AGPLv3 Yazılımı SaaS Olarak Sunmak Kaynak Kod Yükümlülüğü Doğurur mu?
AGPLv3 lisanslı programı değiştirip bu değiştirilmiş sürümü ağ üzerinden kullanıcılarla etkileşime açan kişi, sürümün karşılık gelen kaynak kodunu bu kullanıcılara ücretsiz edinme imkânını belirgin biçimde sunmalıdır. Dayanak, lisansın 13. bölümüdür. Bu hüküm, müşteriye kurulum dosyası verilmediği için kaynak yükümlülüğünün hiçbir zaman doğmayacağı düşüncesini geçersiz kılar. İncelemenin merkezinde programdaki değişiklik, ağ etkileşimi ve sunulan kaynağın gerçekten çalışan sürüme karşılık gelmesi bulunur.
SaaS şirketi açısından mesele yalnız lisans adını bir envantere yazmak değildir. Ürünün özelleştirilmesi, kullanıcının hizmete hangi ekrandan veya arayüzden eriştiği ve kaynak teklifinin nerede gösterildiği birlikte değerlendirilir. Kaynak erişimi yükümlülüğü, bütün müşteri verilerinin veya şirketin ilgisiz yazılımlarının yayımlanması anlamına gelmez. Bu yazı, ticari ağ hizmetinde AGPLv3 Bölüm 13 koşulunun nasıl tespit edileceğini ve hangi dosyalarla doğrulanacağını açıklar.
AGPLv3 koşulunun FSEK bakımından hukuki yeri
FSEK m.1/B ve m.2 kapsamında eser niteliği taşıyan bilgisayar programı, internette ücretsiz erişilebilir olduğu için telif korumasını kaybetmez. Program üzerindeki çoğaltma ve işleme yetkileri özellikle m.22 ve m.21 bakımından incelenir. Açık kaynak lisansı, hak sahibinin verdiği iznin şartlarını belirler. Yazılımın erişilebilir olması ile mali hak sahibinin izin koşullarından vazgeçmesi birbirinden farklıdır.
Ağ üzerinden kaynak sunma şartının ayrıntısı GNU AGPLv3 metninin 13. bölümünde bulunur. Bu şartı Türk kanununda aynen yazılı bir SaaS maddesi gibi sunmak doğru değildir. Türk hukukundaki korunan haklar ve sözleşme hükümleri ile kullanılan lisansın izin sınırı birlikte değerlendirilir. İhlal iddiasında hangi kodun korunduğu, o kod üzerinde hangi işlemin yapıldığı ve iznin hangi koşuluna uyulmadığı açık gösterilmelidir.
Genel eser sahipliği, çalışan ve yüklenici ayrımları için yazılımın telif hakkıyla korunması rehberi incelenebilir. Buradaki özel mesele, şirkete ait yeni katkının kimin tarafından yazıldığından daha geniştir: Şirketin katkı üzerinde yetkisi olsa da değiştirdiği önceki programın lisansını ayrıca uygulaması gerekir. Kendi çalışanına ücret ödenmesi, üçüncü kişinin AGPL şartını ortadan kaldırmaz.
Bölüm 13 için hangi koşullar birlikte aranır?
İlk koşul, ilgili programın gerçekten AGPLv3 kapsamında kullanılmasıdır. İkinci koşul, lisans alanın programı değiştirmiş olmasıdır. Üçüncü koşul, değiştirilmiş sürümün desteklediği ağ etkileşimi üzerinden kullanıcılarla uzaktan etkileşmesidir. Bu unsurlar belirlenmeden yalnız “sunucu”, “açık kaynak” veya “abonelik” kelimelerinden kaynak paylaşma sonucu çıkarılmaz. Ürün dosyası, kullanılan kesin sürüm ve lisans bildirimiyle başlamalıdır.
Değişiklik değerlendirmesinde depo farkı önemli delildir; fakat sadece değişen satır sayısı hukuki kapsamı çözmez. Programın hangi parçasının değiştirildiği, eklenen kodun önceki programla ilişkisi ve gerekli telif izni incelenir. Kaynak satırını değiştirmek, programla birleşik geliştirme yapmak ve yalnız dışarıdan yapılandırma değeri girmek aynı teknik olay değildir. Lisans metnindeki değiştirme tanımı gerçek uygulamayla karşılaştırılmalıdır.
Programın hiç değiştirilmeden çalıştırılması, 13. bölümdeki “değiştirilmiş sürüm” koşuluyla ayrı değerlendirilir. Bundan, üründeki mevcut kaynak bağlantısının silinebileceği veya farklı dağıtım yükümlülüklerinin yok sayılabileceği sonucu çıkmaz. Mevcut programın hangi bildirimlerle alındığı ve gerçekten değiştirilmeden kullanılıp kullanılmadığı doğrulanmalıdır. “Değiştirmedik” açıklaması, ürün ekibinin tuttuğu sürüm kaydı ve dağıtım paketiyle desteklenmelidir.
Ücretli SaaS hizmeti ile ücretsiz kaynak erişimi
AGPLv3, hizmetin ticari amaçla sunulmasını kendiliğinden yasaklayan bir lisans değildir. Barındırma, destek veya erişim hizmeti için kararlaştırılan ücret ayrı bir konudur. Bölüm 13 kapsamındaki kaynak edinme imkânı ise ücretsiz ağ erişimiyle sağlanmalıdır. Şirket, abonelik bedeli aldığı için kaynak teklifini kaldırmaz; kaynak teklifi bulunduğu için de bütün ticari hizmetlerini ücretsiz vermek zorunda olduğu sonucuna ulaşılmaz.
Uygulamada ücret ayrımı satın alma ekranında görünür olmalıdır. Kaynağı almak için daha pahalı abonelik planına geçiş, danışmanlık paketi satın alma veya ayrı bir kaynak bedeli ödeme koşulu konduğunda, ücretsiz edinme şartı karşılanmaz. Kaynak sunma sayfasına normal hizmet kullanıcısının erişip erişemediği kontrol edilir. Satış ekibinin özel izin vermesine bağlı bir süreç, kullanıcıya doğrudan sunulan edinme imkânının yerini otomatik olarak tutmaz.
Sözleşmedeki “kaynak kod müşteriye hiçbir şartta verilmeyecektir” cümlesi bu lisans incelemesinden bağımsız kurulamaz. Sağlayıcı, hizmetinde kullanacağı bileşenlerin izin koşullarını ticari teklif hazırlanmadan önce belirlemelidir. SaaS modelindeki hizmet, destek ve erişim şartları için SaaS hizmet sözleşmesinde düzenlenmesi gereken maddeler yazısı tamamlayıcıdır; genel abonelik hükmü, üçüncü taraf açık kaynak iznini değiştirmez.
Kaynak teklifi hangi kullanıcılara gösterilmelidir?
Bölüm 13, değiştirilmiş sürümle ağ üzerinden uzaktan etkileşen bütün kullanıcıları esas alır. Faturanın bir şirket adına düzenlenmiş olması, o şirket hesabındaki kullanıcıların kaynak teklifini görme konusunu tek başına çözmez. Hesap yöneticisi, çalışan kullanıcı ve hizmetin izin verdiği dış kullanıcı rolleri ürünün gerçek erişim düzeninde tespit edilmelidir. Teklifin görünürlüğü yalnız sözleşmeyi imzalayan kişiye göre tasarlanmamalıdır.
Bu yükümlülük ile bütün dünyaya koşulsuz hesap açma zorunluluğu aynı değildir. İnceleme, hizmetle uzaktan etkileşen kullanıcıların kaynağa ulaşabilmesine yöneliktir. Buna karşılık kaynağı alan kişilerin lisansın tanıdığı kullanım ve yeniden dağıtma hakları, genel bir gizlilik metniyle ortadan kaldırılamaz. Kaynağın ilk sunulduğu çevre ile kullanıcıların lisans altında sahip olduğu sonraki haklar ayrı konulardır.
