Veriniz nerede tutulmalı? Yerleşim, KVKK ve çıkış planı

Bir yazılımın güvenliği konuşulurken tartışma hızla şifreleme, yetki rolleri ve iki adımlı doğrulamaya kayar. Bunlar gereklidir ve kurumsal yazılım güvenliği rehberinde tek tek ele aldık. Ancak şirket sahibinin gerçekten cevap alması gereken soru daha önce gelir: veri fiziksel olarak nerede duruyor, o yerin hesabı kimin adına açık ve ilişki bittiğinde oradan neyi çıkarabiliyorsunuz.

Bu üç soruya net cevap veremeyen bir kurulumda şifreleme ne kadar iyi olursa olsun, sistemin kontrolü sizde değildir.

Sunucu hesabı kimin adına açılıyor

Sunucunun ülkesi kadar önemli olan şey, o sunucunun faturasının ve panel girişinin kimde olduğudur. Sık görülen kurgu şudur: tedarikçi kendi bulut hesabında bir sunucu açar, projeyi oraya kurar, alan adını da kendi panelinde tutar. Sistem çalışır, kimse sorun yaşamaz — ilişki bozulana kadar.

Doğru kurguda hesap hiyerarşisi şöyle olur:

• Bulut/sunucu hesabı: şirketiniz adına, fatura şirketinize kesilir, kök parola sizde.
• Alan adı: şirketiniz adına kayıtlı, yönetici e-postası şirket adresi.
• Tedarikçi erişimi: ayrı bir yönetici kullanıcı veya SSH anahtarı. İlişki bittiğinde tek işlemle kapatılır.
• Kod deposu: şirketiniz adına açılmış depo; tedarikçi katkı verir, sahibi siz olursunuz.

Bu dört satır sağlandığında “veriye erişimim var mı” sorusu teknik bir soru olmaktan çıkar. KodDelta’da kurulum bu sırayla yapılır ve kaynak kod teslim edilir; lisans ömür boyu, kullanıcı sayısı sınırsızdır.

Veri tek yerde durmaz: üç ayrı adres

“Verim nerede” sorusunun tek cevabı yoktur, çünkü tipik bir kurumsal sistemde veri üç ayrı yerde birikir ve bunlar farklı ülkelerde olabilir.

Katman	İçinde ne var	Sorulacak soru
Veritabanı	Cari, sipariş, stok, personel, işlem kayıtları	Hangi sunucu, hangi ülke, disk şifreli mi?
Dosya ekleri	Sözleşme PDF'leri, fotoğraflar, imzalı formlar	Aynı sunucuda mı, ayrı nesne deposunda mı?
Yedekler	Günlük/haftalık tam kopyalar	Kaç kopya, nerede, geri dönüş test edildi mi?

Saha uygulamalarında bu ayrım özellikle görünür hâle gelir. Elevatora SAHA’da teknisyen bakım formunu doldururken asansör fotoğrafı ve imza da kaydedilir; bu dosyalar veritabanı satırından çok daha fazla yer tutar ve çoğu mimaride ayrı bir depoya yazılır. Yedek politikasını sorarken üç katmanı ayrı ayrı sorun — tek cevap alırsanız muhtemelen yalnızca veritabanı kastediliyordur.

Yurt içi, yurt dışı ve KVKK sorumluluğu

KVKK açısından değişmeyen bir gerçek var: veri sorumlusu sizsiniz. Sistemi kim yazdıysa yazsın, sunucuyu kim yönetiyorsa yönetsin, veri öznesine karşı sorumluluk şirketinizin üzerindedir. Tedarikçi veri işleyendir ve aranızdaki ilişki yazılı bir veri işleme sözleşmesiyle tanımlanır.

Buradan iki pratik sonuç çıkar. Birincisi, veriyi yurt dışına aktaran bir kurgu seçtiğinizde KVKK m.9’daki aktarım koşullarını sağlama yükü sizdedir; tedarikçinin “bulut zaten güvenli” cevabı bu yükü üstünüzden almaz. İkincisi, yurt içinde barındırma bu tartışmayı baştan kapattığı için idari yükü belirgin biçimde azaltır.

