Kısa cevap: KVKK, verinin nerede tutulacağına dair mutlak bir yasak koymaz ama yurt dışına aktarımı şarta bağlar. Bu yüzden pratikte en kolay yol, kişisel veri işleyen sitenin Türkiye'de barındırılmasıdır. Bunun dışında hosting sağlayıcınızdan üç şey istemeniz gerekir: veri işleyen sözleşmesi, yedekleme taahhüdü ve erişim kaydı.
Şirket sitesi bir iletişim formu topluyorsa, üye kaydı alıyorsa ya da sipariş işliyorsa kişisel veri işliyor demektir. Bu noktada hosting seçimi teknik bir karar olmaktan çıkıp uyum kararına dönüşür.
Veri nerede tutulmalı?
KVKK kişisel verinin yurt dışına aktarılmasını yasaklamaz, koşula bağlar. İlgili kişinin açık rızası, yeterli korumaya sahip ülke listesi ya da taahhütname gibi mekanizmalar gerekir. Bunların her biri ek süreç, ek belge ve ek risk demektir.
Sunucu Türkiye'de olduğunda bu sorunun tamamı ortadan kalkar; aktarım olmadığı için aktarım şartlarını sağlamak zorunda kalmazsınız. Bu yüzden kişisel veri işleyen çoğu kurumsal site için yurt içi barındırma en az sürtünmeli yoldur.
Dikkat edilecek bir ayrıntı var: sunucunun Türkiye'de olması yetmez, yedeklerin de yurt içinde durması gerekir. Yedek başka ülkedeki bir depoya gidiyorsa aktarım yine gerçekleşmiş olur. Sağlayıcınıza yedeklerin fiziksel olarak nerede tutulduğunu sorun.
Sağlayıcıdan istemeniz gereken üç şey
1. Veri işleyen sözleşmesi. Hosting sağlayıcınız sizin adınıza veri işleyen konumundadır. Aranızdaki ilişkinin yazılı olması, sağlayıcının veriyi hangi amaçla ve ne kadar süre işleyeceğini belirlemesi gerekir. Standart hizmet sözleşmesi bunu kapsıyor mu, kontrol edin.
2. Yedekleme ve saklama süresi taahhüdü. Yedek alınıyor mu, hangi sıklıkla, ne kadar süre saklanıyor ve talep hâlinde ne kadar sürede geri yükleniyor. Bu bilgiler net değilse veri kaybı riskini siz taşıyorsunuz.
3. Erişim kaydı. Sunucuya kimin, ne zaman eriştiği kayıt altına alınıyor mu. Bir ihlal durumunda ilk sorulacak soru budur.
Kendi tarafınızda yapmanız gerekenler
Hosting seçimi uyumun sadece bir parçasıdır. Kendi sitenizde de şu dördü olmalı:
SSL zorunlu. İletişim formu ya da üyelik verisi taşıyan bir sayfa şifresiz aktarım yapıyorsa temel güvenlik önlemi eksiktir. SSL bugün ücretsiz kurulabildiği için bunun mazereti yok; ayrıntılar SSL sertifikası nedir yazısında.
Form verilerinin saklama süresi. Üç yıl önceki iletişim formu kayıtları veritabanınızda duruyorsa gereğinden fazla veri tutuyorsunuz. Saklama süresi belirleyip aşanları silin.
Panel erişimlerinin ayrıştırılması. Ajans, geliştirici ve çalışanlar aynı hesabı paylaşıyorsa kim ne yaptı sorusunu cevaplayamazsınız. Ayrı kullanıcı, ayrı yetki.
Aydınlatma metni ve rıza. Formu gönderen kişi hangi verisinin ne için işlendiğini bilmeli. Bu bir hosting işi değil ama uyumun görünen yüzüdür.
Paylaşımlı hosting KVKK için yeterli mi?
Çoğu kurumsal site için yeterlidir. Kritik olan sunucunun paylaşımlı olup olmaması değil, verinin nerede tutulduğu, nasıl yedeklendiği ve erişimin nasıl kontrol edildiğidir.
Ancak şu iki durumda izole bir ortam gerekir: müşteri sözleşmeniz veriye başkasının erişemeyeceği bir ortam şartı koyuyorsa, ya da özel nitelikli kişisel veri (sağlık, biyometrik gibi) işliyorsanız. Bu durumlarda VDS sunucu ya da fiziksel sunucu düşünmeniz gerekir; karar eşiklerini paylaşımlı hosting mi VDS mi yazısında ele aldık.
Şirket siteniz için yurt içi barındırma arıyorsanız kurumsal hosting paketleri İstanbul'daki veri merkezinde çalışır ve yedekler de yurt içinde tutulur.
Sık Sorulan Sorular
KVKK verinin Türkiye'de tutulmasını zorunlu kılıyor mu?
Mutlak bir zorunluluk koymaz, yurt dışına aktarımı şarta bağlar. Açık rıza, yeterli koruma listesi ya da taahhütname gibi mekanizmalar gerekir. Sunucu Türkiye'de olduğunda aktarım gerçekleşmediği için bu şartları sağlamak zorunda kalmazsınız.
Yedeklerin de Türkiye'de olması gerekir mi?
Evet, bu en sık atlanan noktadır. Sunucu yurt içinde olsa bile yedek başka ülkedeki bir depoya gidiyorsa aktarım gerçekleşmiş sayılır. Sağlayıcınıza yedeklerin fiziksel konumunu sorun.
Hosting sağlayıcımdan hangi belgeleri istemeliyim?
Üç şey: veri işleyen sözleşmesi, yedekleme sıklığı ve saklama süresi taahhüdü, sunucuya erişim kayıtlarının tutulduğuna dair bilgi.
Paylaşımlı hosting KVKK açısından yeterli mi?
Çoğu kurumsal site için yeterlidir. Kritik olan sunucunun paylaşımlı olup olmaması değil, verinin konumu, yedekleme düzeni ve erişim kontrolüdür. Özel nitelikli veri işliyorsanız ya da sözleşmeniz izolasyon şartı koyuyorsa sunucuya geçmeniz gerekir.
İletişim formu verilerini ne kadar süre saklayabilirim?
İşleme amacınızın gerektirdiği süre kadar. Amaç ortadan kalktığında silmeniz gerekir. Yıllar önceki form kayıtlarının veritabanında durması gereğinden fazla veri tutmak anlamına gelir.
SSL KVKK için zorunlu mu?
Doğrudan bir madde şeklinde değil ama kişisel veri taşıyan bir formun şifresiz aktarım yapması, alınması gereken teknik tedbirin alınmaması olarak değerlendirilir. SSL ücretsiz kurulabildiği için pratikte zorunlu kabul edin.
