Verileriniz Türkiye'de olmak zorunda değil — KVKK böyle bir şart koymuyor.
CRM görüşmelerinde tekrar tekrar duyduğumuz bir yanlış bilgi bu. KVKK'da kişisel verilerin Türkiye'de tutulmasını zorunlu kılan bir madde yok; veri yerleşimi şartı sektör düzenlemelerinden ve kamu genelgesinden doğuyor. Rapitek CRM'in sunucuları Avrupa Birliği'nde — Finlandiya ve Almanya'da. Bunu bir dipnota gömmüyoruz; bileşen bileşen yazıyoruz.
Bu sayfada
Yanlış bilgi nereden geliyor?
"KVKK'ya uymak için verilerimizin Türkiye'de olması gerekiyor." Bu cümleyi CRM görüşmelerinde tekrar tekrar duyuyoruz. Doğru değil — ama nereden geldiği anlaşılır.
- Kanun'un 2016–2024 arasındaki hâli yurt dışı aktarımı zorlaştırıyordu. Kurul iznine bağlı taahhütname yolu ağırdı, yeterlilik kararı hiç çıkmadı. Piyasa bu dönemde pratik bir kısayol öğrendi: veriyi Türkiye'de tut, aktarım konusunu hiç açma.
- Kısayol zamanla kuralın kendisi sanıldı. Oysa mevzuat 1 Haziran 2024'te değişti; yurt dışına aktarımın dayanakları yeniden düzenlendi ve bir bölümü Kurul iznine değil bildirime bağlandı. Kısayol yerinde kaldı, kısayolu doğuran zorluk ise büyük ölçüde kalktı.
- İkinci kaynak pazarlama. "Yerli veri" konumlandırması, sunucunun ülkesini bir uyum şartı gibi sunmayı satış argümanı hâline getirdi.
Bu cümleyi biz de kendi sitemizde kullanmıştık. Doğru olmadığı için bu sayfada tersini yazıyoruz; eski sayfalarımızda kalan örneklerini de temizleyeceğiz.
Bu karışıklığın alıcı tarafında iki yönlü bir bedeli olabiliyor: kendisini ilgilendirmeyen bir şart yüzünden tedarikçi elemek ve kendisini gerçekten ilgilendiren yükümlülükleri — aktarım dayanağı, aydınlatma metni, işleme envanteri — atlamak. İkisini de kendi görüşmelerimizde gördüğümüz için bu sayfayı yazdık.
KVKK ne diyor, ne demiyor
Demediği: "kişisel veriler Türkiye'de tutulur." 6698 sayılı Kanun'da böyle bir madde yoktur.
Dediği: kişisel veri yurt dışına aktarılacaksa, m.9'da sayılan dayanaklardan biri kurulur. Kanun yerleşimi değil aktarımı düzenler.
Tek cümleyle: yerleşim, verinin nerede durduğudur; aktarım, verinin hangi dayanakla sınır dışına gittiğidir. KVKK ikincisini düzenler. İki soru birbirine karıştığında, yerleşim sorusuna verilen cevap aktarım sorusunun cevabı sanılır — bu sayfanın ayırmaya çalıştığı karışıklık budur.
Dönüm noktası 1 Haziran 2024. 12 Mart 2024 tarihli 7499 sayılı Kanun m.9'u yeniden yazdı; usulü Yurt Dışına Kişisel Veri Aktarımı Hakkında Yönetmelik (10 Temmuz 2024) belirliyor. Madde birden çok dayanak sayıyor. Hangisinin sizin aktarımınıza uygun düştüğü, aktarımın niteliğine ve kurumunuzun durumuna göre değişir; bu değerlendirmeyi hukuk danışmanınızla yapmanız gerekir. Bu sayfa o değerlendirmenin yerine geçmez, ona girdi sağlar.
Yükümlülük kimde? CRM'inize yazdığınız müşteri verileri bakımından veri sorumlusu sizsiniz; Rapitek veri işleyendir. Aktarım dayanağını kurma yükümlülüğü veri sorumlusuna aittir. Bizim işimiz, o dayanağı kurabilmeniz için gereken bilgiyi — hangi bileşen hangi ülkede, alt işleyenler kim, yedekler nerede — yazılı ve eksiksiz vermektir. Bunu istemenizi beklemiyoruz; sözleşme öncesinde kendiliğinden veriyoruz.
Bizim kendi dayanağımız: Rapitek'in veri sorumlusu sıfatıyla yaptığı işlemelerde — örneğin site formlarından gelen iletişim verisinde — kullandığı yurt dışı aktarım dayanağı ve aktarılan veri kategorileri KVKK aydınlatma metnimizde yazılıdır. Onu bir dipnota gömmüyoruz; okunacak yerde duruyor.
