SaaS Sözleşmesi Sona Erdiğinde Müşteri Verileri Ne Olur? Veri İadesi, Silme ve Exit Planı

Bir şirket, müşteri ilişkilerini yönetmek için yıllarca aynı SaaS platformunu kullanmış olabilir. Müşteri kayıtları, satış geçmişi, sözleşmeler, destek talepleri, raporlar ve çalışanların sisteme girdiği bilgiler bu platformda tutuluyor olabilir.

Ancak zaman içerisinde şirket farklı bir yazılım sağlayıcısıyla çalışmaya karar verir.

Mevcut SaaS sağlayıcısına sözleşmeyi yenilemeyeceğini bildirdiğinde beklenmedik bir sorunla karşılaşır:

“Aboneliğiniz sona erdi. Hesabınız kapatıldı. Verilerinizi dışa aktarmak istiyorsanız ayrıca ücret ödemeniz gerekiyor.”

Başka bir senaryoda SaaS sağlayıcısı, sözleşmenin sona ermesinden itibaren 30 gün içinde bütün müşteri verilerinin otomatik olarak silineceğini bildirebilir.

Peki, SaaS sözleşmesi sona erdiğinde müşteri verileri kime ait olur? Sağlayıcı verileri teslim etmek zorunda mıdır? Abonelik bedeli ödenmemişse müşteri verilerine erişim engellenebilir mi? Verilerin yedeklerden silinmesi gerekir mi?

Bu soruların yanıtı yalnızca abonelik sözleşmesine bakılarak belirlenemez.

Müşterinin sisteme yüklediği ticari verilerin sözleşmesel durumu, kişisel verilerin korunmasına ilişkin yükümlülükler, hizmet sağlayıcısının fikri mülkiyet hakları ve varsa uluslararası veri taşınabilirliği düzenlemeleri birlikte değerlendirilmelidir.

SaaS sözleşmesinin sona ermesi, müşterinin bütün veriler üzerindeki haklarını kaybetmesi veya sağlayıcının bu verileri derhal ve sınırsız biçimde silebilmesi anlamına gelmez. Bununla birlikte her SaaS sağlayıcısının bütün verileri sınırsız süre saklamak veya her formatta ücretsiz aktarmak zorunda olduğu da söylenemez.

Bu rehberde SaaS aboneliğinin sona ermesi halinde veri iadesini (Data Return), dışa aktarımı (Data Export), sağlayıcı değişikliğini (Data Migration), veri silme ve yok etmeyi, yedekleme sistemlerini, KVKK ve GDPR yükümlülüklerini ve SaaS Exit Planı'nın nasıl düzenlenmesi gerektiğini inceliyorum.

1. SaaS Sözleşmesi Sona Erdiğinde Ne Olur?

Software as a Service (SaaS), yazılımın çoğunlukla internet üzerinden ve belirli bir hizmet modeliyle kullanıcıya sunulmasını ifade eder.

Bu modelde müşteri, yazılımın kaynak kodunu veya bütün fikri mülkiyet haklarını edinmeden hizmete erişebilir.

Örneğin bir şirket:

• CRM yazılımı,

• İnsan kaynakları platformu,

• Muhasebe yazılımı,

• Proje yönetim sistemi,

• Yapay zekâ destekli belge analizi aracı,

• Kurumsal veri analitiği platformu

için aylık veya yıllık abonelik ücreti ödeyebilir.

Abonelik sona erdiğinde müşterinin hizmete erişim hakkı sözleşmede belirlenen şartlara göre sona erebilir.

Ancak hizmete erişimin sona ermesiyle sistemdeki bütün bilgilerin hukuki akıbeti farklı meselelerdir.

Aboneliğin bitmesi müşteri verilerinin silinmesi anlamına mı gelir?

Hayır.

Öncelikle sözleşmenin sona ermesinin verilerin işlenmesini gerektiren hukuki sebepleri nasıl etkilediği değerlendirilmelidir.

Bazı verilerin müşteriye iade edilmesi veya aktarılması gerekebilir.

Bazı kayıtların silinmesi, yok edilmesi veya anonim hale getirilmesi gündeme gelebilir.

Buna karşılık belirli kayıtların kanuni saklama yükümlülüğü veya başka geçerli hukuki sebepler nedeniyle saklanmasına devam edilmesi söz konusu olabilir.

Abonelik süresinin dolmasıyla fesih aynı şey midir?

Her durumda değil.

Sözleşme:

• Kararlaştırılan sürenin sona ermesi,

• Otomatik yenilememe,

• Tarafların anlaşması,

• Ödeme yükümlülüğünün ihlali,

• Esaslı sözleşme ihlali,

• Başka bir sözleşmesel veya kanuni neden

sebebiyle sona erebilir.

Sona erme nedeninin geçiş hizmetleri, ücretler ve diğer yükümlülükler üzerinde etkisi olabilir.

Ancak kişisel verilerin korunmasına ilişkin emredici kurallar, yalnızca fesih nedenine bağlı olarak ortadan kalkmaz.

2. SaaS Müşteri Verileri Kime Aittir?

SaaS sözleşmelerinde en sık kullanılan ifadelerden biri şudur:

“Müşteri verileri müşteriye aittir.”

Bu ifade ticari olarak belirli bir amacı anlatabilir. Ancak hukuki açıdan daha ayrıntılı değerlendirme gerektirir.

Çünkü sistemde bulunan bütün bilgiler aynı hukuki nitelikte değildir.

Örneğin bir CRM platformunda:

• Müşteri adları ve iletişim bilgileri,

• Şirketlere ilişkin ticari kayıtlar,

• Kullanıcı tarafından yüklenen belgeler,

• Satış raporları,

• Sistem günlükleri,

• Kullanım istatistikleri,

• Sağlayıcının oluşturduğu yazılım kodları

bulunabilir.

Bunların tamamına aynı mülkiyet rejimi uygulanmaz.

Kişisel verilerin mülkiyeti olabilir mi?

Kişisel verilerin hukuki statüsü, taşınır bir malın mülkiyetiyle aynı değildir.

6698 sayılı Kişisel Verilerin Korunması Kanunu kişisel verilerin işlenmesine, aktarılmasına, korunmasına ve ilgili kişilerin haklarına ilişkin kurallar getirir.

Bir şirketin müşteri verilerini kendi ticari faaliyetlerinde kullanması, bu veriler üzerinde sınırsız mülkiyet hakkı bulunduğu anlamına gelmez.

SaaS müşterisinin sisteme yüklediği ticari bilgiler ne olacak?

Müşterinin oluşturduğu belgeler, ticari sırlar, veri tabanı kayıtları ve başka içerikler üzerinde sözleşmesel, fikri mülkiyet veya diğer hukuki haklar bulunabilir.

SaaS sözleşmesinde müşterinin bu bilgiler üzerinde hangi haklara sahip olduğu ve hizmet sağlayıcısının bunları hangi amaçlarla kullanabileceği açıkça belirlenebilir.

SaaS şirketinin yazılımı da müşteriye geçer mi?

Hayır, yalnızca aboneliğin sona ermesi veya verilerin dışa aktarılması nedeniyle yazılımın kaynak kodu ve ilgili mali hakları müşteriye kendiliğinden geçmez.

SaaS sağlayıcısının geliştirdiği yazılım ile müşterinin sisteme yüklediği içerikler ayrı değerlendirilmelidir.

Bu ayrımın genel çerçevesini Yazılım ve Teknoloji Geliştirme Sözleşmelerinde SaaS Temel Hukuki Dinamikler başlıklı makalemde ayrıca ele aldım.

3. SaaS Sözleşmesinde Customer Data Nasıl Tanımlanmalıdır?

Customer Data, yani müşteri verileri, SaaS sözleşmelerinde genellikle müşteri veya onun yetkilendirdiği kullanıcılar tarafından hizmete yüklenen, oluşturulan veya hizmet kapsamında işlenen verileri tanımlamak için kullanılır.

Ancak sözleşmenin bu ifadeye verdiği anlam önemlidir.

Örneğin müşteri verileri tanımı yalnızca kullanıcıların manuel olarak yüklediği dosyaları kapsıyorsa, sistemin işlenmiş ve yapılandırılmış kayıtları bakımından uyuşmazlık çıkabilir.

Müşteri verileri hangi kayıtları içerebilir?

Bu kategorilerin tamamının her durumda müşteriye aynı kapsamda aktarılması gerektiği söylenemez.

Örneğin güvenlik logları sağlayıcının başka müşterilerine ilişkin bilgileri de içerebilir.

Benzer şekilde yazılımın genel mimarisi ve kaynak kodu, müşteri verilerinden ayrı fikri mülkiyet konusu olabilir.

Bu nedenle sözleşmede hangi verilerin dışa aktarılacağı, hangilerinin hariç tutulacağı ve ilgili istisnaların hukuki dayanağı belirlenmelidir.

4. Data Export Nedir? Müşteri Verilerini Nasıl Geri Alabilir?

Data Export, SaaS platformundaki belirli veri ve içeriklerin başka bir sistemde kullanılmak veya saklanmak amacıyla dışa aktarılmasıdır.

Örneğin CRM müşterisi başka bir sağlayıcıya geçmeden önce satış ve müşteri kayıtlarını dışa aktarmak isteyebilir.

