Kısa cevap: on madde, ve en çok unutulanı "kaynak kod ayrı yazılır"
Yazılım geliştirme sözleşmesinde on başlığın yazılı olması gerekir: kapsam ve teslimler, bedel ve ödeme, takvim, kabul ve ayıp, fikri haklar ve lisans, kaynak kod, bakım ve destek, gizlilik ve kişisel veri, güvenlik, fesih ve çıkış. En sık atlanan madde, kaynak kodun kime ait olacağıdır: Fikir ve Sanat Eserleri Kanunu'na göre mali haklara ilişkin sözleşmeler yazılı olmalı ve devredilen haklar ayrı ayrı sayılmalıdır. "Kaynak kod size teslim edilecek" cümlesi bu yüzden tek başına yetmez.
Bu yazı hukuki danışmanlık değildir; sözleşmenizi bir hukukçuya gösterin. Madde numaraları ilgili kanun metinlerine bağlıdır; ayrıntı ve yorum için uzmana başvurun.
| # | Başlık | Temel soru |
|---|---|---|
| 1 | Kapsam ve teslimler | Ne teslim edilecek, ne edilmeyecek? |
| 2 | Bedel ve ödeme | Götürü mü, zamana göre mi, ne zaman ödenir? |
| 3 | Takvim | Aşamalar, tarihler, gecikmenin sonucu |
| 4 | Kabul ve ayıp | Nasıl test edilir, ayıp ne zaman bildirilir? |
| 5 | Fikri haklar ve lisans | Hangi hak kime ait, hangisi kullanım izni? |
| 6 | Kaynak kod | Teslim, dokümantasyon, üçüncü taraf bileşenler |
| 7 | Bakım ve destek | Süre, kapsam, yanıt süresi, ücret |
| 8 | Gizlilik ve kişisel veri | Veri kimde, kim sorumlu? |
| 9 | Güvenlik | Hangi güvenlik ölçütü, nasıl doğrulanır? |
| 10 | Fesih ve çıkış | Ayrılınca kod, veri, belge nasıl döner? |
Sözleşmenin hukuki niteliği
Yazılım geliştirme sözleşmeleri çoğu zaman Türk Borçlar Kanunu'ndaki eser sözleşmesi hükümlerine bağlanır: TBK madde 470 eser sözleşmesini, yüklenicinin bir eser meydana getirmeyi, iş sahibinin de karşılığında bir bedel ödemeyi üstlendiği sözleşme olarak tanımlar; madde 471 yükleniciye işi sadakat ve özenle, benzer işleri üstlenen basiretli bir yüklenicinin göstereceği mesleki ve teknik kurallara uygun biçimde yapma yükümü getirir. Uygulamada bir sözleşmenin eser mi, hizmet mi olduğu ayrıca tartışılır; bu ayrım bir hukuk bürosunun yazısında Yargıtay Hukuk Genel Kurulu kararına dayanarak anlatılıyor. Sürekli geliştirme ve bakım gibi işlerde nitelik değişebilir; bu yüzden sözleşmenin ne olduğunu hukukçunuzla netleştirin.
10 madde
1. Kapsam ve teslimler: ne yapılacak, ne yapılmayacak?
Teslimleri tek tek yazın (modüller, ekranlar, entegrasyonlar, dokümantasyon, eğitim) ve kapsam dışı olanları da yazın. Belirsiz kapsam, sonraki ek iş tartışmasının ilk nedenidir. Kapsamı sözleşmenin eki bir belgede toplayıp "değişiklik yönetimi" kuralını yazın: kapsam değişirse süre ve bedel nasıl güncellenir?
2. Bedel ve ödeme: götürü mü, zamana göre mi?
TBK madde 480'e göre bedel götürü belirlenmişse yüklenici, eser öngörülenden fazla emek ve masraf gerektirse bile bedelin artırılmasını isteyemez; ama başlangıçta öngörülemeyen ya da öngörülebilip de taraflarca göz önünde tutulmayan durumlar götürü bedelle eserin yapılmasını son derece güçleştirirse hâkimden uyarlama, mümkün değilse sözleşmeden dönme hakkı doğar. Madde 479'a göre iş sahibinin bedel ödeme borcu eserin tesliminde muaccel olur; parça parça teslimde her parçanın bedeli o parçanın tesliminde muaccel olur. Pratik sonuç: ödemeyi aşamalara bağlayın, hangi teslimin ne kadar bedel doğurduğunu yazın ve zamana göre çalışma (saat/gün) varsa üst sınır ya da bütçe onayı koyun. İlk fazı keşif olarak ayırmak için özel yazılım yaptırmadan önce hazırlanacaklar yazımıza bakabilirsiniz.
