1 Eylül 2024’ten bu yana, kişisel veriyi Türkiye dışındaki bir bulut sağlayıcısına, grup şirketine veya SaaS tedarikçisine gönderen her Türk şirketinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.9’daki güvencelerden birine ihtiyacı var. Hemen her startup için o güvence standart sözleşmedir: Kişisel Verileri Koruma Kurulu’nun yayımladığı dört sabit metinden biri, aktaran ve alıcı tarafından değiştirilmeden imzalanır ve, en çok kaçırılan adım bu, imzadan itibaren beş iş günü içinde Kuruma bildirilir. Bildirimi kaçırmak, sözleşmenin niteliği ne olursa olsun bağımsız bir kabahattir ve 2026 ceza aralığı 90.308 TL ile 1.806.177 TL arasındadır. Bu yazı operasyonel bir rehber: dört metinden hangisi seçilir, nasıl doldurulur, kim, nasıl ve ne zamana kadar bildirir ve imzalanmış ama hiç bildirilmemiş sözleşmelerle ne yapılır. KVKK standart sözleşmeleri ve AB SCC’leri referans sayfamızın pratik tamamlayıcısıdır.
Standart sözleşme m.9’un neresinde duruyor?
7499 sayılı Kanun m.9’u 1 Haziran 2024’ten geçerli olmak üzere yeniden yazdı. Yeni yapı üç kademeli. Birincisi, Kurulun yeterlilik kararı verdiği ülke, sektör veya uluslararası kuruluşa aktarımlar (m.9/1–3); Kurumun kendi yurt dışına aktarım sayfası bu konuda Kurulca henüz bir belirleme yapılmadığını kaydediyor. İkincisi, yeterlilik kararı yoksa m.9/4’teki uygun güvencelerden birine dayanan aktarımlar: Kurulun izin verdiği kamu kurumları arası anlaşma, Kurulca onaylanmış bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme veya Kurulca onaylanmış yazılı taahhütname. Üçüncüsü, ilgili kişinin muhtemel riskler hakkında bilgilendirildikten sonra verdiği açık rıza dâhil m.9/6’daki istisnalara dayanan arızi aktarımlar. Açık rızanın aktarımın günlük dayanağı olduğu eski rejim, geçiş süresinin bittiği 1 Eylül 2024’te sona erdi. Bir veri işleyene veya grup şirketine sürekli aktarım yapan şirket için standart sözleşme, Kurulun ön onayını gerektirmeyen tek güvencedir; varsayılan olması bundandır.
Dört metin arasından seçim
Kurul, 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla her rol kombinasyonu için bir tane olmak üzere dört standart sözleşme metni kabul etti: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Seçimi tarafların büyüklüğü veya türü değil, somut akıştaki roller belirler. Müşteri verisi için ABD’li bir barındırma sağlayıcısı kullanan Türk SaaS şirketi, veri işleyene aktaran veri sorumlusudur: metin 2. Grup raporlaması için İK verisini ana şirketiyle paylaşan Türk iştiraki, veri sorumlusundan veri sorumlusuna: metin 1. Yabancı bir alt işleyene iş veren Türk veri işleyeni, veri işleyenden veri işleyene: metin 3. Dördüncü metin, Türk veri işleyeninin veriyi yabancı bir veri sorumlusuna iade ettiği veya gönderdiği daha nadir durumu kapsar; örneğin Avrupalı bir müşteri için veri işleyen Türk yazılım evi. Rolü yanlış seçmek şekil meselesi değildir: metinlerdeki yükümlülükler farklıdır ve özünde veri sorumlusundan veri sorumlusuna olan bir akış için kullanılan işleyen sözleşmesi, alıcının bağımsız yükümlülüklerini düzenlenmemiş bırakır.
Metni bozmadan doldurmak
Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10 Temmuz 2024, 32598) açıktır: standart sözleşme metni üzerinde herhangi bir değişiklik yapılmaksızın kullanılmalıdır; yabancı dilde de akdedilmişse Türkçe metin esas alınır. Tarafların alanı eklerle ve boşluklarla sınırlıdır: tarafların ve varsa alt işleyenlerin kimliği, veri kategorileri ve ilgili kişi grupları, aktarım amaçları, alıcının uygulayacağı teknik ve idari tedbirler, özel nitelikli veriler için ek önlemler. GDPR dünyasından iki alışkanlık burada sorun çıkarır. Standart sözleşmeyi “tadil eden” bir ana hizmet sözleşmesi hükmü eklemeyin; tadil geçersizdir ve metnin değiştirildiği şeklinde okunabilir. Güvenlik tedbirleri ekini de genel bırakmayın: Kurul, fiilen aktarılan veriye uygun tedbirler bekler.