Yurt dışına aktarımda KVKK m.9 hangi dayanakları sayıyor?
| Dayanak | Araç | Nasıl işler |
|---|---|---|
| Yeterlilik kararı (m.9/1) | Kurul'un ülke, sektör veya uluslararası kuruluş bazında verdiği karar | Karar varsa aktarım, yurt içi işlemedeki olağan şartlarla yapılır. Kurul bugüne kadar bir yeterlilik kararı yayımlamamıştır. |
| Uygun güvenceler (m.9/3) | Standart sözleşme · bağlayıcı şirket kuralları · taahhütname · kamu kurumları arası uluslararası sözleşme | Standart sözleşme, Kurul'un yayımladığı ve metni değiştirilemeyen sözleşmedir; imzadan sonra beş iş günü içinde Kuruma bildirilir, ayrıca izin alınmaz. Taahhütname ve bağlayıcı şirket kurallarında Kurul izni aranır. |
| Kanunun ayrıca saydığı hâller (m.9/6) | Açık rıza · sözleşmenin ifası · üstün kamu yararı · hakkın tesisi, kullanılması, korunması · hayati menfaat · kamuya açık sicillerden aktarım | Kanun bu dayanakları ayrı bir fıkrada, her biri kendi şartlarıyla düzenler. Açık rıza, ilgili kişinin aktarımın olası riskleri hakkında bilgilendirilmesi şartıyla alınır. |
Veri yerleşimi şartı kimlere geliyor?
| Kim | Dayanak | Pratik sonuç |
|---|---|---|
| Bankalar | BDDK — Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik | Birincil ve ikincil sistemler ile yedekler Türkiye'de bulunur |
| Ödeme ve elektronik para kuruluşları | TCMB — Ödeme Hizmeti Sağlayıcılarının Bilgi Sistemleri Yönetmeliği | Bilgi sistemleri ve yedekleri Türkiye'de bulunur |
| SPK'ya tabi kurumlar (aracı kurum, portföy yönetimi) | SPK — Bilgi Sistemleri Yönetimi Tebliği (VII-128.9) | Birincil ve ikincil sistemler Türkiye'de bulunur |
| Elektronik haberleşme işletmecileri | BTK — Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği | Trafik ve abone verisi Türkiye'de bulunur |
| Sosyal ağ sağlayıcıları (Türkiye'den günlük 1 milyondan çok erişim) | 5651 sayılı Kanun | Türkiye'deki kullanıcılara ait veri Türkiye'de barındırılır |
| Kamu kurumları ve kamu ihalesiyle iş yapanlar | 2019/12 sayılı Cumhurbaşkanlığı Genelgesi + Bilgi ve İletişim Güvenliği Rehberi | Kritik veri yurt içinde tutulur; şartnamede yerleşim maddesi çıkar |
| Sağlık hizmeti sunucuları | Sağlık Bakanlığı mevzuatı, Kişisel Sağlık Verileri Hakkında Yönetmelik | Sağlık verisinde ek yükümlülükler doğar; kapsam kurum tipine göre değişir |
| Sigorta ve özel emeklilik şirketleri | SEDDK — bilgi sistemleri yönetimine ilişkin düzenlemeler | Yerleşim ve bildirim yükümlülükleri doğar; kapsam kurum tipine göre değişir |
| Yukarıdakilerin dışındaki şirketler | KVKK'da yerleşim maddesi yok | Yükümlülük aktarım dayanağı, aydınlatma metni, veri işleyen sözleşmesi, işleme envanteri ve eşik aşılıyorsa VERBİS kaydıdır — sunucunun ülkesi bu listede yer almaz |
İnanış ve mevzuattaki karşılığı
| Konu | İnanış | Mevzuattaki karşılığı |
|---|---|---|
| Yerleşim | KVKK verilerin Türkiye'de tutulmasını zorunlu kılar | KVKK'da yerleşim maddesi yoktur; Kanun aktarımın hangi dayanakla yapıldığını düzenler |
| Aktarım dayanağı | Yurt dışına aktarım için her hâlde Kurul'dan tek tek izin alınır | m.9 birden çok dayanak sayar; bir bölümünde Kurul izni, bir bölümünde Kuruma bildirim aranır. Hangisinin uygun düştüğünün değerlendirmesi hukuk danışmanınıza aittir |
| Yerli yazılım | Yerli CRM kullanırsak verimiz Türkiye'de olur | "Yerli" yazılımı kimin geliştirdiğini anlatır; sunucunun ülkesi ayrı ve bağımsız bir olgudur |
| AB'de barındırma | Veri AB'deyse KVKK ihlali doğar | AB'ye aktarım da diğer aktarımlar gibi m.9 dayanağı ister; ihlal dayanağın yokluğundan doğar, ülkeden değil |
| Sorumluluk | Uyumu CRM tedarikçisi sağlar | Veri sorumlusu sizsiniz; tedarikçi veri işleyendir ve altyapı bilgisini yazılı vermekle yükümlüdür |
| Kamu işleri | Kamu ihalesinde de AB barındırma kabul edilir | 2019/12 sayılı Genelge kapsamındaki işlerde şartname yerleşim maddesi içerebilir; bu işlerde AB barındırma eler |
Peki bizim verimiz nerede duruyor? Bileşen bileşen.
