Bir Retail Media Ağı ya da Reklam Platformu İçin Data Clean Room: Bulut Sağlayıcınızın Sunduğunu Kullanmak, Bir Ürün Lisanslamak ya da Kendinizinkini Geliştirmek

Data clean room (veri temiz odası), iki şirketin müşteri verilerini eşleştirdiği ve yalnızca üzerinde anlaştıkları analizleri çalıştırdığı, genellikle bulutta bulunan ortak bir çalışma alanıdır. İyi kurulduğunda taraflardan hiçbiri diğerinin ham kayıtlarını görmez. Bir retail media ağı, bir markaya reklamlarını kaç müşterinin görüp ardından ürünlerini satın aldığını söylemek için bir clean room kullanabilir. Marka bir isim listesi değil, bir toplam alır. Bulut sağlayıcınızın ya da veri ambarınızın sunduğu clean room'u kullanabilir, bir clean room ürünü lisanslayabilir ya da kendinizinkini geliştirebilirsiniz. Seçim, sizin verilerinizin ve reklamverenlerinizin verilerinin nerede durduğuna ve clean room'un sattığınız şeyin bir parçası olup olmadığına bağlıdır.

Bir data clean room, bir retail media ağı ya da bir reklam platformu için ne yapar?

Tipik bir retail media senaryosunda bir marka, arama sonuçlarınızdaki ücretli listelemeler olan sponsorlu ürün reklamları yayınlamıştır. Siz reklam görüntülemelerini ve satışları, marka da kendi müşteri listesini getirir. İki taraf da her e-postayı, hash'leme adı verilen aynı tek yönlü formülle bir koda dönüştürür; böylece aynı e-posta her zaman aynı kodu verir. Clean room kodları eşleştirir ve marka, eşleşen müşterilerden kaçının reklamları gördüğü ve kaçının satın aldığı gibi toplamları alır.

ABD Federal Ticaret Komisyonu (FTC) personeli, Kasım 2024'te kurumun teknoloji blogunda yayımlanan bir yazıda clean room'ları ele aldı. Clean room'ları “şirketlerin, veri kullanımını sınırlayan kurallarla kısıtlanmış biçimde veri alışverişi yapmasına ve verileri analiz etmesine olanak tanıyan bulut veri işleme hizmetleri” olarak tanımladılar.

Dijital reklamcılığın ABD'deki sektör kuruluşu Interactive Advertising Bureau (IAB), 29 Eylül 2026'da ticarette clean room kullanımına ilişkin bir çerçeve yayımladı. Çerçevenin sayfası “kitle örtüşmesi, veri zenginleştirme, hedefleme, hariç tutma” gibi kullanım alanlarını sıralıyor. Sade bir dille söylersek: kaç ortak müşteriniz olduğu, onlar hakkında başka neler öğrendiğiniz ve reklamları kime gösterip kimi dışarıda bırakacağınız.

Yayıncılar ve reklam platformları da aynı kurguyu kullanır. Bir yayıncı, oturum açmış okuyucularını bir reklamverenin müşterileriyle eşleştirebilir. Reklamverenlerin reklam satın almak için kullandığı sistem olan DSP (talep tarafı platformu), reklamlarını gören kişileri bir reklamverenin satışlarıyla eşleştirebilir.

Bir clean room neyi çözmez?

Bir clean room verileri ancak kurulduğu kadar iyi korur. FTC personeli aynı yazıda şöyle yazdı: “Varsayılan olarak, DCR sunan hizmetlerin çoğu gizliliği korumaz.” DCR, data clean room'un kısaltmasıdır. Devamında şöyle dediler: “Bunun yerine şirketler, her kısıtlamanın etkili olması için onu bilinçli olarak yapılandırmalı ve devreye almalıdır.”

Sorgulara konan kurallar her hileyi yakalamaz. Google'ın BigQuery data clean rooms dokümantasyonu, analiz kurallarının “gelişmiş sorguların yetkisiz verileri çekip çıkarmasını tamamen engelleyemeyebileceği” konusunda uyarıyor. AWS Clean Rooms dokümantasyonu da bu hilelerden birini anlatıyor: tek bir kişi hakkında “bir bireye ait kayıtları ekleyerek ya da çıkararak ve sorgu sonuçlarındaki farkı gözlemleyerek” bilgi edinmek.

