Web Sitesi Bakım Sözleşmesi Neleri Kapsamalı?

Bir web sitesi bakım sözleşmesi en az yedi konuyu yazılı hale getirmelidir: hangi yazılımın ne sıklıkta güncelleneceği, yedeğin nerede ve ne sıklıkta alınacağı, güvenlik yamaları ve saldırı sonrası temizlik, arızaya yanıt süresi, alan adı ve barındırma hesaplarının kimin adına olduğu, bakımı yapanın erişim yetkisi ve sözleşme bittiğinde her şeyin nasıl devredileceği. Bunlardan biri yazılı değilse, o konuda bir sorun çıktığında kimin ne yapacağı tartışmaya açık kalır. Aşağıda her konu için sözleşmeye konabilecek madde örneklerini, arıza türüne göre yanıt süresi tablosunu ve imzadan önce kullanabileceğiniz bir kontrol listesini bulacaksınız.

Yazı fiyat vermiyor; bakım ücreti kapsamın sonucudur ve kapsam yazılmadan karşılaştırılamaz. Ayrıca bir sözleşme şablonu değil, bir kontrol aracıdır; metni imzalamadan önce kendi durumunuza göre bir hukukçuya okutmanız gerekebilir.

Bakım sözleşmesi neden ayrı yazılır

Bakım sözleşmesi, sitenin teslim edilmesinden sonra devam eden işleri kapsar ve bu yüzden site yapım sözleşmesinden ayrı yazılması gerekir. Yapım sözleşmesi bir projeyi anlatır: ne yapılacak, ne zaman teslim edilecek, kaç revizyon hakkı var. Bakım ise süreklidir ve her ay aynı soruyu cevaplar: site çalışıyor mu, güncel mi, güvende mi?

İki sözleşme karıştırıldığında en sık görülen sorun, teslimden sonraki işin belirsiz kalmasıdır. Varsayımsal bir örnek düşünelim: bir güzellik salonunun sitesi teslim edilmiş, yapım teklifinde "bir yıl destek" yazıyor. Altı ay sonra eklentilerden biri güncellenmeyip site açılmaz hale geliyor. "Destek" bunu kapsıyor mu? Yazılı bir tanım yoksa iki tarafın da kendi yorumu doğrudur.

Yapım aşamasında kapsamın, revizyonun ve teslimin nasıl yazılacağını web sitesi brief'i yazısında, teslimde neyin kontrol edileceğini teslim kabul testi yazısında anlattık. Bakım sözleşmesi bu iki belgenin bittiği yerden başlar.

Kapsam maddesi: "bakım" kelimesinin içi

Sözleşmedeki ilk ve en önemli madde, "bakım" kelimesinin hangi işleri kapsadığını tek tek saymasıdır. "Sitenin bakımı yapılacaktır" cümlesi bir kapsam değil, bir niyettir. Kapsam, sayılabilir işlerden oluşur.

Tipik bir bakım kapsamı şu işleri içerir: içerik yönetim sisteminin, temanın ve eklentilerin güncellenmesi; düzenli yedek alınması ve saklanması; güvenlik yamalarının uygulanması ve sitenin izlenmesi; erişim kesintisinin fark edilip giderilmesi; SSL sertifikasının yenilenmesinin takibi; aylık kısa bir durum raporu. İçerik eklemek, yeni sayfa tasarlamak, SEO çalışması ve reklam yönetimi ise genellikle bakımın dışındadır ve ayrı yazılmalıdır.

Sözleşmeye konabilecek bir madde örneği:

Bakım hizmeti aşağıda sayılan işlerden oluşur: (a) yazılım güncellemeleri, (b) yedekleme, (c) güvenlik izleme ve yamalar, (d) erişim kesintisi müdahalesi, (e) sertifika ve alan adı yenileme takibi, (f) aylık durum raporu. Bu listede sayılmayan işler kapsam dışıdır ve ayrıca teklif edilir.

Son cümle önemlidir. Kapsam dışı işin "ayrıca teklif edilir" diye yazılması, her küçük isteğin tartışma konusu olmasını önler ve ek işin fiyatlanmadan yapılıp sonra faturalanmasının da önüne geçer.