Bir CRM'e sorulacak en somut soru şudur: kaydettiğim veri fiziksel olarak hangi ülkede duruyor? Cevabımız birkaç satırda biter: barındırma ve saklama taraflarının hepsi Avrupa Birliği içindedir, AB dışında kalanları da aşağıda ayrıca yazdık.
- Bağlantı trafiği — Cloudflare, Inc.; ziyaretçiye en yakın kenar sunucusu, şirket merkezi ABD. TLS bağlantısı burada sonlanır ve içerik saklanmaz; ölçtüğümüz istekler AB kenar düğümlerinden geçti (Türkiye'den Amsterdam).
- Veritabanınız — Hetzner, Helsinki, Finlandiya (AB üyesi).
- Yüklediğiniz dosya, görsel ve ses kayıtları — DigitalOcean Spaces, Frankfurt, Almanya (AB üyesi); müşteri başına ayrı bir alanda.
- Veritabanı yedekleri — Hetzner Storage Box, Falkenstein, Almanya (AB üyesi).
- Sistem e-postaları — Amazon SES. Gönderim bölgesini ölçmediğimiz için bu sayfada beyan etmiyoruz; kurumsal değerlendirmede güncel bölgeyi yazılı veririz. Hata izleme — Sentry, Almanya; kişisel veri gönderimi kapalı.
- Rapi yapay zekâ asistanı — Anthropic (ABD). Varsayılan olarak kapalıdır ve kiracı bazında açılır; siz açmadıkça CRM veriniz hiçbir yapay zekâ sağlayıcısına gitmez. Açtığınızda asistanın istekleri Anthropic'in ABD'deki servisine gider — bu, Finlandiya'daki barındırmadan ayrı, KVKK m.9 kapsamında ikinci bir yurt dışı aktarımdır. Anthropic'i, hangi ülkede olduğu ve hangi koşulda devreye girdiğiyle birlikte güvenlik sayfasındaki alt işleyen listesinde adıyla yazdık.
Türkiye'de hiçbir bileşenimiz yok ve bölge seçimi diye bir özelliğimiz yok. "İsterseniz Türkiye'de tutarız" demiyoruz, çünkü öyle bir seçenek sunmuyoruz.
AB'de olmanın somut getirisi: Finlandiya ve Almanya Avrupa Birliği üyesidir; veriniz GDPR'ın koruma alanı içinde işlenir. Avrupa'da müşteriniz, iştirakiniz, bayiniz veya ihracatınız varsa bu doğrudan bir kolaylıktır — AB içinden AB içine ayrı bir aktarım sorunu doğmaz. Türkiye'den bakıldığında ise bu bir yurt dışı aktarımdır ve dayanağını m.9 kapsamında kurmak veri sorumlusu olarak size düşer.
Yedeğin ayrı ülkede durması tercih meselesidir: birincil sistemi barındıran veri merkezini etkileyen bir olay, aynı anda yedeği etkilemez. Yedek altı saatte bir alınır, bütünlük testinden geçirilir ve otuz gün saklanır. Barındırmanın üzerindeki ikinci katman verinin ayrı tutulmasıdır: CRM verileriniz size ait ayrı bir veritabanında tutulur — ayrı tablo dosyaları, ayrı yedek ve ayrı dosya alanıyla birlikte. Bu ayırım uygulama ayarında değil veritabanı düzeyindedir.
Alt işleyen listesinin tamamını ve teknik tedbirleri güvenlik sayfasında yazdık.
Doğruladıklarımız
Tedarikçinize soracağınız altı soru — "yerli misiniz" bunlardan biri değil
-
1
"Veritabanı hangi ülkede, hangi şehirde?"
Ülke adı yetmez; sağlayıcı ve veri merkezi bölgesi de sorulur. Cevap yazılı gelmiyorsa cevap yok demektir.
-
2
"Yedekler hangi ülkede tutuluyor?"
Yedek kolayca gözden kaçar ve başka bir ülkede olabilir. Yerleşim şartına tabi kurumlarda yedeğin konumu da ayrıca denetlenir.
-
3
"Yüklediğimiz dosyalar ve medya nerede duruyor?"
Veritabanı ile dosya deposu iki ayrı sağlayıcıda olabilir. Bu yüzden iki ayrı soru sorulur.
-
4
"Alt işleyen listeniz yazılı mı, güncelleniyor mu?"
E-posta, hata izleme, yapay zekâ, ödeme — her biri ayrı bir aktarım üretir. Listenin sözleşme ekinde olması gerekir.
