KVKK ve Hosting İlişkisi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), gerçek kişilere ait her türlü bilginin işlenmesini düzenler. Ad-soyad, e-posta, telefon, IP adresi, TC kimlik numarası, sipariş geçmişi, hatta çerez üzerinden toplanan davranış verisi bile "kişisel veri" sayılır. Bir e-ticaret sitesi, üyelik sistemi olan bir blog ya da iletişim formu bulunan basit bir kurumsal site — hepsi kişisel veri işler.

Burada kritik nokta şudur: KVKK karşısında sorumlu olan sizsinizdir (veri sorumlusu), hosting firmanız değil. Hosting firması yalnızca sizin adınıza veriyi barındıran veri işleyen konumundadır. Yani "sunucu benim değil, hosting firmasının sorumluluğu" demek hukuken sizi kurtarmaz. Verinin nerede saklandığını, kimin eriştiğini ve nasıl korunduğunu bilmek doğrudan sizin yükümlülüğünüzdür.

💡 Bilgi: KVKK'da "sunucu Türkiye'de olacak" diyen tek ve genel bir madde yoktur. Ancak yurt dışına veri aktarımı özel kurallara bağlıdır (KVKK m.9) ve bazı sektörlerde (sağlık, finans, kamu) yerelde tutma zorunluluğu getiren ikincil düzenlemeler mevcuttur. Yani cevap "her zaman zorunlu değil ama çoğu senaryoda yurt içi çok daha güvenli" şeklindedir.

Verileriniz Fiziksel Olarak Nerede?

Hosting satın alırken gördüğünüz "sunucu konumu" ya da "datacenter location" bilgisi, verilerinizin fiziksel olarak hangi ülkedeki bir veri merkezinde (data center) tutulduğunu gösterir. Bir Türk hosting firmasından hizmet almanız verinin Türkiye'de olduğu anlamına gelmez — birçok firma altyapısını Almanya (Frankfurt), Hollanda (Amsterdam) veya ABD üzerinden sağlar.

Sunucunuzun gerçekte nerede olduğunu birkaç yolla teyit edebilirsiniz:

  • IP konumu sorgulama: Sitenizin IP adresini bir IP-lokasyon aracına girerek fiziksel konumu görebilirsiniz.
  • ping / traceroute: Gecikme (latency) 5-25 ms bandındaysa büyük ihtimalle yurt içi; 30-60 ms ve üzeri ise Avrupa ya da daha uzak bir DC söz konusudur.
  • Firma bilgi sayfası: "İstanbul / Ankara veri merkezi", "yurt içi barındırma" ibaresini net arayın; muğlaksa doğrudan sorun.

Yurt içi ve yurt dışı barındırmanın pratik farkını şu tabloda özetleyebiliriz:

Kriter Yurt İçi Veri Merkezi Yurt Dışı Veri Merkezi
KVKK yurt dışı aktarım kuralı Uygulanmaz, ek yükümlülük yok m.9 gereği aktarım şartı aranır
Türkiye'den erişim gecikmesi Düşük (~5-25 ms) Daha yüksek (~30-90 ms)
Hukuki denetim / talep Türk mevzuatına tabi, kolay Yabancı mevzuata da tabi olabilir
Fatura / muhatap Türk şirket, TL fatura Çoğunlukla döviz, yabancı muhatap

Yurt İçi Veri Merkezi Ne Zaman Zorunlu?

Her site için yurt içi sunucu yasal bir zorunluluk değildir; ancak aşağıdaki durumlarda yerel barındırma ya doğrudan mevzuatla zorunludur ya da uyum riskini ciddi ölçüde azalttığı için fiilen kaçınılmaz hale gelir:

  • Kamu kurumları ve kamu verisi işleyenler: Kamu bulut ve yerelde barındırma yönlendirmeleri nedeniyle verinin Türkiye'de tutulması beklenir.
  • Sağlık verisi: Hasta kayıtları, randevu, tahlil gibi özel nitelikli sağlık verilerinde sağlık mevzuatı yerelde saklamayı ve merkezi sistemlerle entegrasyonu öne çıkarır.
  • Finans, ödeme ve bankacılık: Ödeme kuruluşları ve ilgili düzenlemeler kritik verinin yurt içinde tutulmasını isteyebilir.
  • Kritik altyapı ve büyük ölçekli özel nitelikli veri: Yoğun biyometrik, sağlık, din, ceza mahkumiyeti gibi hassas veri işleyen büyük yapılar için yurt içi tercih edilir.

