İçeriğe geç
7 gün ücretsiz deneyin

SaaS Nedir ve Bir Yazılımı Kiralamak Neyi Değiştirir?

Kategori
Teknoloji
Yayın tarihi
18 Şubat 2025
İlgili yazı 1
PaaS Nedir ve Bir CRM Alıcısını Neden İlgilendirir?
İlgili yazı 3
SaaS Sözleşmesinde "İstediğimiz Zaman Değiştirebiliriz" Maddesi Geçerli mi? Genel İşlem Koşulu ve TBK m.24

SaaS (Software as a Service), bir yazılımın sağlayıcının kendi altyapısında çalıştırılıp kullanıcıya internet üzerinden abonelikle sunulmasıdır. Yazılımı kurmazsınız, güncellemezsiniz, sunucusunu işletmezsiniz; kullanır ve verisini sahiplenirsiniz.

Model artık tartışmalı değil. Tartışmalı olan, SaaS satın alırken neyin sözleşmeye girmesi gerektiği. "Bulutta çalışıyor" cümlesi bir güvenlik beyanı değildir: verinin hangi ülkede durduğunu, yedeğin ne sıklıkla alındığını ve çıkarken veriyi hangi biçimde alacağınızı söylemez.

Bu yazı SaaS'ı övmeyecek. Modelin nasıl çalıştığını, çok kiracılı mimarinin ne demek olduğunu, bir SaaS sözleşmesinde sorulması gereken soruları ve çıkış hakkının pratikte nasıl kullanıldığını anlatacak. Rapitek CRM'in bu soruların her birine bugünkü cevabını da ölçüldüğü hâliyle yazacağız.

Tez
Çıkış hakkı dışa aktarım ekranında sınanır: kayıt kimlikleri, ilişki alanları ve dosya ekleri dosyaya geliyorsa vardır.

İçindekiler

SaaS nasıl çalışır: çok kiracılı mimari ne demek?

SaaS ürünleri çok kiracılı (multi-tenant) çalışır: tek bir uygulama, birden fazla müşteriye aynı anda hizmet verir. Ayırım uygulamada değil, veri katmanında kurulur.

Pratikte iki kurguyla karşılaşırsınız. Birincisinde tüm müşteriler aynı tabloları paylaşır ve her satırda bir müşteri kimliği sütunu bulunur; ayırım, sorguya eklenen bir filtreden ibarettir. İkincisinde her kiracı kendi veritabanına yazar; ayırım şema düzeyindedir.

Rapitek CRM ikinci kurguyu kullanır. CRM verileriniz size ait ayrı bir veritabanında tutulur: ayrı tablo dosyaları, ayrı yedek ve ayrı dosya alanı. Bu ayırım veritabanı düzeyindedir; bir isteğin hangi müşterinin veritabanına gideceğini ise uygulama, isteğin geldiği web adresine göre seçer.

Ayırımın sınırını da yazıyoruz: veritabanları aynı MySQL örneğinde ve tek bir uygulama hesabıyla çalışır. Bu yüzden ayırımı donanım düzeyinde bir ayrılık olarak anlatmıyoruz.

Satın alma kontrol listesi

Bir SaaS sözleşmesinde sorulacak yedi soru

Sütunlarda puan ya da yıldız yok. Puan, ölçülemeyen bir şeyi ölçülmüş gibi gösterir; bu tabloda yalnız doğrulanabilir olgular var.
SoruNeden sorulurRapitek CRM'in bugünkü cevabı
Hangi alt hizmet sağlayıcılar devrede?KVKK aydınlatma metnindeki yurt dışı aktarım envanteri bu listeden çıkarBarındırma Hetzner, dosya depolama DigitalOcean, giden e-posta AWS SES, hata izleme Sentry
Yedek ne sıklıkla alınıyor?İki yedek arasındaki süre, en kötü hâlde kaybedilebilecek zaman aralığıdırVeritabanı: 6 saatte bir, yerel kopyada 30 gün saklama, sunucu dışı kopya ayrı bir ülkede (Almanya)
Parolalar nasıl saklanıyor?Parolalar geri döndürülemez biçimde saklanmıyorsa sızıntı doğrudan hesap erişimine dönüşürPBKDF2-SHA256, bir milyon tur
Oturum ne kadar açık kalıyor?Oturum kendiliğinden kapanmıyorsa açık kalan sekme sonraki kullanıcıya kalır120 dakika; çerezler Secure, HttpOnly ve SameSite
Sertifikanız var mı?Güvenlik değerlendirme formunda sorulurSOC 2 ve ISO 27001 sertifikamız yok
Yazılı SLA veriyor musunuz?İhlalin gerçekleştiğini gösterecek bağımsız bir ölçüm yoksa taahhüt sınanamazYazılı çalışma süresi taahhüdü vermiyoruz
Silinen kayıt ne oluyor?Yanlışlıkla silme geri alınabilir olmalıGeri dönüşüm kutusuna taşınır. Çöp kutusundaki kayıtlar 30 gün sonra otomatik silinir. Rıza ve yasal kanıt kayıtları ile hâlâ başka kayda bağlı olanlar saklanır. Çöp kutusundan tek tek ya da toplu geri yükleyebilirsiniz