Yurt dışı bir SaaS ürünü kullanıyorsanız ek bir soru daha var: verinizin bulunduğu ülke ile şirketin merkez ülkesi aynı olmayabilir ve alt yükleniciler zinciri sözleşmede yazılıdır. Bunu okumadan imzalanan her abonelik, cevabını bilmediğiniz bir aktarım demektir.

Barındırma seçenekleri: hangi soru hangisinde kritik

Kurgu	Hesap kimde	Yedek disiplini	Çıkışta ne alırsınız
Kendi sunucunuz (on-prem)	Tamamen sizde	Tamamen sizde — en çok ihmal edilen nokta	Zaten sizde; devir sorunu yok
Yerli bulut, sizin hesabınız	Sizde, tedarikçi konuk	Yapılandırma tedarikçide, kontrol sizde	Sunucu görüntüsü + tam yedek
Tedarikçinin hesabı	Tedarikçide	Göremezsiniz	Sözleşmede ne yazıyorsa o
Yurt dışı SaaS	Sağlayıcıda	Sağlayıcıda	Ürünün dışa aktarım özelliği kadar

İlk üç satırda karar sizindir; dördüncüde ürün ne veriyorsa onunla yetinirsiniz. KodDelta kurulumlarında ikinci satır varsayılandır: sunucu müşterinin hesabında açılır, barındırma ilk yıl fiyata dahil edilir, sonraki yıllar kurguya göre 4.800 veya 9.600 ₺ olarak yazılır. Kendi sunucusunda çalışmak isteyen şirketler için birinci satır da desteklenir; bu durumda yedek disiplini yazılı bir işletim belgesiyle devredilir.

Sunucuda yalnız değilsiniz: paylaşımlı barındırma

Barındırma sorusunun ikinci katmanı, sunucunun sizden başka kimlere hizmet verdiğidir. Paylaşımlı barındırmada onlarca site aynı makinede, çoğu zaman aynı web sunucusu kullanıcısıyla çalışır. Komşu sitelerden birinde açılan bir güvenlik açığı, doğrudan sizin dosya sisteminize bakan bir kapı hâline gelebilir.

İkinci risk, sunucunun kök dizininin yanlış ayarlanmasıdır. Proje kökü doğrudan web’e açıldığında yapılandırma dosyaları, veritabanı yedekleri ve sisteme yüklenmiş belgeler tarayıcıdan indirilebilir hâle gelir. Bu, karmaşık bir saldırı değil, tek bir dizin ayarının sonucudur. Kural nettir: web sunucusu yalnız public dizinini görsün, yedekler webroot’un dışında dursun.

Üçüncüsü erişimi olan kişi sayısıdır. Canlı veritabanına kaç kişinin girebildiğini sorun; cevap “geliştirici ekibin tamamı” ise erişim kayıt altında değil demektir. Doğru kurguda canlı erişim adla sınırlıdır ve kim ne zaman bağlandı kaydı tutulur.

Çıkarken veriyi nasıl alırsınız

Çıkış planı, sistemin en son düşünülen ama pazarlık gücünüzün en yüksek olduğu anda yazılması gereken maddesidir. Üç şeyi netleştirin:

1. Format. Tam veritabanı yedeği ve dosya eklerinin arşivi. Ek olarak açık formatta (CSV/JSON) dışa aktarım hakkı. PDF rapor veri değildir.
2. Süre. Talepten itibaren kaç gün. Rakam yazılmadıysa süre yoktur.
3. Devralınabilirlik. Kaynak kod, veri modeli belgesi ve kurulum tarifnamesi. Üçüncü bir ekibin sistemi sürdürmesi sözleşmeyle engellenmez.

Bu üç maddenin ayrıntılı sözleşme karşılığını kod sahipliği ve tedarikçi bağımlılığı yazısında ele aldık.

Tedarikçiye sorulacak sekiz soru

Yazılı cevap istediğiniz sorular

1. Sunucu ve alan adı hesabı hangi şirket adına açılacak?
2. Veritabanı hangi ülkede, hangi sağlayıcıda duracak?
3. Dosya ekleri aynı yerde mi, ayrı depoda mı tutuluyor?
4. Yedek kaç kopya, hangi sıklıkta ve nerede saklanıyor?
5. Yedekten geri dönüş en son ne zaman test edildi?
6. Sizin ekibinizden kaç kişinin canlı veriye erişimi var?
7. Veri işleme sözleşmesini imzalıyor musunuz?
8. Ayrılmak istesem veriyi hangi formatta, kaç günde teslim edersiniz?

Sekiz sorunun cevabını sözlü değil yazılı almak, sonraki yılların en ucuz sigortasıdır. Kurulum yaklaşımımızın tamamını kurumsal yazılım sayfasında anlattık.

---

İlgili Depo Rehberleri ve Hesaplayıcılar

• Sevkiyat Hatası ve İade Maliyeti Hesaplayıcı — Deponuzdaki yanlış ürün gönderimlerinin yıllık çift kargo maliyetini hesaplayın.
• En İyi WMS ve Barkodlu Depo Yönetim Programları — Logo, Mikro, Nebim, DİA ve özel WMS sistemleri karşılaştırması.
• Depo Sevkiyat ve Barkod Kontrol Fiyatları — Paketleme masası ve doğrulama istasyonu bütçe rehberi.
• WMS Depo Yazılımı Fiyatları 2026 — Depo otomasyonu ve adresli raf yönetimi maliyetleri.

Sıkça sorulan sorular

Sunucu hesabı kimin adına açılmalı?

Sizin adınıza. Sunucu, alan adı ve e-posta hesapları tedarikçinin panelinde toplanırsa veriye erişiminiz teknik olarak değil, ilişkinin sürmesine bağlı hâle gelir. Doğru kurguda kök hesap sizde durur, tedarikçiye ayrı bir yönetici kullanıcı açılır ve o kullanıcı ilişki bittiğinde tek tuşla kapatılır.

Veriyi Türkiye'de tutmak zorunda mıyım?

Genel bir zorunluluk yok, ama yurt dışına aktarım KVKK m.9 koşullarına tabidir ve ek belge yükü getirir. Sağlık, finans ve kamu iş yapan şirketlerde sektör düzenlemeleri ayrıca yurt içi barındırma isteyebilir. Yurt içinde tutmak bu tartışmayı baştan kapatır.

Yedek nerede duruyor sorusu neden ayrı sorulmalı?

Çünkü veri ile yedeği çoğu kurulumda aynı yerde durmaz. Ana sunucu Türkiye'de, yedek yurt dışındaki bir nesne deposunda olabilir. Aktarım açısından belirleyici olan yedeğin bulunduğu yerdir; bu soruyu ayrı sormazsanız cevabı öğrenemezsiniz.

Çıkarken veriyi hangi formatta almalıyım?

Tam veritabanı yedeği artı dosya eklerinin arşivi. PDF rapor veya ekran çıktısı veri değildir; başka bir sisteme yüklenemez. Sözleşmede formatı (SQL yedeği, CSV/JSON dışa aktarım) ve teslim süresini gün olarak yazdırın.

Bu yazı ile genel güvenlik rehberi arasındaki fark ne?

Bu yazı verinin fiziksel ve hukuki olarak nerede durduğuna, hesapların kimin adına açıldığına ve çıkışta ne alacağınıza odaklanır. Şifreleme, rol yetkilendirme, denetim izi ve 2FA gibi teknik koruma katmanları kurumsal yazılım güvenliği rehberinde ele alınıyor.

İlgili rehberler

• İnsan Onaylı Otomasyon: Onay Noktası Nereye Konur?
• Kurumsal yazılım güvenliği: kim neyi görüyor, kim ne yaptı, yedek geri dönüyor mu?
• Excel'de kaybettiğiniz zamanın maliyeti ne? Elle işlem maliyeti ve amortisman rehberi

Hizmet sayfası: Kurumsal yazılım hizmeti