KVKK baxımından bulud ilə öz server arasındakı fərq şəxsi məlumatın fiziki olaraq harada durmasından çox, həmin məlumatı kimin emal etməsi, kimin əldə etməsi və haraya ötürülməsidir. Türkiyənin 6698 saylı Şəxsi Məlumatların Qorunması Qanunu məlumatın emal məqsədini və üsulunu müəyyən edən şirkəti, hansı serveri seçməsindən asılı olmayaraq, məlumatlara cavabdeh şəxs sayır. Mühasibat müdirinin sualı da buradan doğur: əmək haqqı və müştəri məlumatı buludda dursa nə dəyişir, öz serverimizdə dursa nə dəyişir. Bu yazı ümumi məlumat verir, hüquqi rəy deyil; öz vəziyyətiniz üçün hüquq məsləhətçinizə müraciət edin. Qanunun aktual mətni Türkiyənin rəsmi qanunvericilik bazasında, Şuranın qərarları və bələdçiləri Şəxsi Məlumatların Qorunması Qurumu saytında dərc olunur.
01.KVKK məlumatın yerli saxlanması şərtini qoyurmu?
KVKK ümumi qayda olaraq məlumatın Türkiyədə və ya şirkətin serverində saxlanmasını şərt qoymur; şəxsi məlumatların xaricə ötürülməsini isə ayrıca şərtlərə bağlayır.
Məlumatların lokallaşdırılması məlumatın müəyyən ölkənin sərhədləri daxilində saxlanılması deməkdir. KVKK-nın diqqəti isə başqa yerdədir: məlumatın hansı əsasla emal edildiyi, şəxsin məlumatlandırılıb-məlumatlandırılmadığı, məlumatın necə qorunduğu və kimə ötürüldüyü. Bulud provayderinin serverləri xaricdədirsə, məlumat həmin ölkəyə ötürülmüş sayıla bilər və bu ötürmə qanundakı ayrıca şərtlərə tabedir. 2024-cü ildə qüvvəyə minən qanun dəyişikliyi ilə xaricə ötürmə pilləli qaydaya keçdi: əvvəlcə Şuranın adekvatlıq qərarı, o olmadıqda standart müqavilə və ya məcburi korporativ qaydalar kimi uyğun təminatlar, bunlar da olmadıqda məhdud təsadüfi hallar; açıq razılıq artıq yalnız bu son pillədə əsas ola bilər.
Nümunə ssenari: Qeysəridə bir mebel istehsalçısını təsəvvür edin. O, bankçılıq və ya ödəniş xidməti kimi xüsusi tənzimlənən sektorda deyil. Onun üçün əsl sual "bulud, yoxsa öz server" deyil, "bulud provayderinin serveri haradadır və məlumatı kim görə bilir" sualıdır. Bəzi sektorlarda isə ayrıca tənzimləmələr məlumatın ölkə daxilində saxlanmasını tələb edə bilər; sektorunuza xas qaydaları ayrıca yoxlayın.
Buna görə məlumatın lokallığı təkbaşına qərar meyarı deyil. Türkiyədəki serverdə duran, amma hər kəsin daxil ola bildiyi məlumat yaxşı qorunan məlumatdan daha böyük risk daşıya bilər. Yer qorumanın yalnız bir hissəsidir.
02.Buludda məlumat operatoru kimdir, məlumatı emal edən kimdir?
Məlumatın emal məqsədini və üsulunu müəyyən edən şirkətiniz məlumat operatorudur; xidməti göstərən bulud provayderi adətən məlumatı sizin adınıza emal edən tərəfdir.
Məlumatı buluda köçürmək məsuliyyəti provayderə ötürmür. Mühasibat müdiri əmək haqqı cədvəlini buluddakı İR proqramına yükləyəndə cədvəl yenə şirkətin məsuliyyətindədir. Sızma olanda işçi ilk olaraq işəgötürəndən soruşur.
