Yazılım ve Teknoloji Geliştirme Sözleşmelerinde (SaaS) Temel Hukuki Dinamikler

Bulut bilişimin (cloud computing) hızla yaygınlaşmasıyla birlikte geleneksel yerleşik (on-premise) yazılım lisanslama modelleri yerini büyük ölçüde SaaS (Software as a Service - Hizmet Olarak Yazılım) modeline bırakmıştır. SaaS modelinde kullanıcılar, bir yazılımı fiziksel olarak satın alıp bilgisayarlarına kurmak yerine; sunucularda barındırılan bir yazılıma internet üzerinden, belirli abonelik periyotlarıyla (aylık/yıllık) erişim hakkı elde ederler.

Bu ticari ve teknik değişim, teknoloji geliştirme sözleşmelerinin hukuki niteliğini de kökten dönüştürmüştür. SaaS sözleşmeleri, klasik bir mal satış veya standart eser sözleşmesi değil; hizmet sağlama, telif hakkı lisanslaması ve veri işleme (KVKK/GDPR) dinamiklerini bünyesinde barındıran kompleks, karma bir hukuki mimariye sahiptir.

Bu rehberde, bir SaaS platformu işleten teknoloji girişimlerinin ve bu hizmeti alan B2B kurumsal müşterilerin sözleşme masasında dikkat etmesi gereken temel hukuki sütunları inceleyeceğiz.

1. SaaS Sözleşmelerinin Hukuki Niteliği: Mülkiyet vs. Erişim Lisansı

Geleneksel yazılım sözleşmelerinde müşteriye kaynak kod veya derlenmiş bir kopyanın (build) mülkiyeti/kullanım hakkı verilirken, SaaS platformlarında müşteriye yalnızca yazılıma uzaktan erişim ve bulut altyapısını kullanma hakkı (Kullanım Lisansı) verilir.

• IP Koruma Kalkanı: Sözleşmede, platformun mimarisini oluşturan kaynak kodların, algoritmaların, veri tabanı yapılarının ve arayüz tasarımlarının tüm fikri mülkiyet haklarının (FSEK kapsamında) münhasıran sağlayıcıya (developer/studio) ait olduğu açıkça vurgulanmalıdır. Müşterinin yazılımı kullanırken girdiği ham veriler (customer data) müşteriye ait kalırken, bu verilerin işlenmesini sağlayan yazılım altyapısı sağlayıcının IP (Fikri Mülkiyet) sermayesidir.

• Tersine Mühendislik Yasağı: Müşterinin yazılım altyapısını inceleyerek benzer bir kod yapısı oluşturmasını veya platformu kopyalamasını engellemek adına kapsamlı bir "Tersine Mühendislik (Reverse Engineering) Yasağı" sözleşmenin kalbini oluşturmalıdır.

2. SLA (Hizmet Seviyesi Taahhüdü): Sunucu Kesintileri ve Tazminat Riski

B2B modelinde bir şirket, operasyonlarını (örneğin muhasebe, İK veya UYAP yönetimi gibi süreçleri) sizin SaaS platformunuza bağladığında, yazılımın çökmesi veya sunucuların erişilemez olması o şirket için doğrudan maddi zarara yol açar. Bu nedenle SaaS sözleşmelerinin ayrılmaz bir parçası SLA (Service Level Agreement) ekidir.

Çevrimiçi Kalma Süresi (Uptime Rate) Taahhüdü

Sektör standardı olarak yazılımın aylık bazda %99.5 ila %99.9 oranında ayakta (uptime) kalacağı taahhüt edilir.

• Risk: Eğer sözleşmede plansız kesintiler, mücbir sebepler (AWS sunucu çökmeleri, global internet hatları arızası vb.) veya önceden bildirilen bakım pencereleri (maintenance window) bu orandan düşülmezse, sağlayıcı çok ağır tazminat yükümlülükleriyle karşılaşabilir.

• Hukuki Çözüm (Service Credits): Taahhüt edilen SLA oranı ihlal edilirse müşterinin nakit tazminat davası açması veya doğrudan sözleşmeyi feshetmesi yerine, bir sonraki ayın abonelik ücretinden indirim yapılması yöntemi (Hizmet Kredisi - Service Credit) sözleşmeye eklenmelidir. Müşterinin tek hak arama yolu bu indirimle sınırlandırılmalıdır.