Bildirim: beş iş günü, kim, nasıl
Kanun m.9/5, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesini öngörür. Süre aktarımın başladığı tarihte değil, belgeye son imzanın atıldığı anda işlemeye başlar; cumartesi, pazar ve resmî tatiller sayılmaz. Yönetmelik m.14/5, tarafların bildirimi kimin yapacağını standart sözleşmede belirlemesine izin verir; belirleme yoksa bildirimi veri aktaran yapar. Uygulamada bu Türk taraftır ve Kanun veri sorumlusuyla veri işleyeni aynı biçimde yükümlü kılar: metin 3 veya 4 ile veri aktaran Türk veri işleyeni kendi bildirimini yapar. Bildirime imzacıların yetkisini gösteren belgeler ile yabancı dildeki her belgenin noter onaylı çevirisi eklenir (m.14/6); taraflarda veya eklerde sonradan yapılan değişiklikler ve sözleşmenin sona ermesi de bildirilir (m.14/8). Bildirim, gönderim tarihini kaydeden Kurumun çevrim içi standart sözleşme portalı (standartsozlesme.kvkk.gov.tr) üzerinden yapılır; alındı belgesini imzalı sözleşmeyle birlikte aktarım dosyasında saklayın, çünkü bir denetçinin ilk isteyeceği şey o belgedir.
7499 sayılı Kanun’la eklenen m.18/1-d uyarınca bildirim yükümlülüğünü yerine getirmeyenlere, yıllık yeniden değerleme sonrasında 2026’da 90.308 TL’den 1.806.177 TL’ye kadar idari para cezası verilir; m.18/2, (d) bendindeki cezanın veri sorumlusu veya veri işleyen sıfatını taşıyan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacağını açıkça söyler. Kurul kararlarına karşı idare mahkemelerinde dava açılabilir (m.18/3).
İmzaladık ama hiç bildirmediysek?
Diyelim Ekim 2024’te imzalanmış ve hiç bildirilmemiş bir standart sözleşme hâlâ bir sözleşmedir ve kapsadığı aktarım taraflar arasında hukuka uygun olabilir; ama bildirim ihlali çoktan gerçekleşmiştir. Kanunda bir telafi süresi yoktur. Makul yol, taze bir beş günlük pencere yaratmak için bugünün tarihiyle yeniden imzalamak yerine gerçek imza tarihiyle şimdi bildirmektir: yeniden imza yolu sahte bir kayıt üretir ve asıl ihlali yerinde bırakır. Geç bildirim kabahati silmez, ancak dosyada belgelenmiş, kendi inisiyatifiyle yapılmış bir düzeltme, Kurul bir gün sorarsa şirketin elindeki en güçlü hafifletici unsurdur. Aynı mantık, bildirimden sonra ekleri değiştirilen sözleşmeler için de geçerlidir: değiştirilmiş sürümü bildirin.
Bunu proje değil süreç olarak işletmek
Bu işi doğru yapan şirketler standart sözleşmeyi her yabancı tedarikçi ve her grup içi akış için bir onboarding adımı olarak ele alır. Tedarikçi anketi rolü, konumu ve alt işleyenleri sorar; satın alma kontrol listesi veri hareket etmeden önce doğru metnin imzalanmasını şart koşar; beş günlük bildirim, genellikle VERBİS kaydını ve işleme envanterini tutan kişiye ait bir takvim görevidir; aktarım sicili her sözleşmeyi imza tarihi, bildirim tarihi ve portal alındı numarasıyla listeler. Bir akış değiştiğinde, örneğin tedarikçi yeni bir ülkede alt işleyen eklediğinde, ek güncellenir ve yeniden bildirilir. Bu sicil aynı zamanda AB’li müşterilerin kendi aktarım etki değerlendirmelerini yaparken görmek isteyecekleri sicildir; aynı dosya iki kitleye hizmet eder.
AB’ye giden veri için de standart sözleşme gerekir mi?
Evet. m.9 kapsamındaki yeterlilik kararını Türk Kurulu verir ve AB veya başka bir ülke için yayımlanmış bir yeterlilik kararı yoktur. Yayımlanana kadar Türkiye’den AB’deki bir veri işleyene aktarım, başka her yurt dışı aktarım gibi standart sözleşme gerektirir.
ABD’li tedarikçimiz Türk hukukuna tabi sözleşme imzalamayı reddediyor. Ne yapmalı?
Standart sözleşme, ön onay gerektirmeyen tek Kurul onaylı güvencedir ve değiştirilemez. Tedarikçi imzalamıyorsa alternatifler Kurulca onaylanacak bir taahhütname (zaman alır), Kurulca onaylanmış bağlayıcı şirket kuralları (yalnızca grup içinde) veya akışın hiçbir kişisel verinin Türkiye’den çıkmayacağı biçimde yeniden yapılandırılmasıdır. “Onun yerine AB SCC’lerini imzaladık” m.9 anlamında güvence değildir.
Bildirim sözleşmeyi kamuya açık hâle getirir mi?
Hayır. Bildirim, kamuya açık bir sicil değil Kuruma yapılan bir başvurudur. Ticari açıdan hassas ekler yalnızca Kuruma açıklanır.
İlgili: yurt dışına veri aktarımı · veri işleyen · model API’leri ve yurt dışına kişisel veri.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanun’la değişik m.9 ve m.18); Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10 Temmuz 2024, 32598); Kişisel Verileri Koruma Kurumu, Standart Sözleşmeler (dört metin; Kurul kararı 4 Haziran 2024, 2024/959); KVKK standart sözleşme bildirim portalı. 2026 ceza tutarları, 2026 yılı için yüzde 25,49 yeniden değerleme oranına göredir (RG 27 Kasım 2025).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz. Somut bir durumun değerlendirilmesi için hukuki destek alınmalıdır.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın