Yurt Dışına Veri Aktarımı Bilgilendirmesi

Sürüm 2.0 · Yayım ve yürürlük tarihi: 21 Ekim 2026 · Elektronik ortamda onaylandığı veya Platform’da yayımlandığı anda yürürlüğe girer.

Bu metinde “Şirket”, yukarıda bilgileri yer alan SOLİD REKLAM LTD. ŞTİ.’yi; “Platform”, Şirket tarafından işletilen ve yenikare.com adresinden sunulan “Yeni Kare” web sitesi, alt sayfaları, yayın bağlantıları (ör. yenikare.com/k/…), yönetim paneli ve ilgili tüm hizmetleri; “Kullanıcı” ya da “Üye”, Platform’a üye olan, Platform’u kullanan veya oluşturduğu QR kod sayfalarını yöneten gerçek ya da tüzel kişileri; “Ziyaretçi”, Kullanıcı’nın QR kodunu tarayarak veya bağlantısını açarak yayın sayfasına ulaşan kişileri ifade eder.

Bu Belgenin Özeti

• Bu belge, Şirket’in ve Platform’un hizmet sağlayıcılarının kişisel verileri yurt dışına aktarması hâlinde uygulanan hukuki rejimi, KVKK m.9’un 7499 sayılı Kanun ile 1 Haziran 2024’te yürürlüğe giren hâline göre açıklar.
• Aktarım; önce yeterlilik kararı, bu yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname), bunlar da yoksa yalnızca arızi (düzenli olmayan) hâllerde sayılan istisnalar yoluyla yapılabilir.
• Standart sözleşme kullanıldığında, sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirim yapılır.
• Açık rıza, yurt dışı aktarımın genel yolu değildir; yalnızca arızi aktarımlarda ve muhtemel riskler bildirilerek aranır.
• Şirket’in kullanabileceği yurt dışı hizmet kategorileri bu belgede listelenmiştir; Kullanıcı’nın kendi tercih ettiği entegrasyonlar bakımından aktarım sorumluluğu Kullanıcı’dadır.
• Yurt dışı aktarıma ilişkin bilgi talep etme ve başvuru hakkınız saklıdır.

Madde 1 — Amaç ve Kapsam

1.1. Bu belge; SOLİD REKLAM LTD. ŞTİ. (“Şirket”) tarafından veri sorumlusu veya veri işleyen sıfatıyla işlenen kişisel verilerin, Platform’un işletilmesi için yurt dışında bulunan hizmet sağlayıcılara aktarılmasına veya yurt dışından erişilmesine ilişkin esasları açıklar.

1.2. Belge; Kullanıcılar, Ziyaretçiler, iletişim kuran kişiler ve Şirket’in iş ortaklarının yetkilileri için geçerlidir ve KVKK Aydınlatma Metni ile Ziyaretçi Aydınlatma Metni’nin ayrılmaz tamamlayıcısıdır.

1.3. Belge, ilgili kişilerin KVKK m.10 uyarınca aydınlatılması ve KVKK m.11/1-ç uyarınca “yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme” haklarının yerine getirilmesine hizmet eder.

Madde 2 — Dayanak Mevzuat

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.9 — kişisel verilerin yurt dışına aktarılması);
• 12.3.2024 tarihli 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (m.9 ve m.6 değişiklikleri; 1.6.2024’te yürürlüğe girmiştir);
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete);
• Kişisel Verileri Koruma Kurulu’nun yeterlilik kararları, standart sözleşme metinlerine ve bildirim modülüne ilişkin kararları (ör. 17.10.2024 tarihli ve 2024/1793 sayılı Standart Sözleşme Bildirim Modülü kararı) ve Kurum duyuruları;
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve Kişisel Veri Güvenliği Rehberi;
• Ayrıca konuya ilişkin uluslararası sözleşmeler ve diğer ilgili mevzuat.

Mevzuat ve Kurul kararları zaman içinde değişebilir; bu belge değişiklikler doğrultusunda güncellenir ve güncel sürüm Platform’da yayımlanır.

