Yasal itilaflarda hak kayıplarının önüne geçebilmek adına yasal süreçlerin titizlikle takip edilmesi gerekmektedir. Bu yazımızda konuyla ilgili bilmeniz gereken temel yasal esasları derledik.

Bulut faaliyet sözleşmesi; Saa S hukuku kapsamında veri güvenliği, yedekleme ve faaliyet kesintisi gibi sorumlulukları belirleyen yasal mutabakattır. Veri yedekleme süreçlerinin sıklığı ve veri kaybı limitleri bu sözleşmelerde düzenlenir. Faaliyet kesintisi hâlinde ise SLA sözleşmesi ile belirlenen kullanılabilirlik oranları ve cezai şartlar işletilir.

Bulut sağlayıcısının yasal sorumluluk sınırları bu protokollerle çizilmektedir.

Şirketlerin dijital dönüşüm süreçlerinde operasyonlarını bulut altyapılarına taşıması, verimlilik ve ölçeklenebilirlik açısından büyük avantajlar sunsa da veri güvenliği, sistem kesintileri ve veri kayıpları gibi riskleri de beraberinde getirmektedir. Birçok işletme, sistemde yaşanan bir aksaklık veya veri kaybı hâlinde tüm sorumluluğun doğrudan faaliyet sağlayıcıda olduğunu düşünerek hataya düşmektedir. Oysa tarafların hak ve yükümlülüklerini belirleyen birBulut faaliyet sözleşmesi, bu süreçlerin yasal ve teknik sınırlarını çizen en kritik belgedir. Bu yazımızda,Saa S hukukuÇerçevesinde şekillenen ortak sorumluluk modelini,SLA sözleşmesiKapsamında tanımlanan kabul edilebilirFaaliyet kesintisiVe uptime (çalışma süresi) oranlarını detaylandıracağız.

Ayrıca, bulut altyapısındaVeri yedeklemeYükümlülüklerinin kimde olduğunu ve olası bir hak ihlalinde işletmenizi nasıl koruyabileceğinizi inceleyerek, sözleşme imzalama aşamasında dikkat etmeniz gereken hayati maddeleri bir araya getirdik.

Bulut Faaliyet Sözleşmesi ve Saa S Hukuku Kapsamında Ortak Sorumluluk Modeli

Bulut faaliyet sözleşmesi ve Saa S hukuku kapsamında ortak sorumluluk modeli, bulut sağlayıcısı ile hizmeti alan işletme arasındaki güvenlik, veri yönetimi ve altyapı görevlerinin sınırlarını net bir şekilde çizen yasal ve teknik bir çerçevedir. Bu model, bulut teknolojilerinde yaşanabilecek veri kayıpları, erişim sorunları veya siber güvenlik ihlallerinde hangi tarafın hukuken ve operasyonel olarak sorumlu tutulacağını belirler. Temel kural olarak; bulut sağlayıcısı sistemin fiziksel ve genel altyapısından sorumluyken, kullanıcı ise bu altyapı içerisine aktardığı verilerin yönetiminden ve güvenliğinden sorumludur.

Saa S (Yazılım Servisi), Paa S (Platform Servisi) ve Iaa S (Altyapı Servisi) gibi farklı bulut modellerinde sorumlulukların dağılımı değişiklik gösterir. Yasal uyuşmazlıkların önüne geçmek adına tarafların sorumluluk alanlarını şu şekilde kategorize edebiliriz:

• Bulut Sağlayıcısının Sorumlulukları:Fiziksel sunucuların güvenliği, ağ altyapısının kesintisiz çalışması, sanallaştırma katmanının korunması ve küresel bulut tesislerinin fiziksel korunması.
• Faaliyet Alan İşletmenin (Müşterinin) Sorumlulukları:Sisteme yüklenen verilerin doğruluğu ve güvenliği, kullanıcı erişim yetkilerinin (kimlik doğrulama) yönetimi, veri sınıflandırma süreçleri ve uç nokta (cihaz) güvenliği.

