Hukuk Yazılımı Sözleşmesinde Aranacak Hükümler

Gökçen Beyazoğlu LL.B.

Avukat, Chief Product Officer · Attornaid

Hukuk bürosu veya kurumsal hukuk birimi bir yazılım sözleşmesini imzalamadan önce yedi başlığa bakmalıdır: veri sahipliği ve çıkış, hizmet seviyesi taahhüdü, güvenlik ve ihlal bildirimi, alt işleyenler, fiyat değişikliği ve yenileme, sorumluluk sınırı ve fesih, yapay zeka kullanımı. Her başlıkta aranan şey niyet beyanı değil, ölçülebilir bir taahhüttür: gün, saat, oran veya açık bir yasak. Veri sahipliği ve çıkış, veri işleme sözleşmesi, ihlal bildirimi ve müşteri verisinin model eğitiminde kullanılmaması vazgeçilmez hükümlerdir; hizmet kredisi, fiyat artış tavanı ve bildirim süreleri pazarlık konusudur.

SaaS sözleşmeleri tedarikçi tarafından, tüm müşterilere aynı metinle uygulanmak üzere ve tedarikçi lehine yazılır. Ana metin kısa ve genel tutulur; hizmet seviyesi, güvenlik önlemleri, alt işleyen listesi ve kabul edilebilir kullanım gibi kritik konular eklerde veya kullanım koşulları bağlantısında durur. Bağlantıdaki metin çoğu zaman tedarikçi tarafından tek taraflı değiştirilebilir. Hukuk bürosu ve hukuk birimi için bu belirsizlik daha ağırdır, çünkü sistemde müvekkil sırrı kapsamındaki belgeler, kişisel veriler ve dosya geçmişi tutulur. Satın alma son aşamaya geldiğinde standart metni olduğu gibi kabul etmek yerine aşağıdaki hükümleri tek tek aramak gerekir.

Hükümler ve aranacak ifadeler

İnceleme ana metinle sınırlı kalmamalıdır. Sözleşmenin atıf yaptığı her ek ve bağlantılı belge okunur; bağlantılı koşullar müşteri aleyhine değiştirildiğinde önceden bildirim ve fesih hakkı aranır. Aşağıdaki tablo, her hüküm için sık görülen zayıf bir ifadeyi ve yerine aranacak ifadeyi gösterir.

Hüküm	Neden önemli	Zayıf ifade örneği	Aranacak ifade
Veri sahipliği	Dosya geçmişi ve müvekkil ilişkisi veriye bağlıdır	Tedarikçi, hizmeti iyileştirmek için müşteri verisini kullanabilir.	Müşteri verisi müşteriye aittir; tedarikçi onu yalnızca hizmeti sunmak için işler.
Çıkış ve dışa aktarım	Ayrılık anında pazarlık gücü kalmaz	Talep halinde veriler makul biçimde sağlanır.	Fesihte tüm veri, belgeler ve meta veriyle birlikte, belirtilen biçimlerde ve gün sayısıyla yazılmış süre içinde ek ücretsiz teslim edilir.
Hizmet seviyesi	Kesinti, duruşma ve süre takibini doğrudan etkiler	Yüksek erişilebilirlik sağlamayı hedefleriz.	Aylık erişilebilirlik oranı taahhüt edilir; altında kalınırsa hizmet kredisi uygulanır.
İhlal bildirimi	Büronun kendi bildirim yükümlülüğü bu bildirime bağlıdır	Makul süre içinde bilgilendirme yapılır.	Gecikmeksizin ve saatle yazılmış üst sınır içinde, olay ayrıntılarıyla bildirim yapılır.
Alt işleyenler	Veri, sözleşmenin tarafı olmayan şirketlere gider	Tedarikçi alt yükleniciler kullanabilir.	Güncel liste paylaşılır, değişiklikten önce bildirilir, itiraz ve cezasız fesih hakkı tanınır.
Yapay zeka	Model eğitimine giren veri geri alınamaz	Veriler ürün geliştirme amacıyla kullanılabilir.	Müşteri verisi ve girdiler hiçbir modelin eğitiminde kullanılmaz; çıktılar müşteriye aittir.
Fiyat ve yenileme	Bütçe ve çıkış planı buna göre yapılır	Fiyatlar yenilemede güncellenebilir.	Yenileme artışı bir oran veya endeksle sınırlıdır; otomatik yenilemeden önce hatırlatma yapılır.
Sorumluluk ve fesih	Tedarikçi kusurunda telafi imkânını belirler	Tedarikçi dolaylı veya doğrudan hiçbir zarardan sorumlu değildir.	Veri ve gizlilik ihlali için ayrı ve daha yüksek tavan; esaslı ihlalde haklı fesih ve veri teslimi.

Bağlantı da sözleşmedir: Kullanım koşulları, hizmet seviyesi belgesi ve güvenlik eki imza tarihindeki halleriyle kaydedilip sözleşme dosyasına konmalıdır. Aksi halde bir uyuşmazlıkta hangi metnin geçerli olduğu ayrı bir tartışma konusu olur.

Veri sahipliği ve çıkış

Sözleşme, sistemdeki verinin müşteriye ait olduğunu açıkça söylemelidir. Veri yalnızca dosya kayıtlarından ibaret değildir: belgeler ve sürümleri, notlar, zaman kayıtları, takvim kayıtları, UYAP'tan indirilen evrak, yorumlar ve bunlara bağlı meta veri de kapsamdadır. Tedarikçinin bu veriyi hizmeti sunmak dışında bir amaçla kullanma yetkisi olmamalıdır.

Çıkış hükmü, ayrılık gününün koşullarını bugünden yazar. Aranacak dört unsur vardır:

Tam dışa aktarım: tüm veri, belgeler ve aralarındaki bağlantılar korunarak, yaygın ve okunabilir biçimlerde.
Süre ve ücret: dışa aktarımın kaç gün içinde yapılacağı ve ek ücrete tabi olup olmadığı.
Salt okunur dönem: fesihten sonra gün sayısıyla belirlenmiş bir süre boyunca verilere erişim.
Silme teyidi: yedekler dahil silmenin tamamlandığına dair yazılı teyit ve yedeklerin hangi sürede döngüden çıkacağı.

Hangi verinin pratikte taşınabildiği ve hangisinin geride kaldığı ayrıca sınanmalıdır; bu konu hukuk yazılımında veri taşınabilirliği yazısında ayrıntılı ele alınıyor.

Hizmet seviyesi, güvenlik ve alt işleyenler

Hizmet seviyesi hükmünde dört unsur aranır: aylık erişilebilirlik oranı, planlı bakım pencereleri, destek yanıt süreleri ve taahhüt tutulmadığında uygulanacak hizmet kredisi. Bakımın mesai saatleri dışında ve önceden bildirilerek yapılması, erişilebilirlik hesabından hangi kesintilerin düşüldüğünün açıkça yazılması gerekir. Destek yanıt süreleri talebin önem derecesine göre ayrılmalıdır; sisteme hiç erişilememesi ile bir raporun hatalı görünmesi aynı süreye bağlanmamalıdır.

Hedeflemek taahhüt değildir: "Yüksek erişilebilirlik sağlamayı hedefleriz" ifadesi tedarikçiye bir yükümlülük yüklemez. "Aylık erişilebilirlik oranını taahhüt ederiz; altında kalınırsa hizmet kredisi uygulanır" ifadesi ise ölçülebilir ve sonuç doğurur.

Güvenlik ve ihlal bildirimi hükmü, olayın ne zaman, nasıl ve hangi içerikle bildirileceğini düzenler. Bildirim gecikmeksizin ve saatle yazılmış bir üst sınır içinde yapılmalı; etkilenen veri türlerini, olayın zamanını, alınan önlemleri ve irtibat kişisini içermelidir. Tedarikçinin incelemede iş birliği yapma ve ilgili kayıtları paylaşma yükümlülüğü de yazılmalıdır.

KVKK kapsamında büro veya kurum veri sorumlusu, tedarikçi ise veri işleyendir; bu ilişki ayrı bir veri işleme sözleşmesiyle yazılı hale getirilir. Yedeklemenin sıklığı, yedeklerin nerede tutulduğu ve sunucuların hangi ülkede bulunduğu da bu belgede yer almalıdır. Sunucular yurt dışındaysa aktarımın dayanağı ayrıca değerlendirilir.

Alt işleyenler, tedarikçinin hizmeti sunarken müşteri verisini işlettiği üçüncü taraflardır: barındırma, e-posta gönderimi, destek araçları ve yapay zeka model sağlayıcıları. Sözleşmede şunlar aranır:

Her birinin işlediği veri ve bulunduğu ülkeyle birlikte güncel alt işleyen listesine erişim.
Yeni bir alt işleyen eklenmeden önce yazılı bildirim.
Makul gerekçeyle itiraz hakkı; itiraz sonuçsuz kalırsa cezasız fesih ve peşin ödenmiş bedelin kullanılmayan kısmının iadesi.

Yapay zeka hükümleri

Yapay zeka özellikleri olan bir yazılımda üç konu ayrıca düzenlenmelidir. Birincisi model eğitimidir: müşteri verisinin, girdilerin ve çıktıların tedarikçinin veya üçüncü taraf model sağlayıcılarının modellerini eğitmek için kullanılmayacağı açık bir yasak olarak yazılır, kullanıcının kapatabileceği bir ayar olarak bırakılmaz. İkincisi çıktılar üzerindeki haklardır: üretilen taslak, özet ve analizlerin müşteriye ait olduğu ve tedarikçinin bunlar üzerinde kullanım hakkı talep etmediği belirtilir. Üçüncüsü üçüncü taraf model sağlayıcılarıdır: hangi sağlayıcıların kullanıldığı, verinin bu sağlayıcılarda ne kadar süre tutulduğu ve hangi ülkede işlendiği gösterilir.

Model sağlayıcıları alt işleyen listesinde yer almalı ve bildirim ile itiraz hakkına tabi olmalıdır. Hizmeti iyileştirmek için anonimleştirilmiş veri kullanımına izin veren ifadeler, anonimleştirmenin nasıl yapıldığı ve model eğitimini kapsayıp kapsamadığı yazılmadıkça kabul edilmemelidir. Avukatın sır saklama yükümlülüğü bakımından, müvekkil bilgisinin büro dışında hangi koşullarla işlendiği bu hükümlerle belgelenir.

Fiyat, süre, sorumluluk ve fesih

Fiyat hükmünde bugünkü bedelden çok yenilemedeki değişim önemlidir. Yenileme artışının bir oranla veya TÜFE gibi bir endeksle sınırlanması, kullanıcı sayısı arttığında ve azaldığında bedelin nasıl hesaplanacağı ve dönem içinde lisans azaltmanın mümkün olup olmadığı yazılmalıdır. Otomatik yenileme varsa tedarikçinin yenilemeden önce hatırlatma yapması ve fesih bildirim süresinin makul tutulması istenir; bu süre, sözleşmenin imzalandığı gün takvime işlenir.

Standart metinlerde tedarikçinin sorumluluğu sıklıkla belirli bir dönemde ödenen bedelle sınırlanır. Bu tavan bir yazılım arızası için makul olabilir, ancak veri ihlali ve gizlilik yükümlülüğünün ihlali için yetersiz kalır. Bu hallerde ayrı ve daha yüksek bir tavan veya tavan dışında bırakma aranır.

Haklı fesih halleri en az şunları kapsamalıdır: hizmet seviyesinin tekrarlayan ihlali, veri ihlali, alt işleyen değişikliğine itirazın sonuçsuz kalması ve bağlantılı koşulların müşteri aleyhine değiştirilmesi. Fesih hangi nedenle olursa olsun tedarikçinin veri teslim yükümlülüğü devam etmeli, ödeme uyuşmazlığı sürerken bile verinin teslimden kaçınılarak elde tutulmayacağı açıkça yazılmalıdır.

Müzakere sırası: vazgeçilmez ve pazarlık konusu hükümler

Her hükmü aynı ağırlıkla müzakere etmek süreci uzatır ve önemli konularda taviz verme riskini artırır. Pratik sıra şudur: önce vazgeçilmez hükümler kapatılır, sonra ticari koşullar konuşulur. Vazgeçilmez bir hüküm kabul edilmiyorsa fiyat indirimi bu açığı kapatmaz.

Vazgeçilmez	Müzakere edilebilir
Verinin müşteriye ait olması	Hizmet kredisinin oranı ve üst sınırı
Fesihte tam dışa aktarım ve silme teyidi	Salt okunur dönemin uzunluğu
Veri işleme sözleşmesi ve ihlal bildirimi yükümlülüğü	Bildirimin saat cinsinden üst sınırı
Müşteri verisinin model eğitiminde kullanılmaması	Yenileme artış tavanının düzeyi
Alt işleyen değişikliğine itiraz hakkı	Sorumluluk tavanının tutarı
Her fesih halinde veri teslimi	Otomatik yenileme ve fesih bildirim süresi

Tablodaki ayrım, hükmün varlığı ile içindeki rakam arasındadır: ihlal bildirimi yükümlülüğü pazarlık konusu değildir, bildirimin kaç saat içinde yapılacağı pazarlık konusudur. Üzerinde anlaşılan her değişiklik ana sözleşmeye veya imzalı bir ek protokole yazılır; e-postayla verilen bir söz, bağlantılı koşulların bir sonraki güncellemesinde kaybolabilir.

Kontrol listesi

Sözleşmenin atıf yaptığı tüm ekler ve bağlantılı koşullar imza tarihindeki halleriyle dosyada mı?
Verinin müşteriye ait olduğu ve yalnızca hizmet için işleneceği yazılı mı?
Fesihte tam dışa aktarım, salt okunur dönem ve silme teyidi gün sayısıyla belirlenmiş mi?
Erişilebilirlik taahhüt olarak mı yazılmış ve ihlalde hizmet kredisi var mı?
İhlal bildirimi için saatle yazılmış bir üst sınır ve imzalı bir veri işleme sözleşmesi var mı?
Alt işleyen listesi, değişiklik bildirimi ve itiraz hakkı düzenlenmiş mi?
Müşteri verisinin model eğitiminde kullanılmayacağı açık bir yasak olarak yazılı mı?
Yenileme artış tavanı belirlenmiş ve fesih bildirim süresi takvime işlenmiş mi?

Sıkça sorulan sorular

Hukuk yazılımı sözleşmesinde en önemli hüküm hangisidir?

Veri sahipliği ve çıkış hükmüdür. Verinin müşteriye ait olduğu, ayrılışta tüm verinin belgeler ve meta veriyle birlikte okunabilir biçimde teslim edileceği, gün sayısıyla belirlenmiş bir salt okunur dönem tanınacağı ve silmenin yazılı olarak teyit edileceği açıkça yazılmalıdır. Diğer hükümlerdeki eksikler çoğu zaman sonradan telafi edilebilir; çıkış hükmündeki eksik ise ayrılık anında fark edilir.

Hizmet seviyesi taahhüdünde nelere bakılmalı?

Erişilebilirliğin rakamla taahhüt edilip edilmediğine, planlı bakım pencerelerinin ne zaman ve nasıl bildirileceğine, destek taleplerinin önem derecesine göre yanıt sürelerine ve taahhüt tutulmadığında uygulanacak hizmet kredisine bakılmalıdır. Belirli bir düzeyi hedeflediğini söyleyen ifade bağlayıcı bir taahhüt değildir.

Yazılım sağlayıcısı veri ihlalini ne zaman bildirmeli?

Gecikmeksizin ve sözleşmede saatle yazılmış bir üst sınır içinde bildirmelidir. Bildirim; etkilenen veri türlerini, olayın zamanını, alınan önlemleri ve irtibat kişisini içermelidir. Büro veya kurum KVKK kapsamında veri sorumlusu olduğundan, kendi bildirim yükümlülüğünü yerine getirebilmesi için tedarikçinin bildirimi bu süreyi tüketmemelidir.

Alt işleyen nedir ve sözleşmede nasıl düzenlenir?

Alt işleyen, yazılım sağlayıcısının hizmeti sunarken müşteri verisini işlettiği barındırma, e-posta, destek veya yapay zeka model sağlayıcısı gibi üçüncü taraflardır. Sözleşmede güncel listeye erişim, yeni bir alt işleyen eklenmeden önce bildirim ve makul gerekçeyle itiraz hakkı yer almalıdır. İtiraz sonuçsuz kalırsa cezasız fesih hakkı tanınmalıdır.

Yapay zeka özellikleri için sözleşmeye ne eklenmeli?

Müşteri verisinin, girdilerin ve çıktıların tedarikçinin veya üçüncü taraf model sağlayıcılarının modellerini eğitmek için kullanılmayacağı açık bir yasak olarak yazılmalıdır. Çıktılar üzerindeki hakların müşteride kaldığı da belirtilmelidir. Kullanılan model sağlayıcıları alt işleyen listesinde yer almalı ve verinin bu sağlayıcılarda ne kadar süre tutulduğu gösterilmelidir.

Müzakerede hangi hükümlerden vazgeçilmemeli?

Veri sahipliği ve çıkış, veri işleme sözleşmesi, ihlal bildirimi ve müşteri verisinin model eğitiminde kullanılmaması vazgeçilmez hükümlerdir. Hizmet kredisinin oranı, fiyat artış tavanı, sorumluluk tavanının tutarı ve bildirim süreleri ise pazarlık konusudur. Önce vazgeçilmez hükümler kapatılır, ticari koşullar sonra konuşulur.