Yazılım firması, müşterisinin verisini onun adına ve talimatıyla işlediğinde veri işleyendir; veri güvenliğinden müşterisiyle birlikte sorumludur ve öğrendiği verileri amacı dışında kullanamaz. Bu rol; kontrollü destek erişimi, yazılı veri işleme sözleşmesi ve güvenlik eki, alt işleyenlerin bildirilmesi, yurt dışı aktarım güvenceleri ve ihlali müşteriye gecikmeksizin bildirme yükümlülüklerini getirir. Bunları bir müşteri güven paketinde toplamak satış sürecini de hızlandırır.
Müşterinizin verisi sizin sisteminizde
Bir İK yazılımı bordro verisini, bir CRM müşteri listesini, bir randevu uygulaması hasta bilgisini tutar. Bu ürünleri geliştiren firma için müşterinin verisi günlük işin parçasıdır: destek ekibi kayıtlara bakar, DevOps ekibi yedek alır, geliştirici bir hatayı canlı veriyle ayıklar. Yazılım firması veri işleyen sıfatıyla bu işlemlerin her birinde müşterisine karşı ve Kanun karşısında sorumluluk taşır.
Bu yazı kurucular, teknoloji yöneticileri (CTO), ürün ve DevOps liderleri için hazırlandı. Veri işleyen yükümlülüklerini, destek erişimini, sözleşme eklerini, alt işleyen zincirini ve ihlal bildirimini ele alıyor; sonunda müşterilerinize sunabileceğiniz bir güven paketi ve kapsam seçenekleri öneriyoruz.
Veri işleyen olarak yükümlülükler
Kurum'un Veri Sorumlusu ve Veri İşleyen yayını, veri işleyeni veri sorumlusunun verdiği yetkiye dayanarak onun adına ve talimatları çerçevesinde veri işleyen, organizasyon dışındaki kişi olarak tanımlar. Aynı yayın, bulut hizmeti sunan bir şirketin kendi çalışanları bakımından veri sorumlusu, müşterilerinin verileri bakımından veri işleyen olduğunu örnek verir. Yazılım firmaları için de durum aynıdır: iki rolü aynı anda taşırsınız. Rol ayrımının genel ölçütlerini veri sorumlusu veri işleyen farkı yazımızda anlattık.
KVKK'nın 12. maddesinin ikinci fıkrası, veri sorumlusu adına başka bir kişi tarafından işlenen veriler bakımından güvenlik tedbirlerinin alınmasında veri işleyenin veri sorumlusuyla birlikte müştereken sorumlu olduğunu belirtir. Dördüncü fıkra ise veri işleyenlerin öğrendikleri kişisel verileri Kanun'a aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını, bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü öngörür.
En kritik sınır, müşteri verisinin firmanın kendi amaçları için kullanılmasıdır. Ürün analitiği, yapay zekâ modeli eğitimi veya pazarlama için müşteri verisini kimliği belirli haliyle kullanmak, sizi o işlem bakımından veri sorumlusu konumuna getirir ve müşteriyle yaptığınız sözleşmenin dışına çıkar. Böyle bir ihtiyaç varsa sözleşmede açıkça düzenlenmeli ve mümkünse yalnızca anonim hale getirilmiş verilerle karşılanmalıdır.
Avrupa Birliği'ndeki müşterilere hizmet veriyorsanız Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesi de doğrudan gündeme gelir. Bu madde, veri işleyenle yazılı bir sözleşme yapılmasını ve alt işleyen kullanımının veri sorumlusunun önceden yazılı iznine bağlanmasını öngörür.
Destek erişimi ve kalıcı yetkiler
Müşteri verisine en sık ve en az görünür erişim, destek ve bakım süreçlerinde gerçekleşir. Bir müşteri sorunu bildirildiğinde yönetici paneline giren destek uzmanı, aylarca açık kalan bir veritabanı hesabı veya ortak bir “admin” şifresi, denetimlerde en çok sorgulanan noktalardır. Kişisel Veri Güvenliği Rehberi; yetki matrisi, erişim kayıtlarının tutulması ve işten ayrılan çalışanların yetkilerinin kaldırılması gibi tedbirleri bu nedenle öne çıkarır.
