CRM Seçiminde Veri Lokasyonu ve KVKK Karşılaştırması

CRM, bir şirketin en yoğun kişisel veri havuzudur: müşteri adları, telefonları, e-postaları, görüşme notları, satın alma geçmişi ve zaman zaman özel nitelikli sayılabilecek bilgiler burada birikir. Bu yüzden CRM seçimi, teknik bir tercih olduğu kadar bir hukuki mimari tercihidir. Sorunun özü de basittir: veri fiziksel olarak nerede duruyor, oraya taşınması hangi mekanizmayla meşrulaşıyor ve o mekanizmanın bakımını kim yapıyor? Bu sayfa, KVKK çerçevesini ve büyük platformların resmî veri merkezi seçeneklerini yan yana koyar.

Hukuki çerçeve: 2024 değişikliğinden sonra m.9

6698 sayılı Kanunun yurt dışına aktarımı düzenleyen 9. maddesi, 7499 sayılı Kanunun 34. maddesiyle değiştirildi ve uygulama esasları 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan «Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik» ile belirlendi. Kurum ayrıca konuyu ayrıntılandıran bir rehber yayımladı: Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (KVKK Yayınları No: 48).

Yeni yapı kademelidir. Birinci basamak yeterlilik kararıdır: Kurulun ilgili ülke, sektör veya uluslararası kuruluş hakkında verdiği karar varsa aktarım bu karara dayanır; Kurum, yeterlilik kararlarını dört yılda bir gözden geçireceğini belirtir (kvkk.gov.tr — Yurt Dışına Aktarım). İkinci basamak uygun güvencelerdir: Kurul tarafından önceden onaylanmış bağlayıcı şirket kuralları, Kurul tarafından yayımlanan standart sözleşmenin imzalanması (ek izin gerektirmez), yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname ile Kurul izni ya da kamu kurumları arasındaki anlaşma ile Kurul izni. Üçüncü basamak arızi hâllerdir: ilk iki yol mümkün değilse, yalnızca arızi olmak kaydıyla kanunda sınırlı sayıda sayılan istisnalara dayanılabilir — yani açık rıza dâhil bu yollar süreklilik arz eden bir CRM aktarımının olağan dayanağı değildir.

Uygulamada en yaygın yol standart sözleşmedir ve burada sık atlanan bir adım vardır: KVKK’nın kamuoyu duyurularına göre standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak, KEP adresi üzerinden veya Kurumun Standart Sözleşme Bildirim Modülü aracılığıyla Kuruma bildirilmelidir (KVKK kamuoyu duyurusu). Aynı duyuru, bildirim yükümlülüğünün süresinde yerine getirilip getirilmediğinin tespit edilebilmesi bakımından tarafların her ikisinin de imza tarihlerini standart sözleşme metninde belirtmesini gerekli kılar. Duyuruda bildirimi hangi tarafın yapacağı belirlenmemiştir; pratikte bu sorumluluğu sözleşmede açıkça yazmanızı öneririz. Standart sözleşme metinleri ise tarafların sıfatına göre dört ayrı biçimde yayımlanmıştır — veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna (kvkk.gov.tr — Standart Sözleşmeler).

Yeterlilik kararı tarafında ise tablo şudur: bu sayfanın hazırlandığı tarihte Kurum tarafından yayımlanmış bir yeterlilik kararı listesi bulunmamaktadır; Kurumun konuyla ilgili kamuoyu duyurusunda güvenli ülke statüsü tayini için görüşmelerin sürdüğü belirtilmektedir (kvkk.gov.tr, 26 Ekim 2020 tarihli duyuru). Bu nedenle yurt dışında barındırılan bir CRM kullanan şirketlerin çoğu, uygun güvenceler basamağına — özellikle standart sözleşmeye — dayanmak durumundadır. Güncel durumu karar öncesi Kurumun kendi sitesinden doğrulamanızı öneririz.

