Yurt dışına kişisel veri aktarımı: tur operatörü, yabancı yazılım ve standart sözleşme

Yurt dışına veri aktarımı, kişisel verinin Türkiye dışına gönderilmesi, depolanması veya erişilebilir kılınmasıdır; Almanya'daki bir tur operatörüne e-postayla gönderilen oda listesi ya da yurt dışında barındırılan bir rezervasyon motoru buna örnek verilir. 6698 sayılı Kanun'un 9. maddesi bu aktarıma ancak üç yoldan biriyle izin verir: yeterlilik kararı, uygun güvence ya da arızi aktarım. Kendi durumunuzu bir hukuk danışmanıyla teyit edin.

Kırk kişilik bir grubun oda listesi, e-posta eki olarak Almanya'daki tur operatörüne gönderilir. Aynı hafta rezervasyon motoru, bülten aracı ve grubun ortak klasörü Türkiye dışındaki sunucularda durur. Bunların her biri bir yurt dışına veri aktarımıdır ve her birinin bir yola ihtiyacı vardır. Bu yazı, yurt dışına veri aktarımının ne olduğunu, 2024'te 9. maddede ne değiştiğini, standart sözleşmenin ne içerdiğini ve otelinizin gerçek akışlarını nasıl haritalayacağınızı anlatıyor. Sonunda elinizde danışmanınıza götürebileceğiniz bir akış kaydı olacaktır.

Misafir verisinin yurt dışına aktarımı sayılması için ne gerekir?#

Yurt dışına veri aktarımı, kişisel verinin Türkiye'den çıkması ya da Türkiye dışında depolanması veya erişilebilir kılınmasıdır; mekanizma ne olursa olsun: bir e-posta eki, barındırılan bir sistem ya da başka bir ülkeden yapılan bir destek girişi. Bunu bir harita kurmak için işlevsel bir tanım olarak kullanın, hukuki görüş olarak değil. Sizin durumunuzda sınırların nereden geçtiği, danışmanınızın yanıtlaması gereken bir sorudur.

Günlük örnekleri tek tek ele alalım:

• Gönderme. Yurt dışında yerleşik bir tur operatörüne veya acenteye e-postayla gönderilen oda listesi, rezervasyon dökümü veya misafir mesajlaşma geçmişi.
• Depolama. Sunucuları Türkiye dışında bulunan rezervasyon motoru, kanal yöneticisi, e-posta hizmeti veya yedekleme sistemi; satıcının personeli verilerinize hiç bakmasa bile.
• Erişilebilir kılma. Yurt dışındaki grup merkez ofisinin bir panoyu açması ya da satıcının yurt dışındaki destek mühendisinin bir arızayı çözmek için sisteminize giriş yapması.

Misafir verisi bulunan bir dizüstü bilgisayar veya telefonu fuar ya da satış gezisiyle yurt dışına taşımak da aynı sorunun küçük boyutlu hâlidir.

Satıcının uyruğu neden yanıltır#

Satıcının sicil adresi ölçüt değildir. Türkiye'de barındırma yapan yabancı sermayeli bir şirketle, yurt dışında barındırma yapan Türk şirketi farklı vakalardır ve tek başına bu olguya bakıldığında yalnızca biri aktarımdır. Önemli olan verinin nerede durduğu ve kimin ona erişebildiğidir; şirket antetindeki bayrak değil.

Sıra önemlidir: önce bir aktarım olduğunu saptayın, sonra yolu seçin. Akışı haritalamadan sözleşme seçmek, otellerin yanlış şeyi tarif eden evrakla sonuçlanmasının yoludur.

2024'ten bu yana 9. maddeye göre üç yol nedir?#

Yurt dışına veri aktarımı için üç şeyden biri gerekir: yeterlilik kararı, uygun güvence veya dar kapsamlı bir arızi sebep. Üçünün de ayrıca 5. veya 6. maddede bir işleme şartı arar. Bu yapıyı 7499 sayılı Kanun, 9. maddeyi 2 Mart 2024'te yeniden yazarken kurdu (kaynak: Mevzuat Bilgi Sistemi, 6698 sayılı Kanun birleşik metin, 7 Kasım 2026).

Yol 1: yeterlilik kararı#

Kurul, bir ülkenin, ülkedeki belirli sektörlerin ya da bir uluslararası kuruluşun yeterli koruma sağladığına karar verir, kararı Resmî Gazete'de yayımlar ve en az dört yılda bir gözden geçirir. Ülkenin genel itibarına değil, yayımlanmış kararın kendisine bakın. 5. veya 6. maddede bir işleme şartının varlığı yine gereklidir.

Yol 2: uygun güvenceler#

Yeterlilik kararı yoksa taraflar dört güvenceden birini sağlar: kamu kurumları veya uluslararası kuruluşlar arasındaki uluslararası sözleşme niteliği taşımayan ve Kurul iznine bağlı bir anlaşma; Kurulun onayladığı bağlayıcı şirket kuralları; Kurulun ilan ettiği standart sözleşme; ya da yeterli korumayı sağlayan hükümler içeren, yine Kurul iznine bağlı yazılı bir taahhütname. İki ek şart vardır: ilgili kişi, aktarımın yapılacağı ülkede haklarını kullanabilmeli ve etkili kanun yollarına başvurabilmeli; ayrıca bir işleme şartı bulunmalı.