Hash'leme verileri anonim hâle getirmez. FTC personeli Temmuz 2024'te aynı blogda şöyle yazdı: “Şirketler, kişisel bilgilerin hash'lenmesi onları anonimleştiriyormuş gibi hareket etmemeli ya da böyle bir iddiada bulunmamalıdır.” Avrupa Komisyonu, “kimliksizleştirilmiş, şifrelenmiş ya da takma adlandırılmış ama bir kişiyi yeniden tanımlamak için kullanılabilen kişisel verilerin kişisel veri olmaya devam ettiğini” söylüyor. Dolayısıyla bu verilere AB'nin temel veri koruma kanunu olan GDPR uygulanır. Takma adlandırılmış (pseudonymised), isimlerin hâlâ kişilere geri bağlanabilen kodlarla değiştirildiği anlamına gelir.

Hukuki yükümlülükler her şirketin kendisinde kalır. IAB Tech Lab, dijital reklamcılık için teknik standartlar yazar. Kuruluşun clean room rehberi, gizlilik hukukuna uyumu “Data Contributor'ın sorumluluğu” olarak tanımlıyor; burada Data Contributor, veriyi getiren şirket demektir. Rehber, iş ortaklarının birbirlerinin “eksiksiz ve doğru (sahte/üzerinde oynanmış/şişirilmiş olmayan) veri” getireceğine güvenmek zorunda olduğunu söylüyor. Ayrıca eşleşme oranlarının, yani kayıtların karşı tarafta bir eş bulan payının, “beklenenden farklı olabileceğini” belirtiyor.

Bazen bir clean room'a hiç ihtiyacınız yoktur. IAB'nin ticarete yönelik çerçevesi, clean room'ların “her veri ya da ölçüm ihtiyacı için doğru çözüm olmadığını” söylüyor.

Bu yazıdaki tüm kaynaklara 3 Kasım 2026'da erişildi. FTC alıntıları FTC kurallarından değil, FTC personelinin blog yazılarından alınmıştır. Yazı, gizlilik hukuku konusunda yalnızca AB ve ABD kaynaklarından alıntı yapar. Diğer ülkelerin kendi kuralları vardır.

Hangi bulut sağlayıcıları ve veri ambarları clean room sunuyor?

AWS, Google Cloud, Snowflake ve Databricks'in her biri kendi hizmetinin içinde bir clean room sunar. Veri ambarı, bir şirketin kayıtlarını analiz için tuttuğu veritabanıdır. Alıcı açısından aralarındaki farklar şöyle:

• AWS Clean Rooms: AWS, iş birliğinin “verileri AWS'nin dışına taşımayı ya da başka bir bulut hizmetleri sağlayıcısına yüklemeyi gerektirmediğini” söylüyor. Hizmet, Snowflake ve Databricks'te tutulan verileri de okuyabilir. Sorguların ücretini hangi iş ortağının ödeyeceğini, clean room'u kuran taraf seçer.
• Google Cloud'daki BigQuery data clean rooms: Google, çıkış kontrollerinin (egress controls), yani odadan neyin çıkabileceğine dair kuralların, verileri sorgulayan iş ortaklarının ham verileri kopyalamasını ve dışa aktarmasını otomatik olarak engellediğini söylüyor.
• Snowflake Data Clean Rooms: Snowflake'in dokümantasyonu “Veri sağlayıcıların Snowflake Enterprise Edition kullanması gerekir” ve “Analizin maliyetini analizi çalıştıran taraf üstlenir” diyor; yani bir sorgunun ücretini onu çalıştıran iş ortağı öder.
• Databricks Clean Rooms: Databricks, iş birliğine katılanların “diğer katılımcıların tablolarındaki, görünümlerindeki ya da birimlerindeki verileri göremediğini” söylüyor. Varsayılan olarak her analiz kodu parçasının, çalışmadan önce diğer katılımcılar tarafından onaylanması gerekir.

Bulut sağlayıcımızın ya da veri ambarımızın sunduğu clean room'u ne zaman kullanmalıyız?

Şunların çoğu geçerliyse onu kullanın:

• Reklam loglarınız ve satış kayıtlarınız zaten o platformda duruyor
• Çalışmak istediğiniz markaların çoğu aynı platformda ya da platform onların verilerini bulundukları yerde okuyabiliyor
• Markalar, kitle örtüşmesi ve kampanya sonrası satışlar gibi birkaç standart analiz istiyor
• Kuralları belirleyecek, onaylı sorguları yazacak ve her yeni markanın başlamasına yardım edecek veri mühendisleriniz var

Sorun şu ki başka platformlardaki markalar, sizin platformunuzda bir hesap açmak ya da verilerini oraya kopyalamak zorunda kalabilir. IAB Tech Lab'in rehberi, “bazı DCR platformları arasında veri taşımanın zahmetli ya da maliyetli olabileceği” konusunda uyarıyor. Bulut sağlayıcısının clean room'u ayrıca bir retail media ürünü değil, genel bir araçtır. Markalarınıza yönelik ekranlar ve raporlar ile her yeni markaya verilecek destek size kalır: bunları ya kendiniz geliştirirsiniz ya da elle yürütürsünüz.

Bir clean room ürününü ne zaman lisanslamalıyız?

Şu durumlarda bir ürün lisanslayın:

• Çalışmak istediğiniz markalar verilerini birçok farklı bulutta ve veri ambarında tutuyor ve bunların çoğuna bu yıl ihtiyacınız var
• Bir markanın pazarlama ekibinin kod yazmadan kullanabileceği hazır analizler ve ekranlar istiyorsunuz
• Veri ekibiniz küçük ve bağlantıların çalışır durumda kalması için bir tedarikçiye ödeme yapmayı tercih ediyorsunuz

Bazı ürünler aynı anda birçok platforma bağlanır. LiveRamp'in perakendecilere yönelik başlangıç rehberi, “AWS, GCS, Azure Blob, Snowflake, Google BigQuery ve Databricks dahil” bulut tabanlı depolama konumlarının çoğuna veri bağlantıları kurabileceğinizi söylüyor. Rehberde Retail Intelligence adlı hazır bir paket de yer alıyor; bu paket “bir markayı ve bir RMN'yi birbirine bağlar (artı isteğe bağlı yayıncı katmanı)”. RMN, retail media network'ün, yani retail media ağının kısaltmasıdır.

Bunun bedeli, ücretler ve neyi ölçebileceğiniz üzerinde daha az kontroldür. IAB Tech Lab'in rehberi “DCR fiyatlandırma yapısının çok büyük farklılıklar gösterebileceğini” söylüyor ve her katılımcının kendi lisansına ihtiyacı olup olmadığının sorulmasını öneriyor. Daha sonra ayrılırsanız, analizleri yeniden kurmanız ve her markanın kurulumunu baştan yapmanız gerekebilir.

Kendi clean room'umuzu geliştirmeye ne zaman değer?

Geliştirmek şu durumlarda karşılığını verir:

• Clean room sattığınız şeyin bir parçası ve ölçüm ile kitleler için kendi kurallarınızı istiyorsunuz
• Kitleler, müşteri listeleri sistemlerinizden çıkmadan sponsorlu ürün açık artırmanıza ve reklamları seçip sayan sistem olan reklam sunucunuza ulaşmalıdır
• Sorgu ya da iş ortağı başına ödenen ücretler, kendi sisteminizi işleten bir ekibin maliyetini aşmıştır

Geliştirmek, yeni bir gizlilik motoru anlamına gelmek zorunda değildir. Amazon Ads, reklamverenlere yönelik clean room'u olan Amazon Marketing Cloud'u “bulut tabanlı bir clean room çözümü” olarak tanımlıyor ve onun “AWS Clean Rooms üzerine kurulu” olduğunu söylüyor. Bulut tabanlı bir clean room'un üzerine kuracağınız kendi katmanınız; eşleştirmeyi, onaylı sorguları, markalara yönelik ekranları, logları ve reklam sunucunuza bağlantıyı barındırabilir.

İş lansmandan sonra da sürer: birinin yeni sorguları incelemesi, markaların rakamlarla ilgili sorularını yanıtlaması, silme taleplerini uygulaması ve yeni standartları takip etmesi gerekir. Ekibinizde bu işi üstlenecek kimse yoksa, önce bir clean room kullanın ya da lisanslayın.

Hangi yolu seçersek seçelim, neye kendimiz karar veriyoruz?

