- 01KVKK belirli bir bulut modelini zorunlu tutmaz; özel veya genel bulut kararı veri riski ve kontrol ihtiyacına göre verilmelidir.
- 02Verinin Türkiye'de tutulması yurt dışı aktarım kapsamını azaltabilir ancak tek başına KVKK uyumu sağlamaz.
- 0319 Eylül 2026 itibarıyla Kurum yeterli korumanın bulunduğu ülkeler için henüz bir belirleme yayımlamamıştır; yurt dışı aktarımında uygun mekanizma ayrıca değerlendirilmelidir.
- 04Standart sözleşme yurt dışı aktarımında uygun güvence yöntemlerinden biridir ve imzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirilmelidir.
- 05Hibrit model geçerli bir sonuçtur; hassas workload'lar özel bulutta, global veya elastik workload'lar genel bulutta çalışabilir.
Kısaca
KVKK açısından özel bulut her zaman zorunlu, genel bulut her zaman riskli değildir. Doğru seçim; kişisel verinin niteliği, yurt dışı aktarım ihtiyacı, erişim modeli, anahtar yönetimi, denetim kanıtı ve operasyon kapasitesine göre yapılır. Dynamis Teknoloji, Raff platformunu sıfırdan geliştiren ekip olarak bu kararı veri konumu üzerinden değil, veri akışı ve kontrol modeli üzerinden verir.
Hızlı karar tablosu
| Durum | İlk değerlendirme | Neden |
|---|---|---|
| Kişisel veri Türkiye'de tutulmak isteniyor | Özel bulut / yerel altyapı | Yurt dışı aktarım kapsamını azaltabilir |
| Global servisler ve hızlı ölçek gerekiyor | Genel bulut | Bölge ve managed service çeşitliliği avantaj sağlar |
| Anahtar, ağ ve fiziksel altyapı üzerinde yüksek kontrol gerekiyor | Özel bulut | Kontrol alanı genişler |
| Yurt dışı genel bulut kullanılacak | Genel veya hibrit bulut | Kanun'un 9. maddesindeki aktarım mekanizması ayrıca uygulanır |
| Bazı sistemler yerel, bazıları global kalacak | Hibrit bulut | Workload bazında yerleşim yapılabilir |
| Küçük ekipte altyapı işletme kapasitesi düşük | Genel bulut veya yönetilen özel bulut | Operasyon yükü azaltılabilir |
Bu tablo hukuki görüş yerine geçmez. Teknik mimari kararı, hukuk ve uyum ekibinizin belirlediği veri işleme ve aktarım şartlarıyla birlikte verilmelidir.
KVKK belirli bir bulut modelini zorunlu tutmaz
Kişisel Verileri Koruma Kurumu, veri güvenliği için tek bir teknik model öngörmediğini açıkça belirtir. Veri sorumlusu; kişisel verinin niteliğine, faaliyetlerine ve risklerine uygun teknik ve idari tedbirleri seçmek zorundadır.
Bu nedenle:
- "KVKK için mutlaka özel bulut gerekir"
- "Genel bulut KVKK'ya aykırıdır"
- "Veri Türkiye'deyse otomatik olarak uyumludur"
gibi üç genelleme de doğru değildir.
Özel bulut daha fazla kontrol sağlayabilir. Genel bulut ise güçlü kimlik, şifreleme, logging ve managed security özellikleri sunabilir. KVKK açısından belirleyici olan hizmetin etiketi değil, riskin nasıl yönetildiği ve veri akışının nasıl belgelendiğidir.
Veri Türkiye'de olsa bile uyum otomatik değildir
Veri Türkiye'deki bir sunucuda duruyor olabilir; fakat şu sorunlar devam edebilir:
- Paylaşılan yönetici hesabı
- Çok faktörlü doğrulama eksikliği
- Yetersiz erişim logu
- Şifreleme anahtarının kontrolsüz paylaşılması
- Eski kullanıcı hesaplarının açık kalması
- Yedeklerin sınırsız tutulması
- Silinmesi gereken verinin yedek geri dönüşüyle yeniden aktif olması
Kanunun 12. maddesi kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemeyi, ayrıca verilerin muhafazasını sağlamayı veri sorumlusunun yükümlülüğü olarak düzenler.
Veri konumu yalnızca bir kontrol alanıdır.