Bunun dışında kalan tipik senaryolar — bir e-ticaret sitesi, blog, kurumsal tanıtım sitesi, üyelik sistemi — için yurt dışı barındırma kanunen yasak değildir, ancak yurt dışına aktarım kurallarına (bir sonraki bölüm) uymanız gerekir. Bu bürokrasiyi ve riski hiç üstlenmek istemiyorsanız en pratik yol Türkiye'deki bir veri merkezini seçmektir.

⚠️ Dikkat: "Türk firmasından aldım, o halde KVKK'ya uygundur" varsayımı en yaygın hatadır. Firma Türk olsa bile sunucusu Frankfurt'ta olabilir. Uyum, firmanın milliyetiyle değil verinin fiziksel konumu ve sözleşmesiyle belirlenir. Sözleşme imzalamadan önce sunucu konumunu yazılı olarak teyit ettirin.

Yurt Dışı Sunucunun Riskleri

Verinizi yurt dışındaki bir sunucuda tutmak, KVKK m.9 anlamında yurt dışına veri aktarımı sayılır. Bu, tek başına yasak değildir ama şartlara bağlıdır. 2024 sonrası güncellenen çerçevede yurt dışı aktarımı temelde şu zeminlerden birine dayanmalıdır:

  • Yeterlilik kararı: Kurul tarafından yeterli koruma sağladığı ilan edilen ülkelere aktarım.
  • Uygun güvenceler: Standart sözleşme, bağlayıcı şirket kuralları gibi yazılı güvencelerin sağlanması ve gereğinde Kurul'a bildirim.
  • İstisnai haller (arızi): Açık rıza veya sözleşmenin ifası gibi kanunda sayılan sınırlı istisnalar.

Pratikte yurt dışı barındırmanın somut riskleri şunlardır:

  • 🔸 Ek belge yükü: Aktarım güvencesi, envanter kaydı ve gerekli hallerde bildirim/başvuru süreçlerini yönetmek zorundasınız.
  • 🔸 İdari para cezası: Şartsız yurt dışına aktarım, KVKK'nın en yüksek ceza kalemlerinden birine girer; tutarlar her yıl yeniden değerleme oranıyla artar.
  • 🔸 Çifte hukuka tabi olma: Sunucunun bulunduğu ülkenin (ör. ABD) yerel yasaları o veriye erişim hakkı doğurabilir.
  • 🔸 Erişim gecikmesi ve SEO: Uzak sunucu, Türkiye'deki ziyaretçiler için sayfa yüklenme süresini yükseltir; bu da dönüşümü ve arama sıralamasını etkiler.

Performans tarafını da ihmal etmeyin: hız, hem kullanıcı deneyimi hem de arama motoru sıralaması için kritiktir. Yurt içi ve yurt dışı seçeneklerin gerçek gecikme ve fiyat farkını görmek için hosting karşılaştırma sayfamızdaki filtreleri, daha yüksek kaynak gerektiren projelerde ise VDS karşılaştırma ve VPS karşılaştırma tablolarını kullanabilirsiniz.

Veri İşleyen Sözleşmesi (DPA)

KVKK m.12, veri sorumlusunun veri işleyenle (yani hosting firmasıyla) yazılı bir sözleşme yapmasını ve gerekli teknik-idari tedbirlerin alınmasını sağlamayı zorunlu kılar. Bu sözleşme çoğu firmada Veri İşleme Sözleşmesi, DPA (Data Processing Agreement) veya sözleşmenin bir eki (KVKK Aydınlatma/Gizlilik Eki) adıyla geçer.

