Proje Ofisleri İçin KVKK ve Bulut Depolama: Dosyalar Nerede?

Bir ruhsat dosyasını açtığınızda ne görürsünüz? Mal sahibinin T.C. kimlik numarası, adı, adresi. Tapu örneği, vekaletname, imza sirküleri. Müellif bilgileri, taahhütnameler. Bir mimarlık ya da mühendislik ofisi, farkında olsun ya da olmasın, her gün kişisel veri işler. Bu yazıda proje ofislerinin KVKK karşısındaki konumunu, "yurt dışı bulut" tartışmasının aslını ve dosya arşivinizi kendi kontrolünüzde tutmanın pratik yollarını ele alıyoruz.

Önemli not: Bu yazı bilgilendirme amaçlıdır, hukuki tavsiye değildir. Karar verirken resmi mevzuat metni ve hukukçunuzun görüşü esastır.

Proje Ofisi Neden Veri Sorumlusudur?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesini düzenler ve iki temel rol tanımlar: veri sorumlusu ve veri işleyen. Proje ofisiniz, müşterilerinin kimlik ve iletişim bilgilerini toplayıp işlediği için veri sorumlusunun ta kendisidir. Yani sorumluluk yazılım firmasında ya da bulut sağlayıcıda değil, öncelikle sizde başlar.

Tipik bir proje dosyasında işlenen kişisel veriler:

• Mal sahibinin T.C. kimlik numarası, adı soyadı, adresi ve telefonu
• Tapu ve hisse bilgileri
• Ruhsat başvuru evrakındaki kimlik fotokopileri, vekaletnameler
• Müellif ve fenni mesullerin sicil, oda ve iletişim bilgileri

Veri sorumlusu olmak, bu verilerin nerede durduğunu, kimin erişebildiğini ve nasıl korunduğunu bilmek ve gerektiğinde hesap verebilmek demektir. "Dosyalar hangi sunucuda?" sorusu bu yüzden bir teknik detay değil, doğrudan sizin uyum yükünüzün parçasıdır.

KVKK Yurt Dışı Bulutu Yasaklar mı?

Kısa cevap: hayır. Piyasada sık duyulan "yurt dışı bulut kullanmak KVKK'ya aykırıdır" cümlesi doğru değildir. KVKK yurt dışına veri aktarımını yasaklamaz; 9. maddesiyle şartlara bağlar. 2024 değişikliğinden sonra bu şartlar özetle üç yoldan birine dayanır:

• İlgili ülke veya sektör için verilmiş bir yeterlilik kararı,
• Yeterlilik kararı yoksa uygun güvenceler (örneğin standart sözleşme),
• Bunlar da yoksa maddede sayılan istisnai durumlar.

Yani yurt dışında barındırılan bir hizmet, gerekli şartları sağlayarak kullanılabilir. Sizi "yurt dışı bulut yasak, hemen taşının" diye korkutan bir anlatıyla karşılaşırsanız temkinli yaklaşın; mevzuatın söylediği bu değildir.

Peki nüans nerede? Veri yurt içinde tutulduğunda, yurt dışı aktarım rejimi hiç devreye girmez. Yeterlilik kararı takip etmek, standart sözleşme yönetmek, aktarım gerekçesi belgelemek gibi başlıklar gündeminizden çıkar. Yasak olmayan bir şeyi yapmamak, bazen en sade uyum stratejisidir.

Yine de Neden Yurt İçi Depo İsteyebilirsiniz?

Yasak olmadığına göre neden yurt içi depolamayı düşünesiniz? Üç somut neden var:

1. Uyum sadeliği. Yukarıda anlattığımız gibi, veri Türkiye'de kaldığında m.9 kapsamındaki aktarım şartlarını hiç yönetmek zorunda kalmazsınız. Denetim ya da veri ihlali senaryosunda anlatacağınız hikaye kısalır.
2. Kamu ihaleleri ve kurumsal sözleşmeler. Bazı kamu ihaleleri ve kurumsal müşteri sözleşmeleri, verilerin yurt içinde barındırılmasını açıkça şart koşabilir. Kamuya iş yapan bir ofis için yerli depo bu noktada tercih değil, somut bir gerekliliktir. Sözleşmelerinizi bu gözle taramanızda fayda var.
3. Veri egemenliği tercihi. Kimi ofisler, müşterilerine "dosyalarınız Türkiye'de, hatta kendi sunucumuzda duruyor" diyebilmeyi kurumsal bir duruş olarak benimser. Bu bir zorunluluk değil, bilinçli bir tercihtir — ve meşrudur.

Türkiye'deki Seçenekler: S3 Uyumlu Depolar

"Yerli depo" dediğimizde seçenekler sanıldığından geniş. Aşağıdaki sağlayıcılar S3 uyumlu nesne depolama sunar; yani standart bir API üzerinden bağlanabilirler:

Seçenek	Not
Turkcell Bulut nDepo	S3 API uyumlu, Turkcell veri merkezlerinde
Vodafone Business Object Storage	Kurumsal nesne depolama
Türk Telekom Bulut ekosistemi	Kurumsal bulut hizmetleri
Huawei Cloud Türkiye	İstanbul bölgeleri
Narbulut	Yerli bulut depolama
Kendi sunucunuz / NAS (MinIO)	Tam kontrol: veri kendi ofisinizde

Son satır özellikle önemli: ofisinizdeki bir sunucuya ya da NAS cihazına MinIO kurarak kendi S3 uyumlu deponuzu çalıştırabilirsiniz. Bu durumda dosyalarınız fiziksel olarak sizin kontrolünüzdedir.

Dikkat edilmesi gereken bir ayrım: Turkcell lifebox ve Vodafone Drive gibi ürünler tüketici ürünleridir; dışarıya açık API'leri yoktur. Bu nedenle bu tür kişisel bulut hesapları herhangi bir iş uygulamasına — Projeport dahil — bağlanamaz. Kurumsal (Business/Object Storage) ürünlerle karıştırılmamalıdır.

Projeport'ta Nasıl Çalışır?

Projeport'ta firma, dosya arşivini — evraklar, CAD dosyaları ve sürümleri — kendi seçtiği depoda tutabilir: Google Drive, Yandex, OneDrive ya da yukarıdaki gibi herhangi bir S3 uyumlu depo. Bağlantı Vercel ya da sunucu ayarıyla değil, doğrudan panelden yapılır: Ayarlar > Bulut Depolama.

Teknik akış şöyle işler:

• Yüklediğiniz dosya, tarayıcınızdan doğrudan firmanızın deposuna gider; Projeport sunucularından geçmez.
• Dosya başına 1 GB'a kadar yükleme yapabilirsiniz.
• Kendi deponuzu kullandığınızda bu dosyalar paket kotanıza sayılmaz.
• Firma, tüm verisini istediği an ZIP olarak indirebilir — veriniz size aittir, taşınması kolaydır.

Dürüst bir sınır çizelim: Kendi depo seçimi dosyaları kapsar. Proje kayıtları ve yazışmalar gibi yapısal veriler Projeport'un veritabanında tutulmaya devam eder. Bu yüzden "tüm verileriniz Türkiye'de" gibi bir iddiada bulunmuyoruz; doğru ifade şudur: dosya arşivinizi yurt içinde ya da tamamen kendi kontrolünüzde tutabilirsiniz. Kimlik fotokopileri, tapular, imzalı evrak ve CAD arşivi gibi en hacimli içerikler dosyalarda yer aldığından, bu seçim pratikte önemli bir yükü kapsar.

Kurulum Kontrol Listesi: 5 Adım

Kendi S3 uyumlu deponuzu bağlamak için:

1. Sağlayıcınızı seçin ve bir bucket (depo alanı) oluşturun — yukarıdaki tablodan bir hizmet ya da kendi MinIO kurulumunuz.
2. Bağlantı bilgilerini alın: endpoint adresi, erişim anahtarı (access key), gizli anahtar (secret key) ve bucket adı.
3. CORS iznini tanımlayın: Bucket'ınızın CORS ayarlarında projeport.com için PUT/GET izni verin. Bu, tarayıcıdan doğrudan yüklemenin çalışması için gereklidir ve sağlayıcınızın yönetim panelinden tanımlanır.
4. Projeport'a girin: Ayarlar > Bulut Depolama'daki S3 formuna bu dört bilgiyi yazıp kaydedin.
5. Test edin: Bir projeye deneme dosyası yükleyin ve dosyanın kendi deponuza düştüğünü sağlayıcı panelinden doğrulayın.

Takıldığınız noktada adım adım ekran görüntülü rehberimiz var: Bulut depolama kurulum rehberi.

Sonuç: Soru "Yasak mı?" Değil, "Nerede Duruyor?"

KVKK yurt dışı bulutu yasaklamaz — ama veri sorumlusu olarak dosyalarınızın nerede durduğunu bilmek ve bunu müşterinize, gerektiğinde kuruma anlatabilmek sizin işiniz. Yurt içi ya da kendi sunucunuzda depolama; uyumu sadeleştiren ve kamu ihalelerindeki yurt içi barındırma beklentilerini dosya arşivi tarafında karşılamanıza yardımcı olan bir seçenektir — sözleşmenizdeki şartın tam kapsamını yine de kendi metniniz üzerinden değerlendirin.

Projeport'ta bu seçim sizin: dosya arşivinizi Google Drive'da, yerli bir S3 depoda ya da ofisinizdeki NAS'ta tutabilirsiniz. Ücretsiz hesap oluşturun ve deponuzu birkaç dakikada bağlayın.

Bu yazı bilgilendirme amaçlıdır; hukuki tavsiye niteliği taşımaz. Güncel resmi mevzuat metinleri ve hukukçunuzun değerlendirmesi esastır.