Yükleniyor
4 Ekim 2026 · 4 dk okuma
Kurumsal müşterileriniz verinin nerede tutulduğunu soruyor. Altyapı seçiminin KVKK uyumuna katkısını, sınırlarını ve uygulayabileceğiniz teknik kontrolleri anlatıyoruz.
Türkiye'de kurumsal müşterilere satış yapan bir SaaS şirketiyseniz, güvenlik değerlendirme formlarında aynı soruyla mutlaka karşılaşırsınız: Verilerimiz nerede tutuluyor? Bu yazıda veri yerelliğinin neden önemli olduğunu, altyapı seçiminin neyi çözüp neyi çözmediğini ve uygulayabileceğiniz teknik kontrolleri ele alıyoruz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye yerine geçmez. Kendi durumunuz için bir hukuk danışmanından görüş almanızı öneririz.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesine ve yurt dışına aktarılmasına belirli şartlar getirir. Kurumsal müşteriler, özellikle finans, sağlık ve kamu gibi düzenlemeye tabi sektörlerdekiler, tedarikçilerinin bu şartlara nasıl uyduğunu sorgular.
Verinin Türkiye'de tutulması bu soruların önemli bir kısmını sadeleştirir. Satın alma süreçleri kısalır, güvenlik değerlendirmelerinde daha net cevaplar verirsiniz.
KVKK açısından iki temel rol vardır: veri sorumlusu ve veri işleyen. Bir SaaS şirketi çoğu zaman iki rolü birden taşır:
Bu ayrım; sözleşmelerinizi, aydınlatma metinlerinizi ve altyapı tedarikçinizle ilişkinizi doğrudan etkiler.
Altyapının Türkiye'de olması, verinin fiziksel konumuna ilişkin soruyu cevaplar ve yurt dışına aktarım konusundaki belirsizliği azaltır. Ancak uyum yalnız altyapıdan ibaret değildir. Uygulamanızdaki erişim kontrolleri, kayıt tutma, saklama ve imha süreçleri, aydınlatma metinleri ve sözleşmeler sizin sorumluluğunuzda kalır.
Kısacası doğru altyapı, uyum çalışmanızın sağlam bir temelidir; çalışmanın tamamı değildir.
Bulutlan Edge Cloud, Türkiye'de İstanbul ve Konya bölgelerinden hizmet verir. Altyapı iş ortağımız RNG Technology'nin beyanına göre bu veri merkezleri farklı coğrafyalarda bulunur, Tier 3+ sertifikalıdır ve Edge Cloud servisleri %100 KVKK uyumlu bulut altyapı servisleri olarak sunulur.
Verinizin konumunu bölge seçiminiz belirler. Türkiye bölgelerini seçtiğinizde verileriniz Türkiye sınırları içinde kalır. İki Türkiye bölgesini birlikte kullanarak aktif-aktif bir mimari de kurabilirsiniz.
Multi-Tenancy ile her kurumsal müşteriniz için birbirinden tamamen izole bir proje açabilirsiniz. VPSA teknolojisi ise ortak bulutta işletmeye %100 özel, fiziksel katmanda bile izole depolama sağlar.
İşletmeler kendi SSL sertifikalarını kullanabilir ve AES-256 ile kendi anahtarlarını oluşturabilir. Anahtarın sizin kontrolünüzde olması, güvenlik değerlendirmelerinde sık sorulan bir gerekliliktir.
Edge Cloud'da projelere ayrıntılı rol bazlı yetki atanabilir ve çok faktörlü kimlik doğrulama kullanılabilir. Bulutlan Console'a ise her girişte iki aşamalı doğrulama zorunludur.
Nesne Depolama; değiştirilemez (immutable) kayıt, versiyonlama ve şifreleme özellikleri sunar. Flash depolamadaki verileri doğrudan Nesne Depolama'ya yedeklemek, fidye yazılımı ve kasıtlı saldırılara karşı ek bir koruma katmanı oluşturur.
RNG Technology'nin belirttiğine göre müşteri talebiyle hizmet sonrasında fiziksel diskler müşteriye teslim edilebilir. Bu, sözleşme sonu veri imhası konusunda müşterilerinize somut bir cevap sunar.
Altyapı ne kadar iyi korunursa korunsun, kişisel veriler çoğu zaman uygulama katmanında sızar. Şu noktalara dikkat edin:
Teknik kontroller tek başına yeterli değildir; bunları belgelemeniz de gerekir. Kurumsal müşterilerle çalışırken genellikle şu belgeler gündeme gelir:
Yedeklerin de veri yerelliği kapsamında olduğunu unutmayın. Yedeklerinizi Türkiye bölgelerinde tutarsanız, bu konuda da tutarlı bir cevap vermiş olursunuz.
Güvenlik değerlendirme formlarında şu başlıkları net cevaplayabilirsiniz:
Veri yerelliği, Türkiye'de kurumsal müşterilere satış yapan SaaS şirketleri için artık bir tercih değil, satış sürecinin bir parçasıdır. Ayrıntılar için SaaS Şirketleri İçin sayfasına göz atabilir, mimarinizi bir uzmanımızla değerlendirebilirsiniz.