Yurt dışı genel bulutta asıl soru aktarım mekanizmasıdır
Kişisel verinin yurt dışına aktarılması Kanunun 9. maddesine tabidir.
19 Eylül 2026 itibarıyla Kurumun resmi sayfasında yeterli korumanın bulunduğu ülkeler için henüz bir belirleme yapılmadığı belirtilmektedir. Yeterlilik kararı bulunmadığında, Kanunda belirtilen şartlar sağlanıyorsa uygun güvencelerden biri kullanılabilir.
Bu güvenceler arasında standart sözleşmeler de vardır.
Standart sözleşme kullanılıyorsa imzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirim gerekir.
Genel bulut değerlendirmesinde yalnızca ana veritabanına bakmayın. Şunlar da yurt dışı aktarım kapsamına girebilir:
- Backup ve disaster recovery bölgeleri
- Log servisleri
- Support erişimi
- SaaS monitoring araçları
- Hata takip sistemleri
- Dosya paylaşımı
- Yönetim panelleri
Uygulama Türkiye'de olsa bile logların veya yedeklerin başka ülkede tutulması ayrı aktarım değerlendirmesi gerektirebilir.
Özel bulutun kazandığı yerler
Özel bulut, teknik kontrolün genişletilmesi gereken ortamlarda daha güçlüdür.
Veri konumu üzerinde doğrudan kontrol
Fiziksel altyapının Türkiye'de konumlandırılması, veri yerleşimini daha doğrudan kontrol etmenizi sağlar. Bu durum yurt dışı aktarım kapsamını azaltabilir.
Ağ ayrımı ve özel güvenlik politikası
Özel network segmentleri, firewall politikaları, yönetim ağı ve tenant ayrımı şirketin kendi güvenlik modeline göre tasarlanabilir.
Anahtar yönetimi
Şifreleme anahtarlarının kimde tutulacağı, hangi sistemlerin anahtara erişeceği ve anahtar rotasyonu daha özel bir modele bağlanabilir.
Denetim ve kanıt
Log, erişim ve konfigürasyon kayıtlarının saklandığı sistemleri şirket politikasına göre belirlemek daha kolay olabilir.
Legacy ve lisans bağımlı iş yükleri
Windows Server, özel network yapıları veya donanıma bağımlı kurumsal uygulamalar private cloud ortamında daha kontrollü çalışabilir.
Özel bulutun karşılığında kapasite planlama, donanım, yedekleme ve platform operasyonu sorumluluğu artar. Yönetilen özel bulut modeli bu operasyon yükünü hizmet sağlayıcıya devredebilir.
Genel bulutun kazandığı yerler
Genel bulut, elastiklik ve servis çeşitliliğinde güçlüdür.
Hızlı kapasite artışı
Compute, storage ve database kapasitesi fiziksel donanım tedarik süresi beklemeden artırılabilir.
Managed service çeşitliliği
Database, queue, serverless, analytics ve security servisleri iç ekip tarafından sıfırdan işletilmek zorunda değildir.
Global altyapı
Birden fazla bölge veya ülkeye düşük gecikmeli hizmet vermek gereken sistemlerde genel bulut daha doğal bir seçenek olabilir.
Küçük operasyon ekibi
Platform işletimi için geniş bir altyapı ekibi olmayan kuruluşlarda managed service kullanımı operasyon yükünü azaltabilir.
Ancak genel bulutta veri konumu, yurt dışı aktarım, egress, vendor-specific servis bağımlılığı ve hesap/kimlik yapısı dikkatle yönetilmelidir.
Kontrol matrisiyle karar verin
| Kontrol alanı | Özel bulut | Genel bulut |
|---|---|---|
| Fiziksel veri konumu | Doğrudan seçilebilir | Bölge seçimine bağlı |
| Yurt dışı aktarım riski | Yerel kurulumda azalabilir | Bölge ve servis akışına göre değerlendirilir |
| Ağ kontrolü | Çok yüksek | Sağlayıcı modeli içinde yüksek |
| Anahtar yönetimi | Tamamen size ait olabilir | Sağlayıcı KMS veya müşteri anahtarı seçenekleri |
| Donanım kontrolü | Yüksek | Düşük |
| Elastik ölçek | Kapasiteyle sınırlı | Yüksek |
| Managed service | Sınırlı / sizin stack'iniz | Geniş |
| Operasyon yükü | Daha yüksek | Managed service ile daha düşük olabilir |
| Denetim kanıtı | Kendi log ve süreçleriniz | Sağlayıcı + kendi loglarınız |
| Vendor bağımlılığı | Platforma göre değişir | Managed service kullanımına göre artabilir |
Bu tabloya "hangisi daha güvenli?" şeklinde tek bir sonuç yazmak doğru değildir. Güvenlik seviyesi uygulanan kontrollere göre değişir.