Qanun məlumat operatorunu məlumatı onun adından emal edən şəxslə təhlükəsizlik tədbirləri məsələsində birgə məsuliyyətli sayır; bu ortaq məsuliyyətin sərhədini çəkmək üçün məlumatı emal edənlə yazılı müqavilə bağlanması tövsiyə olunur. Müqavilə provayderin məlumatı hansı məqsədlə, hansı təhlükəsizlik tədbirləri ilə emal edəcəyini və müqavilə bitəndə məlumatla nə edəcəyini yazır. Müqavilə yoxdursa, məsuliyyətin harada başlayıb bitdiyi də qeyri-müəyyən qalır.
Provayderi dəyişmək istədiyinizdə məlumatın necə geri alınacağı da bu müqavilənin mövzusudur; əks halda məlumat müqaviləsi bitmiş provayderdə qala bilər.
Buluddakı proqramın başqa alt provayderlərdən istifadə edib-etmədiyi də soruşulmalıdır. Tətbiq bir şirkətdə, ehtiyat nüsxə başqa şirkətdə, e-poçt göndərişi daha başqa şirkətdə ola bilər; məlumatın keçdiyi hər dayanacaq müqavilədə görünməlidir.
03.Öz serverdə məsuliyyət azalırmı?
Öz serverdə KVKK məsuliyyəti azalmır, yer dəyişir: xaricə ötürmə sualı sadələşə bilər, amma təhlükəsizlik tədbirlərinin hamısı sizin komandanıza keçir.
| Mövzu | Bulud | Öz server |
|---|---|---|
| Məlumatlara cavabdeh şəxs | Şirkətiniz; provayder adətən məlumatı sizin adınızdan emal edən tərəfdir | Şirkətiniz |
| Xaricə ötürmə | Server xaricdədirsə, məlumat ötürülmüş sayıla bilər və ayrıca şərtlərə tabedir | Məlumat ölkədən çıxmırsa, bu sual sadələşə bilər |
| Təhlükəsizlik tədbirləri | Məlumat emalçısı ilə birlikdə məsuliyyət daşıyırsınız; sərhədi yazılı müqavilə müəyyən edir | Hamısı sizin komandanıza keçir |
| İlk soruşulacaq | Məlumat hansı ölkədədir, kim giriş əldə edir, müqavilə bitəndə necə təhvil verilir? | Kim hansı qeydi görür, giriş qeydə alınırmı, ehtiyat nüsxə harada durur? |
Qanun məlumat nəzarətçisindən müvafiq təhlükəsizlik səviyyəsini təmin etmək üçün texniki və inzibati tədbirlər görməsini gözləyir. Öz serverinizdə bu tədbirlərin hamısı sizindir: kimin hansı qeydi gördüyü, girişin qeydə alınıb-alınmadığı, ehtiyat nüsxənin haraya alındığı, yamaların nə vaxt tətbiq edildiyi.
Nümunə ssenari: Bir tikinti şirkətinin ofisini təsəvvür edin. Server pilləkən altındakı şkafda, ehtiyat nüsxə eyni şkafda duran xarici diskdədir. İşçi fayllarını hər kəs görə bilir, çünki səlahiyyət heç vaxt müəyyən edilməyib. Məlumat ölkədən çıxmır, amma qorunduğunu da demək olmaz.
Öz server variantının əsl üstünlüyü nəzarətin görünməsidir: serverə kimin daxil olduğunu, ehtiyat nüsxənin harada durduğunu birbaşa görürsünüz. Bu üstünlük yalnız tədbirlər yazılıbsa və müntəzəm yoxlanılırsa işə yarayır. Öz serverə keçən şirkətin ilk işi buna görə səlahiyyət cədvəlini yazmaqdır: hansı rol hansı qeydi görür, kim ixrac edə bilər, kim silə bilər.
04.Təminatçıya hansı sualları verməlisiniz?
Bulud provayderinə veriləcək əsas suallar: məlumat hansı ölkədə və kimin infrastrukturunda durur, ehtiyat nüsxə haraya alınır, kim daxil olur, giriş qeydə alınırmı, müqavilə bitəndə məlumat necə təhvil verilir.
- Verilənlər bazası və fayllar hansı ölkədə, kimin infrastrukturunda durur?
