# KVKK açısından bulut ve kendi sunucu farkı | Corex360 > KVKK açısından bulut ile kendi sunucu arasındaki fark, verinin yerinden çok kimin işlediği ve eriştiğidir. Sağlayıcıya sorulacaklar da buradan çıkar. Kaynak: https://www.corex360.com/blog/kvkk-bulut-kendi-sunucu Son güncelleme: 2026-09-29 --- ![Masada karşısındaki kişiye üzerinde kilit simgesi olan bir dosya uzatan bir adam] Güvenlik # KVKK açısından bulut ve kendi sunucu: veri nerede durur KVKK açısından bulut ile kendi sunucu arasındaki fark verinin yerinden çok kimin işlediği, kimin eriştiği ve nereye aktarıldığıdır. Sağlayıcıya sorulacaklar. [Demo isteyin](https://www.corex360.com/iletisim?konu=bi#form) [Corex360](https://www.corex360.com/) [Blog](https://www.corex360.com/blog) KVKK açısından bulut ve kendi sunucu: veri nerede durur İçindekiler - 01 KVKK veri yerelliği şartı koyar mı? - 02 Bulutta veri sorumlusu kim, veri işleyen kim? - 03 Kendi sunucuda sorumluluk azalır mı? - 04 Hangi soruları sağlayıcıya sormalısınız? - 05 Aydınlatma, rıza ve veri sahibi talepleri nerede yönetilir? - 06 Corex360'ta veri hangi ortamda tutulur? Ş **[Şevket Erer](https://www.corex360.com/blog#blog-hakkinda)** Kurucu Ortak, Yapay Zekâ Uzmanı · Corex360 23 Eylül 2026 Güncellendi 28 Eylül 2026 6 dk okuma [Sözlükte: KVKK](https://www.corex360.com/sozluk#kvkk) [Modüller](https://www.corex360.com/moduller) [Çözümler](https://www.corex360.com/cozumler) KVKK açısından bulut ile kendi sunucu arasındaki fark, kişisel verinin fiziksel olarak nerede durduğundan çok, o veriyi kimin işlediği, kimin eriştiği ve nereye aktarıldığıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu, verinin işlenme amacını ve yöntemini belirleyen şirketi, hangi sunucuyu seçerse seçsin veri sorumlusu olarak görür. Muhasebe müdürünün sorusu da buradan doğar: bordro ve müşteri verisi bulutta dursa ne değişir, kendi sunucumuzda dursa ne değişir. Bu yazı genel bilgi verir, hukuki görüş değildir; kendi durumunuz için hukuk danışmanınıza başvurun. Kanunun güncel metni [Mevzuat Bilgi Sistemi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) üzerinde, Kurul kararları ve rehberler [Kişisel Verileri Koruma Kurumu](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari) sitesinde yayımlanır. ** 01. ## KVKK veri yerelliği şartı koyar mı? ** Kısa cevap KVKK genel bir kural olarak verinin Türkiye'de ya da şirket sunucusunda tutulmasını şart koşmaz; kişisel verinin yurt dışına aktarılmasını ise ayrı şartlara bağlar. Veri yerelliği, verinin belirli bir ülkenin sınırları içinde tutulması demektir. KVKK'nın odağı ise başka yerdedir: verinin hangi şartla işlendiği, kişinin bilgilendirilip bilgilendirilmediği, verinin nasıl korunduğu ve kime aktarıldığı. Bulut sağlayıcının sunucuları yurt dışındaysa, veri o ülkeye aktarılmış sayılabilir ve bu aktarım kanundaki ayrı şartlara tabidir. 2024'te yürürlüğe giren kanun değişikliğiyle yurt dışı aktarım kademeli bir düzene geçti: önce Kurulun yeterlilik kararı, bu yoksa standart sözleşme ya da bağlayıcı şirket kuralları gibi uygun güvenceler, bunlar da yoksa sınırlı arızi hâller; açık rıza artık yalnız bu son kademede dayanak olabilir. Örnek senaryo: Kayseri'de bir mobilya üreticisini düşünün. Bankacılık ya da ödeme hizmeti gibi özel düzenlemeye tabi bir sektörde değil. Onun için asıl soru "bulut mu, kendi sunucu mu" değil, "bulut sağlayıcının sunucusu nerede ve veriyi kim görebiliyor" sorusudur. Bazı sektörlerde