Русскоязычные IT-команды, перебравшиеся в Стамбул, обычно приходят к нам с одним из трёх вопросов: можно ли держать данные турецких клиентов в зарубежном облаке, кому принадлежит код, который писал фрилансер, и что делать, если сервис взломали в пятницу вечером. Во всех трёх турецкое право даёт точные ответы, но они не совпадают с интуицией, выработанной в других юрисдикциях, и цена расхождения — штрафы регулятора, спор о праве на собственный продукт или сорванный инвестиционный раунд. Налоговая сторона работы на зарубежных заказчиков разобрана на странице налогового планирования; здесь — регуляторный и договорный слой. ER&GUN&ER Law Firm — istanbul law firm в Маслаке, где технологические проекты русскоязычных основателей ведутся от первого договора до спора.
Кто вы для закона о данных
Турецкий закон о защите персональных данных распределяет обязанности по двум ролям. Контролёр определяет цели и средства обработки и отвечает за законность в целом; обработчик действует по поручению контролёра и отвечает за безопасность в пределах поручения. Для SaaS-компании роль часто двойная: по данным собственных клиентов и сотрудников она контролёр, по данным, которые клиенты загружают в сервис, — обработчик. От этой квалификации зависит всё: кто уведомляет пользователей, кто регистрируется в государственном реестре контролёров, кто отвечает перед регулятором за инцидент. Обязанность регистрации в реестре зависит от численности персонала, оборота, характера данных и места учреждения контролёра, и её применимость мы проверяем по конкретной компании, а не по общим таблицам из интернета. Для обработки особых категорий данных — здоровья, биометрии, судимостей — реформа 2024 года добавила новые правовые основания, в том числе связанные с трудовыми обязанностями работодателя. Практика может отличаться в зависимости от органа и года.
Данные за рубежом: что изменила реформа 2024 года
До 2024 года передача персональных данных за границу держалась в основном на явном согласии, и на практике эта конструкция не работала. Реформа заменила её трёхступенчатой системой. Первая ступень — решение регулятора об адекватности уровня защиты в стране получателя. Вторая, на которой живёт большинство бизнеса, — надлежащие гарантии: стандартный договор, обязательные корпоративные правила группы, письменное обязательство получателя. Третья — ограниченный перечень случайных передач, куда теперь перемещено и согласие: оно применимо лишь к разовым, нерегулярным передачам. Главное практическое правило: использование зарубежного облака, почтового сервиса, CRM или HR-системы — это уже передача данных за рубеж, даже если компания об этом не думала. Стандартный договор используется в утверждённой регулятором редакции без правок, и о его подписании нужно уведомить регулятора в течение пяти рабочих дней — то же при изменении сторон или содержания и при прекращении договора. Неуведомление само по себе основание для штрафа, причём после реформы ответственность за него несут не только контролёры, но и обработчики.
Утечка данных: семьдесят два часа
Закон требует сообщить о незаконном получении данных третьими лицами «в кратчайший срок», а регулятор давно конкретизировал этот срок: семьдесят два часа с момента, когда контролёр узнал об инциденте. Срок идёт не с момента взлома, а с момента осведомлённости — и узнать можно от собственной службы безопасности, от подрядчика, из прессы; всё это запускает отсчёт. Шифрование данных вымогательской программой тоже считается инцидентом, даже если ничего не утекло: нарушена доступность. Если взломан не ваш сервер, а сервер подрядчика-обработчика, уведомляет всё равно контролёр — поэтому в договоре с каждым подрядчиком должна стоять обязанность немедленно сообщать об инцидентах. Полной картины к исходу трёх суток обычно нет, и правильная тактика — подать первичное уведомление с имеющимися данными и дополнять его по мере расследования, а не ждать. Параллельно уведомляются затронутые лица, а у пострадавших возникает право на гражданский иск, поэтому документирование каждого шага реагирования — часть защиты, а не бюрократия.
Кому принадлежит код
Здесь турецкое авторское право расходится с ожиданиями многих основателей. Код, написанный сотрудником в рамках трудовых обязанностей, по общему правилу принадлежит работодателю в части имущественных прав — если договор или характер работы не указывают иное; то же правило действует в отношении органов юридического лица. Личные неимущественные права остаются за автором и не передаются. С подрядчиком всё наоборот: договор на разработку сам по себе права на программу заказчику не передаёт, и даже сдача готового продукта этого не меняет. Передача имущественных прав требует письменного договора, в котором каждое передаваемое правомочие — переработка, воспроизведение, распространение, публичное сообщение — перечислено отдельно; без этого передачи нет, а неясности толкуются в пользу автора. Права на ещё не созданное произведение нельзя передать заранее — можно лишь обязаться передать, а саму передачу оформить после создания. Для стартапа, привлекающего инвестиции, пропущенная передача прав от первых фрилансеров — одна из самых частых находок проверки при раунде.
