B2B İş Ortaklıklarında Gizlilik Sözleşmeleri (NDA) ve Veri Güvenliği Çerçevesi Nasıl Kurulmalı?

Teknoloji ve oyun sektörü başta olmak üzere, modern ticari ekosistemde B2B (Business-to-Business) ortaklıklar, şirketlerin büyüme ve ölçeklenme stratejilerinin temelini oluşturur. Bir yazılımın API entegrasyonundan, ortak bir oyun projesi geliştirmeye veya dışarıdan bulut hizmeti (SaaS) almaya kadar her B2B temas, şirketinizin en değerli varlıklarının—kaynak kodlarının, müşteri verilerinin ve ticari sırlarının—masaya konulması anlamına gelir. İnternetten indirilen "standart" bir Gizlilik Sözleşmesi (NDA), bu varlıkları korumak bir yana, şirketinize sahte bir güven hissi vererek sizi geri dönülmez hukuki risklere sürükleyebilir.

Bu rehberde, şirketlerin B2B görüşmelerinde ticari sırlarını ve veri güvenliğini nasıl koruma altına alacaklarını, sözleşme mimarisinin nasıl kurgulanması gerektiğini ve mahkeme aşamasında eli zayıflatan tipik hataları hukuki ve pratik boyutlarıyla inceleyeceğiz.

1. B2B Ekosisteminde NDA Türleri: Hangisini Seçmelisiniz?

Gizlilik sözleşmeleri, tarafların bilgi paylaşım yönüne göre iki ana kategoriye ayrılır. Yanlış türde bir sözleşme imzalamak, masadaki pazarlık gücünüzü doğrudan etkiler.

• Tek Taraflı (Unilateral) NDA: Sadece bir tarafın (A Şirketi) diğer tarafa (B Şirketi) gizli bilgi aktardığı, diğer tarafın ise sadece "dinleyici/alıcı" konumunda olduğu durumlarda kullanılır. Örneğin; dışarıdan bir siber güvenlik denetimi hizmeti alırken veya bir yazılım evine projenizin detaylarını verirken kullanılır.

• Çift Taraflı / Karşılıklı (Mutual) NDA: İki şirketin de birbirine teknoloji, müşteri listesi veya finansal veri açtığı durumlardır. Ortak proje geliştirme (Joint Venture) veya API entegrasyon süreçlerinde zorunludur. Hukuki yükümlülükler her iki taraf için de simetrik olarak doğar.

2. "Gizli Bilgi" Tanımının Kurgulanması: Her Şey Gizli Değildir

Mahkemelerde veya tahkim süreçlerinde kaybedilen NDA davalarının %90'ı, "Gizli Bilgi" tanımının çok geniş veya çok muğlak olmasından kaynaklanır. "Şirket ile ilgili her türlü bilgi gizlidir" gibi bir madde hukuken savunulamaz.

A. Doğru Tanımlama Nasıl Yapılır?

Gizli bilgi; kaynak kodları, algoritmalar, iş planları, oyuncu/müşteri metrikleri (LTV, CAC vb.), finansal tablolar, henüz yayınlanmamış tasarımlar ve fiyatlandırma stratejilerini kapsayacak şekilde, şirketinizin NACE koduna ve faaliyet alanına uygun spesifik entity'ler sayılarak tanımlanmalıdır.

B. İstisnalar (Ne Gizli Değildir?)

Sözleşmenin hukuken geçerli olabilmesi için aşağıdaki evrensel istisnaların metne eklenmesi şarttır:

• Sözleşme imzalanmadan önce zaten kamuya açık olan bilgiler.

• Alıcı tarafın, bilgiyi verenden bağımsız olarak kendi iç AR-GE süreçleriyle geliştirdiği bilgiler (Independent development).

• Mahkeme kararı veya idari bir otoritenin (örn: Rekabet Kurumu, BTK) yasal ve zorunlu talebi üzerine açıklanan bilgiler.

3. İhlal Durumunda Yaptırım: "Cezai Şart" Neden Hayatidir?

Gizli bilginiz sızdırıldığında, Türk Borçlar Kanunu (TBK) uyarınca tazminat talep edebilirsiniz. Ancak hukukun temel kuralı şudur: Tazminat isteyen, uğradığı zararı tam ve kesin olarak ispatlamakla yükümlüdür.

