Proje Aracınızın Verisi Nerede Duruyor? KVKK Açısından Satıcı Denetimi

> Kısa cevap: "Verimiz yurt dışında mı?" tek bir soru gibi görünür ama üçtür:

şirket hangi ülkede kurulu, veri fiziksel olarak nerede duruyor, ve kim onu ibraz

etmeye zorlanabilir. Bir araç birini karşılayıp diğer ikisinde kalabilir. Aşağıda

beş Avrupa merkezli aracın her soruya göre ayrı ayrı denetimi, KVKK'nın bunu nasıl

değiştirdiği ve herhangi bir satıcıyı on dakikada kendiniz kontrol etme yöntemi var.

Etiket üç ayrı soruyu gizliyor

Birisi "verilerimiz nerede duruyor" diye sorduğunda genelde şu üç kaygıdan biri vardır ve bunlar aynı kaygı değildir.

1. Şirket yargı yetkisi — satıcı kimin ve hangi hukuka tabi? Almanya'da kurulmuş bir şirket Alman ve AB hukukuna cevap verir. ABD'de kurulmuş bir şirket, sunucularını nereye koyarsa koysun ABD hukukî süreçlerine tabi kalır.

2. Veri yeri — baytlar fiziksel olarak nerede? Frankfurt, Dublin, Virginia. "Veri yerleşimi" dendiğinde kastedilen budur ve üçü içinde doğrulaması en kolay olanıdır, çünkü satıcılar bunu reklam eder.

3. İbraz zorlaması — verinizi kim talep edebilir? İnsanların asıl kastettiği ama nadiren söylediği soru budur. Sunucuyu değil, şirketi takip eder. Frankfurt'ta veri tutan bir ABD şirketi yine de ABD'den hukukî talep alabilir.

Bu üçü sürekli birbirinden ayrılır. Frankfurt'ta barındıran ABD'li bir satıcı 2'yi karşılar, 1 ve 3'te kalır. AWS İrlanda kullanan bir AB şirketi 1 ve 2'yi karşılar ama zincirinde ABD sahipli bir işleyici vardır. Hepsini birden cevaplayan tek bir rozet yoktur — "Avrupa alternatifi" diye araç adı sıralayan listelerin işe yaramamasının sebebi tam olarak budur.

KVKK katmanı: sınır geçtiğiniz an bir rejime giriyorsunuz

Türkiye'de bu konunun İngilizce kaynaklarda hiç geçmeyen bir tarafı var. Kullandığınız proje aracının sunucusu yurt dışındaysa, siz bir veri sorumlusu olarak kişisel veriyi yurt dışına aktarıyorsunuz demektir — ekip üyelerinizin adları, e-postaları, görev geçmişleri, hatta izin kayıtları.

12 Mart 2024'te Resmî Gazete'de yayımlanan 7499 sayılı Kanun, 6698 sayılı KVKK'nın yurt dışına aktarım rejimini baştan kurdu ve 1 Haziran 2024'te yürürlüğe girdi. Değişiklik, rejimi GDPR'a yaklaştırdı ve üç yol tanımladı:

• Yeterlilik kararı — Kurul bir ülke, o ülkedeki bir sektör veya uluslararası bir

• Uygun güvenceler — yeterlilik kararı yoksa, Kurul'un yayımladığı **standart

• İstisnalar — arızi hâller için sınırlı istisnalar.

Standart sözleşmenin bildirim yükümlülüğü var. İmzalanmasından itibaren **beş iş günü** içinde Kuruma bildirilmesi gerekiyor. Bu, kaçırılması kolay ve idari para cezasına bağlı bir süre — cezalar her yıl yeniden değerleme oranıyla güncelleniyor.

ABD için tam yeterlilik kararı yok. Yani Asana, ClickUp, monday.com veya Notion kullanan bir Türk şirketi, aktarımını yeterlilik kararına dayandıramaz; uygun güvence yollarından birini kurmak zorundadır.