Yazılım ve eklenti güncellemeleri: sıklık ve test

Güncelleme maddesi neyin, ne sıklıkta ve hangi testten sonra güncelleneceğini yazmalıdır. Güncellemenin kendisi kolaydır; zor olan, güncellemenin siteyi bozmadığından emin olmaktır. Bu yüzden iyi bir madde, güncellemeyi bir test adımıyla birlikte tanımlar.

Sözleşmede şu soruların cevabı bulunmalı. Güncellemeler ayda bir mi yapılıyor, yoksa yayımlandıkça mı? Güvenlik güncellemeleri diğerlerinden önce mi uygulanıyor? Güncelleme canlı sitede mi yapılıyor, yoksa önce bir test kopyasında mı? Güncellemeden sonra hangi sayfalar ve formlar kontrol ediliyor? Bir güncelleme siteyi bozarsa, geri alma kimin işi ve ne kadar sürede?

Hazır bir site kurucu veya kapalı bir platform kullanıyorsanız güncellemeleri platform kendisi yapar; bu durumda maddenin içeriği değişir. Platformun yapmadığı işler, örneğin kendi eklediğiniz kodlar veya üçüncü taraf entegrasyonlar, bakımı yapanın sorumluluğuna yazılmalıdır.

Formların güncelleme sonrası test edilmesi ayrıca yazılmalı. Bir klinik ya da emlak ofisi için iletişim formu sitenin en değerli parçasıdır ve güncellemeden sonra sessizce çalışmayı bırakması, ancak talep gelmediği fark edildiğinde anlaşılır.

Yedekleme: nerede, ne sıklıkta, geri yükleme testi

Yedek maddesi dört şeyi yazmalıdır: yedeğin sıklığı, saklandığı yer, saklama süresi ve geri yüklemenin en son ne zaman denendiği. Yalnız "düzenli yedek alınır" yazan bir madde, felaket anında yedeğin olup olmadığını bile garanti etmez.

Sıklık, sitenin ne kadar değiştiğine bağlıdır. İçeriği ayda bir değişen kurumsal bir site için haftalık yedek yeterli olabilir; her gün sipariş alan bir e-ticaret sitesi için günlük veritabanı yedeği gerekir. Saklama yeri, sitenin bulunduğu sunucudan farklı olmalıdır: sunucu çöktüğünde ya da hesap kapandığında aynı yerdeki yedek de gider.

En çok atlanan madde geri yükleme testidir. Alınan bir yedeğin gerçekten geri yüklenebilir olduğu, ancak denendiğinde anlaşılır. Sözleşmeye "yedekten geri yükleme yılda en az bir kez test kopyasında denenir ve sonucu rapora yazılır" gibi bir cümle eklemek bu riski azaltır.

Yedeğin kime ait olduğu da yazılmalı. Bakım sözleşmesi bittiğinde son yedeğin size teslim edilmesi, çıkış maddesinin parçasıdır ve aşağıda ayrıca ele alınıyor.

Güvenlik: yama, izleme, saldırı sonrası temizlik

Güvenlik maddesi önleme ile müdahaleyi ayırmalıdır: önlem olarak hangi yamaların ve ayarların uygulandığı, bir saldırı olursa temizliğin ve yeniden yayının kimin işi olduğu. Bu ayrım önemlidir, çünkü pek çok bakım teklifi önlemi kapsar ama saldırı sonrası temizliği kapsam dışında bırakır.

Ele geçirilmiş bir sitenin arama tarafında da sonucu olur. Google'ın spam politikaları ele geçirilmiş içeriği, sitenin güvenlik açıkları nedeniyle izinsiz yerleştirilmiş içerik olarak tanımlıyor ve bu içeriğin kullanıcılara kötü sonuç verdiğini, cihazlarına zararlı içerik yükleyebileceğini yazıyor. Böyle bir durumda temizliğin hızı, sitenin arama sonuçlarındaki durumunu da etkileyebilir.

Sözleşmede şu maddeler bulunmalı: güvenlik yamalarının ne kadar süre içinde uygulanacağı, sitenin hangi araçla izlendiği, yönetici hesaplarında iki adımlı doğrulamanın açık olup olmadığı, saldırı fark edildiğinde size ne kadar sürede haber verileceği ve temizliğin kapsamda olup olmadığı. Temizlik kapsam dışındaysa, en azından ücretinin nasıl hesaplanacağı yazılmalıdır.

