Dosya Transferi Servisleri İçin Veri Barındırma Karşılaştırması

Veri barındırma konumu dosya transferi servisleri arasında ciddi farklılıklar gösterir. WeTransfer dosyaları İrlanda'da ve ABD'de tutar, Smash Fransa'da barındırır, SwissTransfer her şeyi İsviçre'de saklar ve Dropbox Transfer ABD ile AB bölgeleri arasında bölünür. GDPR Madde 44 uyumluluğu açısından (AEA dışına aktarım) kişisel veri işlerken yalnızca AB hizmetlerini seçin. HexaTransfer, dosyaları münhasıran Fransız sunucularında barındırır; bu sayede dosyalarınız Atlantik'i asla geçmez. Bu durum, Schrems II kararı kapsamında katı egemenlik kurallarına tabi sağlık, hukuk ve finans ekipleri için önem taşır. Türkiye'de faaliyet gösteren kuruluşlar için KVKK'nın yurt dışına veri aktarımına ilişkin gereklilikleri de bu seçimi doğrudan etkiler.

Schrems II Sonrasında Veri Barındırma Neden Gerçekten Önemli

Temmuz 2020 Schrems II kararı, AB-ABD Gizlilik Kalkanı'nı geçersiz kıldı ve transatlantik aktarımların büyük bölümünü hukuki açıdan belirsiz bıraktı. Standart Sözleşme Maddeleri hâlâ geçerlidir; ancak yalnızca ABD gözetim yasalarının (FISA 702, Yürütme Kararnamesi 12333) verileri tehlikeye atmadığını kanıtlayan ek tedbirlerle birlikte. CNIL'in Şubat 2022'deki Google Analytics kararı bunu somutlaştırdı: AB şirketleri, yerinde SCC'ler olsa dahi ziyaretçi verilerini ABD sunucularına yönlendirdikleri için para cezasıyla cezalandırıldı.

Dosya transferi açısından sonuçlar doğrudandır. Bir müşteri sözleşmesini ABD tabanlı bir servis üzerinden göndermek, aktarım etkisi değerlendirmesi gerektiren sınır ötesi bir aktarımı tetikler. Fransız veya İsviçre bir servis üzerinden göndermek ise yeterlilik kararları veya daha güçlü gizlilik çerçeveleri bulunan yargı bölgelerinde kalmanızı sağlar.

WeTransfer: İrlanda Artı ABD Kenar Sunucuları

WeTransfer'ın birincil depolama alanı İrlanda'dadır (AWS eu-west-1); bu, verileri AB'nin hukuki sınırı içinde tutar. Ancak CDN kenarları küresel ölçekte yayılır ve meta veri yönlendirmesi ana şirketin altyapısından geçer. 2023'ten itibaren WeTransfer, Bending Spoons tarafından İtalyan sahipliğine geçti ve bazı operasyonlar Milano'ya taşındı. AB kullanıcıları için dosyaların kendisi teknik olarak İrlanda'dadır; ancak günlükler, kimlik doğrulama belirteçleri ve küçük resimler iletim sırasında ABD düğümlerine dokunabilir.

Kapora teslim eden bir Fransız avukatlık bürosu için bu durum belirsizlik yaratır. Dosyalar teknik olarak AB'de olsa da operasyonel meta veriler değildir. GDPR Madde 30 işleme kaydı bu nüansı belgelemelidir.

Smash: OVH ile %100 Fransız Barındırma

Paris merkezli rakip Smash, Roubaix ve Gravelines'te yalnızca OVH altyapısında barındırır. AWS yok, Azure yok, Google Cloud yok. Bu, Fransa'nın SecNumCloud gerekliliklerine bağlı kamu sektörü müşterileri için daha temiz bir hikâye sunar; zira bu gereklilikler CLOUD Act gibi ABD yargı dışı yasalarına tabi herhangi bir sağlayıcıyı dışlar. Smash, 2024'te veri yollarında ABD'ye sıfır müdahale olduğunu onaylayan ayrıntılı bir altyapı sayfası yayınladı.

Ödünleşim performanstır. Singapur veya Sidney'deki kullanıcılar, coğrafi dağıtımlı bir servise kıyasla daha yüksek gecikme yaşar. Avrupa kullanıcıları içinse bu bir özellik, hata değil.

SwissTransfer: Infomaniak'ın Yeşil İsviçre Veri Merkezleri

SwissTransfer, Cenevre'deki ve İsviçre Jura'sındaki Infomaniak altyapısında çalışır. İsviçre AB üyesi değildir; ancak GDPR kapsamında yeterlilik kararına sahiptir; bu sayede AB-İsviçre aktarımları AEA içi aktarım gibi değerlendirilir. Eylül 2023'te GDPR'yi yansıtacak biçimde güncellenen İsviçre Federal Veri Koruma Yasası (FADP) ek bir hukuki simetri katmanı ekler.

Infomaniak karbon ayak izini yayınlar ve tamamen yenilenebilir hidroelektrik enerjisiyle çalışır. Sürdürülebilirlik odaklı kuruluşlar için bu, barındırma hikâyesinin ötesinde bir artıdır. Dosyalar 30 gün sonra sona erer; aktarımda AES-256 şifreleme vardır.

