Yazılım, SaaS ve
Bulut Sözleşmeleri

Yazılım satışı, süreli lisans, kullanıcı bazlı SaaS, işlem bazlı ücret, freemium, platform, API, beyaz etiket, yönetilen hizmet, IaaS, PaaS veya hibrit modelin tarafları ve edimleri belirlenir. Gelirin lisans, abonelik, kullanım, komisyon, bakım, uygulama veya veri hizmetinden doğması ayrı incelenir. Müşterinin kurumsal ya da tüketici olması, hizmetin Türkiye veya yurt dışına sunulması ve düzenlemeye tabi sektöre hitap etmesi yükümlülük matrisine işlenir. Çıktı; sözleşme setini, kullanıcı koşullarını, veri rolünü, fikrî hak yapısını, güvenlik ekini ve düzenleyici gereklilikleri gösteren hukukî iş modeli haritasıdır.

Teklif talebi, teknik teklif, fiyat teklifi, niyet mektubu, gizlilik sözleşmesi, deneme ortamı ve kavram kanıtlama aşaması ana sözleşmeden önce incelenir. Bağlayıcı olan ve olmayan hükümler; masraf, münhasırlık, fikrî hak, veri kullanımı, deneme sonuçları, gizlilik ve görüşmenin sona ermesi yönünden ayrılır. Tedarikçinin verdiği güvenlik, performans veya uyum beyanlarının ana sözleşmeye nasıl taşınacağı belirlenir. Sözleşme öncesi e-posta ve sunumların geniş bir taahhüde dönüşmemesi için belge önceliği ve yetkili beyan düzeni kurulur.

Gereksinim analizi, teknik mimari, tasarım, kodlama, test, kurulum, veri aktarımı, eğitim, canlıya geçiş, destek ve bakım edimleri ayrı teslim birimlerine dönüştürülür. Fonksiyonel ve fonksiyon dışı gereksinimler; performans, güvenlik, erişilebilirlik, tarayıcı veya cihaz uyumu ve entegrasyonlarla birlikte yazılır. Proje takvimi, bağımlılıklar, müşteri katkıları, gecikme, kabul, hata sınıfları ve ödeme kilometre taşları birbiriyle bağlanır. Kaynak kodu, depo geçmişi, kurulum betikleri, veri şeması, yönetim paneli ve teknik dokümantasyon teslim kapsamına açıkça dâhil edilir.

Çevik yöntem kullanılan projelerde kapsamın bütünü baştan sabitlenemeyebilir; bu durum teslim ve ödeme ölçütünün belirsiz bırakılmasını gerektirmez. Ürün iş listesi, sprint hedefi, kabul ölçütü, ekip kapasitesi, günlük veya saatlik kayıt, önceliklendirme yetkisi ve tamamlanma tanımı sözleşmede kurulur. Sabit ücretli unsurlar ile zaman–kaynak esaslı işler ayrılır. Müşterinin ürün sahibi rolü, geri bildirim süresi ve geciken kararın takvime etkisi belirlenir. Sprint sonunda çalışan sürüm, kod deposu ve kayıtların erişilebilirliği düzenli olarak doğrulanır.

Teknoloji ilişkisi birden fazla proje ve abonelik içeriyorsa ana hizmet sözleşmesi genel hukukî şartları; sipariş formu ticari parametreleri; iş tanımı belgesi ise proje edimlerini düzenler. Her belgenin tarafı, yürürlük tarihi, süresi, önceliği ve değişiklik usulü açıkça gösterilir. Çelişki hâlinde hangi belgenin üstün olduğu konu bazında kurulabilir; veri koruma veya güvenlik ekinin daha düşük bir sipariş formuyla etkisiz bırakılması önlenir. Eski siparişlerin yeni ana sözleşmeye geçişi ve sona eren işlerin hangi hükümlere tabi kalacağı belirlenir.

İş tanımı; teslimleri, hariç tutulan işleri, müşteri bağımlılıklarını, teknik ön koşulları, ekipleri, takvimi, bedeli ve kabul ölçütünü birlikte göstermelidir. Yeni özellik, entegrasyon, performans artışı veya mevzuat değişikliği talebi; değişiklik emri olmadan fiilen projeye eklenmemelidir. Talebin kapsam, süre, ücret, kaynak, güvenlik ve fikrî hak etkisini gösterecek form oluşturulur. Acil güvenlik düzeltmeleri için hızlandırılmış usul, olağan ürün taleplerinden ayrılır. Yetkisiz personelin e-posta veya toplantı notuyla kapsamı genişletmesi önlenir.

