Veri egemenliği
Veriniz Türkiye'de. Peki onu yöneten sistem nerede?
Kurumsal veri platformu değerlendirirken en çok sorulan soru “verim nerede duruyor?” oluyor. Doğru soru ama eksik: veri dosyaları Türkiye'deki bir bölgede dururken, o veriye kimin erişeceğine karar veren sistem başka bir ülkede çalışıyor olabilir.
Son güncelleme: Eylül 2026
“Verim Türkiye'de” cümlesi neyi kapsamıyor?
Yönetilen bir veri platformu satın aldığınızda iki ayrı şey alırsınız. Birincisi veri düzlemi: tablolarınızın dosyaları, sorguları çalıştıran işlem gücü. İkincisi yönetim düzlemi: kataloğun kendisi, yetki kuralları, sorgu geçmişi, denetim kaydı, bağlantı bilgileri ve arayüz. Satıcılar bölge seçimini konuşurken çoğunlukla yalnızca birincisini kastederler.
Aradaki fark akademik değil. Yönetim düzlemi yurtdışında çalışıyorsa, sınırı geçen şey tablolarınızın içindeki satırlar olmasa bile şunlar olur: tablo ve kolon adları, kimin hangi veriye eriştiği, kullanıcı kimlikleri, ve çoğu zaman sorgunun tam metni. Sorgu metni de masum değildir — içinde bir kimlik numarası ya da bir müşteri adı geçen `WHERE` koşulu, kişisel verinin kendisidir.
Bir de daha sessiz bir sonucu var: yönetim düzlemi bağlantı bilgilerini tutuyorsa, teknik olarak verinize erişebilecek konumdaki taraf sizsiniz ve sağlayıcınızdır. Bu, sözleşmeyle sınırlanabilecek bir yetkidir ama mimariyle ortadan kaldırılmış bir yetki değildir.
İki düzlem, iki ayrı soru
Bir platformu değerlendirirken bu iki sütunu ayrı ayrı doldurmak, tek bir “bölge” sorusundan çok daha fazlasını söyler.
| Yönetilen hizmet (tipik) | Kauzas | |
|---|---|---|
| Tablo dosyaları | Seçtiğiniz bölgede | Sizin kümenizde |
| Katalog ve metadata | Sağlayıcının bulutunda | Sizin kümenizde |
| Sorgu metni | Sağlayıcıya iletilir | Kümeden çıkmaz |
| Denetim kaydı | Sağlayıcıda tutulur | Sizde tutulur |
| Bağlantı bilgileri | Sağlayıcıda saklanır | Sizin sır deponuzda |
| İnternet kesilirse | Erişim durur | Platform çalışmaya devam eder |
“Tipik” diyoruz çünkü istisnaları var: bazı sağlayıcılar veri düzlemini müşterinin hesabında çalıştıran kurulumlar sunuyor. Yönetim düzlemi ise bu kurulumlarda da sağlayıcıda kalmaya devam ediyor — zaten hizmetin kendisi o.
KVKK açısından ne değişti?
7499 sayılı kanunla Kişisel Verilerin Korunması Kanunu'nun 9. maddesi değişti; düzenleme 12 Mart 2024'te yayımlandı ve 1 Haziran 2024'te yürürlüğe girdi. Değişiklikle birlikte yurt dışına aktarım için standart sözleşmeler ve bağlayıcı şirket kuralları uygun güvence yöntemleri arasına girdi.
Pratikte bu, aktarımın yasaklanması değil şartlara bağlanması demek. Standart sözleşme yolunu seçen veri sorumlusunun sözleşmeyi imzaladıktan sonra beş iş günü içinde Kurum'a bildirmesi gerekiyor. Aktarılan verinin sonradan üçüncü bir ülkeye aktarılması da aynı maddenin kapsamında — yani yükümlülük ilk aktarımla bitmiyor.
Buradan çıkan mimari gözlem şu: her güvence yolu, sürdürülmesi gereken bir yükümlülük üretir. Bildirim, güncelleme, alt işleyen takibi, sonraki aktarımların denetimi. Hiçbirini üretmeyen tek kurulum, sınırı geçen bir aktarımın hiç oluşmadığı kurulumdur.
Bu sayfa hukuki görüş değildir. Hangi işleme faaliyetinizin aktarım sayıldığı ve hangi güvence yolunun size uygun olduğu, kendi hukuk ve uyum ekibinizle değerlendirilmesi gereken bir sorudur. Buradaki katkımız hukuki değil mimari: aktarımın nerede oluştuğunu görünür kılmak.
Kauzas bunu nasıl kuruyor?
Kauzas yönetilen bir hizmet değil, kendi Kubernetes kümenize kurduğunuz bir platform. Bunun tek bir sonucu var ve sayfanın tamamı o sonucun üzerine kurulu: yönetim düzlemi de sizin tarafınızda çalışır.
Katalog, yetki ve denetim sizin kümenizde
Hangi tablonun var olduğu, kimin neye erişebildiği ve kimin ne zaman ne yaptığı — üçü de sizin çalıştırdığınız bileşenlerde durur. Novadsa'nın bu kayıtlara erişimi yoktur, çünkü teknik olarak erişebileceği bir yer yoktur.
İnternet bağlantısı bir gereklilik değil
Platform dışarıya çağrı yapmadan çalışır. Bu bir uyum özelliği olarak tasarlanmadı, ayrık ağlarda çalışabilmek için tasarlandı — ama uyum tarafındaki sonucu net: lisans doğrulaması için bile sınır geçen bir trafik yok.
Altyapı seçimi sizin
Tamamen kurum içi donanımda, kendi veri merkezinizde ya da AWS'nin İstanbul'daki Local Zone altyapısında çalıştırabilirsiniz. Üçünde de platform aynı platformdur; değişen yalnızca altındaki demirdir.
Sağlayıcınıza sorulacak yedi soru
Bu sorular Kauzas'a özgü değil; herhangi bir veri platformu değerlendirirken sorulabilir ve cevapları bölge haritasından çok daha fazlasını söyler. Cevapların yazılı olmasında fayda var.
Yönetim düzlemi hangi ülkede çalışıyor?
Bölge seçimi çoğunlukla yalnızca veri düzlemini kapsar. Bu soru diğer yarısını açar.
Tablo ve kolon adları nerede saklanıyor?
Şema bilgisi tek başına hassas olabilir: bir kolon adı bile neyin toplandığını ele verir.
Sorgu metni sizin sistemlerinize iletiliyor mu?
Sorgunun içindeki bir kimlik numarası ya da müşteri adı, kişisel verinin kendisidir.
Denetim kayıtları nereye yazılıyor ve kim okuyabiliyor?
Denetlenebilirlik, denetim kaydına sizin dışınızda kimsenin erişemediği durumda anlamlıdır.
Veri kaynaklarımın bağlantı bilgileri kimde duruyor?
Anahtarı tutan taraf, sözleşme ne derse desin, teknik olarak erişebilecek taraftır.
İnternet bağlantısı kesilirse platform çalışmaya devam eder mi?
Bu sorunun cevabı, bağımlılığın gerçekte nerede olduğunu diğer altı sorudan daha hızlı gösterir.
Alt işleyenler kimler ve sonraki aktarımlar nasıl yönetiliyor?
Yurt dışına aktarılan verinin üçüncü bir ülkeye aktarılması da aynı yükümlülüğe tabi.
Bu ayrımı kendi kurumunuzda konuşalım.
Mevcut mimarinizde yönetim düzleminin nerede durduğunu birlikte çıkaralım; Kauzas'ın sizin ortamınızda nasıl kurulacağını gösterelim.