> Uyarı: Bu bölüm genel bilgilendirmedir, hukuki görüş değildir. Kendi

yükümlülüğünüzü belirlerken güncel mevzuata ve hukuk danışmanınıza bakın.

Kaynak: KVKK — Yurt Dışına Aktarım

Denetim

Beş araç, kendi yayımlanmış sayfalarından 7 Eylül 2026'da kontrol edildi. Satıcının belirtmediği yerde hücre bunu söylüyor — hiçbir şey tahmin edilmedi.

Birincisi: "Avrupalı" şu an fiilen "Alman" demek. Beşi de Alman şirketi. Bu listenin örnekleme tesadüfü değil, gerçek bir yoğunlaşmayı yansıtıyor.

İkincisi: hepsi koltuk başına fiyatlıyor. Asana'dan bir Avrupa aracına geçmek size farklı bir yargı yetkisi kazandırır; farklı bir fiyat modeli kazandırmaz.

Açıkça söylemek gerekir: bunlar iyi araçlar. Stackfield'ın uçtan uca şifrelemesi, bizimki dâhil piyasanın çoğundan güçlü bir veri koruma duruşudur. OpenProject'in self-host sürümü satıcıyı güven zincirinden tamamen çıkarmanızı sağlar ve hiçbir SaaS cevabı buna denk değildir. Bağlayıcı kısıtınız bunlardan biriyse yazının geri kalanı size göre değil.

Herhangi bir satıcıyı on dakikada kendiniz doğrulayın

Hangi aracı seçerseniz seçin, saklanmaya değer kısım bu. Dört kontrol, satıcıların hangisinde daha sık takıldığına göre artan sırayla.

1. Markayı değil tüzel kişiyi bulun. Künye, yasal bildirim veya kullanım koşullarına bakın — Alman siteleri Impressum yayımlamak zorundadır. Aradığınız şey tescilli şirket unvanı, ülke ve sicil numarası. Pazarlama sayfasında "Avrupalı bir şirketiz" yazıp hiçbir tüzel kişi adı vermeyen bir marka size hiçbir şey söylememiştir.

2. Sunucuların yerini satıcının kendi dokümanından teyit edin. Güvenlik veya güven sayfaları genelde bunu yazar. Yalnızca satış metninde geçiyor, DPA'da veya güvenlik dokümanında geçmiyorsa bunu taahhüt değil pazarlama sayın.

3. Alt işleyici listesini okuyun. Neredeyse kimsenin yapmadığı ve cevabı en sık değiştiren kontrol budur. Her SaaS satıcısı verinize dokunan üçüncü tarafları yayımlar. Aksi hâlde Avrupalı bir ürünün zincirinde ABD sahipli altyapı, analitik veya destek aracı bulmanız olağandır. Bu otomatik olarak diskalifiye değildir; ama sürpriz değil bilinen bir gerçek olmalıdır.

4. Sözleşmenin kiminle yapıldığını sorun. AB iştiraki yerine ABD ana şirketiyle imzalıyorsanız, sunucular nerede olursa olsun yargı yetkisi sorusu aleyhinize sonuçlanır.

Bu dördünü yapan biri, çoğu satın alma sürecinin ürettiğinden fazlasını bilir.

"O zaman yerli araç kullansam?" — mantığı ve bedeli

Buraya kadarını okuduysanız akla gelen ilk soru bu, ve mantığı sağlam: veriyi Türkiye'de barındıran bir araç kullanırsanız **yurt dışına aktarım hiç gerçekleşmez**. Yeterlilik kararı aramanıza, standart sözleşme imzalayıp beş iş günü içinde Kuruma bildirmenize gerek kalmaz. Uyum açısından en sade konum budur ve bunu küçümsemek yanlış olur.

Türkçe pazarda bu konumlandırmayı kullanan araçlar var — tam Türkçe arayüz, TL faturalama, KVKK vurgusu, yerel destek. Bunlar gerçek avantajlar, özellikle faturalarını TL ile kapatmak isteyen ve destek ekibiyle aynı saat diliminde konuşmak isteyen ekipler için.

Ama "yerli" de tek bir iddia değil, aynı üç sorudur. Türkiye'de kurulmuş bir şirket, verisini AWS Frankfurt'ta veya Azure'da tutuyor olabilir — bu durumda aktarım yine gerçekleşiyordur, sadece satıcının kendisi tarafından. Yukarıdaki dört kontrolü yerli satıcıya da aynen uygulayın; özellikle alt işleyici listesi kontrolünü, çünkü bu katman en sık burada sürpriz çıkarır. "Yerli" pazarlama sayfasında yazıyorsa değil, veri işleme sözleşmesinde yazıyorsa iddiadır.

Karşılığında ödediğiniz bedel de dürüstçe söylenmeli: yerli araçların çoğu küçük ekiplerdir, entegrasyon katalogları dardır, uluslararası bir ekibe geçtiğinizde çok dilli arayüz ve para birimi desteği sınırlı kalabilir. Türkiye'de kalan bir ekip için bu bedel genelde küçük; global büyümeyi hedefleyen bir ekip için büyüyebilir.

ABD devlerini bırakırken ne kaybedersiniz

Bu türdeki her yazı bu kısmı atlar; tür bu yüzden güvenilmez. Daha küçük bir Avrupalı satıcıya geçmenin gerçek maliyetleri var ve bunları ikinci ayda keşfetmek yerine önce fiyatlamak gerekir.

Entegrasyon kataloğu. Asana 567 uygulama entegrasyonu yayımlıyor. Finans veya tasarım ekibinizin bağımlı olduğu niş araç her neyse, Asana'nın onunla konuşuyor olma ihtimali yüksek, küçük satıcının konuşmuyor olma ihtimali de. Geçmeden önce gerçekten kullandığınız entegrasyonları listeleyin — bağladıklarınızı değil, kaybettiğinizde fark edeceklerinizi.

İşe alımda tanıdıklık. Yeni bir proje yöneticisi büyük ihtimalle Asana, Jira veya Trello kullanmıştır. Sizin Avrupalı alternatifinizi neredeyse kesinlikle kullanmamıştır. Bu, her işe alımda birkaç günlük uyum demek.

Danışman ve şablon ekosistemi. Sadece Jira yapılandıran insanlar var. Binlerce yayımlanmış Asana ve Trello şablonu var. Küçük satıcıların dokümantasyonu ve destek ekibi olur; bu, işe alabileceğiniz bir ekosistemle aynı şey değildir.

Köşelerdeki özellik derinliği. Büyük platformların yirminci en önemli özelliği inşa etmek için on yılı oldu. Portföy düzeyinde toplama, karmaşık bağımlılık yönetimi, ince yetki şemaları — genç bir ürün bir yerde ince olacaktır ve o ince yer, operasyon sorumlunuzun her gün kullandığı şey olabilir.

Ürün riski. Büyük satıcı beş yıl sonra da var olacak. Küçüğü satın alınabilir, yön değiştirebilir veya kapanabilir. Sıkıcı yoldan azaltın: aracın gerçek bir veri dışa aktarımı olduğunu kontrol edin ve bunu ihtiyacınız olmadan önce deneyin.

Bunların hiçbiri geçmemek için argüman değil. Belirli bir sebeple geçmek için argüman — bir yargı yetkisi gereksinimi, ekip şeklinize uyan bir fiyat yapısı, mevcut aracın gerçekten sunmadığı bir özellik. Somut sebeple geçen ekipler kalır.

Poitim burada nerede duruyor — ve nerede durmuyor

Poitim'i poi369 OÜ yapıyor; Tallinn, Estonya'da kurulu. Uygulama verisi kendi sunucularımızda, Lauterbourg, Fransa'da çalışıyor. İkisi de AB ve ikisi de iddia değil kontrol edilebilir — bu yazının savunduğu standart, bize de uygulanıyor.