Karşılaştırma kriterleri

• Veri merkezi seçenekleri: Üretici hangi bölgeleri resmî olarak yayımlıyor?
• Türkiye lokasyonu: Resmî bölge listesinde Türkiye var mı?
• Bölge seçimi kimde: Müşteri seçebiliyor mu, kayıt anında otomatik mi belirleniyor?
• Barındırma modeli: Yalnızca üreticinin bulutu mu, kendi sunucunuz mümkün mü?
• KVKK m.9 gereksinimi: Aktarım mekanizması kurmak gerekiyor mu?
• Veri işleyen zinciri: Alt yükleniciler ve sözleşme şeffaflığı.
• Çıkış ve dışa aktarım: Veri tamamen geri alınabiliyor mu?

Kriter bazlı karşılaştırma tablosu

Hücreler, belirtilen kaynakların erişim tarihindeki bilgilerini özetler; üreticiler bölge listelerini ve kapsamı değiştirebilir. Doğrulayamadığımız bilgiler «—» ile işaretlenmiştir. Bu sayfa hukuki görüş değil, karşılaştırmalı bilgilendirmedir; nihai değerlendirmeyi kendi hukuk danışmanınızla yapın.

«AB bölgesi seçtik» yeterli mi?

Hayır — ve bu, uygulamada en sık karşılaşılan yanılgıdır. Salesforce’un EU Operating Zone’u, HubSpot’un AB veri merkezi veya Zoho’nun Amsterdam merkezi, verinin Türkiye dışında olduğu gerçeğini değiştirmez. KVKK açısından belirleyici olan verinin AB’de mi ABD’de mi olduğu değil, Türkiye dışına çıkıp çıkmadığıdır. AB bölgesi seçmek elbette değerlidir: veri koruma rejimi olgun bir coğrafyada barındırma, gecikme sürelerinin düşmesi ve kurumsal denetimlerde kolaylık sağlar. Ancak m.9 kurgusunu ortadan kaldırmaz; standart sözleşme ya da bağlayıcı şirket kuralları gibi bir uygun güvence yine gerekir.

İkinci yaygın yanılgı, aktarımın yalnızca «veri tabanının yeri» ile ilgili sanılmasıdır. Oysa destek ekibinin verinize erişimi, yedeklerin farklı bir bölgede tutulması, e-posta veya mesajlaşma entegrasyonlarının üçüncü ülkelerden geçmesi ve yapay zekâ özelliklerinin veriyi başka bir altyapıda işlemesi de aktarım doğurabilir. Bu nedenle CRM’in yanı sıra ona bağlanan kanalları da aynı gözle incelemek gerekir; örneğin WhatsApp kanalında Meta’nın resmî yerel depolama bölgeleri arasında Türkiye bulunmaz — ayrıntısını WhatsApp Business API sağlayıcı karşılaştırmasında ele alıyoruz.

Yerli barındırma alternatifi: bugün ne mümkün?

Verinin Türkiye’de kalmasını isteyen bir şirketin önünde üç pratik yol vardır. Birincisi yurt içi veri merkezi veya kendi sunucunuz: açık kaynak bir CRM (örneğin AGPLv3 lisanslı EspoCRM veya SuiteCRM) ya da özel geliştirilmiş bir CRM, yurt içindeki bir sunucuda çalıştırılabilir; bu durumda yurt dışına aktarım hiç doğmaz. İkincisi hibrit kurgu: çekirdek müşteri verisi yurt içinde tutulur, yalnızca kişisel veri içermeyen ya da anonimleştirilmiş veri dış servislere gider. Üçüncüsü bölgesel bulut yatırımlarını izlemek: küresel sağlayıcıların Türkiye tarafındaki hamleleri son dönemde arttı — AWS, İstanbul’da yeni bir Local Zone’un genel kullanıma açıldığını duyurdu (AWS, Mayıs 2026), Google Cloud ise Türkiye’ye yeni bir bölge geleceğini resmî blogunda açıkladı (Google Cloud). Bu yatırımlar altyapı katmanını ilgilendirir; bir SaaS CRM’in verinizi orada tutacağı anlamına gelmez — bunu ancak üreticinin kendi bölge listesi belirler.