- Məlumat xaricdədirsə, ötürmə hansı əsasa, məsələn, standart müqaviləyə əsaslanır?
- Ehtiyat nüsxə haraya alınır, şifrəlidirmi, bərpa sınaqdan keçirilibmi?
- Provayderin əməkdaşları məlumata hansı halda çıxış əldə edə bilər və bu giriş qeydə alınırmı?
- Məlumatların emalı müqaviləsi və məlumatlandırma mətni quraşdırmada hazırdırmı?
- Müqavilə bitərsə, məlumat hansı formatda və necə təhvil verilir?
- Pozuntu olarsa, sizə necə və nə vaxt xəbər verilir?
Son sual əhəmiyyətsiz görünür, amma elə deyil. Qanun məlumat pozuntusu baş verdikdə məlumat nəzarətçisinə Şəxsi Məlumatların Qorunması Şurasını və aidiyyəti şəxsləri xəbərdar etmək öhdəliyi qoyur. Provayder sizə gec xəbər verərsə, bu öhdəliyi vaxtında yerinə yetirə bilməzsiniz; buna görə xəbərdarlıq qaydası müqavilədə yazılmalıdır. Siyahını müqavilə imzalandıqdan sonra deyil, alış mərhələsində soruşun. Cavabların yazılı gəlməsini istəyin; şifahi zəmanət yoxlamada və ya müraciətə cavab olaraq göstərilə bilən sənəd deyil.
05.Məlumatlandırma, razılıq və məlumat subyektinin müraciətləri harada idarə olunur?
Hostinq necə olursa olsun, şəxs məlumatlandırılır, lazım olan yerdə açıq razılıq alınır və məlumat subyektinin müraciəti qeydə alınaraq cavablandırılır.
Məlumatlandırma hansı məlumatın hansı məqsədlə emal edildiyini və kimə ötürülə biləcəyini şəxsə izah etməkdir. Açıq razılıq isə hər emal üçün lazım deyil; qanundakı digər emal şərtlərindən biri varsa, razılıq tələb olunmaya bilər. Məlumat Sahibləri Reyestrinə (VERBİS) qeydiyyat öhdəliyi də hostinq yerindən deyil, şirkətin vəziyyətindən asılıdır və istisnalar var.
Müştəri köhnə kampaniya üçün hansı məlumatının saxlandığını soruşanda cavabı tapmaq üçün bir neçə ayrı sistemi axtarmaq lazım gəlirsə, problem hostinqdən çox dağınıqlıqdadır. Məlumat bir qeyddə duranda müraciət də bir yerdən cavablandırılır. Dağınıqlığı toplamağa hansı işdən başlamaq lazım olduğu KOB-larda rəqəmsallaşma yazısının mövzusudur.
Məlumat subyektinin müraciətində istənilən məlumat çox vaxt sadədir: hansı məlumatım saxlanılır, niyə saxlanılır, kimlə paylaşılıb. Dağınıq sistemlərdə bu sualların cavabı günlərlə çəkən axtarışa çevrilə bilər.
| Qanunun tələbi | Corex360-da nə var | Sizdə qalan |
|---|---|---|
| Müvafiq təhlükəsizlik səviyyəsi üçün texniki və inzibati tədbirlər (KVKK m. 12/1) | Giriş rola əsaslanır; hər istifadəçi yalnız rolunun əhatəsindəki qeydləri görür. Corex360 Security daxil olmaları, cihazları və giriş hüquqlarını qeydə alır. | Rolları müəyyən etmək, komandadan ayrılanın girişini bağlamaq, qurumdaxili yoxlama aparmaq (m. 12/3). |
| Xaricə ötürmədə m. 9 şərtləri | Hostinq Corex360 Cloud-da şirkətə xüsusi sahə və ya öz serverinizdir; seçim müqavilədə yazılır. Buludda X AI-a yazılan sorğu seçdiyiniz süni intellekt provayderinə gedir; öz server quraşdırmasında X AI lokal modellə işləyir. | Ötürmənin hüquqi əsasını müəyyən etmək, süni intellekt provayderini buna görə seçmək. |
| Əlaqədar şəxsin məlumat tələb etmək hüququ (m. 11/1) | Modullar eyni müştəri qeydindən istifadə edir; şəxsə aid yazışma, təklif və müqavilə eyni kartda durur. | Müraciəti qəbul etmək, vaxtında cavablandırmaq və cavabı qeydə almaq. |
| Məlumat Nəzarətçiləri Reyestrində qeydiyyat (m. 16) | Qarşılığı yoxdur; reyestrdə qeydiyyat proqramın deyil, müəssisənin işidir. | Azadolma statusunu kvkk.gov.tr qərarlarına görə yoxlamaq, lazımdırsa qeydiyyatdan keçmək. |
06.Corex360-da məlumat hansı mühitdə saxlanılır?