Hibrit model KVKK açısından da geçerli bir sonuçtur
Bazı iş yüklerinin Türkiye'de özel bulutta, bazı sistemlerin ise genel bulutta kalması mümkündür.
Örnek:
- Müşteri kimlik verisi Türkiye'deki özel bulutta
- Global web frontend genel bulutta
- Analytics verisi anonimleştirilmiş biçimde farklı platformda
- Backup kopyalarından biri Türkiye'de
- CI/CD ve kaynak kod farklı SaaS servislerinde
Burada önemli olan veri akışını belgelemek ve her aktarım için hukuki ve teknik dayanağı ayrı değerlendirmektir.
Hibrit model karmaşıklığı da artırır. Network, kimlik, logging ve incident response iki ortam arasında ortak tasarlanmalıdır.
Hangi veri sınıfları özel buluta daha güçlü adaydır
Özel bulut özellikle şu durumda daha güçlü aday olabilir:
- Özel nitelikli kişisel veri yoğunluğu yüksekse
- Kuruluş veri konumu üzerinde doğrudan kontrol istiyorsa
- Regüle müşteriler teknik denetim kanıtı istiyorsa
- Anahtar yönetiminin kurum içinde kalması gerekiyorsa
- Public endpoint sayısının minimum tutulması isteniyorsa
- Legacy uygulamalar cloud-native modele uygun değilse
Bu, bu veri sınıflarının genel bulutta tutulamayacağı anlamına gelmez. Risk ve kontrol ihtiyacı daha yüksek olduğu için private cloud seçeneğini güçlendirir.
Hangi iş yükleri genel bulutta kalabilir
Şu sistemler genel bulutta daha mantıklı olabilir:
- Kişisel veri taşımayan stateless web katmanı
- Global trafik alan servisler
- Serverless workload
- Kısa süreli test ortamları
- Büyük managed database veya analytics ihtiyacı
- Hızlı yatay ölçek gerektiren uygulamalar
Kişisel veri içeren bir sistem de genel bulutta çalışabilir; ancak data location, transfer mechanism ve security controls ayrıca belgelenmelidir.
Maliyet hesabını yalnızca VM fiyatına indirgemeyin
Özel bulut karşılaştırmasında donanım maliyeti; genel bulutta ise aylık cloud faturası tek başına yeterli değildir.
Üç yıllık TCO hesabında:
Özel bulut:
- Donanım
- Colocation veya veri merkezi
- Network
- Platform yazılımı
- Yedekleme
- Operasyon ekibi
- Donanım yenileme
- Destek
Genel bulut:
- Compute
- Storage
- Database
- Data transfer
- Backup
- Monitoring
- Support
- Managed service
- Operasyon ekibi
- Vendor bağımlılığı ve exit maliyeti
aynı tabloda bulunmalıdır.
KVKK açısından karar sırası
Kararı şu sırayla verin:
- Veri envanteri: Hangi kişisel veri nerede?
- Veri akışı: Hangi sistemler arasında aktarılıyor?
- Yurt dışı aktarım: Başka ülke veya bölgeye aktarım var mı?
- Kontrol ihtiyacı: Network, anahtar, log ve fiziksel kaynak üzerinde ne kadar kontrol gerekiyor?
- Operasyon kapasitesi: Altyapıyı kim işletecek?
- TCO: Üç yıllık toplam maliyet nedir?
- Exit planı: Platform değişirse veriyi ve sistemi nasıl taşıyacaksınız?
Bu sıra "önce private cloud satın alalım, sonra KVKK'ya bakalım" yaklaşımından daha güvenlidir.
Dynamis'te KVKK odaklı bulut kararı
Dynamis'in özel bulut yönetim platformu, Türkiye'de konumlanan özel altyapılarda network, erişim, logging, backup ve yönetim katmanını birlikte kurmak için kullanılabilir.