Verileriniz nerede duruyor ve kim erişiyor?

Rapitek CRM'in uygulaması ve veritabanı Helsinki/Finlandiya konumunda çalışır. Yüklenen dosyalar, ek, görsel, toplantı ses kaydı, Frankfurt/Almanya'daki nesne depolamasında, müşteri başına ayrı bir alanda tutulur. Veritabanı yedekleri Almanya'nın Falkenstein bölgesine kopyalanır.

Üç konum da Avrupa Birliği içindedir. Türkiye'de hiçbir bileşen yoktur ve bölge seçimi diye bir mekanizma sunmuyoruz.

Bu bir uyum kısıtı olabilir. KVKK, verinin Türkiye'de tutulmasını genel bir kural olarak zorunlu kılmaz; ancak kamu kurumlarını ilgilendiren 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ile BDDK, TCMB, SPK ya da BTK düzenlemelerine tabi kurumlar için ayrı şartlar doğabilir. Bu bir hukuki görüş değildir; şartnamesi olan alıcının kendi mevzuatına bakması gerekir.

Erişim tarafında ölçülen sınır şudur: yönetici hesaplarında web girişinde iki adımlı doğrulama zorunludur. API ve mobil kanalları bu zorunluluğun kapsamı dışındadır.

Yedekleme, geri dönüş ve çıkış hakkı

Rapitek CRM veritabanı yedekleri 6 saatte bir alınır, sıkıştırma bütünlüğü denetlenir ve bir kopyası Falkenstein'a gönderilir. Sunucudaki yerel kopyaların saklama süresi 30 gündür.

Yedeğin varlığı tek başına bir şey söylemez; asıl soru geri gelip gelmediğidir. Bu yüzden her sağlayıcıya yedeğin en son ne zaman geri yüklenerek sınandığını sorun.

Silinen kayıt hemen yok olmaz: geri dönüşüm kutusuna taşınır. Çöp kutusundaki kayıtlar 30 gün sonra otomatik silinir. Rıza ve yasal kanıt kayıtları ile hâlâ başka kayda bağlı olanlar saklanır. Alan bazında değişiklik geçmişi de tutulur ve otomatik silinmez.

Çıkış tarafında: veri sizindir ve dışa aktarılabilir. İçe aktarma sihirbazı dosya başına 25 MB ve iş başına 100.000 satır kabul eder. Bu iki sınır içe aktarmaya aittir. Sihirbaz yaklaşık 75 nesneyi kapsıyor. Büyük ya da karmaşık taşımalarda REST API üzerinden projeye özel aktarım yazılır.

Çıkış prosedürü

SaaS'tan çıkarken verinizi geri almanın sırası

  1. 1

    Kapsamı nesne nesne listeleyin

    Taşınacak nesneleri yazın: firma, kişi, müşteri adayı, fırsat, teklif, aktivite ve dosya ekleri. Ekler ayrı bir depolama alanında durur; tablo dışa aktarımı onları getirmez.

  2. 2

    Dışa aktarımı ayrı dosyalar hâlinde alın

    Her nesneyi ayrı CSV olarak alın ve satır sayısını kaynakla karşılaştırın. Tek bir birleşik dosyada ilişkiler kaybolur ve sonraki sistemde eşleştirme zorlaşır.

  3. 3

    Kayıt kimliklerini ve ilişki alanlarını koruyun

    Dışa aktarımda kayıt kimliği ve ilişki alanları kalsın. Bunlar olmadan bir fırsatın hangi firmaya bağlı olduğu yeni sistemde yeniden kurulamaz.