Corex360-da seçim sizindir: Corex360 Cloud-da şirkətə məxsus sahə və ya öz serveriniz; hər iki halda eyni təhlükəsizlik qatı işləyir.
Corex360-da giriş, cihaz, endirmə və səlahiyyət dəyişikliyi qeydə alınır; giriş rola əsaslanır. Şəxsi məlumatlar KVKK çərçivəsində emal olunur. Bu faktların hamısı Corex360 təhlükəsizlik və KVKK səhifəsində yazılıb.
Giriş rola əsaslanır; əmək haqqı və şəxsi məlumatları yalnız rolu icazə verənlər görür. Satıcı şirkətə veriləcək suallar sırasına ixrac formatları və müqavilə bitəndə məlumatların necə təhvil verildiyi də əlavə edilməlidir. Korporativ siyasətiniz məlumatları öz infrastrukturunuzda saxlamağınızı tələb edirsə, təfərrüatlar öz serverinizdə işləmək səhifəsindədir. Məlumatların harada saxlandığı, kimə açıq olduğu və necə təhvil verildiyi barədə sualları demoya gətirin; cavabları öz vəziyyətiniz üçün birlikdə yazaq.
Bu sualları həm Corex360 Cloud, həm də öz server variantı üçün verin; hər iki variantda cavab yazılı olmalıdır.
Resurslar
Bu səhifə necə hazırlanıb?
- Müəllif: Şevket Erer, Həmtəsisçi, süni intellekt mütəxəssisi
- Mənbə: qanunvericilik, rəsmi qurum və istehsalçı məlumatları səhifədəki Mənbələr siyahısındakı ilkin mənbələrdən götürülür; hər mənbənin yanında son yoxlama tarixi yazılıb.
- Məhsul məlumatı: Corex360 barədə cümlələr şirkətin məhsul fakt qeydlərinə əsaslanır; təsdiqlənməmiş funksiya yazılmır.
- Süni intellektdən istifadə: mətni Corex360 komandası yazır; süni intellekt alətləri qaralama hazırlanarkən və tərcümədə istifadə olunur. Dərc prinsipləri
- Tarixlər: ilk dərc , son yeniləmə . Düzəliş prinsipi
Tez-tez verilən suallar
01KVKK baxımından bulud ilə öz server arasındakı fərq nədir?
Fərq məlumatın fiziki yerindən çox, onu kimin emal etdiyi, kimin daxil olduğu və haraya ötürüldüyüdür. Hər iki halda məlumatın emal məqsədini və üsulunu müəyyən edən şirkət məlumat operatorudur. Bu cavab hüquqi rəy deyil.
02KVKK məlumatın Türkiyədə saxlanmasını məcburi edirmi?
Ümumi qayda olaraq xeyr; lakin şəxsi məlumatların xaricə ötürülməsi qanunda ayrıca şərtlərə bağlıdır. Bankçılıq və ödəniş xidmətləri kimi bəzi sektorlarda ayrıca tənzimləmələr məlumatın ölkə daxilində saxlanmasını tələb edə bilər.
03Bulud provayderi məlumat operatoru olurmu?
Adətən olmur. Provayder əksər hallarda məlumatı sizin adınıza emal edən tərəfdir; məlumat operatoru siz qalırsınız. Buna görə provayderlə yazılı məlumat emalı müqaviləsi bağlanması tövsiyə olunur.