-
5
"Aktarım dayanağı için hangi belgeyi imzalıyoruz?"
Standart sözleşme mi, taahhütname mi, bağlayıcı şirket kuralları mı. Standart sözleşmede imzadan sonra beş iş günü içinde Kuruma bildirim yapılır.
-
6
"Ayrılırsak verimizi nasıl alırız, sizde ne kadar kalır?"
Dışa aktarım biçimi, ücreti ve tedarikçideki saklama süresi. Uyum değerlendirmesinde kolayca atlanan kalem çıkış tarafıdır.
Bunlar bizim sınırlarımız — ve bu sayfa hukuki tavsiye değildir
- Bu sayfa genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kurumunuzun hangi mevzuata tabi olduğunun ve hangi aktarım dayanağının uygun olduğunun değerlendirmesi hukuk danışmanınıza aittir.
- Mevzuat değişir. Bu özet Ağustos 2026 itibarıyla hazırlanmıştır; güncel metin ve Kurul kararları kvkk.gov.tr adresindedir.
- Türkiye'de barındırma seçeneğimiz yok. Şartnamenizde veya iç bilgi güvenliği politikanızda "veriler Türkiye'de bulunacaktır" maddesi varsa bu koşulu karşılayamayız. Bunu değerlendirmenin ilk gününde söylüyoruz.
- 2019/12 sayılı Genelge kapsamındaki kamu işlerinde uygun tedarikçi değiliz. Şartname yerleşim maddesi içeriyorsa bizi eler; değerlendirmeyi orada bitirmek ikimizin de lehinedir.
- ISO 27001 veya SOC 2 belgemiz yok ve alana kadar da iddia etmeyeceğiz. Kurumsal güvenlik değerlendirme formlarınızı dolduruyor, mimariyi yazılı anlatıyoruz; belgemiz olmayan kalemleri "yok" olarak işaretliyoruz.
- Alt işleyen listesini ve teknik tedbirleri güvenlik sayfasında, site formlarımızdan gelen veriye dair aydınlatmayı KVKK aydınlatma metninde, hukuki metinleri gizlilik politikası ve hizmet şartlarında bulursunuz.
İddiayı değil, mimariyi okuyun
Verinin hangi ülkede durduğu, alt işleyen listesi, yedekleme düzeni, denetim izi ve henüz sunmadıklarımız — hepsi güvenlik sayfasında satır satır yazılı.
Belgesi olmayan hiçbir sertifikayı iddia etmiyoruz.
KVKK ve veri yerleşimi hakkında sık sorulanlar
KVKK kişisel verilerin Türkiye'de tutulmasını zorunlu kılıyor mu?
Verilerimizin yurt dışında tutulması için hangi hukuki dayanak gerekir?
Rapitek'in kendi yurt dışı aktarım dayanağı nedir?
Standart sözleşme nedir, ne yapmamız gerekir?
Rapitek CRM'de verilerimiz tam olarak nerede duruyor?
Verilerimizi Türkiye'de tutma seçeneğiniz var mı?
Hangi kurumlar gerçekten veri yerleşimi şartına tabi?
Üretim, tekstil, ticaret veya lojistik şirketiyiz. Bize yerleşim şartı var mı?
"Yerli CRM" kullanırsak verimiz Türkiye'de mi olur?
Rapitek yerli bir şirket mi?
Verilerin Avrupa Birliği'nde olması GDPR açısından ne anlama geliyor?
Denetimde bize ne sorulur?
VERBİS'e kayıt olmak zorunda mıyız?
Rapitek veri sorumlusu mu, veri işleyen mi?
İlgili sayfalar
Güvenlik mimarisi
Alt işleyen listesi, şifreleme, yedekleme, denetim izi ve henüz sunmadıklarımız — hepsi tek sayfada.
Yerli CRM
"Kim geliştirdi" sorusunun cevabı: İstanbul merkezli bir Türk şirketi, Türkçe ürün, İYS ve TCMB kuru üründe. Sunucular Avrupa Birliği'nde.
KVKK Aydınlatma Metni
Hangi veriyi hangi amaçla işlediğimiz ve yurt dışı aktarıma dair aydınlatma.
Gizlilik Politikası
Veri işleme, saklama süreleri ve ilgili kişi haklarının nasıl kullanılacağı.
Uyum sorularınızı ürünü geliştiren ekiple konuşun
Hangi mevzuata tabi olduğunuzu, hangi aktarım dayanağının gerektiğini ve altyapımızın nerede durduğunu 30 dakikalık bir görüşmede yazılı olarak paylaşıyoruz. Şartnamenizde yerleşim maddesi varsa bunu ilk beş dakikada söylüyoruz.
Kurumsal güvenlik değerlendirme formlarınızı dolduruyoruz.
