# Облако или свой сервер по KVKK | Corex360

> С точки зрения KVKK облако и свой сервер различаются не местом данных, а тем, кто их обрабатывает и видит. Отсюда и вопросы к провайдеру.

Источник: https://www.corex360.com/ru/blog/kvkk-oblako-ili-svoy-server
Последнее обновление: 2026-09-29

---

![Мужчина передаёт собеседнику папку со значком замка]
Безопасность

# Облако или свой сервер по KVKK: где хранятся данные

По KVKK (турецкий закон о защите персональных данных, сопоставимый с GDPR и российским 152-ФЗ) разница между облаком и своим сервером – это вопрос не столько места хранения, сколько того, кто обрабатывает данные, у кого доступ и куда они передаются. Что спросить у поставщика.

[Запросить демо](https://www.corex360.com/ru/kontakty?konu=bi#form)

[Corex360](https://www.corex360.com/ru) [Blog](https://www.corex360.com/ru/blog) Облако или свой сервер по KVKK: где хранятся данные

Содержание

- 01 Требует ли KVKK локализации данных?
- 02 Кто в облаке оператор данных, а кто обработчик?
- 03 Снижает ли собственный сервер ответственность?
- 04 Какие вопросы задать поставщику?
- 05 Где ведутся уведомления, согласия и запросы субъектов данных?
- 06 В какой среде хранятся данные в Corex360?

Ş **[Şevket Erer](https://www.corex360.com/ru/blog#blog-hakkinda)** Сооснователь, специалист по ИИ · Corex360

23 сентября 2026 г. Обновлено 28 сентября 2026 г. 6 мин чтения

[В словаре: KVKK](https://www.corex360.com/ru/glossariy#kvkk)

[Модули](https://www.corex360.com/ru/moduli) [Решения](https://www.corex360.com/ru/resheniya)

С точки зрения KVKK разница между облаком и собственным сервером не столько в том, где физически лежат персональные данные, сколько в том, кто их обрабатывает, кто имеет к ним доступ и куда они передаются. Закон Турции № 6698 о защите персональных данных считает оператором данных компанию, которая определяет цели и способы обработки, какой бы сервер она ни выбрала. Отсюда и вопрос главного бухгалтера: что меняется, если зарплатные данные и данные клиентов лежат в облаке, и что, если на нашем собственном сервере. Эта статья носит общий информационный характер и не является юридической консультацией; по своему случаю обратитесь к юристу. Действующий текст закона опубликован в [официальной базе законодательства Турции](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), решения и руководства Совета на сайте [Управления по защите персональных данных](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari).

** 01.

## Требует ли KVKK локализации данных?

**
Короткий ответ Как правило, KVKK не требует хранить данные в Турции или на собственном сервере компании; но передачу персональных данных за границу закон подчиняет отдельным условиям.

Локализация данных означает хранение данных в пределах определённой страны. Фокус KVKK в другом: на каком основании обрабатываются данные, был ли человек уведомлён, как данные защищены и кому они передаются. Если серверы облачного провайдера находятся за рубежом, данные могут считаться переданными в эту страну, и такая передача подчиняется отдельным условиям закона. С поправкой, вступившей в силу в 2024 году, передача за рубеж перешла к ступенчатому порядку: сначала решение Совета об адекватности, если его нет, надлежащие гарантии, например стандартный договор или обязательные корпоративные правила, а если нет и их, ограниченные разовые случаи; явное согласие теперь может служить основанием только на этой последней ступени.

Пример: представьте производителя мебели в Кайсери. Он работает не в отрасли с особым регулированием вроде банковского дела или платёжных услуг. Для него главный вопрос не «облако или свой сервер», а «где сервер поставщика облака и кто может видеть данные». В некоторых отраслях отдельные нормы могут требовать хранения данных внутри страны; правила вашей отрасли проверьте отдельно.

Поэтому локализация данных сама по себе не критерий выбора. Данные на сервере в Турции, к которым у всех есть доступ, могут нести больший риск, чем хорошо защищённые данные в другом месте. Место лишь одна из частей защиты.

** 02.

## Кто в облаке оператор данных, а кто обработчик?

**
Короткий ответ Ваша компания, которая определяет цели и способы обработки данных, является оператором данных; облачный провайдер, предоставляющий услугу, обычно обрабатывает данные от вашего имени.

Перенос данных в облако не передаёт ответственность поставщику. Когда главный бухгалтер загружает ведомость в облачную HR-систему, ведомость по-прежнему остаётся ответственностью компании. При утечке сотрудник в первую очередь спрашивает работодателя.