Bir uyarı ekleyelim: bazı güvenlik eklentileri ve güvenlik duvarı ayarları, kötü niyetli trafikle birlikte arama motoru ve yapay zeka tarayıcılarını da engelleyebilir. Bakım sırasında bir güvenlik ayarı değiştirildiğinde bu tarayıcıların siteye hâlâ erişip erişemediğinin kontrol edilmesi gerekir; nasıl yapılacağını AI botlarının erişim doğrulaması yazısında anlattık.

Yanıt süresi: arıza türüne göre süre tablosu

Yanıt süresi maddesi, bir sorun bildirildiğinde bakımı yapanın ne kadar sürede harekete geçeceğini arıza türüne göre yazar. Tek bir süre ("48 saat içinde") yetmez, çünkü sitenin tamamen kapanması ile bir yazım hatasının düzeltilmesi aynı aciliyette değildir.

Aşağıdaki tablo bir başlangıç önerisidir; süreleri kendi işinize ve bakım ücretine göre birlikte belirlersiniz. Tablodaki süreler bir sektör standardı değil, örnektir.

Arıza türü	Örnek	Yanıt süresi (örnek)	Çözüm hedefi (örnek)
Kritik	Site açılmıyor, saldırı belirtisi, ödeme adımı çalışmıyor	Mesai içinde birkaç saat	Aynı gün
Yüksek	İletişim formu e-posta göndermiyor, bir bölüm açılmıyor	1 iş günü	2 iş günü
Orta	Bir sayfada görünüm bozuk, bir eklenti hata veriyor	2 iş günü	5 iş günü
Düşük	Yazım hatası, küçük görsel değişikliği	5 iş günü	Bir sonraki bakım turu

Tabloya iki not eklenmeli. Birincisi, "yanıt" ile "çözüm" aynı şey değildir; yanıt, sorunun alındığının ve incelendiğinin bildirilmesidir. İkincisi, sürelerin mesai saatleri içinde mi yoksa her gün mü geçerli olduğu yazılmalıdır. Hafta sonu ve tatil günlerindeki durumu yazmayan bir madde, cuma akşamı çöken bir sitede işe yaramaz.

Arızanın nasıl bildirileceği de maddede yer almalı: e-posta, telefon, bir destek sistemi. Bildirim kanalı yazılı değilse, bir çalışanın kişisel mesajı resmi bildirim sayılır mı tartışması çıkar.

Alan adı, barındırma ve hesap sahipliği

Bu madde, sitenin üzerinde durduğu bütün hesapların kimin adına kayıtlı olduğunu yazar ve sözleşmenin en çok ihmal edilen ama en pahalıya mal olabilecek kısmıdır. Alan adı, barındırma, içerik yönetim sistemi yönetici hesabı, e-posta hizmeti, Search Console ve analitik hesapları işletmenin kendi adına açılmış olmalı; bakımı yapan kişi ya da ajans bu hesaplara kullanıcı olarak eklenmelidir.

Varsayımsal bir emlak ofisi düşünelim: alan adı yıllar önce siteyi yapan serbest çalışanın kişisel hesabıyla alınmış. Serbest çalışana artık ulaşılamıyor ve alan adının süresi dolmak üzere. Ofisin sitesi, e-postası ve bütün ilan bağlantıları bir kişinin ulaşılabilir olmasına bağlı. Sözleşmede tek bir cümle bu durumu baştan önler: "Alan adı ve barındırma hesabı müşteri adına kayıtlıdır; hizmet veren yönetici yetkisiyle eklenir."

Hesapların mevcut durumunu kontrol etmek için dijital varlık devir listesi yazısındaki tabloyu kullanabilirsiniz. Bu kontrol, bakım sözleşmesini imzalamadan önce yapılmalıdır; sonradan yapıldığında devir çoğu zaman zorlaşır.

