir: veri sorumlusu veya veri işleyen. Bu ayrım, bir SaaS şirketi için hangi yükümlülüklerin doğacağını, bir veri ihlalinde kimin Kurul'a muhatap olacağını ve B2B sözleşmelerde sorumluluk sınırlarının nerede çizileceğini doğrudan belirler.

Pratikte ise çok kiracılı veritabanları, entegre API'ler, kullanım analitiği katmanları gibi modern SaaS mimarileri bu iki kategorinin sınırlarını bulanıklaştırır. Örneğin bir CRM platformu, müşterisinin yüklediği kişi listeleri bakımından veri işleyen; kendi toplama inisiyatifiyle kaydettiği oturum logları ve tıklama haritaları bakımından ise veri sorumlusu konumunda olacaktır.

Bu karma yapıyı tespit etmemiş olan şirketlerin, B2B iş süreçlerinde peşinen kendilerini yalnızca veri işleyen olarak tanımladığı sıkça görülmektedir. Bu kabul, hukuki açıdan gerçeği yansıtmadığı gibi ticari açıdan problemler meydana gelebilecektir. Bu problemin ilk kez bir kurumsal müşteri tarafından tespit edilmesi, satış sürecinin tamamlanmasını kaydadeğer miktarda uzatacak veya tamamen satışın gerçekleşmemesine sebebiyet verecektir. Yatırım turlarında ise yanlış konumlandırılmış bir veri akışı, due diligence raporunda kırmızı bayrak olarak işaretlenecektir.

II. KANUNİ ÇERÇEVE

A. Veri Sorumlusu

KVKK m.3 veri sorumlusunu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Diğer bir deyişle hangi verinin, hangi amaçla, hangi teknik yöntemle toplanacağına nihai kararı veren taraf veri sorumlusudur. Bir API endpoint'inde hangi alanların zorunlu tutulacağını belirleyen taraf, veri sorumlusu olarak tanımlanacaktır.

SaaS şirketlerinde saf veri sorumluluğunun en net örnekleri, şirketin kendi ticari iradesiyle ve herhangi bir müşteri talimatından bağımsız olarak topladığı verilerdir. Kullanıcıların platforma üyelik açarken girdiği ad-soyad, e-posta adresi ve parola bilgileri, adres bilgileri, ürün geliştirme amacıyla kaydedilen ve anonimleştirilmemiş olan; oturum logları, tıklama haritaları ve hata izleme (error tracking) verileri; pazarlama amacıyla toplanan çerez verileri ve bülten abonelikleri gibi veriler bakımından SaaS şirketi tartışmasız veri sorumlusudur. Bu verilerde üçüncü bir tarafın talimatı söz konusu değildir; toplama kararı, işleme amacı ve saklama süresi tamamen şirketin kendisi tarafından belirlenmektedir.

B. Veri İşleyen

KVKK m.3/1-ğ uyarınca veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen taraftır. Veri işleyenin bağımsız bir işleme amacı yoktur; müşteriden gelen API çağrıları, webhook tetiklemeleri, UI komutları gibi talimatlar doğrultusunda veriyi depolar, işler veya aktarır. Müşterilerin kendi son kullanıcılarının telefon numaralarını Saas şirketinin PostgreSQL veritabanınıza kaydediyorsa, söz konusu veriler üzerindeki işleme amacı ve tasarruf yetkisi müşteriye ait olacaktır. SaaS şirketi bu verileri yalnızca müşterinin talimatları doğrultusunda işleyebilecektir.

C. Ortak Veri Sorumlusu

Kanun'un ilk metninde açıkça düzenlenmemiş olan bu kavram, Kişisel Verileri Koruma Kurulu'nun 23.12.2021 tarihli ve 2021/1303 sayılı kararıyla Türk hukuk uygulamasına girmiştir. Kurul, araç kiralama sektöründeki kara liste yazılımlarını incelediği bu kararda, yazılım şirketinin ve kiralama firmalarının veri üzerinde birlikte hakimiyet kurduğunu tespit ederek her iki tarafı ortak veri sorumlusu saymıştır. SaaS açısından bu kararın önemi büyüktür: bir marketplace platformunda alıcı verisinin hem satıcı hem de platform tarafından bağımsız amaçlarla kullanılması, aynı ortak sorumluluk yapısını doğurmaktadır.

III. SOMUT ÖRNEKLER İLE SAAS MİMARİSİNDE ROL TESPİTİ

Aşağıdaki değerlendirmeler, günümüz SaaS şirketlerinin en yaygın veri akışlarını ele almaktadır. Her bir akış için hem hukuki rol hem de KVKK m.5 kapsamındaki işleme şartı birlikte belirlenmelidir; rol tespiti işleme şartından bağımsız düşünülemez.