Ancak teknik olarak “Export” düğmesinin bulunması, ilgili verilerin eksiksiz ve kullanılabilir biçimde teslim edildiğini her durumda göstermez.

Hangi formatlarda veri iadesi yapılabilir?

İş modeline ve teknik yapıya göre:

• CSV,

• JSON,

• XML,

• XLSX,

• SQL dışa aktarımı,

• İlgili dosyaların özgün biçimleri,

• Uygun başka makine tarafından okunabilir formatlar

kullanılabilir.

Ancak bütün sağlayıcıların her formatı desteklemesi veya her durumda aynı teknik yöntemle veri sunması zorunlu değildir.

CSV dosyası verilmesi yeterli mi?

Her zaman değil.

Örneğin bir CRM sistemindeki müşteri kayıtları CSV olarak verilirken:

• Müşteri ile satış fırsatı arasındaki ilişki,

• Ekli belgeler,

• Özel alanlar,

• Aktivite geçmişi,

• Kullanıcı yetkileri,

• Etiketler,

• Zaman bilgileri

aktarılmamış olabilir.

Bu durumda müşteri teknik olarak veri almış olsa da yeni sağlayıcıda iş süreçlerini sürdürebilmek için gerekli bilgilerin bir bölümünü kaybedebilir.

Data Export sözleşmesinde hangi hususlar belirlenmeli?

Özellikle veri kapsamı, format, teslim yöntemi, karakter kodlaması, dosya bütünlüğü, aktarım süresi ve doğrulama prosedürü açıklanabilir.

Bir şirketin verilerini geri alabilmesi, yalnızca dosya indirmesine değil, ilgili iş kayıtlarının anlamlı ve kullanılabilir biçimde aktarılmasına da bağlıdır.

5. Data Portability ile Data Export Aynı Şey midir?

Bu kavramlar birbirleriyle ilişkili olmakla birlikte tamamen aynı değildir.

Data Export genellikle verilerin teknik olarak dışa aktarılmasını anlatır.

Data Portability ise verilerin başka hizmet veya sistemlerde kullanılabilmesi ve belirli durumlarda taşınabilmesine ilişkin daha kapsamlı teknik, sözleşmesel veya hukuki mekanizmaları ifade edebilir.

Müşteri başka SaaS sağlayıcısına geçmek isteyebilir mi?

Evet.

Ancak mevcut sağlayıcının hangi ölçüde aktarım desteği vermekle yükümlü olduğu, sözleşme ve uygulanabilir mevzuata bağlıdır.

Örneğin:

• Verilerin dışa aktarılması,

• Yeni sağlayıcıya uygun biçime dönüştürülmesi,

• API üzerinden veri transferi,

• Eski ve yeni sistemlerin belirli süre birlikte çalışması,

• Veri doğrulama ve hata düzeltme

farklı hizmetlerdir.

Verilerin taşınması ile yeni sistemin çalışır hale getirilmesi aynı mıdır?

Hayır.

Örneğin SaaS sağlayıcısının müşteri kayıtlarını standart bir formatta teslim etmesiyle başka bir şirketin yazılımına özel entegrasyon geliştirmesi aynı hizmet değildir.

Bu nedenle veri dışa aktarımı ile özel geçiş danışmanlığı veya entegrasyon hizmetlerinin kapsamı ve ücretlendirilmesi ayrı belirlenebilir.

Ancak uygulanabilir emredici veri taşıma veya sağlayıcı değiştirme hükümleri varsa bunlar ayrıca gözetilmelidir.

6. SaaS Exit Plan Nedir?

SaaS Exit Plan, müşterinin hizmetten ayrılması veya başka sağlayıcıya geçmesi halinde verilerin, erişimlerin ve ilgili teknik süreçlerin nasıl yönetileceğini önceden belirleyen geçiş planıdır.

Exit Plan yalnızca fesih tarihinde uygulanacak bir işlem olarak düşünülmemelidir.

Özellikle kritik iş süreçlerini belirli SaaS sistemine bağlayan şirketler bakımından geçiş koşullarının sözleşme kurulurken belirlenmesi önemlidir.

Exit Plan hangi aşamalardan oluşabilir?

Birinci aşama — Çıkış bildirimi

Taraflardan biri sözleşmeyi sona erdirmek veya yenilememek istediğini bildirir.

İkinci aşama — Veri envanteri

Hangi veri kategorilerinin aktarılacağı belirlenir.

Üçüncü aşama — Veri dışa aktarımı

Kararlaştırılan bilgiler uygun yöntemle teslim edilir.

Dördüncü aşama — Geçiş ve doğrulama

Yeni sistemde verilerin doğruluğu ve kullanılabilirliği kontrol edilir.

Beşinci aşama — Eski sistemdeki verilerin akıbeti

Hukuken saklanması gereken kayıtlar, silinecek veriler ve yedekler belirlenen prosedüre göre yönetilir.

Exit Plan bütün SaaS sözleşmelerinde zorunlu mu?

Türk hukukunda bütün SaaS hizmetleri için tek biçimli bir Exit Plan hazırlanmasını öngören genel bir düzenleme bulunmamaktadır.

Ancak bazı sektörler, belirli veri işleme ilişkileri veya uygulanabilir uluslararası düzenlemeler ek yükümlülükler doğurabilir.

Ayrıca sözleşmesel veri iadesi ve iş sürekliliği açısından Exit Plan hazırlanması ticari bakımdan önemli olabilir.

7. SaaS Müşterisine Verilerini Alması İçin Kaç Gün Süre Verilmelidir?

Uygulamada SaaS sözleşmelerinde 15, 30, 60 veya başka uzunlukta veri dışa aktarım süreleri öngörülebilir.

Ancak Türk hukukunda bütün SaaS sözleşmeleri için zorunlu ve tek tip bir “30 günlük veri iade süresi” bulunduğu söylenemez.

Bu süre çoğunlukla sözleşmenin içeriği ve hizmetin niteliğiyle bağlantılıdır.

Sözleşmede 30 gün öngörülmesi yeterli mi?

Her durumda değil.

Örneğin küçük bir proje yönetimi platformundan verilerin dışa aktarılması bir gün içinde mümkün olabilir.

Ancak milyonlarca kayda sahip bir ERP veya CRM sisteminin başka sağlayıcıya taşınması için daha kapsamlı planlama gerekebilir.

Bu nedenle veri miktarı, sistemlerin karmaşıklığı ve yeni sağlayıcıya geçiş için gerekli işlemler değerlendirilmelidir.

Hizmet sona erdikten sonra geçici erişim verilebilir mi?

Taraflar hukuken mümkün olan koşullarda belirli bir geçiş veya salt okunur erişim süresi kararlaştırabilir.

Örneğin müşteri, 30 günlük geçiş süresince yeni kayıt oluşturamasa da eski kayıtlarını görüntüleyebilir ve dışa aktarabilir.

Ancak böyle bir hakkın mevcut olduğu veya bütün müşterilere ücretsiz sağlanması gerektiği, sözleşme ve uygulanabilir hukuk incelenmeden kabul edilmemelidir.

Fesih ile veri silme tarihi farklı olabilir mi?

Evet.

Örneğin abonelik 1 Aralık tarihinde sona erebilir.

Verilerin iadesi veya aktarımı için sözleşmede daha sonraki bir tarih belirlenmiş olabilir.

Bununla birlikte kişisel verilerin işlenmesine ilişkin hukuki sebebin ve saklama yükümlülüklerinin devam edip etmediği ayrıca değerlendirilmelidir.

8. SaaS Sözleşmesi Bittiğinde KVKK'ya Göre Verilerin Silinmesi Zorunlu mu?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 7. maddesi, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini düzenlemektedir.

Kanuna göre, kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin ortadan kalkması halinde ilgili verilerin resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi ya da anonim hale getirilmesi gerekir.

Ancak sözleşmenin sona ermesi ile kişisel verilerin bütün işleme şartlarının ortadan kalkması her durumda aynı şey değildir.

Sözleşme bitince her veri hemen silinir mi?

Hayır.

Örneğin SaaS sağlayıcısı, müşteri tarafından sisteme yüklenen verileri artık hizmet sunmak amacıyla işlemek için hukuki dayanağa sahip olmayabilir.

Ancak sağlayıcının kendi faturaları, tahsilat kayıtları veya belirli hukuki uyuşmazlığa ilişkin belgeleri bakımından ayrı saklama sebepleri bulunabilir.

Bunların hepsinin tek bir müşteri veri tabanı içinde sınırsız biçimde saklanabileceği de söylenemez.

Veri kategorisi, işleme amacı ve hukuki dayanak ayrı belirlenmelidir.

KVKK bakımından silme yükümlülüğü kime aittir?

KVKK'nın 7. maddesi ve ilgili Yönetmelik, veri sorumlusunun yükümlülüklerini düzenlemektedir.

SaaS hizmetinin veri işleyen olarak verildiği durumlarda, sağlayıcının veri sorumlusunun talimatlarına ve ilgili veri güvenliği yükümlülüklerine uygun davranması önemlidir.

Ancak SaaS sağlayıcısının kendi amaçlarıyla işlediği başka veriler bakımından veri sorumlusu sıfatı bulunabilir.

Bu nedenle aynı şirketin bütün veri işleme faaliyetleri için tek bir sıfatı bulunduğu varsayılamaz.

