Bulut Sağlayıcısı Değiştirme: Data Act Süre ve Ücret Kuralları

Kısa ve net cevap: AB Veri Yasası olarak bilinen (AB) 2023/2854 sayılı Data Act m.23–31, kapsamındaki bulut ve veri işleme hizmetlerinde müşterinin başka sağlayıcıya veya kendi bilgi işlem altyapısına geçebilmesini düzenler. Geçişi başlatma bildirim süresi iki ayı, olağan teknik geçiş dönemi 30 takvim gününü aşamaz. Teknik uygulanamazlık durumunda sağlayıcı, talebin yapılmasından itibaren 14 iş günü içinde gerekçe ve en fazla yedi aylık alternatif dönem bildirmelidir. Müşterinin geçişten sonra verilerini alabilmesi için en az 30 takvim günü tanınır. 12 Ocak 2027’den itibaren kapsam içindeki geçiş ücretleri alınamaz.

28 Eylül 2026 tarihli kapsam notu: Geçiş ücretlerinin genel kaldırılma tarihi henüz gelmemiştir. Bugün, geçişle doğrudan bağlantılı sağlayıcı maliyetini aşmayan azaltılmış ücret düzeni uygulanır. Olağan hizmet ücretleri, erken sona erdirme bedelleri ve çoklu bulut kullanımındaki veri çıkış bedelleri bu başlıkla aynı değildir. Tüzük m.1/3-f, kuruluş yerinden bağımsız olarak Birlikteki müşterilere veri işleme hizmeti sunan sağlayıcıları kapsar. Türkiye’deki her yerel barındırma sözleşmesi sırf internet üzerinden kurulması nedeniyle bu rejime girmez.

Hangi hizmetler ve müşteriler kapsamda?

Data Act m.2/8, veri işleme hizmetini paylaşılan, yapılandırılabilir, ölçeklenebilir ve esnek bilgi işlem kaynaklarına talep üzerine ağ erişimi sağlayan dijital hizmet üzerinden tanımlar. Altyapı, platform ve yazılım hizmetleri tanımın koşullarına göre değerlendirilir. Bir sözleşmenin başlığına bulut, SaaS veya yönetilen hizmet yazılması tek başına yeterli inceleme değildir. Müşteriye gerçekten hangi kaynaklara erişim verildiği ve hizmetin nasıl işletildiği belirlenmelidir.

Coğrafi bağlantıda sağlayıcının şirket merkezinden önce müşterinin Birlikte bulunması ve hizmetin niteliği incelenir. Türkiye’deki bir yazılım şirketi AB’deki müşterilere kapsam içindeki hizmeti sunuyorsa yalnız Türk şirketi olması yükümlülükleri dışlamaz. Tersine, yalnız Türkiye’deki müşteriye verilen yerel hizmet için AB kuralları otomatik uygulanmaz. Sözleşmenin tarafları, hizmetin sunulduğu müşteri ve ilgili faaliyet birlikte tespit edilir. Bu yazı herhangi bir ülkenin mahkeme yetkisini tek başına belirleyen bir açıklama değildir.

Bağlı cihazın ürettiği verilere erişim ile bulut sağlayıcısı değiştirme hakkı farklı bölümlerdedir. Bağlı ürün verilerine erişim rehberi cihaz kullanıcısının veri taleplerini açıklar. Burada ise mevcut veri işleme hizmetinden çıkış, taşınabilir veri ve dijital varlıkların alınması, sözleşmenin sona ermesi ve yeni ortamda kullanım ele alınmaktadır. İki mekanizmanın ücret kuralları birbirine aktarılmamalıdır.

Sağlayıcı geçişi sözleşmeyle engelleyebilir mi?

M.23, ticari, teknik, sözleşmesel ve organizasyonel geçiş engellerinin kaldırılmasını ister. Müşteri aynı hizmet türünü başka sağlayıcıdan alabilmeli veya kendi tesisindeki bilgi işlem altyapısına geçebilmelidir. Ücretsiz hizmet katmanından yararlanılmış olması da taşınabilir verilerin alınmasının önüne genel bir engel olarak konulamaz. Geçiş hakkı yalnız ilk satın alma anında değil, hizmet ilişkisinin sona erdirilmesi hazırlanırken de dikkate alınır.

M.25/1, geçişteki müşteri hakları ve sağlayıcı yükümlülüklerinin yazılı sözleşmede açıkça gösterilmesini zorunlu kılar. Metin, imza öncesinde müşterinin saklayıp çoğaltabileceği şekilde sunulmalıdır. Sürekli değiştirilen ve önceki sürümü gösterilmeyen bir internet sayfasına genel atıf yapılması, imzalanan koşulların ispatını zorlaştırır. Sözleşme, geçiş eki, tarife ve teknik veri listesi aynı sürümle arşivlenmelidir.