Bulut faaliyet modellerine göre sorumluluğun taraflar arasındaki dağılımı genel olarak aşağıdaki tabloda gösterildiği şekilde şekillenmektedir:

Faaliyet Modeli Altyapı ve Donanım Güvenliği Uygulama ve Yazılım Güvenliği Veri ve Erişim YönetimiSaa S (Yazılım Servisi)Sağlayıcı Sorumluluğunda Sağlayıcı Sorumluluğunda Müşteri SorumluluğundaPaa S (Platform Servisi)Sağlayıcı Sorumluluğunda Ortak Sorumluluk Müşteri SorumluluğundaIaa S (Altyapı Servisi)Sağlayıcı Sorumluluğunda Müşteri Sorumluluğunda Müşteri Sorumluluğunda

Ortak sorumluluk modelinin sözleşme aşamasında doğru yapılandırılması, gelecekte yaşanabilecek veri ihlallerinde tarafların yasal ödenek ve rücu haklarını doğrudan etkiler.

Bu nedenle bir bulut faaliyet sözleşmesi imzalanırken, sağlayıcının sunduğu standart politikaların dışına çıkılarak işletmenin operasyonel risklerine uygun özel maddelerin eklenmesi ve sorumluluk sınırlarının gri alan bırakılmayacak şekilde netleştirilmesi kritik önem taşır.

SLA Sözleşmesi Nedir? Kabul Edilebilir Faaliyet Kesintisi ve Uptime Sınırları

SLA (Service Level Agreement) veya Türkçe karşılığıyla Faaliyet Seviyesi Taahhüdü, bir bulut sağlayıcısının müşterisine sunduğu hizmetin kalitesini, sürekliliğini ve performans standartlarını resmi olarak garanti altına alan yasal bir sözleşmedir. Bulut bilişim dünyasında SLA, özellikle sistemlerin ne kadar süre boyunca kesintisiz çalışacağını (uptime) ve kabul edilebilir faaliyet kesintisi sınırlarının neler olduğunu belirleyen en kritik yasal ve teknik belgedir. Bu sözleşmeler, olası teknik aksaklıklarda tarafların hak ve yükümlülüklerini netleştirerek taraflar arasındaki güven ilişkisini korur.

Bulut Hizmetlerinde Kesintisiz Çalışma (Uptime) Oranları Ne Anlama Gelir?

Bulut faaliyet sözleşmelerinde sağlayıcılar, hizmetin yıl veya ay genelinde belirli bir oranda aktif kalacağını taahhüt ederler.

Sektörde bu oranlar genellikle "dokuzlar" (nines) olarak ifade edilen yüzdelik dilimlerle tanımlanır. Bu oranlar, sistemin bir yıl içinde toplamda ne kadar süre boyunca erişilemez kalabileceğini (downtime) doğrudan belirler:

• Standart Faaliyet Seviyesi:Hizmetin genel erişilebilirliğinin makul bir düzeyde tutulduğu, planlı bakım pencerelerinin esnek olduğu temel seviyedir.
• Yüksek Erişilebilirlik Seviyesi:Kritik iş süreçleri için tercih edilen, kesinti süresinin yıllık bazda sadece birkaç saate indirgendiği gelişmiş seviyedir.
• Kritik Seviye (Sürekli Çalışma):Finans, sağlık veya e-ticaret gibi saniyelerin bile büyük kayıplara yol açtığı sistemlerde uygulanan, neredeyse sıfır kesinti hedefleyen en üst düzey taahhüttür.

