Hubei Şiyan: Çapraz Sınır Veri Transferi Uyumluluğu ve Yerel Avukat Danışmanlığı

Hubei Şiyan Girişimleri İçin Veri Transferi Yol Haritası

Merhaba, Türkiye’den Çin’e, Çin’den dünyaya açılan bir girişimciyseniz, “veri” kelimesini duyarak biraz gerildiğinizi biliyorum. Son yıllarda Çin’in Kişisel Bilgi Koruma Yasası (PIPL), Veri Güvenliği Yasası (DSL) ve Siber Güvenlik Yasası (CSL) üçlüsü, oyun kurallarını kökten değiştirdi. Özellikle Hubei Şiyan gibi endüstriyel temelli, otomotiv ve özel araç sanayii güçlü bir şehrde faaliyet gösteren şirketler için; tedarik zinciri verileri, müşteri analitiği veya R&D verilerinin yurt dışına çıkması artık basit bir “enter” tuşuna basmak değil, hukuki bir maraton oluyor.

2024-2025 döneminde şahit olduğumuz en büyük değişiklik, Standart Sözleşme (Standard Contract) mekanizmasının ve Kişisel Bilgi Koruma Etki Değerlendirmesi (PIA) raporlarının zorunlu hale gelmesiydi. Pek çok Şiyan firması “Biz sadece satış verisi gönderiyoruz, ne PIA ne de güvenlik değerlendirmesi” diyerek işe koyuldu ve İdari Ceza (turnover’ın %5’i kadarı) veya iş durdurma riskiyle karşılaştı. Bu yazıda, Şiyan’ın yerel dinamikleriyle (şehrin veri merkezi altyapısı, serbest bölge politikaları, otomotiv veri akışları) bu yasal çerçevenin nasıl bir araya geldiğini, nerelerde tuzaklar olduğunu ve bir yerel Çin avukatıyla nasıl çalışmanız gerektiğini — “arkadaş sohbeti” tonunda ama hukuki hassasiyetle — anlatacağım.

Neden Şiyan, Neden Şimdi? — Bağlam ve Riskler

Şiyan’ı çoğumuz “Dongfeng’in evi” olarak biliriz. Ama şehrin sadece kamyon üretmediğini, aynı zamanda akıllı otomotiv, büyük veri ve bulut bilişim alanında ciddi bir dönüşüm geçirdiğini bilen az. Şiyan Yüksek Yeni Teknoloji Geliştirme Bölgesi ve Şiyan Serbest Ticaret Bölgesi politikalarıyla, yabancı sermayeli şirketler (WFOE/JV) için veri akışı merkezi bir hale geldi.

Sizin derdiniz ne?

• Türkiye’deki ana şubeniz veya müşterileriniz, Şiyan’daki fabrikadan gelen üretim sensör verisi, kalite kontrol kayıtları, satış performans verisi istiyor.
• Şiyan’daki mühendislik ekibiniz, Almanya/ABD’deki tasarım ofisiyle CAD/PLM dosyaları, test verileri paylaşıyor.
• HR departmanınız, Çine gidecek yöneticilerin pasaport, vize, maaş, performans verilerini merkeze göndermek zorunda.

Bu senaryolardan herhangi biri sizin “Veri İşleyicisi (Data Processor)” veya “Veri Sorumlusu (Data Controller)” tanımına giriyor olabilir. PIPL Madde 38 ve 39’a göre, kritik bilgi altyapısı işleticisi (CIIO) iseniz veya 1 milyonun üzerindeki kişinin verisini işliyorsanız, yurt dışı transfer için Cyberspace Administration of China (CAC) güvenlik değerlendirmesi şart. Eğer bu eşiğin altındaysanız, Standart Sözleşme yolu açık ama PIA raporu yine de yazılmalı, kayıt (filing) yapılmış olmalı.

Gerçek hayattan bir not: 2024 sonbaharında bir Şiyan otomotiv yan sanayi firması (yıllık veri hacmi ~500 bin kişi), “Standart Sözleşme yeterli” diyerek PIA yapmadan transfer yapmıştı. Şehir seviyesi siber güvenlik denetiminde tespit edildi, 3 ay işlem durduruldu, PIA yazdırıldı, kayıt yapıldı, ceza ödendi. Maliyet: Avukatlık bedeli + ceza + itibar kaybı. Önlem: 2 hafta, ~30-50 bin CNY avukatlık bedeli. Hesap siz yapın.