İyi bir veri işleyen sözleşmesinde şunların açıkça yazılı olması gerekir:

  • Veri konumu: Verinin hangi ülke/veri merkezinde tutulacağı ve konum değişikliğinde bildirim yükümlülüğü.
  • Talimatla işleme: Firmanın veriyi yalnızca sizin talimatınız ve hizmet amacı doğrultusunda işleyeceği, kendi amacıyla kullanmayacağı.
  • Alt işleyenler: CDN, yedekleme, e-posta gibi alt tedarikçiler kullanılıyorsa bunların listesi ve sorumluluğu.
  • Güvenlik tedbirleri: Şifreleme, erişim kontrolü, yedekleme, log tutma gibi teknik-idari önlemler.
  • İhlal bildirimi: Bir veri ihlali (data breach) durumunda firmanın sizi ne kadar sürede bilgilendireceği.
  • Sözleşme sonu: Hizmet bittiğinde verinin iade veya güvenli imha süreci.
💡 İpucu: Firma "bizde standart bir DPA yok" diyorsa bu bir uyarı işaretidir. Ciddi kurumsal hosting sağlayıcıları KVKK ekini/DPA'yı hazır sunar. Sözleşme imzaladıktan sonra bu belgeyi ve sunucu konumu teyidini KVKK envanterinize (VERBİS kaydı ilgiliyse ona uygun şekilde) işleyin.

KVKK Uyumlu Hosting Kontrol Listesi

Bir hosting/sunucu seçerken aşağıdaki maddeleri sırayla teyit edin. Hepsine "evet" diyebiliyorsanız, uyum açısından güvenli bir zemindesiniz demektir:

  • ✅ Sunucunun fiziksel konumu yazılı olarak belli mi? (tercihen Türkiye)
  • ✅ Firma Veri İşleyen Sözleşmesi / KVKK ekini sunuyor mu?
  • ✅ Ücretsiz SSL (HTTPS) var mı ve otomatik yenileniyor mu?
  • ✅ Düzenli, konumu bilinen ve şifreli yedekleme yapılıyor mu?
  • ✅ Panel girişinde 2FA (iki faktörlü doğrulama) destekleniyor mu?
  • ✅ Veri ihlali bildirim süresi sözleşmede tanımlı mı?
  • ✅ Alt işleyen (CDN, e-posta, yedek) listesi şeffaf mı?
  • ✅ Firma yerel destek ve TL fatura veriyor mu?

Güvenlik katmanını tamamlarken SSL şart. Ücretsiz sertifikayı nasıl kuracağınızı SSL sertifikası rehberimizde adım adım bulabilirsiniz. Web sitenizin veri işleme dışındaki güvenlik uygulamalarını gözden geçirmek için ise web sitesi güvenliği önlemleri yazımıza göz atın.

Uygulamada Nasıl Seçim Yapılır?

Teoriyi somuta indirgeyelim. Verinizin konumunu ve firmanın erişim gecikmesini birkaç dakikada teyit edebilirsiniz. Örneğin sitenizin sunucusuna Türkiye'den gecikmeyi ölçmek için:

# Sunucuya gecikme (latency) ölçümü — Windows / Linux / macOS
ping siteniz.com

# Rota ve ara duraklar (verinin hangi ülkeden geçtiğini görmek için)
# Linux / macOS:
traceroute siteniz.com
# Windows:
tracert siteniz.com

Dönen değer 5-25 ms bandındaysa sunucu büyük olasılıkla yurt içindedir. 30 ms üzeri, özellikle Frankfurt/Amsterdam duraklarını görüyorsanız veri yurt dışındadır ve KVKK m.9 kuralları devreye girer. Bunu kesinleştirmek için IP adresini bir konum sorgulama servisiyle de doğrulayın.

Karar aşamasında pratik bir yol haritası:

  1. Sınıflandırın: Site hangi tür veri topluyor? (özel nitelikli sağlık/finans varsa doğrudan yurt içi düşünün)
  2. Konum teyidi alın: Firmadan sunucu konumunu yazılı isteyin, ping/traceroute ile çapraz kontrol edin.
  3. Sözleşmeyi okuyun: DPA / KVKK ekini imzadan önce isteyin.
  4. Karşılaştırın: Aynı sınıftaki firmaları performans + fiyat + konum ekseninde tartın.
  5. Belgeyi arşivleyin: Konum teyidi ve sözleşmeyi KVKK envanterinizle birlikte saklayın.

Fiyat tarafında beklentiyi somutlaştıralım: Türkiye veri merkezli paylaşımlı hosting 2026 itibarıyla aylık ~₺100-250 bandında, yurt içi bir başlangıç VDS/VPS ise aylık ~₺250-500 aralığında bulunabiliyor; kurumsal, yüksek kaynaklı ihtiyaçlarda bu rakam ~₺800 ve üzerine çıkabiliyor. Alan adı tarafında .com yıllık ~₺300-650, .com.tr genellikle biraz daha yüksek seyrediyor. Güncel fiyatları ve konum filtresini tek tabloda görmek için tüm hizmetleri karşılaştır aracını, alan adı için domain fiyat karşılaştırma sayfamızı kullanabilirsiniz.

✅ Özet öneri: Kişisel veri işleyen çoğu Türk sitesi için en düşük riskli ve en pratik yol, Türkiye veri merkezli, DPA/KVKK eki sunan ve yerel destek + TL fatura veren bir firmayı seçmektir. Uygunluk kararınızı verirken firma sağlığını da izlemek isterseniz servis durum sayfamızdan izlenen sağlayıcıların erişilebilirliğini takip edebilirsiniz.

Sıkça Sorulan Sorular

KVKK sunucunun Türkiye'de olmasını zorunlu kılıyor mu?

Hayır, KVKK'da "tüm sunucular Türkiye'de olacak" diyen genel bir hüküm yoktur. Ancak yurt dışına veri aktarımı KVKK m.9'daki şartlara (yeterlilik kararı, uygun güvenceler veya sınırlı istisnalar) bağlıdır. Kamu, sağlık ve finans gibi bazı alanlarda ikincil mevzuat yerelde saklamayı zorunlu kılabilir. Bu nedenle çoğu senaryoda yurt içi barındırma en düşük riskli seçimdir.

Türk bir hosting firmasından hizmet alıyorum, verilerim otomatik olarak Türkiye'de mi?

Hayır. Firmanın Türk olması verinin Türkiye'de tutulduğu anlamına gelmez; birçok firma altyapısını Almanya veya Hollanda gibi ülkelerden sağlar. Sunucu konumunu firmadan yazılı teyit alarak ve ping/traceroute ile çapraz kontrol ederek doğrulayın.

Veri İşleyen Sözleşmesi (DPA) şart mı?

Evet. KVKK m.12 gereği veri sorumlusu olarak, verinizi barındıran firma (veri işleyen) ile yazılı sözleşme yapmanız ve gerekli teknik-idari tedbirlerin alınmasını sağlamanız beklenir. Ciddi kurumsal sağlayıcılar bunu DPA veya KVKK eki adıyla hazır sunar.

Yurt dışında sunucu kullanmak yasak mı?

Yasak değildir, ancak KVKK m.9 kapsamında bir aktarım zeminine (yeterlilik kararı, uygun güvenceler ya da sınırlı istisna) dayanmanız gerekir. Bu belge ve envanter yükünü üstlenmek istemiyorsanız yurt içi barındırma pratikte daha kolaydır.

Verimin nerede tutulduğunu nasıl kontrol ederim?

Sitenizin IP adresini bir IP-konum servisine sorgulayın ve ping / traceroute ile gecikmeyi ölçün. 5-25 ms bandı genellikle yurt içi, 30 ms ve üzeri (Frankfurt/Amsterdam durakları) genellikle yurt dışı barındırmaya işaret eder.