Bulut Yazılım Sağlayıcısı Sözleşme Bitince Şirket Verilerini Vermiyorsa Ne Yapılır?

Bulut yazılım (SaaS) sözleşmesi sona erdiğinde hizmet sağlayıcının şirket verilerini teslim etmemesi, sözleşmeye aykırılık ve koşullarına göre tazminat sorumluluğu doğurabilir. Ancak şirketin hangi verileri, hangi formatta ve ne kadar sürede talep edebileceği öncelikle sözleşmenin sona erme, veri iadesi ve dışa aktarım hükümlerine göre belirlenir.

CRM kayıtları, muhasebe verileri, personel bilgileri veya operasyonel belgeler başka bir sağlayıcının sisteminde tutuluyor olabilir. Hizmetin bitmesi, şirketin bu kayıtlara ilişkin bütün hukuki menfaatlerinin kendiliğinden ortadan kalktığı anlamına gelmez. Bununla birlikte, sağlayıcının yazılımını kullanmaya devam etme hakkı ile şirket verilerinin teslimini isteme hakkı aynı değildir.

Bu tür uyuşmazlıklarda öncelik, erişimin kesilmesi veya verilerin silinmesi ihtimali karşısında kayıtların korunması, veri teslim yükümlülüğünün belirlenmesi ve yeni sisteme geçişin belgelendirilmesidir.

SaaS Sözleşmesi Bitince Şirket Verilerinin İadesi Zorunlu mudur?

Türk hukukunda bütün SaaS hizmetleri için aynı kapsamda ve aynı formatta veri teslimini düzenleyen genel bir sözleşme sonu iade kuralı bulunmamaktadır. Bu nedenle öncelikle taraflar arasındaki sözleşmenin içeriği ve hizmetin niteliği değerlendirilmelidir.

6098 sayılı Türk Borçlar Kanunu’nun 112. maddesine göre borcun hiç veya gereği gibi ifa edilmemesi, borçlunun sorumluluğunu gündeme getirebilir. Kanunun 113. maddesi ise yerine getirilmeyen yapma borçları bakımından belirli koşullarda mahkemeden izin istenebilmesine imkân tanır.

Dolayısıyla sözleşmede şirket verilerinin iadesi veya dışa aktarımı açıkça düzenlenmişse ve sağlayıcı bu yükümlülüğünü yerine getirmiyorsa, şirket sözleşmeye dayalı ifa ve gerektiğinde zararının giderilmesi taleplerini değerlendirebilir.

Ancak sözleşmede veri iadesi hükmünün bulunmaması, her durumda sınırsız bir veri teslim hakkı doğduğu anlamına gelmez. Hizmetin amacı, tarafların karşılıklı yükümlülükleri, dürüstlük kuralı, sözleşmenin yorumlanması ve ilgili mevzuat birlikte incelenmelidir.

Şirket verisi ile yazılım sağlayıcısına ait unsurlar aynı mıdır?

Bir bulut yazılımda birden fazla veri ve teknoloji katmanı bulunabilir:

• Müşteri verileri: Şirketin sisteme yüklediği müşteri kayıtları, faturalar, personel bilgileri, stok kayıtları ve belgeler.
• Hizmet sırasında oluşan kayıtlar: İşlem geçmişleri, kullanıcı hareketleri, ilişkilendirmeler, raporlar ve iş akışı kayıtları.
• Sağlayıcının yazılım unsurları: Kaynak kodu, uygulama mimarisi, algoritmalar ve sağlayıcıya ait teknik bileşenler.
• Yedekler ve sistem kayıtları: Veri tabanı kopyaları, yedekleme dosyaları ve erişim kayıtları.

Şirketin verilerini talep etmesi, sağlayıcının kaynak kodunun veya bütün teknik altyapısının da teslim edilmesini otomatik olarak gerektirmez. Aynı şekilde verilerin yalnızca PDF biçiminde sunulması, sözleşmede öngörülen kullanılabilir veri teslimi yükümlülüğünün her durumda karşılandığını göstermez.

Veri İadesinde Hangi Format Talep Edilebilir?

SaaS sözleşmelerindeki uyuşmazlıkların önemli bir bölümü, verilerin hiç verilmemesinden ziyade kullanılabilir biçimde teslim edilmemesinden kaynaklanır.