Закон возлагает на оператора данных и на того, кто обрабатывает данные от его имени, совместную ответственность за меры безопасности; чтобы очертить границы этой общей ответственности, с обработчиком рекомендуется заключить [письменный договор](https://www.corex360.com/ru/glossariy/dogovor-ob-obrabotke-dannykh). Договор описывает, с какой целью и с какими мерами безопасности провайдер обрабатывает данные и что он делает с данными после окончания договора. Без договора неясно и то, где начинается и где заканчивается ответственность.

Как вернуть данные при смене поставщика, тоже предмет этого договора; иначе данные могут остаться у поставщика, договор с которым закончился.

Нужно также спросить, использует ли облачная программа других субподрядчиков по обработке. Приложение может находиться у одной компании, резервные копии у другой, рассылка почты у третьей; каждая остановка, через которую проходят данные, должна быть видна в договоре.

** 03.

## Снижает ли собственный сервер ответственность?

**
Короткий ответ На собственном сервере ответственность по KVKK не уменьшается, а перемещается: вопрос передачи за рубеж может упроститься, но все меры безопасности переходят к вашей команде.

Облако и собственный сервер с точки зрения KVKK
| Тема | Облако | Собственный сервер |
|---|---|---|
| Оператор данных | Ваша компания; поставщик обычно выступает обработчиком, который обрабатывает данные от вашего имени | Ваша компания |
| Передача за рубеж | Если сервер за рубежом, данные могут считаться переданными и подпадают под отдельные условия | Если данные не покидают страну, этот вопрос может упроститься |
| Меры безопасности | Вы несёте ответственность вместе с обработчиком; границу проводит письменный договор | Все они переходят к вашей команде |
| Первый вопрос | В какой стране данные, кто имеет доступ, как они передаются после окончания договора? | Кто видит какую запись, фиксируется ли доступ, где хранится резервная копия? |

Закон ожидает от оператора данных технических и организационных мер для надлежащего уровня безопасности. На вашем собственном сервере все эти меры ваши: кто видит какую запись, фиксируется ли доступ, куда делается резервная копия, когда ставятся обновления безопасности.

Пример: представьте офис строительной компании. Сервер стоит в шкафу под лестницей, резервная копия на внешнем диске в том же шкафу. Личные дела сотрудников видят все, потому что права доступа так и не настроили. Данные за границу не уходят, но и защищёнными их не назовёшь.

Настоящее преимущество своего сервера в видимом контроле: вы прямо видите, кто заходит на сервер и где лежит резервная копия. Это преимущество работает, только если меры записаны и регулярно проверяются. Поэтому первое, что делает компания, переходя на свой сервер, это таблица прав: какая роль видит какую запись, кто может выгружать, кто может удалять.

** 04.

## Какие вопросы задать поставщику?

**
Короткий ответ Главные вопросы облачному провайдеру: в какой стране и на чьей инфраструктуре хранятся данные, куда делается резервная копия, кто имеет доступ, фиксируется ли доступ и как данные передаются после окончания договора.

- В какой стране и на чьей инфраструктуре хранятся база данных и файлы?
- Если данные за рубежом, на каком основании идёт передача, например на стандартном договоре?
- Куда уходит резервная копия, зашифрована ли она, проверялось ли восстановление?
- В каких случаях сотрудники поставщика могут получить доступ к данным и журналируется ли этот доступ?
- Готовы ли при внедрении договор об обработке данных и уведомление о конфиденциальности?
- Если договор закончится, в каком формате и как возвращаются данные?
- Если произойдёт утечка, как и когда вам сообщат?

Последний вопрос кажется мелким, но это не так. Закон обязывает оператора данных при утечке уведомить Совет по защите персональных данных и затронутых лиц. Если поставщик сообщит вам поздно, вы не выполните эту обязанность вовремя, поэтому порядок уведомления нужно прописать в договоре. Задавайте эти вопросы на этапе выбора, а не после подписания договора. Просите ответы в письменном виде; устное заверение нельзя предъявить ни при проверке, ни в ответ на запрос.

** 05.

## Где ведутся уведомления, согласия и запросы субъектов данных?

**
Короткий ответ Каким бы ни было размещение, человека уведомляют, при необходимости получают явное согласие, а запрос субъекта данных получает ответ и фиксируется.

Уведомить значит сообщить человеку, какие данные обрабатываются, с какой целью и кому они могут быть переданы. Явное согласие нужно не для каждой обработки; если есть другое законное основание, согласие может не требоваться. Обязанность регистрации в [Реестре операторов данных (VERBİS)](https://www.corex360.com/ru/glossariy/verbis-reestr-operatorov-dannykh) тоже зависит от положения компании, а не от места размещения данных, и из неё есть исключения.

Если клиент спрашивает, какие его данные хранятся по старой акции, а для ответа нужно перебрать несколько отдельных систем, проблема скорее в разрозненности, чем в размещении. Когда данные лежат в одной записи, и на запрос отвечают из одного места. С какой работы начинать наведение порядка, рассказывает статья [о цифровизации малого и среднего бизнеса](https://www.corex360.com/ru/blog/tsifrovizatsiya-msb).