9. Veri Sorumlusu ile Veri İşleyen Ayrımı Neden Önemlidir?

Bir B2B SaaS şirketi müşterisinin personel kayıtlarını saklıyor olabilir.

Örneğin insan kaynakları yazılımını kullanan işletme, çalışanlarına ilişkin verilerin hangi amaçlarla işleneceğini belirleyebilir.

SaaS sağlayıcısı ise bu kayıtları müşterinin talimatları doğrultusunda teknik olarak işleyebilir.

Bu durumda ilgili faaliyet bakımından müşteri veri sorumlusu, SaaS şirketi veri işleyen olarak değerlendirilebilir.

Ancak veri işleme rolleri ticari unvanlara göre değil, fiili işleme faaliyetlerine göre belirlenir.

SaaS şirketi kendi fatura bilgileri bakımından veri sorumlusu olabilir mi?

Evet.

SaaS şirketi kendi müşterilerinin irtibat kişilerine ilişkin verileri abonelik yönetimi, faturalandırma veya kendi diğer amaçları için işliyor olabilir.

Bu faaliyetlerin veri sorumlusu–veri işleyen ayrımı, müşterinin çalışanlarının kayıtlarının işlenmesinden farklı sonuçlar doğurabilir.

Sözleşme sona erdiğinde veri sorumlusu neye karar verir?

Müşteri, kendi veri sorumluluğu kapsamında kişisel verilerin korunması ve hukuken gerekli işlemler bakımından sorumluluk taşıyabilir.

Veri işleyen SaaS sağlayıcısının sözleşme sona erdiğinde verileri iade etmesi, silmesi veya başka bir işlem gerçekleştirmesi, ilgili talimatlar ve kanuni sınırlar çerçevesinde düzenlenmelidir.

DPA neden önemlidir?

Data Processing Agreement (DPA), veri sorumlusu ile veri işleyen arasındaki veri işleme ilişkisini düzenlemeye yardımcı olan sözleşmedir.

Bu belgede özellikle hizmet sona erdiğinde verilerin akıbetinin, alt veri işleyenlerin ve güvenlik yükümlülüklerinin açıkça belirlenmesi önemlidir.

KVKK ile GDPR'ın DPA bakımından farklı düzenlemelerini B2B SaaS Veri İşleme Anlaşması (DPA) Nasıl Hazırlanır? KVKK ve GDPR Rehberi başlıklı makalemde ayrıntılı olarak ele aldım.

10. KVKK'ya Göre Silme, Yok Etme ve Anonimleştirme Arasındaki Fark Nedir?

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, üç farklı yöntemi düzenlemektedir.

Bu kavramların birbirinin yerine kullanılması doğru değildir.

Silme ile yok etme neden farklıdır?

Örneğin bir SaaS sisteminde verilerin olağan kullanıcı arayüzünden kaldırılması, ilgili kayıtların bütün teknik ortamlardan geri getirilemez biçimde yok edildiği anlamına gelmeyebilir.

Yönetmelik m.8 ve m.9, silme ve yok etme işlemlerini farklı şekilde tanımlamaktadır.

Bu nedenle sözleşmede “Veriler kalıcı olarak silinecektir.” ifadesi kullanılıyorsa hangi işlemin kastedildiği teknik ve hukuki olarak belirlenmelidir.

Anonimleştirme nedir?

Anonimleştirme, kişisel verilerin kimliği belirli veya belirlenebilir gerçek kişiyle hiçbir surette ilişkilendirilemeyecek hale getirilmesini ifade eder.

Yalnızca isimlerin veya kimlik numaralarının kaldırılması her durumda anonimleştirme anlamına gelmez.

Özellikle diğer veri kümeleriyle birleştirme yoluyla kişinin yeniden belirlenmesi mümkünse anonimleştirme koşulları sağlanmamış olabilir.

Resmî kaynak: KVKK – Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

11. KVKK'ya Göre Veriler Kaç Gün İçinde Silinmelidir?

Bu konuda yazılım ve teknoloji şirketlerinin dikkat etmesi gereken önemli bir ayrım bulunmaktadır.

SaaS sözleşmesinde kararlaştırılan veri dışa aktarım süresi ile KVKK kapsamında kişisel verilerin imha edilmesi için öngörülen süre aynı değildir.

İlgili Yönetmelik'in 11. maddesi, veri sorumlularının yükümlülüklerini farklı durumlara göre düzenler.

Saklama ve imha politikası olan veri sorumluları

Kişisel veri saklama ve imha politikası hazırlamış veri sorumlusu, silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde gerekli işlemi gerçekleştirir.

Periyodik imha aralığı altı ayı geçemez.

Ancak bu düzenleme, kişisel verilerin işlenme şartları ortadan kalktıktan sonra hiçbir sınırlama olmaksızın altı ay kullanılmaya devam edilebileceği anlamına gelmez.

İlgili verilerin işlenmesi ve güvenliği bakımından diğer kanuni yükümlülükler devam eder.

Saklama ve imha politikası hazırlama yükümlülüğü bulunmayan veri sorumluları

Yönetmelik m.11/3 kapsamında, kişisel veri saklama ve imha politikası hazırlama yükümlülüğü olmayan veri sorumluları için yükümlülüğün ortaya çıkmasından itibaren üç aylık süre düzenlenmiştir.

Ancak somut veri işleme faaliyetine uygulanacak diğer yükümlülükler ayrıca değerlendirilmelidir.

İlgili kişinin silme talebinde bulunması

İlgili kişi, KVKK m.11 ve m.13 kapsamında kişisel verilerinin silinmesini veya yok edilmesini talep edebilir.

Yönetmelik m.12 kapsamında bu talebin en geç 30 gün içerisinde sonuçlandırılması ve ilgili kişiye bilgi verilmesi öngörülmüştür.

Ancak kişisel veri işleme şartlarının tamamı ortadan kalkmamışsa, talebin kanuni koşullarda gerekçesi açıklanarak reddedilmesi de mümkündür.

Bu süreler SaaS sözleşmesine nasıl yansıtılmalı?

Sözleşmedeki veri iadesi, silme ve yedekleme takvimi hazırlanırken veri sorumlusunun kanuni yükümlülükleri ile sağlayıcının teknik süreçleri birbirleriyle uyumlu hale getirilmelidir.

Bu nedenle “Bütün veriler tam olarak 30 gün sonra KVKK gereği imha edilir.” gibi kesin ifadeler her durum için doğru değildir.

12. SaaS Sağlayıcısının Yedekleme Sistemlerindeki Verilere Ne Olur?

SaaS hizmetlerinde müşteri verileri yalnızca aktif veritabanında bulunmayabilir.

Örneğin:

• Günlük yedekler,

• Haftalık yedekler,

• Felaket kurtarma kopyaları,

• Arşiv sistemleri,

• Güvenlik ve erişim logları,

• Farklı veri merkezlerindeki replikalar

bulunabilir.

Bu nedenle müşteri hesabının kapatılması, verilerin bütün teknik ortamlardan aynı anda kaldırıldığı anlamına gelmez.

Aktif veri tabanındaki kayıtlar silinince yedekler de silinir mi?

Her zaman değil.

Yedekleme sistemlerinin yapısına göre verilerin belirli sürelerde döngüsel olarak silinmesi veya üzerine yazılması söz konusu olabilir.

Ancak böyle bir sistemin bulunması, kişisel verileri hukuki dayanak olmaksızın sınırsız süre saklama yetkisi sağlamaz.

Yedeklerde kalan verilere erişim nasıl sınırlandırılabilir?

Teknik yapıya uygun olarak:

• Yedeklere erişim yetkileri sınırlandırılabilir.

• Yedeklerin olağan operasyonel kullanım dışında tutulması sağlanabilir.

• Saklama süreleri ve silme döngüleri belirlenebilir.

• Geri yükleme halinde daha önce silinmiş verilerin yeniden erişilebilir hale gelmesini önleyen süreçler oluşturulabilir.

• İşlemlere ilişkin uygun kayıtlar tutulabilir.

Bu tedbirlerin yeterliliği verinin niteliğine ve uygulanabilir mevzuata göre değerlendirilmelidir.

Müşteri bütün yedeklerin aynı gün fiziksel olarak yok edilmesini isteyebilir mi?

Bu soruya her olay için aynı yanıt verilemez.

Hukuken gerekli imha işleminin niteliği, yedekleme altyapısı, sözleşmesel yükümlülükler ve uygulanabilir teknik ve idari tedbirler birlikte değerlendirilmelidir.

Özellikle KVKK kapsamında silme ile yok etme farklı işlemlerdir.

Bu nedenle ilgili mevzuata uygun biçimde veri işleme ve erişim sınırlandırmaları sağlanmadan yalnızca teknik zorluk gerekçesine dayanılması yeterli kabul edilmemelidir.

13. SaaS Sağlayıcısı Bazı Verileri Kanunen Saklamak Zorunda Olabilir mi?

Evet.

Sözleşme sona erse bile belirli belgelerin veya kayıtların saklanmasına ilişkin yasal yükümlülükler devam edebilir.

Örneğin ticari defterler, faturalar ve belirli muhasebe belgeleri bakımından Türk Ticaret Kanunu ve Vergi Usul Kanunu hükümleri önem taşıyabilir.