Örneğin bir CRM yazılımından ayrılan şirket, müşteri isimlerinin bulunduğu bir liste almış olabilir. Ancak müşteri görüşme geçmişi, satış fırsatları, görev kayıtları, ekli belgeler veya kayıtlar arasındaki ilişkiler teslim edilmemişse, yeni CRM sistemine geçiş önemli ölçüde güçleşebilir.

Veri tesliminde şu hususlar birlikte kontrol edilmelidir:

• Verilerin CSV, JSON, XML, XLSX veya başka bir formatta dışa aktarılıp aktarılamadığı.
• İlişkili kayıtların birbirleriyle bağlantısının korunup korunmadığı.
• Belge eklerinin ve dosya bağlantılarının teslim kapsamına girip girmediği.
• Tarih, para birimi ve karakter kodlamasının bozulup bozulmadığı.
• İşlem geçmişi, kayıt kimliği ve denetim izlerinin hangi kapsamda istendiği.
• Verilerin bütünlüğünün ve eksiksizliğinin nasıl denetleneceği.

Önemli ayrım: Bir dosyanın teknik olarak açılabilmesi ile yeni sağlayıcının sistemine anlam kaybı olmaksızın aktarılabilmesi aynı şey değildir. Bununla birlikte, yeni sağlayıcıyla tam uyumluluk sağlama yükümlülüğü de sözleşmede veya uygulanabilir özel hukuk düzenlemesinde dayanak bulunmadan eski sağlayıcıya yüklenemez.

Sözleşme Sona Erdikten Sonra Verilere Erişim Ne Kadar Devam Eder?

Sözleşme sonrasında verilere erişimin devam edeceği süre bütün bulut hizmetlerinde aynı değildir. Sözleşmenin kendisi, hizmet koşulları, veri işleme ekleri, saklama politikaları ve varsa geçiş hizmeti hükümleri incelenmelidir.

Bazı sağlayıcılar abonelik bitiminden sonra yalnızca yönetici erişimini devam ettirirken bazıları hesabı salt okunur duruma geçirebilir veya belirli koşullarda erişimi durdurabilir.

Bu farklılığa örnek olarak Microsoft 365’in resmî abonelik yaşam döngüsü açıklamaları gösterilebilir. Microsoft, hizmete ve abonelik türüne bağlı olarak süresi dolmuş, devre dışı ve silinmiş hesap durumları arasında ayrım yapmaktadır. Bu açıklamalardaki süreler bütün SaaS sağlayıcıları için geçerli genel bir hukuk kuralı değildir.

Şirketin veri teslimi talebini oluştururken yalnızca sözleşmenin bitiş tarihini değil, hesabın devre dışı bırakılacağı ve verilerin imha edilebileceği tarihleri de belirlemesi gerekir.

Sağlayıcı Ödenmemiş Faturayı Gerekçe Göstererek Verileri Vermeyebilir mi?

Hizmet sağlayıcı ile şirket arasında geçmiş dönem lisans bedelleri, kullanım ücretleri veya veri aktarımına ilişkin ek masraflar yönünden uyuşmazlık bulunabilir.

Bu durumda hizmet bedelinin ödenmemesi ile veri teslimi yükümlülüğü ayrı ayrı ele alınmalıdır. Sağlayıcının ücret alacağının bulunması, şirketin verilerinin her durumda ve sınırsız süreyle alıkonulabileceği anlamına gelmez. Buna karşılık şirketin ücret uyuşmazlığına dayanarak sözleşmedeki bütün ödeme yükümlülüklerinden kurtulduğu da kabul edilemez.

Değerlendirmede özellikle şu sorular önemlidir:

• Veri dışa aktarımı başlangıçtaki hizmet bedeline dahil midir?
• Sözleşme sonunda ayrıca geçiş veya veri çıkarma ücreti öngörülmüş müdür?
• Ücret hükmü açık, erişilebilir ve uygulanabilir nitelikte midir?
• Sağlayıcı hangi hizmetin bedelini talep etmektedir?
• Ödeme uyuşmazlığı nedeniyle durdurulan işlem, sözleşmesel hizmetin devamı mı yoksa mevcut kayıtların teslimi midir?

