KVKK Uyumlu Proje Yönetimi: Veriyi Hiç Yurt Dışına Çıkarmadan
Yayın tarihi: 7 Ağustos 2026 · mevzuat atıfları 30 Temmuz 2026 itibarıyla günceldir
Şirketinizin proje yönetim aracı bir bulut hizmetiyse — Jira, Trello, Asana, monday.com, Notion, ClickUp — kartlarınızın içindeki her şey yurt dışındaki bir veri merkezinde duruyor. Görev açıklamaları, ek dosyalar, müşteri isimleri, personel atamaları, bazen de sözleşme taslakları.
Bu, 2024'e kadar çoğu şirketin "sonra bakarız" dediği bir konuydu. 2024'te durum değişti.
2024'te ne değişti?
12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun'un 34. maddesi ile 6698 sayılı KVKK'nın 9. maddesi (yurt dışına veri aktarımı) yeniden düzenlendi. Değişiklik 1 Haziran 2024'te yürürlüğe girdi.
Ardından Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi.
Pratikte bunun anlamı: yurt dışına düzenli ve süreklilik arz eden veri aktarımlarında, tek başına açık rızaya dayanmak artık uygun bir yol olarak görülmüyor. Aktarım için yeterlilik kararı, uygun güvence mekanizmaları (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ya da istisna hallerinden birine dayanmak gerekiyor. Standart sözleşmeler için Kurum'a bildirim yükümlülüğü ve buna uymamanın idari para cezası yaptırımı da düzenlendi.
Kaynaklar: KVKK — Yurtdışına Aktarım · KVKK Rehberi No: 48 — Kişisel Verilerin Yurt Dışına Aktarılması
Bulut bir proje aracı kullanmak neyi tetikler?
Ekibiniz bir karta müşteri adı, bir çalışanın performans notu veya bir tedarikçi sözleşmesi eklediği anda, o kart bir kişisel veri taşımaya başlar. Araç yurt dışında barındırılıyorsa bu bir yurt dışına aktarımdır — düzenli, sürekli ve büyük hacimli bir aktarım.
Bu durumda tipik olarak sırayla şunları yapmanız gerekir:
- Veri envanterinize bu aktarımı işlemek
- Aydınlatma metninize "yurt dışına aktarım" başlığını eklemek
- Uygun güvence mekanizmasını kurmak (çoğu şirket için standart sözleşme yolu) ve bildirim yükümlülüğünü yerine getirmek
- Sağlayıcı sözleşmesini, alt işleyicilerini ve veri merkezi konumunu takip etmek
- Sağlayıcı politika değiştirdiğinde tüm bu zinciri yeniden gözden geçirmek
Hiçbiri imkânsız değil. Hepsi zaman, hukuk danışmanlığı ve sürekli takip demek. Ve hepsi tek bir mimari tercihten kaynaklanıyor: verinin dışarıda olması.
Üç uyum yolu — ve maliyetleri
| Yol | Ne yapılır | Yükü |
|---|---|---|
| Güvence mekanizması kurmak | Standart sözleşme imzalamak, bildirimi yapmak, alt işleyicileri izlemek | Sürekli hukuki takip, sağlayıcıya bağımlılık |
| Yeterlilik kararına dayanmak | Aktarım yapılan ülke/sektör için karar bulunması gerekir | Sizin kontrolünüzde değil |
| İstisnalara dayanmak | Ancak arızi durumlar için — süreklilik arz eden aktarımlarda uygun değil | Günlük operasyonel araç için uygulanabilir değil |
Dördüncü yol: veriyi hiç çıkarmamak
En basit uyum stratejisi, uyum sorununu hiç doğurmamaktır.
Calio bir bulut aboneliği değildir. Uygulama da veritabanı da kendi sunucunuzda çalışır. Kartlar, dosyalar, sohbet mesajları ve kullanıcı kayıtları şirketinizin altyapısından dışarı çıkmaz.
Veri yurt dışına aktarılmadığında, yukarıdaki listenin tamamı gündeminize hiç girmez: aktarım kaydı yok, standart sözleşme yok, bildirim yok, alt işleyici zinciri yok, sağlayıcı politika değişikliği takibi yok.