Kabul Edilebilir Kesinti ve İstisnai Durumlar

SLA sözleşmelerinde her kesinti, faaliyet sağlayıcının taahhüdünü ihlal ettiği anlamına gelmez. Sözleşmelerde "kabul edilebilir kesinti" veya "kapsam dışı vaziyetler" başlığı altında bazı istisnalar tanımlanır. Aşağıdaki vaziyetler genellikle sağlayıcının uptime yükümlülüğünü ihlal etmeyen vaziyetler olarak kabul edilir:

Kesinti Türü SLA Kapsamındaki Durumu AçıklamaPlanlı Bakım ÇalışmalarıKapsam Dışı (İstisna)Sağlayıcının önceden müşteriye yazılı olarak bildirdiği, sistem güncellemeleri ve optimizasyon süreçleridir.Müşteri Kaynaklı HatalarKapsam Dışı (İstisna)Müşterinin kendi yazılım hataları, yanlış yapılandırmaları veya kullanıcı kaynaklı erişim sorunlarıdır.Mücbir SebeplerKapsam Dışı (İstisna)Doğal afetler, siber savaşlar veya küresel internet altyapısında meydana gelen genel kesintilerdir.Plansız Altyapı ArızalarıSLA İhlali (Kapsam İçi)Sağlayıcının kendi veri merkezindeki donanım, enerji veya ağ yönetim hatalarından kaynaklanan beklenmedik kesintilerdir.

SLA Süreçlerini Yönetirken Dikkat Edilmesi Gereken Adımlar

İşletmenizin iş sürekliliğini güvence altına almak için bir bulut faaliyet sözleşmesi imzalamadan önce SLA maddelerini şu adımları takip ederek incelemelisiniz:

1.Hizmetin Kritiklik Derecesini Belirleyin:İş süreçlerinizin kesintiye karşı ne kadar hassas olduğunu analiz edin ve bu hassasiyete uygun bir uptime taahhüdü talep edin. 2.Ölçüm Periyotlarını Netleştirin:Uptime oranının yıllık mı yoksa aylık mı hesaplanacağını netleştirin; çünkü aylık hesaplamalar hak taleplerinizi daha hızlı yönetmenizi sağlar. 3.Planlı Bakım Bildirim Sürelerini Kontrol Edin:Sağlayıcının planlı kesintileri en az kaç gün veya saat öncesinden haber vermesi gerektiğini sözleşmeye ekletin. 4.Raporlama ve Şeffaflık Şartı Koşun:Kesinti sürelerinin nasıl tespit edileceğini ve sağlayıcının bu kesinti raporlarını sizinle nasıl paylaşacağını kurala bağlayın.

Bulut Altyapısında Veri Yedekleme ve Olağanüstü Vaziyet Kurtarma Sorumluluğu Kimde?

Bulut altyapısında veri yedekleme ve olağanüstü vaziyet kurtarma sorumluluğu, faaliyet sağlayıcı ile müşteri arasında paylaşılan bir sorumluluk modeline dayanır.

Genel algının aksine, verilerin bulutta barındırılması tüm yedekleme ve kurtarma süreçlerinin otomatik olarak sağlayıcı vasıtasıyla üstlenildiği anlamına gelmez. Güvenli bir bulut faaliyet sözleşmesi tesis edilirken, altyapının ayakta tutulması sorumluluğu ile bu altyapı üzerinde işlenen verilerin korunması sorumluluğunun sınırları net bir şekilde çizilmelidir.

Saa S hukuku ve bulut bilişim standartları çerçevesinde, tarafların üstlendiği temel sorumluluklar genellikle şu şekilde dağılım gösterir:

Veri Yedekleme ve Kurtarma Sorumluluk Dağılımı

Sorumluluk Alanı Faaliyet Sağlayıcının Rolü Müşterinin (İşletmenin) RolüFiziksel Altyapı GüvenliğiSunucu, veri merkezi ve donanım kesintilerine karşı fiziksel yedeklilik sağlamak. Altyapı yönetimine müdahale etmez, sağlayıcının taahhütlerini denetler.Veri ve Uygulama YedeklemesiSözleşmede belirtilen periyotlarda sistem genelinde yedekleme yapmak. Kendi verilerini düzenli olarak dışa aktarmak (export) ve ek yedekler bulundurmak.Olağanüstü Vaziyet Kurtarma (Disaster Recovery)Doğal afet veya büyük kesintilerde birincil sistemleri yedek merkezden ayağa kaldırmak.