ise ayrı düzenlemeler verinin yurt içinde tutulmasını isteyebilir; sektörünüze özel kuralları ayrıca kontrol edin. Veri yerelliği bu yüzden tek başına bir karar ölçütü değildir. Türkiye'deki bir sunucuda duran ama herkesin erişebildiği bir veri, iyi korunan bir veriden daha büyük risk taşıyabilir. Yer, korumanın yalnız bir parçasıdır. ** 02. ## Bulutta veri sorumlusu kim, veri işleyen kim? ** Kısa cevap Verinin işlenme amacını ve yöntemini belirleyen şirketiniz veri sorumlusudur; hizmeti sağlayan bulut sağlayıcı genellikle sizin adınıza veriyi işleyen konumundadır. Veriyi buluta taşımak sorumluluğu sağlayıcıya devretmez. Muhasebe müdürü bordroyu buluttaki bir İK yazılımına yüklediğinde, bordro hâlâ şirketin sorumluluğundadır. Bir sızıntı olduğunda çalışan ilk olarak işverene sorar. Kanun, veri sorumlusunu veriyi kendi adına işleyen kişiyle güvenlik tedbirleri konusunda birlikte sorumlu tutar; bu ortak sorumluluğun sınırını çizmek için [veri işleyenle yazılı bir sözleşme](https://www.corex360.com/sozluk/veri-isleme-sozlesmesi) yapılması önerilir. Sözleşme sağlayıcının veriyi hangi amaçla, hangi güvenlik tedbirleriyle işleyeceğini ve sözleşme bitince veriyle ne yapacağını yazar. Sözleşme yoksa, sorumluluğun nerede başlayıp bittiği de belirsiz kalır. Sağlayıcı değiştirmek istediğinizde verinin nasıl geri alınacağı da bu sözleşmenin konusudur; aksi hâlde veri, sözleşmesi biten bir sağlayıcıda kalabilir. Buluttaki yazılımın başka alt sağlayıcılar kullanıp kullanmadığı da sorulmalıdır. Uygulama bir firmada, yedek başka bir firmada, e-posta gönderimi bir başka firmada olabilir; verinin geçtiği her durak sözleşmede görünmelidir. ** 03. ## Kendi sunucuda sorumluluk azalır mı? ** Kısa cevap Kendi sunucuda KVKK sorumluluğu azalmaz, yer değiştirir: yurt dışı aktarım sorusu sadeleşebilir, ama güvenlik tedbirlerinin tamamı sizin ekibinize geçer. KVKK açısından bulut ile kendi sunucu | Konu | Bulut | Kendi sunucu | |---|---|---| | Veri sorumlusu | Şirketiniz; sağlayıcı genellikle veriyi sizin adınıza işleyen konumunda | Şirketiniz | | Yurt dışına aktarım | Sunucu yurt dışındaysa veri aktarılmış sayılabilir ve ayrı şartlara tabidir | Veri yurt dışına çıkmıyorsa bu soru sadeleşebilir | | Güvenlik tedbirleri | Veri işleyenle birlikte sorumlusunuz; sınırı yazılı sözleşme çizer | Tamamı sizin ekibinize geçer | | İlk sorulacak | Veri hangi ülkede, kim erişir, sözleşme bitince nasıl teslim edilir? | Kim hangi kaydı görür, erişim kayda geçer mi, yedek nerede durur? | Kanun, veri sorumlusundan uygun güvenlik düzeyini sağlamak için teknik ve idari tedbirler almasını bekler. Kendi sunucunuzda bu tedbirlerin hepsi sizindir: kimin hangi kaydı gördüğü, erişimin kayda geçip geçmediği, yedeğin nereye alındığı, yamaların ne zaman yapıldığı. Örnek senaryo: Bir inşaat firmasının ofisini düşünün. Sunucu merdiven altındaki bir dolapta, yedek aynı dolapta duran harici diskte. Personel dosyalarını herkes görebilir, çünkü yetki hiç tanımlanmamıştır. Veri yurt dışına çıkmaz, ama korunduğu da söylenemez. Kendi sunucu seçeneğinin gerçek avantajı kontrolün görünürlüğüdür: sunucuya kimin girdiğini, yedeğin nerede durduğunu doğrudan görürsünüz. Bu avantaj ancak tedbirler yazılıysa ve düzenli denetleniyorsa işe yarar. Kendi sunucuya geçen bir şirketin ilk işi bu yüzden yetki tablosunu yazmaktır: hangi rol hangi kaydı görür, kim dışa aktarabilir, kim silebilir. ** 04. ## Hangi soruları