TTK m.82 neden önemlidir?

6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi, ilgili ticari defter ve belgelerin saklanmasına ilişkin hükümler içermektedir.

Kanunda belirtilen belgeler bakımından on yıllık saklama süresi önemlidir.

Vergi Usul Kanunu kapsamında saklama süreleri ne olacak?

213 sayılı Vergi Usul Kanunu'nun 253. maddesi kapsamındaki defter ve belgeler bakımından beş yıllık muhafaza süresi düzenlenmektedir.

Ancak bu sürelerin bütün müşteri verilerine aynı şekilde uygulanması doğru değildir.

Örneğin SaaS sağlayıcısının kendi fatura kayıtlarını saklamak zorunda olması, müşterinin CRM sistemindeki bütün iletişim kayıtlarını aynı süreyle tutabileceği anlamına gelmez.

Hukuki uyuşmazlık varsa bazı veriler saklanabilir mi?

Belirli kayıtların bir hakkın tesisi, kullanılması veya korunması için hukuken gerekli olması gündeme gelebilir.

Ancak bu amaçla saklanabilecek kayıtların kapsamı ve süresi somut koşullara göre belirlenmelidir.

Sırf ileride bir uyuşmazlık çıkabileceği ihtimaliyle bütün müşteri verilerinin sınırsız süre saklanabileceği varsayılamaz.

14. GDPR Kapsamında SaaS Sözleşmesi Sona Erince Ne Olur?

Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), uygulanabilir olduğu veri sorumlusu–veri işleyen ilişkilerinde özel düzenlemeler içermektedir.

Özellikle GDPR m.28/3(g), sözleşme sona erdiğinde kişisel verilerin akıbeti bakımından önemlidir.

GDPR m.28/3(g) neyi düzenler?

Bu hüküm, veri işleyenin ilgili veri işleme hizmetinin sona ermesinden sonra veri sorumlusunun tercihine göre kişisel verileri silmesi veya veri sorumlusuna iade etmesini ve mevcut kopyaları da silmesini öngörmektedir.

Ancak Avrupa Birliği veya üye devlet hukukunun saklamayı zorunlu kıldığı durumlar bakımından istisna bulunmaktadır.

SaaS şirketi verileri müşteriye iade ettiğinde bütün sorumluluğu sona erer mi?

Hayır, kendiliğinden sona ermez.

Özellikle veri iadesi sonrası mevcut kopyaların durumu, veri güvenliği, kanuni saklama yükümlülükleri ve sözleşmenin sona ermesine rağmen devam eden hükümler önemlidir.

GDPR kapsamında DPA'da hangi husus bulunmalı?

GDPR m.28'in uygulandığı ilişkilerde veri işleme sözleşmesinde, hizmetin sona ermesi halinde veri sorumlusunun tercihine göre iade veya silme ve mevcut kopyalara ilişkin yükümlülükler düzenlenmelidir.

Ancak GDPR'ın uygulanmadığı bütün Türk SaaS ilişkilerinde aynı maddenin doğrudan uygulanacağı söylenemez.

Resmî kaynak: AB Genel Veri Koruma Tüzüğü – GDPR m.28

15. GDPR'daki Veri Taşınabilirliği Hakkı SaaS Müşterileri İçin Geçerli mi?

GDPR m.20, belirli koşullarda ilgili kişiye kişisel verilerinin taşınabilirliği hakkını tanımaktadır.

Ancak bu hüküm, ticari müşterinin SaaS platformunda tuttuğu bütün veri tabanını her durumda ücretsiz alabileceğini düzenleyen genel bir B2B sözleşme hükmü değildir.

GDPR m.20 neyi kapsar?

İlgili kişi, kanunda belirlenen koşullarda kendisine ilişkin ve veri sorumlusuna sağladığı kişisel verileri yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir formatta alabilir.

Bu hakkın uygulanabilmesi için ilgili işlemenin belirli hukuki sebeplere dayanması ve otomatik yollarla gerçekleştirilmesi gibi şartlar bulunmaktadır.

CRM şirketinin müşteri listesiyle aynı hak mı?

Hayır.

Bir işletmenin SaaS sağlayıcısından bütün ticari müşteri kayıtlarını dışa aktarması talebi, GDPR m.20 kapsamında bireysel ilgili kişinin veri taşınabilirliği hakkıyla aynı hukuki ilişki değildir.

Bu nedenle B2B veri iadesi, sözleşmesel haklar ve uygulanabilir diğer düzenlemeler çerçevesinde ayrıca değerlendirilmelidir.

16. AB Veri Yasası (Data Act) SaaS Sağlayıcı Değişikliğini Nasıl Etkiliyor?

2026 itibarıyla uluslararası SaaS hizmetleri bakımından önemli bir başka düzenleme de Avrupa Birliği'nin Data Act olarak adlandırılan 2023/2854 sayılı Tüzüğü'dür.

Bu düzenleme 12 Eylül 2025 tarihinden itibaren uygulanmaya başlamıştır.

Data Act, kapsamına giren veri işleme hizmetlerinde sağlayıcı değişikliği ve veri taşınabilirliği bakımından özel hükümler içermektedir.

Ancak bütün Türk SaaS şirketlerinin yalnızca Türkiye'de faaliyet göstermeleri nedeniyle doğrudan bu yükümlülüklere tabi olduğu söylenemez.

Data Act SaaS hizmetlerini kapsayabilir mi?

Evet. Tüzükteki veri işleme hizmetleri tanımının şartlarını karşılayan SaaS ve bulut hizmetleri bakımından sağlayıcı değişikliğine ilişkin hükümler gündeme gelebilir.

Ancak hizmetin teknik niteliği, faaliyetin coğrafi kapsamı ve Tüzük'teki özel istisnalar değerlendirilmelidir.

Data Act sağlayıcı değişikliğinde hangi düzenlemeleri içeriyor?

Özellikle m.23–30 kapsamında:

• Sağlayıcı değişikliğinin kolaylaştırılması,

• Sözleşmede geçiş koşullarının belirlenmesi,

• Dışa aktarılabilir veri kategorilerinin açıklanması,

• Belirli geçiş ve geri alma süreleri,

• Teknik işbirliği ve birlikte çalışabilirlik,

• Sağlayıcı değişikliğine ilişkin ücretler

önem taşımaktadır.

Tüzük m.25'te kapsam dahilindeki hizmetler için geçiş dönemine ilişkin 30 günlük temel düzenleme ve en az 30 günlük veri geri alma süresine ilişkin hükümler bulunmaktadır. Bu sürelerin uygulanmasında Tüzük'teki teknik imkânsızlık, uzatma ve diğer özel düzenlemeler dikkate alınmalıdır.

2026 yılında sağlayıcı değişikliği ücretli olabilir mi?

Kapsama giren hizmetler bakımından Data Act m.29, geçiş ücretlerinin aşamalı kaldırılmasını düzenlemektedir.

12 Ocak 2027 tarihinden itibaren sağlayıcı değiştirme ücretlerinin alınmamasına ilişkin düzenleme öngörülmüştür.

Buna karşılık 2026 yılındaki geçiş döneminde Tüzük'teki sınırlar dahilinde azaltılmış geçiş ücretleri gündeme gelebilir.

Ancak standart hizmet ücretleri, kanuni kapsam dışında kalan farklı talepler ve özel hizmetlerin ücretlendirilmesi aynı şekilde değerlendirilmemelidir.

Data Act bütün Türk SaaS sözleşmeleri için 30 günlük geçiş süresi mi getiriyor?

Hayır.

Öncelikle Tüzük'ün somut sağlayıcıya ve hizmete uygulanabilir olup olmadığı belirlenmelidir.

Bu nedenle Data Act hükümleri, Türk hukukundaki bütün SaaS sözleşmeleri için otomatik ve genel bir geçiş süresi olarak sunulmamalıdır.

Resmî kaynak: Avrupa Birliği – Data Act, 2023/2854 Sayılı Tüzük

17. SaaS Sağlayıcısı Müşterinin Ödeme Yapmaması Nedeniyle Verileri Vermeyebilir mi?

Bir SaaS müşterisinin abonelik borcunu ödememesi halinde sağlayıcının hizmeti askıya alması veya sözleşmeyi sona erdirmesi gündeme gelebilir.

Ancak hizmet erişiminin askıya alınmasıyla müşterinin kayıtlarının süresiz biçimde alıkonulması farklı hukuki konulardır.

Örneğin SaaS sağlayıcısı, üç aydır abonelik bedelini ödemeyen müşterinin yeni kayıt oluşturmasını durdurabilir.

Ancak aynı şirketin müşteri verilerini teslim etmeyerek bunları sınırsız süre kendi kontrolünde tutması, ayrıca hukuki değerlendirme gerektirir.

Sözleşmede ödeme yapılmazsa veri iadesi yapılmayacağı yazılabilir mi?

Taraflar sözleşmesel ödeme ve erişim şartları düzenleyebilir.

Ancak bu hükümlerin geçerliliği ve uygulanması, Türk Borçlar Kanunu'nun emredici hükümleri, sözleşmenin niteliği ve kişisel veri koruma yükümlülükleri çerçevesinde değerlendirilmelidir.

Özellikle kanundan doğan veri güvenliği veya silme yükümlülükleri, yalnızca ödeme uyuşmazlığı bulunduğu gerekçesiyle ortadan kalkmaz.

Sağlayıcı veriler üzerinde hapis hakkı ileri sürebilir mi?

Dijital verilerin erişimini teknik olarak kontrol etmek ile Türk Medeni Kanunu'ndaki hapis hakkının hukuki koşullarının gerçekleşmesi aynı değildir.

Bu nedenle veri tabanının sağlayıcının sunucusunda bulunması, bütün müşteri kayıtları üzerinde otomatik ve sınırsız bir hapis hakkı doğurduğu anlamına gelmez.

Ödeme alacağı nasıl korunabilir?

Sözleşmesel alacakların tahsili, temerrüt hükümleri ve ilgili diğer hukuki yollar ayrı değerlendirilmelidir.

Veri iadesinin nasıl ve hangi ücretlendirmeyle yapılacağı ise kişisel veri koruma yükümlülükleriyle uyumlu biçimde düzenlenmelidir.

18. SaaS Müşteri Verilerini İade Etmek İçin Ek Ücret Talep Edebilir mi?

Bu sorunun yanıtı, hizmetin kapsamına ve uygulanabilir mevzuata bağlıdır.

Örneğin müşteri standart bir CSV dışa aktarımı talep ediyor olabilir.

Başka bir müşteri ise verilerinin yeni bir ERP sistemine özel olarak dönüştürülmesini, entegrasyon geliştirilmesini ve geçiş sırasında teknik danışmanlık verilmesini isteyebilir.

Bu işlemler aynı hizmet değildir.

Standart dışa aktarım ayrıca ücretlendirilebilir mi?

Sözleşme ve uygulanabilir emredici hükümler çerçevesinde değerlendirilmelidir.

Her SaaS hizmetinde standart veri iadesinin mutlaka ücretsiz veya mutlaka ücretli olması gerektiği şeklinde genel bir kural bulunmamaktadır.

Özel veri dönüşümü ücretli olabilir mi?

Somut sözleşmeye ve uygulanabilir mevzuata göre özel veri dönüştürme ve entegrasyon hizmetleri için ayrıca ücret kararlaştırılması mümkün olabilir.

Ancak veri taşınabilirliği veya sağlayıcı değiştirme konusunda özel kanuni yükümlülüklerin bulunduğu durumlarda bunların sınırları dikkate alınmalıdır.

Müşteri beklenmedik ücretlerle karşılaşmamak için ne yapmalı?

Sözleşme kurulurken:

• Standart veri iadesinin kapsamı,

• Desteklenen dosya formatları,

• Veri büyüklüğüne ilişkin teknik sınırlar,

• Özel geçiş desteğinin bedeli,

• Veri aktarımı için uygulanacak hizmet ücretleri,

• Olası üçüncü taraf maliyetleri

belirlenebilir.

19. SaaS Sözleşmesi Sona Erince Müşteri Verilerinin Güvenliği Nasıl Sağlanır?

Hizmet sona erdiğinde veri iade süreci de kişisel veri güvenliği bakımından risk oluşturabilir.

Örneğin müşteri kayıtlarının herkese açık bir bağlantı üzerinden paylaşılması veya şifresiz dosyaların yanlış kişiye gönderilmesi hukuki sorun yaratabilir.

Data Migration sırasında hangi tedbirler değerlendirilebilir?

Örneğin:

• Aktarım yapacak kişinin yetkisinin doğrulanması,

• Güvenli dosya aktarımı,

• Uygun şifreleme yöntemleri,

• Aktarım bağlantılarının süreli olması,

• Dosya bütünlüğünün kontrol edilmesi,

• Erişim ve işlem kayıtlarının tutulması,

• Veri aktarımının tamamlandığının teyidi,

• Eski erişimlerin kapatılması

gibi tedbirler değerlendirilebilir.

Bu tedbirlerin niteliği, aktarılan verilerin hassasiyetine ve ilgili güvenlik ihtiyaçlarına göre belirlenmelidir.

Müşteri verileri yanlış kişiye teslim edilirse ne olur?

Somut olayın niteliğine göre kişisel veri ihlali ve diğer hukuki sorumluluklar gündeme gelebilir.

KVKK m.12/5 ve Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli 2019/10 sayılı kararı kapsamında ilgili bildirim yükümlülükleri ayrıca değerlendirilmelidir.

Ancak her teknik aktarım hatasının aynı hukuki sonuçları doğurduğu söylenemez.

20. Yeni SaaS Sağlayıcısına Veri Aktarımı Yurt Dışına Aktarım Sayılır mı?

Müşteri verilerinin yeni sağlayıcıya geçirilmesi sırasında kişisel verilerin yurt dışına aktarılması söz konusu olabilir.

Örneğin eski SaaS hizmeti Türkiye'deki altyapıda çalışırken yeni sağlayıcı başka ülkedeki bulut hizmetini kullanıyor olabilir.

Bu durumda KVKK m.9 kapsamındaki yurt dışına veri aktarım şartları değerlendirilmelidir.

Yeni sağlayıcı ABD'deyse bütün aktarım için açık rıza mı gerekir?

Her durumda değil.

KVKK m.9, kişisel verilerin yurt dışına aktarılmasına ilişkin yeterlilik kararı, uygun güvenceler ve kanuni şartlarla belirli istisnai aktarım halleri içeren bir yapı öngörmektedir.

Bu nedenle tek ve genel çözümün her zaman açık rıza olduğu söylenemez.

Verilerin Türkiye'de barındırılması tek başına yeterli mi?

Yalnızca verilerin saklandığı sunucunun Türkiye'de bulunmasıyla bütün veri akışları hakkında kesin bir sonuca varılamaz.

Örneğin yabancı sağlayıcının teknik destek personelinin verilere uzaktan erişmesi söz konusu olabilir.

Bu nedenle aktarımın teknik ve hukuki niteliği incelenmelidir.

Eski sağlayıcıdan yeni sağlayıcıya doğrudan veri aktarılabilir mi?

Tarafların yetkileri, veri işleme ve aktarım şartları ve ilgili güvenlik tedbirleri kapsamında değerlendirilebilir.

Verinin müşterinin cihazına indirilmeden başka sisteme gönderilmesi, ilgili kanuni veri aktarım yükümlülüklerinin otomatik olarak ortadan kalktığı anlamına gelmez.

Resmî kaynak: KVKK – Yurt Dışına Kişisel Veri Aktarımı

21. Alt Veri İşleyenler ve Bulut Sağlayıcılarının Elindeki Verilere Ne Olur?

Bir SaaS şirketi müşterilerine hizmet sunarken başka teknik hizmet sağlayıcılarından yararlanabilir.

Örneğin:

• AWS,

• Google Cloud,

• Microsoft Azure,

• Veri tabanı hizmet sağlayıcıları,

• E-posta ve bildirim servisleri,

• Analitik altyapıları,

• Yapay zekâ API hizmetleri

kullanılabilir.

Ancak SaaS şirketi ile müşterisi arasındaki sözleşmenin sona ermesi, alt hizmet sağlayıcılarının bütün sistemlerindeki ilgili kayıtların kendiliğinden silindiği anlamına gelmez.

Alt veri işleyenlere ilişkin silme yükümlülüğü nasıl düzenlenebilir?

DPA ve ilgili alt hizmet sözleşmelerinde:

• Verilerin hangi alt sağlayıcılarca işlendiği,

• Hangi veri kategorilerinin aktarıldığı,

• İşleme süresinin ne olduğu,

• Sözleşme sona erdiğinde gerekli silme veya iade işlemleri,

• Yedekler ve saklama istisnaları,

• İşlemlerin nasıl belgelendirileceği

düzenlenebilir.

GDPR'ın uygulandığı durumlarda m.28/4 kapsamındaki alt veri işleyen yükümlülükleri de dikkate alınmalıdır.

SaaS şirketi “Verileri sildim” diyerek sorumluluktan kurtulur mu?

Her durumda değil.

İlgili sözleşmenin ve mevzuatın gerektirdiği güvenlik, silme, iade ve diğer işlemlerin gerçekten yerine getirilmiş olması önemlidir.

Ayrıca bu işlemlerle ilgili uygun delil ve kayıtların saklanması gerekebilir.

22. Veri Silme Sertifikası (Deletion Certificate) Nedir?

Bazı SaaS sözleşmelerinde, müşteri verilerinin kararlaştırılan yöntemle silindiğini veya yok edildiğini belgelemek için yazılı teyit düzenlenmesi öngörülebilir.

Bu belge uygulamada Deletion Certificate veya Certificate of Destruction olarak adlandırılabilir.

Ancak yalnızca belgenin bu başlığı taşıması, ilgili kişisel verilerin mevzuata uygun biçimde imha edildiğini kendiliğinden kanıtlamaz.

Deletion Certificate hangi bilgileri içerebilir?

Örneğin:

• Hangi müşteri veya veri seti hakkında düzenlendiği,

• Hangi veri kategorilerini kapsadığı,

• Uygulanan silme veya yok etme yöntemi,

• İşlemin tamamlanma tarihi,

• Aktif sistemlerin ve yedeklerin kapsamı,

• Varsa hukuken saklanmaya devam edilen kayıtlar,

• İşlemi gerçekleştiren yetkili birim

belirtilebilir.

KVKK kapsamında imha kayıtları ne kadar saklanır?

