KVKK Standart Sözleşme Bildirimi Kaç Gün? 5 İş Günü Kuralı | 2026

Yurt dışındaki bulut hizmeti, e-posta altyapısı, insan kaynakları yazılımı, müşteri ilişkileri yönetimi sistemi, çağrı merkezi, analiz aracı veya grup şirketi ile veri paylaşımı kullanan işletmeler bakımından “KVKK standart sözleşme bildirimi kaç gün içinde yapılır?” sorusu doğrudan uyum riskine dönüşmektedir. 2024 yılında KVKK m.9 tamamen yenilenmiş; yeterlilik kararı bulunmayan ülkelere düzenli veri aktarımında standart sözleşmeler en önemli uygun güvence araçlarından biri hâline gelmiştir.

Standart sözleşme, Kurulun yayımladığı metinlerden uygun olanı seçilerek aktarım tarafları arasında imzalanır. Kanunun açık hükmü gereğince sözleşmenin imzalanması tek başına yeterli değildir. İmzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılması gerekir. Bu nedenle sözleşme tarihi, imza yetkisi, doğru sözleşme modülünün seçilmesi ve bildirim yönteminin ispatlanabilir biçimde tamamlanması birlikte yönetilmelidir.

• KVKK m.9/5 ne düzenliyor?
• Beş iş günü ne zaman başlar?
• Bildirimi veri sorumlusu mu veri işleyen mi yapar?
• Standart sözleşme hangi aktarımda kullanılır?
• Dört standart sözleşme türü nasıl ayrılır?
• İmza ve temsil yetkisi nasıl kontrol edilir?
• Türkçe metin zorunluluğu nedir?
• Bildirim hangi kanallardan yapılabilir?
• Süre geçirilirse hangi yaptırım uygulanır?
• Şirketler hangi kayıtları saklamalıdır?

1. KVKK m.9/5 Standart Sözleşme İçin Hangi Kuralı Getiriyor?

6698 sayılı Kanun’un “Kişisel verilerin yurt dışına aktarılması” başlıklı 9. maddesi, 7499 sayılı Kanun ile yeniden düzenlenmiş ve yeni sistem 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Yeni yapıda önce KVKK m.5 veya özel nitelikli kişisel veriler bakımından m.6’daki işleme şartlarından birinin bulunması gerekir. Bundan sonra yurt dışına aktarım için m.9’daki aktarım basamaklarından birine dayanılması zorunludur.

Yeterlilik kararı bulunmadığında ve aktarımın süreklilik arz ettiği durumlarda, Kanunun öngördüğü uygun güvencelerden biri kullanılabilir. Standart sözleşme bu uygun güvencelerden biridir. Metin, Kurul tarafından belirlenir; taraflar aktarım ilişkisinin niteliğine göre doğru sözleşmeyi seçer ve sözleşmedeki zorunlu alanları doldurur.

KVKK m.9/5 hükmü, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesini açıkça emreder. Bu nedenle bildirim, isteğe bağlı bir kayıt işlemi değildir. “Sözleşmeyi imzaladık, Kuruma ayrıca bildirmeye gerek yok” yaklaşımı Kanunun metniyle bağdaşmaz.

2. Beş İş Günlük Süre Ne Zaman Başlar?

Sürenin başlangıcında esas alınması gereken olay, standart sözleşmenin imzalanmasının tamamlanmasıdır. Tarafların farklı tarihlerde imza atması hâlinde, sözleşmenin iki taraf bakımından da tamamlandığı tarih kayıt altına alınmalıdır. Kurumun standart sözleşmelere ilişkin kamuoyu duyurusunda, bildirim süresinin denetlenebilmesi için her iki tarafın imza tarihlerinin sözleşmede belirtilmesi gerektiği özellikle vurgulanmıştır.

Kanun “beş iş günü” dediği için hesaplamada takvim günü ile iş günü karıştırılmamalıdır. Hafta sonları iş günü hesabına dahil edilmez. Resmî tatilin süre hesabına etkisi de takvim üzerinden kontrol edilmelidir. Uyum dosyasında yalnız imza tarihinin değil, bildirimin Kuruma ulaştığını gösteren kayıtların da saklanması gerekir.

Şirket içinde sözleşmenin hukuk, bilgi güvenliği, satın alma ve yetkili imza süreçlerinden geçmesi bildirim süresini uzatmaz. İç onay mekanizması, kanuni beş iş günlük süreye göre önceden tasarlanmalıdır. İmzadan sonra yeniden yönetim onayı beklenmesi, yükümlülüğü ortadan kaldırmaz.