Kişisel veri: bakımı yapan veri işleyendir

Sitenizde form, üyelik veya sipariş varsa, bakımı yapan kişi ya da ajans bu verilere erişebilir ve bu durum sözleşmede yazılı olmalıdır. Kişisel Verilerin Korunması Kanunu md. 12(2), veri sorumlusunun, verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde güvenlik tedbirlerinin alınmasından "bu kişilerle birlikte müştereken sorumlu" olduğunu söylüyor. Aynı maddenin dördüncü fıkrası, veri sorumluları ile veri işleyenlerin öğrendikleri verileri başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını, bu yükümlülüğün görevden ayrıldıktan sonra da süreceğini yazıyor.

Bunun sözleşmeye yansıması üç maddedir: bakımı yapanın kişisel verilere hangi amaçla ve hangi ölçüde erişebileceği, verileri sitenin dışına indirip indiremeyeceği ve sözleşme bittiğinde elindeki kopyaları silip silmeyeceği. Veri işleyen ilişkisinin ayrıntıları için ayrı bir veri işleme sözleşmesi gerekebilir; bu konuda kendi hukukçunuza danışmanız gerekir. Bu paragraf bir mevzuat okumasıdır, hukuki görüş değildir.

İçerik değişikliği kapsamda mı

Bakım sözleşmelerinde en sık anlaşmazlık konusu küçük içerik değişiklikleridir: bir fiyatın güncellenmesi, bir fotoğrafın değişmesi, yeni bir duyurunun eklenmesi. Bunların bakım kapsamında olup olmadığı açık yazılmazsa, her istek yeni bir pazarlık olur.

İki yaygın çözüm var. Birincisi, aylık bir saat havuzu: bakım ücretine ayda belirli bir saat içerik değişikliği dahildir, aşan kısım ayrıca hesaplanır. İkincisi, içerik değişikliğini tamamen işletmeye bırakmak: işletme kendi yönetim panelinden değişiklik yapar, bakımı yapan yalnız teknik işlerden sorumludur. Hangisi seçilirse seçilsin, kullanılmayan saatlerin sonraki aya devredip devretmediği de yazılmalıdır.

Bakım ile SEO çalışmasının sınırını da çizin. Başlık etiketlerinin düzenlenmesi, yeni hizmet sayfası yazılması veya iç bağlantıların kurulması bakım değil SEO işidir; bu işlerin her ay nasıl planlandığını SEO çalışması ay ay yazısında anlattık. İki iş aynı kişide olsa bile sözleşmede ayrı kalemler olarak yazılmaları, hangisinin yapılıp hangisinin yapılmadığını görmeyi kolaylaştırır.

Çıkış ve devir maddesi

Çıkış maddesi, sözleşme hangi nedenle biterse bitsin, sitenin ve verilerin size eksiksiz ve kullanılabilir biçimde nasıl teslim edileceğini yazar. Bu madde iyi yazılmamışsa, bakım sağlayıcısını değiştirmek isteyen bir işletme, sitesini yeniden yaptırmak zorunda kalabilir.

Çıkışta teslim edilmesi gerekenler: güncel bir tam yedek (dosyalar ve veritabanı), bütün hesapların yönetici erişimi, bakımı yapanın eklediği özel kodlar ve lisans bilgileri, sitede kullanılan ücretli eklenti ve temaların lisanslarının kimin adına olduğu, son durum raporu. Maddede bir süre de yer almalı: örneğin sözleşme bitiminden itibaren belirli bir iş günü içinde teslim.

Lisans konusu ayrıca dikkat ister. Bakımı yapan ajans kendi toplu lisansıyla ücretli bir eklenti kullanıyorsa, sözleşme bittiğinde o eklentinin güncellemeleri durabilir. Sözleşmede bu tür lisansların listesi ve çıkışta ne olacağı yazılmalıdır. Siteyi yenilemeyi düşünüyorsanız, bakım sözleşmesinin sonu doğru bir zaman olabilir; buna karar vermek için web sitesi yenileme zamanı yazısındaki sekiz testi kullanabilirsiniz.

İmzadan önce on maddelik kontrol

Bakım sözleşmesini imzalamadan önce aşağıdaki maddeleri tek tek kontrol edin. Her birinin karşısına sözleşmedeki madde numarasını yazabiliyorsanız, sözleşme bu konuyu kapsıyor demektir.

