KVKK Uyumlu Hosting: Verileriniz Neden Türkiye'de Kalmalı?

KVKK Uyumlu Hosting: Verileriniz Neden Türkiye'de Kalmalı?

Bir web sitesi veya e-ticaret projesi kurarken çoğu işletme sahibi "hangi hosting daha ucuz, hangisi daha hızlı" sorusuna odaklanır. Oysa Türkiye'de faaliyet gösteren, kullanıcılarından ad-soyad, e-posta, telefon, IP adresi veya ödeme bilgisi toplayan her site için sorulması gereken bir başka soru daha var: bu veriler fiziksel olarak nerede saklanıyor? Bu sorunun cevabı, sadece teknik bir ayrıntı değil; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında doğrudan hukuki bir yükümlülük konusudur.

Bu yazıda KVKK'nın veri barındırma yerine neden bu kadar önem verdiğini, yurt dışı barındırmanın getirdiği pratik riskleri ve Türkiye'de barındırma yaparken hosting sağlayıcısında aranması gereken somut kriterleri ele alıyoruz.

KVKK Nedir ve Hosting Seçimini Neden Etkiler?

KVKK, kişisel verileri işleyen (toplayan, saklayan, aktaran) tüm veri sorumlularına belirli yükümlülükler getirir. Bir web sitesi işleten şirket, sitesine gelen ziyaretçilerin IP adresini, üyelik formundaki bilgileri veya sipariş sürecindeki fatura verilerini işlediği andan itibaren KVKK'nın kapsamına girer.

Kanunun hosting seçimini doğrudan etkileyen maddesi, kişisel verilerin yurt dışına aktarımını düzenleyen hükümlerdir. Kanuna göre kişisel veriler, kural olarak ancak açık rıza ile ya da kanunda sayılan istisnai şartların varlığı hâlinde ve yeterli korumanın bulunduğu ya da taraflarca yeterli korumanın taahhüt edildiği ülkelere aktarılabilir. Bir verinin fiziksel olarak yurt dışındaki bir sunucuda tutulması da, hukuki açıdan "yurt dışına aktarım" sayılır — yani sitenizi Türkiye'den yönetseniz bile veritabanınız başka bir ülkedeki bir veri merkezinde barınıyorsa, KVKK'nın yurt dışı aktarım rejimine tabi olursunuz.

Büyükweb notu: Bu noktada işletmelerin çoğu, "hosting seçimi" ile "veri koruma uyumluluğu" arasındaki bağlantıyı sonradan, genelde bir denetim veya şikâyet sürecinde fark ediyor. Oysa doğru barındırma kararı, sürecin en başında alınabilecek en basit önlemlerden biri.

Verileriniz Yurt Dışında Barınırsa Ne Değişir?

Verinin yurt dışında tutulması otomatik olarak yasa dışı anlamına gelmez, ancak işletmeye ek yükümlülükler ve riskler ekler:

• Ek sözleşme ve bildirim yükü: Yurt dışı aktarımın hukuka uygun sayılması için genellikle ilgili kişiden açık rıza alınması ya da veri sorumlusu ile alıcı arasında Kurul tarafından onaylanan taahhütnamelerin imzalanması gerekir. Bu, küçük ve orta ölçekli bir işletme için ciddi bir hukuki takip yükü demektir.
• Farklı hukuk sistemine tabi olma: Verileriniz başka bir ülkedeki bir veri merkezinde barındığında, o ülkenin kendi veri erişim, istihbarat veya mahkeme talep mevzuatı da devreye girebilir. Türk hukukunda tanınan bir hak veya talep, yurt dışındaki sağlayıcı nezdinde aynı hızda veya aynı şekilde karşılık bulmayabilir.
• Silme/imha taleplerinde gecikme: Bir kullanıcı verisinin silinmesini talep ettiğinde, veri farklı bir ülkede, farklı bir yedekleme rejiminde tutuluyorsa, talebin uçtan uca yerine getirilmesi daha karmaşık hâle gelir.
• Performans kaybı: Hukuki tarafı bir yana, Türkiye'deki kullanıcılara yurt dışından hizmet vermek fiziksel mesafe nedeniyle gecikmeyi (gecikme süresini) artırır; bu da özellikle e-ticaret ve form ağırlıklı sitelerde dönüşüm oranını olumsuz etkiler.
• Denetim ve destek zorluğu: Bir güvenlik olayı yaşandığında, veri merkezine erişim, log talebi veya adli inceleme gibi süreçler yurt içinde çok daha hızlı ilerler.

Türkiye'de Veri Merkezinin Somut Avantajları

Verinin Türkiye sınırları içinde, Türkiye'de kayıtlı bir sağlayıcı üzerinde barınması, yukarıdaki risklerin büyük kısmını doğrudan ortadan kaldırır.