Kurulum, lisans, abonelik, kullanıcı, işlem, depolama, veri çıkışı, destek, geliştirme ve üçüncü taraf bedelleri ayrı gösterilir. Kullanım metriğinin kaynağı, zaman dilimi, yuvarlama, vergi, döviz, kur, minimum taahhüt ve aşım fiyatı belirlenir. Sağlayıcının ölçüm kayıtlarına itiraz yolu ve saklama süresi kurulur. Otomatik yenileme, yenilememe bildirimi, fiyat endeksi, tek taraflı artış ve paket değişikliği açıkça düzenlenir. Ücretsiz denemenin ücretli döneme geçişi ile askıya alınan hesapların faturalama durumu belirsiz bırakılmaz.

SaaS hizmetinin kullanıcı, hesap, cihaz, işlem, veri hacmi veya özellik paketi üzerinden nasıl lisanslandığı açıklanır. Abonelik başlangıcı, deneme dönemi, otomatik yenileme, kullanım aşımı, fiyat değişikliği, kullanıcı ekleme ve azaltma, destek planı ve askıya alma koşulları düzenlenir. Müşteri verisi, hizmet telemetrisi, istatistik ve türetilmiş verinin kullanım sınırı belirlenir. Sağlayıcının ürünü geliştirme yetkisi ile esaslı işlevi kaldırma veya uyumsuz değişiklik yapma riski dengelenir. Kurumsal ana sözleşme, sipariş formu, SLA, veri işleme ve güvenlik ekleri arasında öncelik sırası kurulur.

Altyapı ve platform hizmetlerinde sağlayıcı ile müşterinin paylaşılan güvenlik ve operasyon sorumlulukları servis katmanına göre ayrılır. Hesap, kimlik, yapılandırma, işletim sistemi, uygulama, veri, şifreleme anahtarı, yedek ve ağ güvenliği görevleri RACI tablosunda gösterilebilir. Hizmet bölgesi, veri yerleşimi, kapasite, otomatik ölçekleme, kullanım ölçümü, bağlantı, yedekleme, kurtarma ve destek sınırları yazılır. Bulut sağlayıcısının standart koşulları, kurumsal ekler ve yeniden satıcı sözleşmesi birlikte incelenir. Hesap kapanması veya erişim kaybında yönetici yetkisi ile veriye ulaşma yolu önceden kurulur.

Sistem yönetimi, güvenlik operasyonu, ağ, veri tabanı, uygulama, yardım masası veya DevOps hizmetlerinde tedarikçinin erişim ve değişiklik yetkisi belirlenir. Görev kapsamı, vardiya, yanıt, eskalasyon, uzaktan erişim, ayrıcalıklı hesaplar, loglama, personel değişimi ve alt yüklenici kullanımı düzenlenir. Müşteri talimatı ile tedarikçinin meslekî özen yükümlülüğü arasındaki sınır açıklanır. Kritik personelin ayrılması, bilgi devri, hizmet devamlılığı, geri dönüş planı ve sözleşme sonunda operasyonun iç ekibe veya yeni tedarikçiye geçişi hükme bağlanır.

Hizmet seviyesi; yalnız yüzde olarak erişilebilirlik yazmakla kurulmaz. Ölçüm noktası, takvim ayı, planlı bakım, mücbir sebep, müşteri kaynaklı kesinti, internet omurgası ve üçüncü taraf hizmet hariçleri belirlenir. Olay öncelikleri, ilk yanıt, geçici çözüm, kalıcı giderim, durum güncellemesi ve eskalasyon süreleri ayrı tanımlanır. Sağlayıcının kendi ölçümünün doğrulanması ve rapor sunması düzenlenir. Hizmet kredilerinin otomatik mi talep üzerine mi doğacağı, tek giderim olup olmadığı, tekrarlanan ihlalin fesih hakkı ve kritik kesintinin daha geniş sorumluluğa etkisi açıkça yazılır.

Kabul; nesnel test senaryosu, veri seti, ortam, sorumlu kişi, süre ve sonuç sınıfıyla yürütülür. Kullanıcı kabul testi, güvenlik testi, performans testi, entegrasyon ve veri doğruluğu birbirinden ayrılabilir. Kritik hata, önemli hata ve küçük hata tanımları ile kabulün hangi eksiklikte erteleneceği belirlenir. Sessizlik, kullanım veya canlıya geçişin otomatik kabul sayılıp sayılmayacağı açık olmalıdır. Şartlı kabul varsa kalan işler, giderim tarihi ve ödeme etkisi protokole bağlanır. Teslimde kaynak kodu, yönetici yetkisi, dokümantasyon ve bağımsız işletme imkânı ayrıca doğrulanır.

