Yurt Dışına Aktarım Belgesi
D-08 · v1.0 · yayında
| Alan | Değer |
|---|---|
| Belge kodu | D-08 |
| Belge adı | Yurt Dışına Aktarım Belgesi |
| Sürüm | v1.0 |
| Yayın tarihi | 2026-09-12 |
| Dayanak | 6698 sayılı Kanun m.9 (7499 sayılı Kanunla değişik — RG 12.03.2024); Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024, 32598); KVKK Kişisel Verilerin Yurt Dışına Aktarılması Rehberi; m.10 (aydınlatma); m.5 ve m.6 (işleme şartları) |
| Durum | v1.0 yayında (2026-09-12) |
1. Neden bu belge var
Kişisel veri, Türkiye'den başka bir ülkeye aktarıldığında 6698 sayılı Kanun'un 9. maddesi devreye girer. mybusyness'in çalışması sırasında yurt dışına aktarım gerçekleşmektedir. Bu belge, hangi verinin, kime, hangi amaçla, hangi hukuki mekanizmayla gittiğini açıkça ortaya koyar.
2. Tanımlar (bir kez)
- Yurt dışına aktarım: Kişisel verinin Türkiye dışındaki bir gerçek veya tüzel kişiye, ya da yurt dışındaki bir sunucuya iletilmesi veya orada erişilebilir kılınması.
- Yeterlilik kararı: Kurul'un, bir ülke, sektör veya uluslararası kuruluş hakkında verdiği ve o yöne aktarımı serbest bırakan karar.
- Uygun güvence: Yeterlilik kararı yoksa kullanılabilen mekanizmalar — taahhütname, bağlayıcı şirket kuralları, standart sözleşme, uluslararası sözleşme niteliğindeki anlaşmalar.
- Maskeleme: Kimlik verilerinin, dış çağrıdan önce
[KISI-001]gibi etiketlerle değiştirilmesi.
3. Hukuki çerçeve — üç kapı
Kanun m.9 üç kapı tanır ve bunlar sırayla değerlendirilir:
Kapı 1 — Yeterlilik kararı (m.9/1). Kurul, bir ülke hakkında yeterlilik kararı vermişse aktarım serbesttir. BUGÜNKÜ DURUM: Kurul tarafından hiçbir ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı verilmemiştir. Amerika Birleşik Devletleri dâhil hiçbir ülke bu kapıdan geçmez. Bu kapı kapalıdır.
Kapı 2 — Uygun güvence (m.9/2). Yeterlilik kararı yoksa; taraflar arasında standart sözleşme imzalanması, taahhütname verilip Kurul izni alınması veya bağlayıcı şirket kurallarının onaylanması hâlinde aktarım yapılabilir. Ayrıca ilgili kişinin aktarılan ülkede haklarını kullanma ve etkili başvuru imkânının bulunması aranır. Standart sözleşme kullanılırsa, imza tarihinden itibaren 5 iş günü içinde Kurum'a bildirim yapılır.
Kapı 3 — Arızi hâller (m.9/6). Yukarıdakilerin bulunmadığı hâllerde, yalnızca arızi olmak kaydıyla ve sayılan istisnalardan birinin varlığında aktarım yapılabilir; bunların başında ilgili kişinin aktarıma ilişkin açık rızasının bulunması gelir. Bu kapı, süreklilik arz eden aktarımlar için kullanılamaz.
Değerlendirme: mybusyness'teki bulut model aktarımı süreklidir; bu nedenle Kapı 2 (standart sözleşme) esas mekanizmadır. Ölçüm çerezi aktarımı ise ziyaretçinin açık rızasına bağlanmıştır ve rıza yoksa hiç gerçekleşmez.
