KVKK uyumlu e-posta: veri Türkiye’de mi?

“Verileriniz Türkiye’de” cümlesi, kurumsal e-posta pazarlamasının en sık tekrarlanan vaadi. Peki bu iddiayı nasıl doğrularsınız? Bir sağlayıcının web sitesinde “yerli veri” yazması, posta kutunuzun her bileşeninin gerçekten Türkiye sınırları içinde işlendiği anlamına gelmez. Bu yazıda, konunun KVKK açısından neden önemli olduğunu ve iddiayı somut sorularla nasıl test edeceğinizi anlatıyoruz.

KVKK ve e-posta: neden kişisel veri?

KVKK’ya göre kimliği belirli ya da belirlenebilir bir kişiye ait her bilgi kişisel veridir; e-posta adresinin kendisi bile bu tanıma girer. Yani gelen kutunuz bir iletişim aracı olduğu kadar bir veri deposudur.

Üstelik e-posta ekleri çoğu zaman özel nitelikli kişisel veri de taşır: bir iş başvurusundaki sağlık raporu, bir üyelik formundaki sendika bilgisi ya da bir sözleşmedeki kimlik verisi. KVKK bu tür verilere daha yüksek bir koruma standardı getirir. Dolayısıyla “sadece e-posta” dediğiniz kanal, aslında en hassas veri kategorilerini de işliyor olabilir. Hasta verisi taşıyan yazışmalarda bu eşik daha da yukarı çıkar.

Bu deponun fiziksel olarak nerede durduğu, KVKK yükümlülüklerinizin hangi rejime gireceğini belirler. Yazının geri kalanı önce konumu, sonra konumun tek başına çözmediği yükümlülükleri (roller, DPA, saklama, ihlal bildirimi) anlatıyor.

Yurt dışı aktarım neden risk yaratır?

KVKK, kişisel verilerin yurt dışına aktarılmasını özel şartlara bağlar. Posta verisi yurt dışındaki sunucularda barınan bir hizmet kullanıyorsanız, bu bir yurt dışı aktarımı anlamına gelebilir ve ek yükümlülükler doğurabilir. Uygulamada bu, şu sorunları getirir:

• Aktarımın hukuki dayanağını (açık rıza ya da diğer şartlar) ayrıca kurmanız ve belgelemeniz gerekebilir.
• Verinin bulunduğu ülkenin hukuku, sizin erişim ve silme taleplerinizi zorlaştırabilir.
• Veri sahibi başvurularında (DSAR) “verim nerede?” sorusuna net yanıt vermek güçleşir.
• Denetim ve olay anında, yurt dışındaki bir sağlayıcıdan hızlı yanıt almak her zaman mümkün olmayabilir.

Posta verisinin Türkiye’de kalması bu karmaşıklığı azaltan pratik bir tercihtir: aktarım tartışması ortadan kalkar, veri üzerindeki denetiminiz artar.

Yurt dışı aktarım tümüyle yasak mı?

Hayır; KVKK yurt dışı aktarımı yasaklamaz, şarta bağlar. 2024’te güncellenen aktarım rejimine göre kişisel veri, başlıca şu yollarla yurt dışına aktarılabilir: Kişisel Verileri Koruma Kurulu’nun ilan ettiği bir yeterlilik kararı bulunan ülkelere; yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerin sağlanmasıyla; ya da kanunda sayılan arızi (istisnai) hâllerde. Her yol; ek belge, süreç ve sorumluluk demektir.

Bu yüzden pratik soru şudur: verinizi yurt dışında tutup bu mekanizmaları yönetmek mi, yoksa veriyi Türkiye’de tutup aktarım tartışmasını baştan ortadan kaldırmak mı sizin için daha sürdürülebilir? Çoğu KOBİ için ikincisi daha az idari yük getirir.

Ayrıca aktarımın “meşru” olması, otomatik olarak “risksiz” olduğu anlamına gelmez. Yeterlilik kararları değişebilir, uygun güvence mekanizmaları güncellenebilir ve bir denetimde bunların hepsini belgeleyebilmeniz beklenir. Veriyi yurt içinde tutmak, bu hareketli hedefi takip etme yükünü ortadan kaldırır.