3. Bulutta Veri Güvenliği, KVKK ve GDPR Dinamikleri

SaaS platformları, yapıları gereği kullanıcıların kişisel verilerini kendi veritabanlarında toplar ve işler. Bu durum, sözleşmeye ek olarak mutlak surette bir Veri İşleme Anlaşması (DPA - Data Processing Agreement) yapılmasını yasal bir zorunluluk haline getirir.

• Rol Dağılımı: SaaS sağlayıcısı, kural olarak "Veri İşleyen" (Data Processor) konumundadır. Veriyi platforma giren kurumsal müşteri ise "Veri Sorumlusu" (Data Controller) statüsündedir. Verilerin hukuka uygun toplanmasından ve oyuncunun/kullanıcının açık rızasının alınmasından müşteri sorumludur.

• Teknik Önlemler ve Bildirim Yükümlülüğü: Sağlayıcı, ISO 27001 veya SOC 2 gibi global bilgi güvenliği standartlarına uygun şifreleme (encryption) yöntemlerini kullandığını taahhüt etmelidir. Olası bir veri ihlali (data breach) durumunda, yasal süreler içinde (KVKK kapsamında 72 saat) veri sorumlusu olan müşteriye bildirim yapma mekanizması kurgulanmalıdır.

4. Sorumluluğun Sınırlandırılması (Limitation of Liability)

Teknoloji geliştirme süreçlerinde hiçbir yazılımın kusursuz (bug-free) olması garanti edilemez. Yazılımdaki ufak bir bug nedeniyle kurumsal müşterinizin milyonlarca lira veri veya ciro kaybettiğini iddia etmesi, stüdyonuzun/girişiminizin sonunu getirebilir.

Hukuki Kalkan: Sözleşmeye mutlaka bir "Sorumluluk Sınırı" (Limitation of Liability) maddesi eklenmelidir. Sektörel standart uyarınca, sağlayıcının müşteriye verebileceği maksimum zarar tazminat bedeli; "Müşterinin ihlal tarihinden önceki son 12 ay içinde sağlayıcıya ödediği toplam abonelik ücreti" ile sınırlandırılır. Ayrıca dolaylı zararlar, kar mahrumiyetleri veya itibar kayıpları (consequential damages) sorumluluk kapsamı dışına çıkarılmalıdır.

5. Abonelik, Ücretlendirme ve Sözleşmenin Feshi (Off-boarding)

SaaS modelleri sürekli bir nakit akışına (MRR / ARR) dayandığı için finansal maddelerin hukuki netliği operasyonel sürdürülebilirliği sağlar.

• Otomatik Yenileme (Auto-Renewal): Sözleşme dönemleri bittiğinde (örn: 1 yıl), taraflar aksini önceden (örn: 30 gün önce) yazılı olarak bildirmedikçe sözleşmenin otomatik olarak aynı süreyle yenileneceği kurala bağlanmalıdır.

• Verilerin İadesi ve Silinmesi (Off-boarding): Sözleşme feshedildiğinde, kurumsal müşterinin o güne kadar sisteme girdiği tüm verileri (data export) makul bir formatta (.csv, .json vb.) geri alabilmesi için sağlayıcıya 15-30 gün süre tanınmalı, bu sürenin sonunda sağlayıcının tüm verileri sunucularından kalıcı ve güvenli olarak silme (imha) yükümlülüğü düzenlenmelidir.

Sıkça Sorulan Sorular (FAQ)

1. SaaS sözleşmesi ile standart yazılım lisans sözleşmesi arasındaki fark nedir? Standart lisansta yazılım müşterinin bilgisayarına/sunucusuna kurulur ve mülkiyet hakları devredilebilir. SaaS'ta ise yazılım buluttadır; müşteri yazılıma sadece internet üzerinden abonelik süresince erişim hakkı (hizmet olarak) elde eder.

2. SLA (Service Level Agreement) nedir? SaaS sağlayıcısının müşteriye sunduğu yazılımın erişilebilirlik, performans ve kesintisiz çalışma oranlarını (Uptime) garanti ettiği hukuki hizmet seviyesi taahhüdüdür.

3. Sunucu kesintilerinde (Downtime) SaaS şirketi tazminat öder mi? Sözleşmede aksine hüküm yoksa evet. Ancak sorumluluğu sınırlandırmak için, kesinti durumunda nakit tazminat yerine bir sonraki ayın faturasından indirim yapılmasını sağlayan "Hizmet Kredisi" (Service Credit) modeli eklenmelidir.

