Polonya Yerine Ermenistan veya Gürcistan'da Bir Geliştirme Ortağı: Bir AB Fintech'i İçin GDPR, DORA ve Sözleşmede Neler Değişir

Bir AB fintech'i için Ermenistan veya Gürcistan'daki bir geliştirme şirketi, Polonya'dakine göre sözleşme üzerinde daha fazla çalışma gerektirir. Mühendisleri kişisel verileri görebiliyorsa, sözleşmede standart sözleşme maddeleri gibi bir aktarım aracı gerekir; uyuşmazlık çözüm maddesi de orada icra edilebilecek bir karara götürmelidir. DORA kapsamındaysanız ve hizmet kritik ya da önemli bir işlevi destekliyorsa, risk değerlendirmeniz o ülkedeki veri korumasını ve hukukun uygulanmasını da sormalıdır. Mühendislik kontrolleri, yaptırım taraması, kodun mülkiyeti ve sözleşme şartlarının çoğu Polonya'daki gibi işler.

Polonya'daki bir firmaya kıyasla ne değişir, ne aynı kalır?

Polonya AB üyesidir, Ermenistan ve Gürcistan değildir. Farkın büyük kısmı bundan kaynaklanır:

• Veri: Erivan veya Tiflis'teki bir şirketin mühendisi müşterilerinizin kişisel verilerini görebiliyorsa, bu erişim AB dışına aktarım sayılır. Varşova'dan erişim sayılmaz
• DORA: kritik veya önemli işlevleri destekleyen hizmetlerde, AB dışındaki bir sağlayıcı risk değerlendirmenize iki soru ekler: biri veri koruma, diğeri o ülkede hukukun ne kadar etkili uygulandığı hakkında
• Uyuşmazlıklar: başka bir AB ülkesinin mahkeme kararı Polonya'da AB kurallarına göre tanınır. Ermenistan ve Gürcistan'da bir hakem kararını icra ettirmek, mahkeme kararından daha kolaydır
• Siciller: Avrupa e-Adalet Portalı (e-Justice), Polonya ve diğer AB ülkelerinin ticaret sicillerinde tek bir yerden arama yapar. Ermeni ve Gürcü şirketler kendi ulusal sicillerinde, kısmen Ermenice veya Gürcüce olarak kayıtlıdır

Geri kalanı ülkeye bağlı değildir: işi yapacak mühendislerle tanışmak, kodun şirketinize yazılı olarak devri, şirketiniz adına açılmış kod depoları ve bulut hesapları, şirketin ve sahiplerinin yaptırım taraması ve DORA'nın saydığı sözleşme şartlarının çoğu.

Erivan veya Tiflis'teki bir ekiple kaç saatlik ortak mesaimiz olur?

IANA saat dilimi veritabanına göre Ermenistan ve Gürcistan yıl boyunca UTC+4'te kalır. AB ülkeleri saatlerini mart ayının son pazar günü ileri, ekim ayının son pazar günü geri alır. Bu yüzden Erivan ve Tiflis, Frankfurt, Paris ve Varşova'dan kışın üç, yazın iki saat ileridedir.

İki tarafta da mesai 9.00 ile 18.00 arasındaysa, Erivan'daki bir ekip Frankfurt ile kışın altı, yazın yedi saatlik ortak mesai paylaşır. Londra ile bu süre kışın beş, yazın altı saattir. Günlük toplantıyı, kod incelemelerini ve sürümleri bu aralığa yerleştirin ve ortak saatleri sözleşmeye yazın.

İmzalamadan önce, mühendislerin ve işi günlük olarak yönetecek kişinin ekibinizin çalışma dilini kullanışını bir görüntülü görüşmede dinleyin.

Mühendisler sisteme yalnızca Erivan'dan bağlanıyorsa, bu bir veri aktarımı mıdır?

Kişisel verileri görebiliyorlarsa, evet. AB'nin veri koruma otoritelerini bir araya getiren Avrupa Veri Koruma Kurulu (EDPB), 05/2021 sayılı Kılavuz'unda “üçüncü bir ülkeden uzaktan erişimin (yalnızca kişisel verilerin bir ekranda görüntülenmesi yoluyla olsa bile, örneğin destek, sorun giderme veya yönetim amaçlı durumlarda)” de, kılavuzdaki üç aktarım ölçütü karşılandığında aktarım sayıldığını yazdı. Mühendisler geliştirme ortağınız gibi ayrı bir şirkette çalışıyorsa bu ölçütler karşılanır.