Madde 3 — Tanımlar

• Yurt dışına aktarım: Veri sorumlusu veya veri işleyen tarafından kişisel verilerin, Türkiye dışında bulunan veya yurt dışında yerleşik bir alıcıya iletilmesi ya da başka bir şekilde erişime açılması;
• Yeterlilik kararı: Kurul tarafından, bir ülke, ülke içindeki bir veya birden fazla sektör ya da uluslararası kuruluş hakkında verilen, yeterli koruma bulunduğuna ilişkin karar;
• Uygun güvenceler: Yeterlilik kararı bulunmadığında, ilgili kişinin haklarını kullanabilmesini ve etkili yasal başvuru yollarına sahip olmasını sağlayan güvenceler;
• Standart sözleşme: Kurul tarafından ilan edilen, kişisel veri kategorileri, aktarım amacı, alıcı ve alıcı grupları ile alınacak teknik ve idari tedbirler gibi unsurları içeren sözleşme metni;
• Bağlayıcı şirket kuralları: Bir ekonomik faaliyette ortak faaliyet yürüten teşebbüs grubu bünyesindeki şirketlerin yurt dışına aktarım için uyguladığı, Kurul tarafından onaylanan kişisel veri koruma politikaları;
• Taahhütname: Aktarımı yapan ve alan tarafların yazılı olarak verdiği, yeterli korumayı sağlayacak hükümler içeren ve Kurul tarafından izin verilen taahhüt;
• Arızi aktarım: Düzenli olmayan, tek veya sınırlı sayıda gerçekleşen, süreklilik arz etmeyen ve veri sahibi için artan riskler doğurmayan aktarımlar;
• Alıcı: Kişisel verilerin aktarıldığı yurt dışındaki gerçek veya tüzel kişi.

Madde 4 — Aktarım Rejiminin Genel Yapısı (KVKK m.9)

4.1. KVKK m.9’un 7499 sayılı Kanunla değişik hâline göre kişisel veriler, veri sorumlusu ve veri işleyen tarafından, üç kademeli bir sistem çerçevesinde yurt dışına aktarılabilir:

1. Birinci kademe — Yeterlilik kararı: Aktarım yapılacak ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında Kurul tarafından yeterlilik kararı verilmişse, kişisel veriler, KVKK m.5 ve m.6’daki genel işleme şartlarının varlığı hâlinde, ayrıca bir güvenceye gerek olmaksızın aktarılabilir. Yeterlilik kararı, Kurul tarafından belirlenen sürelerle (Yönetmelik’e göre en geç dört yılda bir) değerlendirilir ve gerektiğinde değiştirilir, askıya alınır veya kaldırılır.
2. İkinci kademe — Uygun güvenceler: Yeterlilik kararı bulunmaması hâlinde, KVKK m.5 ve m.6’daki işleme şartlarının varlığı ve ilgili kişinin aktarım yapılan ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla, Madde 6’da sayılan uygun güvencelerden birinin sağlanması gerekir.
3. Üçüncü kademe — Arızi durumlar: Yeterlilik kararı yoktur ve uygun güvence de sağlanamamıştır; ancak yalnızca arızi olması kaydıyla Madde 7’de sayılan hâllerden birinin varlığı hâlinde aktarım yapılabilir.

4.2. Sonraki aktarımlar. Yurt dışına aktarılan kişisel verilerin alıcı tarafından başka bir ülkeye veya uluslararası kuruluşa sonradan aktarılması durumunda da yukarıdaki kademelere ilişkin hükümler uygulanır. Şirket, hizmet sağlayıcılarıyla yaptığı sözleşmelerde sonraki aktarımları kendi iznine ve uygun güvenceye bağlar.

4.3. Kanunun yetkili merci güvenceleri. Uluslararası sözleşme hükümleri saklıdır. Türkiye’nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği hâllerde, ilgili kamu kurum ve kuruluşunun görüşü alınarak yalnızca Kurul’un izniyle aktarım yapılabilir.

4.4. Şirket, yurt dışı aktarım yapmadan önce; aktarımın zorunlu olup olmadığını, verilerin asgari düzeye indirilip indirilemeyeceğini, aktarımın yapılacağı ülke/alıcının yeterlilik durumunu ve hangi güvencenin kullanılacağını değerlendirir; değerlendirme kayıt altına alınır.

Madde 5 — Yeterlilik Kararı

5.1. Kurul, bir ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı verirken; ilgili ülkenin Türkiye ile ilişkilerini, uluslararası sözleşmelere taraflığını, ilgili kişilerin haklarını kullanabilmesini ve etkili yasal başvuru yollarını, bağımsız bir denetim otoritesinin bulunup bulunmadığını, kişisel verilerin korunmasına ilişkin mevzuat ve uygulamayı, kamu kurumlarının verilere erişim koşullarını ve ilgili tüm unsurları değerlendirir. Kararlar Resmî Gazete’de ve Kurum internet sitesinde yayımlanır.

