Kurumsal bir BaaS sözleşmesinde en önemli soru yedeğin nasıl alındığı değildir. Asıl soru, bir gün yedeğe ihtiyaç duyulduğunda verinin hangi biçimde geri döneceği ve sağlayıcıyla yollar ayrılmak istendiğinde verinin nasıl taşınacağıdır. Bu iki konu sözleşmede açık yazılmazsa yedek ortamı çalışır görünse bile kurum kendi verisini geri alırken pazarlık gücünü kaybedebilir.
Hızlı Özet
BaaS sözleşmesinde veri kapsamı, saklama süresi, geri yükleme hakkı, çıkış süreci, veri teslim biçimi, silme kanıtı ve KVKK kapsamındaki veri işleme yükümlülükleri yazılı olmalıdır. Bu maddeler sağlayıcının resmî dokümanı ve imzalı sözleşmeyle netleşmeden kesin taahhüt sayılmaz. Leon-X, Bulutistan altyapısının sahibi değildir. Leon-X, kurumun ihtiyacına göre bu maddeleri hazırlayan ve sağlayıcıyla görüşülecek noktaları netleştiren çözüm ortağı olarak çalışır.
İçindekiler
- Sözleşme Neden Çıkış Planıyla Başlar
- Veri Kapsamı Açıkça Yazılmalı
- Saklama Süresi ve Geri Yükleme Hakkı
- Çıkış Maddeleri Ne İçermeli
- Silme ve Kanıt Maddesi
- KVKK ve Veri İşleme Ekleri
- Yaygın Hatalar
- Kontrol Listesi
- Sık Sorulan Sorular
- Sonuç
- Kaynaklar
Kaynak Wikimedia Commons, Datacenter Server Racks (22370909788). Fotoğraf Carl Lender tarafından çekilmiş olup CC BY 2.0 lisansı altındadır. Görsel WebP biçimine çevrilip boyutlandırıldı.
Sözleşme Neden Çıkış Planıyla Başlar
Sözleşme çoğunlukla hizmetin kapsamını ve fiyatını anlatır. Çıkış maddeleri ise genellikle sona bırakılır. Oysa bir yedekleme hizmetinden ayrılmak ilk kurulumdan daha zor olabilir. Veri hacmi büyüdükçe taşıma süresi uzar, kopyaların biçimi değişebilir ve yeni sağlayıcının verinin nasıl okunacağını bilmesi gerekir.
Seçim toplantısında sorulacak ilk soru bu yüzden "nasıl başlarız" değil, "nasıl bitiririz" olmalıdır. Çıkış planı yazılı değilse sağlayıcı değiştirmek pratikte mümkün olmayabilir.
Veri Kapsamı Açıkça Yazılmalı
Sözleşmede hangi sistemlerin, veritabanlarının, sanal makinelerin ve dosya paylaşımlarının yedeklendiği tek tek yazılmalıdır. "Tüm altyapı yedeklenir" gibi genel bir ifade ileride tartışma konusu olur. Kapsam listesi yoksa eksik kalan sistem geri yükleme sırasında ilk kez fark edilir.
Kapsam maddesinde iki konu daha yer almalıdır. Birincisi, yedeğe dahil olmayan veri kaynakları. Geçici dosyalar ya da SaaS üzerindeki veriler ayrı bir plana bağlanmış mı? İkincisi, veri değişim oranının yedek süresini nasıl etkilediği. Bu konuda bulut sunucuda yedekleme penceresi yazısındaki yük ölçümü yaklaşımı işe yarar.
Saklama Süresi ve Geri Yükleme Hakkı
Saklama süresi sözleşmede açık bir takvimle yazılmalıdır. Günlük ve aylık kopyaların ne kadar tutulacağı, eski kopyaların ne zaman silineceği bu maddeye bağlıdır. Burada yalnızca süre değil, saklama kuralının tek taraflı değiştirilip değiştirilemeyeceği de sorulmalıdır. Kural sağlayıcı tarafından sessizce değiştirilebiliyorsa geçmişe dönük yedekler üzerindeki güven zayıflar.
Geri yükleme hakkı ayrı bir maddedir. Sözleşme, geri yükleme talebinin kim tarafından ve hangi sürede karşılanacağını belirtmelidir. Test edilmemiş bir geri yükleme hakkı kâğıt üzerinde kalır. Tatbikatın nasıl kayda geçirileceği için yedekleme testi olmadan BaaS geri yükleme tatbikatı kontrol listesi kullanılabilir.
Çıkış Maddeleri Ne İçermeli
Çıkış maddesi üç parçadan oluşur: veri dışa aktarımı, geçiş desteği ve sonlandırma takvimi.
Veri dışa aktarımında sağlayıcının verinin hangi biçimde teslim edileceği yazılmalıdır. Kapalı bir biçimde teslim edilen yedek, başka bir platformda kullanılamayabilir. Teslim biçimi ve doğrulama yöntemi bu yüzden sözleşmede yer almalıdır.
Geçiş desteği de netleşmelidir. Sağlayıcının çıkış sırasında hangi desteği vereceği, bu desteğin ek ücrete tabi olup olmadığı ve süresi açıkça belirtilmelidir. Destek kapsamı belirsizse çıkış dönemi uzar ve iki sağlayıcının hizmeti aynı anda ödenmiş olur.
Sonlandırma takvimi, yeni sağlayıcıya geçiş tamamlanmadan eski hizmetin kapanmamasını sağlar. Bildirim süresi ve kapanış tarihi sözleşmede açık olmalıdır. Dışarı veri aktarımının maliyeti de bu kapsamda değerlendirilmelidir. Bu konuda egress ve veri çıkış ücretlerini izleme yazısı yardımcı olur.
Silme ve Kanıt Maddesi
Sağlayıcı ayrıldıktan sonra verinin silindiği nasıl kanıtlanacak? Bu soru çoğu sözleşmede eksik kalır. Silme maddesi, işlemin hangi kapsamda yapıldığını ve bunun yazılı olarak nasıl bildirileceğini belirtmelidir. Yedek kopyalarının yedek katmanında da silinip silinmediği özellikle sorulmalıdır. Ana sistemden silinen veri yedek katmanında bir süre daha kalabilir.
KVKK ve Veri İşleme Ekleri
Yedekleme hizmeti kişisel veri içeriyorsa sağlayıcı veri işleyen konumunda olur. Bu ilişki için veri işleme sözleşmesi ya da eki gerekir. Sözleşmede verinin hangi amaçla işlendiği, alt işleyicilerin kim olduğu ve güvenlik tedbirlerinin nasıl bildirileceği yazılmalıdır.
Veri lokasyonu da bu başlıkta ele alınmalıdır. Verinin hangi merkezde tutulacağı proje öncesinde doğrulanmalıdır. Lokasyon bilgisi yalnızca tanıtım metninde yer alıyorsa hukuki kontrol için yeterli değildir. Leon-X bu maddeleri sağlayıcıyla görüşmeden kesin bir uyum vaadi olarak sunmaz.
Yaygın Hatalar
- Çıkış maddesini sözleşmenin son sayfasına bırakmak.
- Kapsam listesi olmadan "tüm veriler yedeklenir" ifadesini kabul etmek.
- Saklama süresini yazıp saklama kuralının tek taraflı değişip değişemeyeceğini sormamak.
- Geri yükleme hakkını tatbikat yapmadan güvenilir saymak.
- Silme kanıtı istemeden sözleşmeyi imzalamak.
Kontrol Listesi
- Yedeklenen sistemler ve veri kaynakları sözleşmede tek tek listelendi mi?
- Saklama süreleri ve saklama kuralının değişikliği yazılı mı?
- Geri yükleme talebinin süresi ve sorumlusu belli mi?
- Veri teslim biçimi ve doğrulama yöntemi tanımlandı mı?
- Çıkış desteği, bildirim süresi ve kapanış takvimi yazılı mı?
- Silme kanıtı ve yedek katmanındaki silme kapsamı netleşti mi?
- Veri işleme eki ve veri lokasyonu proje öncesinde doğrulandı mı?
Sık Sorulan Sorular
Çıkış maddesi neden bu kadar önemli?
Yedek ortamını kurmak ile ondan ayrılmak aynı zorlukta değildir. Çıkış maddesi, veri bir sağlayıcıdan diğerine taşınırken kurumun elinde ne kalacağını gösterir. Maddeler yazılı değilse değişiklik kararı süre ve maliyet nedeniyle ertelenir.
Sağlayıcı teslim biçimini sonradan belirleyebilir mi?
Bu, sözleşme anında kabul edilmemelidir. Teslim biçimi veri kaybı riskini ve yeni platformda okunabilirliği doğrudan etkiler. Biçim yazılı değilse çıkış anında pazarlık gücü sağlayıcıya geçer.
Leon-X maddeleri onaylar mı?
Hayır. Leon-X maddeleri ihtiyaç analizi ve sağlayıcı dokümanlarıyla birlikte hazırlar, görüşülecek noktaları netleştirir. Kesin taahhütler sağlayıcının imzalı sözleşmesinde yer alır.
Sonuç
BaaS seçiminde yedekleme kapasitesi kadar çıkış koşulları da kararın parçasıdır. Veri kapsamı, saklama ve geri yükleme hakkı, çıkış desteği ve silme kanıtı yazılı olduğunda kurum sağlayıcı değişikliğini gerektiğinde yapabilir. Maddeleri sağlayıcıyla görüşmeden önce kurumsal bulut yedekleme (BaaS) çözümü üzerinden ihtiyaç analizi planlanabilir. Bu aşamada hedeflenen, kesin vaatler yerine kurumun gerçek ihtiyacına uyan maddelerdir.
Kaynaklar
- Kullanılan BaaS sağlayıcısının sözleşme, veri işleme ve çıkış dokümanları
- Kurumun KVKK ve veri saklama politikası
- Sağlayıcı ile yazılı olarak paylaşılan teknik kapsam belgesi