Aktarımı sınırlamanın en basit yolu, kişisel verileri mühendislerin erişiminin dışında tutmaktır: test verileri, maskelenmiş kopyalar ve üretim ortamına yalnızca gerektiğinde ve kayıt altında erişim. Verileriniz dışarı çıkmadan yapay zekâ geliştirmeyi dış kaynağa vermeyi anlatan yazı bu düzeni açıklıyor.

Yeterlilik kararı, kişisel verilerin ek güvenceler olmadan bir ülkeye aktarılmasına izin verir. 26 Ekim 2026 itibarıyla Avrupa Komisyonu'nun bu kararlar listesinde ne Ermenistan ne de Gürcistan yer alıyor. İki ülke için de olağan araç, Komisyon'un 4 Haziran 2021'de kabul ettiği hazır sözleşme hükümleri olan standart sözleşme maddeleridir.

Verileriniz üzerinde sizin talimatlarınızla çalışan bir geliştirme şirketi için maddelerin uygulanan kısmı Modül 2'dir: veri sorumlusundan veri işleyene aktarım. Fintech'iniz verileri kurumsal müşteriler adına kendisi işliyorsa, bunun yerine veri işleyenden veri işleyene aktarım için olan Modül 3 uygulanır. Komisyon'un maddelere ilişkin soru-cevapları, Modül 2 ile “ayrı bir veri işleme sözleşmesi yapmanıza gerek olmadığını” söyler, çünkü Modül 2 GDPR'ın 28. maddesinin istediği şartları zaten içerir. Maddelerin metni değiştirilemez; yalnızca modüller ve seçenekler seçilebilir, ekler doldurulabilir ve güvenceler eklenebilir.

İmzadan önce iki taraf da “varış yeri olan üçüncü ülkenin mevzuatının ve uygulamalarının” şirketin maddelere uymasını engelleyip engellemeyeceğini değerlendirmelidir. Soru-cevaplar ayrıca verilerin kategorileri ve biçimi, işleme zincirinin uzunluğu gibi neye bakılacağını sıralar.

İngiliz bir fintech ise UK GDPR kapsamında çalışır. Birleşik Krallık'ın yeterlilik kuralları Polonya'yı Avrupa Ekonomik Alanı'nın bir parçası olarak kapsar, Ermenistan ve Gürcistan'ı kapsamaz. Bu ülkelere aktarımlar için Bilgi Komiserliği Ofisi (ICO), Uluslararası Veri Aktarım Sözleşmesi'ni (IDTA) ve AB maddelerine eklenen Uluslararası Veri Aktarım Ek Protokolü'nü sayar ve ayrıca bir aktarım risk değerlendirmesi ister.

Sağlayıcı AB dışındaysa DORA ne ister?

AB'nin Dijital Operasyonel Dayanıklılık Yasası DORA, 17 Ocak 2025'ten beri uygulanıyor. Bankaları, ödeme ve elektronik para kuruluşlarını, yatırım kuruluşlarını, kripto varlık hizmet sağlayıcılarını, işlem yerlerini ve diğer finansal kuruluşları kapsar. Kuralları BİT hizmetlerine, yani yönetmeliğin teknoloji hizmetleri için kullandığı terime uygulanır. Bir geliştirme sözleşmesinin bu kapsama girip girmediği, lansman sonrası destek, bakım veya barındırma gibi neleri içerdiğine bağlıdır; bu yüzden önce uyum ekibinize sorun.

Kapsama giriyorsa, 28. maddenin ifadesiyle DORA kapsamındaki yükümlülüklerinizden “tamamen sorumlu” kalırsınız ve sözleşmeyi bilgi kayıt defterinize, yani DORA'nın istediği BİT sözleşmeleri kaydına işlersiniz. 30. madde, bu tür her sözleşmede bulunması gereken şartları sayar; bunlar arasında hizmetlerin sunulduğu ve verilerin işlendiği ülkeler, bu yerler değişmeden önce önceden bildirim ve sağlayıcı batarsa ya da sözleşme sona ererse verilerinizin iadesi vardır. Polonya'daki bir firma da bu şartları kabul etmek zorundadır.