Bir kaynak kodunun çalınması veya müşteri listenizin rakibin eline geçmesinin size tam olarak kaç TL zarar ettirdiğini muhasebesel olarak ispatlamak neredeyse imkansızdır.

Hukuki Strateji (Cezai Şart - Liquidated Damages): Sözleşmeye mutlaka "İşbu sözleşmenin ihlali halinde, ihlal eden taraf X.000 USD / TL cezai şartı gayrikabili rücu ödemeyi kabul eder." şeklinde bir madde eklenmelidir. Cezai şart varsa, zararınızı ispat etmenize gerek kalmaz; sadece ihlalin varlığını kanıtlamanız o bedeli tahsil etmeniz için yeterlidir. Ancak bedel, iflasa sürükleyecek kadar "fahiş" olmamalıdır; aksi takdirde hakim TBK m.182 gereği bu bedeli indirebilir.

4. Veri Güvenliği Çerçevesi: NDA, KVKK ve GDPR Entegrasyonu

B2B ortaklıklarda paylaşılan veri sadece ticari sır (kod veya finansal tablo) değilse, işin içine doğrudan Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa pazarındaysanız GDPR girer.

Örneğin, iki teknoloji şirketinin ortak bir kampanya yapmak için kullanıcı veri tabanlarını birbirine açması salt bir NDA ile çözülemez.

• Veri İşleyen (Data Processor) ve Veri Sorumlusu (Data Controller) Ayrımı: Karşı tarafa müşterilerinizin verisini (isim, e-posta, log kayıtları) aktarıyorsanız, karşı tarafın bu veriyi nasıl işleyeceğini, nasıl saklayacağını ve ne zaman imha edeceğini düzenleyen bir Veri İşleme Sözleşmesi (DPA - Data Processing Agreement) yapılması yasal bir zorunluluktur.

• Teknik ve İdari Tedbirler: B2B sözleşmesinde, karşı tarafın ISO 27001 standartlarına uyması, verileri şifreli (encrypted) ortamlarda tutması ve olası bir siber saldırı (data breach) durumunda size en geç 72 saat içinde resmi bildirim yapması gerektiği açıkça belirtilmelidir.

5. Çalışanların ve Alt Yüklenicilerin Kapsama Alınması

Siz B Şirketi ile NDA imzalarsınız, ancak B Şirketi projenizin kod yazım işini C Şirketine (veya bir serbest çalışana) devredebilir. Gizlilik zinciri genellikle bu noktada kırılır.

Back-to-Back (Zincirleme) Sorumluluk: Sözleşmede, bilgiyi alan B Şirketinin, bu bilgiyi sadece "bilmesi gereken (need-to-know basis)" çalışanlarına açabileceği ve bu çalışanlarla veya alt yüklenicilerle en az ana NDA kadar katı gizlilik sözleşmeleri imzalattırmak zorunda olduğu düzenlenmelidir. Alt yüklenicinin yapacağı ihlalden, doğrudan B Şirketi sorumlu tutulmalıdır.

B2B Gizlilik Sözleşmelerinde Sık Yapılan Hatalar ve Çözümleri

Sıkça Sorulan Sorular (FAQ)

1. B2B NDA nedir?

İki veya daha fazla ticari işletme arasında, görüşülecek projeler, ortaklıklar veya hizmet alımları sırasında paylaşılan ticari sırların ve teknik verilerin 3. kişilerle paylaşılmasını engelleyen hukuki sözleşmedir.

2. Tek taraflı ve çift taraflı NDA farkı nedir?

Tek taraflı NDA'de sadece bilgiyi veren taraf korunurken, çift taraflı (mutual) NDA'de her iki şirket de birbirine bilgi aktarır ve her iki taraf da aynı gizlilik yükümlülükleri altına girer.

3. NDA'de gizli bilgi nasıl tanımlanmalıdır?

Çok geniş ("her şey") yerine, sektörün ve ortaklığın doğasına uygun (kaynak kodu, müşteri verisi, algoritma, finansal tablo vb.) spesifik başlıklar ve teknik detaylar listelenerek tanımlanmalıdır.