Sağlayıcının önceden hazırladığı standart sözleşme hükümleri, somut olayda Türk Borçlar Kanunu’nun 20 ve devamı maddelerindeki genel işlem koşulları denetimine de tabi olabilir. Özellikle karşı taraf aleyhine ağırlaştırıcı koşullar bakımından sözleşmenin hazırlanma ve kabul edilme süreci önem taşır.

Bu nedenle uyuşmazlığın yalnızca “borç ödenmediği için veri verilmez” veya “veriler şirkete ait olduğu için hiçbir ücret talep edilemez” şeklinde değerlendirilmesi isabetli değildir.

KVKK Açısından Veri İadesi ve Veri Silme Yükümlülüğü

Bulut hizmetinde işlenen kayıtların tamamı kişisel veri olmayabilir. Ancak CRM, insan kaynakları veya muhasebe sistemleri çoğunlukla kimliği belirli veya belirlenebilir gerçek kişilere ilişkin bilgiler de içerir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlarla, ölçülü biçimde ve gerekli süreyle işlenmesini öngörür. Kanunun 12. maddesi ise veri güvenliğine ilişkin teknik ve idari tedbirleri düzenler.

Hizmet alan şirket veri sorumlusu, SaaS sağlayıcısı da veri işleyen konumunda olabilir. Ancak tarafların KVKK bakımından sıfatları, yalnız sözleşmede kullanılan adlandırmaya göre değil, veri işleme faaliyetindeki gerçek rollerine göre belirlenir.

Verinin şirkete iadesi ile sağlayıcı tarafından silinmesi farklı işlemlerdir

Şirketin bir veri kopyası alması, sağlayıcının sistemindeki bütün kopyaların kendiliğinden silindiğini göstermez. Tersine, verilerin sağlayıcı tarafından silinmiş olması da şirketin sözleşmeye uygun, kullanılabilir bir veri kopyası aldığı anlamına gelmez.

KVKK’nın 7. maddesi uyarınca kişisel verilerin işlenmesini gerektiren sebeplerin tamamının ortadan kalkması hâlinde silme, yok etme veya anonim hâle getirme yükümlülüğü gündeme gelir. Ancak diğer kanunlardan doğan saklama yükümlülükleri ve işleme şartlarının devam edip etmediği ayrıca değerlendirilir.

Bu nedenle hizmetten çıkış planında veri iadesi, aktarım doğrulaması, erişim yetkilerinin kaldırılması, sağlayıcıdaki kopyaların imhası ve imha kayıtlarının tutulması birbirinden ayrı aşamalar olarak düzenlenmelidir.

Bulut Yazılım Sağlayıcısı Verileri Vermiyorsa Şirket Ne Yapmalıdır?

1. Sözleşme ve eklerini birlikte inceleyin

Ana sözleşmeyle yetinilmemelidir. Hizmet seviyesi anlaşması (SLA), veri işleme sözleşmesi, çevrimiçi hizmet koşulları, sipariş formları, saklama ve yedekleme politikaları ile sözleşmede yapılan değişiklikler birlikte değerlendirilmelidir.

Özellikle sözleşmenin sona ermesi, erişimin askıya alınması, veri dışa aktarımı, teknik yardım, ücretler, yedekler ve uygulanacak hukuk hükümleri tespit edilmelidir.

2. Veri kapsamını ve teknik teslim şartlarını belirleyin

Sağlayıcıya yapılacak talep mümkün olduğunca somut olmalıdır. Hangi veri gruplarının, hangi dönemlere ilişkin kayıtların ve hangi eklerin istendiği belirlenmeli; teslim formatı ile aktarım yöntemi açıklanmalıdır.

Şirketin mevcut sistemine erişimi devam ediyorsa, yetkisi dahilindeki dışa aktarım seçenekleri kullanılarak mevcut kayıtların korunması değerlendirilebilir. Ancak yetkisiz erişim veya sözleşmeye aykırı teknik müdahale yöntemlerine başvurulmamalıdır.

3. Sağlayıcıya yazılı ve ispatlanabilir bir talep gönderin

Veri teslimi talebinde sözleşmenin ilgili hükümleri, teslim edilmesi istenen kayıtlar, teknik format, güvenli aktarım yöntemi ve yanıt beklentisi açıkça belirtilmelidir.

Tacirler arasındaki temerrüt ve fesih gibi belirli bildirimler bakımından Türk Ticaret Kanunu’nun 18/3. maddesi ayrıca dikkate alınmalıdır. İhtarın hukuki niteliğine uygun yöntem seçilmesi, sonradan bildirimin yapılıp yapılmadığına ilişkin uyuşmazlıkların önlenmesi bakımından önemlidir.

Talepte veri silinmesinin geçici olarak durdurulması ve mevcut kayıtların korunması da istenebilir. Ancak bu talebin tek başına sağlayıcıya karşı mahkeme kararı niteliğinde bağlayıcı bir koruma sağlamadığı unutulmamalıdır.

4. Erişim engelini ve eksik teslimi belgelendirin

Giriş hataları, dışa aktarım ekranları, destek talepleri, yazışmalar, sistem bildirimleri ve indirilen dosyaların özellikleri kayıt altına alınmalıdır.

Örneğin indirilen arşivde 20.000 müşteri kaydı olduğu belirtilmesine rağmen yalnızca 12.000 kayıt bulunuyorsa, bu farkın hangi sorgu, tarih aralığı ve veri kaynağına göre tespit edildiği belgelenmelidir.

Delillerin sonradan değişmesi veya erişilemez hâle gelmesi ihtimali varsa Hukuk Muhakemeleri Kanunu’nun 400. maddesi uyarınca delil tespiti talebi de değerlendirilebilir.

5. Yeni sağlayıcıya geçişi ayrı bir süreç olarak yönetin

Eski sağlayıcının teslimi ile yeni sağlayıcının verileri sisteme aktarması iki farklı aşamadır. Veri alanlarının eşleştirilmesi, aktarılan kayıtların sayılması, dosya bütünlüğünün kontrol edilmesi ve kullanıcı yetkilerinin yeniden tanımlanması gerekir.

Geçiş tamamlandıktan sonra eski sağlayıcıya ait erişim anahtarları, bağlantılar ve yetkiler gözden geçirilmeli; saklama veya imha yükümlülüklerinin durumu ayrıca kayıt altına alınmalıdır.

Veri Teslimi İçin Dava veya İhtiyati Tedbir İstenebilir mi?

Sağlayıcının veri teslimine ilişkin hukuken geçerli bir yükümlülüğünü yerine getirmemesi hâlinde, somut uyuşmazlığa uygun biçimde borcun ifası ve zararların giderilmesi talepleri gündeme gelebilir.

Türk Borçlar Kanunu’nun 112 ve 113. maddeleri, borca aykırılıktan doğan sorumluluk ve yapma borcunun yerine getirilmemesi bakımından değerlendirilmesi gereken hükümler arasındadır.

Verilerin silinmesi, değiştirilmesi veya erişilemez hâle gelmesi nedeniyle hakkın elde edilmesinin önemli ölçüde zorlaşması söz konusuysa Hukuk Muhakemeleri Kanunu’nun 389. maddesi kapsamında ihtiyati tedbir koşulları da incelenebilir.

Ancak ihtiyati tedbirin kabulü otomatik değildir. Talep edilen korumanın hukuki dayanağı, yaklaşık ispat koşulları, uyuşmazlık konusu ve tedbirin kapsamı değerlendirilmelidir. Veri koruma veya erişim tedbirleri ile davanın sonunda istenebilecek kesin veri teslimi kararı birbirine karıştırılmamalıdır.

Görevli mahkeme, sözleşmenin niteliği, tarafların tacir sıfatı, uyuşmazlığın ticari niteliği ve varsa geçerli yetki veya tahkim anlaşması çerçevesinde belirlenmelidir.

Verilerin Teslim Edilmemesi Nedeniyle Zarar Doğarsa Tazminat İstenebilir mi?

Veri teslimindeki gecikme veya eksiklik, şirketin faaliyetlerini etkileyebilir. Müşteri ilişkilerinin aksaması, yeni sisteme geçiş için ek gider yapılması veya bazı kayıtların yeniden oluşturulması gibi sonuçlar ortaya çıkabilir.

Ancak zararın varlığı tek başına tazminatın kabulü için yeterli değildir. Sözleşmeye aykırılık, zarar, uygun illiyet bağı ve uygulanabilir sorumluluk koşulları değerlendirilmelidir.

