- 01KVKK tüm kişisel veriler için genel bir Türkiye'de tutma zorunluluğu getirmez; veri yerelleştirme yurt dışı aktarım kapsamını azaltabilen teknik bir tercihtir.
- 0219 Eylül 2026 itibarıyla Kurulun resmi sayfasında yeterli korumanın bulunduğu ülkeler için henüz bir belirleme yapılmadığı belirtilmektedir.
- 03Yeterlilik kararı bulunmadığında standart sözleşme uygun güvence yöntemlerinden biri olabilir ve imzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirilmelidir.
- 04Türkiye region seçmek yurt dışı aktarımı otomatik olarak sona erdirmez; backup, support, logging, monitoring ve SaaS servislerinin veri akışı ayrıca incelenmelidir.
- 05Veri konumu ile veri egemenliği aynı kavram değildir; fiziksel lokasyonun yanında yönetim erişimi, sözleşme ve sağlayıcı operasyon modeli de değerlendirilmelidir.
Kısaca
Veri yerelleştirme, belirli verilerin belirli bir ülke veya bölgede tutulması ya da işlenmesi tercihidir. KVKK tüm kişisel verilerin Türkiye'de tutulmasını zorunlu kılmaz. Yurt dışına aktarım varsa Kanun'un 9. maddesindeki yeterlilik kararı, uygun güvence veya arızi hâl mekanizmaları değerlendirilmelidir. Dynamis Teknoloji, Raff platformunu sıfırdan geliştiren ekip olarak veri konumunu tek başına uyum göstergesi değil, veri akışı ve erişim modeliyle birlikte ele alır.
Veri yerelleştirme neyi çözer?
Veri yerelleştirme genellikle üç amaçla gündeme gelir:
- Yurt dışı aktarım kapsamını azaltmak
- Regüle müşterilerin veri konumu taleplerini karşılamak
- Altyapı ve erişim üzerinde daha fazla kontrol sağlamak
Ancak veri Türkiye'de tutulsa bile şu konular ayrıca yönetilmelidir:
- Kimlik ve erişim
- Şifreleme
- Loglama
- Backup
- Saklama ve imha
- Yetkili destek erişimi
- Olay müdahalesi
Bu nedenle "veri Türkiye'de = KVKK uyumlu" denklemi doğru değildir.
KVKK tüm verilerin Türkiye'de tutulmasını zorunlu kılar mı?
Genel olarak hayır.
KVKK'nın 9. maddesi kişisel verilerin yurt dışına aktarılmasını düzenler. Kanun, tüm kişisel veriler için mutlak veri yerelleştirme şartı koymaz.
Yurt dışı aktarım için üç ana çerçeve vardır:
- Yeterlilik kararı
- Uygun güvenceler
- Arızi ve sınırlı hâller
Bu nedenle veri yerelleştirme bir teknik mimari tercihi olabilir; her durumda hukuki zorunluluk değildir.
19 Eylül 2026 itibarıyla yeterlilik kararı verilen ülke listesi yok
Kişisel Verileri Koruma Kurumunun resmi yurt dışına aktarım sayfasında 19 Eylül 2026 itibarıyla yeterli korumanın bulunduğu ülkeler konusunda henüz bir belirleme yapılmadığı belirtilmektedir.
Bu durumda uygulamada çoğu aktarım için uygun güvence mekanizmaları önem kazanır.
Uygun güvence yöntemleri nelerdir?
Kanun ve ilgili düzenlemeler kapsamında uygun güvence yöntemleri arasında şunlar bulunur:
- Bağlayıcı şirket kuralları
- Standart sözleşme
- Kurul tarafından onaylanan yazılı taahhütname
- Kamu kurumları arasındaki uluslararası sözleşme niteliğinde olmayan anlaşmalar
Bulut ve SaaS kullanımında en sık karşılaşılan yöntemlerden biri standart sözleşmedir.
Standart sözleşme ne zaman kullanılır?
Yeterlilik kararı bulunmadığında, Kanundaki aktarım şartları sağlanıyorsa standart sözleşme uygun güvence yöntemi olarak kullanılabilir.