4. Aktarım envanteri
4.1 Bulut dil modeli sağlayıcıları
| Başlık | İçerik |
|---|---|
| Ne aktarılır | Bir işin hazırlanması için modele gönderilen metin — yalnızca maskelenmiş hâliyle ve yalnızca D0–D2 sınıfındaki içerik |
| Ne aktarılmaz | D3 ve D4 sınıfındaki hassas içerik (yalnız yerel modele gider), D5 sınıfındaki sır niteliğindeki içerik (hiçbir modele gitmez), maskelenen kimlik verilerinin kendisi, maskeleme haritası |
| Amaç | Metnin özetlenmesi, sözleşme maddelerinin çıkarılması, departman sorularının yanıtlanması gibi sınırlı sayıda iş türü |
| Alıcılar | Modelin sağlayıcısı; sağlayıcı, ürünün model yapılandırmasından çözülür ve kodda sabit değildir. Bugün kullanılan sağlayıcıların merkezleri Amerika Birleşik Devletleri'ndedir. |
| Mekanizma | Kapı 2 — standart sözleşme. İmzalanana kadar bu aktarım yapılmamalıdır. |
| Sıklık | Sürekli (kullanım oldukça) |
| Saklama | Sağlayıcı tarafında saklama süresi ve eğitim amacıyla kullanım yasağı, standart sözleşmede ve sağlayıcı sözleşmesinde ayrıca düzenlenir |
AZALTICI TEDBİRLER (kodda ölçülmüş):
- Çağrıdan önce maskeleme: T.C. kimlik numarası resmî algoritmayla, IBAN mod-97 ile doğrulanarak; telefon, e-posta, vergi kimlik numarası, kart numarası ve anahtar benzeri diziler dâhil.
- D0–D5 sınıflandırması ve rotalama; D5 hiçbir modele gitmez.
- Maskeleme haritası şifreli saklanır ve 24 saat içinde imha edilir; haritanın kendisi hiçbir zaman dışarı çıkmaz.
- Yerel modele yönlendirilen iş, yerel model yoksa görünür hata verir; buluta sessizce kaymaz.
- Ürünün yaptığı işlerin büyük bölümü hiçbir model kullanmaz; bu işlerde hiçbir aktarım olmaz.
- Excel ve CSV yoluyla yapılan veri devralmada tek satır bile dışarı çıkmaz.
DÜRÜST SINIR — GİZLENMEZ: Maskeleme kimlik verilerini çıkarır, serbest metni anonimleştirmez. Bir sözleşme paragrafı veya yazışma metni, maskelemeden sonra da kişisel veri taşıyabilir ve bağlam yoluyla bir kişiye ulaşılmasına imkân verebilir. Bu nedenle bu aktarım, kişisel veri aktarımı sayılmakta ve m.9'un tüm gerekleri buna göre yerine getirilmektedir. «Maskelendiği için kişisel veri değildir» savunması bu belgede kullanılmamaktadır.
4.2 Ziyaret ölçüm hizmeti (Google Analytics)
| Başlık | İçerik |
|---|---|
| Ne aktarılır | IP adresi, cihaz ve tarayıcı bilgisi, sayfa gezinme verisi, çerez kimliği |
| Amaç | Site kullanımının ölçülmesi |
| Alıcı | Google Ireland Limited ve Google LLC (Amerika Birleşik Devletleri) |
| Mekanizma | Kapı 3 — ziyaretçinin açık rızası (D-04). Rıza yoksa etiket yüklenmez ve hiçbir aktarım gerçekleşmez. |
| Sıklık | Rıza veren ziyaretçilerin her ziyaretinde |
| Ek tedbir | Ölçüm etiketi, rıza gelene kadar tüm onay sinyalleri reddedilmiş hâlde başlatılır |
4.3 Site varlıklarının yurt dışı sunuculardan yüklenmesi
| Başlık | İçerik |
|---|---|
| Ne aktarılır | Ziyaretçinin IP adresi ve tarayıcı bilgisi |
| Nasıl | Sayfadaki bazı görsel, video ve yazı tipi dosyaları yurt dışındaki sunuculardan yüklenmektedir; tarayıcı bu sunuculara doğrudan istek gönderir |
| Amaç | Sayfanın görüntülenmesi |
| Mekanizma | Mevcut durumda hiçbir mekanizma kurulmamıştır. Bu bir açıktır. |
| Çözüm | Bu varlıkların kendi sunucumuza taşınması. Taşıma tamamlandığında bu aktarım tamamen ortadan kalkar ve bu bölüm belgeden çıkarılır. |
Bu belge yayımlanmadan önce ya taşıma tamamlanmalı ya da bu aktarım burada ve D-01'de açıkça beyan edilmelidir. Beyansız bırakılamaz.