Kesinti anında kendi iş sürekliliği planını devreye sokmak ve operasyonel öncelikleri belirlemek.Kullanıcı Hatalarından Kaynaklı Veri KaybıYanlışlıkla silinen verilerin kurtarılması için teknik destek sunmak (ücrete tabi olabilir).Veri giriş yetkilerini yönetmek ve personelini veri güvenliği konusunda eğitmek.

Adım Adım Sorumluluk Belirleme ve Risk Yönetimi Süreci

Bulut faaliyet sözleşmesi imzalamadan önce veri yedekleme ve kurtarma süreçlerindeki riskleri en aza indirmek için şu adımları izlemeniz önerilir:

1.RTO ve RPO Değerlerini Tanımlayın:İşletmeniz için kabul edilebilir maksimum veri kaybı süresini (RPO) ve sistemin yeniden çalışır hale gelmesi gereken hedef süreyi (RTO) belirleyin. 2.Sağlayıcının Taahhütlerini İnceleyin:Bulut sağlayıcısının verilerinizi hangi sıklıkla yedeklediğini, bu yedeklerin ne kadar süreyle saklandığını ve hangi coğrafi bölgelerde depolandığını sözleşme üzerinden kontrol edin. 3.Veri Sahipliği Maddesini Netleştirin:Sözleşmede, bulut üzerinde barındırılan tüm ham verilerin mülkiyetinin tamamen işletmenize ait olduğunu ve sözleşme feshinde bu verilerin güvenli bir şekilde iade edileceğini garanti altına alın. 4.Bağımsız Yedekleme Stratejisi Geliştirin:Kritik verilerinizi yalnızca tek bir bulut sağlayıcısının yedekleme mekanizmasına emanet etmeyin; belirli periyotlarla kendi yerel veya farklı bulut depolama alanlarınıza yedekleme yapın. 5.Olağanüstü Vaziyet Senaryolarını Test Edin:Olası bir veri kaybı veya sistem çökmesi hâlinde, verilerin yedekten geri yüklenme hızını ve doğruluğunu periyodik olarak test edin.

Bulut altyapısında veri güvenliğini sağlamak tek taraflı bir aşama değildir. Faaliyet sağlayıcı donanımsal ve sistemsel sürekliliği garanti ederken, işletmeler de kendi veri yönetim politikalarını oluşturarak bu sürece aktif olarak katılmalıdır. Sözleşmede bu detayların gri alan bırakılmadan düzenlenmesi, gelecekte yaşanabilecek olası veri kayıplarında yasal ve operasyonel olarak korunmanızı sağlar.

Olası Bir Faaliyet Kesintisi Hâlinde Hak Talepleri ve Faaliyet Kredisi Süreçleri

Bulut bilişim sistemlerinde yaşanan beklenmedik kesintiler, işletmeler için iş gücü, prestij ve finansal kayıp anlamına gelir. Bir faaliyet kesintisi meydana geldiğinde, faaliyet alan tarafın haklarını koruyan ve uğradığı zararı telafi etmesini sağlayan en temel mekanizmaFaaliyet kredisi (service credit)Sistemidir.

Bulut faaliyet sözleşmesi kapsamında belirlenen faaliyet seviyesi taahhütlerinin (SLA) ihlal edilmesi hâlinde, kullanıcıların bu hak taleplerini nasıl yöneteceğini bilmesi finansal kayıpları en aza indirir.

Faaliyet Kredisi (Service Credit) Nedir?

Faaliyet kredisi, bulut sağlayıcısının taahhüt ettiği erişilebilirlik (uptime) oranının altına düşmesi hâlinde, müşteriye bir sonraki fatura döneminde indirim olarak yansıtılan ödenek yöntemidir. Bu sistem nakit iadesi şeklinde değil, genellikle gelecekteki kullanım ücretlerinden düşülmek üzere hesaplanan krediler şeklinde uygulanır.