Kaynak kodu veya altyapının müşteriye devri her SaaS aboneliğinin zorunlu unsuru değildir. Sözleşmede üstlenilen teslim ile lisans/erişim modeli ayrılır. Özel geliştirmede vaat edilen bağımsız kullanım ve yönetim yetkileri ise yalnız bir ekran görüntüsüyle ispatlanmış sayılmaz.

Yazılımın sözleşmedeki fonksiyon, dokümantasyon, güvenlik ve performans ölçütlerine uygunluğu taahhüt edilir. Hata sınıfları, bildirim yöntemi, tekrar üretme bilgisi, geçici çözüm, düzeltme ve sürüm teslimi belirlenir. Bakım kapsamına hata düzeltme, mevzuat güncellemesi, küçük geliştirme, sürüm yükseltme ve üçüncü taraf uyumu yönünden açıklık getirilir. Destek saatleri, dil, kanal ve eskalasyon yazılır. Eski sürümün destekten çıkarılması için makul bildirim, güvenlik yamaları ve geçiş yardımı düzenlenir. Müşteri değişikliği veya desteklenmeyen ortamın sorumluluğa etkisi ölçülü şekilde ele alınır.

Kritik hizmetler, kurtarma süresi hedefi ve kabul edilebilir veri kaybı hedefi iş etkisi üzerinden belirlenir. Yedek sıklığı, ayrılmış ortam, şifreleme, geri yükleme testi ve saklama bölgesi yazılır. Felaket kurtarma planının yalnız varlığı değil, test sıklığı, senaryo, bulgu ve düzeltme takibi düzenlenir. Tek bulut bölgesi, tek kimlik sağlayıcı veya tek kritik personel bağımlılığı açıklanır. Büyük kesintide iletişim, alternatif işlem, öncelikli müşteri ve dönüş sırası belirlenir. Müşterinin kendi dışa aktarım veya yedek yükümlülüğü varsa açıkça gösterilir.

Lisansın süreli veya süresiz, münhasır veya basit, devredilebilir veya devredilemez, alt lisansa açık ya da kapalı olması belirlenir. Kullanıcı, cihaz, şirket, bağlı ortaklık, coğrafya, sunucu, işlem veya kapasite sınırı açıkça yazılır. Yedek kopya, test, felaket kurtarma, uzaktan çalışma, grup şirketi kullanımı ve dış hizmet sağlayıcının erişimi düzenlenir. Tersine mühendislik, birlikte işlerlik, hata düzeltme ve kanunî istisnalar emredici hükümler gözetilerek ele alınır. Lisans denetimi ölçülü, bilgi güvenliğine uygun ve iş sürekliliğini bozmayacak usule bağlanır.

FSEK kapsamında bilgisayar programı üzerindeki mali hakların devri veya kullanma yetkisi yazılı ve haklar ayrı ayrı gösterilerek düzenlenmelidir. Proje öncesi mevcut kod, kütüphane, yöntem, şablon ve araçlar “arka plan hakları”; proje sırasında ortaya çıkan özel geliştirmeler ise ayrı sınıf olarak tanımlanır. Müşterinin bedel ödemesi tek başına kaynak kodunun veya bütün mali hakların geçtiği anlamına gelmeyebilir. İşleme, çoğaltma, yayma ve dijital iletim dâhil gereken haklar kullanım amacıyla uyumlu kurulmalıdır. Sağlayıcının genel bilgi ve deneyimini kullanma hakkı, müşteriye özgü gizli bilgi ve koddan ayrılır.

Henüz meydana getirilmemiş eserler bakımından hak devri taahhüdü ile tamamlanmış eser üzerindeki tasarruf işlemi FSEK m.48–52 çerçevesinde ayrılır. Manevi haklar, mali haklar gibi topluca devredilmiş kabul edilmez; eser sahipliği ile mali hakları kullanma yetkisi ayrıca değerlendirilir.

Kodun çalışan, kurucu, serbest geliştirici, ajans, alt yüklenici veya yabancı ekip tarafından yazılması hak sahipliği sonucunu değiştirebilir. Çalışanın görev kapsamında oluşturduğu program ile bağımsız geliştiricinin sipariş üzerine yazdığı kod aynı varsayıma tabi tutulmaz. İş sözleşmeleri, hizmet sözleşmeleri, kurucu sözleşmeleri ve alt yüklenici taahhütleri proje zinciri boyunca incelenir. Mali hak kullanımı, gizlilik, açık kaynak, üçüncü taraf kodu, teslim, işbirliği ve ayrılık sonrası yükümlülükler yazılı hâle getirilir. Şirketin kod deposu ve hesapları kişisel hesaplara bağlı bırakılmaz.