4. Kamuoyuna mal olmuş bilgi gizli sayılır mı?

Hayır. İnternette yayınlanmış, basına yansımış veya tarafların kontrolü dışında herkesin erişimine açılmış bilgiler (public domain) NDA kapsamında korunamaz.

5. Sözleşme süresi ne kadar olmalıdır?

Genellikle ticari ilişkinin (görüşmelerin/projenin) devam ettiği süre boyunca ve bu ilişki bittikten sonraki 2 ila 5 yıl arasında değişen bir süre gizlilik yükümlülüğü korunur.

6. NDA ihlal edilirse ne olur?

İhlal eden tarafa ihtarname çekilerek ihlalin durdurulması istenir. Sözleşmede belirtilen cezai şartın (maktu bedel) tahsili ve/veya kanıtlanabilen ek zararlar için ticaret mahkemelerinde dava açılır.

7. Cezai şart (tazminat bedeli) yazmak zorunlu mu?

Zorunlu değildir ancak hayatidir. Cezai şart yazılmazsa, şirketinizin uğradığı net ticari zararı (TL bazında) mahkemeye kanıtlamak zorunda kalırsınız, bu da fiilen çok zordur.

8. Yurt dışı B2B ortaklıklarda hangi hukuk uygulanmalı?

Tarafların pazarlık gücüne bağlıdır. Türkiye'deki bir şirket için ideal olan, Türk Hukuku'nun geçerli olması ve İstanbul mahkemelerinin/tahkiminin yetkili kılınmasıdır. Aksi takdirde uyuşmazlık yurt dışı mahkemelerinde çözülmek zorunda kalır.

9. NDA ile KVKK sözleşmesi (DPA) aynı şey midir?

Hayır. NDA ticari sırları (kod, formül, proje) korur. DPA (Veri İşleme Sözleşmesi) ise doğrudan şahıslara ait kişisel verilerin (isim, e-posta, TC kimlik vb.) güvenliğini KVKK/GDPR kapsamında regüle eder.

10. Alt yükleniciler NDA kapsamında mıdır?

Eğer sözleşmeye "Zincirleme Sorumluluk" veya "Alt Yüklenici Kısıtlaması" maddesi eklenmezse, karşı taraf bilgiyi kendi alt yüklenicisine verebilir. Bu nedenle alt yüklenicilere devir açıkça izne ve şarta bağlanmalıdır.

11. Gizli bilgi sözlü verilirse korunur mu?

Sözleşmede aksine bir kural yoksa, toplantılarda sözlü verilen bilgilerin ispatı zordur. "Sözlü bilgilerin toplantıdan sonraki X gün içinde yazılı tutanakla gizli bilgi olarak işaretlenmesi" şartı (written confirmation) eklenmelidir.

12. Tersine mühendislik (Reverse Engineering) NDA ile yasaklanabilir mi?

Evet, yazılım ve donanım B2B ortaklıklarında tersine mühendislik yasağı, NDA'lerin en temel ve zorunlu maddelerinden biri olmalıdır.

13. Çalışanlar şirketin NDA'sinden şahsen sorumlu mu?

B2B sözleşmeler şirketler (tüzel kişiler) arasında yapılır. Çalışanın hatasından doğrudan çalışanı bulunduran şirket sorumludur. Şirket ödediği tazminatı daha sonra kendi iç iş hukuku kurallarıyla çalışana rücu edebilir.

14. NDA bittikten sonra bilgileri kullanabilir miyim?

Hayır. Sözleşme süresi dolsa bile, ticari sır niteliğindeki çekirdek teknoloji bilgileri veya haksız rekabet oluşturacak verilerin kullanımı TTK "Haksız Rekabet" hükümleri gereğince yasaktır. İade ve imha maddesi devreye girer.

15. DPA (Veri İşleme Sözleşmesi) B2B için neden şarttır?

Kişisel veri içeren (müşteri listesi, çalışan logları) bir veri tabanını iş ortağınıza açıyorsanız, KVKK uyarınca bu verinin amacına uygun işlenmesini ve korunmasını hukuken garanti altına almak (Veri Sorumlusu yükümlülüğü) zorundasınız. Aksi halde Kişisel Verileri Koruma Kurumu'ndan idari para cezası alırsınız.