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in 7/3. maddesi uyarınca ilgili imha işlemlerine ilişkin kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

Bu nedenle veri imha sürecinin belgelendirilmesi yalnızca müşteri talebine bağlı ticari bir tercih olmayabilir.

23. SaaS Sağlayıcısı Faaliyetini Durdurursa Müşteri Verileri Ne Olur?

Bir SaaS şirketi yalnızca müşterinin talebiyle değil, kendi ticari faaliyetlerinin sona ermesi nedeniyle de hizmeti durdurabilir.

Örneğin:

• Şirket yazılım ürününü kapatabilir.

• Başka bir şirket tarafından devralınabilir.

• İş modeli değişebilir.

• Finansman yetersizliği nedeniyle faaliyetlerini durdurabilir.

• Teknik altyapısını işletmeye devam edemeyebilir.

Bu durumda müşterilerin verilerine erişim ve hizmet sürekliliği bakımından sorunlar ortaya çıkabilir.

SaaS şirketi kapandığında müşteri verilerini hemen kaybeder mi?

Her durumda değil.

Ancak müşteri verilerinin hangi altyapıda bulunduğu, hangi erişim yetkilerinin mevcut olduğu ve sağlayıcının sözleşmesel yükümlülükleri önemlidir.

Source Code Escrow veri iadesi sorununu çözer mi?

Tek başına hayır.

Source Code Escrow, belirli koşullarda kaynak kodun bağımsız bir saklayıcı tarafından korunmasını ve serbest bırakılmasını amaçlayan sistemdir.

Ancak yazılımın kaynak kodlarına erişim sağlanması, güncel müşteri verilerinin de elde edildiği veya yeni sistemde çalışır hale getirildiği anlamına gelmez.

Örneğin yazılımın kaynak kodu mevcut olabilir, ancak üretim veritabanının yedeği bulunmayabilir.

Dolayısıyla iş sürekliliği açısından kaynak kod, veri yedekleri ve ilgili teknik erişimler ayrı değerlendirilmelidir.

Konunun ayrıntılarını Source Code Escrow Nedir? Kaynak Kod Emanet Sözleşmesi ve Hukuki Şartları başlıklı rehberimde inceledim.

24. SaaS Sözleşmesinde Veri İadesi ile Fikri Mülkiyet Hakları Nasıl Ayrılmalıdır?

SaaS sözleşmesi sona erdiğinde müşterinin sistemde oluşturduğu verileri alması ile yazılımın kaynak kodunu edinmesi aynı şey değildir.

Örneğin bir CRM müşterisi:

• Müşteri kayıtlarını,

• Satış fırsatlarını,

• İlgili raporları,

• Kendi yüklediği belgeleri

geri almak isteyebilir.

Ancak CRM platformunun genel yazılım mimarisi, özgün kaynak kodu ve başka müşterilere de sunulan özellikleri sağlayıcının ayrı fikri haklarına konu olabilir.

Müşteri verilerini aktarırken yazılımın veritabanı şeması da verilmeli mi?

Bu sorunun yanıtı ilgili sözleşme ve uygulanabilir mevzuata bağlıdır.

Müşteri verilerinin anlaşılabilir biçimde dışa aktarılması için belirli veri alanları ve açıklamaların sağlanması gerekebilir.

Ancak bunun yazılımın bütün kaynak kodunun veya ticari sırlarının devri anlamına geldiği söylenemez.

Vendor Lock-In nedir?

Vendor Lock-In, bir müşterinin teknik, sözleşmesel veya ekonomik sebeplerle belirli hizmet sağlayıcısından ayrılmasının zorlaşmasını ifade eder.

Örneğin müşteri verilerini yalnızca sağlayıcının kendi yazılımında kullanılabilen özel formatta alabiliyorsa başka sisteme geçiş maliyeti artabilir.

Bu nedenle SaaS sözleşmesinde veri dışa aktarımının kapsamı ve yönteminin önceden belirlenmesi önemlidir.

25. SaaS Hizmet Sözleşmesi, DPA ve SLA Birbirleriyle Nasıl Uyumlu Olmalıdır?

Bir B2B SaaS ilişkisinde birden fazla sözleşme veya sözleşme eki bulunabilir.

Örneğin:

• Master Services Agreement (MSA),

• Terms of Service (ToS),

• Service Level Agreement (SLA),

• Data Processing Agreement (DPA),

• Data Return veya Exit Plan eki.

Ancak bu belgelerin hepsi aynı konuyu düzenlemez.

MSA ve ToS neyi düzenler?

Genellikle ticari hizmet ilişkisinin kapsamı, ücretler, kullanım koşulları, fesih ve diğer temel hükümler yer alabilir.

SLA neyi düzenler?

Hizmetin erişilebilirliği, performans ölçütleri, destek süreleri ve hizmet seviyesiyle ilgili hükümler içerebilir.

DPA neyi düzenler?

Kişisel veri işleme ilişkileri, veri güvenliği, alt veri işleyenler ve sözleşme sona erdiğinde kişisel verilerin akıbeti gibi konulara odaklanır.

Exit Plan neden ayrıca düzenlenebilir?

Veri dışa aktarımının teknik yöntemlerini, geçiş takvimini ve teslimin doğrulanmasını ayrıntılı biçimde açıklayabilir.

Belgeler çelişirse hangisi uygulanır?

Bu sorunun yanıtı sözleşmelerdeki öncelik hükümlerine ve emredici hukuk kurallarına bağlıdır.

Örneğin ana hizmet sözleşmesinde bütün verilerin 15 gün sonra silineceği belirtilirken DPA'da farklı bir usul bulunabilir.

Bu nedenle belgeler arasındaki öncelik ilişkisinin açık olması önemlidir.

SaaS sözleşme yapısına ilişkin diğer konuları SaaS Şirketleri İçin Kullanıcı Sözleşmeleri (ToS) ve Hizmet Seviyesi (SLA) Anlaşmaları başlıklı makalemde ayrıca ele aldım.

26. Örnek Olay: CRM Şirketi Aboneliği İptal Ediyor, Sağlayıcı Verileri Teslim Etmiyor

Türkiye'de faaliyet gösteren Nova Ticaret Ltd. Şti. isimli şirketin üç yıldır Atlas CRM adlı bir SaaS platformunu kullandığını düşünelim.

Nova Ticaret, platformda:

• 25.000 müşteri kaydı,

• 8.000 satış fırsatı,

• Müşteri iletişim geçmişi,

• Satış raporları,

• PDF teklif ve sözleşmeler,

• Çalışanların iş süreçlerine ilişkin kayıtları

tutmaktadır.

Atlas CRM ile yapılan abonelik sözleşmesi sona ermektedir.

Nova Ticaret farklı bir CRM sağlayıcısına geçmek istediği için aboneliği yenilemeyeceğini bildirir.

Ancak Atlas CRM, hesap erişiminin sözleşme bitiş tarihinde kapatılacağını, verilerin dışa aktarılması için ayrıca ücret ödenmesi gerektiğini ve 30 gün sonra sistemdeki bütün kayıtların silineceğini bildirir.

Bu olayda hangi hukuki sorunlar değerlendirilmelidir?

Birinci sorun: Abonelik hangi tarihte sona eriyor?

Sözleşmedeki sona erme ve yenilememe koşulları belirlenmelidir.

İkinci sorun: Nova Ticaret hangi veri kategorilerini geri almak istiyor?

Müşteri kayıtları, belgeler, satış fırsatları ve diğer verilerin kapsamı belirlenmelidir.

Üçüncü sorun: Veri iadesi sözleşmede nasıl düzenlenmiş?

Data Export, teknik destek, süre ve ücret hükümleri incelenmelidir.

Dördüncü sorun: Sözleşmede makine tarafından okunabilir format öngörülmüş mü?

Verinin teslim edilmesiyle başka sistemde kullanılabilmesi birbirinden ayrılmalıdır.

Beşinci sorun: Kişisel veri işleme rolleri nelerdir?

Nova Ticaret ve Atlas CRM'in hangi faaliyetlerde veri sorumlusu veya veri işleyen olduğu belirlenmelidir.

Altıncı sorun: Hesap kapatılması hukuken nasıl değerlendirilecek?

Sözleşme sona erdiğinde hizmete erişimin sonlandırılmasıyla verilerin iadesi yükümlülükleri ayrı incelenmelidir.

Yedinci sorun: Ek ücret talebi hangi hizmete ilişkin?

Standart dışa aktarım, özel veri dönüşümü ve başka entegrasyon hizmetlerinin bedelleri birbirinden ayrılmalıdır.

Sekizinci sorun: KVKK kapsamında imha yükümlülüğü ne zaman doğuyor?

İlgili kişisel veri kategorilerinin işleme şartları ve saklama yükümlülükleri değerlendirilmelidir.

Dokuzuncu sorun: Atlas CRM'in yedeklerinde hangi veriler bulunuyor?

Yedekleme süreçleri, erişim sınırlamaları ve silme veya yok etme yöntemleri incelenmelidir.

Onuncu sorun: Yeni sağlayıcı yurt dışında mı?

Veri aktarımının KVKK m.9 kapsamında ayrıca değerlendirilmesi gerekebilir.

On birinci sorun: Sözleşmenin hangi hukuki rejime tabi olduğu belirlenir.