4.4 E-posta gönderim sağlayıcısı
| Başlık | İçerik |
|---|---|
| Bugünkü durum | E-posta gönderim altyapısı bağlı değildir; bugün hiçbir e-posta gönderilmemektedir ve bu kanaldan hiçbir aktarım yapılmamaktadır. |
| Kurulduğunda | Sağlayıcının yurt dışında olması hâlinde: gönderilecek iletinin alıcı adresi ve içeriği aktarılmış olur. Mekanizma standart sözleşme olmalıdır. |
| Ön koşul | Sağlayıcı seçilmeden ve standart sözleşme imzalanıp Kurum'a bildirilmeden e-posta kanalı açılmamalıdır. |
4.5 Müşteri'nin kendi anahtarıyla bağladığı dış hizmetler
| Başlık | İçerik |
|---|---|
| Bugünkü durum | Bugün kendi anahtarınızla bağlanabilen iki sağlayıcı da Türkiye merkezlidir; bu yoldan yurt dışına aktarım yapılmamaktadır. |
| İleride | Yurt dışı merkezli bir pazaryeri veya hizmet bağlanabilir hâle gelirse, o bağlantı açılmadan önce bu envantere eklenir, mekanizması belirlenir ve Müşteri ayrıca bilgilendirilir. |
4.6 Barındırma
Şirket verileriniz Türkiye'deki sunucuda tutulur. Barındırma yoluyla yurt dışına aktarım yapılmamaktadır.
5. Aktarım öncesi zorunlu kontrol listesi
Aşağıdakilerin tamamı tamamlanmadan ilgili aktarım başlatılmamalıdır:
| # | Kontrol | İlgili aktarım |
|---|---|---|
| 1 | Alıcı ile standart sözleşme imzalandı | 4.1, 4.4 |
| 2 | Standart sözleşme, imzadan itibaren 5 iş günü içinde Kurum'a bildirildi ve bildirim kanıtı dosyalandı | 4.1, 4.4 |
| 3 | Aktarım, D-01 ve D-02 aydınlatma metinlerinde alıcı ve amaç bazında gösterildi | Tümü |
| 4 | Açık rızaya dayanan aktarımda rıza, D-04'teki koşullara uygun alındı ve kaydedildi | 4.2 |
| 5 | VERBİS kaydında yurt dışı aktarım alanı güncellendi | Tümü |
| 6 | Alıcı tarafındaki saklama süresi ve imha yöntemi yazılı olarak alındı ve D-10'a işlendi | 4.1, 4.4 |
| 7 | Yurt dışı sunuculardan yüklenen varlıklar kendi sunucumuza taşındı veya beyan edildi | 4.3 |
6. Değişiklik yönetimi
6.1. Yeni bir alıcı eklenmesi, mevcut bir alıcının değişmesi veya aktarılan veri kategorisinin genişlemesi, bu belgenin güncellenmesini gerektirir.
6.2. Güncelleme hâlinde: sürüm numarası artırılır, aydınlatma metinleri güncellenir, gerekiyorsa yeni standart sözleşme imzalanır ve Kurum'a bildirilir, VERBİS kaydı yenilenir.
6.3. Aktarım envanterinde olmayan hiçbir alıcıya aktarım yapılamaz.
7. İlgili kişinin hakları
Yurt dışına aktarım konusunda da Kanun m.11'deki haklar geçerlidir: verinizin hangi üçüncü kişilere aktarıldığını öğrenme, düzeltme ve silme talep etme, aktarımın bildirilmesini isteme ve zararın giderilmesini talep etme. Başvuru için D-13 · İlgili Kişi Başvuru Formu kullanılır; başvurular 30 gün içinde sonuçlandırılır.
Açık rızaya dayanan aktarımlarda rızanızı istediğiniz an geri alabilirsiniz; geri alma ile aktarım durur.
Aktarım envanteri, kodda ölçülen davranıştan çıkarılmıştır. Hukuki tavsiye değildir.