Sağlayıcının iflası, faaliyeti bırakması, desteği kesmesi, ağır SLA ihlali veya sözleşmesel teslim yükümlülüğünü yerine getirmemesi hâlinde kullanılmak üzere kaynak kodu emanet düzeni kurulabilir. Emanete yalnız kaynak kodu değil; derleme talimatı, bağımlılık listesi, veri şeması, altyapı kodu, kurulum betiği, yönetici anahtarlarının güvenli yöntemi ve dokümantasyon dâhil edilir. Yatırma sıklığı ve emanet içeriğinin derlenebilirliği bağımsız doğrulamaya bağlanır. Serbest bırakma olayı, itiraz usulü, kullanım lisansı ve gizlilik sınırı açık olmalıdır. Escrow, düzenli yedek ve çıkış planının yerine geçmez.

Kod tabanındaki açık kaynak bileşenleri, sürümleri, lisansları ve doğrudan veya geçişli bağımlılıkları envantere alınır. İzin verici lisanslar ile kaynak kodu açıklama veya aynı lisansla dağıtım sonucu doğurabilecek copyleft hükümleri kullanım biçimine göre değerlendirilir. Yazılımın yalnız SaaS olarak sunulması, dağıtılması, cihaza gömülmesi veya müşteriye teslimi farklı sonuç yaratabilir. Bildirim, telif notu, lisans metni, kaynak kodu sunma ve değişiklik açıklama yükümlülükleri ürün sürecine eklenir. Yazılım bileşen listesi, otomatik tarama ve geliştirici onay süreci sözleşmeyle desteklenir.

Harita, ödeme, mesajlaşma, kimlik doğrulama, analitik, yapay zekâ API’si, mobil mağaza, bulut pazaryeri ve diğer dış hizmetlerin sözleşme zinciri incelenir. Kota, fiyat, kullanım politikası, veri aktarımı, içerik kısıtı, sürüm sonlandırma, denetim, askıya alma ve sorumluluk koşulları ana ürünün müşteriye verdiği taahhütle eşleştirilir. Sağlayıcının kontrol etmediği dış hizmet için sınırsız performans vaadi verilmez; ancak bağımlılık, alternatif, bildirim ve geçiş planı kurulur. API anahtarları ve mağaza hesapları kişisel hesaplara bırakılmaz; hesap sahipliği ile erişim yetkisi belgelenir.

Müşterinin sisteme yüklediği veri, kullanıcı hesabı verisi, işlem kaydı, performans telemetrisi, anonim istatistik, geri bildirim ve bunlardan türetilen veri ayrı tanımlanır. Mülkiyet benzeri geniş ifadeler yerine erişim, kullanım amacı, saklama, birleştirme, açıklama, model eğitimi, ihracat ve silme yetkileri açıkça yazılır. Anonimleştirme iddiası hukukî ve teknik olarak doğrulanır. Sağlayıcının hizmeti ölçme ve güvenliği sağlama ihtiyacı, veriyi başka ürün veya müşteri için kullanma yetkisine kendiliğinden dönüşmez. Sözleşme sona erdiğinde hangi verinin iade, silme veya kanunî süreyle saklama konusu olacağı belirlenir.

Hizmetteki veri sorumlusu, veri işleyen, uygulanabilir yabancı hukukta ortak veri sorumlusu veya bağımsız veri sorumlusu rolleri işleme faaliyeti bazında belirlenir. Veri işleme sözleşmesinde konu, süre, amaç, veri ve ilgili kişi kategorileri, talimat, gizlilik, güvenlik, alt veri işleyen, ilgili kişi talebi, ihlal, denetim, silme ve iade hükümleri kurulur. Sağlayıcının kendi amaçları için yaptığı telemetri veya dolandırıcılık önleme işlemleri ayrıca değerlendirilir. KVKK m.12 kapsamındaki müşterek sorumluluk, yalnız genel bir “KVKK’ya uyulur” hükmüyle yönetilemez; teknik ve idarî tedbirlerin uygulanması ile doğrulanması gerekir.