Yerli barındırmanın gerçek getirisi hukuki sadeliktir: aktarım mekanizması kurma, standart sözleşme bildirimi ve bu yapının bakımını sürdürme yükü ortadan kalkar. Bedeli ise operasyonel sorumluluktur — sunucu, yedekleme, güvenlik yaması ve süreklilik planı sizin tarafınızdadır. Bu dengeyi kurumsal ölçekte nasıl kurguladığımızı kurumsal CRM & satış yönetimi çözüm sayfasında, maliyet tarafını ise 5 yıllık maliyet analizinde anlatıyoruz.

Denetim ve veri işleyen sözleşmesi kontrol listesi

Hangi seçeneği seçerseniz seçin, tedarikçiyle imzalanacak sözleşmede aşağıdaki başlıkların yazılı olması gerekir. Bu liste, teklif aşamasında sorulduğunda ücretsizdir; imzadan sonra sorulduğunda pahalıdır.

1. Taraf sıfatları: Kim veri sorumlusu, kim veri işleyen? Standart sözleşme türü buna göre seçilir.
2. Veri kategorileri ve amaç: Hangi veri, hangi işleme amacı için aktarılıyor; kapsam dışı kullanım yasağı yazılı mı?
3. Lokasyon ve alt yükleniciler: Birincil ve yedek veri merkezleri hangi ülkelerde; alt yüklenici listesi ve değişiklik bildirimi nasıl?
4. Aktarım mekanizması: Standart sözleşme mi, bağlayıcı şirket kuralları mı; bildirim yükümlülüğünü kim, hangi sürede yerine getirecek?
5. Güvenlik tedbirleri: Şifreleme, erişim yetkilendirmesi, kayıt tutma (log) ve denetim izi; sızma testi periyodu.
6. İhlal bildirimi: Tedarikçi ihlali size kaç saat içinde bildirecek; Kurula bildirim süresine yetişecek mi?
7. Saklama ve imha: Veri ne kadar saklanacak, sözleşme bitiminde silme mi iade mi, silme kanıtı nasıl belgelenecek?
8. Denetim hakkı: Yerinde veya belge üzerinden denetim yapabilecek misiniz; bağımsız denetim raporları paylaşılıyor mu?
9. Dışa aktarım kapsamı: Ek dosyalar, aktivite geçmişi ve otomasyon tanımları dâhil tam dışa aktarım garanti ediliyor mu?
10. İlgili kişi talepleri: Erişim, düzeltme ve silme taleplerinde tedarikçi hangi sürede destek verecek?

Hangi durumda hangisi?

• Veri kesinlikle Türkiye’de kalmalı (kamu, sağlık, finans gibi hassas alanlar): Yurt içinde barındırılan açık kaynak veya özel geliştirme CRM tek gerçekçi yoldur; aktarım katmanı hiç doğmaz.
• Uluslararası operasyon, AB odaklı yapı: AB bölgesi sunan büyük platformlar kısa listeye girer; m.9 için standart sözleşme kurgusunu ve beş iş günlük bildirimi süreçlerinize gömün.
• Küçük ekip, sınırlı hukuk kaynağı: Yurt içi barındırma, uyum yükünü belirgin biçimde azaltır; teknik bakım için yazılı bir destek anlaşması şarttır.
• Hâlihazırda global bir CRM kullanılıyor: Geçiş yerine önce uyumu tamamlayın — envanter, aydınlatma, standart sözleşme ve bildirim; sonra veri lokasyonunu stratejik olarak değerlendirin.
• Süreç özgün, veri hassas, entegrasyon çok: Yurt içinde barındırılan özel CRM geliştirme dürüst bir alternatiftir; veri ve kaynak kodu sizde kalır, karşılığında önden yatırım ve bakım planı ister.

Son not: KVKK uyumu bir kerelik proje değil, sürdürülen bir disiplindir. Veri lokasyonu kararı bu disiplinin en pahalı geri dönüşü olan parçasıdır — sonradan değiştirmek, veri taşımak, sözleşmeleri yenilemek ve aydınlatma metinlerini güncellemek anlamına gelir. Bu yüzden lokasyon sorusunu kısa liste aşamasında sorun, imza aşamasında değil.

Tarafsızlık

Bu içerik bağımsız bir değerlendirmedir; listelenen üreticilerle sponsorluk ilişkisi yoktur. Hata bildirimi için iletişim sayfamızı kullanabilirsiniz.