Ama Türk okuyucu için kritik nokta şu ve atlanmamalı: Türkiye'de kurulu bir veri sorumlusu için Fransa'ya aktarım yine yurt dışına aktarımdır. AB'de barındırmak KVKK yükümlülüğünüzü ortadan kaldırmaz. Poitim'i "KVKK sorununuzu çözer" diye sunmak yanlış olur; doğrusu şu: aktarımın hangi ülkeye yapıldığını ve kimin sorumlu olduğunu net biçimde biliyorsunuz, ki uygun güvence kurarken ihtiyacınız olan da budur.

İddianın sınırını da yazalım. Uygulamanın önünde CDN ve proxy olarak Cloudflare var ve Cloudflare bir ABD şirketi. Yani doğru cümle "AB şirketi, AB altyapısı" — "verileriniz hiçbir zaman ABD sahipli bir sisteme dokunmaz" değil. Size bu güçlü versiyonu çekincesiz söyleyen bir satıcı ya kendi mimarisini okumamıştır ya da sizin okumayacağınızı ummaktadır.

Poitim'in cevap olmadığı yerler. Uçtan uca şifreli değil — Stackfield orada daha güçlü. Self-host sürümü yok, dolayısıyla satıcıyı güven zincirinden çıkarmak gereksinimse OpenProject kazanır. Asana veya ClickUp'tan daha genç bir ürün ve entegrasyon kataloğu daha küçük. Fiyat tarafında ise tablodaki istisna: koltuk başına değil ekip başına fiyatlanıyor (€0/€49/€79/€149), ama üye tavanları gerçek — 2, 5, 15 ve 40. Ekibiniz 40'ın üstündeyse mevcut planlar sizi kapsamıyor.

Sıkça sorulan sorular

Frankfurt'ta barındıran bir ABD şirketi "Avrupa alternatifi" sayılır mı? Veri yerleşimi açısından kısmen. Yargı yetkisi açısından hayır — hukukî süreç veri merkezini değil şirketi takip eder. Geçiş sebebiniz hangi devletin veri talep edebileceğiyse, önemli olan alan şirketin kurulu olduğu ülkedir.

Proje aracımın sunucusu yurt dışındaysa ne yapmam gerekir? Bu bir yurt dışına aktarımdır. 7499 sayılı Kanun'la değişen rejimde aktarım ya bir yeterlilik kararına ya standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelere dayanmalıdır. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Kendi durumunuz için hukuk danışmanınıza sorun.

ABD için yeterlilik kararı var mı? Tam yeterlilik listesinde değil. Bu, ABD merkezli araçlara yapılan aktarımların uygun güvence yollarından biriyle kurulması gerektiği anlamına gelir.

GDPR uyumluluğu verinin AB'de kaldığı anlamına gelir mi? Hayır. GDPR, belirli güvenceler altında AB dışına aktarıma izin verir. "GDPR uyumlu" ile "AB'de barındırılıyor" ayrı iddialardır; bir satıcı ilkini doğru söylerken ikincisini hiç yapmıyor olabilir. İkisini ayrı ayrı kontrol edin.

Alt işleyici listesi nedir, nerede bulurum? Satıcının, verinizi işleyen üçüncü tarafları — barındırma, e-posta, analitik, destek araçları — yayımladığı listedir. Genelde gizlilik politikasından veya veri işleme sözleşmesinden bağlantılıdır. Satıcı güvenlik incelemesindeki en bilgilendirici ve en az okunan belgedir.

Self-host en güvenli seçenek mi? Satıcıyı güven zincirinden çıkarır, ki ibraz zorlaması sorusuna verilebilecek en güçlü cevap budur. Bu riski operasyonel bir riskle değiştirir: yama, yedek ve erişilebilirlik artık sizin sorumluluğunuzdadır. Operasyon işlevi olmayan ekipler için, kimsenin güncellemediği bir self-host kurulum yerine barındırılan bir AB satıcısı genelde daha iyi bir gerçek güvenlik sonucu verir.