Türk hukuku uygulanırken uluslararası faaliyet veya AB düzenlemelerinin somut hizmete etkisi ayrıca incelenebilir.

On ikinci sorun: Veri iadesi tamamlandığında hangi belgeler düzenlenebilir?

Aktarım tutanağı, veri kapsamı listesi, doğrulama kayıtları ve uygun imha teyitleri değerlendirilebilir.

Bu örnekte uyuşmazlığın çözümü yalnızca Atlas CRM'in verileri teslim edip etmeyeceği sorusundan ibaret değildir. Verilerin kapsamı, sözleşmedeki geçiş hükümleri, kişisel veri koruma yükümlülükleri, ücretlendirme ve sistemler arasındaki teknik geçiş birlikte değerlendirilmelidir.

27. SaaS Sözleşmesinde Data Return ve Exit Plan Maddeleri Nasıl Düzenlenmelidir?

SaaS sözleşmelerinde veri iadesi ve hizmet sona erme hükümleri hazırlanırken aşağıdaki unsurlar değerlendirilebilir.

1. Customer Data tanımı

Hangi kayıtların müşteri verisi kapsamında bulunduğu belirlenmelidir.

2. Hizmetin sona ermesi

Sözleşmenin hangi nedenlerle sona erebileceği ve fesih tarihinin nasıl belirleneceği düzenlenmelidir.

3. Veri iade hakkı

Müşterinin hangi veri kategorilerini dışa aktarabileceği veya iade alabileceği belirlenmelidir.

4. Veri formatı

Veri dışa aktarımında kullanılacak uygun formatlar açıklanmalıdır.

5. Geçiş dönemi

Verilerin dışa aktarılması ve geçiş için hangi sürelerin uygulanacağı kararlaştırılmalıdır.

6. Teknik destek

Standart dışa aktarım ile özel veri dönüştürme ve entegrasyon hizmetlerinin kapsamı ayrılabilir.

7. Ücretler

Veri iadesi ve varsa ek geçiş hizmetlerinin ücretlendirilmesi belirlenmelidir.

8. Veri güvenliği

Veri aktarımı sırasında uygulanacak erişim doğrulama, güvenlik ve kayıt tutma tedbirleri düzenlenebilir.

9. KVKK ve GDPR yükümlülükleri

Tarafların veri işleme sıfatları, talimatları ve uygulanabilir emredici düzenlemeler dikkate alınmalıdır.

10. Aktif sistemlerdeki veri imhası

İlgili veri kategorilerinin ne zaman ve hangi yöntemle silineceği, yok edileceği veya anonim hale getirileceği belirlenmelidir.

11. Yedekler

Yedekleme sistemlerindeki veri kopyalarının saklama, erişim ve imha takvimi açıklanmalıdır.

12. Alt veri işleyenler

İlgili alt sağlayıcılar bakımından uygulanacak silme veya iade yükümlülükleri düzenlenmelidir.

13. Kanuni saklama istisnaları

Hukuken saklanması gereken kayıtların kategorileri ve saklama dayanakları belirlenmelidir.

14. Silme veya imha teyidi

İşlemlerin tamamlandığına ilişkin uygun belgelendirme mekanizması oluşturulabilir.

15. Sorumluluk ve uyuşmazlık çözümü

Veri kaybı, gecikme, sözleşmeye aykırılık ve diğer talepler bakımından uygulanabilir hükümler değerlendirilmelidir.

Örnek veri iade ve silme hükmü

SaaS sözleşmelerinde kullanılabilecek hükümlerin nasıl yapılandırılabileceğini göstermek amacıyla aşağıdaki örnek incelenebilir:

“İşbu sözleşmenin herhangi bir nedenle sona ermesi halinde, Hizmet Sağlayıcı, sözleşmede belirlenen kapsam ve yöntem çerçevesinde Müşteri Verilerinin Müşteri tarafından dışa aktarılabilmesini veya kararlaştırılan usulle Müşteriye iadesini sağlar.

Veri iadesinin kapsamı, formatı, süresi, güvenlik yöntemi ve varsa özel teknik destek hizmetleri sözleşme ekinde belirlenir.

Kişisel verilerin işlenmesine ilişkin sözleşmesel faaliyetlerin sona ermesi halinde, tarafların veri sorumlusu ve veri işleyen sıfatları ile uygulanabilir mevzuat hükümleri dikkate alınarak gerekli silme, yok etme veya anonim hale getirme işlemleri gerçekleştirilir.

Kanunen saklanması gereken kayıtların işlenmesi, ilgili hukuki sebep ve amaçla sınırlı tutulur. Yedekleme ortamları ve alt hizmet sağlayıcılar nezdindeki verilere ilişkin işlemler, kararlaştırılan teknik ve idari tedbirlere uygun olarak yürütülür.”

Bu hüküm yalnızca örnek bir düzenleme yaklaşımıdır.

Tek başına bütün SaaS iş modellerinde yeterli olduğu söylenemez.

Özellikle GDPR veya AB Data Act gibi düzenlemelerin uygulandığı durumlarda ilgili zorunlu sözleşme hükümleri ayrıca dikkate alınmalıdır.

28. SaaS Sözleşmesi Sona Ermeden Önce Yapılması Gereken Hukuki Kontroller

Bir şirket SaaS sağlayıcısını değiştirmeye karar verdiğinde, geçişin son güne bırakılması veri kaybı ve iş sürekliliği risklerini artırabilir.

Bu nedenle sözleşme sona ermeden önce belirli kontroller yapılabilir.

Müşteri açısından

• Aboneliğin sona erme ve bildirim süreleri belirlenmiş mi?

• Hangi veri kategorileri sistemde bulunuyor?

• Verilerin dışa aktarılabileceği formatlar belli mi?

• İlgili kullanıcıların gerekli erişimi mevcut mu?

• Verilerin doğruluğu ve bütünlüğü kontrol edilebiliyor mu?

• Yeni sağlayıcıya geçiş için gerekli süre planlanmış mı?

• Kişisel verilerin yeni sağlayıcıya aktarımı değerlendirilmiş mi?

• Kanuni saklama ve imha yükümlülükleri belirlenmiş mi?

SaaS sağlayıcısı açısından

• Sözleşmede Data Return mekanizması açık mı?

• Veri iadesi için yetkili kişi belirlenmiş mi?

• Müşteri verileri ile sağlayıcının kendi sistem kayıtları ayrıştırılabiliyor mu?

• Standart dışa aktarım yöntemi tanımlı mı?

• Yedeklerdeki verilerin durumu biliniyor mu?

• Alt veri işleyenler ve bulut hizmetleri tespit edilmiş mi?

• Silme ve yok etme prosedürleri uygulanabilir mi?

• İlgili işlemler kayıt altına alınabiliyor mu?

• KVKK ve varsa GDPR yükümlülükleriyle sözleşme uyumlu mu?

Bu kontrollerin amacı yalnızca şirketin sözleşmeyi sona erdirmesini sağlamak değil; müşteri verilerinin hukuki ve teknik olarak uygun şekilde yönetilmesidir.

29. SaaS Veri İadesi ve Sözleşme Sona Ermesi Hakkında Sık Sorulan Sorular

SaaS sözleşmesi sona erdiğinde müşteri verileri kime ait olur?

Sözleşmenin sona ermesi, kişisel veriler veya müşteri tarafından oluşturulan içerikler üzerindeki hakların kendiliğinden SaaS sağlayıcısına geçtiği anlamına gelmez. İlgili verilerin hukuki niteliği ve sözleşmedeki kullanım hakları değerlendirilmelidir.

SaaS şirketi abonelik bitince bütün verileri silebilir mi?

Her durumda değil. Sözleşmesel veri iadesi yükümlülükleri, kişisel veri işleme şartları, kanuni saklama hükümleri ve uygulanabilir diğer kurallar değerlendirilmelidir.

Müşteri bütün verilerini geri isteyebilir mi?

Müşterinin hangi veri kategorilerini ve hangi kapsamda talep edebileceği, sözleşmeye ve uygulanabilir hukuka bağlıdır. Kişisel veriler, müşteri içerikleri ve sağlayıcının kendi teknolojisi ayrıştırılmalıdır.

SaaS veri iadesi zorunlu mu?

Bütün SaaS hizmetlerinde aynı kapsamda veri iade zorunluluğu bulunduğu söylenemez. Ancak sözleşmesel yükümlülükler, KVKK ve uygulanabilir uluslararası düzenlemeler bakımından farklı sonuçlar doğabilir.

SaaS verilerinin dışa aktarılması için kaç gün süre verilir?

Türk hukukunda bütün SaaS hizmetleri için genel ve sabit bir 30 günlük süre bulunmamaktadır. Sözleşme, işin niteliği ve varsa uygulanabilir özel düzenlemeler önemlidir.

Data Export nedir?

SaaS platformunda bulunan belirli veri ve içeriklerin başka sistemlerde kullanılmak veya saklanmak amacıyla dışa aktarılmasıdır.

CSV dosyası verilmesi yeterli mi?

Her durumda değil. Aktarımın kapsamı, veri ilişkileri, ekli belgeler ve sistemin özellikleri önemlidir.

Data Portability nedir?

Verilerin belirli şartlarla başka sağlayıcılara veya sistemlere taşınabilmesini ifade eden teknik ve hukuki kavramdır.