“Veri Türkiye’de” iddiası nasıl doğrulanır?

Pazarlama cümlesini bir taahhüde dönüştürmek için sağlayıcınıza şu somut soruları sorun ve yanıtları yazılı isteyin:

1. Birincil sunucular nerede? Posta kutularınızın barındığı veri merkezlerinin fiziksel konumu neresi?
2. Yedekler nerede tutuluyor? Çoğu sızıntı “sunucu Türkiye’de ama yedek yurt dışında” noktasında olur. Yedeklerin de yurt içinde olduğunu doğrulayın.
3. Alt-işleyenler kim ve nerede? Sağlayıcının kullandığı üçüncü taraf hizmetlerin (altyapı, e-posta filtreleme, destek araçları) listesini ve konumlarını isteyin.
4. Sözleşmede yazıyor mu? Veri lokasyonu taahhüdü, pazarlama sayfasında değil, imzaladığınız sözleşmede yer almalı.
5. Aydınlatma metni ne diyor? Sağlayıcının KVKK aydınlatma metni, işleme ve aktarım süreçlerini şeffaf biçimde açıklıyor mu?

Yanıtları yazılı ve sözleşmeye bağlı isteyin. Ciddi bir sağlayıcı, verinin hangi bileşenlerden geçtiğini gösteren bir akış açıklamasını paylaşmaktan çekinmez. Kaçınan bir sağlayıcı ise bu akışı kendisi de tam bilmiyor olabilir.

Şeffaf bir sağlayıcı, kullandığı alt-işleyenleri gizlemez; herkese açık bir listeyle paylaşır. AkıllıPosta’nın alt-işleyen listesini Alt-işleyenler sayfamızda görebilirsiniz.

Kim veri sorumlusu, kim veri işleyen?

Rollerin doğru kurgulanması KVKK uyumunun temelidir. E-postayı bir hizmet olarak alan işletme genellikle veri sorumlusudur: işleme amaç ve araçlarını belirleyen taraf sizsiniz. Sağlayıcı ise sizin adınıza veriyi işleyen veri işleyendir. Bu ayrım; aydınlatma yükümlülüğünün, veri sahibi başvurularına yanıt vermenin ve ihlal bildiriminin öncelikle sizde olduğu anlamına gelir. Sağlayıcı bu yükümlülükleri yerine getirmenizi kolaylaştırır; ama hukuki sorumluluğu sizin yerinize üstlenmez.

Bu nedenle sözleşmede rollerin (veri sorumlusu / veri işleyen) açıkça tanımlanması önemlidir. Rolleri net olmayan bir ilişkide, bir sorun çıktığında sorumluluğun kimde olduğu tartışmalı hâle gelir. Bu belirsizliği yaşamak isteyeceğiniz en son an, denetim anıdır.

Pratikte bu ayrım şunu belirler: bir müşteri “verilerimi silin” dediğinde, bu talebi karşılamak ve gerekli koordinasyonu yapmak sizin sorumluluğunuzdadır; sağlayıcı yalnızca teknik olarak destek olur. Bu yüzden sağlayıcınızın silme, dışa aktarma ve arşivde arama gibi yetenekleri sunması, sizin yükümlülüğünüzü yerine getirebilmenizin ön koşuludur.

Veri sorumlusu yükümlülükleri: e-postada ne anlama gelir?

Veri işleme sözleşmesi (DPA) neden şart?

Veri işleme sözleşmesi (DPA), sağlayıcının verinizi hangi amaçla, ne kadar süreyle ve hangi güvenlik tedbirleriyle işleyeceğini yazılı olarak tanımlar. KVKK’da veri sorumlusu (siz) ile veri işleyen (sağlayıcı) arasındaki ilişkinin belgelenmesi beklenir. İyi bir DPA en az şunları içerir:

• İşlemenin amacı, kapsamı ve süresi.
• Alınan teknik ve idari güvenlik tedbirleri.
• Alt-işleyen kullanımı ve bunlara ilişkin bilgilendirme.
• Veri sahibi başvurularında sağlayıcının vereceği destek.
• Sözleşme sonunda verinin iadesi veya imhası.