Hangi Yasal Çerçeve Sizi Bağlar? — Kısa Bir Hatırlatma

Pratik kural: Çoğu Şiyan girişimi için PIPL Madde 38 (Standart Sözleşme + PIA + Kayıt) en yaygın yol. CAC güvenlik değerlendirmesi sadece CIIO veya büyük hacimli işleyiciler için. Ama “büyük hacim” tanımı 2024 taslağıyla 100 bin kişinin hassas kişisel bilgisi veya 1 milyon kişinin kişisel bilgisi olarak netleşti. Yani “biz küçüküz” diyerek kaçılamazsınız.

Yerel Avukat Nasıl Seçilir ve Nasıl Çalışılır? — Sokak Bilgisi

Şiyan’da “veri hukuku” diye ilan veren avukat sayısı az. Çoğu kurumsal hukuk, yabancı yatırım veya IP avukatlığı yapar, veri uyumluluğu “yan iş” olarak yürütür. Siz şunları arayın:

1. Deneyim Kanıtı İsterken Ne Sormalıyınız?

• “Son 12 ayda kaç tane Standart Sözleşme (PIPL Madde 38) taslağı hazırladınız / CAC kayıt ettirdiniz?”
• “Şiyan / Hubei seviyesinde siber güvenlik denetimi (网安检查) müşterilerinizden hangileri geçti, süreç nasıl gitti?”
• “Önemli veri (重要数据) tanımı için sektörel rehber (örn. otomotiv veri güvenliği yönetim ölçütleri) takibi var mı?”
• Referans isteyin: Müşteri adı gizli kalsın ama sektör, veri hacmi, transfer hedef ülke, sonuç (kayıt başarılı / reddedildi / revize) öğrenin.

2. Fiyatlandırma Şeffaflığı

İpucu: “Paket fiyat” isteyin: PIA + Sözleşme + Kayıt + 1 yıl danışmanlık. Tek tek alınırsa %20-30 daha pahalı çıkar. Ve ödeme aşamalı olsun: PIA taslağı onay → Sözleşme imza → Kayıt başvurusu → Kayıt onayı.

3. Yerel Avantaj Nedir?

• Şehir Siber Güvenlik Dairesi (市网信办 / 市公安局网安支队) ile doğrudan iletişim kanalı. Beijing CAC’e dosya gider ama şehir seviyesi ön inceleme yapar, eksik belgeyi size döndürür. Yerel avukat “ön inceleme"yi bilir, belgeyi ona göre hazırlar.
• Şiyan Serbest Bölgesi (自贸区) politikaları: Serbest bölgedeki şirketler için “veri serbest akış” pilot programları olabilir (2024 Hubei Serbest Bölge Veri Kayıt Yönetim Önlüğü taslağına bakın). Yerel avukat bu istisnaları bilir.
• Sektörel denetim takvimi: Otomotiv için her yıl Eylül-Kasım arası “Özel Sektör Veri Güvenliği Denetimi” yapılır. Avukatınız bunu biliyorsa sizi önceden uyarır.

4. Kaçınmanız Gereken Kırmızı Bayraklar

• “Garanti kayıt onayı” diyen avukat — CAC onayı asla garantilenmez, risk değerlendirmesi yapılır.
• “PIA gerekmez, biz hallediriz” diyen — PIA yasa şart, atlanamaz.
• “İngilizce sözleşme yeterli, çeviri lazım değil” — CAC model metni Çince, çift dilli versiyon resmi kayıtta kullanılır, çeviri hatası = kayıt reddi.
• Avukat “veri sınıflandırma ve envanter” çalışmasını atlayıp direk PIA yazmaya başlıyorsa — Çöp çöp girer, çöp çıkar.

Pratik Adım Adım Süreç — Şiyan Perspektifi

Aşama 1: Veri Envanteri ve Sınıflandırma (1-2 Hafta)

1. Ne veri var? (Üretim, HR, Satış, Pazarlama, R&D, Müşteri Hizmetleri)
2. Nerede saklanıyor? (Şirket sunucusu, Alibaba Cloud/Tencent Cloud Şiyan/ Wuhan bölge, Şirket içi NAS, SaaS uygulamaları)
3. Kim erişiyor? (İç çalışanlar, yurt dışı ekipler, üçüncü taraf tedarikçiler, API entegrasyonları)
4. Sınıflandırma: Genel / İç / Hassas / Önemli Veri (DSL’e göre)
5. Çıktı: Veri Envanter Tablosu + Veri Akış Diyagramı (Kaynak → İşleme → Depolama → Transfer → Alıcı)

Avukatınız bu tabloyu ister. Hazır gelsin, hem ücret düşer hem süre kısalır.

