EUPL 1.2 Yazılımı Değiştirmeden SaaS Sunmak: Kaynak Kod Erişimi Gerekir mi?
EUPL 1.2 kapsamındaki yazılımı değiştirmeden hizmet olarak sunmak, kaynak kod yükümlülüğünü tek başına ortadan kaldırmaz. Lisansın 1. maddesi dağıtım veya iletimi yalnız dosya kopyası vermekle sınırlamaz; eserin temel işlevlerine başka gerçek veya tüzel kişinin erişimini sağlamayı da tanıma alır. Madde 3 ve 5 kaynak kodunun sağlanmasını veya kolay ve ücretsiz erişilen bir deponun gösterilmesini düzenler. Bu nedenle “müşteri programı indirmiyor” veya “kodu hiç değiştirmedik” açıklaması tek başına yeterli değildir.
EUPL bir yazılım lisansıdır; bütün kamu yazılımlarını veya bütün Avrupa kaynaklı ürünleri kendiliğinden açık kaynak yapan genel kanun değildir. Önce somut eserin bu izinle sunulduğu doğrulanır. Türkiye’deki hizmet sağlayıcı bakımından hangi kodun kapsama girdiği, müşterinin hangi işleve eriştiği ve uygulanacak hukuk ayrı belirlenir. FSEK m.48 ve m.52 ruhsatın kapsamının kurulmasında; MÖHUK m.23 ve m.28 sınır aşan hak ile sözleşme ayrımında önem taşır.
EUPL adı hangi yazılım üzerinde gerçekten kullanılıyor?
Avrupa Komisyonunun resmî EUPL sayfası 1.2 sürümünün kabul edilen metinlerini yayımlar. İnceleme için kullanılan paketin telif bildirimi, lisans dosyası ve sürüm kaydı alınmalıdır. Bir kamu portalından indirilen her dosyanın EUPL kapsamında olduğu varsayılmaz. Sayfanın erişime açık olması da kaynakların istenen koşullarla kullanılabileceği anlamına gelmez. Hak sahibinin hangi eseri hangi lisansla sunduğu açıkça gösterilmelidir.
Lisansın hak sahibi kamu kurumu olmak zorunda değildir. Komisyonun EUPL tanıtımı, lisansın Avrupa kurumları veya vatandaşlarıyla sınırlı olmadığını ve dünya genelinde kullanılabildiğini belirtir. Bu nedenle Türk yazılım şirketinin EUPL ile karşılaşması için müşterisinin mutlaka Avrupa’da bulunması gerekmez. Bununla birlikte lisansın adından hareketle kamu desteği, resmî ortaklık veya kurum onayı iddiası kurulamaz. Kullanma yetkisiyle tanıtımda kurum adını kullanma yetkisi farklıdır.
Aynı ürün içinde EUPL olmayan kitaplıklar, bağımsız servisler ve ayrı veri kümeleri bulunabilir. Envanter bunları tek bir lisans başlığı altında eritmemelidir. EUPL kapsamındaki özgün eser ve onun değiştirilmiş sürümleri belirlenir. Başka parçaların kaynaklarının verilip verilmeyeceği, kendi hukuki durumu ve kapsam içi eserle ilişkisi üzerinden incelenir. Ürünün tamamına rastgele bir lisans etiketi koymak, birbirinden farklı hakları müşteriye geçirmez.
Hizmet sunumu neden dosya tesliminden daha geniş incelenir?
EUPL 1.2 madde 1 çevrimiçi veya çevrimdışı kopya sağlanmasını ve eserin temel işlevlerine erişim verilmesini birlikte tanımlar. Bu ikinci unsur, sunucuda çalışan yazılımın müşteri tarafından kullanılmasını incelemeyi gerektirir. Hizmete SaaS, yönetilen uygulama veya platform denmesi tek başına sonucu belirlemez. Müşterinin gerçekten hangi işlevi kullandığı açıklanmalıdır. Paket indirme düğmesinin bulunmaması, tanımdaki erişim unsurunu ortadan kaldırmaz.