Kriter	Türkiye'de Barındırma	Yurt Dışında Barındırma
KVKK madde 9 kapsamı	Aktarım sayılmaz, ek rıza/taahhütname gerekmez	Yurt dışı aktarım rejimine tabi olabilir
Gecikme (Türk kullanıcı için)	Düşük, doğrudan bağlantı	Mesafeye bağlı olarak daha yüksek
Silme/imha talebi süreci	Doğrudan, tek hukuki rejim altında	Ek koordinasyon ve zaman gerekebilir
Destek dili/saat dilimi	Türkçe, aynı saat dilimi	Genelde farklı saat dilimi
Denetim/adli talep süreci	Türk hukuku çerçevesinde net	Yabancı mevzuata bağlı, belirsizlik artabilir

Bunun yanında fiziksel güvenlik de bir faktördür. Veri merkezinin Tier III standartlarında işletilmesi — yedekli güç kaynağı, yedekli soğutma, kartlı geçiş kontrolü, 7/24 kamera kaydı ve yangın söndürme sistemleri gibi unsurları içerir — sunucunuzun fiziksel olarak yetkisiz erişime veya kesintiye karşı korunmasını sağlar. Bu, KVKK'nın veri güvenliğine ilişkin "gerekli teknik ve idari tedbirleri alma" yükümlülüğünün fiziksel katmanına karşılık gelir.

KVKK Uyumlu Bir Hosting Sağlayıcısında Aranması Gerekenler

Bir hosting veya sunucu sağlayıcısını değerlendirirken sorulacak somut sorular şunlar olmalı:

1. Veri merkezi fiziksel olarak nerede? Sağlayıcı bunu açıkça belirtiyor mu, yoksa muğlak mı bırakıyor?
2. Yedekleme politikası nedir? Günlük otomatik yedek alınıyor mu, yedekler nerede tutuluyor?
3. Veri aktarımı şifreli mi? Sitenize giden-gelen trafik SSL/TLS ile şifreleniyor mu? (Bkz. SSL sertifikası neden zorunlu?)
4. Saldırı koruması var mı? DDoS ve kaba kuvvet saldırılarına karşı önlem alınıyor mu? (Bkz. DDoS saldırısı ve sunucu koruma)
5. Erişim kontrolü nasıl yönetiliyor? Panel ve sunucu erişimi için kimlik doğrulama, yetkilendirme mekanizmaları var mı?
6. İptal/iade şartları net mi? Örneğin hosting ve reseller paketlerinde koşulları açıkça yazılmış 7 gün iade hakkı gibi şeffaf bir politika, sağlayıcının süreçlerine güven duyulmasını kolaylaştırır.
7. Destek Türkçe ve yerel mi? Bir veri güvenliği olayında saatler, hatta dakikalar önemlidir; farklı saat diliminde, farklı dilde destek almak süreci yavaşlatır.

Bu kriterlerin çoğu, aslında "iyi bir hosting sağlayıcısının" da temel özellikleridir — KVKK uyumluluğu ile teknik kalite burada kesişir.

Teknik Önlemler: Şifreleme, Güvenlik Duvarı ve Yedekleme

KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik tedbiri alması" gerektiğini söyler. Pratikte bu üç katmanda karşılık bulur.

1. Aktarım Sırasında Şifreleme

Sitenizle kullanıcı arasındaki her veri alışverişi (form gönderimi, giriş bilgisi, ödeme adımı) şifreli olmalı. Basit bir örnek, Nginx üzerinde HTTP trafiğini otomatik olarak HTTPS'e yönlendirmektir:

server {
    listen 80;
    server_name ornek-site.com www.ornek-site.com;
    return 301 https://$host$request_uri;
}

SSL sertifikası kurulumu ve türleri hakkında detaylı bilgiyi Let's Encrypt / Certbot ile ücretsiz SSL kurulumu yazımızda bulabilirsiniz.

2. Güvenlik Duvarı ve Sertleştirme

Sunucuya sadece gerekli portlardan, gerekli kaynaklardan erişime izin vermek, hem saldırı yüzeyini küçültür hem de olası bir veri sızıntısı riskini azaltır. Sunucu sertleştirme adımlarının kapsamlı bir listesi için sunucu güvenlik sertleştirme (CIS Benchmark) rehberimize bakabilirsiniz.

3. Yedekleme ve Kurtarma

Bir fidye yazılımı saldırısı ya da donanım arızası durumunda güncel bir yedeğin olması, veri kaybını ve dolayısıyla KVKK anlamında "veri güvenliğinin ihlali" riskini büyük ölçüde azaltır. Hosting, reseller ve VDS paketlerinde günlük otomatik yedekleme standart olarak sunulur; GPU VDS gibi özel amaçlı sunucularda ise yedekleme süreci müşteri sorumluluğundadır, bu nedenle bu tür sunucularda kendi yedekleme rutininizi kurmanız gerekir. Fidye yazılımı senaryolarına karşı alınabilecek somut önlemleri ransomware'e karşı sunucu koruma yöntemleri yazımızda anlattık.

Büyükweb notu: Yedekleme, "bir gün lazım olur belki" diye ertelenen bir madde değil; bir veri ihlali sonrası düzenleyiciye "verinin nasıl korunduğunu" anlatırken elinizdeki en somut kanıt oluyor.

VDS ve Hosting Seçerken KVKK Açısından Farklar

Paylaşımlı hosting, çoğu küçük-orta ölçekli site için yeterli ve maliyet açısından mantıklıdır. Ancak veritabanı yoğunluğu artan, çok sayıda kişisel veri işleyen veya kaynak izolasyonu gerektiren projelerde VDS (Sanal Özel Sunucu) tercih edilir.

Büyükweb'in VDS altyapısı VMware vSphere hipervizörü üzerinde çalışır; bu, her VDS'in kendi ayrılmış kaynaklarıyla, diğer müşterilerden izole bir ortamda çalıştığı anlamına gelir. Kurulum aşamasında panel üzerinden hazır işletim sistemi şablonları seçilerek sunucu hazırlanır; özel bir ISO dosyası yükleme seçeneği sunulmaz, bu da kurulum sürecini standartlaştırır ve hatalı/güvensiz imaj kullanımı riskini azaltır. cPanel veya Plesk gibi yönetim panellerinin kurulumu VDS'te ücretsizdir; Plesk lisansı pakete dahildir, cPanel lisansı ise ücretli bir ek seçenek olarak sunulur.

KVKK açısından bakıldığında VDS'in getirdiği ek avantaj, verinizin diğer müşterilerin verisinden fiziksel ve mantıksal olarak daha net ayrıştırılmış olmasıdır — özellikle sağlık, finans veya çok sayıda müşteri verisi işleyen projelerde bu izolasyon, veri güvenliği tedbirlerinin belgelenmesini de kolaylaştırır. Detaylı ürün özelliklerini VDS Sunucu sayfasından, standart paylaşımlı hosting seçeneklerini ise Web Hosting sayfasından inceleyebilirsiniz.

Erişim Güvenliği: Kimlik Doğrulama ve Yönetici Hesapları

Sunucuya kimin, nasıl eriştiği de KVKK'nın "idari tedbirler" başlığına giren bir konu. Parola tabanlı erişim yerine anahtar tabanlı kimlik doğrulama kullanmak, hem yönetici hesaplarının ele geçirilme riskini azaltır hem de erişim loglarının daha güvenilir olmasını sağlar. Bu konuda SSH anahtar tabanlı kimlik doğrulama rehberimiz adım adım kurulumu anlatıyor. Ayrıca güçlü parola politikaları oluşturmak isteyenler için güvenli şifre yönetimi ve parola politikaları yazısı faydalı olacaktır.

KVKK İhlalinin Bedeli: Cezalar ve İtibar Kaybı

KVKK, veri güvenliğine ilişkin yükümlülüklerin ihlali hâlinde veri sorumlusuna idari para cezası uygulanmasını öngörür. Cezaların kesin tutarları her yıl yeniden değerleme oranına göre güncellendiği için burada net bir rakam vermek yerine şunu vurgulamak daha doğru: aydınlatma yükümlülüğünü yerine getirmeme, veri güvenliği tedbirlerini almama, Kurul kararlarını uygulamama ve VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğünü yerine getirmeme gibi her ihlal türü ayrı bir idari para cezası kalemine tabidir ve bu cezalar kümülatif olarak uygulanabilir.

Parasal cezanın ötesinde, bir veri ihlali haberinin duyulması müşterinin markaya olan güvenini doğrudan zedeler. Küçük bir e-ticaret sitesi için bu itibar kaybı, cezanın kendisinden çok daha kalıcı bir maliyet olabilir. Bu nedenle veri güvenliği yatırımı, sadece bir "uyumluluk kutusu işaretleme" değil, işin sürekliliğini koruma yatırımı olarak görülmeli.

Sık Karşılaşılan Diğer Güvenlik Riskleri

KVKK uyumluluğu tek başına bir yerde barındırma kararından ibaret değil; sunucu düzeyinde alınan önlemlerle bütünleşik ilerler. Örneğin web uygulamanızda OWASP Top 10'da sayılan zafiyetlerin (SQL enjeksiyonu, XSS gibi) bulunması, veri merkezi Türkiye'de olsa bile veri sızıntısına yol açabilir. Bu konuda OWASP Top 10 web uygulama güvenliği rehberi ve WAF kurulumu için ModSecurity WAF kurulumu ve OWASP kuralları yazısı katman katman koruma kurmak isteyenler için faydalı kaynaklar.