Bu listeyi uygulamak teknik bilgi gerektirmez; gereken, sözleşmeyi madde madde okumaktır. Bir maddenin teknik anlamını bilmiyorsanız, örneğin "geri yükleme testi"nin nasıl yapıldığını, sağlayıcıdan yazılı açıklama isteyin. Açıklayamayan bir sağlayıcı o işi muhtemelen yapmıyordur.

Sözleşmeyi bir uygulayıcıyla birlikte okumak, hesap sahipliğinin karışık olduğu, sitenin birden fazla kişinin elinden geçtiği ya da kişisel veri toplanan sitelerde anlam kazanır. Kurumsal siteler için yapım ve sonrasındaki bakımı nasıl yazdığımızı kurumsal web sitesi hizmeti sayfasında anlattık. Yayından sonraki ilk ayın hangi işlerle geçtiğini görmek isterseniz yayın sonrası ilk 30 gün yazısı bu sözleşmenin ilk ayıyla örtüşen bir plan veriyor. Sözleşme metninin hukuki değerlendirmesi ise bir hukukçunun işidir; bu yazı hukuki görüş değildir.

Sıkça Sorulan Sorular

Web sitesi bakım sözleşmesi neleri kapsamalı?

Bir bakım sözleşmesi en az şunları yazılı hale getirmelidir: yazılım ve eklenti güncellemelerinin sıklığı ve test adımı, yedeğin sıklığı ve saklandığı yer, güvenlik yamaları ve saldırı sonrası temizliğin kapsamda olup olmadığı, arıza türüne göre yanıt süreleri, alan adı ve barındırma hesaplarının kimin adına olduğu, bakımı yapanın kişisel verilere erişim sınırı ve sözleşme bittiğinde neyin nasıl teslim edileceği. Kapsamda sayılmayan işlerin ayrıca teklif edileceği de yazılmalıdır.

Web sitesi bakımı ile SEO çalışması aynı şey mi?

Hayır. Bakım sitenin çalışır, güncel ve güvenli kalmasını sağlayan teknik işlerdir: güncelleme, yedek, güvenlik ve arıza müdahalesi. SEO çalışması ise sitenin arama motorlarında bulunmasına yönelik içerik, site yapısı ve ölçüm işlerini kapsar. İki iş aynı kişi tarafından yapılsa bile sözleşmede ayrı kalemler olarak yazılmaları, hangisinin yapıldığını denetlemeyi kolaylaştırır.

Alan adı ve hosting kimin adına kayıtlı olmalı?

Alan adı, barındırma ve sitenin yönetim hesapları işletmenin kendi adına kayıtlı olmalı; bakımı yapan kişi veya ajans bu hesaplara yönetici ya da kullanıcı olarak eklenmelidir. Hesaplar bakım sağlayıcısının adına açılmışsa, sağlayıcıya ulaşılamadığında ya da sözleşme bittiğinde siteye ve e-postaya erişim riske girer. Bu durum sözleşmeyi imzalamadan önce kontrol edilmelidir.

Bakım sözleşmesinde yanıt süresi nasıl belirlenir?

Yanıt süresi tek bir süre olarak değil, arıza türüne göre ayrı ayrı yazılmalıdır: sitenin açılmaması gibi kritik bir arıza ile bir yazım hatası aynı aciliyette değildir. Sözleşmede yanıt süresi ile çözüm süresi ayrılmalı, sürelerin mesai saatleri içinde mi yoksa her gün mü geçerli olduğu ve arızanın hangi kanaldan bildirileceği yazılmalıdır.

Bakım sözleşmesi bitince site ve veriler nasıl teslim edilir?

Çıkış maddesi, sözleşme bitiminden itibaren belirli bir süre içinde güncel bir tam yedeğin, bütün hesapların yönetici erişiminin, bakımı yapanın eklediği özel kodların ve ücretli eklenti ve tema lisanslarının durumunun teslim edilmesini yazmalıdır. Bakımı yapan kişisel verilere eriştiyse, elindeki kopyaları silme yükümlülüğü de bu maddede yer almalıdır. Bu bir kontrol önerisidir, hukuki görüş değildir.