AkıllıPosta, talep eden kurumlarla ayrı bir DPA imzalar. Sözleşmenin çerçevesini Veri İşleme Sözleşmesi sayfamızda inceleyebilirsiniz.

Aydınlatma ve açık rıza: e-postada nasıl uygulanır?

KVKK, kişisel veriyi işlerken veri sahiplerini bilgilendirmenizi (aydınlatma yükümlülüğü) ve gerektiğinde açık rızalarını almanızı bekler. E-posta bağlamında bu; bültenlere abone olan kullanıcıları bilgilendirmek, web formlarınıza ve e-posta imzanıza aydınlatma metni bağlantısı eklemek ve pazarlama izinlerini kayıt altında tutmak anlamına gelir. İzinsiz gönderilen ticari elektronik iletiler KVKK’nın yanında ticari iletişim mevzuatı (İYS) açısından da sorun yaratır.

Şifreleme ve takma adlaştırma neden önemli?

Veriyi Türkiye’de tutmak tek başına yeterli değildir; nasıl korunduğu da önemlidir. KVKK, uygun teknik tedbirler arasında şifrelemeyi ve mümkün olduğunda takma adlaştırmayı (pseudonymization) sayar. E-posta bağlamında bu; taşımada TLS, dururken disk düzeyinde şifreleme, güçlü kimlik doğrulama ve erişimlerin rol bazlı sınırlanması anlamına gelir. Bir ihlal yaşansa bile, şifreli ve erişimi kısıtlı bir veri, ifşa riskini belirgin biçimde azaltır.

Filtre de bu katmanın parçası. Spam, oltalama ve kötü amaçlı ek taraması bunların hesaba girme riskini azaltır. Biri yine de girerse işe yarayan şey hızlı fark etmektir: yeni bir yönlendirme kuralı, ani parola değişikliği ya da olağan dışı giden posta hacmi için uyarı kurulabilir.

Denetim ve veri sahibi başvuruları (DSAR)

Veri sahipleri; işlenen verileri hakkında bilgi isteme, düzeltme, silme ve işlemeye itiraz gibi haklara sahiptir (KVKK m.11). Başvuruya en geç 30 gün içinde yanıt vermeniz gerekir (KVKK m.13). Bu süre içinde yanıt verebilmek için e-posta arşiviniz üzerinde arama ve dışa aktarma yapabilmeniz gerekir. Ayrıca kimin hangi veriye eriştiğini gösteren denetim (audit) kayıtları, hem içeride hesap verebilirliği hem de bir olay anında delil zincirini güçlendirir.

Bu tedbirlerin nasıl uygulandığını Güvenlik ve KVKK sayfamızda, tüzel çerçeveyi ise KVKK aydınlatma metnimizde bulabilirsiniz.

Saklama süresi ve imha: e-postayı sonsuza dek tutmayın

KVKK, kişisel veriyi yalnızca gerekli olduğu süre boyunca saklamayı ilke edinir. E-posta bağlamında bu, “her şeyi sonsuza dek sakla” alışkanlığının aslında bir risk olduğu anlamına gelir: gereksiz yere tutulan veri, bir ihlal anında zarar yüzeyini büyütür. Bir saklama ve imha politikası tanımlayın; yasal saklama gereken yazışmaları arşivde tutun, süresi dolanları politikanız uyarınca silin. İyi bir arşiv sisteminde hem yasal saklamayı hem de zamanı gelince güvenli imhayı tek yerden yönetirsiniz.

Veri ihlali ve envanter yükümlülükleri

E-posta, aynı zamanda en sık veri ihlali yaşanan kanaldır: yanlış alıcıya giden bir ek, ele geçirilen bir hesap ya da bir oltalama saldırısı kişisel veriyi ifşa edebilir. KVKK, bir veri ihlalini öğrendiğinizde en kısa sürede (Kurul kararına göre 72 saat içinde) Kurul’a ve etkilenen ilgili kişilere bildirim yapmanızı bekler. Bunu yapabilmek için ihlali hızlı tespit eden bir altyapıya (anomali tespiti, denetim kayıtları) ihtiyaç duyarsınız.

