E-Posta Verileri Nerede Saklanıyor?

Kısa cevap: Bulut e-posta hizmetlerinde verileriniz sağlayıcının veri merkezlerinde saklanır ve bu merkezler yurt dışında olabilir. Konum, hem hukuki hem operasyonel sonuçlar doğurur.

Neden önemli?

1. Hukuki rejim

Kişisel verilerin yurt dışına aktarımı özel kurallara tabidir. Verilerin nerede tutulduğu, hangi yükümlülüklerin doğacağını etkiler.

2. Erişim talepleri

Verilerin bulunduğu ülkenin makamları, o ülkenin hukukuna göre erişim talep edebilir.

3. Performans

Uzak bir veri merkezi, webmail ve senkronizasyon hızını etkileyebilir.

4. Süreklilik

Bölgesel bir kesinti, hizmetinizi doğrudan etkiler.

5. Müşteri beklentisi

Bazı kurumsal müşteriler ve kamu ihaleleri, veri konumu konusunda şart getirebilir.

Nasıl öğrenilir?

• ☐ Sağlayıcının hizmet şartlarında belirtilmiş mi?
• ☐ Gizlilik politikasında yer alıyor mu?
• ☐ Veri işleyen sözleşmesinde tanımlı mı?
• ☐ Doğrudan sağlayıcıya soruldu mu?
• ☐ Yanıt yazılı olarak alındı mı?

Son madde önemlidir: Satış görüşmesinde sözlü verilen bilgi yeterli değildir; sözleşmede yer almalıdır.

Sağlayıcıya sorulacaklar

• ☐ Verilerimiz hangi ülkede saklanıyor?
• ☐ Yedekler nerede tutuluyor?
• ☐ Konum seçme imkânımız var mı?
• ☐ Konum değişirse bilgilendirilir miyiz?
• ☐ Alt işleyenler kimler ve nerede?
• ☐ Destek ekibi hangi ülkeden erişiyor?
• ☐ Verilere kimler erişebiliyor?
• ☐ Erişim kayıt altında mı?

İkinci madde sık atlanır: Ana veriler bir ülkede, yedekler başka bir ülkede olabilir.

Altıncı madde: Veriler yurt içinde olsa bile, destek personeli farklı bir ülkeden erişiyorsa bu da bir aktarım sayılabilir.

Seçenekler

Not: Bu seçeneklerin hukuki değerlendirmesi somut duruma bağlıdır. Hukuk danışmanınızla birlikte karar verin.

Yurt dışı aktarım değerlendirmesi

• ☐ Aktarım olduğu tespit edildi
• ☐ Hukuki dayanak belirlendi
• ☐ Gerekli belgeler hazırlandı
• ☐ Aydınlatma metinlerinde belirtildi
• ☐ Sözleşmesel güvenceler alındı
• ☐ Hukuk danışmanı görüşü alındı

Uyarı: Yurt dışı aktarım kuralları değişkendir ve teknik olmayan bir yönetici için karmaşıktır. Bu bölümü hukuk danışmanınıza bırakın.

Veri işleyen sözleşmesi

Sağlayıcıyla yapılacak sözleşmede aranacaklar:

• ☐ Veri konumu belirtilmiş
• ☐ Alt işleyenler tanımlı
• ☐ Alt işleyen değişikliğinde bildirim var
• ☐ Sağlayıcının yükümlülükleri açık
• ☐ Güvenlik önlemleri tanımlı
• ☐ İhlal bildirim süresi belirtilmiş
• ☐ Denetim hakkı tanımlı
• ☐ Sözleşme sonunda veri iadesi/silme düzenlenmiş
• ☐ Talep karşılama desteği var

Sekizinci madde kritiktir: Sözleşme bittiğinde verilerinize erişemezseniz, kurumsal hafızanızı kaybedersiniz.

Konum değişirse

• ☐ Bildirim yükümlülüğü sözleşmede var
• ☐ Değişiklik takip ediliyor
• ☐ Yeni durumun uyum etkisi değerlendiriliyor
• ☐ Gerekiyorsa belgeler güncelleniyor
• ☐ Kabul edilemezse çıkış hakkı var

Pratik yaklaşım

Orta ölçekli bir şirket için makul bir yol:

1. Öğrenin: Verilerinizin nerede olduğunu yazılı olarak teyit edin
2. Belgeleyin: Envanterinizde kaydedin
3. Sözleşin: Veri işleyen sözleşmesi yapın
4. Danışın: Aktarım varsa hukuk görüşü alın
5. Bildirin: Aydınlatma metinlerinde belirtin
6. İzleyin: Değişiklikleri takip edin

Sık sorulanlar

Verilerimiz yurt dışındaysa yasal mı?

Kendiliğinden yasa dışı değildir; belirli koşulların sağlanması gerekir. Koşulları hukuk danışmanınızla belirleyin.

Yurt içi sağlayıcı seçmek her sorunu çözer mi?

Aktarım konusunu basitleştirir ama diğer uyum yükümlülükleri (erişim yönetimi, saklama, güvenlik) aynen devam eder.

Sağlayıcı bize söylemek zorunda mı?

Veri işleyen ilişkisinde şeffaflık beklenir ve sözleşmede talep edilebilir. Bilgi vermeyen bir sağlayıcı, uyum açısından risk taşır.

Kendi sunucumuzda tutsak daha mı iyi?

Konum kontrolü sağlar ama güvenlik, süreklilik ve yönetim yükünü tamamen size yükler. Çoğu orta ölçekli şirket için pratik değildir.