KVKK ve Hosting: Kişisel Verileri Barındırırken Dikkat Edilmesi Gerekenler

Web siteniz bir iletişim formu, üyelik sistemi ya da e-ticaret altyapısı barındırıyorsa kişisel veri işliyorsunuz demektir. Bu verilerin nerede, nasıl ve ne kadar süreyle saklandığı da 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında sizin sorumluluğunuzdadır. Hosting ve sunucu seçimi bu nedenle yalnızca teknik bir tercih değildir. Bu yazıda KVKK açısından hosting hizmeti alırken dikkat etmeniz gereken başlıkları özetledik.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Kurumunuza özgü yükümlülükler için bir hukuk danışmanına başvurmanızı öneririz.

Veri sorumlusu ve veri işleyen

KVKK'da iki temel rol vardır. Veri sorumlusu, kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren taraftır; siteniz üzerinden veri topluyorsanız bu sizsiniz. Veri işleyen ise veriyi sizin adınıza ve talimatınızla işleyen taraftır; barındırma hizmeti aldığınız firma çoğu durumda bu konumdadır. Bu ilişkinin bir sözleşmeyle tanımlanması ve veri işleyenin uygun güvenlik önlemlerini alması beklenir.

Verinin konumu ve yurt dışına aktarım

Sunucunuzun hangi ülkede bulunduğu, KVKK açısından önemli bir sorudur. Kişisel verilerin yurt dışındaki bir sunucuda saklanması, kanundaki yurt dışına aktarım kurallarını gündeme getirir. 2024 yılında yapılan değişikliklerle yurt dışına aktarım için yeterlilik kararı, uygun güvenceler (ör. standart sözleşme) ve belirli istisnai durumlar şeklinde kademeli bir yapı getirildi. Standart sözleşme kullanılması halinde bunun Kurum'a bildirilmesi gibi ek yükümlülükler de bulunuyor.

Pratikte en sade çözüm, kişisel veri içeren sistemleri Türkiye'deki veri merkezlerinde barındırmaktır. Yurt dışı lokasyon tercih ediyorsanız bu kararı hukuk birimiyle birlikte vermeniz gerekir. Pixron'un sunucu ürünlerinde lokasyon bilgisi her pakette açıkça belirtilir.

Hosting firmasına sormanız gereken sorular

• Sunucular hangi ülkede ve hangi veri merkezinde?
• Yedekler nerede tutuluyor? Yedekler de kişisel veri içerir; ana sunucu Türkiye'de olsa bile yedeklerin yurt dışında tutulması aktarım sayılabilir.
• Sunucuya ve yedeklere fiziksel ve uzaktan kimler erişebiliyor, erişimler kayıt altına alınıyor mu?
• Bir güvenlik ihlali olduğunda size ne kadar sürede bildirim yapılıyor?
• Hizmet sona erdiğinde verileriniz nasıl ve ne kadar sürede siliniyor?

Teknik güvenlik önlemleri

Kanun, veri sorumlularından kişisel verilerin güvenliğini sağlamak için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" almasını ister. Hosting tarafında bunun karşılığı şunlardır:

• Tüm sayfalarda HTTPS ve güncel TLS yapılandırması
• Güncel işletim sistemi, PHP ve uygulama sürümleri
• Güçlü parola politikası ve yönetim panellerinde iki aşamalı doğrulama
• Güvenlik duvarı, kaba kuvvet saldırılarına karşı koruma ve kötü amaçlı yazılım taraması
• Şifreli, erişimi sınırlı ve düzenli test edilen yedekler
• Erişim ve işlem kayıtlarının (log) tutulması

Sitenizde kontrol edilmesi gerekenler

• Aydınlatma metni: Formların yanında hangi verinin hangi amaçla toplandığını açıklayan bir metin bulunmalı.
• Çerez yönetimi: Zorunlu olmayan çerezler (analitik, reklam) kullanıcının onayı alınmadan çalıştırılmamalı.
• Gereğinden fazla veri toplamayın: Formlarda yalnızca gerçekten ihtiyaç duyduğunuz alanları isteyin.
• Harici servisler: Harici font, harita, video ve sohbet araçları ziyaretçi verisini üçüncü taraflara iletebilir. Mümkün olanları kendi sunucunuzdan sunun.
• Form e-postaları: Form içeriklerini kişisel e-posta adreslerine yönlendirmek yerine kurumsal e-posta hesaplarında toplayın.

Sonuç

KVKK uyumu bir kerelik bir belge değil, süreklilik isteyen bir süreçtir; ancak doğru altyapı seçimi bu sürecin teknik kısmını büyük ölçüde kolaylaştırır. Türkiye lokasyonlu hosting, kurumsal e-posta ve co-location çözümlerimiz hakkında bilgi almak için bizimle iletişime geçin.