Ancak ilk önerimiz her zaman private cloud değildir.
Önce:
- Veri sınıflarını
- Yurt dışı aktarım noktalarını
- Mevcut cloud bağımlılıklarını
- Operasyon kapasitesini
- Üç yıllık maliyeti
çıkarırız.
Sonra workload bazında özel, genel veya hibrit model önerilir.
Teknik kontrol listesini daha ayrıntılı görmek için KVKK uyumlu bulut altyapısı rehberini inceleyin.
Sık yapılan hatalar
KVKK = Türkiye'de veri: Veri konumu tek başına uyum değildir.
Genel bulut = yurt dışı aktarım: Seçilen region ve kullanılan servislerin gerçek veri akışı incelenmelidir.
Özel bulut = otomatik güvenlik: Yanlış erişim ve logging özel bulutta da risk yaratır.
ISO 27001 = KVKK uyumu: Sertifika güvenlik süreçlarını destekler; hukuki işleme ve aktarım şartlarının yerini almaz.
Backup bölgesini unutmak: Ana sistem yerel olsa bile backup veya log başka ülkede olabilir.
Tek platforma zorlamak: Bazı workload'lar private, bazıları public cloud için daha uygundur.
Sırada ne var
- Veri yerelleştirme nedir? KVKK'da yurt dışı aktarım: private/public cloud kararından önce gerçek veri akışı ve aktarım mekanizmasını belirleyin.
- KVKK uyumlu bulut altyapısı: erişim, log, şifreleme, backup ve imha kontrollerini uygulayın.
- AWS alternatifi: hangi iş yükü nerede kalmalı?: AWS, özel ve hibrit workload placement kararını inceleyin.
- 3-2-1 yedekleme kuralı: kişisel veri içeren backup katmanını kurtarma planına bağlayın.
- Özel bulut yönetim platformu: Türkiye'de konumlanan private cloud modelini değerlendirin.
Kaynaklar
Kaynaklar
- 1.Veri Güvenliğine İlişkin YükümlülüklerKişisel Verileri Koruma Kurumu · 2026-09-19
- 2.Yurt Dışına AktarımKişisel Verileri Koruma Kurumu · 2026-09-19
- 3.Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu DuyurusuKişisel Verileri Koruma Kurumu · 2026-09-19
- 4.Kişisel Veri Güvenliği RehberiKişisel Verileri Koruma Kurumu · 2026-09-19
Sık sorulan sorular
KVKK için özel bulut zorunlu mu?
Hayır. KVKK belirli bir bulut modelini zorunlu tutmaz. Veri sorumlusu, işlediği kişisel verinin niteliği ve riskiyle uyumlu teknik ve idari tedbirleri almak zorundadır. Özel bulut daha fazla altyapı kontrolü sağlayabilir ancak tek başına KVKK uyumu anlamına gelmez.
Genel bulutta KVKK uyumu mümkün mü?
Evet. Genel bulut kullanımı KVKK tarafından yasaklanmış değildir. Veri konumu, yurt dışı aktarım mekanizması, erişim yetkileri, şifreleme, loglama, saklama ve veri işleyen sözleşmeleri uygun şekilde yönetilmelidir.
Veri Türkiye'de tutulursa KVKK uyumu sağlanır mı?
Hayır. Verinin Türkiye'de tutulması yurt dışı aktarım riskini azaltabilir fakat erişim kontrolü, hukuki işleme şartı, loglama, şifreleme, yedekleme ve imha yükümlülüklerini ortadan kaldırmaz.
Yurt dışındaki genel bulut kullanılırsa ne yapılmalı?
Kişisel veri yurt dışına aktarılıyorsa Kanun'un 9. maddesindeki mekanizmalardan biri uygulanmalıdır. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya diğer uygun güvenceler değerlendirilebilir; standart sözleşme kullanılıyorsa imzadan itibaren 5 iş günü içinde Kuruma bildirim gerekir.
Özel bulut ile genel bulut arasında karar nasıl verilir?
Veri sınıfı, veri konumu, yurt dışı aktarım, anahtar yönetimi, ağ ayrımı, denetim kanıtı, ölçek ihtiyacı, operasyon ekibi ve toplam maliyet birlikte değerlendirilmelidir. Hassas kontrol gerektiren sistemler özel buluta, elastik ve global iş yükleri genel buluta daha uygun olabilir.