Büyükweb'in Türkiye Odaklı Yaklaşımı

Büyükweb notu: Türkiye merkezli bir hosting sağlayıcısı olarak, sunucu altyapımızı Tier III standartlarında işletilen veri merkezlerinde, Türkiye sınırları içinde tutuyoruz. Hosting, reseller ve VDS paketlerinde günlük otomatik yedekleme standart özellik; GPU VDS'te ise yedekleme süreci müşteri tarafında yönetiliyor. Amacımız, müşterilerimizin KVKK uyumluluğu için ayrıca yurt dışı aktarım süreçleriyle uğraşmasına gerek bırakmadan, verinin baştan sona Türkiye'de kalmasını sağlamak.

Bu yaklaşımın pratik faydası iki yönlü: bir yandan hukuki süreç sadeleşiyor, diğer yandan Türkiye'deki kullanıcılara sunulan hizmetin gecikme performansı iyileşiyor. Özellikle yoğun trafik alan, form ve ödeme adımı içeren sitelerde bu fark kullanıcı deneyimine doğrudan yansıyor.

Sıkça Sorulan Sorular

KVKK'ya göre kişisel veriler mutlaka Türkiye'de mi tutulmalı?

Kanun doğrudan "veri Türkiye dışına çıkamaz" demez, ancak yurt dışına aktarımı sıkı şartlara (açık rıza, taahhütname, Kurul onayı gibi) bağlar. Pratikte bu şartları eksiksiz yerine getirmek çoğu küçük-orta ölçekli işletme için zor olduğundan, veriyi Türkiye'de tutmak en basit ve güvenli yol olarak öne çıkar.

Paylaşımlı hosting KVKK açısından yeterli mi, yoksa VDS mi gerekir?

Çoğu kurumsal olmayan web sitesi ve küçük e-ticaret projesi için paylaşımlı hosting yeterlidir; önemli olan veri merkezinin konumu ve sağlayıcının aldığı güvenlik önlemleridir. Yüksek trafikli, çok kullanıcı verisi işleyen veya izole kaynak gerektiren projelerde ise VDS tercih edilmelidir.

Hosting sağlayıcısının veri merkezinin Türkiye'de olduğunu nasıl anlarım?

Sağlayıcının resmi ürün sayfalarında veya iletişim kanallarında veri merkezi konumunu net biçimde sorup teyit edin. Şeffaf sağlayıcılar bu bilgiyi saklamaz.

SSL sertifikası KVKK uyumluluğu için zorunlu mu?

Doğrudan kanun metninde "SSL şart" ifadesi yoktur, ancak KVKK'nın öngördüğü "uygun teknik tedbirler" yükümlülüğü kapsamında, kullanıcı verisinin aktarım sırasında şifrelenmesi neredeyse tüm denetim ve uyumluluk kılavuzlarında beklenen bir asgari önlemdir.

Yedekleme ile KVKK uyumluluğu arasındaki ilişki nedir?

Yedekleme, doğrudan bir KVKK maddesi değildir ama "veri güvenliğini sağlama" genel yükümlülüğünün önemli bir parçasıdır. Bir saldırı veya arıza sonucu veri kaybı yaşanması, veri güvenliği tedbirlerinin yetersiz kaldığı şeklinde değerlendirilebilir.

VDS'te işletim sistemi kurulumu nasıl yapılıyor?

Kurulum, panel üzerinden sunulan hazır işletim sistemi şablonlarından seçim yapılarak gerçekleştirilir. Özel ISO dosyası yükleyerek kurulum yapma seçeneği bulunmaz.

Küçük bir işletme için KVKK uyumluluğu abartılı bir maliyet mi?

Hayır. Veri merkezi konumu doğru bir sağlayıcı seçmek, SSL kullanmak, güçlü parola/anahtar tabanlı erişim ve düzenli yedekleme gibi temel adımların çoğu, zaten iyi bir hosting hizmetinin standart parçasıdır; ayrı bir bütçe gerektirmez.

Büyükweb Hizmetleri

Verinizi Türkiye'de, Tier III standartlarında bir veri merkezinde barındırmak ve KVKK uyumluluğunuzu sadeleştirmek için:

• Web Hosting — günlük otomatik yedekleme ve koşullu 7 gün iade hakkı sunan paylaşımlı hosting paketleri
• VDS Sunucu — VMware vSphere altyapılı, izole kaynaklı sanal özel sunucular

Sorularınız için 0850 302 60 70 numaralı satış öncesi destek numaramızdan bize ulaşabilir veya iletişim sayfası üzerinden bizimle iletişime geçebilirsiniz.