  4. 4

    Ek dosyaları kayıt kimliğiyle indirin

    Dosya ekleri nesne depolamasında durur ve kayıt kimliğiyle eşleşir. İndirme listesini kayıt kimliğiyle birlikte çıkarın, yoksa dosyalar sahipsiz kalır.

  5. 5

    Hedef sistemde alan eşlemesini ekranda onaylayın

    Alan eşlemesi otomatik önerilir ama otomatik doğru değildir. Dışa aktarım dosyasındaki sütun başlıkları sihirbazda alanlarla otomatik eşlenir; eşleşmeyenleri kurulumda birlikte eşleriz.

  6. 6

    Satır sayısını karşılaştırın ve yazılı tutun

    Aktarım sonrası satır sayısını nesne nesne karşılaştırın. İçe aktarmada biçim ve zorunlu alan hataları sık görülür; bu yüzden aktarımı canlıya geçmeden önce deneme verisiyle test edin.

SaaS'ın satın alma tarafındaki üç yanılgısı

Birinci yanılgı: "bulutta olduğu için güvenli". Bulut bir konum bilgisidir, güvenlik beyanı değil. Sorulacak şeyler ayrıdır: parola nasıl saklanıyor, oturum ne kadar açık kalıyor, alan bazında denetim kaydı tutuluyor mu, sertifika var mı.

İkinci yanılgı: "abonelik olduğu için ucuz". Abonelik ödemeyi zamana yayar; kurulum, veri aktarımı, eğitim ve süreç tasarımı kalemlerini ortadan kaldırmaz. Bunlar ilk yılın bütçesinde durur. Bu kalemleri saymayan bir karşılaştırma eksik çıkar.

Üçüncü yanılgı: "istediğim zaman çıkarım". Çıkış teknik olarak mümkündür ama bedelsiz değildir. Bedeli, verinin biçiminde ve ilişkilerin korunup korunmadığında saklıdır. Sözleşmeden önce bir örnek dışa aktarım isteyin ve dosyayı açıp bakın.

Kapsam ve kurulum koşulları

Yazılı bir çalışma süresi taahhüdümüz yok.

Kurumsal tekli oturum açma tarafında durum yarımdır: OIDC üründe bağlı ama canlıda tanımlı tek bir yapılandırma yok, SAML ise hiç desteklenmiyor. Kimlik sağlayıcınız SAML bekliyorsa bunu görüşmenin başında konuşalım.

Uygulama düzeyinde şifrelenenlerin başlıcaları: e-posta hesabı OAuth jetonları; WhatsApp Business, Instagram ve Meta erişim jetonları ile webhook sırları; ödeme ve İYS sağlayıcı kimlik bilgileri; iki adımlı doğrulama sırları ve yedek kodları; ses izleri. Aktarımda TLS kullanılır.

İçe aktarmada biçim ve zorunlu alan hataları sık görülür; bu yüzden aktarımı canlıya geçmeden önce deneme verisiyle birlikte test ediyoruz. Aktarımda satır sayısını nesne nesne karşılaştırır ve sonucu yazılı paylaşırız; "garanti" hukuki bir taahhüttür ve ölçemediğimiz bir şey için kullanılmaz.

Otomatik faturalandırma ve kredi kartıyla abonelik akışımız yok. Ödeme ve sözleşme tarafı görüşmede kurulur.