Ayrıca belirli ölçütleri aşan veri sorumluları, Veri Sorumluları Sicili’ne (VERBİS) kayıt ve işleme envanteri tutma yükümlülüğü altında olabilir. E-posta yazışmalarınız bu envanterin önemli bir parçasıdır; verinin nerede işlendiğini bilmek, envanteri doğru tutmanın ön koşuludur.

Kontrol listesi

Bir sağlayıcıyı değerlendirirken bu maddeleri tek tek işaretleyin:

1. Birincil sunucuların Türkiye’de olduğu yazılı olarak teyit edildi mi?
2. Yedeklerin de yurt içinde tutulduğu doğrulandı mı?
3. Alt-işleyen listesi herkese açık ve güncel mi?
4. Veri lokasyonu taahhüdü sözleşmede yer alıyor mu?
5. Talep hâlinde DPA imzalanıyor mu?
6. KVKK aydınlatma metni şeffaf ve erişilebilir mi?
7. Taşımada TLS, dururken disk şifrelemesi uygulanıyor mu?
8. Arşivde arama ve dışa aktarma ile DSAR’lara yanıt verebiliyor musunuz?
9. Denetim (audit) kayıtları tutuluyor mu?
10. Bir veri ihlalini hızlı tespit edecek izleme (anomali/denetim) var mı?

Bu listedeki maddelerin çoğuna “evet” diyebiliyorsanız, yalnızca bir e-posta sağlayıcısı değil; KVKK yükümlülüklerinizi taşımanıza yardımcı olan bir uyum ortağı seçmişsiniz demektir.

Yerli veri neyi çözer, neyi çözmez?

Dürüst olalım: verinin Türkiye’de olması sihirli bir kalkan değildir. Yerli barındırma yurt dışı aktarım karmaşıklığını ve erişim/denetim zorluklarını ortadan kaldırır, KVKK uyumunun tamamını tek başına sağlamaz. Aydınlatma, açık rıza yönetimi, saklama-imha politikası, güvenlik tedbirleri ve veri sahibi haklarına yanıt süreçleri verinin konumundan bağımsız olarak sizde kalır. Yerli veri bu yükü hafifletir; sırtınızdan almaz.

Aynı soruları bize de sorun: posta verinizi ve yedeklerini Türkiye’de işleriz, alt-işleyenlerimizi tek tek listeleriz, talep eden kurumlarla DPA imzalarız ve aydınlatma metnimizi herkese açık tutarız. Kurumsal e-postayı bir bütün olarak nasıl seçeceğinizi kurumsal e-posta rehberimizde derledik.

Sık sorulan sorular

Posta kutusunun Türkiye’de olması KVKK uyumunu tamamlar mı?

Hayır. Sunucu, yedek ve alt-işleyenler yurt içindeyse yerli barındırma yurt dışı aktarım tartışmasını ortadan kaldırır. Aydınlatma, saklama ve imha politikası, güvenlik tedbirleri ve başvuru süreçleri yine sizde kalır.

Yurt dışı sunucu kullanmak yasak mı?

Hayır. KVKK aktarımı şarta bağlar: yeterlilik kararı, standart sözleşme gibi uygun güvenceler ya da kanundaki istisnai haller. Bu dayanağı kurmak ve belgelemek veri sorumlusuna düşer.

Veri sahibi başvurusuna ne kadar sürede yanıt vermeliyim?

En geç 30 gün içinde (KVKK m.13). Yazışmaları bulup dışa aktarabilmek için arşivinizde arama yapabilmeniz gerekir.

Yedekler de Türkiye’de olmalı mı?

Soruyu sağlayıcıya yazılı sorun. Sunucu yurt içinde, yedek yurt dışında olabilir; bu durumda posta verisi yine sınır dışına çıkar. Yedekleri ve alt-işleyenleri de sözleşmede istemek bu yüzden gerekir.

Sağlayıcıyla DPA imzalamak zorunda mıyım?

KVKK veri sorumlusu ile veri işleyen arasındaki ilişkinin belgelenmesini bekler. DPA bu belgedir: amaç, süre, güvenlik tedbirleri, alt-işleyenler ve sözleşme sonunda iade ya da imha burada yazılır. Kurumunuz için gerekliliği hukuk danışmanınıza sorun.