Çok müşterili platformda hangi sürümün kime sunulduğu da önem taşır. Bazı müşterilere ayrı geliştirme, farklı özellik veya ayrı sürüm çalıştırılıyorsa tek bir genel kaynak arşivi bütün erişimlerin karşılığını açıklamayabilir. Kaynak teklifi, kullanıcının etkileştiği değiştirilmiş sürümle eşleştirilmelidir. Şirketin ürün ailesindeki tüm projeleri tek depoda tutması, her müşteriye aynı paketin uygun olduğu sonucunu doğurmaz.
Web arayüzü olmayan hizmette görünür teklif
Bir web uygulamasında kaynak bağlantısı, kullanıcının görebileceği lisans veya uygulama bilgisi alanında sunulabilir; seçilen tasarım belirginlik koşulunu gerçekten karşılamalıdır. Dışarıdan erişilemeyen geliştirici notu, şirket içi belge veya yalnız teknik ekibe açık proje kaydı kullanıcıya yapılan teklif değildir. Ekranın bulunması kadar, bağlantının hangi kullanıcı rolünde görüldüğü ve nereye götürdüğü de kontrol edilmelidir.
API veya vekil sunucu gibi klasik ekranı olmayan uygulamalarda, kullanıcıya o hizmet türünün olağan iletişim yöntemiyle teklif ulaştırılmalıdır. GNU’nun AGPL vekil sunucu açıklaması kullanıcıların başlangıçta yönlendirildiği bir sayfanın bu amaçla kullanılmasını örnekler. Bu açıklama, her arayüzsüz hizmetin kapsam dışında olduğu sonucunu desteklemez. Ürünün gerçek kullanıcı etkileşimine uygun yöntem seçilmelidir.
Teklif sayfasının yalnızca mevcut olması yetmez; kullanım akışında ulaşılıp ulaşılmadığı doğrulanmalıdır. İstemci uygulamasından veya kurumsal giriş ekranından hizmete bağlanan kullanıcıların tamamı incelenir. Kullanıcıya güncel sürüm için sunulmuş kaynak teklifinin delili tutulur. Yeni sürüm devreye alındığında eski bağlantının aynı yerde kalması, hedefteki kaynağın güncel sürümle eşleştiğini göstermediğinden ayrıca sürüm kontrolü yapılır.
Kaynak paketi hangi çalışır sürümü açıklamalıdır?
AGPLv3 Bölüm 1’deki karşılık gelen kaynak tanımı, çalıştırılan sürümle teknik bağ kurulmasını gerektirir. Paket, gerekli kaynakları ve ilgili faaliyetleri yöneten betikleri kapsar; tanımdaki sistem kütüphanesi ve genel araç istisnaları ayrıca değerlendirilir. Üst projenin değiştirilmemiş deposuna yönlendirmek, şirketin değiştirdiği sürümü açıklamaz. Kullanıcının önüne çıkan arşivle sunucuda çalışan sürüm arasındaki ilişki doğrulanmalıdır.
SaaS ürünlerinde sürekli güncelleme, hukuki dosyayı bir defalık lisans kontrolünden çıkarır. Kaynak arşivinin hangi dağıtım kaydına karşılık geldiği, değişikliğin ne zaman canlıya alındığı ve eski sürümün hangi tarihe kadar çalıştığı saklanır. Yalnız yazılım geliştiricinin kişisel bilgisayarında bulunan dosyalar, kurumsal kaynak sunumunun sürdürülebilir bir kaydı değildir. Yetkili ekip, ürün sürümünü kullanıcıya sunulan arşiv üzerinden yeniden tanımlayabilmelidir.
GNU’nun AGPLv3 karşılık gelen kaynak açıklaması gerekli kütüphanelerin kapsamını ve değiştirilmiş kütüphane kaynaklarını ayrıca ele alır. Bu nedenle paketin yeterliliği sadece şirketin doğrudan yazdığı dosyaların listesiyle ölçülmez. Bağımlılık ilişkisi, istisnalar ve lisans kapsamı birlikte incelenir. Her üçüncü taraf bileşeni otomatik dışarıda bırakmak ile bütün sunucu yazılımlarını otomatik kapsamda saymak aynı ölçüde hatalı yöntemlerdir.
Mikroservis, ayrı depo ve GPLv3 birleşimi
Aynı sunucuda çalışmak veya aynı bulut hesabında bulunmak, bütün programları tek eser hâline getiren bağımsız bir hukuk kuralı değildir. Buna karşılık bir programın parçalarını farklı depolara veya süreçlere ayırmak da her durumda lisans bağını kesmez. Kodun işlevsel ve hukuki ilişkisi, eser niteliği ve lisansın birleşik çalışma hükümleri değerlendirilmelidir. Mimari isimlendirme, gerçek birleşimin yerine geçirilmemelidir.
Bölüm 13, AGPLv3 eserle GPLv3 kapsamındaki eserin belirtilen biçimde birleştirilmesini özel olarak düzenler. Bu durumda sunulacak karşılık gelen kaynak, birleşimdeki ilgili GPLv3 kaynağını da içerir; lisanslar kendi parçaları bakımından düzenlenir. “Bir parça GPL olduğu için ağ şartı tamamen uygulanmaz” şeklinde genel bir sonuç kurulamaz. İncelemede her bileşenin sürümü ve hangi lisansla kullanıldığı açık gösterilmelidir.
Teknik rapor, sadece kutucuklardan oluşan ürün şemasıyla sınırlı kalmamalıdır. Hangi kodun alındığı, hangi değişikliklerin yapıldığı, bileşenlerin nasıl çağrıldığı ve hangi çıktının kullanıcıya sunulduğu açıklanır. Hukukçu da bu teknik bilgilerden hangi izin alanının doğduğunu belirler. İncelenen mimari değişirse önceki lisans değerlendirmesinin otomatik olarak yeni ürün düzenine taşınmaması gerekir; kararın dayandığı sürüm dosyada tanımlanmalıdır.
Kaynak sunmak müşteri verilerini yayımlamak değildir
Kaynak kod, canlı veritabanı ve erişim sırrı ayrı materyallerdir. Programın nasıl çalıştığını gösteren kaynak paketinin içine müşterilerin kişisel kayıtlarını veya üretim ortamı parolalarını eklemek, AGPL şartının doğal sonucu değildir. Lisansın 2. bölümü de program çıktılarının kendi içeriği nedeniyle kapsamda olma meselesini ayrıca düzenler. Her çıktı, program AGPL lisanslı olduğu için otomatik olarak aynı lisansa tabi sayılmaz.
6698 sayılı Kanun m.4, m.5 ve m.12 kişisel verilerin hukuka uygun işlenmesi, işleme koşulları ve güvenliği için ayrı yükümlülükler kurar. Şirket, açık kaynak lisansını müşteri kayıtlarını herkese açıklama yetkisi olarak kullanamaz. Kaynak sunumundan önce paket içinde kişisel veri bulunup bulunmadığı denetlenir. Kaynak gerekliliği ile kişisel veri paylaşımının hukuki sebebi aynı değerlendirme değildir.
Paket hazırlığında gerekli kurulum açıklamaları korunurken gerçek parolalar, müşteri anahtarları ve ilgisiz canlı veri çıkarılır. Veri içermeyen yapı tanımlarıyla gerçek müşteri kayıtlarının ayrılması bu nedenle önemlidir. Ancak “veri güvenliği” başlığı altında gerekli program kaynaklarını topluca saklamak da kaynak sunma şartını yerine getirmez. Doğru çözüm, ihtiyaç duyulan kod ve bilgiyi kullanılabilir biçimde sağlarken kişisel veriyi ayrıca korumaktır.
Ayrı ticari lisans alınırsa hangi kapsam doğrulanır?
Hak sahibi aynı program için ayrı bir ticari izin sunuyorsa, şirket bu iznin kapsamını ve izin verenin yetkisini doğrulamalıdır. Ücretli fatura, kendi başına hangi kaynak sunma şartından hangi sürüm için ayrılındığını göstermez. Lisans belgesi; programı, sürümü, tarafı, kullanım biçimini ve verilen mali hakları açıkça tanımlamalıdır. Üçüncü kişilere ait katkıların ticari izin içinde yer alıp almadığı ayrıca incelenir.
FSEK m.48 ve m.52, mali haklara ilişkin izin ve yazılı kapsam bakımından değerlendirme zeminidir. Yeni sözleşmenin geçmiş dönem kullanımını da düzenlediği, yalnız satın alma tarihinden sonra hizmete uygulanacağı veya belirli ürünleri dışarıda bıraktığı metinden belirlenmelidir. Ticari lisansın daha sonra alınması, önceki işlemlerin bütün hukuki sonuçlarını kendiliğinden ortadan kaldıran genel bir kural değildir. Geçmiş ve gelecek kullanım ayrı kayıtlara bağlanır.
Yabancı taraf içeren dosyalarda MÖHUK m.23 ve m.28 de gözetilir. Fikrî hakkın korunması için istenen ülkenin hukuku ile fikrî hak sözleşmesine uygulanacak hukuk aynı bağlantı kuralıyla belirlenmez. Bu ayrımın ayrıntıları yurt dışı yazılım ve telif lisanslarında uygulanacak hukuk yazısında açıklanır. İnternet üzerinden kurulmuş olması, lisans uyuşmazlığını hukuksuz bir alan hâline getirmez.
Kaynak erişimi uyuşmazlığında dosya nasıl hazırlanır?
- Program ve izin kaydı: Kullanılan sürüm, edinme adresi, lisans dosyası, hak sahibi bildirimleri ve ayrı izinler aynı dosyada tutulur. Daha sonra değişmiş proje sayfası eski sürümün şartlarını tek başına açıklamaz.
- Değişiklik ve hizmet kaydı: Kaynak farkı, derleme veya dağıtım kaydı, canlıya alma tarihi ve kullanıcıya sunulan sürüm eşleştirilir. Teknik rapor, değişiklik yapılıp yapılmadığı iddiasını somut dosyalarla cevaplar.
- Kullanıcı görünürlüğü: Kaynak teklifinin ilgili hesap rolünde görüldüğünü gösteren tarihli kayıtlar, erişim yolu ve yönlendirilen arşiv saklanır. Sadece yöneticinin ekranı bütün kullanıcı deneyimini göstermez.
- Talep ve yanıt: Kaynak isteyen kişinin hangi hizmet sürümünü kullandığı, başvurusu, verilen bağlantı, indirilen paket ve varsa erişim hatası korunur. Yanıt verilmiş olması ile doğru kaynağın sağlanması ayrı olgulardır.
İleri sürülecek hukuki talep, talepte bulunanın sıfatına göre kurulur. Hizmet kullanıcısının sözleşmeden doğan istemi ile mali hak sahibinin FSEK m.68–70 çerçevesindeki istemleri birbirinin yerine yazılmaz. Kaynak sunma eksikliği tespit edildiğinde, ihlal edilen izin koşulu ve hangi dönemde hangi kullanımın yapıldığı gösterilir. Her eksiklik için otomatik suç, sabit tazminat veya kesin dava sonucu açıklamak hukuki incelemenin yerini tutmaz.
Bölüm 13 kaynak teklifini, uzaktan etkileşime açılan değiştirilmiş sürümün davranışı olarak düzenler; kaynak yalnız müşteri şikâyet ettiğinde düşünülmemelidir. İhlal bildirimi sonrasında lisansın 8. bölümündeki sona erme ve yeniden yürürlük şartları ayrıca değerlendirilir. Şirketin hizmet sözleşmesine yazdığı genel cevap süresi, lisansın kendi koşullarını değiştirmez. Düzeltmenin kapsamı, ilgili kullanıcılar ve sürümler üzerinde doğrulanmalıdır.
AGPLv3 SaaS kullanımı hakkında sık sorulan sorular
AGPLv3 lisanslı programı SaaS olarak sunmak yasak mı?
Hayır. Lisans ticari SaaS sunumunu tek başına yasaklamaz. Program değiştirilmişse ve değiştirilmiş sürüm uzaktan ağ etkileşimini destekliyorsa Bölüm 13 kapsamında ilgili kullanıcılara ücretsiz kaynak edinme imkânı belirgin biçimde sunulmalıdır.
Müşteriye kurulum dosyası vermiyorsam kaynak şartı doğar mı?