Standart sözleşme:
- Kurul tarafından yayımlanan metne dayanır
- Taraflarca imzalanır
- Ayrı bir Kurul onayı gerektirmez
- İmzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirilir
Buradaki 5 iş günü, aktarım izni için bekleme süresi değil; bildirim süresidir.
Standart sözleşme bulut sağlayıcısıyla nasıl ilişkilidir?
Bir yabancı cloud veya SaaS sağlayıcı kullanıldığında önce aktarım rolü belirlenmelidir:
- Veri sorumlusu → veri sorumlusu
- Veri sorumlusu → veri işleyen
- Veri işleyen → veri işleyen
- Veri işleyen → veri sorumlusu
Kurulun yayımladığı standart sözleşme tipleri bu aktarım rollerine göre farklılaşır.
Bu nedenle yalnızca "sağlayıcı standart sözleşme imzalıyor mu?" sorusu yeterli değildir. Doğru sözleşme tipi ve gerçek veri akışı birlikte değerlendirilmelidir.
Türkiye region seçmek aktarımı tamamen engellemez
Bir cloud sağlayıcısında Türkiye bölgesi seçmek yurt dışı aktarım riskini azaltabilir; ancak sıfırlamayabilir.
Şu servisler başka ülkelere veri taşıyabilir:
- Yedekleme
- Disaster recovery
- Global monitoring
- Log analytics
- Destek erişimi
- Kimlik doğrulama
- CDN
- E-posta
- Ticketing
- Hata izleme
- SaaS entegrasyonları
Bu nedenle yalnızca VM veya database region'ına bakmak yeterli değildir.
Gerçek veri akışı haritası çıkarın
Her kişisel veri kategorisi için şu soruları cevaplayın:
| Alan | Soru |
|---|---|
| Primary storage | Ana veri nerede? |
| Backup | Yedek hangi ülkede? |
| DR | Felaket kurtarma bölgesi nerede? |
| Support | Destek ekibi veriye hangi ülkeden erişiyor? |
| Logs | Loglar hangi servise gidiyor? |
| Identity | Kimlik servisi nerede? |
| CDN | Kişisel veri CDN üzerinden geçiyor mu? |
| SaaS | Hangi üçüncü taraflar veri alıyor? |
| Encryption | Anahtarlar nerede tutuluyor? |
Bu tablo, aktarımın yalnız storage lokasyonundan ibaret olmadığını gösterir.
Veri yerelleştirme ile veri egemenliği aynı şey değildir
Veri yerelleştirme fiziksel veya mantıksal konumu ifade eder.
Veri egemenliği ise verinin hangi ülkenin hukuk düzenine ve yetki alanına tabi olduğu konusunu da içerir.
Bir veri Türkiye'deki fiziksel sunucuda bulunabilir; ancak:
- yabancı sağlayıcının operasyon erişimi
- global support
- şirket merkezi
- sözleşme yapısı
gibi faktörler ek değerlendirme gerektirebilir.
Bu nedenle yalnızca "disk Türkiye'de" kriteriyle karar vermeyin.
Özel bulut ne zaman veri yerelleştirmeyi kolaylaştırır?
Özel bulut şu durumlarda avantaj sağlayabilir:
- Fiziksel lokasyon kontrolü isteniyorsa
- Backup lokasyonu ayrıca seçilecekse
- Yönetim erişimi sınırlandırılacaksa
- Anahtar kontrolü kurumda kalacaksa
- Global servis bağımlılığı azaltılacaksa
- Regüle müşteri lokasyon şartı varsa
Ancak özel bulut da otomatik uyum sağlamaz.
Erişim, logging, imha ve güvenlik kontrolleri yine uygulanmalıdır.
Özel bulut mu, genel bulut mu? KVKK açısından karar rehberi bu mimari seçimi detaylandırır.
Genel bulut ne zaman kullanılabilir?
Genel bulut KVKK tarafından yasaklanmış değildir.
Aşağıdaki kontroller doğru kurulursa kullanılabilir:
- Veri konumu biliniyor
- Aktarım mekanizması belirlenmiş
- Sözleşmeler tamamlanmış
- Erişim ve şifreleme kontrolleri uygulanmış
- Backup ve log akışı belgelenmiş
- Veri işleyen ilişkileri kayıt altına alınmış
Konu sağlayıcı markası değil, gerçek veri işleme modelidir.