Bu kuralları yazılım uygular, ama onlara ekibiniz karar verir:

• Kimlik eşleştirme: kişileri neye göre eşleştirdiğiniz (örneğin e-posta ya da sadakat kartı numarası) ve her tarafın bunu nasıl hazırladığı. IAB Tech Lab'in PAIR protokolü (Publisher Advertiser Identity Reconciliation) “değişmeli kriptografiye dayanır”. Her taraf tanımlayıcıları kendi gizli anahtarıyla şifreler ve iki kez şifrelenmiş değerler, kimse şifreyi çözmeden karşılaştırılabilir. PAIR, IAB Tech Lab'in Temmuz 2025'te kullanımdan kaldırdığı önceki OPJA spesifikasyonunun yerini aldı. IAB Tech Lab, hangi satışların hangi reklamların ardından geldiğini ölçmek için ADMaP (Attribution Data Matching Protocol) spesifikasyonunu Şubat 2025'te nihai hâle getirdi.
• Rıza: her müşterinin neye onay verdiğinin kaydı. IAB Tech Lab'in rehberi, veri getiren her şirketten “uygulanabildiği/gerektiği durumlarda rızanın kanıtını sunmasını” istiyor.
• İzin verilen sorgular: her markanın çalıştırabileceği, önceden yazılmış ve onaylanmış analizler. AWS bunlara analiz şablonları (analysis templates), Google ise sorgu şablonları (query templates) diyor.
• Asgari kitle büyüklüğü: bir sonucun her satırı, kimsenin tek başına ayırt edilemeyeceği kadar çok kişiyi kapsamalıdır. IAB Tech Lab'in rehberi bir sayı belirlemez. Google'ın, Google reklam verilerini analiz etmeye yarayan aracı Ads Data Hub, fark kontrolleri (difference checks) modunda sonuç satırı başına yaklaşık 50 benzersiz kullanıcı ister. Gürültü ekleme (noise injection) modunda yaklaşık 20, bir sorgu yalnızca tıklama ve dönüşüm verilerini okuduğunda ise yaklaşık 10 kullanıcı ister. AWS asgari sayının altında kalan satırları çıkarır; üstelik “Sorgu çıktısı, sonuçların çıktı kısıtlaması nedeniyle kaldırıldığını belirtmez.” Markalara toplamların neden tutmayabileceğini anlatın.
• Gürültü ve sorgu limitleri: diferansiyel gizlilik her yanıta biraz rastgele gürültü ekler; böylece tek bir kişinin verilerde olup olmaması sonucu neredeyse hiç değiştirmez. AWS'de her sorgu, bir gizlilik bütçesinin bir kısmını tüketir. Bütçe ve sorgu başına eklenen gürültü, bir iş ortağının kaç sorgu çalıştırabileceğini sınırlar.
• Loglar: hangi sorguyu kimin ve ne zaman çalıştırdığı. IAB Tech Lab'in rehberi bu kayıtların “tüm Data Contributor'lar tarafından şeffaf biçimde görülebilir olması gerektiğini” söylüyor.
• Sonuçların dışarı çıkması: bir kitle, reklam sunucunuza ya da bir markanın DSP'sine indirilebilir bir e-posta listesi olarak değil, reklam sisteminin kullanabileceği bir biçimde ulaşmalıdır.
• Silme: bir iş birliği sona erdiğinde rehber, “Data Contributor verilerinin ve tüm DCR sonuçlarının derhal kaldırılmasını ve imha edilmesini” istiyor.

Bir bulut sağlayıcısıyla ya da bir tedarikçiyle imzalamadan önce neleri kontrol etmeliyiz?

• Verilerimiz kendi hesabımızda mı kalıyor, yoksa başka bir yerde bir kopyası mı oluşturuluyor?
• Her markanın aynı platformda bir hesaba ya da lisansa ihtiyacı var mı ve bunun ücretini kim ödüyor?
• Her sorgunun ücretini kim ödüyor ve marka sayısı iki katına çıktığında fatura nasıl değişiyor?
• Kendi onaylı sorgularımızı ekleyebilir ve her marka için asgari kitle büyüklüğünü, gürültüyü ve sorgu limitlerini belirleyebilir miyiz?
• Verilerimiz üzerinde çalıştırılan her sorguyu, kimin ve ne zaman çalıştırdığıyla birlikte görebilir miyiz?
• Silme talepleri ve geri çekilen rızalar, clean room'da zaten bulunan verilere nasıl uygulanıyor?
• Ayrılırsak neleri yanımızda götürebiliriz: onaylı sorguları, logları ve müşteri kimliklerimizi iş ortaklarının kimliklerine bağlayan eşleştirme tablolarını?