Mimari dosyada yalnız sunucu isimlerini listelemek yeterli değildir. Kullanıcının arayüzden yaptığı işlem, uygulamanın hangi bileşenini çalıştırdığı ve sonuçların nasıl döndüğü gösterilmelidir. EUPL kapsamındaki yazılımın temel işlevi müşteriye sunuluyorsa, başka arayüz veya marka altında çalışması bu olguyu değiştirmez. Buna karşılık şirkette kullanılan her iç araç, müşteriyle bir hizmet sözleşmesi yapılmış diye otomatik olarak müşteriye iletilmiş sayılmamalıdır. İşlev erişimi somut biçimde ayrılır.
Programın yalnız şirket içinde çalıştırılıp onunla hazırlanmış bir raporun müşteriye verilmesiyle, müşterinin programın temel işlevini kendisinin kullanabilmesi aynı işlem olarak ele alınmamalıdır. Çıktının niteliği ve hizmetin gerçek işleyişi incelenir. Bu ayrım sözleşmedeki genel “hizmet” kelimesinden çözülemez. Erişim kayıtları, iş akışı ve müşteriye tanınan yetkiler, hangi eserin hangi biçimde iletildiğini açıklamak için birlikte değerlendirilir.
Değiştirilmemiş sürüm için de kaynak kapsamı belirlenir
EUPL madde 5, hem özgün eserlerin hem türev eserlerin dağıtım veya iletimini düzenler. Bu nedenle inceleme yalnız şirkette değişiklik yapılıp yapılmadığı sorusuyla kapatılamaz. Hizmette doğrudan kullanılan özgün sürüm de tanım içindeki iletime konu olabilir. Hangi kaynak sürümünün müşterinin kullandığı hizmete karşılık geldiği belirlenmelidir. Her açık kaynak lisansına başka bir lisansın değişiklik şartını taşımak yanlış sonuç üretir.
Değişiklik yapılmadığında kaynak erişimini özgün deponun belirli sürümüne bağlamak pratik bir yöntem olabilir; ancak depo adresinin gerçek ve yeterli erişim sağladığı doğrulanmalıdır. Projenin yalnız ana sayfasını göstermek, hangi kodun hizmette kullanıldığını açıklamayabilir. Depo taşınmış, sürüm kaldırılmış veya erişim kapatılmışsa müşterinin önüne çalışmayan adres bırakılmamalıdır. Sağlayıcı, kendi hizmetiyle kaynak erişimi arasındaki bağlantıyı izlemelidir.
Şirkette yapılan yama, çeviri veya uyarlama varsa özgün depoya verilen bağlantının bu değişiklikleri içerip içermediği ayrıca kontrol edilir. Özgün sürümün kaynaklarını sunup hizmette kullanılan farklı sürümü görünmez bırakmak, kapsam incelemesini eksik bırakır. Değişikliklerin hangi dosyalara uygulandığı ve teslim edilen kaynaklarda nasıl gösterildiği kaydedilir. Programın ticari adını değiştirmekle kodun hukuki geçmişi veya önceki hak kayıtları silinmez.
EUPL madde 5, türev eserde değişiklik yapıldığına ve değişiklik tarihine ilişkin belirgin bildirim bulunmasını da ister. Bunun işlevi, müşterinin özgün sürümle hizmet sağlayıcısının müdahalesini ayırt edebilmesidir. Kaynak paketindeki sürüm notuyla hizmet arayüzünde görünen sürüm birbirini açıklamalıdır. Bir hata nedeniyle talep doğduğunda hangi kodun özgün projeden geldiği ve hangi kısmın sağlayıcı tarafından değiştirildiği bu kayıtlardan anlaşılır. Telif ve lisans bildirimlerinin korunması, bütün değişikliklerin özgün geliştiriciye aitmiş gibi sunulması anlamına gelmez. Kapsamlı bir değişiklik kaydı, teslim edilen kaynakların doğru programa ait olduğunu doğrulamaya da yardım eder.