3. Takvim: aşamalar, tarihler ve gecikmenin sonucu
Her aşamanın teslim tarihini, gecikmenin kimden kaynaklandığına göre sonuçlarını (müşteri onayı gecikirse süre uzar mı?) ve ceza ya da ek süre mekanizmasını yazın. Süre tahminlerinin belirsizliği için yazılı bir plan ve aşamalı yeniden değerlendirme faydalıdır.
4. Kabul ve ayıp: nasıl test edilir?
TBK madde 477 eserin açıkça ya da örtülü kabulünden sonra yüklenicinin sorumluluktan kurtulduğunu söyler; yüklenicinin kasten gizlediği ve gözden geçirme sırasında fark edilemeyen ayıplar hariç. İş sahibi gözden geçirmeyi ve bildirimi ihmal ederse eseri kabul etmiş sayılır; ayıp sonradan ortaya çıkarsa gecikmeksizin bildirilmelidir, aksi hâlde eser kabul edilmiş sayılır. Madde 478'e göre ayıplı eser nedeniyle açılacak davalar, taşınmaz yapılar dışındaki eserlerde teslim tarihinden başlayarak iki yılda zamanaşımına uğrar; yüklenicinin ağır kusuru varsa yirmi yıl uygulanır. Bunun yazılıma uyarlanması: sözleşmeye kabul kriterlerini (hangi senaryolar geçecek), kabul süresini ve ayıp bildirim yöntemini (e-posta, destek sistemi) yazın; kabul testini yapacak kişiyi atayın.
5. Fikri haklar ve lisans: hangi hak kime ait?
FSEK madde 2 bilgisayar programlarını, ifade biçimi ne olursa olsun, eser sayar. Madde 52 mali haklara ilişkin sözleşmelerin yazılı olmasını ve devredilen hakların ayrı ayrı belirtilmesini ister. Bu yüzden "yazılım size aittir" ya da "kaynak kod teslim edilir" tek başına yetmez: hak devri (hangi mali haklar, ne kapsamda), kullanım lisansı (süre, kullanıcı sayısı, alt lisans) ve yüklenicinin kendi önceden var olan bileşenleri ayrı ayrı yazılmalıdır. Yüklenici kendi kütüphanelerini başka müşterilerde kullanacaksa bunu bilerek karar verin.
6. Kaynak kod: teslim şekli ve dokümantasyon
Kaynak kodun ne zaman, hangi biçimde (depo erişimi, arşiv), hangi dokümantasyonla (kurulum, mimari, bağımlılık listesi) ve hangi üçüncü taraf bileşenlerle (açık kaynak lisansları) teslim edileceğini yazın. Teslimi tek seferlik değil, her sürümde yapılacak şekilde tarif etmek, yüklenici ile ilişki bozulsa bile kodun güncel kalmasını sağlar. Kodu yükleniciden bağımsız bir ortamda tutmak bizim önerimizdir; sözleşmeye yazılması gerekir.
7. Bakım ve destek: süre, kapsam, yanıt süresi
Bakımın ne içerdiğini (hata düzeltme, güvenlik yaması, sürüm uyumu, yeni özellik hariç mi?), süresini, ücretini, destek kanallarını ve yanıt ile çözüm sürelerini yazın. Bakım ücretini toplam maliyete eklemek için ERP fiyatları: 5 yıllık toplam maliyet yazımızdaki tablo bir örnek verir. Bakım ve destek hizmeti için destek ve bakım sayfamıza bakabilirsiniz.
8. Gizlilik ve kişisel veri
KVKK madde 12, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişimi önlemek için gerekli teknik ve idari tedbirleri almasını ister; verinin başka bir kişi tarafından kendi adına işlenmesi hâlinde ikisi tedbirlerden birlikte sorumludur. Yüklenici verinize erişecekse (test verisi, canlı veri, bakım) bunu, hangi tedbirlerle ve hangi sürede silineceğini yazın. Gizlilik yükümlülüğünün sözleşme bittikten sonra da sürüp sürmediğini belirtin.
9. Güvenlik gereksinimleri
Güvenli geliştirme için yükleniciye hangi çerçeveyi izlediğini sorun: web uygulamaları için OWASP ASVS ve yazılım üretiminde güvenlik için NIST SSDF (NIST'in sayfasına göre hem üreticiler hem satın alanlar kullanabilir) yaygın referanslardır. Sözleşmeye "hangi düzeyde doğrulama yapılacak, bulgular nasıl raporlanacak, kritik açık ne kadar sürede kapatılacak" yazmak, güvenliği iddiadan ölçüte çevirir.
10. Fesih ve çıkış: ayrılırken ne olur?
TBK madde 484 "tazminat karşılığı fesih" başlığını taşır: kanun iş sahibine belirli koşullarda yüklenicinin zararını gidererek sözleşmeden dönme imkânı tanır; koşullar için kanun metnine bakın. Sözleşmede fesih hâlinde şunları yazın: o ana kadar yapılan işin bedeli nasıl hesaplanır, kaynak kod, veri ve dokümantasyon ne kadar sürede ve hangi biçimde teslim edilir, devir yardımı (ücretli mi, kaç saat) verilir mi, yüklenicinin elindeki verilerin silinmesi nasıl doğrulanır? "Çıkış" maddesi olmayan sözleşme, ilişki bittiğinde pazarlık gücünü yükleniciye verir.
Teklif aşamasında sorulacak 8 soru
- Sözleşmenin ekinde kapsam ve kabul kriterleri var mı?
- Fikri hak devri ve kullanım lisansı ayrı ayrı yazılmış mı?
- Kaynak kod ne zaman, hangi biçimde ve hangi dokümantasyonla teslim ediliyor?
- Üçüncü taraf ve açık kaynak bileşenlerin listesi ve lisansları verilecek mi?
- Bakım ve destek: yanıt ve çözüm süreleri ve ücreti yazılı mı?
- Kişisel veriye erişim hangi tedbirlerle ve hangi sürede siliniyor?
- Güvenlik doğrulaması hangi çerçeveye göre ve nasıl raporlanıyor?
- Fesih hâlinde kod, veri ve devir yardımı nasıl işliyor?
Bu soruları teklif karşılaştırmasında kullanmak için hazır yazılım mı, özel yazılım mı karar matrisimize ve 2027 BT bütçesi önceliklendirme tablosuna bakabilirsiniz. Özel yazılım projeniz için özel yazılım geliştirme sayfamıza göz atabilirsiniz.
Sıkça Sorulan Sorular
Yazılımın kaynak kodu kime aittir?
Sözleşmede yazanlara bağlıdır. FSEK madde 52'ye göre mali haklara ilişkin sözleşmeler yazılı olmalı ve devredilen haklar ayrı ayrı sayılmalıdır. Kaynak kodun teslimi, hak devri ve kullanım lisansı üç ayrı konudur; üçünü de yazın ve hukukçunuza kontrol ettirin.
Ayıbı ne zaman bildirmeliyim?
TBK madde 477'ye göre eserin kabulünden sonra ortaya çıkan ayıp gecikmeksizin yükleniciye bildirilmelidir, aksi hâlde eser kabul edilmiş sayılır. Ayıplı eser nedeniyle açılacak davalarda madde 478'deki zamanaşımı süreleri (taşınmaz yapılar dışında iki yıl; ağır kusurda yirmi yıl) uygulanır. Sözleşmenizde bildirim yöntemini ve süresini açıkça yazın.
Bakım sözleşmesi neleri kapsamalı?
Hata düzeltme, güvenlik yamaları, sürüm uyumu, destek kanalları, yanıt ve çözüm süreleri, süre ve ücret ile yeni özellik taleplerinin ayrı fiyatlandırılıp fiyatlandırılmadığı yazılmalıdır. Bakım ücretini toplam maliyet tablonuza yıllık bir satır olarak ekleyin.
Sözleşme feshedilirse kod ve veri ne olur?
Sözleşmede yazmıyorsa belirsizdir. Fesih hâlinde kaynak kodun, verinin ve dokümantasyonun teslimini, devir yardımını ve yükleniciye verilmiş verilerin silinmesini baştan yazın.
Sözleşme maddelerinizi ve teklif karşılaştırmanızı birlikte gözden geçirmek isterseniz bizimle iletişime geçin.
Kaynaklar: Türk Borçlar Kanunu, madde 470-484 (6098 sayılı Kanun, Türkiye Sigorta Birliği kanun derlemesi), Fikir ve Sanat Eserleri Kanunu (5846 sayılı Kanun, madde 2 ve 52), 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 12 (Adalet Bakanlığı), Eser Sözleşmesi, Şartları ve Unsurları (Avukat Baran Doğan), OWASP Application Security Verification Standard (OWASP), Secure Software Development Framework (NIST)
Kapak fotoğrafı: Vitaly Gariev / Unsplash