SaaS Sözleşmelerinde Veri Gizliliği için Sıfır Bilgi Kanıtı Maddeleri

Bulut tabanlı hizmetlerin hızla evrildiği ortamda, veri yoğun işletmeler, kullanıcı bilgilerini koruduklarını kanıtlamak zorunda kalırken aynı zamanda bu verileri ifşa etmemek zorunda kalıyorlar. Geleneksel sözleşme dili—genellikle denetim hakları, sertifikalar ve garanti maddelerine dayalı—gelişmiş gizlilik beklentileriyle ayak uydurmakta zorlanıyor. Sıfır bilgi kanıtı (ZKP) teknolojisi güçlü bir alternatif sunar: hizmet sağlayıcısının gizlilik yükümlülüklerine uyduğunu, asıl veriyi gizli tutarak gösterebilmesi.

Bu rehberde, Software‑as‑a‑Service (SaaS) düzenlemeleri için ZKP yeteneklerini uygulanabilir sözleşme hükümlerine nasıl dönüştüreceğimizi, bu hükümleri GDPR, CCPA ve PCI DSS gibi büyük gizlilik çerçeveleriyle nasıl hizalayacağımızı ve Contractize.app platformunun, hem taslağı hem de devam eden doğrulamayı basitleştiren yapılandırılmış, yeniden kullanılabilir maddeler üretmesini inceliyoruz.

Neden Sıfır Bilgi Kanıtları SaaS Sağlayıcıları İçin Önemli

Modern SaaS uygulamaları, kişisel tanımlanabilir bilgi (PII), finansal kayıtlar ve sağlık verileri gibi hassas verileri rutin olarak işler. Düzenleyiciler kanıtlanabilir korumalar talep eder, ancak kanıt sunma eylemi aynı zamanda korunması gereken verileri açığa çıkarabilir. ZKP’ler bu paradoksu, sağlayıcının “tüm depolanan kredi kartı numaraları onaylı bir algoritma ile şifrelenmiştir” gibi ifadeleri, numaraları ifşa etmeden kanıtlamasına olanak tanıyarak çözer.

Hukuki etkisi iki yönlüdür:

1. Risk azaltma – ZKP‑tabanlı denetim haklarını sözleşmeye ekleyerek, sözleşme veri sızıntısı riski taşıyabilecek yerinde denetim ihtiyacını ortadan kaldırır.
2. Rekabet avantajı – Açık ZKP maddeleri, daha yüksek bir gizlilik olgunluğu standardını gösterir ve gizliliğe önem veren işletmelerin bir sağlayıcıyı diğerine tercih etmesini sağlayabilir.

ZKP‑Destekli Bir Maddenin Temel Unsurları

Bir ZKP maddesi tasarlarken, teknik beklentileri, doğrulama sürecini ve başarısızlık durumunda uygulanacak sonuçları net bir şekilde belirtmek gerekir. Aşağıda kapsamlı bir maddenin anlatı biçimi ve taraflar arasındaki etkileşimi görselleştiren bir Mermaid diyagramı yer alıyor.

Madde anlatımı – SaaS Sağlayıcısı, Duyarlı Kişisel Bilgiler kapsamında sınıflandırılan tüm verilerin Ek A’da tanımlanan şifreleme standartlarına uygun olarak saklandığını gösteren bir sıfır‑bilgi kanıtı oluşturup çeyrek dönemlik olarak müşteriye iletecektir. Kanıt, izinli bir blokzincir üzerindeki değiştirilemez bir defter girdisi aracılığıyla gönderilir. Müşteri, kanıtı Ek B’de referans verilen halka açık doğrulama betiğiyle doğrulayabilir. Planlanan gönderim tarihinden itibaren on iş günü içinde geçerli bir kanıt sağlanamazsa, bu durum 9.2. Bölümde belirtilen tedbirleri tetikleyen maddi bir ihlal olarak kabul edilir.

  flowchart TD
    A["Çeyrek Dönem Kanıt Üretimi"] --> B["Kanıt İzinli Deftere Kaydedilir"]
    B --> C["Müşteri Kanıtı Alır"]
    C --> D["Müşteri Doğrulama Betiğini Çalıştırır"]
    D --> E{Kanıt Geçerli mi?}
    E -->|Evet| F["Uyumluluk Kaydedilir"]
    E -->|Hayır| G["Maddi İhlal Süreci Başlatılır"]
    G --> H["Tedbirler ve Cezalar"]

ZKP Maddelerini Küresel Gizlilik Yönetmeliklerine Bağlamak

GDPR Uyumluluğu

Genel Veri Koruma Yönetmeliği (GDPR)’nın 32. maddesi, denetim ve güvenlik ölçütlerinin kanıtlanmasını zorunlu kılar. ZKP‑temelli denetim hakları, denetçi erişimini gerektirmeden şifreleme ve erişim kontrolü gibi teknik gerekliliklerin yerine getirildiğini kanıtlamak için kullanılabilir.

• Madde 32 – Güvenlik of Processing: Verilerin şifrelenmiş olduğunu gösteren ZKP, veri bütünlüğü ve gizliliği hedeflerine doğrudan hizmet eder.
• Madde 28 – Veri İşleyen Sözleşmesi: ZKP maddeleri, veri işleyenin teknik önlemlerini denetlemek için ek bir “kanıt” katmanı ekleyerek sözleşmeye derinlik katar.

CCPA Uyumluluğu

Kaliforniya Tüketici Gizliliği Yasası (CCPA), işletmelerin kişisel bilgiye erişim ve silme taleplerine yanıt verirken “bilgi sızdırmadan” kanıt sunmasını şart koşar. ZKP, talep edilen bilgilerin silindiğini veya anonimleştirildiğini, gerçek veriyi ortaya çıkarmadan göstermeye yarar.

PCI DSS Uyumluluğu

PCI DSS, ödeme kartı verilerinin şifrelenmesi ve periyodik denetim raporlamasını