Bulut sunucusu, destek ekibi, alt veri işleyen, uzaktan erişim, felaket kurtarma kopyası ve global yönetim paneli ayrı aktarım kanalları olarak haritalanır. KVKK m.9 kapsamındaki yeterlilik, uygun güvence veya arızi aktarım yollarından hangisinin kullanılacağı somut akışa göre belirlenir. Standart sözleşmenin doğru taraf tipine göre seçilmesi, eklerinin doldurulması ve imzadan itibaren beş iş günü içinde Kuruma bildirilmesi süreci yönetilir. Veri bölgesi taahhüdü, destek erişimini veya yedek kopyayı gizlememelidir. GDPR uygulanıyorsa AB aktarım aracı ve ilave tedbirler ayrıca incelenir.

Kurulun standart sözleşme modeli kullanılıyorsa seçimlik alanlar dışındaki metin değiştirilmez; imza yetkileri, Türkçe metin, ekler ve imzaların tamamlanmasından itibaren beş iş günlük bildirim takip edilir. Genel veri işleme eki, tek başına uygun yurt dışı aktarım güvencesi sayılmaz.

Güvenlik eki; kimlik ve erişim yönetimi, çok faktörlü doğrulama, ayrıcalıklı hesaplar, şifreleme, anahtar yönetimi, güvenli geliştirme, zafiyet tarama, sızma testi, yama, log, yedek, ağ ayrımı, personel, fizikî güvenlik ve tedarik zinciri kontrollerini kapsar. Kontroller “sektör standardı” gibi belirsiz ifadeye bırakılmaz; uygulanacak standart, kapsam, doğrulama ve istisna usulü belirlenir. ISO sertifikası tek başına hizmete özgü güvenliği ispatlamaz; sertifika kapsamı ve kontrol raporu incelenir. Müşterinin kendi güvenlik sorumlulukları da paylaşılan sorumluluk tablosunda gösterilir.

Olay, güvenlik olayı, kişisel veri ihlali, hizmet kesintisi ve kritik zafiyet kavramları birbirinden ayrılır. Sağlayıcının müşteriye ilk bildirim süresi, bilinen asgari içerik, düzenli güncelleme, teknik inceleme, etki azaltma, kayıt koruma ve kök neden raporu düzenlenir. Yasal bildirim süresi sektör ve olaya göre değişebileceğinden sözleşme, müşterinin kendi süresini yönetebileceği erken bildirim mekanizması kurar. Kamu açıklaması ve düzenleyici kurum iletişimi yetki matrisine bağlanır. Olay giderildikten sonra düzeltici eylem, tekrar testi ve sözleşmesel sonuçlar ayrıca ele alınır.

Alt hizmet sağlayıcının kim olduğu, hangi hizmeti nerede sunduğu, hangi veriye eriştiği ve hangi kritik fonksiyonu desteklediği envantere alınır. Sağlayıcının alt yüklenici kullanma hakkı; ön bildirim, itiraz, eş değer yükümlülük, veri aktarımı, güvenlik, denetim ve sona erme koşullarıyla düzenlenir. Kritik tedarikçide değişiklik, esaslı sözleşme değişikliği sayılabilir. Ana sağlayıcı, alt hizmet sağlayıcının fiilinden doğan sözleşmesel sorumluluğu genel bir yönlendirme hükmüyle ortadan kaldıramaz. Zincirdeki tek noktaya bağımlılık ve ikame süresi iş sürekliliği planına işlenir.

Müşterinin denetim hakkı; bilgi formu, sertifika, bağımsız güvence raporu, uzaktan inceleme ve gerektiğinde yerinde denetim katmanlarıyla ölçülü biçimde kurulur. Sıklık, bildirim, maliyet, gizlilik, diğer müşterilerin verisi ve düzeltici eylem süresi belirlenir. Ciddi olay veya düzenleyici talepte olağan sınırlamalar esnetilebilir. Finans, sağlık, telekom veya kamu gibi sektörlerde düzenleyici kurumun bilgi ve denetim hakkı tedarik sözleşmesine aktarılır. Denetim hakkı yalnız belge görme değil, bulgunun giderilmesini ve doğrulanmasını izleme imkânı vermelidir.

Gizli bilgi tanımı; kaynak kodu, mimari, güvenlik açığı, müşteri verisi, ürün yol haritası, fiyat, iş planı ve erişim bilgilerini kapsayacak şekilde ancak sınırsız olmayan biçimde kurulur. Kanunen bilinen, bağımsız geliştirilen, hukuka uygun üçüncü kaynaktan alınan veya kamuya açık bilgi istisnaları düzenlenir. Paylaşım görevle sınırlı kişilere ve ihtiyaç ölçüsünde yapılır. Mahkeme veya makam talebi hâlinde bildirim ve sınırlı açıklama usulü kurulur. Sözleşme sonunda iade ve silme yükümlülüğü, yedek ve kanunî saklama istisnasıyla birlikte belirlenir. Kaynak koduna erişen personel için ek kontrol uygulanır.