Örneğin yeni CRM sistemine geçişin gecikmesinden kaynaklanan ek giderlerin eski sağlayıcının yükümlülük ihlalinden mi, yoksa yeni sistemin teknik uyumsuzluğundan mı doğduğu belirlenmelidir.

Bu nedenle hizmet kesintisi kayıtları, geçiş projesine ilişkin faturalar, uzman değerlendirmeleri ve gecikme ile zarar arasındaki bağlantıyı gösteren belgeler önem taşır.

SaaS Sözleşmesi Sona Ermeden Önce Hangi Hükümler Kontrol Edilmelidir?

• Verilerin hangi bölümünün müşteri verisi sayıldığı açıkça tanımlanmış mı?
• Sözleşmenin sona ermesinden sonra veri indirme veya salt okunur erişim imkânı bulunuyor mu?
• Veri tesliminin formatı ve kapsamı düzenlenmiş mi?
• Veri dışa aktarımı için ayrıca ücret ödenmesi gerekiyor mu?
• Yedeklerdeki ve alt hizmet sağlayıcılardaki verilerin akıbeti belirlenmiş mi?
• Verinin silinmesi, iadesi ve silmenin belgelendirilmesi ayrı düzenlenmiş mi?
• Hizmet sağlayıcı değişikliği sırasında teknik destek verilmesi öngörülmüş mü?
• Uyuşmazlık çözüm yolu, uygulanacak hukuk ve yetki hükümleri belirlenmiş mi?

Bu kontrol, yalnız sözleşmenin sona ermesi aşamasında değil, yeni bir bulut hizmeti satın alınırken de yapılmalıdır. Böylece hizmetten çıkış koşullarının sonradan ortaya çıkan ticari uyuşmazlıkların konusu hâline gelmesi ihtimali azaltılabilir.

Sık Sorulan Sorular

Bulut yazılım şirketi verileri sildiyse geri getirmek zorunda mıdır?

Silme işleminin sözleşmeye, uygulanabilir saklama yükümlülüklerine ve diğer mevzuata uygunluğu incelenmelidir. Veri teslimi yükümlülüğüne aykırı bir silme işlemi sorumluluk doğurabilir. Ancak teknik olarak geri yüklemenin mümkün olup olmadığı ve hangi hukuki sonucun doğacağı ayrı değerlendirilir.

SaaS sağlayıcısı yalnızca PDF verirse teslim yükümlülüğünü yerine getirmiş sayılır mı?

Her durumda değil. Sözleşmede makine tarafından işlenebilir format, veri tabanı aktarımı veya belirli bir dışa aktarım yöntemi öngörülmüşse PDF dosyası yeterli olmayabilir. Teslimin kapsamı ve işlevi esas alınır.

Şirket, yeni yazılıma geçene kadar eski SaaS sistemini kullanabilir mi?

Bu husus sözleşme sonu erişim, geçiş hizmeti ve lisans hükümlerine bağlıdır. Şirketin verileri üzerinde talepte bulunabilmesi, sona ermiş yazılım kullanım lisansının kendiliğinden devam etmesini sağlamaz.

KVKK kapsamında herkesin bütün şirket verilerini taşıma hakkı var mıdır?

Hayır. Şirketin hizmet sağlayıcıdan sözleşmeye dayanarak veri teslimi istemesi ile ilgili kişinin KVKK kapsamındaki hakları farklı hukuki ilişkilerdir. Bunlar birbirinin yerine geçmez.

Sonuç

Bulut yazılım sözleşmesi sona erdiğinde şirket verilerinin teslim edilmemesi, yalnız teknik bir dışa aktarım sorunu olarak değerlendirilmemelidir. Veri iadesinin hukuki dayanağı, teslimin kapsamı, ücret ihtilafı, kişisel verilerin korunması ve yeni sağlayıcıya geçişin gereklilikleri birlikte ele alınmalıdır.

Şirket açısından temel amaç, sözleşmeye uygun veri tesliminin kapsamını belirlemek, verilerin bütünlüğünü korumak ve uyuşmazlık doğması hâlinde ihlali somut belgelerle ortaya koyabilmektir.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.