5.2. Şirket, yeterlilik kararı bulunan ülke veya alıcılara aktarım yaptığında, kararın güncelliğini izler. Karar kaldırılır veya askıya alınırsa aktarım, Madde 6 veya Madde 7’ye göre yeniden değerlendirilir.

5.3. Bu belgenin yayımlandığı tarih itibarıyla bir ülke hakkında Kurul yeterlilik kararı bulunup bulunmadığı Kurum’un resmî internet sitesinden kontrol edilir; Şirket, yeterlilik kararı bulunmadığını varsayarak aktarımları Madde 6’daki güvencelere bağlama ilkesini benimser.

Madde 6 — Uygun Güvenceler

6.1. Yeterlilik kararı bulunmayan hâllerde, KVKK m.9/4 uyarınca aşağıdaki uygun güvencelerden biri sağlanır:

6.2. Standart sözleşmenin kullanılması. Şirket, yeterlilik kararı bulunmayan ve süreklilik arz eden aktarımlarda öncelikle Kurul’un ilan ettiği standart sözleşmeyi kullanmayı tercih eder. Standart sözleşme; aktarımı yapan ve alan taraflarca, yetkili temsilciler vasıtasıyla imzalanır; yabancı dildeki belgeler gerektiğinde Türkçe tercümeleriyle birlikte tutulur. İmzadan itibaren beş iş günü içinde Kurum’a bildirim yapılması, Şirket tarafından veya (veri işleyen olduğu hâllerde) Kullanıcı ile koordinasyon içinde yerine getirilir. Bildirim yükümlülüğünün yerine getirilmemesi KVKK uyarınca idari para cezası yaptırımına bağlıdır; bu yükümlülük bağımsız bir yükümlülüktür.

6.3. Sözleşme sonrası yükümlülükler. Standart sözleşmenin unsurlarında değişiklik olması hâlinde, Kurul düzenlemelerinin gerektirdiği ölçüde yeniden bildirim yapılır. Standart sözleşme imzalanan hâllerde, Kurum tarafından talep edilmesi hâlinde sözleşmenin kopyası ve aktarıma ilişkin belgeler sunulur.

6.4. Kurul izni gerektiren güvenceler. Taahhütname veya bağlayıcı şirket kurallarının kullanılması hâlinde, Kurul’un yazılı izni/onayı alınmadan aktarım yapılmaz. Şirket bu yolu yalnızca makul bulduğu ve zorunlu olduğu hâllerde kullanır.

6.5. Teknik ve idari tedbirler. Hangi güvence kullanılırsa kullanılsın; aktarılan veriler asgari düzeyde tutulur, şifreleme ve takma adlandırma gibi teknik tedbirler uygulanır, alıcının veri güvenliği yükümlülükleri yazılı olarak belirlenir ve ilgili kişilerin haklarını kullanabilmesi sağlanır.

Madde 7 — Arızi Aktarım Hâlleri

7.1. Yeterlilik kararı bulunmayan ve uygun güvencelerin sağlanamadığı hâllerde, kişisel veriler yalnızca arızi olmak kaydıyla ve aşağıdaki hâllerden birinin varlığında yurt dışına aktarılabilir:

1. İlgili kişinin, aktarımın muhtemel riskleri hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi;
2. Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması;
3. Aktarımın, ilgili kişi yararına veri sorumlusu ile diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması;
4. Aktarımın üstün bir kamu yararı için zorunlu olması;
5. Bir hakkın tesisi, kullanılması veya korunması için aktarımın zorunlu olması;
6. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için aktarımın zorunlu olması;
7. Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

7.2. Yukarıdaki istisnalar, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetleri bakımından uygulanmaz. Arızi aktarımın düzenli, süreklilik arz eden veya toplu aktarımlarda “istisna” gerekçesiyle kullanılması mümkün değildir.

7.3. Açık rıza hakkında özel not. Yurt dışına aktarım bakımından açık rıza, 1 Haziran 2024’ten itibaren aktarımın genel dayanağı olmaktan çıkmış, yalnızca arızi aktarımlarda geçerli bir istisna hâline gelmiştir. Şirket, sürekli ve yapısal yurt dışı hizmet kullanımlarını açık rızaya dayandırmaz; Madde 6’daki güvencelerden birini sağlar. Platform üyelik onayları, yurt dışı aktarım bakımından açık rıza metni olarak yorumlanamaz.