4. SaaS sözleşmelerinde "Limitation of Liability" (Sorumluluk Sınırı) maddesi ne işe yarar? Yazılımdaki bir hata veya kesinti nedeniyle müşterinin uğrayabileceği devasa zararlara karşı sağlayıcının ödeyeceği maksimum tazminat tutarını (genelde son 12 aylık abonelik bedeli kadar) sabitleyen koruyucu bir maddedir.

5. SaaS ekosisteminde KVKK açısından kim veri sorumlusudur? Veriyi sisteme giren ve toplayan kurumsal müşteri "Veri Sorumlusu"dur. Bu veriyi kendi sunucularında barındıran ve işleyen SaaS şirketi ise "Veri İşleyen" konumundadır.

6. Müşteri abonelik ücretini ödemezse yazılıma erişimini hemen kapatabilir miyim? Sözleşmede "Askıya Alma" (Suspension) hakkı düzenlenmelidir. Müşteriye ödeme yapması için makul bir süre (örn: 7-14 gün) ihtar çekilmeli, ödeme gelmezse veri kaybı sorumluluğu olmaksızın erişimin kapatılabileceği yazılmalıdır.

7. Kurumsal bir müşteri SaaS platformundaki verilerini istediği zaman silebilir mi? KVKK ve GDPR uyarınca şahısların kişisel verileri silinebilir; ancak ticari B2B verilerin silinme, yedeklenme ve sözleşme sonunda toplu iade (off-boarding) süreçleri sözleşmedeki şartlara tabidir.

8. AWS veya Google Cloud çökmesi durumunda SLA ihlal edilmiş sayılır mı? Eğer sözleşmedeki SLA maddesinde "Üçüncü taraf altyapı sağlayıcılarından (IaaS) kaynaklanan kesintiler mücbir sebep / istisna sayılır" hükmü eklenmediyse, SaaS şirketi kendi hatası olmasa bile hukuken sorumlu duruma düşer.

9. SaaS sözleşmelerine fiyat artış (enflasyon) maddesi konulmalı mı? Evet. Çok yıllık veya otomatik yenilenen sözleşmelerde, yeni dönem abonelik ücretlerinin ÜFE/TÜFE oranında veya taraflarca belirlenen sabit bir yüzde (%) oranında artırılabileceği baştan yazılmalıdır.

10. "Tersine Mühendislik" (Reverse Engineering) yasağı neden önemlidir? Müşterinin yazılımın arayüzünü, çıktı kodlarını veya API yapılarını inceleyerek platformun bir klonunu (benzerini) yapmasını yasal olarak engellemenin tek yoludur.

11. SaaS sözleşmesi feshedildiğinde verilere ne olur? Sözleşmedeki "Veri İmha" maddesine göre hareket edilir. Müşteriye verilerini dışa aktarması (export) için makul bir süre verilir, ardından yasal mevzuat gereği (KVKK) tüm veriler sunuculardan kalıcı olarak silinir.

12. SaaS platformu için hazırlanan EULA ile B2B SaaS Sözleşmesi aynı mıdır? Hayır. EULA (End User License Agreement) bireysel son kullanıcılar içindir. Kurumsal şirketlere verilen özel, yüksek hacimli hizmetler için daha detaylı, SLA ve DPA içeren "B2B SaaS Hizmet Sözleşmesi" imzalanır.

13. Yazılım geliştirirken kullandığım açık kaynak (Open Source) kütüphaneler SaaS lisansımı etkiler mi? Kullandığınız kütüphanenin lisans türüne (MIT, GPL vb.) bağlıdır. GPL gibi bulaşıcı lisanslar tüm SaaS platformunun kodlarını açık kaynak yapmanızı zorunlu kılabilir; bu nedenle kütüphane seçimi hukuken denetlenmelidir.

14. Otomatik yenileme (Auto-Renewal) maddesi yasal mıdır? B2B (ticari) sözleşmelerde tamamen yasaldır. Belirtilen ihbar süresi içinde fesih bildirilmediği sürece sözleşme yasal olarak uzar.

15. SaaS teşvikleri için sözleşmenin Türkiye'de yapılması şart mı? Ticaret Bakanlığı'nın dijital ihracat teşviklerinden (SaaS komisyon veya bulut kiralama destekleri) yararlanabilmek için fatura ve sözleşme süreçlerinin Türkiye'deki sermaye şirketiniz üzerinden yürütülmesi ve dövizin ülkeye getirilmesi yasal şarttır.