KVKK Duyurdu: Canva’nın Türkiye’deki Verileri İhlal Edildi

Kişisel Verileri Koruma Kurumu (KVKK), çevrim içi tasarım platformu Canva ile ilgili Türkiye’deki kullanıcıları ve kurumları ilgilendiren bir veri ihlali duyurusu yayımladı. Kurumun açıklamasına göre Canva’nın veri sorumlusu olarak hareket eden şirketi Canva Pty Ltd, kullandığı üçüncü taraf bir sistemde gerçekleşen yetkisiz erişimin ardından ihlal bildirimi yaptı.

KVKK tarafından paylaşılan bilgilere göre tehdit aktörleri, veri işleyen ile Canva arasındaki bağlantıyı kötüye kullanarak sistemde bulunan bazı kayıtları dışarı aktardı. Olayın kapsamı yalnızca bireysel kullanıcıların temel iletişim bilgileriyle sınırlı kalmadı. Canva müşterisi olan şirketlerin çalışanlarına ve kurumsal faaliyetlerine ilişkin kayıtlar da erişilen veriler arasında yer aldı.

İhlalden Türkiye’de 424 kuruluş etkilendi

KVKK’nın duyurusunda, olaydan Türkiye’de faaliyet gösteren 424 organizasyon ve kuruluşun etkilendiği belirtildi. Buna karşın ihlalden etkilenen gerçek kişilerin toplam sayısı henüz kesinleşmiş değil. Kurum, incelemenin sürdüğünü ve hangi kişilere ait hangi kayıtların erişildiğine ilişkin değerlendirmenin devam ettiğini bildirdi.

Erişilen bilgiler arasında Canva müşterisi şirketlerin çalışanlarına ait ad ve soyad verileri bulunuyor. İş e-posta adresleri, iş yeri konumları ve kurumsal telefon numaraları da ihlal kapsamındaki kayıtlar arasında sayıldı. Bu bilgiler, şirketlerin Canva hizmetlerinden yararlanırken platformla paylaştığı kurumsal verilerle bağlantılı.

Çalışanlara ait iletişim bilgilerinin kurumsal belgelerle birlikte erişilebilir hâle gelmesi, ihlalin yalnızca bireysel hesap güvenliği açısından değerlendirilmemesi gerektiğini gösteriyor. Etkilenen şirketler, çalışan bilgileriyle birlikte kendi iş süreçlerinde Canva üzerinden paylaştıkları dokümanları da incelemek durumunda kalabilir.

Kurumsal belgeler de erişilen veriler arasında

KVKK açıklamasına göre ihlal, şirketlerin Canva ile paylaştığı çeşitli ticari belgelere de uzanıyor. Müşteri sipariş formları, veri koruma anlaşmaları ve ana hizmet sözleşmeleri erişilen kayıtlar arasında yer alıyor. Bunun yanında kesilen faturalar ile taraflar arasındaki diğer rutin iş yazışmaları da ihlal kapsamında değerlendirildi.

Canva, tasarım hazırlamak için kullanılan bir hizmet olsa da şirketler platformu iş süreçlerinde belge paylaşımı ve ortak çalışma amacıyla da kullanabiliyor. Bu nedenle erişilen veriler, yalnızca kullanıcı hesabına ait ad veya e-posta bilgisinden ibaret olmayabilir. Sipariş, sözleşme ve fatura gibi belgeler; şirketler arasındaki ticari ilişkiler, çalışan iletişim bilgileri ve hizmet süreçleri hakkında ek bilgiler içerebilir.

Ancak KVKK’nın mevcut duyurusunda hangi kuruluşa ait hangi belgenin erişildiğine ilişkin ayrıntılı bir liste paylaşılmadı. Aynı şekilde, dışarı aktarılan kayıtların tamamının hangi kuruluşları veya kişileri kapsadığı da henüz açıklanmış değil. Bu ayrıntıların, devam eden incelemenin ardından netleşmesi bekleniyor.

KVKK incelemeyi sürdürüyor

KVKK, olayla ilgili sürecin takip edildiğini açıkladı. Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ve 2026/2037 sayılı kararıyla ihlale ilişkin incelemenin sürdüğünü belirtti. Bu nedenle etkilenen gerçek kişi sayısı ve veri kapsamı konusunda şu an için kesinleşmiş bir toplam bulunmuyor.

İhlal duyurusu, veri sorumluları ve hizmet sağlayıcılar arasındaki bağlantıların güvenlik açısından taşıdığı riski de gündeme getiriyor. Şirketlerin kullandığı üçüncü taraf hizmetler, kendi sistemlerinden bağımsız bir veri erişim noktası oluşturabiliyor. Canva olayında da erişimin, doğrudan kullanıcıların cihazlarından değil, hizmetin kullandığı üçüncü taraf bir sistem üzerinden gerçekleştiği bildirildi.

Etkilenenler Canva üzerinden bilgi alabilecek

Canva kullanıcıları ve platformu kullanan kuruluşlar, olaydan etkilenip etkilenmediklerini öğrenmek için Canva’nın resmî yardım merkezi üzerinden şirket yetkilileriyle iletişime geçebilecek. KVKK’nın paylaşımında, ihlalin ayrıntıları hakkında bilgi almak isteyen kişilerin de aynı kanalı kullanarak veri sorumlusuna başvurabileceği belirtildi.

Şirketler açısından ilk adım, Canva ile yürütülen yazışmaları ve platforma yüklenen kurumsal belgeleri gözden geçirmek olabilir. Sipariş formları, sözleşmeler, faturalar ve çalışan iletişim bilgileri içeren dosyalar özellikle kontrol edilmesi gereken kayıtlar arasında bulunuyor. Kurumların hangi belgeleri Canva ile paylaştığını belirlemesi, kendi risk değerlendirmelerini daha sağlıklı yapmasına yardımcı olabilir.

KVKK’nın incelemesi tamamlanmadığı için ihlalin tüm teknik ayrıntıları ve etkilenen gerçek kişi sayısı şu an için kesinleşmiş değil. Yeni bilgiler açıklandıkça veri kapsamının ve etkilenen kuruluşlara ilişkin ayrıntıların netleşmesi bekleniyor.