SaaS Şirketinin Eriştiği/Erişebildiği Veriler Bu husus, veri işleyen şirketlerin yanılgıya en fazla düştükleri noktalardan biridir. Bir SaaS şirketinin müşteri verisine rutin olarak erişmemesi, onun veri işleyen sıfatını ortadan kaldırmayacaktır. Yazılım güncellemeleri, hata giderme, veritabanı bakımı veya teknik destek süreçlerinde müşterinin kişisel verilerine erişim imkânının teknik olarak SaaS şirketinde bulunması, Saas şirketinin veri işleyen statüsünün doğması için yeterlidir. Kurul'un kararlarında da vurgulandığı üzere, yazılım şirketinin bünyesinde admin yetkisine sahip kullanıcılar ataması ve veritabanı yönetimini bünyesinde barındırması, veriye fiilen erişilmemiş olsa dahi işleyen sıfatını ve buna bağlı yükümlülükleri doğurur.

Müşterinin platforma yüklediği veriler (İK kayıtları, CRM kişi listeleri, müşteri destek geçmişi): Bu veriler bakımından SaaS şirketi veri işleyen konumundadır. Verinin mülkiyeti, işleme amacı ve kaderi müşteriye aittir; yazılım salt bir vasıta işlevi görür. İşleme şartı müşterinin kendi hukuki değerlendirmesine bağlıdır.

Platformun kendi topladığı veriler (kullanım analitiği, oturum logları, hata izleme, admin paneli yetkili bilgileri): Bu veriler bakımından SaaS şirketi veri sorumlusudur. Veriler, ürün geliştirme, SLA takibi ve güvenlik açıklarının tespiti amacıyla şirketin kendi inisiyatifiyle toplanmaktadır. Toplandığı anda anonimleştirilemeyen ve herhangi bir anda bir kullanıcı hesabına bağlanabilecek, kişisel verinin bir parçası olarak konumlanabilecek her türlü veri bu kategori içerisinde “kişisel veri” olarak tanımlanacaktır.

Müşteri verilerinin model eğitiminde kullanılması: Bu senaryo SaaS sektöründe giderek yaygınlaşan ve hukuken en riskli olan alandır. Müşterinin verisini onun talimatı dışına çıkarıp bağımsız bir ticari amaç için (örneğin yapay zeka modelinin eğitimi veya anonimleştirilmiş içgörü raporlarının satışı) kullandığınız anda, veri işleyen sıfatı kaybedilir ve veri sorumlusu statüsüne geçilir. Burada kritik bir ayrım yapılmalıdır: KVKK'da anonimleştirme, geri dönüştürülemezlik standardına tabidir. Gerçek anlamda anonimleştirilen veri kişisel veri olmaktan çıkar ve Kanun kapsamı dışına düşer; ancak bu noktada, anonim hale getirilen verinin hiçbir surette, veri sahibi kişiye bağlanamayacak konumda olması son derece kritiktir. Anonim hale getirilmiş veri, herhangi bir sürette verinin toplandığı veri kaynağı kişiye sonradan bağlanabiliyorsa, bu verinin anonim hale gelmediği kabul edilir.

Doğrudan son kullanıcıya hizmet (B2C): Sözleşme ilişkisi doğrudan şirket ile birey arasında kurulmuştur. Aydınlatma yükümlülüğü, veri güvenliğinin sağlanmasına yönelik güvenlik önlemlerinin alınması gibi veri sorumlusunun yükümlülükleri arasında sayılan tüm yükümlülükler tamamen SaaS şirketi tarafından yerine getirilmelidir.

IV. Veri İşleme Sözleşmesi (DPA)

A. Hukuki Dayanak

KVKK'da, GDPR Madde 28'deki gibi veri sorumlusu ile veri işleyen arasında yazılı sözleşme yapılmasını açıkça zorunlu kılan bir hüküm yoktur. Ancak Kanun'un 12. maddesinin ikinci fıkrası, bu boşluğu fiilen doldurmaktadır: "Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, ayrıca bu kişi ile birlikte müştereken sorumludur."

Bu müşterek sorumluluk hükmünün SaaS şirketleri açısından iki doğrudan sonucu vardır. Birincisi, veri işleyen sıfatında olunması sebebiyle tüm sorumluluğun veri sahibinde olduğu yanılgısıdır. Bu durum tek başına geçersizdir; SaaS şirketindeki bir güvenlik açığı (hatalı S3 konfigürasyonu, eksik şifreleme, yetersiz erişim kontrolü) nedeniyle veri sızması yaşanması durumunda Kurul m.12/2 kapsamında Saas şirketine de idari para cezası uygulayabilir. İkincisi, sorumluluk sınırlarının yazılı bir DPA ile çizilmemesi durumunda, bir ihlal anında hangi tarafın hangi yükümlülüğü üstlendiği belirsiz kalır ve her iki taraf da azami cezayla muhatap olma riski ile karşı karşıya kalır.