Yapay zekâ bileşeninde tarafın model sağlayıcısı, sistemi sunan, dağıtan veya yalnız kullanan kişi olup olmadığı belirlenir. Girdilerin model eğitimi veya hizmet geliştirme amacıyla kullanılıp kullanılmayacağı; çıktıların kullanım hakkı, benzer çıktı ihtimali, insan incelemesi, kayıt, doğruluk sınırı ve yasaklı kullanım açıklanır. Eğitim verisinin kaynağı, lisansı, kişisel veri ve ticari sır niteliği incelenir. Genel amaçlı model koşulları ana müşteri sözleşmesiyle uyumlu hâle getirilir. AB Yapay Zekâ Tüzüğü kapsamı varsa şeffaflık, rol, teknik kayıt ve tedarik zinciri bilgi yükümlülükleri sözleşmeye taşınır.

Tedarikçiye bağımlılık; özel veri formatı, yüksek veri çıkış bedeli, kapalı API, lisans anahtarı, yönetici hesabı, dokümantasyon eksikliği veya sözleşmesel fesih engeli nedeniyle doğabilir. Taşınabilir veri, dışa aktarım sıklığı, geçiş arayüzü, yardım, süre ve ücret baştan düzenlenir. AB Veri Tüzüğü uygulanıyorsa veri işleme hizmetleri arasında geçiş, sözleşme öncesi bilgi, işlevsel eşdeğerlik, veri çıkışı ve kademeli geçiş kuralları ayrıca incelenir. Teknik birlikte işlerlik yükümlülüğü, fikrî hak ve ticari sır korumasıyla dengelenir. Çıkış provası kritik sistemlerde sözleşme süresinde yapılabilir.

AB Veri Tüzüğü kapsamındaki geçiş yükümlülükleri 12 Eylül 2025’ten beri uygulanmaktadır. 12 Ocak 2027’ye kadar geçişle doğrudan bağlantılı ve maliyeti aşmayan azaltılmış ücret rejimi; sonrasında geçiş ücretinin kaldırılması ayrı değerlendirilir. Bu kuralların kapsamı ve istisnaları her Türkiye içi sözleşmeye otomatik olarak taşınmaz.

Bireysel kullanıcıya sunulan uygulama, dijital içerik veya abonelikte ön bilgilendirme, toplam bedel, ödeme yükümlülüğü, cayma hakkı ve istisnaları, ayıplı hizmet, otomatik yenileme, fesih ve iade kuralları incelenir. Cayma istisnası, tüketicinin açık onayı ve hakkını kaybedeceğini kabul etmesi gereken durumlarda arayüz ve kayıtla desteklenir. Ücretsiz denemeden ücretli döneme geçiş gizlenmez. Uzun ve belirsiz abonelik iptal yolu kurulmaz. Tüketici koşulları ile kurumsal müşteri sözleşmesi ayrılır; yabancı hukuk seçimi tüketicinin zorunlu korumasını kendiliğinden ortadan kaldırmaz.

SaaS ürününün pazaryeri, mobil mağaza, ödeme kuruluşu veya bayi üzerinden satılması hâlinde sözleşmenin tarafı, tahsilat, iade, komisyon, vergi, kullanıcı desteği ve hesap kapatma rolleri belirlenir. Uygulama mağazasının abonelik ve içerik kuralları ana müşteri koşullarıyla uyumlu hâle getirilir. Ödeme verisinin kapsamı, PCI yükümlülüğü, chargeback ve sahtecilik süreçleri düzenlenir. Ürün üçüncü taraf satıcıları veya kullanıcı içeriğini barındırıyorsa elektronik ticaret ve internet hukuku yükümlülükleri ayrı hizmet sayfası kapsamında derinleştirilir. Teknik sağlayıcı olmak, fiilî platform rolünü her durumda ortadan kaldırmaz.