sağlayıcıya sormalısınız? ** Kısa cevap Bulut sağlayıcıya sorulacak temel sorular: veri hangi ülkede ve kimin altyapısında durur, yedek nereye alınır, kim erişir, erişim kayda geçer mi, sözleşme bitince veri nasıl teslim edilir. - Veritabanı ve dosyalar hangi ülkede, kimin altyapısında duruyor? - Veri yurt dışındaysa aktarım hangi dayanağa, örneğin standart sözleşmeye dayanıyor? - Yedek nereye alınıyor, şifreli mi, geri dönüş denendi mi? - Sağlayıcının çalışanları veriye hangi durumda erişebilir ve bu erişim kayda geçiyor mu? - Veri işleme sözleşmesi ve aydınlatma metni kurulumda hazır mı? - Sözleşme biterse veri hangi biçimde ve nasıl teslim ediliyor? - Bir ihlal olursa size nasıl ve ne zaman haber veriliyor? Son soru önemsiz görünür ama değildir. Kanun, veri ihlali durumunda veri sorumlusuna Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü getirir. Sağlayıcı size geç haber verirse bu yükümlülüğü zamanında yerine getiremezsiniz; haber verme şekli bu yüzden sözleşmede yazmalıdır. Listeyi satın alma aşamasında sorun, sözleşme imzalandıktan sonra değil. Cevapların yazılı gelmesini isteyin; sözlü güvence, bir denetimde ya da bir başvuruda gösterilebilecek bir belge değildir. ** 05. ## Aydınlatma, rıza ve veri sahibi talepleri nerede yönetilir? ** Kısa cevap Barındırma ne olursa olsun kişi aydınlatılır, gereken yerde açık rıza alınır ve veri sahibinin başvurusu kayıt altında cevaplanır. Aydınlatma, hangi verinin hangi amaçla işlendiğini ve kime aktarılabileceğini kişiye anlatmaktır. Açık rıza ise her işleme için gerekmez; kanundaki diğer işleme şartlarından biri varsa rıza aranmayabilir. [Veri Sorumluları Siciline (VERBİS)](https://www.corex360.com/sozluk/verbis) kayıt yükümlülüğü de barındırma yerine değil, şirketin durumuna bağlıdır ve muafiyetler vardır. Bir müşteri, eski bir kampanya için hangi verisinin tutulduğunu sorduğunda cevabı bulmak için birkaç ayrı sistemi taramak gerekiyorsa sorun barındırmadan çok dağınıklıktadır. Veri tek kayıtta durduğunda başvuru da tek yerden cevaplanır. Dağınıklığı toparlamaya hangi işle başlanacağı [KOBİ'lerde dijitalleşme](https://www.corex360.com/blog/kobi-dijitallesme) yazısının konusu. Veri sahibinin başvurusunda istenen bilgi çoğu zaman basittir: hangi verim tutuluyor, neden tutuluyor, kiminle paylaşıldı. Dağınık sistemlerde bu soruların cevabı günler süren bir aramaya dönüşebilir. KVKK: Kanun ne ister, Corex360'ta ne var, sizde ne kalır? | Kanun ne ister | Corex360'ta ne var | Sizde kalan | |---|---|---| | Uygun güvenlik düzeyi için teknik ve idari tedbir (KVKK md. 12/1) | Erişim rol bazlıdır; her kullanıcı yalnız rolünün kapsamındaki kayıtları görür. Corex360 Security girişleri, cihazları ve erişimi kaydeder. | Rolleri tanımlamak, ekipten ayrılanın erişimini kapatmak, kurum içi denetimi yapmak (md. 12/3). | | Yurt dışına aktarımda md. 9 şartları | Barındırma Corex360 Bulut'ta şirkete özel alan ya da kendi sunucunuzdur; seçim sözleşmede yazılır. Bulutta X AI'a yazılan istem seçtiğiniz yapay zekâ sağlayıcısına gider; kendi sunucu kurulumunda X AI yerel modelle çalışır. | Aktarımın hukuki dayanağını belirlemek, yapay zekâ sağlayıcısını buna göre seçmek. | | İlgili kişinin bilgi talep hakkı (md. 11/1) | Modüller aynı müşteri kaydını kullanır; kişiye ait yazışma, teklif ve sözleşme aynı kartta durur. | Başvuruyu almak, süresinde cevaplamak ve cevabı kayda geçirmek. | | Veri Sorumluları Sicili kaydı (md. 16) | Karşılığı