Kaynak kod erişimi nasıl sağlanır ve ne kadar sürer?
Madde 3 ve 5, makinece okunabilir kaynak kopyasının sağlanmasını veya kaynağın kolay ve ücretsiz erişildiği bir deponun belirtilmesini düzenler. Depo yolu seçildiğinde erişimin, sağlayıcı eseri dağıtmaya veya iletmeye devam ettiği süre boyunca bulunması gerekir. Metinde burada bütün durumlar için tek başına “üç yıl” kuralı yazılı değildir. Başka lisansların belirli kaynak teklif süreleri EUPL’ye aynen taşınmamalıdır.
Kaynak bağlantısının yalnız şirketin yöneticilerinin girebildiği özel alanda bulunmasıyla alıcıya gerçek erişim verilmesi aynı değildir. Hangi kullanıcıların erişebildiği, gerekli bilginin nerede gösterildiği ve bağlantının çalışıp çalışmadığı kontrol edilmelidir. Şart, müşterinin ayrıca ücretli geliştirme paketi almasını gerektiren bir kapıya dönüştürülmemelidir. Kaynağa ücretsiz erişim ile ücretli barındırma, işletim veya destek hizmeti birbirinden ayrılır.
Hizmetin sürümü güncellendiğinde kaynak erişimi de o değişiklikle birlikte değerlendirilir. Güncelleme kaydı hangi tarihte hangi kodun kullanıldığını gösterebilmelidir. Müşterilerin farklı sürümlerde kaldığı bir hizmette tek depo dalının bütün geçmiş teslimleri açıkladığı varsayılmaz. Saklanması gereken dönem ve materyal gerçek iletim kapsamına göre belirlenir. Hizmet sona erdirilirken kaynakla ilgili gerçekleşmiş borçların durumu, ayrı veri teslimi ve saklama yükümlülükleriyle birlikte fakat birbirine karıştırılmadan incelenir.
Müşteri verileri kaynak kod paketi değildir
EUPL kaynak kodu, eseri incelemek ve değiştirmek için elverişli insan tarafından okunabilir biçim üzerinden tanımlar. Müşterilerin kişisel verileri, üretim veritabanları veya erişim parolaları bu tanım nedeniyle topluca yayımlanacak veri hâline gelmez. Kaynak paketine yanlışlıkla eklenmiş kimlik bilgileri ayıklanmalıdır. Gerekli program dosyalarıyla canlı ortama ait sırların ayrılması, lisans yükümlülüğünden kaçınmak için kaynakların tamamının saklanması anlamına da gelmemelidir.
KVKK m.4 ve m.12 kişisel verilerin amaçla bağlantılı ve ölçülü işlenmesi ile güvenliğine ilişkin yükümlülükler getirir. Lisans gereği kaynak sağlanması, bu verilerin herhangi bir kişiye açıklanması için genel bir hukuki izin oluşturmaz. Örnek yapılandırma dosyasında gerçek müşteri anahtarı bulunmasıyla programın çalışması için gereken yapılandırma şemasının verilmesi farklıdır. Paket hazırlama sürecinde bu ayrım teknik olarak doğrulanmalıdır.
Kaynağı isteyen kişiye müşteri verisi verilmeyecek olması, doğru kod sürümünün de verilmeyeceği anlamına gelmez. Sağlayıcı hangi dosyayı neden kapsam dışında tuttuğunu açıklayabilmelidir. Bağımsız şirket kodu iddiası da yalnız ticari sır etiketine dayanmamalıdır; kapsam içi eserle teknik ve hukuki ilişki gösterilmelidir. Bir dosyanın hassas bilgi içermesi ile dosyanın kendisinin lisans gereği sağlanacak kaynak olup olmaması iki ayrı inceleme konusudur.