Fark, risk değerlendirmesinin bir kısmındadır: kritik veya önemli işlevleri destekleyen hizmetlere ilişkin kısımda; bu işlevler, aksadıklarında işinize ya da uyumunuza ciddi zarar verecek işlevlerdir. Bu türden her sağlayıcı için 29. madde, uygulanacak iflas kurallarını ve “finansal kuruluşun verilerinin acilen geri alınmasına” yönelik her türlü kısıtı dikkate almanızı ister. Ermenistan veya Gürcistan'daki bir firma için bunlar Ermeni veya Gürcü kurallarıdır. “Üçüncü bir ülkede kurulu” bir sağlayıcı için madde buna “Birlik veri koruma kurallarına uyumu ve o üçüncü ülkede hukukun etkili biçimde uygulanmasını” da ekler.

Firmaya, çalışanlarının ve sunucularının sisteminiz üzerinde nerede çalışacağını ve firma sizin için çalışmayı bırakırsa kodunuzu ve verilerinizi nasıl geri alacağınızı sorun. Avukatlarınıza, lehinize bir kararın orada icra edilip edilemeyeceğini sorun. Sağlayıcı nerede olursa olsun, bu hizmetlere ilişkin sözleşmelerde ayrıca denetim ve erişim hakları ile geçiş dönemi içeren bir çıkış stratejisi de bulunmalıdır.

Ermenistan veya Gürcistan'daki bir şirketle yapılan sözleşmeyi icra ettirebilir miyiz?

Evet, imzadan önce yolu planlarsanız. Şirket aleyhine verilen bir kararın, şirketin hesaplarının ve mal varlığının bulunduğu yerde, yani genellikle kendi ülkesinde icra edilmesi gerekir.

Bir hakem kararını icra ettirmek daha kolaydır. Ermenistan, Gürcistan ve Polonya, 1958 tarihli New York Sözleşmesi'ne taraftır; bu sözleşmeye göre akit devletler, diğer akit devletlerde verilmiş hakem kararlarını tanır ve icra eder. UNCITRAL durum tablosu, Sözleşme'nin Gürcistan için 1994'ten, Ermenistan için 1998'den beri yürürlükte olduğunu gösteriyor. Ermenistan Sözleşme'yi yalnızca başka bir akit devlette verilmiş kararlara ve kendi hukukunun ticari saydığı uyuşmazlıklara uygular.

Mahkeme kararları daha zordur. AB içinde Brüksel Ia Tüzüğü, bir Alman ya da Fransız mahkemesinin kararının Polonya'da özel bir prosedür olmadan tanınmasını sağlar. Polonya ayrıca AB aracılığıyla 2019 tarihli Lahey Yabancı Mahkeme Kararları Sözleşmesi'nin kapsamındadır; bu sözleşme Birleşik Krallık için 1 Temmuz 2025'ten beri uygulanıyor. Lahey Konferansı durum tablolarına göre 26 Ekim 2026 itibarıyla ne Ermenistan ne de Gürcistan bu sözleşmeye ya da 2005 tarihli Lahey Mahkeme Seçimi Anlaşmaları Sözleşmesi'ne taraftır.

Bu yüzden Ermenistan veya Gürcistan'daki bir firma için, tahkim yeri, yani tahkimin hukuki merkezi Sözleşme'ye taraf bir ülkede olan bir tahkim maddesini avukatınıza danışın. Kendi ülkenizin mahkemelerinden çıkacak bir kararın orada nasıl karşılanacağını da sorun. Kritik veya önemli işlevler için bu yanıt, DORA'nın dikkate almanızı istediği şeylerin bir parçasıdır.

Ermenistan veya Gürcistan'daki bir firma, Rusya veya Belarus'taki bir firmaya kıyasla yaptırım riski taşır mı?

Ülke olarak hayır. 26 Ekim 2026 itibarıyla AB Yaptırımlar Haritası (EU Sanctions Map), Rusya ve Belarus için AB yaptırım rejimleri gösteriyor, Ermenistan veya Gürcistan için hiçbir rejim göstermiyor. Birleşik Krallık'ın yaptırım rejimleri listesinde ve ABD Hazine Bakanlığı'nın yaptırım programları listesinde de Ermenistan veya Gürcistan için bir rejim yok.