SSS

Sık sorulan sorular

SaaS ile bulut bilişim aynı şey mi?
Hayır, bulut bilişim bir altyapı modeli, SaaS ise o altyapının üstünde satılan bir teslim biçimidir. IaaS ve PaaS de bulut modelleridir ama SaaS değildir. Bir ürünün bulutta çalışması, uygulamanın sağlayıcı tarafından yazılıp işletildiği anlamına gelmez.
SaaS'ta verilerim gerçekten bana mı ait?
Evet, veri müşteriye aittir ve dışa aktarılabilir olmalıdır. Pratik ölçüt sözleşmede değil dışa aktarım ekranındadır: nesne nesne CSV alabiliyor musunuz, kayıt kimlikleri ve ilişki alanları geliyor mu, dosya ekleri ayrıca indirilebiliyor mu. Üçünün cevabı evet değilse mülkiyet kâğıt üstünde kalır.
Rapitek CRM'in verileri nerede tutuluyor?
Avrupa Birliği içinde, üç ayrı konumda: uygulama ve veritabanı Finlandiya'da, yüklenen dosyalar ve veritabanı yedeklerinin sunucu dışı kopyaları Almanya'da tutulur. Türkiye'de hiçbir bileşen yoktur ve bölge seçimi diye bir mekanizma sunmuyoruz. Şehir kırılımı, yedekleme sıklığı ve erişim kuralları /guvenlik sayfasında yazılı.
Rapitek CRM'de ücretsiz deneme var mı?
Rapitek CRM'i 7 gün ücretsiz deneyebilirsiniz; kredi kartı gerekmez. Ücretsiz deneme sayfasındaki formu doldurduğunuzda önce 30 dakikalık bir tanışma görüşmesi yapar, ardından deneme hesabınızı sürecinize göre hazırlayıp açarız; süre dolduğunda hesap kapanır ve otomatik ücretlendirme olmaz. Kurulum bu görüşmeyle başlar; alanları, aşamaları ve raporları sizin sürecinize göre biz yapılandırırız. Sebebi şu: boş bir kurulumda gezmek karar üretmiyor: demo hesabı sizin alanlarınız, aşamalarınız ve kendi verinizle anlam kazanıyor.
Rapitek CRM'in ISO 27001 sertifikası var mı?
Hayır, SOC 2 ya da ISO 27001 sertifikamız yok ve alana kadar olduğunu iddia etmeyeceğiz. "Sertifikasyon sürecindeyiz" gibi ara ifadeler de kullanmıyoruz. Ölçülebilir olanlar yazılıdır: parolalar PBKDF2-SHA256 ile bir milyon tur döndürülerek saklanır, girişte kaba kuvvet koruması vardır (kullanıcı ve IP başına 15 dakikada 10 başarısız deneme, iki adımlı doğrulamada 5 deneme), alan bazında değişiklik geçmişi otomatik silinmez.
SaaS sağlayıcısı hizmeti durdurursa verim ne olur?
Bu riske karşı elinizde tutabileceğiniz somut şey, verinin dışa aktarılabilir olmasıdır. Sözleşme imzalamadan önce bir örnek dışa aktarım isteyin ve dosyayı açın: kayıt kimlikleri var mı, ilişki alanları duruyor mu, ekler ayrı indirilebiliyor mu. Sözleşme maddesi bu üç kontrolün yerini tutmaz.
Çok kiracılı mimaride verim başka bir müşterininkiyle karışır mı?
CRM verileriniz size ait ayrı bir veritabanında tutulur: ayrı tablo dosyaları, ayrı yedek ve ayrı dosya alanı. Bu ayırım veritabanı düzeyindedir; bir isteğin hangi müşterinin veritabanına gideceğini ise uygulama, isteğin geldiği web adresine göre seçer. Sınırını da yazıyoruz: veritabanları aynı MySQL örneğinde ve tek bir uygulama hesabıyla çalışır, yani ayırımı donanım düzeyinde bir ayrılık olarak anlatmıyoruz.
Kurulum ve veri aktarımı ne kadar sürüyor?
Aralık vermiyoruz: ne kurulum ne aktarım için. Keşif görüşmesinden sonra size aralık değil tarih veririz. Takvimi belirlerken baktığımız iki büyüklük şu: kaç nesnenin taşınacağı ve her nesnede kaç satır olduğu. İçe aktarma sihirbazı tek dosyada 25 MB'a, tek işte 100.000 satıra kadar alıyor; bunun üzerindeki hacim REST API ile projeye özel yazılır ve süreye o da girer.

İlgili içerikler

Bu soruları bize de sorun

Rapitek CRM, kurucumuzun 200'den fazla Salesforce projesindeki deneyimiyle kuruldu. Ürün yeni, deneyim değil: alanları, aşamaları ve raporları biz yapılandırıyoruz, verinizi biz aktarıyoruz, ekibinize Türkçe eğitimi biz veriyoruz. Ardından 7 günlük deneme hesabınızı açalım; kredi kartı istemiyoruz.

Yazan

Kerim Yıldırım

Kurucu, Rapitek CRM · Salesforce döneminde 200'den fazla kurumsal CRM projesi

Kaynaklar

Bu yazıdaki dış olgular şu birincil kaynaklara dayanıyor:

RapitekGO ile yapıldı

Ölçüm için isteğe bağlı çerez kullanmak istiyoruz; reddederseniz site aynen çalışır. Çerez politikası