Geçiş talebi için kullanılan destek kaydı, sona erme bildirimi ve yeni sağlayıcıya verilen yetki birbirinden ayrılır. Teknik ekipten fiyat istemek her durumda sözleşmesel geçiş bildirimini oluşturmaz. Müşteri kararını ve hedefini açık belirtmelidir. Sağlayıcı da bildirim kanalını erişilmez hâle getirerek veya talebi ilgisiz onaylara bağlayarak kanuni hakkı etkisizleştirmemelidir. Dosyada talebin tarihi, alındığı kanal ve kapsamı görünür olmalıdır.

İki ay, 30 gün ve 14 iş günü nasıl ayrılır?

M.25/2-d uyarınca geçişin başlatılması için öngörülen azami bildirim süresi iki aydır. Bu, her dosyada iki ay beklemenin zorunlu olduğu anlamına gelmez; daha kısa süre kararlaştırılabilir. İki ayın doğrudan 60 gün olarak yazılması da takvim hesabını değiştirebilir. Sözleşmedeki süre birimi korunmalı ve başlangıç kaydı belirlenmelidir. Bildirim dönemi ile fiilî veri aktarımının süresi aynı değildir.

M.25/2-a, bildirim döneminden sonra başlatılacak zorunlu geçiş dönemini olağan durumda en fazla 30 takvim günüyle sınırlar. Sağlayıcı bu dönemde makul yardım sunar, hizmetin sürekliliğini koruyacak özeni gösterir, bilinen süreklilik risklerini açıklar ve yüksek veri güvenliği sağlar. Bu yüzden geçiş talebi alındığı gün hizmetin kapatılması, veri taşınmasına yardımcı olma yükümlülüğüyle bağdaşan varsayılan yöntem değildir.

M.25/4, 30 günlük dönemde geçişin teknik olarak uygulanamaz olması için özel yol düzenler. Sağlayıcı, geçiş talebinin yapılmasından itibaren 14 iş günü içinde müşteriyi bilgilendirir; teknik gerekçeyi açıklar ve yedi ayı aşmayan alternatif geçiş süresini belirtir. Her karmaşık proje kendiliğinden yedi aylık hak doğurmaz. Personel yoğunluğu veya ticari tercih, somut teknik uygulanamazlığın açıklanmasının yerine geçirilmemelidir.

M.25/5 ayrıca müşteriye, kendi amaçlarına daha uygun gördüğü süre için geçiş dönemini bir kez uzatma hakkı veren hükmün sözleşmede bulunmasını ister. Sağlayıcının teknik gerekçeli uzatmasıyla müşterinin talep ettiği uzatma farklıdır. Taraflar hangi mekanizmanın işletildiğini yazmalıdır. Yeni takvimin oluşturulması, aktarılacak veri listesinin ve hizmet sürekliliği tedbirlerinin de güncellenmesini gerektirir.

Hangi veriler ve dijital varlıklar taşınır?

M.25/2-e, taşınabilecek bütün veri ve dijital varlık kategorilerinin kapsamlı olarak gösterilmesini ister. En azından dışa aktarılabilir veriler bu listede bulunmalıdır. M.2’deki tanım, hizmetin müşteri tarafından kullanımıyla doğan veya birlikte üretilen girdi, çıktı ve ilgili üstverileri kapsar; sağlayıcının fikrî hak veya ticari sırla korunan verilerini ayırır. Bu nedenle yalnız müşterinin son yüklediği dosyaları teslim etmek her hizmette tam bir çıkış dosyası oluşturmaz.

Veri listesi, dosya adı düzeyinden daha işlevsel hazırlanmalıdır. Müşteriye ait kayıtlar, işlem tarihçesi, ilişki tabloları, yapılandırmalar ve taşınabilir uygulama varlıkları somut hizmete göre sınıflandırılır. Bununla birlikte müşteriye bütün sağlayıcı yazılımının kaynak kodunun devredildiği ileri sürülemez. Yazılım üzerindeki fikrî haklar ile müşterinin verisini taşıma hakkı farklıdır. Sözleşme, izin verilen veri kullanımıyla yazılım lisansını ayrı göstermelidir.

M.25/2-f, sağlayıcının iç işleyişine özgü ve ticari sır riski nedeniyle dışarıda bırakılan veri kategorilerinin de kapsamlı biçimde belirtilmesini öngörür. İstisnalar geçişi engellememeli veya geciktirmemelidir. Sağlayıcının sonradan bütün kayıtları ticari sır ilan etmesi yerine, hangi veri kategorisinin neden dışarıda kaldığı açıklanmalıdır. Müşteri bakımından kritik iş verisinin gerçekten taşınabilir kategoride bulunup bulunmadığı sözleşme imzalanırken kontrol edilmelidir.

Yeni sistemin tamamen aynı çalışması garanti edilir mi?

M.30, teknik yükümlülükleri hizmet türüne göre ayırır. Altyapıyla sınırlı ölçeklenebilir kaynak sağlayıcıları, aynı hizmet türüne geçişte işlevsel eşdeğerliğin elde edilmesini kolaylaştırmak için güçleri dahilindeki makul önlemleri alır. İşlevsel eşdeğerlik, ortak özellikler yönünden aynı girdiye maddi olarak karşılaştırılabilir sonuç alınmasıyla ilişkilidir; bütün ürünlerin bütün fonksiyonlarının birebir kopyalanacağı garantisi değildir.

Diğer veri işleme hizmetlerinde m.30/2, geçişi kolaylaştıracak açık arayüzlerin müşterilere ve ilgili hedef sağlayıcılara eşit biçimde ve ücretsiz sağlanmasını düzenler. İlgili ortak şartname veya standartların bulunmadığı aynı tür hizmet geçişlerinde m.30/5, talep üzerine yapılandırılmış, yaygın kullanılan, makinece okunabilir dışa aktarımı öngörür. Yalnız ekran görüntüsü veya okunamayan özel biçim verilmesi, taşınabilirlik ihtiyacını her durumda karşılamaz.

M.30/6, sağlayıcıya yeni teknoloji geliştirme veya fikrî hak ve ticari sırla korunan dijital varlıkları açıklama yükümlülüğü getirmez; güvenlik ve hizmet bütünlüğü de korunur. M.27 uyarınca kaynak sağlayıcı, hedef sağlayıcı ve diğer taraflar iyi niyetle iş birliği yapmalıdır. Müşterinin erişim yetkilerini sağlamaması veya hedef ortamı hazırlamaması da teknik planlamada ele alınır. Geçişin ortak çalışma gerektirmesi, kaynak sağlayıcının açık yükümlülüklerini ortadan kaldırmaz.

2026 geçiş bedeli ile 2027 ücret yasağı

M.29/1 uyarınca 12 Ocak 2027’den itibaren geçiş işlemi için geçiş ücreti alınamaz. M.29/2–3 ise önceki dönemde azaltılmış ücretin sağlayıcının ilgili geçişle doğrudan bağlantılı maliyetini aşamayacağını düzenler. “Çıkış ücreti”, “taşıma paketi” veya “veri teslim bedeli” adlandırması tek başına işlemin niteliğini değiştirmez. Ücret, neyin karşılığı olduğuna göre değerlendirilmelidir.

M.2’de geçiş ücreti tanımı, olağan hizmet bedelleri ve erken sona erdirme yaptırımlarından ayrılmıştır. Dolayısıyla 2027’de geçiş ücretinin kaldırılması, bütün abonelik borçlarının ve erken sona erme hükümlerinin otomatik silindiği anlamına gelmez. Bu bedellerin başka kurallar bakımından geçerliliği ayrıca incelenir. M.29/4, standart hizmet ücretleri, erken sona erdirme bedelleri ve dönem içinde alınabilecek azaltılmış geçiş ücretleri hakkında sözleşme öncesi açık bilgi verilmesini ister.

M.34/2’de birden fazla veri işleme hizmetinin paralel kullanımı için farklı ücret kuralı vardır: veri çıkış maliyetinin yansıtılması mümkündür, fakat gerçek çıkış maliyeti aşılamaz. Kalıcı çoklu bulut kullanımıyla sağlayıcıdan tamamen ayrılmaya yönelik geçiş aynı işlem değildir. Faturaya itiraz hazırlanırken veri hareketinin amacı, ilgili dönem, birim hesap ve hizmet türü açıklanmalıdır. Yalnız faturada veri çıkışı yazması bütün bedeli yasak veya hukuka uygun saymak için yeterli değildir.

Özel geliştirme ve test hizmeti istisnaları

M.31/1, temel özelliklerinin çoğu tek müşterinin özel ihtiyaçlarına göre geliştirilmiş veya bütün bileşenleri tek müşteri için oluşturulmuş ve sağlayıcının kataloğunda geniş ticari ölçekte sunulmayan hizmetlerde belirli yükümlülükleri dışarıda bırakır. İstisna m.23-d, m.29 ve m.30/1,3 için düzenlenmiştir. Bu, bölümün tamamının uygulanmadığı anlamına gelmez. Standart SaaS ürününe müşterinin logosunun eklenmesi de özel geliştirme istisnasını kendiliğinden oluşturmaz.

M.31/2, sınırlı süreyle test ve değerlendirme amacıyla sunulan üretim dışı sürümleri bölüm yükümlülüklerinden ayırır. Sürekli gerçek iş akışında kullanılan hizmete yalnız demo adı verilmesi koşulları karşılamaz. M.31/3 gereğince hangi yükümlülüklerin uygulanmadığı sözleşme öncesinde müşteriye bildirilmelidir. İstisnaya dayanılacaksa teknik ve ticari özellikler, sözleşme ve fiilî kullanım birbiriyle uyumlu olmalıdır.

Geçiş tamamlanınca veri ne zaman silinir?

M.25/2-g, kararlaştırılan geçiş dönemi bittikten sonra en az 30 takvim günlük veri alma süresi tanır. M.25/2-h, başarılı geçiş gerçekleşmiş olması koşuluyla bu sürenin veya daha ileri bir tarihte biten kararlaştırılmış dönemin sonunda ilgili dışa aktarılabilir veri ve dijital varlıkların tam silinmesini güvenceye alan sözleşme hükmünü ister. Müşterinin son erişim talebi ile silme onayı karıştırılmamalıdır. Silme, aktarım doğrulanmadan aceleyle yapılacak ilk işlem değildir.

Üstverilerin, erişim yetkilerinin ve dosya bütünlüğünün kontrolü önerilen teknik kabul adımlarıdır; bunların her biri Tüzükte adı geçen zorunlu bir form değildir. Uygulanabilir başka saklama veya kişisel veri yükümlülükleri de ayrıca değerlendirilir. KVKK kapsamında silme ve yok etme ile Data Act çıkış süreci aynı hukuki mekanizma olarak sunulmamalıdır.

Geçiş talebi nasıl hazırlanmalı?

Talep, müşteri ve sözleşme numarasını, ilgili hizmeti, hedef sağlayıcıyı veya kurum içi altyapıya geçiş kararını, taşınacak veri kategorilerini ve istenen başlangıç takvimini belirtmelidir. M.25/3, başka sağlayıcıya geçişte gerekli sağlayıcı bilgilerinin verilmesini düzenler. Sağlayıcıdan geçiş yöntemleri, bilinen teknik sınırlamalar, formatların güncel kaydı ve kalemli ücret açıklaması istenir. Bunlar m.26 ve m.29’daki bilgilendirmeyle ilişkilidir.

Müşteri ile veri işleyenin güvenlik rolleri yazılı kayda bağlanmalıdır. Veri sorumlusu ve veri işleyenin güvenlik sorumluluğu ayrı inceleme gerektirir. Geçiş yazısı, korunan kayıtları yetkisiz kişiye teslim etme talimatına dönüşmemelidir. Yetkilendirilen teknik ekibin hangi verilere erişeceği sınırlandırılır; aktarım alındıları ve kabul kayıtları korunur.

Geçiş engellenirse başvuru ve delil dosyası

Data Act m.38, haklarının ihlal edildiğini düşünen gerçek ve tüzel kişilere ilgili üye devletteki yetkili makama şikâyet hakkı tanır. Maddede mutat mesken, çalışma yeri veya kuruluş yeri bağlantıları gösterilir. Veri koordinatörü, istek üzerine başvurunun doğru yetkili makama yönlendirilmesi için gerekli bilgiyi sağlar. Bu hak, diğer idari ve yargısal başvuru yollarını ortadan kaldırmaz. Türkiye’deki herhangi bir kuruma yapılan başvurunun kendiliğinden bu usulün yerine geçtiği kabul edilmemelidir.

Şikâyet dosyasında yalnız sağlayıcının adı değil, ihlal edildiği ileri sürülen yükümlülük gösterilmelidir. Bildirime cevap verilmemesi, geçiş süresinin gerekçesiz uzatılması, taşınabilir veri kategorilerinin teslim edilmemesi ve maliyeti aşan geçiş ücreti farklı iddialardır. Her iddia için sözleşmedeki ilgili bölüm, tarihli yazışma, ücret hesabı veya teknik kayıt eşleştirilir. Hizmet kesintisi riski varsa bunun iş süreçlerine etkisi somutlaştırılır; gerçekleşmemiş zarar tutarları kesin alacak gibi yazılmaz.

M.39, yetkili makamın bağlayıcı kararlarına karşı etkili yargısal başvuru hakkını düzenler. Makamın şikâyet üzerine işlem yapmaması hâlinde de ulusal hukuka göre yargısal yol veya uygun uzmanlığa sahip tarafsız inceleme mekanizması bulunmalıdır. Başvurunun yapıldığı devletin usul ve süreleri ayrıca kontrol edilir. Bu aşamada sözleşmesel tazminat talebi, idari denetim ve geçişin fiilen tamamlanması için gereken teknik iş birliği ayrı takip edilir.

Önerilen kapanış kaydı; teslim edilen veri kategorilerini, dosya biçimlerini, alınan son yedeğin zamanını, yeni sistemde yapılan doğrulamaları ve henüz giderilmemiş eksikleri birlikte gösterir. Müşterinin kabul kaydı, erişemediği veriyi teslim almış gibi düzenlenmemelidir. Sağlayıcının silme kaydı da hangi veri kümesini hangi tarihte kapsadığını açıklamalıdır. Böylece gelecekteki ücret veya veri kaybı tartışmasında tarafların yalnız çelişen beyanlarına değil, aynı tarihli işlem kayıtlarına başvurulabilir.

Sık sorulan sorular

Bulut sağlayıcısı değiştirmede iki ay beklemek zorunlu mu?

Hayır. M.25/2-d iki aylık üst sınır koyar. Sözleşmede daha kısa süre belirlenebilir; olağan aktarım dönemi bu bildirimden ayrı değerlendirilir.

Teknik geçişin normal süresi ne kadar?

M.25/2-a gereğince bildirim döneminden sonra en fazla 30 takvim günüdür. Gerekçeli teknik uygulanamazlık ve müşterinin uzatma hakkı ayrıca düzenlenmiştir.

Sağlayıcı her geçiş için yedi ay isteyebilir mi?

Hayır. M.25/4 kapsamında teknik uygulanamazlığı gerekçelendirmeli, talebin yapılmasından itibaren 14 iş gününde bildirmeli ve alternatif süreyi belirtmelidir.

Geçiş sırasında hizmet devam eder mi?

Sağlayıcı sözleşmesel fonksiyonları sürdürmek, iş sürekliliği için özen göstermek ve güvenliği korumakla yükümlüdür. Bilinen süreklilik riskleri açıklanmalıdır.

2026’da bütün veri taşıma ücretleri yasak mı?

Hayır. Kapsam içindeki azaltılmış geçiş ücreti doğrudan maliyeti aşamaz. Genel ücret yasağı 12 Ocak 2027’de başlar; özel istisnalar ayrıca kontrol edilir.

2027’de abonelik borçları da silinir mi?

Hayır. Geçiş ücreti yasağı, olağan hizmet ücretleri ve erken sona erdirme bedelleriyle aynı şey değildir. Bu kalemlerin geçerliliği ayrıca değerlendirilir.

Geçiş sonrası veriyi alma süresi var mı?

M.25/2-g, geçiş dönemi bittikten sonra en az 30 takvim günü öngörür. Silme ve başarılı geçiş koşulları bu süreden ayrı ele alınır.

Tek müşteriye özel yazılım bütün kurallardan muaf mı?

Hayır. M.31/1 yalnız sayılan yükümlülükler için özel rejim getirir; teknik ve ticari koşulların gerçekten sağlanması gerekir.

Türkiye’deki SaaS sağlayıcısı etkilenir mi?

Birlikteki müşteriye tanım kapsamındaki veri işleme hizmeti sunuyorsa m.1/3-f değerlendirilir. Yalnız şirketin kuruluş ülkesi üzerinden kapsam belirlenmez.

Yeni sağlayıcı bütün eski özellikleri kopyalamak zorunda mı?

Hayır. İşlevsel eşdeğerlik hizmet türüne ve ortak özelliklere bağlıdır. Tüzük yeni teknoloji geliştirme veya korunan kaynak kodunu devretme yönünde sınırsız yükümlülük kurmaz.

Resmî kaynaklar ve kapsam

EUR-Lex — Data Act tam metni, m.1–2, 23–31, 34 ve 50; Avrupa Komisyonu — veri işleme hizmetleri arasında geçiş açıklaması. Süre ve ücret hükümleri resmî Tüzükten, uygulama açıklamaları Komisyon kaynağından kontrol edilmiştir. Teknik kabul önerileri kanunda zorunlu form olarak gösterilmemektedir.