Dropbox Transfer: Varsayılan ABD, İsteğe Bağlı AB

Ücretli Dropbox planlarıyla birlikte verilen Dropbox Transfer, varsayılan olarak ABD depolamasına yönelir. Kurumsal müşteriler ek ücret karşılığında verileri Almanya'daki AWS bölgelerine yönlendirerek AB yeri seçebilir. Ancak kontrol düzlemi (hesap meta verisi, faturalandırma, denetim günlükleri) ABD merkezli kalmaya devam eder. Bu, çoğu hiper ölçekliyicinin izlediği modeldir: bölgesel veri düzlemleri, merkezi kontrol düzlemleri.

AB-ABD Veri Gizliliği Çerçevesi (Temmuz 2023) kapsamında Dropbox sertifikalıdır; bu da aktarımlar için yasal dayanak sağlar. Ancak DPF, mahkemede zaten itiraz konusu olup iki yıl içinde Schrems III kararı bunu geçersiz kılabilir. Uzun vadeli sözleşmelerde bu risk hesaba katılmalıdır.

HexaTransfer: Tek Yargı Yetkisi Yalınlığı

HexaTransfer her şeyi AB dışında çoğaltma olmaksızın Fransız sunucularında saklar. Dosyalar yüklemeden önce istemci taraflı AES-256-GCM ile şifrelenir; bu sayede Fransız altyapısı bile yalnızca şifreli metni barındırır. Anahtar türetme, 600.000 iterasyonlu PBKDF2 kullanır ve indirme URL'si, şifre çözme anahtarını URL fragment'ı (sunucuya hiçbir zaman iletilmeyen # sonrası kısım) olarak içerir.

GDPR Madde 32 amaçları doğrultusunda (işleme güvenliği) bu mimari veri minimizasyonunu, şifrelemeyi ve tek yargı yetkisi barındırmasını tek pakette bir araya getirir. Aktarım etkisi değerlendirmesi önemsiz hale gelir: uluslararası aktarım yoktur.

Karşılaştırma Tablosu

| Servis | Birincil Konum | İkincil Konumlar | GDPR Durumu | Sıfır Bilgi | |---|---|---|---|---| | WeTransfer | İrlanda (AWS) | ABD CDN kenarları | AB'de yerleşik | Hayır | | Smash | Fransa (OVH) | Yok | AB'de yerleşik | Hayır | | SwissTransfer | İsviçre | Yok | Yeterlilik | Kısmi | | Dropbox Transfer | Varsayılan ABD, AB isteğe bağlı | Küresel | DPF sertifikalı | Hayır | | HexaTransfer | Fransa | Yok | AB'de yerleşik | Evet | | Tresorit | İrlanda, İsviçre | ABD (kurumsal devre dışı bırakma) | AB'de yerleşik | Evet |

Sektöre Özgü Değerlendirmeler

HIPAA kapsamında hasta kayıtlarını işleyen sağlık kuruluşları ek bir zorlukla karşılaşır: HHS Sivil Haklar Ofisi AB yerleşimini önemsemez; İş Ortağı Sözleşmelerini önemser. ABD pazarında faaliyet göstermeyen yalnızca Fransa merkezli bir servis BAA imzalamayabilir. 2026'da yürürlüğe giren EHDS (Avrupa Sağlık Veri Alanı yönetmeliği) kapsamındaki Avrupa sağlığı için hesap değişir: AB yerleşimi ön koşul haline gelir.

Ortak danışmanlara .pdf ve .docx dava dosyaları gönderen hukuk ekipleri yerel baro kurallarını kontrol etmelidir. New York Barosu, müşteri dosyalarının yabancı barındırılan servislerle saklanmasının bilgilendirilmiş onay gerektirdiğine karar vermiştir. KVKK kapsamındaki Türk kuruluşlar için yurt dışına veri aktarımının açık rıza veya uygun güvence mekanizması gerektirdiğini unutmamak gerekir. Fransız avukatlar ise RGPD kapsamında tersine eğilimde: ABD barındırma gerekçe gerektiren istisnadır.

DORA (Dijital Operasyonel Esneklik Yasası, Ocak 2025'ten itibaren geçerli) kapsamındaki finansal hizmetler, tüm BİT üçüncü taraf sağlayıcıları ve alt yüklenici zincirlerini haritalandırmalıdır. Tek ülkede tek satıcıda barındırma yapan bir servis, beş alt işlemciyi kapsayan çok bölgeli bir hiper ölçekliyiciden çok daha kolay belgelenir.

Mevcut Sağlayıcınıza Sormanız Gerekenler

Herhangi bir dosya transferi sözleşmesini yenilemeden önce veri işleme sözleşmesini isteyin ve üç şeyi kontrol edin. Birincisi: alt işlemciler ve ülkelerinin listesi. İkincisi: içerik ve meta verinin nereye geçtiğini gösteren veri akışı diyagramı. Üçüncüsü: dosyalarınızı mahkeme celbiyle şifresi çözülebilir kılacak anahtarları sağlayıcının tutup tutmadığı dahil şifreleme duruşu.

Yanıtlar sürprizler ortaya çıkarırsa, geçici dosya transferinde geçiş kolaydır (bulut depolama arşivi taşımanın aksine). Geçmiş verileri taşımanız gerekmez; yalnızca yükleme uç noktasını değiştirirsiniz.

hexatransfer.com'da deneyin — ücretsiz, hesap gerekmez, 10 GB'a kadar.