Türev eser sınırı bütün şirket yazılımını otomatik açmaz
EUPL madde 1, hangi değişiklik veya bağımlılık derecesinin türev eser oluşturduğunu kendi başına ayrıntılı biçimde tanımlamaz; madde 15’te belirtilen ülkenin telif hukukuna işaret eder. Bu nedenle aynı sunucuda çalışan bütün yazılımların kendiliğinden EUPL kapsamına girdiği söylenemez. Hangi kodun özgün eseri işlediği veya ona dayandığı belirlenmelidir. Teknik yakınlık tek başına hukuki kapsamın tamamını çözmez.
Ayrı servis, eklenti, arayüz ve değiştirilmiş çekirdek kod farklı ilişkiler taşıyabilir. Hukuki değerlendirme için bu bileşenlerin bağımlılık ve veri alışverişi açıklanır. Yalnız mikroservis adı verilmesi de gerçek kod aktarımını veya işlenmeyi ortadan kaldırmaz. Şirketin kendi kodunu saklayabilmek için dosyaları farklı klasöre taşıması, hak ilişkisinin otomatik değiştiği anlamına gelmez. İnceleme etiket ve paketleme tercihinin ötesindeki somut içerikten yapılır.
Eser sahipliği zinciri bakımından EUPL madde 6, özgün lisans veren ve katkı verenlerin yetkilerine ilişkin beyanlar içerir. Bunun tedarik dosyasındaki karşılığı, kodun hangi kaynaktan alındığının ve eklenen katkının kime ait olduğunun kaydedilmesidir. Yazılım telif hakları bakımından başkasına ait kodun yetkisiz eklenmesi, ürünün açık kaynak etiketi taşımasıyla izinli hâle gelmez. İzin kapsamı her hak sahibi bakımından açıklanmalıdır.
Hizmet sözleşmesi kaynak haklarını daraltabilir mi?
EUPL madde 5, kapsam içi eserin veya türev eserin lisans koşullarını değiştiren ya da daraltan ek şartların yüklenmesini yasaklar. Hizmet sözleşmesine konulan genel gizlilik veya yeniden dağıtım yasağı bu kapsamla karşılaştırılmalıdır. Müşteri verilerinin gizliliği ile EUPL kaynakları üzerindeki lisans yetkileri aynı başlık altında belirsiz bırakılmamalıdır. Sözleşmede açık kaynak parçaların hukuki durumu anlaşılır biçimde gösterilir.
Madde 9, lisansla uyumlu ek hizmet veya yükümlülük anlaşmalarına imkân tanır. Ancak bunu üstlenen kişi kendi adına ve sorumluluğuyla hareket eder; özgün lisans verenin veya diğer katkı verenlerin bu vaatleri üstlendiğini varsayamaz. Barındırma şirketinin erişilebilirlik, yedekleme veya destek sözü ayrı sözleşmesel borçtur. Kaynak kodun açıklanması, bu hizmetlerin ücretsiz veya süresiz sağlanacağı anlamına gelmez. Lisansla hizmet bedeli bu yüzden ayrı değerlendirilir.
Kaynakların yalnız sağlayıcının iflası veya belirli olaylar üzerine teslim edilmesini öngören kaynak kod escrow sözleşmesi de EUPL kapsamında zaten doğmuş erişim yükümlülüğünün yerine otomatik geçmez. Escrow, ayrı koşullarla koruma sağlayan sözleşmesel bir araçtır. Mevcut lisans kaynak erişimini hizmet iletimi sırasında gerektiriyorsa bunu belirsiz gelecekteki bir olaya ertelemek aynı ifa değildir. Hangi kodun hangi hukuki nedenle tutulduğu açıkça ayrılmalıdır.
Uyumlu lisans listesi sınırsız lisans değiştirme yetkisi midir?
EUPL madde 5, hem kapsam içi esere hem uyumlu lisanslı başka esere dayanan türev eserler için özel uyumluluk düzeni kurar. İlgili lisansın ekte listelenmesi tek başına yeterli değildir; hükümdeki birleşim ve türev eser koşulları incelenir. Bir belgeye yeni lisans adı yazmak veya rastgele dosya eklemekle kaynak erişimi borcunun ortadan kalktığı söylenemez. Somut eser ilişkisi ve kullanılan uyumluluk yolunun koşulları gösterilmelidir.
Bu inceleme, EUPL’nin kendi koşullarıyla hizmet sunan sağlayıcının kaynak erişimine odaklanır. Ayrı bir uyumlu lisans yolu kullanıldığı ileri sürülüyorsa bunun kayıtları ayrıca hazırlanmalıdır. Ürün üzerinde üçüncü kişilerin bağımsız hakları varsa onların koşulları da kontrol edilir. Müşteriye “açık kaynak uyumlu” denmesi bütün lisansların birlikte uygulandığı ürün için yeterli hukuki açıklama değildir. Hangi hakla hangi dağıtımın yapıldığı belirtilmelidir.
Uygulanacak hukuk ve ihlalin sonucu
EUPL madde 15, tarafların özel anlaşması saklı kalmak üzere lisans verenin ilgili AB üyesi devletteki bağlantısına göre hukuk belirler; bu bağlantı bulunmuyorsa Belçika hukukunu öngörür. Türkiye’de faaliyet gösterilmesi nedeniyle lisansın bu hükmü doğrudan yok sayılmaz. MÖHUK m.28 kapsamında fikrî hak sözleşmeleri ile m.23 kapsamındaki koruma hukuku ayrı incelenir. Sözleşme yorumu ile Türkiye’de telif hakkının korunmasına ilişkin talep aynı bağlantı kuralına indirgenmemelidir.
EUPL madde 12, koşul ihlalinde lisans ve verilen hakların otomatik sona ermesini düzenler; lisansa tam uyan sonraki alıcıların izinlerini bu nedenle sona erdirmez. Metinde başka lisanslardaki belirli 30 veya 60 günlük geri kazanma düzeni yer almamaktadır. Bu yüzden sağlayıcı, bir kaynak talebi geldiğinde genel bir ücretsiz düzeltme süresi bulunduğunu varsaymamalıdır. İzin durumu, gerçekleşmiş ihlal ve çözüm için gereken ek hukuki işlem ayrı değerlendirilir.
İncelemeye hangi belgelerle başlanır?
Dosyada hizmetteki program sürümü, lisans bildirimi, müşteri erişiminin kapsamı, kaynak adresi ve erişim kayıtları bulunmalıdır. Müşterinin talebi ile sağlayıcının cevabı tam içeriğiyle saklanır. HMK m.199 elektronik kayıtların belge niteliğini kabul eder; ileride kaybolacak veya sunulması önemli ölçüde güçleşecek delil bakımından m.400 koşulları değerlendirilir. Paketlerdeki gerçek kodla teklif ve sözleşmede verilen lisans bilgisinin uyuşup uyuşmadığı karşılaştırılmalıdır.
Talep hazırlanırken “bütün sistemin kaynakları” gibi belirsiz bir ifade yerine EUPL kapsamındaki eser ve kullanılan sürüm gösterilir. Kaynağın erişilebilir olmadığı ileri sürülüyorsa tarih, adres ve karşılaşılan engel kaydedilir. Yayımlanmış paket eksikse eksikliğin hangi bileşene ilişkin olduğu açıklanır. Böylece kaynak erişim talebi, müşteri verisi teslimi, ticari sır tartışması ve bakım hizmeti alacağı tek bir belirsiz başlık altında toplanmamış olur.
Sık sorulan sorular
EUPL yazılım hiç değiştirilmediyse kaynak sağlamak gerekmez mi?
Değişiklik yapılmamış olması tek başına muafiyet değildir. Madde 5 özgün ve türev eserlerin iletimini düzenler. Temel işlevlere erişim sağlanması madde 1 tanımına giriyorsa kaynak yükümlülüğü ayrıca değerlendirilir.
Müşteri dosya indirmiyorsa EUPL uygulanmaz mı?
Madde 1 yalnız kopya teslimini değil temel işlevlere erişim sağlanmasını da tanıma alır. Sunucuda çalışan programın gerçek hizmet akışı incelenir; indirme düğmesinin bulunmaması tek başına belirleyici değildir.
EUPL yalnız Avrupa kamu kurumlarının kullanabileceği lisans mı?
Hayır. Komisyonun açıklaması lisansın Avrupa kurumları veya vatandaşlarıyla sınırlı olmadığını belirtir. Buna karşılık her kamu yazılımı otomatik EUPL kapsamında değildir; somut eserin gerçek bildirimi görülmelidir.
Kaynak kod için ayrıca ücretli paket satılabilir mi?
Depo yolu kullanıldığında EUPL kaynağın kolay ve ücretsiz erişimini öngörür. Bu erişim, ayrıca ücretli geliştirme paketi satın alma koşuluna dönüştürülmemelidir. Barındırma ve destek hizmetinin bedeli ayrı sözleşme konusudur.
Kaynak erişimi her durumda üç yıl mı sürer?
EUPL madde 3 ve 5 depo erişimini eserin dağıtım veya iletiminin sürdüğü süreyle ilişkilendirir. Başka lisansların belirli kaynak teklif süreleri EUPL’ye otomatik aktarılmaz. Gerçek hizmet ve teslim kapsamı belirlenir.
Müşteri verileri de açık kaynak yapılmalı mı?
Hayır. Programın kaynak kodu ile müşteri verisi ve canlı erişim bilgileri ayrıdır. KVKK m.4 ve m.12 yükümlülükleri devam eder. Kaynak paketi hazırlamak kişisel verileri topluca açıklama izni oluşturmaz.
Aynı sunucudaki bütün yazılım EUPL kapsamına girer mi?
Otomatik olarak girmez. Özgün eser, türev eser ve bağımsız bileşen ilişkisi belirlenir. EUPL türev eser sınırını ilgili telif hukukuna bağlar; sunucu veya klasör ortaklığı tek başına bütün hukuki kapsamı çözmez.
Escrow anlaşması kaynak erişiminin yerine geçer mi?
Kendiliğinden geçmez. EUPL gereği hizmet sırasında doğmuş kaynak erişimini yalnız iflas gibi gelecekteki olaya ertelemek aynı ifa değildir. Escrow konusu kod ve mevcut lisans yükümlülüğü ayrı belirlenmelidir.
Türkiye’deki şirket her durumda Türk hukukuna mı tabidir?
EUPL madde 15’te hukuk seçimi düzeni bulunur. MÖHUK m.28 sözleşme, m.23 fikrî hakkın korunması bakımından ayrıca uygulanır. Şirketin Türkiye’de olması bütün ilişkilerin tek hukuka tabi olduğunu göstermez.
İhlal sonrası EUPL otomatik otuz gün verir mi?
EUPL madde 12 otomatik sona erme düzenler; başka lisanslardaki sabit geri kazanma sürelerini içermez. İhlalin giderilmesi, izin durumunun yeniden değerlendirilmesi ve geçmiş talepler ayrı ele alınmalıdır.
Resmî kaynaklar
Lisans dayanakları EUPL 1.2 resmî metni ve Komisyonun kabul edilen dil sürümleri sayfasıdır. Türkiye bakımından FSEK m.48 ve m.52, MÖHUK m.23 ve m.28, KVKK m.4 ve m.12 ile HMK m.199 ve m.400 dikkate alınmıştır. Kullanılan sürüm, temel işlev erişimi ve gerçek kaynak paketi somut dosyada birlikte doğrulanmalıdır.
İstanbul ve Mersin ofisleri
İstanbul · Polaris Plaza
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbulMersin · Profit İş Merkezi
İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/MersinHukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