SaaS Exit Plan nedir?

SaaS hizmeti sona erdiğinde veri iadesi, sistem geçişi, erişimlerin sonlandırılması ve gerekli veri imha işlemlerinin nasıl yürütüleceğini belirleyen plandır.

KVKK'ya göre veriler hemen silinmek zorunda mı?

İşleme şartları ve uygulanabilir Yönetmelik hükümleri değerlendirilmelidir. Sözleşmenin sona ermesi her veri kategorisi için otomatik ve aynı anda silme yükümlülüğü doğurmayabilir.

Silme ile yok etme aynı mı?

Hayır. Yönetmelik m.8 ve m.9 farklı tanımlar içermektedir. Silmede ilgili kullanıcılar açısından erişilemezlik, yok etmede hiç kimse tarafından geri getirilemezlik esas alınır.

KVKK'da altı aylık imha süresi nedir?

Saklama ve imha politikası hazırlamış veri sorumlularının periyodik imha aralığı altı ayı aşamaz. Ancak bu süre bütün SaaS sözleşmeleri için sabit veri iade süresi değildir.

KVKK kapsamında ilgili kişinin silme talebi kaç günde cevaplanır?

Yönetmelik m.12 kapsamında ilgili kişinin talebinin en geç 30 gün içerisinde sonuçlandırılması gerekir.

SaaS sağlayıcısının yedeklerinde müşteri verileri kalabilir mi?

Teknik olarak bulunabilir. Ancak saklama, erişim kısıtlamaları ve gerekli silme veya yok etme işlemleri mevzuat ve sözleşme kapsamında değerlendirilmelidir.

Yedekler silinmediği sürece veri imhası yapılmamış mı sayılır?

Silme ve yok etme işlemleri farklıdır. Yedekleme sistemlerinin durumu, uygulanan yöntem ve Yönetmelik'teki hukuki şartlar birlikte değerlendirilmelidir.

Müşteri ödeme yapmazsa SaaS sağlayıcısı verileri tutabilir mi?

Ödeme borcu ve veri iadesi yükümlülükleri ayrı değerlendirilmelidir. Sağlayıcının veri üzerinde otomatik ve sınırsız alıkoyma hakkı bulunduğu söylenemez.

SaaS şirketi veri aktarımı için ek ücret isteyebilir mi?

Sözleşmenin kapsamına ve uygulanabilir özel düzenlemelere bağlıdır. Standart dışa aktarım ile özel entegrasyon ve geçiş hizmetleri farklı olabilir.

GDPR m.28 SaaS sözleşmelerinde neyi düzenler?

Uygulanabilir veri sorumlusu–veri işleyen ilişkilerinde veri işleme sözleşmesini ve hizmet sona erdiğinde kişisel verilerin iadesi veya silinmesine ilişkin yükümlülükleri düzenler.

GDPR m.20 bütün şirket verilerinin taşınmasını sağlar mı?

Hayır. GDPR m.20, kanunda belirlenen koşullarda ilgili gerçek kişiye tanınan veri taşınabilirliği hakkıdır.

Data Act nedir?

Avrupa Birliği'nin 2023/2854 sayılı Veri Yasasıdır. Kapsama giren veri işleme hizmetleri bakımından sağlayıcı değişikliği ve veri taşınabilirliği dahil çeşitli konuları düzenlemektedir.

Data Act Türk SaaS şirketlerine uygulanır mı?

Her Türk SaaS şirketine otomatik uygulanmaz. Somut hizmetin, ilgili tarafların ve faaliyetlerin Tüzük kapsamına girip girmediği değerlendirilmelidir.

AB Data Act kapsamında geçiş ücretleri ne zaman kaldırılıyor?

Tüzük m.29 kapsamında, 12 Ocak 2027'den itibaren kapsama giren sağlayıcı değiştirme ücretlerinin alınmaması düzenlenmiştir. Bu hüküm bütün ek hizmetlerin ücretsiz olacağı anlamına gelmez.

SaaS hizmeti kapanırsa müşteri kaynak kodu talep edebilir mi?

Yalnızca SaaS hizmetinin sona ermesi, kaynak kod üzerindeki bütün mali hakların müşteriye geçtiği anlamına gelmez. Sözleşme ve varsa Source Code Escrow hükümleri değerlendirilmelidir.

Deletion Certificate nedir?

Verilerin belirli yöntemle silinmesi veya yok edilmesi işlemlerini belgelemek amacıyla düzenlenebilen teyit belgesidir. Belgenin varlığı tek başına mevzuata uygunluğu kanıtlamaz.

Sonuç: SaaS Sözleşmesinin Sona Ermesi Yalnızca Aboneliğin Kapatılmasından İbaret Değildir

SaaS iş modelinde yazılım hizmeti ile müşteri verileri birbirini tamamlayan ancak hukuken farklı ilişkiler oluşturur.

Aboneliğin sona ermesi, müşterinin yazılımı kullanma hakkını etkileyebilir. Ancak aynı anda sistemdeki bütün ticari kayıtların, kişisel verilerin ve diğer içeriklerin hukuki durumunu kendiliğinden çözmez.

Özellikle veri iadesi, dışa aktarım, yedekleme, kişisel veri imhası ve başka sağlayıcıya geçiş işlemlerinin önceden düzenlenmesi önemlidir.

Türk hukukunda KVKK m.7 ve ilgili Yönetmelik kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin yükümlülükleri düzenler.

GDPR'ın uygulandığı veri işleme ilişkilerinde m.28/3(g) kapsamındaki iade ve silme hükümleri önemlidir. Avrupa Birliği Data Act ise kapsama giren veri işleme hizmetlerinde sağlayıcı değişikliğine ilişkin ek düzenlemeler getirmektedir.

Ancak bu farklı hukuki rejimlerin tamamının bütün SaaS şirketlerine otomatik olarak aynı şekilde uygulanacağı varsayılamaz.

SaaS sözleşmelerinde hukuki güvenlik, yalnızca müşterinin sisteme nasıl erişeceğinin değil; hizmet sona erdiğinde verilerini nasıl geri alacağının, hangi kayıtların ne şekilde saklanacağının ve veri imha sürecinin nasıl tamamlanacağının da önceden belirlenmesini gerektirir.

Bu nedenle SaaS hizmet sözleşmesi, veri işleme anlaşması ve Exit Plan birbiriyle uyumlu biçimde hazırlanmalıdır.

Hukuki Dayanaklar ve Resmî Kaynaklar

6698 sayılı Kişisel Verilerin Korunması Kanunu

• m.3 – Tanımlar; veri sorumlusu ve veri işleyen.

• m.4 – Kişisel verilerin işlenmesinde genel ilkeler.

• m.5–6 – Kişisel verilerin işlenme şartları.

• m.7 – Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

• m.8–9 – Kişisel verilerin aktarılması.

• m.10–11 – Aydınlatma yükümlülüğü ve ilgili kişinin hakları.

• m.12 – Veri güvenliğine ilişkin yükümlülükler.

• m.13 – Veri sorumlusuna başvuru.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

• m.5–6 – Saklama ve imha politikası.

• m.7 – İmha işlemlerinde ilkeler ve kayıt tutma.

• m.8–10 – Silme, yok etme ve anonim hale getirme.

• m.11 – Resen imha süreleri.

• m.12 – İlgili kişinin talebine ilişkin süreler.

Türk Borçlar Kanunu ve diğer mevzuat

• 6098 sayılı Türk Borçlar Kanunu; özellikle sözleşme özgürlüğü, sözleşmeye aykırılık ve temerrüt hükümleri.

• 6102 sayılı Türk Ticaret Kanunu, özellikle m.82.

• 213 sayılı Vergi Usul Kanunu, özellikle m.253.

• 5846 sayılı Fikir ve Sanat Eserleri Kanunu; yazılım ve fikri mülkiyet haklarına ilişkin hükümler.

• İşlemin niteliğine göre uygulanabilecek özel sektör ve bilgi güvenliği düzenlemeleri.

Avrupa Birliği düzenlemeleri

• GDPR, 2016/679 sayılı Tüzük; özellikle m.17, m.20, m.28 ve m.32.

• Data Act, 2023/2854 sayılı Tüzük; özellikle m.23–30.

Resmî kaynaklar

• KVKK – Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

• KVKK – Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi

• KVKK – Veri Güvenliğine İlişkin Yükümlülükler

• KVKK – Yurt Dışına Aktarım

• Avrupa Birliği – GDPR Resmî Metni

• Avrupa Birliği – Data Act Resmî Metni

Yazar

Av. Şenay Yağmur Efe

Bilişim hukuku, SaaS ve teknoloji sözleşmeleri, kişisel verilerin korunması, yazılım fikri mülkiyet hakları, startup hukuku ve teknoloji şirketlerinin ticari ilişkilerine ilişkin hukuki çalışmalar yürütmektedir.

Bu makale 5 Kasım 2026 itibarıyla genel hukuki bilgilendirme amacıyla hazırlanmıştır. SaaS sözleşmesinin sona ermesi, veri iadesi, kişisel veri işleme, silme ve saklama yükümlülüklerinin hukuki sonuçları; tarafların sıfatları, sözleşme koşulları ve somut olaya uygulanabilir mevzuat çerçevesinde ayrıca değerlendirilmelidir.