Madde 8 — Şirket’in Kullanabileceği Yurt Dışı Hizmet Kategorileri

8.1. Aşağıdaki tablo, Şirket’in Platform’u işletirken yurt dışında bulunan veya yurt dışından erişimi olabilen hizmet sağlayıcılarla çalışması hâlinde karşılaşılabilecek kategorileri göstermektedir. Platform’da her kategoride bir yurt dışı sağlayıcı kullanıldığı anlamına gelmez; kategoriler kullanılıyorsa geçerlidir.

8.2. Şirket, yurt dışı hizmet sağlayıcıları seçerken: veri koruma standartlarını, güvenlik sertifikalarını, alt işleyen şeffaflığını, silme/iade yükümlülüklerini ve Türkiye’deki yasal başvurulara cevap verebilme kabiliyetini değerlendirir.

8.3. Yurt dışı hizmetlerin kullanımı hâlinde ilgili kişilere aktarılan veri kategorileri, amaç ve alıcı grubu, KVKK Aydınlatma Metni ve bu belge aracılığıyla bildirilir.

Madde 9 — Şirket’in Yükümlülükleri ve Taahhütleri

1. Şirket yurt dışı aktarım envanterini tutar ve güncel tutar; hangi veri, hangi alıcıya, hangi güvenceyle aktarılıyor kayıt altındadır.
2. Standart sözleşme imzalandığında beş iş günü içinde Kurum’a bildirim yapar; bildirim kayıtlarını saklar.
3. Yurt dışı sağlayıcılarla yapılan sözleşmelerde; gizlilik, güvenlik tedbirleri, alt işleyen kontrolü, ihlal bildirimi (bildirimin Kurul’a 72 saat içinde yapılmasını mümkün kılacak süre), silme/iade ve denetim hakkı hükümlerini bulundurur.
4. Yurt dışına aktarılan verileri asgari düzeyde tutar; mümkün olduğunda anonimleştirme veya takma adlandırma uygular.
5. İlgili kişilerin talebi hâlinde aktarım yapılan ülke ve alıcı grupları hakkında bilgi verir.
6. Mevzuat, Kurul kararları ve yeterlilik kararları değiştiğinde aktarım yapısını gözden geçirir.
7. Veri ihlali hâlinde Veri İhlali Bildirim Politikası’nı uygular.

Madde 10 — Kullanıcı’nın Kendi Aktarım Sorumluluğu

10.1. Kullanıcı; QR sayfalarında Ziyaretçilerden topladığı kişisel veriler bakımından veri sorumlusudur. Bu verilerin yurt dışına aktarılması (ör. Kullanıcı’nın verileri yurt dışındaki bir e-posta, CRM, muhasebe, anket veya bulut hizmetine aktarması; Platform’un sunduğu dışa aktarma araçlarıyla indirdiği verileri yurt dışındaki sistemlere yüklemesi; sayfasına yurt dışı sağlayıcıların formlarını, harita, video, analitik, ödeme veya mesajlaşma eklentilerini eklemesi) KVKK m.9 çerçevesinde tamamen Kullanıcı’nın sorumluluğundadır.

10.2. Kullanıcı; bu tür aktarımlarda yeterlilik kararı, uygun güvence veya arızi aktarım şartlarının sağlanmasından, standart sözleşmenin imzalanmasından ve beş iş günü içinde Kurum’a bildirilmesinden, ilgili kişilerin aydınlatılmasından ve hakların kullanımının sağlanmasından kendisi sorumludur. Şirket, Kullanıcı’nın yaptığı aktarımları denetlemez, bu konuda Kullanıcı adına bildirim yapmaz; Kullanıcı’nın aktarım yükümlülüklerini yerine getirmemesinden doğan idari para cezası, tazminat, masraf ve zararlardan Şirket sorumlu değildir.

10.3. Kullanıcı, Şirket’in Kullanıcı’ya ait Ziyaretçi verilerini veri işleyen sıfatıyla barındırmak amacıyla alt işleyenlere (altyapı sağlayıcıları) erişim vermesine ve bu sağlayıcıların yurt dışında bulunabileceğine, Veri İşleme Sözleşmesi uyarınca genel yetki verir. Şirket, bu alt işleyenlere ilişkin değişiklikleri Platform’da duyurur ve Kullanıcı’ya itiraz hakkı tanır; Kullanıcı itiraz ederse Hizmet’i sona erdirme ve verilerini dışa aktarma hakkı saklıdır.