3. Bildirimi Veri Sorumlusu mu Veri İşleyen mi Yapar?

KVKK m.9/5 hükmü “veri sorumlusu veya veri işleyen” ifadesini kullanır. Buna göre aktarım ilişkisinin taraf yapısına göre bildirim yükümlülüğü veri sorumlusu veya veri işleyen tarafından yerine getirilebilir. Ancak hangi tarafın bildirimi üstleneceği sözleşme ve iç uyum süreçlerinde açıkça belirlenmelidir.

Bir şirketin hizmet aldığı yurt dışı yazılım sağlayıcısına çalışan veya müşteri verisi aktarması, kullanılan hizmetin teknik ve hukuki modeline göre veri sorumlusundan veri işleyene aktarım niteliğinde olabilir. Buna karşılık bağımsız amaçlarla işleyen iki veri sorumlusu arasındaki aktarımda farklı standart sözleşme modeli kullanılır. Taraf sıfatları yanlış belirlenirse yalnız bildirim değil, seçilen standart sözleşmenin kendisi de hatalı olur.

Bildirim görevinin sözleşmede karşı tarafa bırakılmış olması, Türkiye’deki kuruluşun kendi uyum denetimini gereksiz hâle getirmez. Kuruma sunulan sözleşmenin doğru sürüm olduğu, imzaların tamamlandığı, bildirim tarihinin süresinde olduğu ve eklerin eksiksiz bulunduğu belgelenmelidir.

4. Standart Sözleşme Hangi Yurt Dışı Aktarımlarında Kullanılır?

Standart sözleşme, KVKK m.9’daki uygun güvence yollarından biridir. Her yabancı unsurlu işlem otomatik olarak standart sözleşme gerektirmez. Öncelikle gerçekten “kişisel verinin yurt dışına aktarılması” bulunup bulunmadığı tespit edilmelidir. Sunucunun konumu, uzaktan erişim, destek hizmeti, grup şirketi erişimi, alt işleyenler ve yedekleme mimarisi bu tespitte önemlidir.

İkinci aşamada aktarımın m.5 veya m.6 kapsamında geçerli bir işleme şartına dayanıp dayanmadığı belirlenir. Ardından yeterlilik kararı ve uygun güvence sistemi incelenir. Standart sözleşme, özellikle düzenli ve operasyonel veri akışlarında pratik bir araçtır; ancak m.9’daki diğer seçeneklerin varlığı somut aktarım modeli üzerinden değerlendirilmelidir.

KVKK uyumunu yalnız açık rıza metni imzalatmak şeklinde görmek doğru değildir. Yeni m.9 sistemi, işleme şartı ile yurt dışına aktarım mekanizmasını birbirinden ayırır. Aktarımın hukuki dayanağı dosyada açık şekilde gösterilmelidir.

5. Dört Standart Sözleşme Türü Nasıl Ayrılır?

Kişisel Verileri Koruma Kurumu dört standart sözleşme modeli yayımlamıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım. Doğru model, tarafların ticari unvanına göre değil KVKK kapsamındaki hukuki sıfatlarına göre seçilir.

Örneğin Türkiye’deki bir veri sorumlusunun yurt dışındaki hizmet sağlayıcıya yalnız talimatları doğrultusunda işlenmek üzere veri göndermesi ile iki bağımsız şirketin kendi amaçları için veri paylaşması aynı model değildir. Sözleşme türü seçilmeden önce veri akış haritası, hizmet sözleşmesi, gizlilik eki, alt işleyen listesi ve teknik mimari birlikte incelenmelidir.

Yanlış standart sözleşmenin imzalanması, “herhangi bir sözleşme imzalanmış olması” nedeniyle kendiliğinden düzelmez. Uygun güvence mekanizmasının kanuna uygun kurulması gerekir. Bu nedenle bildirim süresine odaklanırken sözleşme tipinin maddi doğruluğu ihmal edilmemelidir.

6. İmza ve Temsil Yetkisi Nasıl Kontrol Edilir?

Kurumun yayımladığı duyuruya göre standart sözleşme, aktarım taraflarınca veya tarafları temsile ve imzaya yetkili kişilerce imzalanmalıdır. İmza yetkisi bulunmayan kişinin attığı imza, standart sözleşmenin geçerliliğini doğrudan etkiler. Kuruma yapılacak bildirimde imza yetkisini gösteren belgelerin de sunulması gerektiği belirtilmiştir.

Türk şirketi bakımından güncel ticaret sicili kayıtları, imza sirküleri veya temsil yetkisini gösteren diğer belgeler; yabancı taraf bakımından ise ilgili ülke hukukuna göre temsil yetkisini doğrulayan belgeler incelenmelidir. Temsil belgesindeki kişi ile sözleşmede imza atan kişinin adı birbiriyle uyumlu olmalıdır.

Kurumsal süreçte “sözleşmeyi satın alma birimi imzaladı” veya “global ekip elektronik olarak onayladı” demek tek başına yeterli değildir. Yetkinin kaynağı ve imzanın sözleşme metniyle bağlantısı dosyada gösterilebilir olmalıdır.

7. Türkçe Metin ve Yabancı Dil Kullanımı Nasıl Olmalıdır?

Kurum, standart sözleşmenin yabancı dilde de akdedilmesi hâlinde Türkçe metnin imzalanmasına ilişkin açık kurallar yayımlamıştır. Yabancı dilde ek metin kullanılabilir; ancak Kuruma sunulan standart sözleşmenin Türkçe metni üzerindeki imzalar eksiksiz olmalıdır. Çift sütunlu Türkçe-yabancı dil düzeninde de Türkçe sütun bakımından imza gerekliliği gözetilmelidir.

Standart metindeki zorunlu hükümlerin tarafların ticari tercihine göre çıkarılması veya anlamını değiştirecek şekilde yeniden yazılması, uygun güvence niteliğini riske sokar. Taraflara özgü bilgiler, aktarım kategorileri, amaçlar, alıcı grupları, teknik ve idari tedbirler ve gerekiyorsa özel nitelikli kişisel verilere ilişkin ek önlemler doğru ve somut biçimde doldurulmalıdır.

İki dil arasındaki çelişkilerin önüne geçmek için Türkçe metin ile yabancı dil sürümü karşılaştırılmalı; unvan, adres, imzacı, veri kategorisi ve aktarım amacı alanlarında tutarsızlık bırakılmamalıdır.

8. Bildirim Hangi Yöntemlerle Yapılabilir?

Kurumun güncel duyurusunda standart sözleşme bildiriminin fiziki olarak, kayıtlı elektronik posta (KEP) üzerinden veya Kurumun Standart Sözleşme Bildirim Modülü vasıtasıyla yapılabileceği belirtilmiştir. Kullanılan kanal ne olursa olsun, bildirimin süresinde yapıldığını ispatlayan kayıt korunmalıdır.

Elektronik bildirimde sistem kayıtları, başvuru numarası ve gönderim belgesi; KEP kullanımında ileti ve teslim kayıtları; fiziki başvuruda evrak kayıt bilgisi saklanmalıdır. Uyum dosyası yalnız sözleşmeden ibaret olmamalı, bildirim zinciri de dosyanın parçası olmalıdır.

Bildirimden sonra aktarım ilişkisinde taraf, amaç, veri kategorisi veya teknik yapı değişirse mevcut sözleşmenin güncelliği yeniden değerlendirilmelidir. Özellikle yeni alt işleyen, yeni ülke veya yeni veri kategorisi eklenmesi “eski sözleşme var” denilerek geçiştirilmemelidir.

9. Beş İş Günlük Süre Geçirilirse Ne Olur?

KVKK m.18/1-d, m.9/5’teki bildirim yükümlülüğünü yerine getirmeyenler için idari para cezası öngörür. Kanun metnindeki temel aralık 50.000 TL ile 1.000.000 TL arasındadır. İdari para cezalarının uygulanacağı yıldaki yeniden değerleme etkisi ayrıca kontrol edilmelidir. Buradaki önemli nokta, yaptırımın doğrudan “beş iş günlük bildirim” yükümlülüğüne bağlanmış olmasıdır.

Kanun, bu yaptırım bakımından veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişilerini açıkça kapsar. Bu nedenle veri işleyenin “asıl sorumlu müşteri şirkettir” yaklaşımıyla yükümlülüğü yok sayması mümkün değildir.

Sürenin kaçırılması hâlinde geçmiş tarihli belge oluşturmak veya imza tarihini gerçeğe aykırı biçimde değiştirmek hukuka uygun bir çözüm değildir. Doğru yaklaşım, mevcut durumu belgelemek, gecikmenin kapsamını tespit etmek ve Kurum süreçleri bakımından hukuka uygun adımı gecikmeden atmaktır.

10. Şirketler Hangi Belgeleri Uyum Dosyasında Saklamalıdır?

• Yurt dışına veri aktarım envanteri ve veri akış haritası,
• Aktarımın dayandığı KVKK m.5 veya m.6 işleme şartı,
• Yeterlilik kararı/uygun güvence değerlendirmesi,
• Doğru modülde imzalanmış standart sözleşme,
• Her iki tarafın imza tarihleri,
• İmza ve temsil yetkisini gösteren belgeler,
• Teknik ve idari tedbirlerin güncel listesi,
• Özel nitelikli veri varsa ek önlem kayıtları,
• Kuruma beş iş günü içinde yapılan bildirim belgesi,
• Aktarım modelindeki değişikliklerin periyodik kontrol kaydı.