Loglarda kişisel verinin nasıl sınırlanacağını log maskeleme KVKK yazımızda, bu kuralların geliştirme sürecine nasıl yerleştirileceğini ise privacy by design rehberimizde ele aldık. Müşteri sağlık verisi gibi özel nitelikli veri işliyorsa Kurul'un 2018/10 sayılı kararı uzaktan erişimde en az iki kademeli kimlik doğrulamayı ve tüm hareketlerin loglanmasını açıkça arar.
Destek erişimi için asgari kurallar
Talebe bağlı erişim: Canlı ortama erişim, müşteri talebi veya kayıtlı bir destek kaydıyla, sınırlı süre için açılmalı ve iş bitince otomatik olarak kapanmalıdır.
Kişiye özel hesaplar: Ortak yönetici hesapları kaldırılmalı; her erişim kişiye özel hesapla ve iki kademeli kimlik doğrulamayla yapılmalıdır.
Erişim kayıtları: Kimin, hangi müşteri kiracısına (tenant), hangi kayda, ne zaman eriştiği loglanmalı ve müşteri talep ettiğinde raporlanabilmelidir.
Görüntüleme yerine maskeleme: Destek ekranlarında ve loglarda kişisel veriler varsayılan olarak maskelenmeli; açık görüntüleme gerekçeyle ve kayıtla yapılmalıdır.
Test ortamında canlı veri yok: Hata ayıklama ve test için canlı veri kopyalanmamalı; zorunlu hallerde maskelenmiş veya sentetik veri kullanılmalıdır.
Periyodik yetki gözden geçirme: Üç ayda bir gibi düzenli aralıklarla tüm kalıcı yetkiler gözden geçirilmeli, kullanılmayan yetkiler kaldırılmalıdır.
Müşteri sözleşmesi ve güvenlik ekleri
Kurumsal müşteriler artık yazılım sözleşmesinin yanında bir veri işleme sözleşmesi (DPA) ve güvenlik eki ister. Kişisel Veri Güvenliği Rehberi, veri işleyenle yapılan sözleşmenin yazılı olmasını, veri işleyenin yalnızca talimatlar doğrultusunda ve sözleşmedeki amaç ve kapsamda hareket etmesini, süresiz sır saklama yükümlülüğünü, ihlalin derhal bildirilmesini, aktarılan veri kategorilerinin ayrı bir maddede belirtilmesini ve veri sorumlusunun denetim hakkını önerir.
Sunucular veya alt işleyenler yurt dışındaysa, KVKK'nın 9. maddesi ve Yurt Dışı Aktarım Yönetmeliği uygulanır. Kurum'un yayımladığı dört standart sözleşmeden ikisi doğrudan bu ilişkiye yöneliktir: veri sorumlusundan veri işleyene ve veri işleyenden veri işleyene. Standart sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilir.
Veri işleme sözleşmesi ve eklerinde olması gerekenler
Kapsam tablosu: İşlenen veri kategorileri, ilgili kişi grupları, işleme amaçları ve süreleri; müşterinin özel nitelikli veri yükleyip yüklemeyeceği.
Talimat ve amaç sınırı: Verinin yalnızca hizmetin sunulması için işleneceği; ürün geliştirme veya model eğitimi gibi kullanımların açıkça hariç tutulduğu ya da ayrıca düzenlendiği.
Teknik ve idari tedbirler eki: Şifreleme, erişim kontrolü, yedekleme, log saklama, sızma testi sıklığı ve personel eğitimi gibi taahhütlerin ölçülebilir biçimde listelendiği ek.
Veri yerleşimi: Verinin barındırıldığı ülke ve veri merkezi; yurt dışı aktarım varsa dayanağı.
Denetim ve bilgi verme: Müşterinin denetim hakkı; yerinde denetim yerine bağımsız rapor, anket yanıtı veya sertifika sunma seçenekleri.
İlgili kişi başvurularına destek: Müşterinin otuz günlük yanıt süresine uyabilmesi için verileri dışa aktarma, düzeltme ve silme araçlarının sağlanması.
Sözleşme sonu: Verinin iadesi için format ve süre; iade sonrası yedekler dahil silme ve bunun yazılı teyidi.