Договоры разработки, SaaS и облака
Хороший IT-договор решает спор до того, как он возник. В договоре разработки мы фиксируем техническое задание как приложение с механизмом изменений, порядок приёмки с конкретными критериями и сроками для замечаний — без этого «проект не принят» становится бессрочным состоянием, — поэтапную оплату, привязанную к вехам, передачу прав по каждой вехе в указанной выше форме и депонирование исходного кода, если заказчик зависит от продукта. В SaaS-договоре ключевое — уровень доступности и последствия его нарушения, ограничение ответственности с понятными исключениями, судьба данных клиента при прекращении договора и порядок их возврата. Если сервис обрабатывает персональные данные клиентов, к договору прилагается соглашение об обработке с перечнем субподрядчиков и порядком их смены, и если хотя бы один из них за рубежом, включается механизм передачи, описанный выше. Общая договорная логика отношений с турецкими контрагентами разобрана на странице договорного права.
Когда проект сорвался
Споры в IT почти всегда сводятся к двум вопросам: что именно было обещано и что именно сделано. Поэтому исход определяет не красноречие, а документы: версии технического задания, переписка об изменениях, журналы коммитов и задач, акты промежуточной приёмки, логи доступности. Первое, что мы делаем, — фиксируем доказательства до того, как они исчезнут: доступы отзываются, репозитории удаляются, облачные аккаунты закрываются, и позже восстановить картину бывает невозможно. Дальше — независимая техническая экспертиза, без которой суд не разберётся, соответствует ли продукт заданию, и оценка того, что выгоднее: расторжение с возвратом платежей, доработка силами третьего исполнителя за счёт виновной стороны или переговоры о передаче кода и прав в обмен на урегулирование. Для денежных требований между компаниями действует обязательная досудебная медиация, и аргументированная техническая позиция, подготовленная к ней, часто закрывает дело без суда. Маркетинговый слой технологических продуктов — рассылки и согласия — описан на странице рекламного права.
Как мы работаем
Для технологических компаний мы начинаем с карты: какие данные обрабатываются, где физически хранятся, кто подрядчики и в каких странах, кому принадлежат права на каждый компонент продукта. На этой основе готовятся уведомления пользователям, стандартные договоры передачи с уведомлением регулятора в пятидневный срок, соглашения с обработчиками, план реагирования на инцидент с распределением ролей на первые семьдесят два часа и договоры о передаче прав с каждым автором кода. Как turkish law firm мы ведём и регуляторную, и договорную, и спорную часть, работая в связке с техническими специалистами клиента, а не вместо них. Как russian speaking lawyer in Turkey мы обсуждаем архитектуру и риски с основателями по-русски и готовим турецкие документы, которые примет регулятор и поймёт инвестор. Задачу и гонорар мы описываем письменно ещё до первого документа; государственные сборы и оплата технических экспертов идут отдельно, по счетам на имя клиента.
Вопросы и ответы
- Можно ли хранить данные турецких клиентов в зарубежном облаке? Да, но это передача данных за рубеж, и она должна опираться на одну из надлежащих гарантий — обычно стандартный договор в утверждённой редакции. О его подписании регулятор уведомляется в течение пяти рабочих дней.
- Работает ли ещё согласие пользователя для передачи данных за границу? Только для разовых, нерегулярных передач. После реформы 2024 года основной путь — надлежащие гарантии, а согласие перемещено в перечень случайных передач.
- Сколько времени есть на сообщение об утечке? Семьдесят два часа с момента, когда контролёр узнал об инциденте. Если полной картины нет, подаётся первичное уведомление с имеющимися данными, которое затем дополняется.
- Взломали сервер подрядчика. Кто уведомляет регулятора? Контролёр данных, а не подрядчик. Поэтому в каждом договоре с обработчиком должна быть обязанность немедленно сообщать об инцидентах.
- Кому принадлежит код, который написал сотрудник? Имущественные права на код, созданный в рамках трудовых обязанностей, по общему правилу принадлежат работодателю, если договор не предусматривает иного. Личные неимущественные права остаются за автором.
- Фрилансер сдал проект и получил оплату. Код теперь наш? Не обязательно. Права переходят только по письменному договору, в котором каждое передаваемое правомочие перечислено отдельно; сама сдача продукта права не передаёт.
- Что делать, если подрядчик сорвал проект? Сначала зафиксировать доказательства — репозитории, задачи, переписку, логи, — затем получить независимую техническую экспертизу и выбрать между расторжением, доработкой за счёт виновной стороны и урегулированием с передачей кода.
Материал подготовлен адвокатом Мирканом Гюнаем Топчу (Av. Mirkan Günay Topcu), управляющим партнёром ER&GUN&ER Law Firm (Стамбул, Маслак). Член Коллегии адвокатов Стамбула, рег. № 67874. Фирма консультирует иностранных граждан и компании по вопросам недвижимости, гражданства, корпоративного и миграционного права Турции.