Yurt dışı destek erişimi aktarım sayılabilir mi?
Uzaktan erişim de kişisel verinin yurt dışından erişilebilir hale gelmesine neden olabilir.
Bu nedenle support modelinde:
- Hangi ekip erişiyor?
- Nereden erişiyor?
- Hangi kayıtlar görülebiliyor?
- Yetki sürekli mi geçici mi?
- Access log tutuluyor mu?
soruları önemlidir.
Yalnız storage lokasyonu değil, idari erişim de veri akışının parçasıdır.
Backup lokasyonu en sık atlanan alanlardan biridir
Ana sistem Türkiye'de olabilir; ancak backup:
- başka region
- başka cloud
- yabancı SaaS backup servisi
- global object storage
üzerinde tutulabilir.
Bu durumda yurt dışı aktarım değerlendirmesi backup için ayrıca yapılmalıdır.
KVKK uyumlu yedekleme: saklama süresi ve imha rehberi backup tarafındaki retention ve imha modelini detaylandırır.
Log ve monitoring servislerini unutmayın
Application logları kişisel veri içerebilir:
- IP adresi
- kullanıcı ID
- e-posta
- session ID
- hata payload'u
Bu loglar yabancı monitoring veya error tracking servisine gidiyorsa veri aktarımı oluşabilir.
Bu nedenle logging politikası:
- veri minimizasyonu
- masking
- retention
- region
- erişim
ile birlikte tasarlanmalıdır.
Standart sözleşme tek başına teknik güvenliği çözmez
Standart sözleşme hukuki aktarım mekanizmasıdır.
Şunların yerine geçmez:
- Encryption
- IAM
- MFA
- Network segmentation
- Logging
- DLP
- Backup
- Incident response
Teknik ve idari tedbirler ayrıca uygulanmalıdır.
Yeterlilik kararı çıkarsa ne değişir?
Kurul belirli ülke, sektör veya uluslararası kuruluş için yeterlilik kararı yayımlarsa, ilgili şartlar kapsamındaki aktarım uygun güvence mekanizmasına ihtiyaç olmadan gerçekleştirilebilir.
Ancak aktarımın:
- hangi veri kategorisini kapsadığı
- hangi alıcıya yapıldığı
- karar kapsamına girip girmediği
yine kontrol edilmelidir.
Bu nedenle ileride yeterlilik listesi yayımlansa bile "o ülkeye her veri serbestçe aktarılır" gibi yorum yapılmamalıdır.
Veri yerelleştirme kararını workload bazında verin
Tüm sistemi tek ülkeye taşımak zorunlu değildir.
Örnek hibrit model:
- Kimlik verisi: Türkiye
- Kritik database: Türkiye
- Web frontend: global cloud
- Anonim analytics: global servis
- Backup: Türkiye
- CDN: global
Bu modelde kişisel veri akışları açıkça ayrılmalı ve her aktarım noktası belgelenmelidir.
Dynamis'in özel bulut yönetim platformu, Türkiye'de konumlanan özel altyapı ile veri konumu ve erişim kontrolünü daha doğrudan yönetmek isteyen kuruluşlar için kullanılabilir.
Teknik kontrol listesi
Yurt dışı aktarım veya veri yerelleştirme projesinde şu kontrol listesini kullanın:
- Veri envanteri çıkarıldı mı?
- Veri kategorileri belirlendi mi?
- Ana storage lokasyonu biliniyor mu?
- Backup lokasyonu biliniyor mu?
- DR lokasyonu biliniyor mu?
- Support erişim ülkeleri biliniyor mu?
- Log ve monitoring akışı belgelendi mi?
- Aktarım rolü belirlendi mi?
- Standart sözleşme gerekiyorsa doğru tip seçildi mi?
- 5 iş günlük bildirim süreci tanımlandı mı?
- Şifreleme ve erişim kontrolleri uygulandı mı?
- Saklama ve imha politikası aktarım yapılan sistemleri kapsıyor mu?