Yol 3: arızi aktarımlar#

Ne yeterlilik kararı ne de güvence varsa yedi dar sebep kalır: muhtemel riskler hakkında bilgilendirildikten sonra verilmiş açık rızadan başlayıp sözleşmenin ifası zorunluluğu, hukuki talepler ve kamuya açık sicilden aktarıma kadar. Bunları bir sonraki bölümde ele alıyoruz.

İki nokta daha. Aktarılan verinin sonraki aktarımlarında ve uluslararası kuruluşlara aktarımda da aynı güvenceler aranır (9. maddenin sekizinci fıkrası): alıcı zinciri yükümlülüğü seyreltmez. Ayrıca Geçici 3. madde, 9. maddenin eski birinci fıkrasını yeni metinle birlikte 1 Eylül 2024'e kadar yürürlükte tuttu; o tarihten önce yazılmış görüş ve şablonlar artık var olmayan bir yolu tarif ediyor olabilir.

KVKK standart sözleşmesi ne içerir ve kim imzalar?#

Kurul metni yayımlar, taraflar metni değiştirmeden imzalar ve son imza, Kuruma bildirim için beş iş günlük bir süreyi başlatır. Bu kurallar, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliğin 14. maddesinden gelir (Resmî Gazete, 10.07.2024, No. 32598).

Metnin kapsaması gerekenler#

Sözleşme veri kategorilerini, aktarım amaçlarını, alıcı ve alıcı gruplarını, alıcının alacağı teknik ve idari tedbirleri ve özel nitelikli kişisel veriler için ek önlemleri kapsar. İlan edilmiş metni hiçbir değişiklik yapmadan kullanın. Sözleşme yabancı dilde de yapılırsa Türkçe metin esas alınır. İmzacılar, aktarımın tarafları ya da onları temsile ve imzaya yetkili kişilerdir; imzalanmış bir sipariş formu veya satıcının kendi veri işleme ek sözleşmesi aynı belge değildir.

Beş günlük bildirim, adım adım#

Bildirim, Kurumun o gün gerektirdiği yöntemle yapılır: fiziken, kayıtlı elektronik posta (KEP) ile ya da Kurulun belirlediği başka bir yöntemle. Kurul, bildirimlerin çevrim içi modül üzerinden de yapılabileceğini duyurmuştur. Güncel bildirim yöntemini ve süreyi Kurumun sitesinden kontrol edin ve danışmanınızla teyit edin. Taraflar, sözleşmede bildirimi kimin yapacağını belirleyebilir; belirlemezlerse bildirimi veri aktaran taraf yapar.

Bildirime, imzalayanların yetkisini gösteren belgeler ve yabancı dildeki her belgenin noter onaylı çevirisi eklenir. Metin değiştirilmişse ya da taraflardan birinin geçerli imzası yoksa Kurul, Kanunun 15. maddesine göre inceleme yapar. Taraflarda veya sözleşmedeki bilgilerde değişiklik olursa ya da sözleşme sona ererse, aynı usulle yeniden bildirim yapılır.

Arızi yol, otelin rutin akışlarına neden nadiren uyar?#

Çünkü tekrarlamayan aktarımlar için tasarlanmıştır; her gece gönderilen müsaitlik akışı ya da her hafta gönderilen oda listesi ise tekrarlayan akışın ta kendisidir. Kanundaki Türkçe söz arızidir: geçici, tesadüfî. Belirli bir düzenle, aynı alıcıya tekrarlayan bir akış bunun tam tersidir.

Açık rıza yedi sebepten biridir, ama kişinin önce muhtemel riskler hakkında bilgilendirilmesini gerektirir ve geri alınabilir. Oda listesi ise genellikle misafire hiçbir şey sorulmadan hazırlanır. Sözleşme zorunluluğu, ilgili kişiyle veri sorumlusu arasındaki bir sözleşmenin ifasını veya kişinin talebiyle alınan sözleşme öncesi tedbirleri kapsar; bir tur operatörü rezervasyonunun bu tanıma uyup uymadığı danışmanınızın sorusudur, akış şemasından çıkarılacak bir sonuç değil. Kamu yararı, hukuki talepler ve yaşam veya beden bütünlüğü sebeplerinin her birinin kendi dar kapsamı vardır ve hiçbiri bir tedarikçi ilişkisi için genel bir izin değildir.

Rutini arıziden ayıran üç soru#

Her akışa sorun: tekrarlıyor mu, aynı alıcıya mı gidiyor ve sizinle hiç doğrudan ilişki kurmamış misafirleri kapsıyor mu? Üçüne de yanıt evetse, arızi sebeplere değil güvencelere bakın. Arızi yol, henüz sözleşme yapmadığınız bir tedarikçi için kalıcı bir sığınak değildir.