Bu bir hukuki muafiyet değil — bir mimari tercih. KVKK'nın diğer yükümlülükleri (veri minimizasyonu, saklama süreleri, güvenlik tedbirleri, ilgili kişi başvuruları) elbette devam eder. Ama "veri yurt dışında" başlığı sizin dosyanızda hiç açılmaz.
Calio'nun teknik karşılıkları
Uyum bir belge işi olduğu kadar bir teknik yeterlilik işidir. Calio'nun bu tarafta sunduğu somut kontroller:
| İhtiyaç | Calio'da karşılığı |
|---|---|
| Veri nerede tutulur | Sizin sunucunuzda — uygulama ve veritabanı birlikte |
| Yurt dışı aktarım | Yok; veri altyapınızdan çıkmaz |
| Kim, neyi, ne zaman değiştirdi | Değiştirilemez denetim kaydı — IP ve zaman damgasıyla, filtrelenebilir |
| Erişim kontrolü | Havuz ve proje düzeyinde ayrı yetkiler; herkes yalnızca görmesi gerekeni görür |
| Kimlik doğrulama | Oturumlar kısa aralıklarla kendiliğinden yenilenir; parolalar hiçbir yerde okunabilir biçimde tutulmaz |
| Veri taşınabilirliği ve silme | Veritabanı sizde — dilediğiniz an yedekleyin, dışa aktarın, silin |
| Veri işleyen sıfatı | Calio verinize erişmez; işleyen zinciri oluşmaz |
| Yedekleme | Sizin politikanız, sizin takviminiz |
Dürüst not: Uygulama sizin sunucunuzda çalıştığı için o sunucunun fiziksel ve ağ güvenliği, erişim yönetimi ve yedekleme disiplini size aittir. Calio güçlü korumalarla gelir, ama sunucunuza yetkisiz erişimi engellemek ve düzenli yedek almak sizin sorumluluğunuzdadır. Bu, self-hosting'in doğasıdır; bunu peşinen söylüyoruz.
Sıkça gelen üç itiraz
"Açık rıza alıyoruz, yeterli olmuyor mu?"
2024 değişikliğinden sonra, süreklilik arz eden yurt dışı aktarımlarında yalnızca açık rızaya dayanmak uygun bir yöntem olarak görülmüyor. Ayrıntı için KVKK'nın yurt dışına aktarım sayfasına bakabilir veya hukuk danışmanınıza sorabilirsiniz. Calio'da bu sorunun sorulmasına gerek kalmıyor, çünkü aktarım hiç gerçekleşmiyor.
"Bulut sağlayıcımızın Türkiye bölgesi var."
Bu iyi bir soru ve sağlayıcıya göre değişir. Kontrol edilmesi gerekenler: veri hangi bölgede saklanıyor, hangi bölgede işleniyor, destek ekibi hangi ülkeden erişiyor, yedekler nerede tutuluyor, alt işleyiciler kimler. Çoğu araçta bu seçenekler yalnızca en üst kurumsal planlarda satılır. Calio'da soru daha kısa: veri sizin sunucunuzda, işleyen yok.
"Bu bir hukuki tavsiye mi?"
Hayır. Bu sayfa mevzuata kaynak göstererek atıf yapan bilgilendirici bir metindir. Şirketinizin özel durumu için hukuk danışmanınıza başvurun. Bu sayfayı hukuk ve IT ekibinize doğrudan gönderebilirsiniz — tam da bunun için yazıldı.
Sıradaki adım
Hukuk ekibiniz "veri nerede duruyor?" diye sorduğunda cevabınızın "bizim sunucumuzda" olması, uyum dosyanızdaki en kısa satırdır.
Calio'yu 30 dakikalık bir demoda kendi senaryonuz üzerinden görün: denetim kaydı nasıl görünüyor, yetkiler nasıl ayrılıyor, veritabanını nasıl yedekliyorsunuz. Satış baskısı yok.
Lansman kampanyası: demo talep eden ilk 5 şirket Calio'yu 6 ay boyunca ücretsiz kullanıyor.
Sorumluluk reddi: Bu sayfa hukuki tavsiye niteliği taşımaz. Mevzuata yapılan atıflar bilgilendirme amaçlıdır ve yayın tarihindeki (30 Temmuz 2026) düzenlemelere dayanır. Şirketinizin yükümlülükleri için hukuk danışmanınıza başvurun.