yok; sicil kaydı yazılımın değil işletmenin işidir. | Muafiyet durumunu kvkk.gov.tr kararlarına göre kontrol etmek, gerekiyorsa kaydolmak. | ** 06. ## Corex360'ta veri hangi ortamda tutulur? ** Kısa cevap Corex360'ta seçim sizindir: Corex360 Bulut'ta şirkete özel bir alan ya da kendi sunucunuz; iki durumda da aynı güvenlik katmanı çalışır. Corex360'ta giriş, cihaz, indirme ve yetki değişikliği kayıt altındadır; erişim rol bazlıdır. Kişisel veri KVKK kapsamında işlenir. Bu olguların tamamı [Corex360 güvenlik ve KVKK](https://www.corex360.com/guvenlik) sayfasında yazılıdır. Erişim rol bazlıdır; bordro ve kişisel veriyi yalnız rolü izin verenler görür. Satıcıya sorulacaklar arasına dışa aktarma biçimleri ve sözleşme bitince verinin nasıl teslim edildiği de eklenmelidir. Kurumsal politikanız veriyi kendi altyapınızda tutmanızı istiyorsa ayrıntılar [kendi sunucunuzda çalışma](https://www.corex360.com/cozumler/kendi-sunucunuzda) sayfasındadır. Verinin nerede tutulduğu, kime açık olduğu ve nasıl teslim edildiği sorularını demoya getirin; cevapları kendi durumunuz için birlikte yazalım. Bu soruları hem Corex360 Bulut hem kendi sunucu seçeneği için sorun; iki seçenekte de cevabın yazılı olması gerekir. ## Kaynaklar - [Kişisel Verileri Koruma Kurumu, Kurul kararları](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari) Son kontrol 24 Eylül 2026 ## Bu sayfa nasıl hazırlandı? - Yazan: [Şevket Erer](https://www.corex360.com/blog#blog-hakkinda), Kurucu Ortak, Yapay Zekâ Uzmanı - Kaynak: mevzuat, resmi kurum ve üretici bilgileri sayfadaki Kaynaklar listesindeki birincil kaynaklardan alınır; her kaynağın yanında son kontrol tarihi yazılıdır. - Ürün bilgisi: Corex360 hakkındaki cümleler şirketin ürün olgu kayıtlarına dayanır; teyit edilmemiş özellik yazılmaz. - Yapay zekâ kullanımı: metni Corex360 ekibi yazar; yapay zekâ araçları taslak hazırlarken ve çeviride kullanılır. [Yayın ilkeleri](https://www.corex360.com/hakkimizda#yayin-ilkeleri) - Tarihler: ilk yayın 23 Eylül 2026 , son güncelleme 28 Eylül 2026 . [Düzeltme ilkesi](https://www.corex360.com/hakkimizda#duzeltmeler) ## Sık sorulanlar ** 01 KVKK açısından bulut ile kendi sunucu arasındaki fark nedir? ** Fark verinin fiziksel yerinden çok, kimin işlediği, kimin eriştiği ve nereye aktarıldığıdır. İki durumda da verinin işlenme amacını ve yöntemini belirleyen şirket veri sorumlusudur. Bu cevap hukuki görüş değildir. ** 02 KVKK verinin Türkiye'de tutulmasını zorunlu kılar mı? ** Genel bir kural olarak hayır; ancak kişisel verinin yurt dışına aktarılması kanunda ayrı şartlara bağlıdır. Bankacılık ve ödeme hizmetleri gibi bazı sektörlerde ayrı düzenlemeler yurt içinde saklama isteyebilir. ** 03 Bulut sağlayıcı veri sorumlusu olur mu? ** Genellikle olmaz. Sağlayıcı çoğu durumda sizin adınıza veriyi işleyen konumundadır; veri sorumlusu siz kalırsınız. Bu yüzden sağlayıcıyla yazılı bir veri işleme sözleşmesi yapılması önerilir. ** 04 Kişisel veri ne kadar süre saklanabilir? ** Kanun, işleme amacı ortadan kalktığında kişisel verinin silinmesini, yok edilmesini ya da anonim hâle getirilmesini ister; süre ilgili mevzuata ve işleme amacına göre belirlenir. Bu cevap hukuki görüş değildir. ** 05 Yurt dışındaki bir bulut sağlayıcıya veri nasıl aktarılır? ** 2024'te yürürlüğe giren değişiklikle yurt dışı aktarım kademeli bir düzene bağlandı: önce Kurulun yeterlilik kararı, bu yoksa standart sözleşme ya da bağlayıcı