Alt işleyen zinciri
Modern bir yazılım ürünü tek başına çalışmaz: bulut altyapısı, e-posta ve SMS gönderim servisleri, hata izleme araçları, müşteri destek platformları ve giderek daha sık olarak yapay zekâ API'leri, müşteri verisine dokunan alt işleyenlerdir. Bu zincirin her halkası, müşterinize verdiğiniz taahhüdü karşılamak zorundadır.
Uygulamada üç adım yeterli bir temel oluşturur. Birincisi, güncel bir alt işleyen listesi yayımlamak: hizmetin adı, işlediği veri, amacı ve barındırma ülkesi. İkincisi, yeni bir alt işleyen eklemeden önce müşterilere makul bir süre öncesinden bildirim yapmak ve itiraz imkânı tanımak; GDPR kapsamındaki müşteriler için bu, 28. maddedeki önceden yazılı izin şartının karşılığıdır. Üçüncüsü, müşteriyle yaptığınız sözleşmedeki güvenlik ve gizlilik yükümlülüklerini alt işleyen sözleşmelerine de yansıtmak.
Yurt dışındaki alt işleyenler için “veri işleyenden veri işleyene” standart sözleşmesinin kullanılıp kullanılmayacağı, aktarımın yeterlilik kararına mı yoksa başka bir güvenceye mi dayandığına göre değerlendirilmelidir. Somut olay özelinde hukuki değerlendirme alınmalıdır. Konunun genel çerçevesi için yurt dışına veri aktarımı uygulama rehberi yazımıza bakabilirsiniz.
İhlal durumunda bildirim
Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararı, veri işleyenin bir veri ihlali olduğunu öğrendiğinde bunu gecikmeksizin veri sorumlusuna bildirmesini öngörür. Kurul'a ve ilgili kişilere bildirim yükümlülüğü ise veri sorumlusu olan müşterinizdedir ve aynı karar uyarınca ihlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim yapılması gerekir.
Bu, sizin bildiriminizin müşterinizin 72 saatlik süresini doğrudan etkilediği anlamına gelir. Sözleşmede bildirim için somut bir üst süre (ör. saat bazında), bildirim kanalı ve bildirimde yer alacak asgari bilgiler belirlenmelidir: ihlalin zamanı ve tespiti, etkilenen müşteri kiracıları ve veri kategorileri, yaklaşık kayıt sayısı, alınan ve alınacak önlemler. Kesin bilgi henüz yoksa ilk bildirim eksik bilgiyle yapılmalı, ayrıntılar sonradan tamamlanmalıdır.
Çok kiracılı (multi-tenant) bir üründe tek bir olay onlarca müşteriyi etkileyebilir. Bu nedenle hangi müşterinin etkilendiğini hızla belirleyebilecek log ve kiracı ayrımı, ihlal müdahale planınızın teknik ön koşuludur. Müşteri tarafındaki 72 saatlik süreci veri ihlali bildirimi 72 saat yazımızda ayrıntılı anlattık.
Müşteri güven paketi
Kurumsal müşterilerin satın alma ve hukuk ekipleri benzer soruları tekrar tekrar sorar. Aşağıdaki belgeleri hazır bir paket halinde tutmak hem uyumu hem satış döngüsünü kısaltır. Paket içeriği kvkkrehberi.com önerisidir. Bilgi güvenliği yönetim sisteminizi belgelendirmek isterseniz ISO/IEC 27701 gibi standartlar ayrıca değerlendirilebilir.
| Belge | Ne sağlar? | Güncelleme sıklığı |
|---|---|---|
| Veri işleme sözleşmesi şablonu | Müşteriyle rol, amaç ve yükümlülükleri tek metinde tanımlar | Mevzuat değişikliğinde |
| Teknik ve idari tedbirler eki | Güvenlik taahhütlerini ölçülebilir hale getirir | Yılda bir |
| Alt işleyen listesi | Zinciri ve barındırma ülkelerini şeffaflaştırır | Her değişiklikte |
| Veri yerleşimi ve aktarım beyanı | Yurt dışı aktarım sorusunu baştan yanıtlar | Altyapı değişikliğinde |
| İhlal bildirim prosedürü özeti | Bildirim süresini, kanalını ve içeriğini gösterir | Yılda bir, tatbikat sonrası |
| Sızma testi ve güvenlik değerlendirmesi özeti | Bağımsız doğrulamanın kanıtı olur | Her test sonrası |
| Erişim ve destek politikası | Destek ekibinin müşteri verisine nasıl eriştiğini açıklar | Yılda bir |
| Veri iadesi ve silme prosedürü | Sözleşme sonu sorusunu yanıtlar | Ürün değişikliğinde |
Hangi kapsam size uygun?
Firmanızın büyüklüğüne ve müşteri profiline göre üç farklı başlangıç noktası düşünülebilir.
| Durum | Önerilen yaklaşım | Tipik çıktılar |
|---|---|---|
| İlk kurumsal müşteriler, sözleşme seti yok | Güven paketinin temel belgeleri | Veri işleme sözleşmesi, güvenlik eki, alt işleyen listesi |
| Büyüyen müşteri tabanı, denetim ve anket talepleri artıyor | Kapsamlı KVKK uyum çalışması | Envanter, politikalar, erişim ve ihlal prosedürleri, eğitim |
| AB müşterileri veya sağlık, finans gibi hassas sektörler | KVKK ve GDPR'ı birlikte ele alan çalışma ve belgelendirme hazırlığı | Çift rejimli sözleşme seti, aktarım değerlendirmesi, yönetim sistemi |
Sonuç ve sonraki adım
Yazılım firması veri işleyen olarak müşterisinin verisini onun adına tutar, ancak güvenliğinden onunla birlikte sorumludur. Destek erişimini talebe ve kayda bağlamak, sözleşmeyi güvenlik ekiyle desteklemek, alt işleyen zincirini şeffaf tutmak ve ihlal bildirimini saat bazında planlamak, bu sorumluluğun somut karşılıklarıdır.
Bu belgeleri bir müşteri güven paketinde toplamak, kurumsal satışlarda güvenlik ve hukuk incelemelerini hızlandırır. Şirket genelinde bir uyum çerçevesi kurmak isterseniz standart KVKK uyum paketi ile KVKK danışmanlığı sayfalarını inceleyebilir, danışman seçerken nelere dikkat edileceğini KVKK danışmanlığı seçimi yazımızda okuyabilirsiniz.
Sık sorulan sorular
VERBİS kaydı veri sorumlusu sıfatına bağlıdır. Firma kendi çalışanları ve müşteri iletişim verileri bakımından veri sorumlusu olduğundan, eşikleri aşıyorsa bu sıfatla kayıt olur; müşterileri adına işlediği veriler ise müşterilerin kayıtlarında yer alır.
Veriye hiç erişmiyorsanız veri işleyen sayılmayabilirsiniz. Ancak uzaktan destek, bakım veya güncelleme sırasında veriye erişim oluyorsa, bu erişim için veri işleyen rolü doğar ve aynı sözleşmesel güvenceler gerekir.
Müşteriyle yapılan sözleşme buna açıkça izin vermiyorsa, kimliği belirli müşteri verisini kendi model eğitiminiz için kullanmak veri işleyen rolünün dışına çıkmak anlamına gelir. Bu ihtiyaç sözleşmede ayrıca düzenlenmeli ve mümkünse anonim hale getirilmiş verilerle karşılanmalıdır.
Evet; sözleşme sonunda verinin iadesi ve silinmesi yedekleri de kapsamalıdır. Yedeklerin teknik olarak hemen silinemediği durumlarda, yedeklerin rotasyonla silineceği süre ve bu sürede erişimin kısıtlanacağı sözleşmede belirtilmelidir.
Müşterilerinize veri işleyen olarak güven verin
Veri işleme sözleşmesi, güvenlik eki, alt işleyen yönetimi ve ihlal bildirim prosedürünü kapsayan bilişim ve yazılım sektörüne özel KVKK çözümlerini inceleyin.
Sektörünüze özel teklif alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Veri Sorumlusu ve Veri İşleyen — Kişisel Verileri Koruma Kurumu (2025-06)
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu (2025-04)
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10, 24.01.2019) — Kişisel Verileri Koruma Kurumu (2019-01-24)
- Standart Sözleşmeler (yurt dışı aktarım için dört sözleşme türü) — Kişisel Verileri Koruma Kurumu
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Resmî Gazete (2024-07-10)
- Genel Veri Koruma Tüzüğü (AB) 2016/679, md. 28 ve 33 — EUR-Lex (2016-04-27)