Otelin gerçek veri akışları nasıl haritalanır?#

Binadan gerçekten çıkan belge ve mesajlardan başlayın, sonra her birini arkasındaki sisteme ve ülkeye kadar izleyin. Önce eserleri, sonra sistemleri toplayın: oda listeleri, rezervasyon dökümleri, misafir mesajlaşma geçmişleri, acentelere gönderilen faturalar, ortak elektronik tablolar, grup raporlama paketi.

Satıcı zincirini baştan sona yürüyün: rezervasyon motoru, kanal yöneticisi, e-posta barındırıcısı, müşteri ilişkileri yönetimi aracı, değerlendirme ve anket araçları, yedekleme ve giriş yapabilen destek masası. Grubu da sayın: yurt dışındaki bir merkez ofisin misafir bazında raporlar okuması bir aktarımdır ve bağlayıcı şirket kuralları tam olarak bu örüntü için tasarlanmış güvencedir. Satıcı barındırmayı değiştirdiğinde ya da bir alt işleyici eklediğinde ve en az yılda bir kez haritayı yeniden çalıştırın; barındırma sessizce taşınır.

Haritayı saklayın. Danışmanınızın üzerinde çalışacağı belge budur ve standart sözleşmenin içeriğinin uyması gereken belge de budur. Bulut tabanlı bir otel işletim sisteminde her otelin verisinin birbirinden nasıl ayrı tutulduğu ilgili ama ayrı bir sorudur; çok kiracılı otel yazılımı notumuz bunu ele alıyor.

Akış kaydı, alan alan#

Yurt dışına aktarım hakkında misafirlere ne söylenmelidir?#

Aktarım yolu, aydınlatma yükümlülüğünün yerine geçmez: aydınlatma metni, verinin yurt dışına aktarıldığını, kime ve hangi yolla aktarıldığını söylemelidir. Standart sözleşme kapsamında Kuruma bildirim, düzenleyiciye karşı bir yükümlülüktür; misafire hiçbir şey söylemez.

Dayanılan sebep açık rızaysa, kişi rıza vermeden önce muhtemel riskler hakkında bilgilendirilmelidir; bu, metindeki bir satırdan daha yüksek bir çıtadır. Metni yararlı olacak kadar ayrıntılı tutun: veri kategorileri, alıcı grupları, bilinen ülkeler ve dayanılan yol. Bir satıcı barındırmayı başka bir ülkeye taşıdığında ya da yeni bir araç misafir mesajlarını işlemeye başladığında metni güncelleyin. Aydınlatma metninin kendisinin de bölüm bölüm izlenebilecek bir yapısı vardır; şablonumuz bunu adım adım anlatır. Bildirim, rıza, personel erişimi ve saklama süreleri çevresindeki daha geniş yükümlülükler ise oteller için KVKK rehberimizde yer alır.

Yol değiştiğinde metinde ne değişir#

Bir yol değiştiğinde metni güncelleyin; örneğin bir satıcı barındırmayı başka bir ülkeye taşıdığında veya yeni bir araç misafir mesajlarını işlemeye başladığında. Yol değişikliği yalnızca bir sözleşme sorunu değildir; aynı zamanda misafire bakan bir sorundur.

Danışmanınıza ne sormalısınız?#

Akış kaydını ve imzalanmış metinleri yanınıza alın ve sınırları sorun: hangi akışlar aktarımdır, her birine hangi yol uyar ve metin ne demelidir. Soruları yazılı olarak sorun, yanıtları kayıtla birlikte saklayın.

• Akışlarımızdan hangileri yurt dışına aktarımdır, hangileri yabancı sermayeli bir satıcıda yerli işlemedir?
• Her rutin akış için o yönü kapsayan bir yeterlilik kararı var mı ve karar, alıcının çalıştığı sektörü kapsıyor mu?
• Standart sözleşme kullanacaksak her tarafı kim imzalar, bildirimi kim yapar ve yetkisini ne kanıtlar?
• Herhangi bir akış gerçekten arızi bir sebebe uyuyor mu ve bu durumda misafire önceden ne söylememiz gerekir?
• Aydınlatma metni şu an ne demeli ve bir güncellemeyi ne tetikler?

Güncel metni, bildirim yöntemini ve bildirimin kaçırılmasının sonuçlarını danışmanınızla teyit edin. Bu yazı mekanizmayı anlatır, sizin durumunuzu değil. Bir yapay zekâ asistanı veya mesajlaşma aracı misafir verisine dokunduğunda, aktarım sorusu aracın kendisiyle ilgili ikinci bir soru dizisiyle birlikte gelir; yapay zekâ ve misafir verisi yazımızda bu soruları bulabilirsiniz.

Şimdi ne yapmalı#

Evrakı seçmeden önce akışları haritalayın. Bu ay, binadan gerçekten çıkan belgelerden akış kaydını kurun, her satırı aktarım ya da aktarım değil olarak işaretleyin ve o tek sayfayı, Kurulun güncel standart sözleşme metniyle birlikte danışmanınıza götürün. Yollar, ancak gerçek bir haritanın ve gerçek bir işleme şartının üzerinde durduğunda çalışır.