Teknoloji hizmeti alan kurumun sektör mevzuatı, tedarikçinin sözleşmesel yükümlülüklerini doğrudan etkileyebilir. Bankacılık, ödeme, sermaye piyasası, sigorta, sağlık, elektronik haberleşme, enerji ve kamu sistemlerinde veri yerleşimi, dış hizmet, denetim, olay bildirimi, iş sürekliliği ve alt yüklenici hükümleri ayrı incelenir. AB finans kuruluşlarına hizmette DORA’nın bilgi ve iletişim teknolojisi üçüncü taraf risk hükümleri ile kritik fonksiyon sözleşme unsurları değerlendirilir. Tedarikçi, müşterinin düzenleyici sorumluluğunu devralmasa da müşterinin uyumunu mümkün kılacak bilgi, erişim ve işbirliği hükümlerini sağlamalıdır.

Türkiye’de siber uzayda faaliyet gösteren veya hizmet sunan kişi ve kuruluşlar bakımından 7545 sayılı Siber Güvenlik Kanunu’nun kapsamı, bilgi verme, tedbir, denetim, ürün ve hizmet yükümlülükleri incelenir. Sözleşmeye Başkanlık yazıları, zafiyet giderimi, işbirliği, kayıt ve denetim süreçlerini destekleyen hükümler eklenir. AB pazarına dijital unsurlu ürün sunuluyorsa Siber Dayanıklılık Tüzüğü kapsamı, üretici veya diğer ekonomik işletmeci rolü ve güvenli ürün yaşam döngüsü değerlendirilir. 11 Eylül 2026’dan itibaren üreticiler bakımından uygulanmaya başlayan belirli zafiyet ve ciddi olay bildirimleri için sözleşmesel bilgi akışı kurulur.

AB Siber Dayanıklılık Tüzüğünün genel uygulama tarihi 11 Aralık 2027; üretici bildirimlerinin başlangıcı ise 11 Eylül 2026 tarihidir. Açık kaynak yazılım destekleyicilerinin farklı takvimi ile ürüne bağlı uzaktan veri işleme ve bağımsız bulut hizmeti ayrımı ayrıca incelenir. Her SaaS sağlayıcısı aynı rol altında değerlendirilmez.

Münhasırlık, bağlama, lisans denetimi, müşteri veya personel ayartmama, en çok kayrılan müşteri, veri erişimi, API kısıtı ve geçiş engeli rekabet hukuku yönünden incelenir. Haklı fikrî hak koruması ile pazarı veya müşterinin alternatif tedarikçiye geçişini gereksiz sınırlayan hüküm ayrılır. Güçlü platform veya teknoloji sağlayıcısının tek taraflı koşulları, hâkim durum ve haksız ticari uygulama boyutuyla değerlendirilebilir. Birlikte işlerlik ve veri taşınabilirliği taleplerinde güvenlik, ticari sır ve üçüncü kişi hakları korunur. İşbirliği anlaşmaları hassas ticari bilgi değişimine yol açmayacak yönetişimle kurulur.

Doğrudan zarar, dolaylı zarar, kâr kaybı, veri kaybı, hizmet kesintisi, fikrî hak ihlali, gizlilik ve güvenlik olayları sözleşmenin iş modeline göre ayrılır. Genel sorumluluk tavanı ile fikrî hak, kasıt, ağır kusur, gizlilik, kişisel veri veya bedensel zarar gibi istisnalar emredici hukuk gözetilerek düzenlenir. Üçüncü kişi talebinde bildirim, savunma kontrolü, işbirliği ve sulh yetkisi belirlenir. Tedarikçinin üçüncü taraf bileşen nedeniyle verebildiği koruma ayrıca incelenir. Meslekî sorumluluk ve siber risk sigortasının kapsamı, limitleri ve devamı sözleşmeyle uyumlu olmalıdır.

TBK m.115 uyarınca ağır kusurdan sorumsuzluğa ilişkin önceden yapılan anlaşma kesin hükümsüzdür. Meslek, izin ve yardımcı kişi hükümleri ayrıca incelenir. Genel işlem koşulları denetimi ve emredici sınırlar, sözleşmeye yüksek veya düşük tavan yazılarak bertaraf edilemez.

Ödeme gecikmesi, güvenlik tehdidi, hukuka aykırı kullanım, lisans aşımı veya düzenleyici zorunluluk hâlinde askıya alma yetkisi farklı koşullara bağlanır. Acil olmayan ihlalde bildirim ve giderim süresi verilir; kritik güvenlik olayında kapsamı sınırlı derhâl tedbir uygulanabilir. Askıya alma yalnız ihlalle ilgili hesap veya işlevle sınırlandırılabiliyorsa bütün hizmet kapatılmaz. Müşteri verisine erişim, ödeme uyuşmazlığında baskı aracı hâline getirilmez. Askı süresindeki ücret, veri muhafazası, destek ve yeniden etkinleştirme koşulları açıkça düzenlenir.

Süre sonu, haklı neden, tekrarlanan SLA ihlali, mevzuat değişikliği, iflas, kontrol değişikliği ve kolaylaştırılmış fesih seçenekleri ayrılır. Sözleşme sona ermeden önce çıkış planı, sorumlu ekip, süre, ücret ve teknik format belirlenir. Müşteri verisi açık, yapılandırılmış ve kullanılabilir formatta; gerekli şema ve açıklamalarla teslim edilir. Yeni sağlayıcıya geçiş desteği, paralel çalışma ve bilgi aktarımı düzenlenir. Silme tarihi, yedek döngüsü, kanunî saklama ve silme teyidi açıklanır. Sağlayıcının fikrî hakları ile müşterinin kendi veri ve iş kayıtlarına erişimi birbirine karıştırılmaz.

Sözleşmenin elektronik kurulması, yetkili kullanıcının belirlenmesi, güvenli elektronik imza, onay kutusu, sipariş akışı ve kayıt saklama yöntemleri incelenir. 5070 sayılı Kanun kapsamındaki güvenli elektronik imza ile diğer elektronik onay yöntemlerinin hukukî etkisi aynı kabul edilmez. Hangi metin sürümünün ne zaman ve kim tarafından kabul edildiği değiştirilemez kayıtla gösterilmelidir. Kod deposu geçmişi, iş takip sistemi, destek bileti, e-posta, test sonucu, erişim logu ve fatura kayıtları uyuşmazlık ihtimali düşünülerek sınıflandırılır. Kişisel veri ve sır içeren kayıtların erişim ve saklama süresi ayrıca belirlenir.

Teslim, kabul, ayıp, gecikme, ödeme, lisans, kaynak kodu, veri kaybı, hizmet kesintisi ve fikrî hak uyuşmazlıklarında sözleşme seti ile fiilî teknik durum birlikte incelenir. Çalışır ekran ile sözleşmeye uygun ve bağımsız kullanılabilir teslim birbirinden ayrılır. Kod deposu, yönetici hesapları, sürümler, testler, altyapı, API, veritabanı, faturalar ve yazışmalar usule uygun biçimde korunur. Gerektiğinde tespit, ihtiyatî tedbir, bilirkişi incelemesi, delillerin mahkemede tartışılması, tahkim veya dava stratejisi hazırlanır. Sisteme zarar verecek veya üçüncü kişi verisini açığa çıkaracak kontrolsüz müdahaleden kaçınılır.

Görevli mahkeme; sözleşmesel alacak, fikrî hak, tüketici işlemi ve tarafların niteliğine göre belirlenir. Ticari para taleplerinde dava şartı arabuluculuk ve geçici hukukî koruma koşulları incelenir. Sözleşme içi görüşme süreci kanuni süreleri durdurmuş varsayılmaz.

Yatırım veya şirket devrinde yazılım hak sahipliği, çalışan ve bağımsız geliştirici sözleşmeleri, açık kaynak, müşteri lisansları, bulut hesapları, güvenlik olayları, KVKK, yurt dışı aktarım, önemli tedarikçiler, SLA borçları ve düzenleyici kapsam incelenir. Gelirin dayandığı sözleşmelerde kontrol değişikliği, devir yasağı, fesih, indirim ve sınırsız sorumluluk hükümleri belirlenir. Kodun fiilen şirkette bulunması ile mali hakların şirkete geçmiş olması ayrı doğrulanır. Bulgular işlem belgesi, beyan ve tekeffüller, özel tazmin, kapanış şartı, fiyat düzenlemesi ve kapanış sonrası düzeltici plana dönüştürülür.

Yabancı sağlayıcı veya müşteriyle yapılan sözleşmede hukuk seçimi, yetki veya tahkim, dil, vergi, ödeme, döviz, yaptırım, ihracat kontrolü, fikrî hak, veri aktarımı ve kararların icrası birlikte değerlendirilir. Ana sözleşme ile yerel ülke ekleri arasında öncelik kurulur. İngilizce, Almanca ve Rusça metinler Türkçe hukukî çerçeve üzerinden tutarlılık denetimine tabi tutulur; yalnız kelime çevirisiyle yetinilmez. Birden fazla ülkedeki avukat, teknik inceleme ekibi ve düzenleyici danışman görevleri tek dosya planında koordine edilir. Uyuşmazlık öncesi bildirim, eskalasyon ve yönetici görüşmesi süreleri kanunî başvuru sürelerini zedelemeyecek biçimde düzenlenir.