--- title: "Gizlilik Yükümlülükleri: İmzalanmış Bir Belge ile Uygulanabilir Bir Yapı Arasındaki Fark" description: "Gizlilik yükümlülüğünün değerlemedeki karşılığı imzanın varlığı değil, kapsamın şirketin fiilî bilgi akışıyla örtüşmesi ve ihlal hâlinde uygulanabilir olmasıdır. İnceleme masası, sözleşme metnini değil; kimin neye eriştiğini, çıkış anında erişimin nasıl kapatıldığını ve bu döngünün kurucudan bağımsız işleyip işlemediğini sorgular." url: https://www.beirek.com/tr/blog/confidentiality-obligations-due-diligence canonical: https://www.beirek.com/tr/blog/confidentiality-obligations-due-diligence published: 2026-08-11 modified: 2026-08-11 category: "İnsan Kaynağı ve Yetenek" category_url: https://www.beirek.com/tr/blog/category/human-capital-talent language: tr-TR reading_time_minutes: 8 publisher: BEIREK LLC publisher_url: https://www.beirek.com license: "© BEIREK LLC — citation with attribution and link permitted" keywords: ["gizlilik yükümlülükleri","due diligence insan kaynağı","erişim envanteri","temsil ve tekeffül","kurucu bağımlılığı","ticari sır koruması","değerleme iskontosu"] topics: ["Yatırım hazırlığı ve değerleme incelemesi","İnsan kaynağı ve yetenek yönetişimi","Gizlilik ve bilgi güvenliği mimarisi","M&A işlem yapısı ve risk tahsisi"] alternate_language_url: https://www.beirek.com/en/blog/confidentiality-obligations-due-diligence --- # Gizlilik Yükümlülükleri: İmzalanmış Bir Belge ile Uygulanabilir Bir Yapı Arasındaki Fark > **Kısaca:** Gizlilik yükümlülüğünün değerlemedeki karşılığı imzanın varlığı değil, kapsamın şirketin fiilî bilgi akışıyla örtüşmesi ve ihlal hâlinde uygulanabilir olmasıdır. İnceleme masası, sözleşme metnini değil; kimin neye eriştiğini, çıkış anında erişimin nasıl kapatıldığını ve bu döngünün kurucudan bağımsız işleyip işlemediğini sorgular. *Çoğu şirkette gizlilik yükümlülüğü, işe giriş dosyasına konulan bir imza olarak vardır; incelemeye giren taraf ise imzanın varlığını değil, yükümlülüğün kapsamının şirketin gerçek bilgi akışıyla örtüşüp örtüşmediğini arar. Bu iki soru arasındaki açık, değerlemeye çoğu zaman garanti kapsamı ve escrow oranı üzerinden yansır.* --- Bir due diligence oturumunda, gizlilik yükümlülükleri gündeme geldiğinde şirket tarafının ilk refleksi neredeyse her zaman aynıdır: personel dosyalarının bulunduğu klasör açılır, imzalı gizlilik taahhütnamelerinin tarandığı bir alt klasör gösterilir ve soru cevaplanmış sayılır. İnceleme yürüten taraf ise klasörü kapatmadan ikinci bir soru sorar — bu taahhütnamelerin kapsadığı bilgi tanımı ile şirketin bugün fiilen ürettiği ve dolaştırdığı bilgi aynı şey midir. Bu ikinci soruda, ilk sorunun rahatlığı tipik olarak dağılır; çünkü imzalar dört ya da beş yıl öncesine ait bir şablonu taşırken, şirketin bilgi mimarisi o tarihten bu yana müşteri fiyat matrisinden tedarikçi maliyet kırılımına, algoritmadan formülasyona kadar birkaç kat genişlemiştir. Belge yerindedir; kapsam ise geride kalmıştır. Aynı asimetri çıkış tarafında daha keskin görünür. Bir çalışanın ayrılış sürecinde gizlilik yükümlülüğünün hatırlatıldığına, hangi verilere erişiminin bulunduğunun tek tek listelendiğine ve bu erişimlerin hangi tarihte kapatıldığına dair bir kayıt istendiğinde, çoğu şirkette gösterilebilen şey ya insan kaynakları tarafında tutulmuş genel bir ayrılış formu ya da bilgi işlem tarafında tutulmuş bir hesap kapatma bildirimidir; ikisinin birbirine bağlandığı, yani sözleşmesel yükümlülük ile teknik erişimin aynı kayıtta eşleştiği bir iz nadiren bulunur. Oysa incelemeye giren tarafın aradığı tam olarak bu eşleşmedir, zira gizlilik ihlali riskinin gerçekleştiği yer sözleşme metni değil, kapatılmamış bir paylaşım klasörü ya da devredilmemiş bir cihazdır. Bu boşluğun altındaki mekanizma bir ihmal değil, belirli bir aşamada tamamen işlevsel olan bir kısayoldur. Küçük ve orta ölçekli bir şirkette bilgiye kimin eriştiği zaten herkesçe bilinir; kurucu ile üç dört kilit kişi arasındaki güven ilişkisi, formel bir erişim envanterinin sağlayacağı korumanın büyük kısmını maliyetsiz biçimde üretir ve o aşamada envanter tutmak gereksiz bir bürokrasi gibi görünür. Sorun kısayolun kendisinde değil, koşul değiştiğinde kısayolun devam etmesindedir: ekip otuz kişiyi geçtiğinde, uzaktan çalışma bilgiyi kurumsal ağın dışına taşıdığında, dış danışman ve serbest çalışan sayısı arttığında, güvenin kapsadığı yüzey ile bilginin yayıldığı yüzey birbirinden ayrılır. Ayrışma sessiz gerçekleşir; hiçbir gün kimse gizlilik rejiminin yetersiz kaldığına dair bir sinyal üretmez, çünkü ihlalin yokluğu koruma varmış gibi okunur. İkinci bir mekanizma kapsamın soyutluğudur. Standart taahhütnameler bilgiyi "ticari sır, müşteri bilgisi ve şirkete ait her türlü veri" gibi geniş fakat sınırı belirsiz bir formülle tanımlar; bu genişlik hukuken kullanışlı görünse de, ihlal iddiasının ispatlanması gerektiğinde tam tersi yönde çalışır. Neyin gizli olduğunun ayrıca sınıflandırılmadığı bir yapıda, ayrılan bir çalışanın yanında götürdüğü müşteri listesinin "şirkete ait korunan bilgi" mi yoksa "sektörde zaten dolaşan genel bilgi" mi olduğu tartışmaya açılır ve tartışma, ispat yükünü taşıyan şirket aleyhine sonuçlanma eğilimi gösterir. Kapsamı daraltıp somutlaştırmak — hangi belge sınıfının, hangi sistemdeki hangi veri setinin korunduğunu adlandırmak — koruma alanını küçültmez, uygulanabilirliğini artırır. Bu eğilimlerin değerlemedeki karşılığı, gizlilik başlığının kendi satırında değil, işlem yapısının üç ayrı yerinde belirir. Birincisi temsil ve tekeffül kapsamıdır: erişim ile sözleşme arasındaki eşleşmenin gösterilemediği şirketlerde alıcı tarafı, fikrî mülkiyet ve gizli bilgi başlığında daha geniş bir beyan, daha uzun bir zamanaşımı ve daha yüksek bir sorumluluk tavanı talep eder. İkincisi escrow oranıdır; ölçülemeyen bir riskin fiyatlanma biçimi, kapanış bedelinin bir bölümünün daha uzun süre bloke tutulmasıdır. Üçüncüsü ve çoğu zaman en pahalısı kapanış öncesi koşuldur: erişim envanterinin çıkarılması, kritik personelle güncel kapsamlı sözleşmelerin yeniden imzalanması ve çıkış kayıtlarının tamamlanması bir kapanış şartına dönüştüğünde, işlem takvimi bir bütçe döngüsü kadar uzayabilir ve bu gecikmenin kendisi pazarlık gücünü karşı tarafa kaydırır. Dördüncü kanal daha az görünür fakat daha kalıcıdır. Bilgi güvenliği ve gizlilik rejiminin belgelenemediği şirketlerde, kurumsal müşterilerin tedarikçi denetimlerinden geçme kapasitesi sınırlanır; büyük alıcıların satın alma süreçlerinde gizlilik ve veri işleme taahhüdü artık sözleşmenin standart eki hâline gelmiştir ve bu eki karşılayamayan tedarikçi, fiyattan bağımsız olarak listeden düşer. Dolayısıyla eksik gizlilik mimarisi yalnızca bir hukuki risk kalemi değil, aynı zamanda büyüme senaryosundaki üst segment müşteri kazanımını daraltan bir tavan üretir; yatırımcının projeksiyonda gördüğü müşteri karması ile şirketin fiilen erişebileceği müşteri karması arasındaki fark burada oluşur. Sahiplik boyutu, bu tablonun en sık boş bırakılan hanesidir. Gizlilik yükümlülüğü tipik olarak üç fonksiyon arasında bölünmüş hâlde durur — sözleşme metni hukuk ya da dış avukatta, imza toplama insan kaynaklarında, erişim yetkisi bilgi işlemde — ve bu üç hattı birleştiren, kapsamın güncelliğinden ve ihlal hâlinde ne yapılacağından sorumlu tek bir isim bulunmaz. Sahipsizliğin pratik sonucu, bir ihlal şüphesi doğduğunda kararın kaçınılmaz biçimde kurucuya taşınmasıdır: kimin uyarılacağı, hangi hukuki adımın atılacağı, müşteriye bildirim yapılıp yapılmayacağı sorularının tamamı tek bir masada toplanır. İnceleme yürüten taraf bu örüntüyü gördüğünde, bunu bir gizlilik meselesi olarak değil, kurucu bağımlılığının bir kanıtı olarak kaydeder ve iskonto tartışması gizlilikten çok yönetişim başlığı altında yürür. Ölçüm boyutunda yapılan yaygın hata, gizliliğin ihlal sayısıyla ölçülmeye çalışılmasıdır; sıfır ihlal, hem iyi bir rejimin hem de hiç bakılmamış bir alanın üreteceği aynı sonuçtur ve dolayısıyla bilgi taşımaz. Anlamlı ölçüm, sonucu değil sistemin çalışıp çalışmadığını izleyen büyüklüklerden kurulur: kritik veri setlerine erişimi bulunan kişi sayısının dönemsel seyri, erişim envanterinin en son ne zaman güncellendiği, ayrılan personelde çıkış kontrol listesinin kapanma oranı, güncel kapsamlı sözleşmesi bulunan çalışan yüzdesi, üçüncü taraflarla imzalanmış gizlilik anlaşmalarının aktif tedarikçi listesiyle örtüşme derecesi. Bu göstergelerin herhangi bir yönetim raporunda düzenli görünmesi, tek başına, incelemeye giren tarafın soru setini kısaltır. BEIREK'in bu alandaki müdahalesi, sözleşme şablonunu yenilemekle başlamaz; envanterle başlar. İlk adımda şirketin fiilen ürettiği bilgi sınıflandırılır — müşteri ve fiyat verisi, tedarikçi maliyet kırılımı, teknik dosya ve formülasyon, kaynak kod ve algoritma, insan kaynağı verisi — ve her sınıf için hangi sistemde durduğu, kimin eriştiği ve erişimin hangi yetkiyle verildiği tek bir tabloda eşleştirilir. Bu eşleşme çıkarıldığında, sözleşme kapsamının nerede eksik kaldığı bir yorum meselesi olmaktan çıkar; şablon, envanterin gösterdiği boşluğa göre yeniden yazılır ve kritik erişimi bulunan roller için ayrı bir kapsam katmanı tanımlanır. İkinci adımda döngü kurulur ve bir ritme bağlanır. Giriş tarafında erişim yetkisinin verilmesi ile ilgili kapsam maddesinin imzalanması aynı kayda bağlanır, böylece yetki sözleşmesiz açılamaz; çıkış tarafında ise ayrılış kontrol listesi, envanterdeki her erişim kalemi tek tek kapatılmadan kapanmayacak biçimde tasarlanır ve kapanma kaydı saklanır. Envanterin yılda iki kez, kritik roller için ise her rol değişikliğinde gözden geçirilmesi bir takvim maddesine dönüştürülür ve bu gözden geçirmenin sahibi olarak kurucu dışında tek bir isim atanır — yetkisi, ihlal şüphesinde ilk kararı verecek düzeyde tanımlanır. Yatırımcının aradığı süreklilik kanıtı, tam olarak bu iki döngünün kurucu masasından geçmeden kapanabildiğinin gösterilmesidir. Bu yapının kurulması, çoğu şirketin sandığından daha küçük bir çabayla tamamlanır; asıl zorluk teknik değil, önceliktedir. Gizlilik rejimi, bir ihlal yaşanana ya da bir işlem masasına oturulana kadar hiçbir gün acil görünmeyen, buna karşılık her ikisi gerçekleştiğinde geriye dönük olarak kurulması imkânsız hâle gelen ender kurumsal katmanlardan biridir; çünkü geçmişte kimin neye eriştiğini, bugün elde bulunan kayıtlarla yeniden inşa etmenin yolu yoktur. Kapanış öncesi koşul listesine giren bir gizlilik başlığı, işlem baskısı altında ve karşı tarafın belirlediği kapsamla kurulur, dolayısıyla hem daha pahalı hem de şirketin lehine olmayan bir biçim alır. Nihayetinde inceleme masasının gizlilik başlığında aradığı şey, şirketin bilgiyi koruma niyeti değil, koruma kapasitesinin kişiden bağımsız hâle gelip gelmediğidir. İmzalı bir taahhütname niyeti gösterir; erişim envanteri ile çıkış kaydının birbirine bağlandığı işleyen bir döngü ise kapasiteyi gösterir, ve bu iki kanıt arasındaki fark, değerlemede garanti kapsamı, escrow oranı ve kapanış takvimi üzerinden ölçülebilir bir büyüklüğe dönüşür. Sorulması gereken soru, gizlilik sözleşmelerinin imzalanmış olup olmadığı değil; bugün şirketten ayrılacak bir kilit çalışanın erişimlerinin, kurucuya hiç sorulmadan, kaç gün içinde ve hangi kayıtla kapatılabileceğidir. ## Ana Noktalar - Gizlilik yükümlülüğü, işe giriş anında imzalanıp bir daha açılmadığında, şirketin dört yıl önceki bilgi mimarisini korumaya devam eder. - İnceleme masasının aradığı kanıt sözleşme metni değil, erişim yetkisi ile sözleşme kapsamı arasındaki eşleşmenin gösterilebilmesidir. - Çıkış sürecinde erişimin kapatıldığına dair kayıt tutulmayan şirketlerde, gizlilik riski temsil ve tekeffül kapsamına özel bir başlık olarak taşınır. - Sahipsiz bırakılmış gizlilik rejimi, ihlal anında kararı kurucuya taşır ve kurucu bağımlılığı iskontosunu doğrudan büyütür. - Ölçüm burada ihlal sayısı değil, erişim envanterinin tazeliği ve çıkış kontrol listesinin kapanma oranı üzerinden kurulur. ## Sorular ### Gizlilik sözleşmesi imzalatmak due diligence için yeterli mi? İmza, yükümlülüğün varlığını gösterir fakat uygulanabilirliğini göstermez. İnceleme yürüten taraf, sözleşmedeki bilgi tanımı ile çalışanın fiilen eriştiği veri setlerinin örtüşüp örtüşmediğini arar. Şablonun imzalandığı tarihten bu yana şirketin bilgi mimarisi genişlemişse, kapsam geride kalmış demektir; bu durumda imza dosyası soruyu kapatmaz, aksine kapsam güncelliğine ilişkin yeni bir soru seti açar. ### Gizlilik yükümlülüklerindeki eksiklik değerlemeye nasıl yansır? Yansıma genellikle fiyat satırında değil, işlem yapısında görülür. Alıcı taraf fikrî mülkiyet ve gizli bilgi başlığında daha geniş beyan, daha uzun zamanaşımı ve daha yüksek sorumluluk tavanı talep eder; kapanış bedelinin bir bölümü daha uzun süre escrow'da tutulur; envanterin çıkarılması ve sözleşmelerin yenilenmesi kapanış öncesi koşula dönüştüğünde işlem takvimi uzar ve pazarlık gücü karşı tarafa kayar. ### Gizlilik rejimi hangi göstergelerle ölçülür? İhlal sayısı anlamlı bir gösterge değildir; sıfır ihlal hem iyi işleyen bir rejimin hem de hiç bakılmamış bir alanın sonucu olabilir. Anlamlı ölçüm sistemin çalıştığını izler: kritik veri setlerine erişimi bulunan kişi sayısının seyri, erişim envanterinin son güncelleme tarihi, ayrılan personelde çıkış kontrol listesinin kapanma oranı, güncel kapsamlı sözleşmesi bulunan çalışan yüzdesi ve üçüncü taraf gizlilik anlaşmalarının aktif tedarikçi listesiyle örtüşmesi. ### Gizlilik yükümlülüklerinin sahibi şirkette kim olmalı? Uygulamada sorumluluk hukuk, insan kaynakları ve bilgi işlem arasında bölünür; sözleşme bir yerde, imza başka yerde, erişim yetkisi üçüncü yerde durur. Bu bölünme, ihlal şüphesinde kararı kaçınılmaz olarak kurucuya taşır. Kapsamın güncelliğinden ve ilk müdahale kararından sorumlu, kurucu dışında tek bir isim atanması gerekir; yetkisi, müşteriye bildirim ve hukuki adım kararını verebilecek düzeyde tanımlanmalıdır. --- Kaynak: https://www.beirek.com/tr/blog/confidentiality-obligations-due-diligence Yayımlayan: BEIREK LLC — https://www.beirek.com