şirket kuralları gibi uygun güvenceler aranır. Bunlar da yoksa aktarım yalnız sınırlı arızi hâllerde yapılabilir ve açık rıza ancak bu son kademede dayanak olur. Bu cevap hukuki görüş değildir. ✳ **Bu sorunu kendi işinizde görün** Birkaç kısa soruyla işinizi dinleriz; demoyu sizin kanallarınızla, canlı ve online hazırlarız. [Demo isteyin](https://www.corex360.com/iletisim?konu=bi#form)[WhatsApp](https://wa.me/905321323288) İlgili yazılar ## Okumaya devam edin. [Blog'a dön](https://www.corex360.com/blog) [On-premise On-premise CRM nedir? Verinin şirkette kalması ne demek On-premise CRM, şirketin kendi sunucusunda çalışan CRM'dir. Veri gerçekten nerede durur, kurulum ve güncelleme kimde kalır, güvenlik neden kendiliğinden gelmez? Tarih 23 Eylül 2026 Yazıyı oku 01](https://www.corex360.com/blog/on-premise-crm-nedir)[İş zekâsı KPI panosu nedir? Yöneticinin sabah baktığı ilk ekran KPI panosu, şirketin hedefe göre nerede durduğunu gösteren göstergeleri eşik ve sorumlusuyla tek ekranda toplar. Panoya ne girer, neden zamanla bakılmaz olur? Tarih 23 Eylül 2026 Yazıyı oku 02](https://www.corex360.com/blog/kpi-panosu-nedir)[İş zekâsı Yönetici raporu mu, karar ekranı mı: Excel raporunun sınırı Yönetici raporu dönemi karar verecek kişiye özetler; Excel'de hazırlanan rapor ise hazırlandığı anda donar. Excel bazı işleri yine de iyi yapar. Tarih 23 Eylül 2026 Yazıyı oku 03](https://www.corex360.com/blog/yonetici-raporu-excel)[Asistan CRM'de yapay zekâ asistanı ne yapar, ne yapmaz CRM'deki yapay zekâ asistanı yazışmayı okur, özetler, taslak hazırlar ve takip eder; karar sizde kalır. Yanlış cevap riski seçimden önce sorulmalıdır. Tarih 23 Eylül 2026 Yazıyı oku 04](https://www.corex360.com/blog/crm-yapay-zeka-asistani)[Asistan İş süreçlerinde kural motoru nedir: hatırlatma, atama, onay Kural motoru hafızadaki işi yazılı kurala çevirir: tetikleyici, koşul, aksiyon. Bir satış ofisinin haftasında hangi iş kurala bağlanır, onay nerede durur? Tarih 23 Eylül 2026 Yazıyı oku 05](https://www.corex360.com/blog/kural-motoru-nedir)[Doküman Doküman yönetim sistemi nedir? Dosya müşteri kaydına nasıl bağlanır Doküman yönetim sistemi belgeyi saklar, bulunur kılar ve erişimi yetkiye bağlar. Ortak klasör neden yetmez, dosya müşteri kaydına bağlanınca ne değişir? Tarih 23 Eylül 2026 Yazıyı oku 06](https://www.corex360.com/blog/dokuman-yonetim-sistemi-nedir)[Doküman Sözleşme arşivi nasıl tutulur: imzalı belge, tarihler ve erişim Sözleşme arşivi, imzalı sözleşmeyi, eklerini ve tarihlerini erişimi kayıtlı biçimde saklar. Islak ve elektronik imza, adlandırma, bildirim tarihi ve yetki. Tarih 25 Eylül 2026 Yazıyı oku 07](https://www.corex360.com/blog/sozlesme-arsivi-nasil-tutulur)[Dijitalleşme KOSGEB dijital dönüşüm desteğiyle iş yazılımı almak: kimi kapsar, ne ister KOSGEB dijital dönüşüm desteği, imalattaki küçük ve orta işletmenin yazılım ve makine kredisinin faizine destektir. Şartlar, olgunluk raporu, adımlar, hatalar. Tarih 28 Eylül 2026 Yazıyı oku 08](https://www.corex360.com/blog/kosgeb-dijital-donusum-destegi) ## İlgili sorular **[VERBİS kaydı her şirket için zorunlu mu?](https://www.corex360.com/sozluk/verbis#sss)** Kural olarak kişisel veri işleyen gerçek ve tüzel kişiler kaydolur (KVKK m. 16/2). Kurul objektif ölçütlerle bazı veri sorumlularını ayrık tutabilir; ölçütler Kurul kararıyla değişebildiği için güncel karar kvkk.gov.tr'den kontrol edilmelidir. Bu sayfa işinize yaradı mı?