То, что спрашивает субъект данных, чаще всего просто: какие мои данные хранятся, зачем и кому они переданы. В разрозненных системах ответ на эти вопросы может превратиться в поиск на несколько дней.

KVKK: что требует закон, что есть в Corex360, что остаётся за вами
| Чего требует закон | Что есть в Corex360 | Что остаётся за вами |
|---|---|---|
| Технические и организационные меры для надлежащего уровня безопасности (KVKK, ст. 12 ч. 1) | Доступ строится на ролях; каждый пользователь видит только записи в рамках своей роли. Corex360 Security фиксирует входы, устройства и доступ. | Определить роли, закрыть доступ ушедшим, проводить внутренний контроль (ст. 12 ч. 3). |
| Условия ст. 9 для передачи за рубеж | Размещение: выделенное пространство компании в Corex360 Cloud или ваш собственный сервер; выбор фиксируется в договоре. В облаке запрос, написанный X AI, уходит выбранному вами поставщику ИИ; при установке на собственном сервере X AI работает с локальной моделью. | Определить правовое основание передачи и с учётом этого выбрать поставщика ИИ. |
| Право субъекта данных запросить информацию (ст. 11 ч. 1) | Модули используют одну и ту же запись клиента; переписка, предложения и договоры человека хранятся в одной карточке. | Принять обращение, ответить в срок и зафиксировать ответ. |
| Регистрация в Реестре операторов данных (ст. 16) | Аналога нет; регистрацию в реестре выполняет само предприятие, а не программа. | Проверить по решениям на kvkk.gov.tr, освобождено ли предприятие от регистрации, и при необходимости зарегистрироваться. |

** 06.

## В какой среде хранятся данные в Corex360?

**
Короткий ответ В Corex360 выбор за вами: отдельное пространство компании в Corex360 Cloud или ваш собственный сервер; в обоих случаях работает один и тот же уровень безопасности.

В Corex360 входы, устройства, скачивания и изменения прав фиксируются; доступ строится по ролям. Персональные данные обрабатываются в рамках KVKK. Все эти факты описаны на странице [безопасность Corex360 и KVKK](https://www.corex360.com/ru/bezopasnost).

Доступ основан на ролях; зарплатные и персональные данные видят только те, кому это разрешает роль. В перечень вопросов к продавцу нужно добавить также форматы выгрузки и то, как передаются данные после окончания договора. Если корпоративная политика требует хранить данные в собственной инфраструктуре, подробности на странице [работа на собственном сервере](https://www.corex360.com/ru/resheniya/na-svoem-servere). Принесите на демо вопросы о том, где хранятся данные, кому они открыты и как передаются; ответы для вашей ситуации мы запишем вместе.

Задавайте эти вопросы и для Corex360 Cloud, и для варианта с собственным сервером; в обоих вариантах ответ должен быть письменным.

## Материалы

- [Управление по защите персональных данных, решения Совета](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari) Последняя проверка 24 сентября 2026 г.

## Как подготовлена эта страница?

- Автор: [Şevket Erer](https://www.corex360.com/ru/blog#blog-hakkinda), Сооснователь, специалист по ИИ
- Источники: сведения о законодательстве, официальных органах и производителях берутся из первичных источников в списке «Материалы» на этой странице; рядом с каждым источником указана дата последней проверки.
- Сведения о продукте: утверждения о Corex360 основаны на записях компании о фактах продукта; неподтверждённые функции не описываются.
- Использование ИИ: текст пишет команда Corex360; инструменты ИИ применяются при подготовке черновиков и переводе. [Редакционные принципы](https://www.corex360.com/ru/o-kompanii#yayin-ilkeleri)
- Даты: первая публикация 23 сентября 2026 г. , последнее обновление 28 сентября 2026 г. . [Порядок исправлений](https://www.corex360.com/ru/o-kompanii#duzeltmeler)

## Вопросы и ответы

** 01 В чём разница между облаком и собственным сервером с точки зрения KVKK? **
Разница не столько в физическом месте хранения данных, сколько в том, кто их обрабатывает, кто имеет доступ и куда они передаются. В обоих случаях компания, которая определяет цели и способы обработки, остаётся оператором данных. Этот ответ не является юридической консультацией.

** 02 Требует ли KVKK хранить данные в Турции? **
Как правило, нет; но передача персональных данных за границу по закону подчиняется отдельным условиям. В некоторых отраслях, например в банковском деле и платёжных услугах, отдельные нормы могут требовать хранения данных внутри страны.

** 03 Становится ли облачный провайдер оператором данных? **
Как правило, нет. В большинстве случаев провайдер обрабатывает данные от вашего имени; оператором данных остаётесь вы. Поэтому с провайдером рекомендуется заключить письменное соглашение об обработке данных.

