KVKK ve yerli bulut: pratik uyum rehberi

KVKK uyumluluğu, bir sözleşme maddesi imzalamaktan ibaret değildir — verinizin fiziksel olarak nerede tutulduğu, kime erişilebildiği ve nasıl silinebildiği somut, denetlenebilir gerçeklerdir. Bulut sağlayıcı seçerken bu üç soruya net cevap alamıyorsanız, uyumluluk yükü sözleşmeden bağımsız olarak sizde kalır. Bu yazıda veri yerelliği, denetim izleri, yedek konumu ve silme süreçlerini pratik bir kontrol listesiyle ele alıyoruz.

Veri yerelliği ne anlama gelir

Veri yerelliği, verinizin işlendiği ve saklandığı fiziksel konumun belirli bir yargı alanı (bu durumda Türkiye) içinde kalması demektir. Bu, yalnızca “sunucu Türkiye’de mi” sorusuyla sınırlı değildir — üç ayrı katmanın da yerel kalması gerekir:

İşlem katmanı. Sanal sunucularınızın, veritabanlarınızın çalıştığı fiziksel donanım Türkiye’deki bir veri merkezinde olmalı.
Depolama katmanı. Disk verileriniz ve anlık görüntüleriniz (snapshot) aynı coğrafi sınırlar içinde tutulmalı.
Yedekleme katmanı. Bu genellikle atlanan katmandır — üretim verisi Türkiye’de olsa bile, yedekler farklı bir ülkedeki bir depolama servisine gidebilir. Yedeklerin konumunu ayrıca sormak gerekir.

Bir sağlayıcının “verileriniz Türkiye’de” demesi yeterli değildir; bu üç katmanın hepsinin aynı veri merkezinde kaldığını sözleşme veya teknik dokümantasyon seviyesinde teyit etmek gerekir.

Denetim izleri neden kritik

KVKK madde 12 kapsamındaki veri güvenliği yükümlülükleri, kimin hangi veriye ne zaman eriştiğini gösterebilmenizi gerektirir. Bir veri ihlali şüphesi durumunda “kim baktı, ne zaman baktı” sorusuna cevap veremiyorsanız, hem iç soruşturma hem de olası bir düzenleyici inceleme sırasında ciddi bir açık oluşur.

Pratik bir audit izi şu bilgileri içermelidir:

Erişimi yapan kullanıcının kimliği (sistem yöneticisi dahil — “admin her şeyi görür ama kaydı tutulmaz” kabul edilebilir bir model değildir)
Erişilen kaynak (hangi sunucu, hangi veritabanı, hangi dosya)
Erişim zamanı ve işlem türü (görüntüleme, değiştirme, silme)
Erişimin hangi yetkilendirme (rol) ile yapıldığı

Rol bazlı erişim kontrolü (RBAC) olmadan tutulan bir audit izi eksiktir — “kim eriştiği” bilgisi anlamlı olması için “hangi yetkiyle eriştiği” bilgisiyle birlikte okunmalıdır.

Yedeklerin konumu neden ayrı bir soru

Yedekleme genellikle üretim ortamından ayrı bir depolama havuzunda tutulur — bu, felaket kurtarma açısından doğru bir tasarımdır (aynı donanım arızası hem üretimi hem yedeği etkilememeli). Ancak bu ayrı havuzun coğrafi konumu, üretim ortamıyla aynı olmak zorundadır; aksi halde “verileriniz Türkiye’de” iddiası yalnızca üretim katmanı için doğru olur, yedekler için değil.

Sorulması gereken soru şudur: yedekleriniz üretim ortamınızdan ayrı ama aynı ülke sınırları içindeki bir depolama havuzunda mı tutuluyor, yoksa farklı bir coğrafyaya mı gönderiliyor? İkincisi, sözleşmenizde veri yerelliği taahhüdü olsa bile fiilen ihlal anlamına gelebilir.

Veri silme talepleri (KVKK madde 7)

KVKK madde 7, belirli koşullar altında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini düzenler. Bir bulut sağlayıcısı için bu, teknik olarak iki soruyu gerektirir:

Silme talebi nasıl işleme alınır? Talebin hangi kanaldan iletileceği, ne kadar sürede yanıtlanacağı ve hangi veri kategorilerini kapsadığı net olmalı.
Silme, yedekleri de kapsıyor mu? Üretim ortamındaki bir kaydı silmek yeterli değildir — o kaydın geçmiş yedeklerde de bulunduğu unutulmamalı. Sağlayıcının saklama politikası, eski yedeklerin belirli bir süre sonra otomatik olarak temizlendiğini garanti etmelidir; aksi halde silinen veri, aylar sonra bir yedekten geri yüklenebilir durumda kalır.

