Site sahibi ile barındırma firması arasındaki veri sorumlusu ve veri işleyen ayrımı, yurt dışı aktarımın genel çerçevesi, hizmet sözleşmesinde aranacak maddeler, yedeklerin lokasyonu ve log saklama konusu; hukuki görüş değil, teknik bir başlangıç listesi.
Bir web sitesi yayına girdiği anda kişisel veri işlemeye başlar: iletişim formu, üyelik, sipariş, e-posta, hatta ziyaretçinin IP adresini tutan erişim günlükleri. Bu kayıtların fiziksel olarak nerede durduğu ve barındırma firmasıyla aranızdaki sözleşmenin ne dediği, KVKK karşısındaki konumunuzu doğrudan etkiler. Bu yazı, veri sorumlusu ile veri işleyen ayrımını, yurt dışı aktarım konusunu genel çerçevede, sözleşmede aranacak maddeleri, yedeklerin lokasyonunu ve log saklama konusunu ele alır. Metin genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz; somut durumunuz için bir hukuk danışmanına başvurmalısınız.
KVKK iki rol tanımlar. Veri sorumlusu, kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren taraftır; sitenin sahibi olarak bu sizsiniz. Veri işleyen, sorumlunun verdiği yetkiyle ve onun adına işleme yapan taraftır; dosyalarınızı ve veritabanınızı barındıran firma bu konumdadır. Firma sizin müşterilerinizin bilgilerini kendi amacı için kullanmaz, yalnızca saklar ve sunar.
Bu ayrımın pratik sonucu şudur: Sorumluluk sizde kalır. Firma bir ihlale yol açsa bile ilgili kişiye ve Kurum'a karşı ilk muhatap çoğunlukla sizsiniz; firmayla aranızdaki sözleşme, bu riskin nasıl paylaşılacağını belirler. Firmanın kendi müşteri kayıtları (sizin ad, adres ve fatura bilgileriniz) için ise firma kendisi sorumludur.
Çoğu site sahibi yalnızca üyelik tablosunu düşünür; oysa liste daha uzundur:
Bu envanteri çıkarmadan lokasyon ve sözleşme kararı vermek mümkün değildir; neyin nerede durduğunu bilmiyorsanız aktarım olup olmadığını da bilemezsiniz.
KVKK, kişisel verilerin yurt dışına aktarılmasını ayrı koşullara bağlar; yeterlilik kararı bulunan ülkeler, standart sözleşme ya da yazılı taahhüt gibi uygun güvenceler ve arızi aktarımlar için sınırlı istisnalar (açık rıza bunlardan biridir) mevzuatta tanımlanmıştır; bu kurallar 2024'te kapsamlı biçimde değiştirilmiştir ve güncellenmeye devam edebilir. Sunucunuzu Hollanda ya da Almanya'daki bir veri merkezinde kiralamak, genel olarak kişisel verilerin yurt dışına aktarılması şeklinde değerlendirilir ve bu koşullardan birine dayanmanız gerekir.
Sık gözden kaçan nokta: Aktarım yalnızca ana makineyle sınırlı değildir. Türkiye'deki bir makinede barındırıp yedeği yabancı bir bulut depolamaya göndermek, yabancı bir e-posta servisi ya da CDN kullanmak da aynı kapsama girer. Dolayısıyla “sunucum Türkiye'de” demek tek başına aktarım olmadığı anlamına gelmez. Güncel koşulları Kişisel Verileri Koruma Kurumu'nun yayımladığı rehber ve kararlardan takip etmek gerekir; bu yazı o metinlerin yerine geçmez.
Barındırma firmasıyla imzalanan hizmet sözleşmesi çoğunlukla genel kullanım şartlarıdır; kişisel veri konusunu ayrı bir ek (veri işleme sözleşmesi) düzenler. Aranacak başlıklar:
| Madde | Neden önemli |
|---|---|
| Lokasyon taahhüdü | Makinenin ve yedeklerin hangi ülkede tutulacağı yazılı olmalı; “değiştirme hakkı saklıdır” ifadesi dikkat ister |
| Alt işleyenler | Firmanın kullandığı veri merkezi, yedek ve destek sağlayıcıları; değişiklikte bildirim yükümlülüğü |
| Güvenlik tedbirleri | Erişim kontrolü, şifreleme, güvenlik duvarı, personel yetkilendirmesi |
| İhlal bildirimi | Bir sızıntı olduğunda firmanın size ne kadar sürede haber vereceği |
| Talimatla işleme | Firmanın kayıtlarınızı yalnızca sizin talimatınızla işleyeceği, kendi amacı için kullanmayacağı |
| Silme ve iade | Hizmet bittiğinde kayıtların ve yedeklerin ne zaman silineceği, kopyanın nasıl teslim edileceği |
| Erişim yetkisi | Destek personelinin hesabınıza hangi koşullarda gireceği ve kaydının tutulup tutulmadığı |
| Denetim ve belge | Firmanın sertifika ya da denetim raporu sunup sunmadığı |
Bu maddelerin standart metinde bulunup bulunmadığı firmadan firmaya değişir; eksik olanları yazılı olarak talep edin. Sözleşmede yazmayan bir taahhüt, destek sohbetinde verilmiş olsa bile anlaşmazlık durumunda kanıtlanması zor olabilir.