Dynamis'te veri konumu ve aktarım analizi
Dynamis'te ilk adım cloud sağlayıcısını değiştirmek değildir.
Önce:
- Veri envanteri
- Data flow map
- Region ve backup lokasyonları
- Admin/support erişimleri
- SaaS bağımlılıkları
- Encryption key modeli
- Yurt dışı aktarım noktaları
çıkarılır.
Ardından:
- mevcut public cloud'da kalma
- Türkiye region kullanma
- özel buluta geçme
- hibrit model kurma
seçenekleri teknik ve operasyonel olarak karşılaştırılır.
Ayrıntılı altyapı kontrolü için KVKK uyumlu bulut altyapısı rehberini kullanın.
Sık yapılan hatalar
KVKK tüm veriler Türkiye'de olmalı sanmak: Genel bir veri yerelleştirme zorunluluğu yoktur.
Türkiye region seçince aktarım bitti sanmak: Backup, support ve log akışı yurt dışına çıkabilir.
Standart sözleşmeyi Kurul onayı sanmak: Ayrı onay gerekmez; ancak 5 iş günü içinde bildirim gerekir.
Yalnız storage lokasyonuna bakmak: Remote access ve SaaS servisleri de aktarım yaratabilir.
Backup ve DR lokasyonunu unutmak: Ana sistem yerel olsa bile yedek yurt dışında olabilir.
Teknik tedbirleri sözleşmeyle ikame etmek: Hukuki aktarım mekanizması güvenlik kontrollerinin yerine geçmez.
Sırada ne var
- KVKK uyumlu bulut altyapısı: erişim, logging ve teknik güvenlik kontrollerini planlayın.
- Özel bulut mu, genel bulut mu? KVKK açısından karar: workload için doğru cloud modelini seçin.
- KVKK uyumlu yedekleme: backup lokasyonu, retention ve imha sürecini planlayın.
- Özel bulut yönetim platformu: Türkiye'de konumlanan private cloud modelini değerlendirin.
Kaynaklar
Kaynaklar
- 1.Yurt Dışına AktarımKişisel Verileri Koruma Kurumu · 2026-09-19
- 2.Yurt Dışına Aktarımda Kullanılacak Standart SözleşmelerKişisel Verileri Koruma Kurumu · 2026-09-19
- 3.Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu DuyurusuKişisel Verileri Koruma Kurumu · 2026-09-19
Sık sorulan sorular
Veri yerelleştirme nedir?
Veri yerelleştirme, belirli verilerin belirli bir ülke veya coğrafi bölgede tutulması ya da işlenmesi tercihidir. KVKK açısından bu tek başına bir uyum şartı değildir; ancak yurt dışı aktarım kapsamını ve teknik kontrol modelini etkileyebilir.
KVKK kişisel verilerin Türkiye'de tutulmasını zorunlu kılar mı?
Genel olarak hayır. KVKK tüm kişisel veriler için Türkiye'de tutulma zorunluluğu getirmez. Yurt dışına aktarım yapılacaksa Kanun'un 9. maddesindeki yeterlilik kararı, uygun güvence veya sınırlı arızi hâller çerçevesi değerlendirilmelidir.
Standart sözleşme KVKK'da ne zaman kullanılır?
Yeterlilik kararı bulunmadığında ve Kanun'daki diğer şartlar sağlandığında standart sözleşme uygun güvence yöntemlerinden biri olarak kullanılabilir. Kurulun yayımladığı sözleşme metni imzalanır ve imzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirilir.
Türkiye'de region seçmek yurt dışı aktarımı tamamen önler mi?
Her zaman değil. Ana veri Türkiye'de olsa bile yedekleme, destek erişimi, log, monitoring, kimlik, CDN veya SaaS servisleri nedeniyle kişisel veri yurt dışına aktarılabilir. Gerçek veri akışı servis bazında incelenmelidir.
KVKK'da yeterli korumanın bulunduğu ülkeler hangileri?
19 Eylül 2026 itibarıyla Kişisel Verileri Koruma Kurulunun resmi yurt dışına aktarım sayfasında yeterli korumanın bulunduğu ülkeler konusunda henüz bir belirleme yapılmadığı belirtilmektedir.