Bir ülke için rejim olmaması, o ülkedeki hiçbir şirketi temize çıkarmaz. Şirketi, sicilde adı geçen her sahibi, müdürü ve ödemeyi alacak bankayı AB'nin konsolide mali yaptırımlar listesinde, İngiliz bir şirketseniz UK Sanctions List'te de arayın. AB Konseyi, 3 Temmuz 2024'te güncellenen Kısıtlayıcı Tedbirlerin Etkili Uygulanmasına İlişkin En İyi Uygulamalar belgesinde, bir kuruluşu “mülkiyet haklarının %50'si veya daha fazlasından” itibaren listedeki bir kişiye ait sayıyor. Böyle bir kuruluşa ödeme yapmak, ilke olarak listedeki kişiye dolaylı yoldan fon sağlamak sayılır.

Projenizdeki her mühendisin nereden çalışacağını da sorun; içlerinden biri Rusya veya Belarus'tan çalışacaksa, imzadan önce yaptırımlar konusunda uzman bir avukatın görüşünü alın. Doğu Avrupa veya Kafkasya'da şirket seçmeyi anlatan yazı, ABD'nin bu konudaki kurallarını açıklıyor.

Grubunuzda bir ABD şirketi varsa, firmanın sahiplerinin ve mühendislerinin nerede yaşadığını da kontrol edin: ABD Adalet Bakanlığı'nın 8 Nisan 2025'ten beri yürürlükte olan Veri Güvenliği Programı (Data Security Program), altı “endişe kaynağı ülke” (countries of concern) sayar; Rusya bunlar arasındadır, Belarus, Ermenistan ve Gürcistan değildir. Bu programa göre bir ABD şirketi, Rusya'da kurulmuş bir sağlayıcıya, önceki on iki ay üzerinden sayılan 10.000'den fazla ABD'li kişinin (US persons) kişisel finansal verilerine erişim ancak programın güvenlik ve uyum şartlarını karşılarsa verebilir. Kural, %50'si veya daha fazlası bu tür şirketlere ya da ağırlıklı olarak Rusya'da yaşayan kişilere ait olan ABD dışındaki bir sağlayıcıyı da kapsar. Ağırlıklı olarak Rusya'da yaşayan bir mühendis de, onu kim istihdam ederse etsin, kapsamdaki kişi (covered person) sayılır.

Hangi şirketle imzalamalıyız ve şirketin gerçek olduğunu nasıl kontrol ederiz?

Projenizdeki mühendisleri istihdam eden şirketle imzalayın. Bir firma, mühendisler Ermenistan veya Gürcistan'daki şirketinde çalışırken size AB'deki ya da ABD'deki şirketiyle sözleşme öneriyorsa, kodun ve hakların bir şirketten diğerine, sonra da size nasıl geçtiğini görmek isteyin.

Sonra şirketi resmi sicilde kendiniz bulun. Ermenistan'da bu, Adalet Bakanlığı'nın tüzel kişiler sicilidir: e-register.moj.am. Gürcistan'da Ulusal Kamu Sicili Ajansı'nın sicilidir. Polonyalı bir şirket için Avrupa e-Adalet Portalı (e-Justice) ulusal ticaret sicillerinde arama yapar. Doğu Avrupa veya Kafkasya'da şirket seçmeyi anlatan yazı, her sicilin neyi gösterdiğini ve neyle karşılaştırılacağını açıklıyor.

Gerçek bir şirket de işi yarıda bırakabilir. Ortadan kaybolmayan özel ekip hakkındaki yazı bu riske karşı yapılacak kontrolleri ele alıyor. Yukarıdaki DORA şartları burada da sizi korur: kodunuz kendi depolarınızda, verileriniz kullanılabilir bir biçimde iade edilmiş ve geçiş sırasında bir geçiş dönemi.

amBrain nerede devreye girer?

Bu blogu yayımlayan amBrain, Erivan (Ermenistan) merkezli bir yazılım mühendisliği şirketidir; dolayısıyla bu yazının Ermenistan'la ilgili kısmı onun için de geçerlidir. Hizmetleri arasında “trading terminali geliştirme, emir yönetim sistemleri ve FIX protokolü ile borsa entegrasyonu” yer alır. 2019'dan bu yana yazılım geliştiriyor ve üç formatta çalışıyor: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler.

Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.” amBrain kısa listenizdeyse, ona da diğer her firmaya yönelttiğiniz gibi yukarıdaki soruları yöneltin: standart sözleşme maddelerini imzalayıp imzalamadığını, her mühendisin nereden çalıştığını, 30. madde şartlarını kabul edip etmediğini ve hangi yeniden kullanılabilir bileşenleri kastettiğini.

Bu yazı hukuki danışmanlık değildir: sözleşmeyi imzalamadan önce bir avukata okutun.