Kodun, sorguların ve verilerin sahibi kim?

Bulut tabanlı bir clean room'da hizmetin sahibi sağlayıcıdır; ekibinizin yazdığı sorgular ise sizindir. Lisanslı bir üründe, sizin için yazılan analizler ancak sözleşme öyle diyorsa sizindir. Kendi geliştirdiğiniz sistemde kaynak kodun sahibi olabilir ve onu değiştirmesi için istediğiniz ekiple çalışabilirsiniz. Sistemi geliştiren firmadan, elinde tuttuğu bileşenleri ve bunları kullanmaya devam etmenizi sağlayan lisansı sözleşmede listelemesini isteyin.

Yol hangisi olursa olsun, sözleşmeye üç şey yazın. Müşteri ve satış verileriniz sizin kalır ve sağlayıcı bunları yalnızca clean room'unuzu işletmek için kullanabilir. Onaylı sorgular ölçüm yönteminizi barındırır; bu yüzden onları yanınızda götürebilmelisiniz. Eşleştirme tablolarını kişisel veri olarak ele alın ve nerede tutulacaklarının ve ne zaman silineceklerinin sözleşmede yazılmasını sağlayın.

Bunu geliştirecek bir firmaya neler sormalıyız?

• Bulut sağlayıcımızın clean room'u üzerine mi kuracaksınız, yoksa çekirdeği kendiniz mi yazacaksınız ve neden?
• Müşterileri neye göre eşleştireceksiniz ve eşleştirmede PAIR protokolünü, ölçümde ADMaP spesifikasyonunu izleyecek misiniz?
• Her markanın sorguları nasıl onaylanacak ve asgari kitle büyüklüğü nerede uygulanıyor?
• Bir markanın iki sonucu karşılaştırarak tek bir müşteri hakkında bilgi edinmesini nasıl önleyeceksiniz?
• Kitleler reklam sunucumuza ve açık artırmamıza nasıl ulaşıyor ve bu ne kadar sürüyor?
• Loglar neleri kaydediyor, onları kim okuyabiliyor ve ne kadar süre saklanıyorlar?
• Bir silme talebi ya da geri çekilen bir rıza, zaten eşleştirilmiş verilere nasıl ulaşacak?
• Bugün çalışan bir sistemde bunun işlediğini gösterebilir misiniz?

amBrain nerede devreye girer?

Bu blogu amBrain yayımlıyor. amBrain'in satırlarından ikisi, bir clean room'un iki yanındaki sistemleri anlatıyor: içeri giren reklam olaylarını ve dışarı çıkan kitleleri kullanan reklam sunucusunu. Biri şöyle: “amBrain, reklam teknolojisi için olay analitiği pipeline'ları geliştirir: gösterim ve tıklama olaylarının toplanması, işlenmesi ve raporlanması.” Diğeri: “amBrain reklam sunucuları geliştirir: hedefleme, frekans sınırlama ve raporlama.” Üçüncü bir satır ise şöyle: “RTBBidder, bir müşteri için geliştirdiğimiz talep tarafı platformu.”

amBrain 2019'dan bu yana yazılım geliştiriyor. Müşterileriyle nasıl çalıştığı konusunda şöyle diyor: “Üç format: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler.” Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.” İmzalamadan önce bu bileşenlerin adlarıyla listesini isteyin.

Bu yazı bir vaka çalışması değildir. RTBBidder'ın adını vermek dışında hiçbir müşteri çalışmasını anlatmaz. amBrain'in herhangi bir müşteri için bir data clean room geliştirdiğini, lisansladığını ya da kurduğunu söylemez ve amBrain'e ait fiyat ya da takvim vermez. Burada adı geçen diğer kuruluşlardan yayımlanmış sayfaları üzerinden alıntı yapar ve amBrain ile bunların herhangi biri arasında bir ilişki iddia etmez.

Hukuki tavsiye de değildir. Gizlilik hukukunun verilerinize nasıl uygulandığını bir avukatla kontrol edin. amBrain kısa listenizdeyse, ona da diğer her firmaya sorduğunuz soruların aynısını sorun.