Adım Adım Hak Talebi ve Aşama Yönetimi

Olası bir faaliyet kesintisi sonrasında hak kaybına uğramamak için işletmelerin şu adımları izlemesi gerekir:

1.Kesintiyi Belgeleyin:Kesintinin başladığı ve bittiği anları, etkilenen sistemleri ve hata ekranlarını ekran görüntüleri ve log (günlük) kayıtları ile kayıt altına alın. 2.SLA Koşullarını İnceleyin:Sözleşmenizde yer alan "kesinti tanımı" ve "faaliyet kredisi talep süresi" maddelerini kontrol edin. Birçok sağlayıcı, kesintinin ardından belirli bir gün içinde yazılı başvuru yapılmasını koşul koşar. 3.Resmi Destek Talebi (Ticket) Açın:Sağlayıcının müşteri paneli veya resmi iletişim kanalları üzerinden kesintiyi bildiren ve çözüm talep eden resmi bir kayıt oluşturun. 4.Hesaplama ve Talep Sürecini Başlatın:Kesinti süresini ve sözleşmedeki kredi oranlarını baz alarak hak ettiğiniz faaliyet kredisini hesaplayın ve sağlayıcıya yazılı talepte bulunun.

Faaliyet Kredisi ve Ödenek Karşılaştırması

Faaliyet kesintilerinde başvurulabilecek haklar genellikle iki farklı kategoride değerlendirilir. Aşağıdaki tablo, standart faaliyet kredileri ile genel ödenek talepleri arasındaki temel farkları özetlemektedir:

Özellik Faaliyet Kredisi (Service Credit)Genel Ödenek TalebiKapsamSLA sözleşmesinde önceden tanımlanmış standart oranlar.

Kesinti nedeniyle oluşan doğrudan ve dolaylı maddi zararlar.Uygulama ŞekliBir sonraki fatura döneminde indirim/kredi tanımlanması. Nakdi ödeme veya yasal yollarla zarar tazmini.Kanıtlama YükümlülüğüKolaydır; kesinti süresinin tespiti yeterlidir. Zordur; kesinti ile oluşan zarar arasındaki illiyet bağının kanıtlanması gerekir.Aşama HızıHızlıdır; sağlayıcı onayı ile doğrudan faturaya yansıtılır. Uzun sürebilir; yasal arabuluculuk veya yasal aşama süreci gerektirebilir.

Bulut faaliyet sözleşmesi imzalanırken, faaliyet kesintisi hâlinde hak talebi süreçlerinin karmaşık prosedürlere bağlanmadığından emin olunmalıdır.

Hak talebi başvuru sürelerinin makul olması ve kesinti tespit yöntemlerinin şeffaf bir şekilde sözleşmede yer alması, Saa S hukuku çerçevesinde işletmenizin haklarını güvence altına alacaktır.

KVKK ve Veri Güvenliği Açısından Bulut Faaliyet Sözleşmelerinde Yer Alması Gereken Maddeler

Bulut faaliyet sözleşmelerinde KVKK ve veri güvenliği maddeleri, bulut altyapısında saklanan kişisel verilerin yasal mevzuata uygun şekilde işlenmesini, korunmasını ve tarafların sorumluluk sınırlarının net olarak belirlenmesini sağlayan yasal güvencelerdir. Bu maddeler, veri sorumlusu olan işletme ile veri işleyen konumundaki bulut sağlayıcısı arasındaki hak ve sorumlulukları düzenleyerek olası bir veri ihlalinde tarafların yasal risklerini minimuma indirir. Saa S hukuku kapsamında, kişisel verilerin güvenliği yalnızca teknik önlemlerle değil, sözleşmeye eklenen güçlü ve net hükümlerle de koruma altına alınmalıdır.

Bir bulut faaliyet sözleşmesi (Saa S sözleşmesi) imzalanırken, KVKK (Kişisel Verilerin Korunması Kanunu) ve genel bilgi güvenliği standartları açısından sözleşmede mutlaka yer alması gereken temel maddeler şunlardır:

• Veri İşleme Amaç ve Sınırlarının Tanımlanması:Bulut sağlayıcısının, kendisine emanet edilen kişisel verileri yalnızca sözleşmede belirtilen hizmetin sunulması amacıyla işleyebileceği, kendi çıkarları veya üçüncü taraflar için bu verileri kullanamayacağı açıkça hükme bağlanmalıdır.
• Teknik ve İdari Tedbirlerin Taahhüdü:Faaliyet sağlayıcının, verilerin hukuka aykırı olarak erişilmesini ve işlenmesini önlemek adına gerekli şifreleme, erişim yetkilendirmesi ve sızma testleri gibi güncel güvenlik önlemlerini alacağına dair net taahhütleri içermelidir.
• Veri İhlali Bildirim Süreçleri:Olası bir siber saldırı veya veri sızıntısı hâlinde, bulut sağlayıcısının durumu derhal (mevzuatta öngörülen makul süreler içinde) veri sorumlusuna bildirmekle yükümlü olduğu sözleşmede yer almalıdır.
• Yurt Dışına Veri Aktarımı Hükümleri:Bulut sunucularının fiziksel olarak hangi ülkede veya bölgede bulunduğu netleştirilmeli; eğer veriler yurt dışındaki veri merkezlerinde tutulacaksa, KVKK'nın yurt dışına veri aktarımı konusundaki güncel şartlarına ve mekanizmalarına tam uyum sağlanacağı garanti edilmelidir.
• Alt Veri İşleyenlerin Denetimi:Bulut sağlayıcısının, hizmeti sunarken üçüncü taraf alt yükleniciler kullanması hâlinde, bu tarafların da aynı veri güvenliği ve gizlilik standartlarına uymasını sağlama sorumluluğu sözleşmeye eklenmelidir.
• Sözleşme Sonunda Verilerin İadesi ve İmhası:Faaliyet ilişkisi sona erdiğinde, bulut sağlayıcısındaki tüm verilerin güvenli bir şekilde veri sorumlusuna iade edileceği veya geri döndürülemeyecek şekilde silineceği/imha edileceği net bir prosedüre bağlanmalıdır.

KVKK Açısından Roller ve Sözleşme Yansımaları

Bulut teknolojilerinde tarafların yasal statüsünü doğru belirlemek, sorumluluk paylaşımını doğru yapmak adına kritik önem taşır. Aşağıdaki tablo, KVKK çerçevesinde tarafların rollerini ve bu rollerin sözleşmeye nasıl yansıması gerektiğini göstermektedir:

KVKK Rolü Sözleşmedeki Taraf Temel Sorumluluk ve Sözleşme MaddesiVeri SorumlusuHizmeti Alan İşletme Verilerin hangi amaçla işleneceğine hüküm verir.

Sözleşmeye, veri işleyenin talimatlar dışına çıkamayacağına dair hüküm ekletmelidir.Veri İşleyenBulut Faaliyet Sağlayıcısı (Saa S)Verileri sadece veri sorumlusunun talimatları doğrultusunda saklar ve işler. Sözleşmede teknik güvenlik önlemlerini alacağını taahhüt eder.Ortak SorumlulukHer İki Taraf Veri güvenliğinin sağlanması ve mevzuata uyum konusunda, kendi etki alanlarındaki teknik altyapılardan müştereken ve müteselsilen sorumludurlar.

Bulut faaliyet sözleşmelerinde KVKK uyumluluğu sağlamak, sadece idari para cezalarından korunmak için değil, aynı zamanda işletmenizin ve müşterilerinizin dijital varlıklarını güvence altına almak için de hayati bir adımdır. Sözleşmede yer alacak bu maddeler, taraflar arasında güvenli bir veri paylaşım ekosistemi inşa eder.

İşletmeler İçin Güvenli Bulut Faaliyet Sözleşmesi İmzalamadan Önce Kontrol Listesi

Bulut faaliyet sözleşmesi imzalamadan önce yapılacak kapsamlı bir inceleme, işletmelerin veri kaybı, beklenmedik faaliyet kesintileri ve yasal uyuşmazlıklara karşı korunmasını sağlar. Doğru yapılandırılmış bir kontrol listesi, faaliyet sağlayıcının taahhütleri ile işletmenizin risk toleransı arasındaki dengeyi kurmanıza yardımcı olur.

Saa S hukuku ve veri güvenliği standartları çerçevesinde hazırlanan bu rehber, imza aşamasından önce dikkat etmeniz gereken kritik unsurları bir araya getirmektedir.

Aşağıdaki adım adım talimatlar ve kontrol listesi, bir bulut faaliyet sözleşmesini (SLA dahil) değerlendirirken işletmenizin haklarını güvence altına almanıza katkı sağlayacaktır.

Bulut Sözleşmesi Değerlendirme Adımları

1.Faaliyet Seviyesi Taahhütlerini (SLA) Netleştirin:Sağlayıcının sunduğu kesintisiz çalışma (uptime) oranını ve bu oranının nasıl hesaplandığını inceleyin. Planlı bakım sürelerinin bu hesaba dahil olup olmadığını kontrol edin. 2.Veri Sahipliği ve Taşınabilirlik Şartlarını Kontrol Edin:Sözleşme sona erdiğinde veya faaliyet iptal edildiğinde, verilerinizin hangi formatta, ne kadar sürede ve nasıl iade edileceğini net bir şekilde kurala bağlayın. 3.Yedekleme ve Kurtarma Planlarını Doğrulayın:Verilerin hangi sıklıkla yedeklendiğini, olağanüstü vaziyet kurtarma (disaster recovery) senaryolarının neler olduğunu ve veri kurtarma sorumluluğunun sınırlarını belirleyin. 4.Sorumluluk Sınırlarını ve Ödenek Mekanizmalarını İnceleyin:Olası bir veri ihlali veya uzun süreli kesinti hâlinde, sağlayıcının üstleneceği maksimum mali sorumluluk limitlerini ve tanımlanan faaliyet kredisi süreçlerini gözden geçirin. 5.Mevzuata Uyum ve Denetim Haklarını Değerlendirin:Faaliyet sağlayıcının KVKK başta olmak üzere ilgili veri koruma mevzuatına uyum taahhütlerini ve bağımsız denetim raporlarını sizinle paylaşıp paylaşmayacağını netleştirin.

Güvenli Bulut Sözleşmesi Kontrol Listesi

Sözleşme taslağını incelerken aşağıdaki tabloda yer alan kritik alanların eksiksiz tanımlandığından emin olun:

Sözleşme Alanı Kontrol Edilmesi Gereken Kritik Detaylar Önem DerecesiUptime ve KesintiKabul edilebilir minimum kesintisiz çalışma süresi ve ihlal hâlinde tanımlanacak faaliyet kredileri. YüksekVeri MülkiyetiYüklenen tüm verilerin mülkiyetinin istisnasız olarak müşteri işletmeye ait olduğunu belirten açık hüküm. KritikYedekleme SorumluluğuVeri yedekleme sıklığı, yedeklerin saklama süresi ve geri yükleme testlerinin kimin sorumluluğunda olduğu.

YüksekVeri Güvenliği ve KVKKVerilerin şifrelenmesi, saklandığı coğrafi konum/veri merkezleri ve veri işleme sözleşmesi (DPA) koşulları. KritikÇıkış Stratejisi (Exit)Sözleşme feshinde verilerin güvenli bir şekilde silinmesi ve taşınması süreçlerinin maliyetsiz veya makul bedelle yapılması. Orta

İşletmeler için güvenli bir bulut altyapısına geçiş, yalnızca teknik bir entegrasyon değil, aynı zamanda yasal bir güvence sürecidir. Bulut faaliyet sözleşmesi imzalarken bu kontrol listesini referans almak, ileride yaşanabilecek olası veri kayıplarında ve faaliyet kesintilerinde işletmenizin operasyonel ve finansal olarak zarar görmesini engelleyecektir.

Sonuç ve Değerlendirme

Bulut bilişim teknolojilerinin iş dünyasındaki rolü her geçen gün artarken; veri güvenliği, yedekleme süreçleri ve faaliyet kesintileri gibi kritik unsurların yasal güvence altına alınması işletmeler için artık bir tercih değil, zorunluluktur.

Doğru kurgulanmış bir SLA ve bulut faaliyet sözleşmesi, sadece olası riskleri minimize etmekle kalmaz, aynı zamanda dijital gelecekte işletmenizin operasyonel sürekliliğini ve marka itibarını da teminat altına alır. Teknolojik altyapınızı yasal sınırlarla korumak ve haklarınızı eksiksiz güvenceye almak için, mevcut sözleşmelerinizi uzman bir hukukçu gözüyle gözden geçirerek ilk adımı atabilirsiniz. İşletmenizin dijital varlıklarını koruyan, dengeli ve geleceğe hazır sözleşme süreçleri inşa etmek için profesyonel destek almaktan çekinmeyin.

Sıkça Sorulan Sorular

Bulut faaliyet sözleşmesi kapsamında veri yedekleme sorumluluğu kime aittir?

Bulut faaliyet sözleşmesi kapsamında veri yedekleme sorumluluğu, tercih edilen faaliyet modeline göre değişir. Saa S hukuku standartlarında yedekleme genellikle sağlayıcıdadır; ancak Iaa S modelinde bu sorumluluk kullanıcıya aittir.

Sözleşmedeki "ortak sorumluluk modeli" maddelerinin dikkatlice incelenmesi ve tarafların yükümlülüklerinin netleştirilmesi gerekir.

Bir bulut faaliyet kesintisi yaşandığında kullanıcıların yasal hakları nelerdir?

Faaliyet kesintisi hâlinde haklarınız, aranızdaki SLA sözleşmesi (Hizmet Seviyesi Taahhüdü) sınırlarına göre belirlenir. Kesinti süresi sözleşmedeki taahhüt sınırlarını aşarsa, kullanıcılar genellikle faaliyet bedeli iadesi, ceza indirimi veya ödenek talep edebilirler. Ancak planlı bakım kesintileri genellikle bu hakların dışındadır.

SLA sözleşmesi içindeki faaliyet kesintisi ödenek koşulları nasıl belirlenir?

SLA sözleşmesi içindeki ödenek koşulları, sistemin yıllık veya aylık çalışma süresi (uptime) oranına göre belirlenir. Taahhüt edilen faaliyet süresi aşılırsa, sağlayıcı genellikle bir sonraki fatura döneminde indirim veya kredi tanımlar.

Doğrudan maddi zarar ödeneği ise sözleşmedeki sorumluluk sınırlandırma maddelerine göre değişir.

Saa S hukuku açısından bulut sağlayıcının veri kaybından doğan sorumluluk sınırı nedir?

Saa S hukuku çerçevesinde bulut sağlayıcısının veri kaybından doğan sorumluluğu, sözleşmedeki "sorumluluğun sınırlandırılması" maddelerine bağlıdır. Sağlayıcılar genellikle toplam sorumluluklarını kullanıcının ödediği yıllık faaliyet bedeliyle sınırlar. Ancak sağlayıcının ağır kusuru veya kastı varsa, bu yasal sınırlandırmalar geçersiz kalabilir.

Her yasal vaziyet kendi içinde özel değerlendirmeler gerektirir. Olası itilaflarda herhangi bir hak kaybına uğramamak adına yasal sürecin uzman bir hukukçu ile yürütülmesi faydalı olacaktır.