10.4. Kullanıcı, yurt dışında yerleşik ise veya Ziyaretçilerin bulunduğu ülkede (ör. Avrupa Birliği) o ülke mevzuatı kapsamında yükümlülükleri varsa, bu yükümlülüklere uymak ve gerekli ek güvenceleri sağlamak yükümlülüğündedir. Şirket yabancı mevzuat bakımından hukuki danışmanlık veya uyum garantisi vermez.

Madde 11 — Yurt Dışından Erişim

Verilerin Türkiye’de bulunan sunucularda tutulması, yurt dışından uzaktan erişim (örneğin yurt dışındaki bir destek ekibinin verilere görüntüleme erişimi) hâlinde de yurt dışına aktarım sayılabilir. Şirket, bu tür erişimleri Madde 4 ila 7 kapsamında değerlendirir, erişimi gerekli ve yetkili kişilerle sınırlar, erişim kayıtlarını tutar.

Madde 12 — Veri Sahibi Hakları ve Başvuru

12.1. İlgili kişiler; KVKK m.11 uyarınca, yurt dışına aktarılan verilerinin hangi alıcılara, hangi ülkeye ve hangi güvence ile aktarıldığına ilişkin bilgi talep etme, aktarılmış verilerin düzeltilmesi veya silinmesi hâlinde bu işlemlerin alıcılara bildirilmesini isteme ve m.11’deki diğer haklara sahiptir.

12.2. Başvurular, Veri Sahibi Başvuru Prosedürü’nde belirtilen yollarla Şirket’e yöneltilebilir. Şirket başvuruyu en geç 30 gün içinde sonuçlandırır.

12.3. Cevabın yetersiz bulunması, başvurunun reddedilmesi veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir (KVKK m.14). Ayrıca, kanuna aykırı yurt dışı aktarım nedeniyle zarar gören kişiler genel hükümlere göre tazminat talep edebilir.

12.4. Kullanıcı’nın veri sorumlusu olduğu verilerin yurt dışına aktarımına ilişkin başvurular, öncelikle ilgili Kullanıcı’ya yöneltilmelidir; Şirket bu başvuruları ilgili Kullanıcı’ya yönlendirir.

Madde 13 — Sorumluluk Paylaşımı ve Rücu

13.1. Her taraf, kendi veri sorumlusu olduğu işlemlerde KVKK m.9’dan doğan yükümlülüklerden kendisi sorumludur.

13.2. Kullanıcı; kendi yurt dışı aktarım tercihleri, harici eklenti ve entegrasyonları ve Madde 10’daki yükümlülükleri nedeniyle ortaya çıkan idari para cezası, tazminat, avukatlık ücreti ve diğer zararlardan, Şirket’e yönelen taleplerin Kullanıcı’ya rücu edilebileceğini kabul eder; kast ve ağır kusur sorumluluğuna ilişkin emredici hükümler ile tüketici haklarına ilişkin kanun hükümleri saklıdır.

13.3. Şirket, üçüncü kişi hizmet sağlayıcıların sistemlerinde Şirket’in kontrolü dışında gerçekleşen veri güvenliği olaylarından, kanunen izin verilen azami ölçüde sorumlu değildir; ancak sağlayıcılar hakkında sözleşmesel haklarını kullanma ve ilgili kişileri bilgilendirme yükümlülüğü saklıdır.

Madde 14 — Değişiklik

Mevzuat, Kurul kararları (özellikle yeterlilik kararları ve standart sözleşme metinleri) veya Platform’un teknik yapısı değiştiğinde bu belge güncellenebilir. Güncel metin Platform’da yayımlandığı tarihte yürürlüğe girer. Esaslı değişiklikler kayıtlı iletişim bilgileri aracılığıyla duyurulur.

Madde 15 — Yürürlük ve Kabul

15.1. Bu belge, Platform’da yayımlandığı tarihte yürürlüğe girer.

15.2. Kullanıcı, üyelik sırasında verdiği elektronik onay ile bu belgeyi okuduğunu, Madde 10 ve Madde 13’teki sorumlulukları anladığını ve kabul ettiğini beyan eder. Elektronik onay kaydı (tarih, saat, IP özeti, sürüm numarası) HMK m.193 uyarınca delil sözleşmesi niteliğindedir ve ıslak imza yerine geçer.

15.3. Türk hukuku uygulanır; tüketici işlemlerinde kanunen yetkili merciler saklı kalmak kaydıyla Konya Mahkemeleri ve İcra Daireleri yetkilidir.

Son güncelleme: 21 Ekim 2026