Bu belgeler yalnız denetim için değil, şirket içinde veri aktarımının gerçekten hangi hukuki mekanizmaya dayandığını göstermek için gereklidir. Özellikle çok sayıda SaaS uygulaması kullanan kuruluşlarda tek bir “KVKK klasörü” yerine hizmet sağlayıcı bazında aktarım dosyası oluşturulması daha denetlenebilir bir yapı sağlar.

11. İç Hukukta Birbiriyle Bağlantılı KVKK Konuları

Yurt dışı aktarım dosyası hazırlanırken Kişisel Veriler Hukuku kapsamındaki aydınlatma, veri güvenliği ve ilgili kişi hakları; Siber Güvenlik Hukuku kapsamındaki teknik-idari tedbirler ve olay yönetimi; Ticaret ve Sözleşmeler Hukuku kapsamındaki hizmet/tedarik sözleşmeleri birlikte ele alınmalıdır. Genel uygulama rehberlerine Hukuk Rehberleri bölümünden ulaşılabilir.

12. Resmî Kaynaklar

• Kişisel Verileri Koruma Kurumu – Yurt Dışına Aktarım
• Kişisel Verileri Koruma Kurumu – Standart Sözleşmeler
• Kurum – Standart Sözleşmelerde Dikkat Edilecek Hususlar
• 6698 sayılı Kişisel Verilerin Korunması Kanunu

13. Sık Sorulan Sorular

Standart sözleşme kaç iş günü içinde Kuruma bildirilir?

KVKK m.9/5 uyarınca imzalanmasından itibaren beş iş günü içinde bildirilir.

Beş günlük süre takvim günü müdür?

Hayır. Kanun açıkça “beş iş günü” ifadesini kullanır.

Standart sözleşme için Kuruldan önceden izin almak gerekir mi?

Standart sözleşme, Kanunda izin şartına bağlanan taahhütname yolundan farklıdır. Doğru standart sözleşme imzalanır ve m.9/5 uyarınca beş iş günü içinde Kuruma bildirilir.

Bildirimi yalnız veri sorumlusu mu yapabilir?

Hayır. Kanun, veri sorumlusu veya veri işleyen tarafından bildirim yapılabileceğini düzenler.

Dört standart sözleşmeden hangisi seçilir?

Seçim, veri aktaran ve veri alıcısının veri sorumlusu/veri işleyen sıfatına göre yapılır.

Yabancı dilde sözleşme imzalanabilir mi?

Yabancı dil sürümü bulunabilir; ancak Kurumun duyurusu uyarınca Türkçe standart sözleşme metninin de usulüne uygun imzalanması gerekir.

İmza yetkisi belgesi gerekli midir?

Evet. Kurum, sözleşmeyi imzalayan kişilerin temsile ve imzaya yetkili olduğunu gösteren belgelerin sunulmasını ister.

Süre geçirilirse yaptırım var mıdır?

Evet. KVKK m.18/1-d, m.9/5’teki bildirim yükümlülüğünün yerine getirilmemesini idari para cezasına bağlar.

Bulut hizmeti kullanmak her durumda yurt dışına aktarım mıdır?

Sonuç, verinin nerede işlendiği, kimlerin erişebildiği, alt işleyenler ve sistem mimarisi incelenerek belirlenir. Hizmet sağlayıcı bazında veri akışı çıkarılmalıdır.

Eski açık rıza metni yeni m.9 bakımından tek başına yeterli midir?

Yeni aktarım rejiminde yurt dışına aktarımın KVKK m.9’daki güncel mekanizmalardan birine dayanması gerekir. Eski uyum dokümanları bu nedenle yeniden kontrol edilmelidir.

14. Uygulamada İzlenecek Net Yol

Şirket, önce tüm yurt dışı veri akışlarını hizmet sağlayıcı ve ülke bazında çıkarmalı; her aktarım için KVKK m.5 veya m.6’daki işleme şartını belirlemeli; ardından m.9’daki yeterlilik ve uygun güvence basamaklarını uygulamalıdır. Standart sözleşme seçilmişse doğru modül, imza yetkisi, Türkçe metin ve ekler tamamlandıktan sonra imza tarihi kaydedilmeli ve beş iş günlük bildirim takvimi işletilmelidir.

Bu konu, yalnız bir sözleşme şablonunun doldurulması değildir. Aktarımın hukuki niteliği, teknik mimari ve ticari sözleşmeler birbiriyle uyumlu olmalıdır. Bakırcı & Keskin Hukuk Bürosu, şirketlerin KVKK uyum belgeleri ve yurt dışı veri aktarım süreçlerini somut veri akışına göre incelemektedir. Türkiye genelindeki hukuki çalışmalar Mersin’deki tek fiziksel ofisten koordine edilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →