Bulut Hizmeti Bilişim Sözleşmeleri
TL;DR: AWS, Azure ve benzeri büyük bulut sağlayıcılarının SLA sözleşmeleri, hizmet kesintisi durumunda elde edilebilecek tek telafinin aylık fatura bedelinin belirli bir yüzdesi kadar "service credit" (hizmet kredisi) olduğunu açıkça düzenlemektedir. Bu mekanizma, gerçek ticari zararın milyonlarca dolar olduğu durumlarda bile alacaklıyı birkaç yüz dolarlık fatura indirimiyle sınırlar. Ancak bu sınırlamanın hukuken sonsuz geçerliliği yoktur. TBK m. 115/1 uyarınca ağır kusurdan (kast ve ağır ihmal) doğan sorumluluğu önceden ortadan kaldıran her anlaşma kesin hükümsüzdür; bu emredici hüküm tacirler arası sözleşmelerde de geçerliliğini korumaktadır. TBK m. 115/3 ise kanun veya yetkili makam izniyle yürütülen uzmanlık gerektiren hizmetlerde hafif kusurdan sorumsuzluk anlaşmasını dahi kesin hükümsüz saymaktadır. Veri kaybı ile erişim kesintisi bu çerçevede birbirinden hukuki açıdan titizlikle ayrıştırılmalıdır: veri kaybından kaynaklanan zarar, geleneksel haksız fiil ve sözleşme hukuku kapsamında SLA'nın öngördüğü üst sınırın çok ötesinde bir talep zemini oluşturabilir.
Yazar: Avukat Yusuf KILIÇKAN
Tarih: 4 Mayıs 2026
Sorunun Boyutu: Service Credit Bir Telafi mi, Bir Tuzak mı?
E-ticaret şirketinin sunucuları üç saat boyunca çevrimdışı kalıyor. Sipariş işleyemeyen şirket bu sürede yüz binlerce dolar gelir kaybediyor; müşterileri rakip sitelere akıyor; planlanan kampanya kapağa düşüyor. AWS veya Azure müşteri hizmetleri departmanına ulaşıldığında alınan yanıt standarttır: "Uptime SLA'nızda belirtilen eşiği aştınız, hesabınıza bir sonraki fatura döneminde servis kredisi yansıtılacaktır." Söz konusu kredi birkaç yüz dolar, belki birkaç bin dolardır.
Bu tablo, büyük bulut sağlayıcılarının SLA mimarisinin tam olarak neyi başardığını göstermektedir: gerçek ticari zararı sözleşmesel bir üst sınır içine hapsettiren asimetrik bir sorumluluk yapısı inşa etmek. Peki bu yapı hukuken her durumda geçerli midir?
Büyük Bulut Sağlayıcılarının SLA Mimarisi
AWS'nin Sorumluluk Sınırlama Yapısı
Amazon Web Services müşteri sözleşmesi, AWS'in büyük harf kilidini andıran bir biçimde ısrarla vurguladığı sorumluluk sınırlamasını şu şekilde ifade eder: AWS; dolaylı, tesadüfi, sonuçsal veya örnek niteliğinde zararlardan; içerik değerinden; kâr, gelir, müşteri, fırsat veya itibar kaybından; hizmetlerin kullanılamamasından sorumlu değildir.
Toplam sorumluluk üst sınırı ise zararın doğduğu hizmetten önceki 12 ayda ödenen toplam bedel olarak belirlenmektedir. Bir şirket AWS'e yıllık 120.000 dolar ödüyorsa ve bu hizmetin kesintisi 10 milyon dolar zarar yaratmışsa, SLA sözleşmesi gereği talep edilebilecek maksimum tutar 120.000 dolardır. Hizmet kredisi ise bunun da çok altında, aylık fatura bedelinin belirli bir yüzdesiyle sınırlıdır.
Bununla birlikte AWS'nin AB müşterileri için işaret edilmesi gereken kritik bir istisna söz konusudur. AWS müşteri sözleşmesinin EMEA SARL versiyonu şunu açıkça düzenlemektedir: "Hiçbir sorumluluk reddi veya zarar sınırı, AWS'nin ağır ihmali veya kasıtlı eylemleri nedeniyle doğan sorumluluğu hariç tutamaz ya da sınırlayamaz." Bu istisna ABD'nin ana müşteri sözleşmesinde benzer biçimde yer almaktadır.
"Sole and Exclusive Remedy" Klozunun Hukuki Niteliği
SLA sözleşmelerindeki en kritik cümle şudur: "The credit remedies provided in this SLA are your sole and exclusive remedy." Müşterinin başvurabileceği tek ve münhasır yol hizmet kredisidir.
Bu kloz, hukuki niteliği itibarıyla bir sorumluluk sınırlama klozudur; hem SLA koşullarını hem de genel sorumluluk çerçevesini kapsayan bir katman oluşturmaktadır. King & Wood Mallesons'ın bu konudaki analizinde belirtildiği üzere, "sole and exclusive remedy" klozunun etkili biçimde uygulanabilmesi için haksız şart perspektifi ve meşru iş gerekçesi sınavından geçmesi gerekmektedir; müşteriye anlamlı bir başvuru yolu sunulup sunulmadığı bu sınavın merkezindedir.
ISO/IEC 19086-1 ve Sözleşme Standardizasyonu
ISO/IEC 19086-1:2016 standardı, bulut bilişim hizmet düzeyi sözleşmeleri için bir kavramsal çerçeve ve terminoloji standardı oluşturmaktadır. Standart; hizmet kalitesi, güvenlik, veri koruma ve operasyonel gereksinimler dahil bulut SLA'larının tüm boyutlarını ele almaktadır.
Standartta öngörülen çerçeve; hizmet kullanılabilirliğinin nasıl tanımlandığı ve ölçüldüğü (SLO), bu hedefler sağlanmadığında ne olduğu (SLA ihlali), ihlal sonuçlarının ve tazminat mekanizmalarının nasıl yapılandırılacağı ve veri egemenliği, konumu ve gizliliği ile ilgili yükümlülükler konusunda sözleşme taraflarına yol göstermektedir.
Standarttaki en değerli pratik katkı şudur: ISO/IEC 19086-1, hizmet kesintisi ile veri kaybını kavramsal olarak birbirinden ayırt etmektedir. Bu ayrım yalnızca teknik değil hukuken de belirleyicidir.
TBK m. 115: Emredici Sınırın Katmanları
Birinci Fıkra: Ağır Kusurdan Sorumsuzluk Kesin Hükümsüzdür
TBK m. 115/1 şöyle hükmeder: "Borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür."
Bu hüküm Türk hukukunun emredici normlarından biridir. Tarafların serbest iradeyle akdettiği bir sözleşmede yer alsa da, tacirler arasında müzakere edilerek kararlaştırılmış olsa da, her ne kadar standart bir uluslararası SLA formatından alınmış olsa da, ağır kusurdan sorumsuzluğu öngören her kloz Türk hukuku kapsamında kesin hükümsüzdür.
Ağır kusur kavramı; kastı (bilerek ve isteyerek zarar verme) ve ağır ihmali (makul bir kişinin kolayca göreceği bir ihtimali görememek, temel güvenlik önlemlerini hiç almamak) kapsamaktadır. Bilgi güvenliği yatırımlarını bilinçli olarak ihmal eden bir bulut sağlayıcısı, tekrarlayan sistem hatalarını raporlamasına rağmen düzeltmeyen bir altyapı operatörü ya da yedekleme sistemini hiç kurmaksızın müşterilere güvence veren bir SaaS şirketi; ağır ihmal değerlendirmesine girebilecek davranış örüntüsü oluşturmaktadır.
Bu noktada kritik bir soru: bulut sağlayıcıları SLA sözleşmelerinde ağır kusurun her zaman istisnaya tabi tutulduğunu ima ederek mu hareket etmektedir? AWS'nin kendi sözleşmesi bile gross negligence ve willful misconduct istisnasını açıkça içermektedir. Ancak bu istisnanın uygulanıp uygulanmayacağı ağır kusurun somut olayda ispatlanmasına bağlıdır.
Üçüncü Fıkra: Uzmanlık İzni Gerektiren Hizmetlerde Hafif Kusur da Korunamaz
TBK m. 115/3 şöyle düzenlenmektedir: "Uzmanlığı gerektiren bir hizmet, meslek veya sanat, ancak kanun ya da yetkili makamlar tarafından verilen izinle yürütülebiliyorsa, borçlunun hafif kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür."
Bu fıkranın bulut hizmetlerine uygulanabilirliği Türk hukuk yazınında henüz tartışılmamış olmakla birlikte son derece ilgi çekici bir argüman kapısı açmaktadır. Türkiye'de BTK, EPDK veya SPK gibi düzenleyici kurumlardan özel lisans alarak faaliyet yürüten bulut ya da veri merkezi hizmet sağlayıcıları bu fıkra kapsamına girebilir. Kanun veya yetkili makam izninin varlığı tespit edildiğinde hafif kusurdan doğan sorumsuzluk klozları dahi kesin hükümsüz sayılacaktır. Bu, standart SLA sorumluluk sınırlama klozu için son derece güçlü bir geçersizlik argümanıdır.
İkinci Fıkra ve Bulut Hizmetlerindeki Sınırlı Uygulanabilirlik
TBK m. 115/2, hizmet sözleşmesinden kaynaklanan sorumluluktan önceden muaf olmayı kesin hükümsüz saymaktadır. Bulut sözleşmelerinin hizmet sözleşmesi niteliği taşıyıp taşımadığı ise ayrı bir değerlendirme konusudur. Taraflar tacir ve sözleşme ticari nitelikteyse m. 115/2'nin uygulanması daha sınırlı olmakla birlikte, özellikle SaaS ürünlerinde bakım ve destek bileşeninin hizmet sözleşmesi unsuru taşıdığı hâllerde bu fıkranın devreye girmesi de mümkündür.
Genel İşlem Koşulları: TBK m. 20-25
Bulut sağlayıcılarının SLA sözleşmeleri, hukuki açıdan genel işlem koşulları niteliği taşımaktadır. TBK m. 20-25, tek taraflı olarak hazırlanıp müşteriye değiştirme imkânı tanınmadan sunulan sözleşme şartlarını düzenlemektedir.
TBK m. 25, genel işlem koşulları ile sorumsuzluk anlaşmalarının bir arada değerlendirilmesini zorunlu kılmaktadır: genel işlem koşullarında yer alan sorumsuzluk kaydına TBK m. 115 kapsamındaki emredici kısıtlamalar doğrudan uygulanır. Tacirler arası sözleşmelerde TKHK hükümleri değil TBK m. 20-25 hükümleri uygulanmakta olsa da bu hükümler, karşı tarafın büyük zararına yol açan, dürüstlük kurallarıyla bağdaşmayan klozların geçersizliğini hâkimin takdirine bırakmaktadır.
Uygulamada şu ilke geçerlidir: sorumsuzluk kaydı TBK m. 115'e göre zaten kesin hükümsüzse genel işlem koşulları denetimi ayrıca uygulanmayacaktır. Ancak TBK m. 115 sınırının tam olarak doldurulamadığı durumlarda; yani hafif kusurdan sorumsuzluk klozunun varlığında veya sınırlama tutarının tamamen saçma düzeyde belirlendiği hâllerde, m. 20-25 kapsamında genel işlem koşulları denetimi ek bir argüman zemini oluşturabilir.
Veri Kaybı ile Erişim Kesintisinin Hukuki Ayrımı
Bulut hizmet sözleşmesi ihlallerinde en kritik hukuki ayrım şudur: geçici erişim kesintisi ile kalıcı veri kaybı birbirinden temelden farklı hukuki sonuçlar doğurur.
Erişim kesintisi (service outage); hizmetin geçici olarak kullanılamaz hâle gelmesidir. Veri bütünlüğü korunmaktadır; sistem yeniden çevrimiçi olduğunda müşteri aynı veriye ulaşır. SLA'nın service credit mekanizması bu kategori için tasarlanmıştır ve sözleşme serbestisi ilkesi kapsamında belirli ölçüde geçerlilik zemini bulmaktadır.
Veri kaybı (data loss); müşteriye ait verilerin kısmen ya da tamamen yok edilmesi, geri getirilemez biçimde hasar görmesi veya yetkisiz kişilere ifşa edilmesidir. Bu durumda SLA'nın service credit mekanizması gerçek zararı karşılayacak ölçüden çok uzaktadır. Daha da önemlisi, veri kaybı TBK m. 115/1 kapsamında ağır kusur değerlendirmesine çok daha kolay giren bir ihlal türüdür; yedek sistemi hiç kurmamak, felaket kurtarma planı oluşturmamak veya veri şifreleme protokollerini ihmal etmek ağır ihmalin somut görünümlerini oluşturmaktadır.
KVKK boyutu ayrıca devreye girmektedir: veri kaybı kişisel veri içeriyorsa KVKK m. 12 kapsamında güvenlik tedbirleri yükümlülüğü ihlal edilmiş demektir ve Kişisel Verileri Koruma Kurulu'nun idari yaptırım yetkisi aktive olur. Bu yaptırım sözleşmesel sorumluluk sınırlamalarından tamamen bağımsız işler.
AB Hukuku: B2B Koruma ve Unfair Contract Terms Sınırı
EU Unfair Contract Terms Directive (93/13/EEC) geleneksel olarak tüketici sözleşmelerine uygulanmaktadır; B2B sözleşmeler bu direktifin doğrudan kapsamı dışındadır. Bu nedenle büyük bulut sağlayıcılarının tacirlerle akdettiği SLA sözleşmeleri AB tüketici hukuku korumasından faydalanmaz.
Bununla birlikte AB hukukunda B2B bağlamında devreye giren başka mekanizmalar mevcuttur. GDPR m. 82, veri işleyen ile veri sorumlusu arasındaki sözleşmelerde veri ihlalinden doğan sorumluluğun sınırlandırılamayacağını öngörmekte olup bu düzenleme SLA sorumluluk sınırlamalarını doğrudan kırabilmektedir. 2024 yılında AB Veri Yasası (Data Act, Regülasyon 2023/2854) yürürlüğe girmiş ve bulut hizmet sağlayıcılarına; veri taşınabilirliği, teknik engel koyma yasağı ve standart sözleşme şartlarının adilliği konularında ciddi yükümlülükler getirmiştir. Bu yükümlülükler kapsamında aşırı asimetrik sorumluluk sınırlamaları AB'deki bulut sözleşmeleri için ek bir denetim katmanı oluşturmaktadır.
EU Cloud Code of Conduct ise AB Bulut Hizmetleri Davranış Kuralları'nı belirlemekte; GDPR uyumu, veri güvenliği ve şeffaflık yükümlülükleri bakımından bulut sağlayıcılarına gönüllülük esaslı standartlar sunmaktadır. Bu kurallara uyum beyan eden sağlayıcıların sözleşmesel sorumluluklarını açıkça sınırlaması, tutarsızlık argümanına zemin hazırlayabilmektedir.
Zarar Hesaplama: Müspet ve Menfi Zarar Ayrımı
SLA ihlali nedeniyle açılacak bir davada zarar kalemi hesabı, Türk hukuku çerçevesinde şu kategorilere göre yapılmalıdır.
Fiili zarar (damnum emergens): Hizmet kesintisi sırasında gerçekleşen doğrudan kayıplar. Yedek sunucu kiralama maliyeti, IT personeli fazla mesaisi, alternatif sistem kurulum giderleri ve veri kurtarma masrafları bu kaleme girmektedir.
Yoksun kalınan kazanç (lucrum cessans): Hizmet kesintisi süresinde gerçekleşmeyen satışlar, iptal edilen siparişler ve müşteri kaybının yarattığı gelir kaybı. Bu kalem, hizmet kredisi hesaplamasının çok ötesine geçer ve sıklıkla en büyük zarar kalemini oluşturmaktadır.
İtibar zararı: Hizmet kesintisinin kamuoyuna yansıması, müşteri güven kaybı ve marka değer erimesi. Bu kalemin somutlaştırılması güçtür ancak özellikle uzun süreli kesintilerde tazminat davasında yer alması mümkündür.
Veri kaybı halinde: Yeniden üretilemeyen verinin ekonomik değeri, bu veriye bağlı iş süreçlerinin aksaması ve üçüncü kişilere karşı doğan sorumluluklar. Bu kategori, service credit mekanizmasının öngördüğü tavan miktarıyla hiçbir şekilde kıyaslanamayan bir zarar boyutunu oluşturabilir.
Hukuki Mühendislik: Sözleşmeye Entegre Edilmesi Gereken Savunma Mimarisi
Bulut hizmeti satın alan şirketlerin SLA müzakerelerinde şu mekanizmaları sözleşmeye kazıması, olası bir ihlal durumunda hukuki konumunu güçlendirecektir.
Kademeli sorumluluk matrisi, kesinti süresine ve niteliğine göre farklı tazminat eşikleri öngörmektedir. İlk dört saat için service credit, dört ila yirmi dört saat arası için fatura bedelini aşan sabit tazminat, yirmi dört saati aşan kesintilerde ya da veri kaybında ise gerçek zarar tazminatı biçiminde katmanlı bir yapı oluşturulabilir.
Veri kaybı ve erişim kesintisi ayrımı sözleşmeye açıkça işlenmelidir: veri kaybı halinde service credit sınırlamasının uygulanmayacağı, genel tazminat hükümlerinin devreye gireceği ve TBK m. 115 emredici hükümleri kapsamında değerlendirileceği açıkça yazılmalıdır.
Ağır kusur istisnasının netleştirilmesi de kritik önem taşımaktadır. "Gross negligence" ve "willful misconduct" gibi kavramların sözleşmede Türk hukuku terminolojisiyle tanımlanması ve bu durumlarda sorumluluk sınırının uygulanmayacağına dair açık bir hüküm eklenmesi, ilerideki yorum tartışmalarını önler.
Bağımsız denetim ve SLA metriklerinin ölçüm yöntemi de müzakere konusu yapılmalıdır: uptime hesaplamasının hangi bölgelerde, hangi metodoloji ile yapılacağı ve ihlal tespitinin bağımsız üçüncü taraf araçlarla doğrulanıp doğrulanamayacağı belirlenmelidir.
Avukat Yusuf KILIÇKAN
4 Mayıs 2026
Sıkça Sorulan Sorular (SSS)
1. Service credit SLA ihlalinin tek başvuru yolu mudur?
Sözleşmede açıkça "sole and exclusive remedy" ifadesi yer alıyorsa ve bu kloz hukuka uygunsa evet. Ancak TBK m. 115/1 gereğince ağır kusur durumunda bu sınırlama kesin hükümsüzdür. Ayrıca klozun genel işlem koşulu niteliği taşıması, dürüstlük kurallarıyla bağdaşmaması ya da müşteriye anlamlı bir başvuru yolu sunmaması halinde kısmen veya tamamen geçersiz sayılabilir.
2. TBK m. 115 tacirler arası SLA sözleşmelerinde de uygulanır mı?
Evet. TBK m. 115 emredici bir hükümdür ve tacirler arası sözleşmelerde de geçerliliğini korur. Madde metninde ticari sözleşmeleri kapsam dışında bırakan özel bir hüküm bulunmamaktadır. Tarafların tacir olması sözleşme serbestisini genişletir; ancak ağır kusurdan sorumsuzluk anlaşmasını hukuken geçerli kılmaz.
3. AWS veya Azure'un ağır kusurlu davrandığı nasıl ispatlanır?
İspat, somut teknik bulgulara dayanmalıdır: daha önce raporlanan ama giderilmeyen hatalar, güvenlik yaması uygulanmayan bilinen açıklar, felaket kurtarma planı ya da yedek sistemin hiç kurulmamış olması veya benzer olayların kısa süre içinde tekrarlaması. Bu olgular hem hukuki hem teknik uzman raporuyla desteklenmeli; log kayıtları, olay raporları ve yazışmalar delil olarak korunmalıdır.
4. Veri kaybı ile hizmet kesintisi hukuki açıdan neden farklı değerlendirilir?
Erişim kesintisi geçici bir edim ifasızlığıdır; veriler korunmakta, kesinti sona erince işler normale dönmektedir. Veri kaybı ise müşterinin malvarlığında kalıcı hasar yaratan bir sonuç doğurur; müşteriye ait verilerin yok edilmesi ya da ifşa edilmesi geri alınamaz. Zarar boyutu, doğası ve ispat standartları açısından iki durum birbirinden kökten ayrılmaktadır.
5. ISO/IEC 19086-1 Türk mahkemelerinde referans alınabilir mi?
Doğrudan bağlayıcı bir norm değildir; ancak sektör standardı olarak mahkemenin teknik bilirkişi değerlendirmesinde, "makul güvenlik önlemi" ve "sektörde olağan uygulama" standartlarının belirlenmesinde referans olabilir. SLA sözleşmesinde ISO/IEC 19086-1'e atıf yapılması bu standardı sözleşmesel yükümlülük hâline getirebilir.
6. AWS müşteri sözleşmesi Türkiye'deki uyuşmazlıklarda hangi hukuku öngörüyor?
AWS sözleşmesi genellikle New York veya ABD Delaware hukukunu ve tahkim klozu içermektedir. Ancak Türkiye'deki abone tüzel kişilik ya da kişi Türk mahkemesinde dava açarsa MÖHUK kapsamında Türk mahkemesi Türk hukukunu uygulayabilir; özellikle TBK m. 115 gibi emredici nitelikteki normlar bu kapsamda uygulanma alanı bulacaktır.
7. KVKK'nın SLA ihlallerine etkisi nedir?
Hizmet kesintisi veya veri kaybı kişisel veri içeriyorsa KVKK m. 12 kapsamındaki güvenlik yükümlülüğünün ihlali söz konusudur. Bu ihlal Kişisel Verileri Koruma Kurulu'nun idari para cezası yetkisini aktive eder ve sözleşmesel sorumluluk sınırlamalarından bağımsız olarak işler. Ayrıca veri sahibi bireyler TBK ve KVKK kapsamında tazminat davası açabilir.
8. Müzakere gücü olmayan küçük şirketler için ne yapılabilir?
SLA müzakeresi mümkün değilse bile şu adımlar hukuki konumu güçlendirir: sözleşmeye imzalanmadan önce hukuki danışmanlık alınması, kritik veriler için bağımsız yedekleme sistemi kurulması, kesinti durumunda delil koruma prosedürünün belirlenmesi ve SLA ihlali tespit araçlarının sözleşme dışında bağımsız olarak çalıştırılması.
9. Tahkim klozunun varlığı TBK m. 115 argümanını etkiler mi?
Hayır. TBK m. 115 emredici nitelikte olduğundan hem mahkeme hem de tahkim yargılamasında uygulanacak niteliği taşır. Tahkim heyeti de bu emredici hükmü gözetmek durumundadır; özellikle tahkim yerinin hukukunun veya lex causae'nin Türk hukuku olduğu durumlarda.
10. SLA sözleşmesine entegre edilmesi gereken en kritik tek madde nedir?
Veri kaybının service credit mekanizmasının dışında tutulması ve bu durumda TBK'nın genel tazminat hükümlerinin uygulanacağına dair açık bir hükme yer verilmesidir. Bu tek madde, hizmet kesintisiyle veri kaybı arasındaki hukuki asimetriyi sözleşmesel zemine oturtarak olası bir davada en güçlü argüman zeminini oluşturmaktadır.
Yazar Hakkında
Avukat Yusuf KILIÇKAN, ticaret hukuku, dijital hukuk ve tüketici hukuku alanlarında faaliyet gösteren bir hukuk bürosunun kurucusudur. Bulut bilişim sözleşme ihtilafları, SLA ihlallerinden doğan tazminat davaları ve B2B dijital hizmet anlaşmazlıklarında müvekkillere hukuki danışmanlık ve dava takibi hizmeti sunmaktadır. Hukuki yazılarına yusufkilickan.av.tr adresinden ulaşabilirsiniz.
Yasal Uyarı
Bu makale yalnızca genel bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımamaktadır. Bulut hizmet sözleşmelerindeki sorumluluk sınırlamaları, uygulanacak hukuka, sözleşmenin spesifik hükümlerine ve somut ihlalin niteliğine göre önemli farklılıklar göstermektedir. TBK m. 115/3 kapsamında lisanslı hizmet sınıflandırması, KVKK'nın paralel uygulaması ve uluslararası tahkim klozu ile hukuk seçimi anlaşmalarının değerlendirmesi her somut olay için ayrı hukuki analiz gerektirmektedir. Somut durumunuz için mutlaka alanında uzman bir teknoloji veya ticaret hukuku avukatından destek almanız tavsiye edilir.