Sözleşme biter, denetim bitmez

Yükümlülük sağlayıcıdan uzun yaşar

Bir misafir Wi-Fi hizmetine abone olursunuz. Aylık ücret, portal, kayıtlar bulutta. İki yıl sonra fiyat değişir, ihtiyacınız değişir, sağlayıcı değişir; sözleşmeyi bitirirsiniz. Peki geçen iki yılın kaydı nerede?

5651 sayılı Kanun'un toplu kullanım sağlayıcıdan beklediği saklama süresi sözleşmenizden bağımsızdır. Hizmeti sonlandırdığınız gün, önceki 730 günün kaydı için hâlâ muhatap sizsiniz. Bir yıl sonra gelen resmi talep "sağlayıcımız değişti" cevabını kabul etmez.

Bu yazı bir sağlayıcıyı eleştirmek için değil, imza atmadan önce doğru soruları sormanız için yazıldı.

Sözleşme bittiğinde dört senaryo

Bulut tabanlı bir hizmet sona erdiğinde arşiv dört yoldan birine gider:

Senaryo	Sizin için anlamı
Arşiv hemen silinir	Yükümlülük sürer, kayıt yoktur
Arşiv belirli süre "dondurulur", okunabilir ama yeni ücretle	Erişim var ama bedeli ve süresi sağlayıcıya bağlı
Arşiv dışa aktarılır, ancak doğrulama bilgisi olmadan	Satırlar var, bütünlük kanıtı yok
Arşiv imzalı ve damgalı biçimde teslim edilir	Bağımsız doğrulanabilir; istenen bu

Sözleşmenizde hangisinin yazdığını bilmiyorsanız, muhtemelen ilk ikisinden biridir. Çünkü dördüncü seçenek sağlayıcı açısından ek iş demektir ve sorulmadan sunulmaz.

Kutuda arşiv nerede durur?

Hotspot-Box'ta kayıt kutuda, yani işletmenizde tutulur. Buluta, yurt dışına ya da bize gitmez. Her günün kayıtları SHA-256 özet zinciriyle bağlanır ve RFC 3161 zaman damgası alır; damga servisine yalnızca özet gider. Panelden herhangi bir günü doğrulayıp ZIP olarak dışa aktarırsınız. İkinci kopya SFTP veya FTPS ile sizin belirlediğiniz sunucuya gider.

Bunun "sözleşme bitti" günündeki sonucu şudur:

• Kutu + Yazılım modelinde lisans süresizdir; sözleşme diye bir bitiş yoktur. Arşiv kutuda ve kopyalarınızda durur.
• Virtual Appliance modelinde de lisans süresizdir; arşiv sanal makinede ve kopyalarınızda durur. Doğrulama, damga dosyaları ve openssl ile cihazdan bağımsız yapılabilir.
• SaaS bulut hizmetinde sahada cihaz yoktur ve 5651 kaydı tutulmaz; dolayısıyla sözleşme bitiminde taşınacak bir arşiv de yoktur. Yasal kayıt yükümlülüğü olan işletme için bu model tek başına yeterli değildir; Kutu ya da Virtual Appliance seçilir.

Yani soru "arşivi geri alabilir miyim" değil, "arşivi zaten hep bende miydi" sorusuna döner.

Sağlayıcıya sorulacak 8 soru

Hangi çözümü değerlendiriyor olursanız olun, teklifi veren kişiye şunları sorun ve cevabı yazılı alın:

1. Kayıtlar fiziksel olarak nerede tutuluyor? Ülke, veri merkezi, bizim işletmemiz mi?
2. Sözleşme bittiği gün arşive ne olur? Silinir mi, dondurulur mu, teslim edilir mi? Kaç gün içinde?
3. Teslim edilen arşiv hangi biçimde? Yalnızca satırlar mı, yanında özet zinciri ve zaman damgası dosyası var mı?
4. Arşivi sizin sisteminiz olmadan doğrulayabilir miyiz? Hangi araçla, hangi komutla?
5. Sözleşme süresince arşivin bir kopyasını kendi sunucumuza alabiliyor muyuz? Otomatik mi, elle mi?
6. Misafir telefon numaraları sizin sistemlerinizden geçiyor mu? Geçiyorsa KVKK açısından veri işleyen sözleşmeniz var mı?
7. Sağlayıcı faaliyetini durdurursa ne olur? Bu soru rahatsız edicidir ama en önemlisidir.
8. Arşivi geri almanın ücreti var mı? Varsa sözleşmede yazsın.

Hotspot-Box için cevaplar sırasıyla: işletmenizde; hiçbir şey, zaten sizde; gün dizinleri, manifest, damga dosyası, doğrulama raporu; evet, openssl ts -verify ile; evet, SFTP/FTPS ile günlük; hayır, kutu SMS'i doğrudan sağlayıcınıza gönderir; kutu çalışmaya devam eder, arşiv sizde kalır; yok.

Geçiş döneminde iki arşiv yan yana

Bir sağlayıcıdan diğerine geçtiğinizde iki yıllık saklama penceresi sıfırlanmaz. İlk 730 gün boyunca iki arşiviniz olur: eski sağlayıcıdan teslim aldığınız kayıtlar ve yeni kutunun kurulduğu gün başlayan zincir. Kutu geriye dönük imza yapmaz; eski kayıtlar teslim edildiği biçimde saklanır.

Bu dönemde yapılacaklar kısa:

• Eski arşivi teslim aldığınız gün bir SHA-256 özetini alın ve teslim tarihini not edin. Sonradan değişmediğini en azından bu tarihten itibaren gösterebilirsiniz.
• Eski arşivi, yeni kutunun SFTP hedefiyle aynı sunucuda ayrı bir dizinde saklayın; yedek rutini ikisini birlikte kapsasın.
• Geçiş gününü kurulum belgelerine yazın. Denetimde "neden iki biçim var" sorusunun cevabı bu tarih olur.

Eski sağlayıcı arşivi imzasız teslim ettiyse, bu bir eksiklik olarak kalır; gizlemeyin, geçiş tarihiyle birlikte açıklayın.

"Ama bulut daha rahat"

Doğru noktaları var. Bulut çözümlerde donanım derdi yoktur, güncellemeler görünmez, birden fazla şubeyi tek ekrandan yönetmek kolaydır. Bunların hiçbiri küçümsenecek şey değil.

Soru şu: rahatlık ile arşivin denetimi arasında seçim yapmak zorunda mısınız? Kutu ve Virtual Appliance'da bu ikisi ayrılır: lisans ve yönetim buluttan, kayıt sizin cihazınızda. Platform cihazın sağlığını görür (disk, damga durumu, kredi), misafir verisini görmez. SaaS bulut hizmeti ise kayıt tutmaz; arşiv sorusu orada hiç doğmaz, ama yasal yükümlülüğü de karşılamaz.

İmza atmadan önceki akşam

Elinizdeki teklifi yukarıdaki 8 soruyla okuyun. Cevabı olmayan her soru, iki yıl sonra sizin cevaplamanız gereken bir soruya dönüşür. En kritik ikisi: sözleşme bittiği gün arşive ne olur ve arşivi sağlayıcı olmadan doğrulayabilir misiniz.

Üç ürün modelini yan yana görmek için ürünler sayfasına, SaaS modelinin ayrıntısı için SaaS sayfasına bakabilirsiniz. Sorularınız için iletişime geçin.

Bu yazı genel bilgi amaçlıdır ve hukuki danışmanlık yerine geçmez.