AGPLv3 Bölüm 13 koşulları gerçekleştiğinde kaynak sunma şartı, müşteriye çalıştırılabilir kopya verilmesine bağlı değildir. Değiştirilmiş sürümle ağ üzerinden etkileşim ayrıca düzenlenmiştir. Sadece kurulum dosyası verilmediğini söylemek bu incelemeyi bitirmez.
Hiç değiştirilmemiş program için durum aynı mı?
Bölüm 13 değiştirilmiş sürümü esas alır. Değişiklik yapılmadığı iddiası sürüm kayıtlarıyla doğrulanmalıdır. Bu ayrım, mevcut bildirimlerin kaldırılmasına veya başka dağıtım koşullarının yok sayılmasına genel izin vermez.
Kaynak erişimi için ayrıca ücret isteyebilir miyim?
Bölüm 13 kapsamındaki kaynak edinme imkânı ücretsiz sunulmalıdır. Barındırma ve destek hizmetinin ticari bedeli ayrı konudur. Kaynağa ulaşmayı daha pahalı bir plan veya ayrı kaynak satın alma bedeline bağlamak ücretsiz erişim koşuluyla uyuşmaz.
Kaynak yalnız müşteri şirketin yöneticisine mi gösterilir?
Metin, değiştirilmiş sürümle ağ üzerinden uzaktan etkileşen bütün kullanıcıları esas alır. Kullanıcı rolleri ve erişim yolları somut hizmette belirlenir. Fatura veya sözleşme muhatabının kimliği, diğer kullanıcıların teklif görünürlüğünü tek başına çözmez.
AGPL kaynak teklifi için bütün depoyu internete açmak şart mı?
Kapsam, ilgili sürümün karşılık gelen kaynağına göre belirlenir. İlgisiz şirket projeleri otomatik olarak kapsama girmez. Ancak gerekli kaynakları yalnız ayrı depoda tutulduğu için dışarıda bırakmak da doğru değildir.
API hizmetinde ekran yoksa teklif nasıl yapılır?
Hizmetin kullanıcılarıyla olağan iletişim yöntemine uygun, belirgin bir kaynak teklifi kurulmalıdır. GNU açıklaması vekil sunucularda başlangıç sayfasını örnek gösterir. Ekran bulunmaması, hizmeti otomatik olarak Bölüm 13 dışında bırakmaz.
Müşteri veritabanını da kaynakla birlikte vermek gerekir mi?
Kaynak kod ile müşterinin canlı kayıtları farklıdır. AGPL kaynak koşulu kişisel verileri açıklamak için bağımsız izin oluşturmaz. KVKK m.4, m.5 ve m.12 çerçevesindeki işleme ve güvenlik yükümlülükleri ayrıca uygulanır.
Üst projenin kaynak bağlantısı yeterli midir?
Şirketin değiştirdiği ve hizmette çalıştırdığı sürümün karşılık gelen kaynağı sunulmalıdır. Üst projenin değiştirilmemiş kaynağı, şirkete ait değişiklikleri kendiliğinden içermez. Bağlantı hedefi ve çalışan sürüm teknik olarak eşleştirilmelidir.
Sonradan ticari lisans almak önceki dönemi kapatır mı?
Ayrı iznin yetki, sürüm, hak ve zaman kapsamı belgeden belirlenir. Sonradan ücret ödenmesi, önceki bütün işlemlerin sonuçlarını kendiliğinden kaldırmaz. Geçmiş dönemin de düzenlenip düzenlenmediği ayrıca incelenmelidir.
Resmî mevzuat ve birincil lisans kaynakları
- Open Source Initiative – GNU AGPLv3, Bölüm 0–2, 5, 8, 10 ve 13
- GNU – AGPL karşılık gelen kaynak ve vekil sunucu açıklamaları
- 5846 sayılı FSEK – m.1/B, 2, 21–22, 48, 52 ve 68–70
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.4, 5 ve 12
- 5718 sayılı MÖHUK – m.23 ve 28
İstanbul ve Mersin ofisleri
İstanbul · Polaris Plaza
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbulMersin · Profit İş Merkezi
İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/MersinHukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