Aşama 2: PIA (Kişisel Bilgi Koruma Etki Değerlendirmesi) Yazımı (2-3 Hafta)

PIPL Madde 55 ve CAC “PIA Kılavuzu"na göre şunlar zorunlu:

• İşleme amacı, yöntem, kapsam, veri türleri
• Yasal dayanak (Onay / Sözleşme / Yasal yükümlülük)
• Risk değerlendirmesi: Sızdırma, değiştirme, kayıp, hak ihlali olasılığı ve şiddeti
• Tedbirler: Teknik (şifreleme, anonimleştirme, erişim kontrolü), Yönetimsel (politikalar, eğitim, denetim), Sözleşmsel (Alıcı taraf yükümlülükleri)
• Sonuç: Risk “kontrol edilebilir” ise Standart Sözleşme yolu açık.

Şiyan pratiği: PIA raporu Çince olmalı. İngilizce versiyon şirket içi için faydalı ama resmi kayıt Çince yapılır. Avukatınız PIA’yı sizinle birlikte yazmalı — siz iş süreçlerini anlatırsınız, o hukuki dilde dokümante eder.

Aşama 3: Standart Sözleşme (Standard Contract) Müzakeresi ve İmza (1-2 Hafta)

• CAC 2023 Standart Sözleşme Ölçütlerine göre hazırlanır.
• Taraflar: Veri İhracıcısı (Çin tarafı — siz) / Veri İthalatçısı (Yurt dışı — Türkiye/ABD/EU vb.)
• Ekler: Veri işleme detayları, alt işleyiciler, denetim hakları, veri konusu hakları, veri sızıntısı bildirimi, sözleşme feshi sonrası veri iadesi/imha.
• İmza: Yetkili imza yetkisi (chop + legal rep imzası) her iki taraf için.

Aşama 4: Şehir Seviyesi Kayıt (Filings) (1-4 Hafta Bekleme)

• Yetkili: Şehir seviyesi Siber Güvenlik ve Bilgilendirme Dairesi (市网信办) veya Halk Polisi Siber Güvenlik Şubesi (市公安局网安支队) — Hubei/Şiyan’da genellikle Şiyan Shi Wangxin Ban başvuru alır.
• Gerekli Belgeler:
  1. PIA Raporu (Çince, imzalı)
  2. Standart Sözleşme (Çince/İngilizce çift dilli, her iki taraf imzalı)
  3. İşletme Ruhsatı kopyası
  4. Yasal Temsilci kimlik belgesi
  5. Veri İhracıcısı / İthalatçısı kimlik/kurum belgesi
  6. Veri güvenliği yönetim sistemi belgeleri (politikalari, acil durum planı, eğitim kayıtları)
  7. Kayıt Formu (Online sistemde doldurulur, çıktı alınıp mühürlenir)
• Süreç: Online başvuru → Şehir seviyesi forma kontrol (5-10 iş günü) → Eksikse tamamlatma → Kabul → Kayıt Numarası (备案编号) verilir.
• Not: Kayıt numarası alındıktan 10 iş günü içinde transfer başlayabilirsiniz. Kayıt yıllık yenilenmez ama önemli değişiklik (veri türü, amaç, alıcı, ülke) olursa yeniden kayıt şart.

Aşama 5: Süreklilik — Denetim, Eğitim, Güncelleme

• Yıllık iç denetim: PIA ve sözleşme hala geçerli mi? Risk profili değişti mi?
• Çalışan eğitimi: Yılda en az 1 kez, kayıtlı tutulmalı.
• Veri sızıntısı planı: 7/24 saat içinde şehir siber güvenlik dairesine bildirim (CSL Madde 25).
• Alıcı taraf denetimi: Sözleşme verdiğiniz denetim hakkını kullanın (yılın birinde uzaktan veya yerinde).