04Şəxsi məlumat nə qədər müddət saxlanıla bilər?
Qanun emal məqsədi aradan qalxanda şəxsi məlumatın silinməsini, məhv edilməsini və ya anonimləşdirilməsini tələb edir; müddət müvafiq qanunvericiliyə və emal məqsədinə görə müəyyən olunur. Bu cavab hüquqi rəy deyil.
05Xaricdəki bulud provayderinə məlumat necə ötürülür?
2024-cü ildə qüvvəyə minən dəyişikliklə xaricə ötürmə pilləli qaydaya bağlandı: əvvəlcə Şuranın adekvatlıq qərarı, o olmadıqda standart müqavilə və ya məcburi korporativ qaydalar kimi uyğun təminatlar tələb olunur. Bunlar da olmadıqda ötürmə yalnız məhdud təsadüfi hallarda mümkündür və açıq razılıq yalnız bu son pillədə əsas ola bilər. Bu cavab hüquqi rəy deyil.
Bir neçə qısa sualla işinizi dinləyirik; demonu sizin kanallarınızla, canlı və onlayn hazırlayırıq.
Əlaqəli yazılar
Oxumağa davam edin.
On-premise CRM şirkətin öz serverində işləyən CRM-dir. Məlumat həqiqətən harada durur, quraşdırma və yeniləmə kimdə qalır, təhlükəsizlik niyə özü gəlmir?
TarixYazını oxuyun01Biznes zəkasıKPI paneli nədir? Rəhbərin səhər baxdığı ilk ekran
KPI paneli şirkətin hədəfə görə harada durduğunu göstərən göstəriciləri həddi və məsulu ilə bir ekranda toplayır. Panelə nə daxil olur, niyə zamanla baxılmır?
TarixYazını oxuyun02Biznes zəkasıİdarəetmə hesabatı, yoxsa qərar ekranı: Excel hesabatının həddi
Rəhbər hesabatı dövrü qərar verəcək şəxs üçün xülasə edir; Excel-də hazırlanan hesabat isə hazırlandığı anda donur. Excel bəzi işləri yenə də yaxşı görür.
TarixYazını oxuyun03AssistentCRM-də süni intellekt assistenti nə edir, nə etmir
CRM-dəki süni intellekt assistenti yazışmanı oxuyur, xülasə edir, qaralama hazırlayır və izləyir; qərar sizdə qalır. Səhv cavab riski seçimdən əvvəl soruşulur.
TarixYazını oxuyun04Assistentİş proseslərində qayda mühərriki nədir: xatırlatma, təyinat, təsdiq
Qayda mühərriki yaddaşdakı işi yazılı qaydaya çevirir: tətikləyici, şərt, əməliyyat. Satış ofisinin həftəsində hansı iş qaydaya bağlanır, təsdiq harada durur?
TarixYazını oxuyun05SənədlərElektron sənəd dövriyyəsi nədir? Fayl müştəri qeydinə necə bağlanır
Sənəd idarəetmə sistemi sənədi saxlayır, tapılan edir və girişi səlahiyyətə bağlayır. Ümumi qovluq niyə yetmir, fayl müştəri qeydinə bağlananda nə dəyişir?
TarixYazını oxuyun06SənədlərMüqavilə arxivi necə saxlanılır: imzalanmış sənəd, tarixlər və giriş
Müqavilə arxivi imzalanmış müqaviləni, əlavələrini və tarixlərini girişi qeydə alınmaqla saxlayır. Yaş və elektron imza, adlandırma, bildiriş tarixi, giriş.
TarixYazını oxuyun07RəqəmsallaşmaKOSGEB rəqəmsal transformasiya dəstəyi ilə biznes proqramı almaq: kimi əhatə edir, nə tələb edir
KOSGEB rəqəmsal transformasiya dəstəyi emal sənayesindəki KOB-ların proqram və maşın kreditinin faizinə dəstəkdir. Şərtlər, hesabat, addımlar, səhvlər.
TarixYazını oxuyun08