Yedek, kişisel verilerin tarihli bir kopyasıdır ve ana kayıt silindikten sonra da yaşar. Üç soru sorun: Yedek hangi ülkede duruyor? Kaç gün saklanıyor? Bir kullanıcı silinme talebinde bulunduğunda yedekten de silinebiliyor mu, yoksa yedek süresi dolunca mı kendiliğinden gidiyor? Çoğu firma yedekten tekil kayıt silmez; bu durumda saklama süresinin makul ve belgelenmiş olması gerekir. Kendi aldığınız yedekler için de aynı sorular geçerlidir; ofis bilgisayarındaki şifresiz bir yedek dosyası, veri merkezindekinden daha büyük risk taşır.
Erişim günlükleri ziyaretçinin IP adresini içerir ve IP adresi, kişiyle ilişkilendirilebildiği ölçüde kişisel veri sayılır. Firmalar bu günlükleri hem teknik sorun çözmek hem de yer sağlayıcılara ilişkin mevzuat gereği belirli süre saklar; süre ve kapsam firmaya göre değişir, sözleşmede ya da gizlilik politikasında yazmalıdır. Sizin tarafınızda ise uygulama günlükleri, hata kayıtları ve analitik araçlarının topladıkları vardır. Günlük saklama süresini ihtiyaçla sınırlamak ve eski günlükleri otomatik silmek, hem disk alanı hem de uyum açısından basit bir kazanımdır. Analitik aracı seçerken de IP anonimleştirme seçeneğinin açık olup olmadığına bakın.
Hizmet türü, firmanın işleyen olarak üstlendiği payı değiştirir. Paylaşımlı pakette işletim sistemi, güvenlik yamaları ve fiziksel erişim firmadadır; sizin alanınız uygulama, parolalar ve eklentilerdir. VPS'te işletim sisteminden itibaren her şey sizdedir; güvenlik duvarı, güncelleme ve disk şifreleme gibi tedbirler sözleşmede firmaya değil size yazılır, firma yalnızca sanal makinenin çalıştığı altyapıdan sorumludur. Bulut hizmetlerinde ise anlık görüntü ve yedeklerin hangi bölgede saklandığı ayrı bir soru olarak gündeme gelir; bazı sağlayıcılarda yedek bölgesi ana makineden farklı bir ülkede olabilir. Hangi türü seçerseniz seçin, sözleşmedeki sorumluluk maddelerinin hizmet türüne uygun yazıldığını kontrol edin; paylaşımlı paket için hazırlanmış bir metin, VPS'te sizi boşlukta bırakır.
Listemizdeki 25 firmadan yalnızca Hostinger Türkiye ve GoDaddy Türkiye, listelenen lokasyonları arasında Türkiye'ye yer vermiyor (Ekim 2026). Yurt içi lokasyonun yanında Natro, Turhost ve İsimtescil Hollanda, Sadece Hosting Bulgaristan, Hosting.com.tr Almanya, İngiltere, Fransa ve ABD, Güzel Hosting ise Avrupa'da (OVH, ülke belirtilmemiş) seçenek de sunuyor. Lokasyon bilgisini hosting firmaları listesinde firma kartlarında görebilirsiniz; ancak yedek ve alt işleyen lokasyonu bu bilgiyle sınırlı olmayabilir, firmaya ayrıca sormanız gerekir. Lokasyonun gecikme ve kitle açısından etkisini sunucu lokasyonu: Türkiye mi, Avrupa mı? yazısında anlattık.
Bu liste bir uyum programının yerini tutmaz; teknik tarafı düzene koyar ve hukuk danışmanınızla yapacağınız görüşmeyi somutlaştırır. Lokasyon seçeneği sunan paketleri VPS sunucu ve bulut sunucu sayfalarında karşılaştırabilirsiniz.
Sürekli ve anlık trafik arasındaki farkı, darboğazın nasıl bulunacağını, önbellek ve CDN ile kazanılan payı, dikey ile yatay ölçeklemeyi, veritabanı ayrımını ve VPS ile bulut arasındaki maliyet mantığını adım adım anlatıyoruz.
Yönetimli ve yönetimsiz sunucu arasındaki kapsam farklarını, sorumluluk matrisini, maliyet mantığını, SLA'nın ne vaat edip ne vaat etmediğini ve kendi yöneticinizle çalışma seçeneğini bir karar listesiyle anlatıyoruz.
Ele geçirilmiş bir WordPress sitesini tanımanın belirtileri, hesabı dondurma, temiz kopya seçimi, çekirdek, tema ve eklentileri yeniden kurma, veritabanı kontrolü, parola sıfırlama, arama motoru uyarısını kaldırma ve tekrarını önleyecek adımlar.