Sık Karşılaşılan Tuzaflar ve Çözümleri

🙋 SSS

S1: Şiyan’da faaliyet gösteren Türk girişimi olarak, veri transferi için mutlaka Çin avukatı mı şart? Kendimiz yapamayız mı? C1: Yasal olarak avukat şart değil. Ama pratikte:

1. PIA raporu CAC kılavuz formatında, Çince, hukuki terminolojiyle yazılmalı — hatalı PIA = kayıt reddi.
2. Standart Sözleşme CAC model metnine uygun, çift dilli, tarafların yükümlülükleri dengeli olmalı.
3. Şehir seviyesi kayıt ön incelemesinde “form eksikliği” denilince, yerel avukat anında düzeltebilir; siz çince resmi yazışma ve yerel idare pratiklerini bilmezseniz 2-3 ay gecikebilirsiniz. Öneri: İlk defa için mutlaka yerel avukat. Sonraki yıllarda iç ekibiniz yetkinleşirse (PIA güncelleme, yıllık denetim) avukat sadece “danışman/denetçi” rolünde kalabilir.

S2: Standart Sözleşme mi, CAC Güvenlik Değerlendirmesi mi? Nasıl karar veririm? C2: Kontrol Listesi:

• Şirketiniz Kritik Bilgi Altyapısı İşleticisi (CIIO) mi? (Enerji, finans, ulaşım, kamu, sağlık, e-ticaha büyük platformlar — otomotiv fabrikası genelde CIIO değildir ama şube/veri merkezi kritike bağlıysa olabilir)
• 1 milyon kişinin kişisel bilgisi veya 100 bin kişinin hassas kişisel bilgisi işliyor musunuz? (PIPL Madde 39 + 2024 taslağı)
• Transfer yurt dışı bir devlete/kuruma mı? (Devlet organı = CAC değerlendirmesi şart)
• Sektörel rehberde “önemli veri” olarak sınıflandırılmış veri var mı? (Otomotiv: harita verisi, sürücü davranış verisi, otonom sürüş test verisi olabilir)

Hepsi “Hayır” ise → Standart Sözleşme + PIA + Şehir Kayıt. En az biri “Evet” ise → CAC Güvenlik Değerlendirmesi (Beijing, 3-6 ay, maliyetli). Emin değilseniz → Yerel avukatla “ön değerlendirme” (1-2 saat, ~5.000-10.000 CNY) yapın.

S3: Veri transferi sırasında “Veri Yerelleştirme” (Data Localization) zorunluluğu var mı? C3: Genel kural: PIPL Madde 40 — CIIO ve 1 milyon+ işleyiciler Çin içinde depolama zorundadır. Diğerleri zorunlu değil ama transfer için yukarıdaki mekanizmalardan birini sağlamalı. Pratik: Çoğu Şiyan firması Alibaba Cloud / Tencent Cloud / Huawei Cloud Şiyan veya Wuhan bölgesini kullanır — veri Çin’de kalır, yurt dışı erişim “uzaktan erişim” sayılır, yine de transfer sayılır (PIPL Madde 38: “yurt dışına sağlama” kapsar). Bu yüzden bulut sunucu Çin’de olsa bile Standart Sözleşme + PIA + Kayıt lazım olabilir. İstisna: Veri hiç Çince çıkmazsa (yurt dışı ekip sadece görüntüleme/yönetim yapıyor, indirmiyorsa) — “sağlama” sayılmayabilir ama bu çizgi ince, avukat görüşmesi şart.

S4: Şiyan Serbest Bölgesi’ndeysek avantaj var mı? C4: Hubei Serbest Ticaret Bölgesi Şiyan Parçası için 2023-2024 pilot programlarında “Veri Çapraz Sınır Hizmet Platformu” ve “Beyaz Liste” (White List) uygulamaları test edildi. Beyaz listeye giren şirketler (risk profili düşük, uyumluluk geçmişi temiz) için basitleştirilmiş kayıt veya hızlı onay olabiliyor. Ama: Bu program ülke geneli değil, pilot, sürekli değişiyor. Yerel avucatınız / şube yetkilileri güncel durumu bilir. “Serbest bölgedeyim, kayıt gerekmez” deyin asla — gerekir, ama süreç daha kolay olabilir.

🧩 Sonuç ve Yapılacaklar Listesi

Şiyan’dan Türkiye’ye (veya herhangi bir ülkeye) veri göndermek yasak değil, ama “gönderip halledersin” de değil. 2024-2026 aralığında denetimler arttı, cezalar arttı, ve yerel idareler “eğitim amaçlı denetim” yapıyor — yani para cezası vermek için değil, eksiklerinizi gösterip düzeltmeniz için. Ama tekrar ederse veya veri sızıntısı olursa ceza kesin.

Yapılacaklar (Action Items):

1. Bu hafta: Veri envanteri ve akış diyagramını çıkarın (Excel + Visio/Draw.io). Hassas/önemli veri var mı işaretleyin.
2. 1 hafta içinde: Şiyan’da en az 2-3 yerel avukat/firma ile “ön değerlendirme” toplantısı yapın (çoğu ilk 30-60 dk ücretsiz). Yukarıdaki soruları sorun, referans isteyin, paket fiyat alın.
3. 2. hafta: Avukat seçin, hizmet sözleşmesi imzalayın (aşamalı ödeme, PIA + Sözleşme + Kayıt + 1 yıl destek).
4. 3-6. hafta: PIA yazımı, iç onay, Standart Sözleşme müzakeresi/imza, şehir seviyesi kayıt başvurusu.
5. Kayıt numarası alındıktan sonra: Transfer başlatın. Yıllık takvim: Mayıs-Haziran iç denetim, Eylül-Kasım dış denetim hazırlığı, Aralık PIA gözden geçirme.

📣 Bize Ulaşın — Lvga.com Olarak Yardımcı Olabiliriz

Biz Lvga.com ekibiyiz — 2015’ten beri yabancı girişimcilerin Çin hukuki sistemini anlamasına, yerel avukatlarla buluşmasına, sözleşme/PIA/kayıt süreçlerini şeffaf bir şekilde yönetmesine yardımcı oluyoruz. Büyük bir firma değiliz, “gece gündüz yanıt veririz” demeyiz, ama işi bilen, dili bilen, yerel ağa sahip bir ekipyiz.

Eğer Şiyan (veya herhangi bir Çin şehrinde) veri transferi, şirket kurulumu, ticari sözleşme, marka kaydı, vergi/insan kaynakları uyumluluğu konusunda nereden başlayacağınızı bilmiyorsanız, bize yazın:

📧 lvga2015@qq.com — Ana iletişim kanalı, 1-2 iş gününde döneriz.
💬 WeChat: JingJing (ID: lvga2015) — E-posta yetersizse veya hızlı bir sorunuz varsa ekleyin. Not: WeChat anında hukuki danışmanlık kanalı değildir, mesajınızı alırız, uygun zamanla devam ederiz.

“Kaza yapıp öğrenmekten, sorup öğrenmek her zaman daha ucuzdur.” — Bu cümle bize ait değil, ama yaşamımızın özeti.

📚 Ek Okumalar

Bu makalede kullanılan resmi kaynaklar ve referanslar için Lvga.com bilgi bankasına veya aşağıdaki resmi kanallara başvurabilirsiniz:

• Cyberspace Administration of China (CAC) — Kişisel Bilgi Yurt Dışı Transfer Standart Sözleşmesi Ölçütleri (2023) — https://www.cac.gov.cn
• Hubei Şeyh Siber Güvenlik ve Bilgilendirme Dairesi — Veri Güvenliği Yönetim Uygulama Kılavuzu — http://www.hubei.gov.cn
• Şiyan Şehir Halk Hükümeti — Serbest Ticaret Bölgesi Veri Çapraz Sınır Pilot Uygulama Bildirisi — http://www.shiyan.gov.cn

(Yukarıdaki linkler genel portal adresleridir; ilgili mevzuat için site içi arama yapmanız önerilir. Lvga.com olarak spesifik madde bazlı danışmanlık için iletişime geçebilirsiniz.)

📌 Yasal Uyarı

Önemli: Bu makale Lvga.com tarafından bilgilendirme amaçlı hazırlanmıştır ve hukuki tavsiye niteliği taşımamaktadır. Lvga.com bir hukuk bürosu değil, yabancı kháchların Çin’deki güvenilir avukatlarla buluşmasını sağlayan bir hizmet platformudur.

İçerik, yapay zeka destekli editing ile hazırlanmış olabilir; mevzuat değişiklikleri (PIPL, DSL, CSL ve alt yönetmelikler), yerel uygulama pratikleri (Şiyan/Hubei/Beijing farkları) ve sizin spesifik iş modeliniz sonuçları değiştirebilir. Resmi ve güncel bilgi için CAC, Hubei/Şiyan Siber Güvenlik Dairesi, Piyasa Düzenleme ve Denetim Yönetim Bürosu gibi yetkili kurumların yayınlarını ve lisanslı bir Çin avukatının yazılı görüşünü referans alınız.

Bu metinde yer alan herhangi bir bilgi sonucu doğabilecek hukuki, mali veya idari sonuçlardan Lvga.com ve yazarlar sorumlu tutulamaz. Hata, eksiklik veya güncelleme öneriniz için lvga2015@qq.com adresine yazabilirsiniz.