** 04 Как долго можно хранить персональные данные? **
Закон требует удалить, уничтожить или обезличить персональные данные, когда цель обработки отпала; срок определяется соответствующими нормами и целью обработки. Этот ответ не является юридической консультацией.

** 05 Как передаются данные облачному провайдеру за рубежом? **
С поправкой, вступившей в силу в 2024 году, передача данных за рубеж подчиняется ступенчатому порядку: сначала решение Совета об адекватности, а если его нет, надлежащие гарантии, например стандартный договор или обязательные корпоративные правила. Если нет и их, передача возможна только в ограниченных разовых случаях, и явное согласие служит основанием лишь на этой последней ступени. Этот ответ не является юридической консультацией.

✳ **Посмотрите, как эта проблема решается в вашей работе** Несколькими короткими вопросами мы узнаём вашу работу; демо готовим с вашими каналами, вживую и онлайн.

[Запросить демо](https://www.corex360.com/ru/kontakty?konu=bi#form)[WhatsApp](https://wa.me/905321323288)

Похожие статьи

## Продолжайте читать.

[Назад в блог](https://www.corex360.com/ru/blog)

[On-premise Что такое on-premise CRM? Что на самом деле значит хранить данные в компании On-premise CRM – это CRM на собственном сервере компании. Где на деле лежат данные, за кем установка и обновления и почему безопасность не приходит сама? Дата 23 сентября 2026 г. Читать статью 01](https://www.corex360.com/ru/blog/chto-takoe-on-premise-crm)[Бизнес-аналитика Что такое KPI-панель? Первый экран, который руководитель открывает утром Панель KPI собирает на одном экране показатели движения к цели с порогами и ответственными. Что на неё попадает и почему на неё перестают смотреть? Дата 23 сентября 2026 г. Читать статью 02](https://www.corex360.com/ru/blog/chto-takoe-dashbord-kpi)[Бизнес-аналитика Управленческий отчёт или экран решений: где заканчивается отчёт в Excel Отчёт руководителя сводит период для того, кто решает; отчёт в Excel застывает в момент подготовки. Некоторые задачи Excel всё же делает хорошо. Дата 23 сентября 2026 г. Читать статью 03](https://www.corex360.com/ru/blog/upravlencheskaya-otchetnost-bez-excel)[Ассистент Что ИИ-ассистент в CRM делает, а чего не делает ИИ-ассистент в CRM читает переписку, делает сводки, готовит черновики и следит за делами; решение за вами. О риске неверного ответа спросите до выбора. Дата 23 сентября 2026 г. Читать статью 04](https://www.corex360.com/ru/blog/ii-assistent-v-crm)[Ассистент Что такое движок правил в бизнес-процессах: напоминания, назначение, одобрение Движок правил превращает работу из памяти в письменное правило: триггер, условие, действие. Что в неделе отдела продаж привязать к правилу и где согласование? Дата 23 сентября 2026 г. Читать статью 05](https://www.corex360.com/ru/blog/chto-takoe-dvizhok-pravil)[Документы Что такое СЭД (система управления документами)? Как файл привязывается к карточке клиента Система управления документами хранит документ, делает его находимым и привязывает доступ к правам. Почему общей папки мало и что даёт привязка к клиенту? Дата 23 сентября 2026 г. Читать статью 06](https://www.corex360.com/ru/blog/chto-takoe-sistema-elektronnogo-dokumentooborota)[Документы Как вести архив договоров: подписанный документ, даты и доступ Архив договоров хранит подписанный договор, приложения и даты с фиксацией доступа. Собственноручная и электронная подпись, названия файлов, сроки и права. Дата 25 сентября 2026 г. Читать статью 07](https://www.corex360.com/ru/blog/kak-vesti-arkhiv-dogovorov)[Цифровизация Покупка бизнес-ПО с поддержкой цифровой трансформации KOSGEB: кого охватывает, что требует Поддержка KOSGEB покрывает проценты по кредиту малых и средних производителей на покупку ПО и оборудования. Условия, отчёт о зрелости, шаги и частые ошибки. Дата 28 сентября 2026 г. Читать статью 08](https://www.corex360.com/ru/blog/podderzhka-kosgeb-tsifrovaya-transformatsiya)

## Связанные вопросы

**[Обязательна ли регистрация в VERBİS для каждой компании?](https://www.corex360.com/ru/glossariy/verbis-reestr-operatorov-dannykh#sss)**
По общему правилу регистрируются физические и юридические лица, обрабатывающие персональные данные (KVKK, ст. 16 ч. 2). Совет может освободить часть операторов по объективным критериям; критерии меняются решениями Совета, поэтому актуальное решение нужно проверять на kvkk.gov.tr.

Была ли эта страница полезной?