B. DPA'in Asgari İçeriği

B2B SaaS şirketinin DPA’inde zorunlu unsurlar olarak şunlar karşımıza çıkmaktadır:

Rollerin açık beyanı (karma yapı varsa her bir veri kategorisi için ayrı ayrı);

SaaS şirketinin verileri yalnızca müşterinin belgelenmiş talimatları doğrultusunda işleyeceği taahhüdü;

Veritabanına erişimi olan tüm personelin gizlilik sözleşmesine (NDA) tabi olduğunun ve endüstri standardında teknik tedbirlerin (AES-256, RBAC, MFA, TLS/SSL) uygulandığının belirtilmesi;

Kullanılan alt işleyenlerin (AWS, SendGrid, MongoDB Atlas vb.) güncel listesinin bir URL üzerinden kamuya açık tutulması ve listeye ekleme yapılacağında müşteriye en az 30 gün önce bildirim yapılması;

Bir güvenlik ihlalinde SaaS şirketinin müşteriyi bilgilendirme süresinin kesin olarak belirtilmesi (örneğin tespitinden itibaren en geç 48 saat);

KVKK m.11 kapsamındaki ilgili kişi başvurularının (erişim, düzeltme, silme, taşınabilirlik) yönetimi için müşteriye sağlanacak API uç noktalarının veya arayüz araçlarının taahhüt edilmesi.

C. Sözleşme Sonunda Put Beyond Use İlkesi

DPA'lerde sıkça yapılan hata, sözleşme sonu prosedüründe "tüm müşteri verileri, yedekler dahil, kalıcı olarak silinecektir" şeklinde mutlak bir taahhüt verilmesidir. Bu ifade SaaS altyapısının teknik gerçeklikleriyle bağdaşmaz: AWS RDS snapshot'ları veya immutable log arşivleri içinden tek bir kiracının verisini seçerek anında silmek mümkün değildir. Bu taahhüdün verilmesi, şirketi doğrudan sözleşmeye aykırılık riskiyle karşı karşıya bırakır.

Uygulanması gereken endüstri standardı, “Put Beyond Use” ilkesidir: aboneliğin sona ermesi üzerine aktif sistemlerdeki müşteri verileri derhal silinir; yedekleme sistemlerindeki veriler ise erişime kapatılır, izole edilir ve düzenli üzerine yazılma (overwrite) döngüsü tamamlanana kadar aktif sistemlere geri yüklenmez. Bu süre boyunca söz konusu verilere erişilmez, işlenmez veya üçüncü taraflarla paylaşılmaz.

V. İHLAL ANINDA SORUMLULUK DAĞILIMI

Bir veri ihlali senaryosunda bildirim yükümlülükleri rol tespitine göre farklılaşır. Veri sorumlusu sıfatındaki taraf, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirim yapmakla yükümlüdür. İlgili kişilere bildirim ise ayrı bir yükümlülüktür ve "makul olan en kısa sürede" yapılmalıdır; iki süre farklı standartlara tabidir.

Veri işleyen sıfatındaki SaaS şirketinin Kurul'a doğrudan bildirim yükümlülüğü yoktur. Yasal görevi, ihlali tespit ettiği anda gecikmeksizin müşterisine (veri sorumlusu) haber vermektir. Ancak yukarıda açıklanan m.12/2 müşterek sorumluluk hükmü burada da geçerlidir: ihlale yol açan güvenlik açığı SaaS şirketinin altyapısından kaynaklanıyorsa, bu noktada bildirim yapma yükümlülüğü, müşteride olduğu kadar SaaS şirketinde de olacaktır. Bu nedenle şirket içinde yazılı bir Incident Response Plan oluşturulması, planda m.12/2 kapsamındaki tedbirlerin belgelenmesine yer verilmesi elzemdir.

VI. SONUÇ VE ÖNERİLER

SaaS şirketlerinin KVKK uyumunda atması gereken ilk adım, teknik mimariyi hukuki roller üzerinden okumak, bir Veri Akış Şeması (Data Flow Diagram), sunuculardan ve API gateway'lerden geçen her verinin kime ait olduğunu, hangi amaçla tutulduğunu ve hangi hukuki role uyduğunu veritabanı tabloları bazında etiketlemelidir.

Bu haritalama tamamlandığında, B2B müşterilere sunulan hizmet sözleşmesinin ayrılmaz bir eki olarak karma rolü açıkça tanımlayan, m.12/2 müşterek sorumluluk riskini yöneten ve sözleşme sonu prosedürünü teknik gerçekliğe uygun şekilde düzenleyen bir DPA hazırlanmalıdır. Alt işleyen listesinin şeffafça kamuya açılması, değişikliklerde müşteriye bildirim ve itiraz mekanizmasının kurulması ve alınan tüm teknik tedbirlerin bağımsız denetim raporlarıyla (ISO 27001 veya SOC 2 Tip II) belgelenmesi, hem Kurul denetimlerine hem de kurumsal satış süreçlerine hazırlık açısından zorunludur.

Son olarak, 2026-2028 dönemine ilişkin Orta Vadeli Program kapsamında KVKK'nın GDPR ile tam uyumlu hale getirilmesine yönelik mevzuat çalışmalarının 2026 yılı içinde tamamlanmasının hedeflendiği göz önünde tutulmalıdır. Bu düzenleme, veri işleyenin doğrudan cezai sorumluluğunu artırması, DPA zorunluluğunu kanun düzeyinde açık hale getirmesi ve denetim yetkisini genişletmesi beklenmektedir. Bugün yapılacak doğru yapılandırma, yarınki regülasyona hazırlık anlamına gelmektedir.