Bu konu tek bir cevapla kapanmaz; sağlayıcınıza şu ek soruları da sormanız gerekir: Bir silme talebinden sonra, o veriyi içeren yedekler otomatik saklama süresi dolana kadar mı bekletiliyor, yoksa talep üzerine erken silinmesi (ör. belirli bir yedeği tekil olarak hedefleyip temizleme) mümkün mü? Yedek saklama süresi (ör. 30 gün, 90 gün) sözleşmede yazılı bir taahhüt mü, yoksa yalnızca teknik varsayılan mı? Bu soruların cevabı bir hukuki garanti değil, sağlayıcının operasyonel kapasitesini gösteren pratik bir sinyaldir — nihai uyum sorumluluğu veri sorumlusunda kalır, ama sağlayıcının bu soruları net cevaplayabilmesi, sürecin denetlenebilir olduğunun göstergesidir.

Tenant izolasyonu ve veri sızıntısı riski

Veri yerelliği ve denetim izleri kadar önemli bir üçüncü katman, çok kiracılı (multi-tenant) bir ortamda müşterilerin birbirinin verisine erişememesidir. Paylaşımlı bir bulut altyapısında, bir müşterinin ağ veya kaynak sınırları yanlış yapılandırıldığında veri başka bir müşteriye sızabilir — bu, KVKK kapsamında bir ihlal senaryosudur, dış saldırı olmasa bile. Tam tenant izolasyonu; ağ, kaynak ve erişim seviyesinde birbirinden ayrılmış ortamlar anlamına gelir ve bu ayrım sözleşmeyle değil, platformun teknik mimarisiyle garanti edilmelidir.

Pratik kontrol listesi

Bir bulut sağlayıcısını değerlendirirken şu 10 maddeyi kontrol edin:

Üretim verisi hangi ülkede, hangi veri merkezinde tutuluyor?
Yedekler aynı ülke sınırları içinde mi, yoksa farklı bir coğrafyaya mı gönderiliyor?
Yurt dışında bir alt yüklenici (işleme, depolama, destek amaçlı) kullanılıyor mu?
Erişim, rol bazlı yetkilendirme ile mi sınırlandırılıyor?
Sistem yöneticisi erişimleri dahil tüm erişimler audit kaydına düşüyor mu?
Audit kayıtları ne kadar süreyle saklanıyor ve talep halinde size sunulabiliyor mu?
Yedekler depolama katmanında şifreleniyor mu?
Silme talepleri hangi süre içinde, hangi kanaldan işleme alınıyor?
Silme işlemi yedekleri de kapsıyor mu, yoksa yalnızca üretim ortamını mı?
Saklama politikası (eski yedeklerin ne zaman temizleneceği) yazılı olarak belirtilmiş mi?

Sağlayıcınıza sorulacak sorular

Bu kontrol listesini bir görüşmede doğrudan soru haline getirebilirsiniz:

“Verilerimin tutulduğu veri merkezinin fiziksel konumunu ve yasal statüsünü gösteren bir belge sağlayabilir misiniz?”
“Yedeklerim üretim verimle aynı ülkede mi tutuluyor? Farklıysa hangi coğrafyada?”
“Bir erişim denetimi talep ettiğimde, kimin hangi kaynağa eriştiğini gösteren kayıtları ne kadar sürede sağlayabilirsiniz?”
“KVKK madde 7 kapsamında bir silme talebi ilettiğimde, bu talep yedekleri de kapsıyor mu?”

Bu sorulara net, teknik ve sözleşmeye bağlanabilir cevaplar alamıyorsanız, uyumluluk riski sözleşme metninden bağımsız olarak sizde kalmaya devam eder.

KVKK uyumluluğunuzu somut teknik gerçeklerle (veri merkezi konumu, audit izleri, yedek konumu) doğrulamak isterseniz demo talebi oluşturun — sorularınızı doğrudan platform üzerinden birlikte gözden geçirelim.