Veri işleyen sözleşmesinin hangi ilişkilerde gündeme geldiğini, hangi maddelerin öne çıktığını ve tedarikçi yönetiminde nelere dikkat edilmesi gerektiğini anlatan pratik rehber.
Veri işleyen sözleşmesi, KVKK uyumunda sık duyulan ama uygulamada çoğu zaman yalnızca satın alma dosyasının parçası gibi görülen belgelerden biridir. Oysa konu sadece bir sözleşme adı değil; hizmet sağlayıcı, bulut aracı, danışman veya dış kaynak ekibi ile kurulan veri ilişkisinin nasıl yönetileceğiyle ilgilidir. Bu rehber, veri işleyen sözleşmesinin ne zaman gündeme geldiğini ve hangi başlıkların öne çıktığını sade bir çerçevede açıklar. Somut ilişki yapısı, veri türü ve sözleşme dili ayrıca değerlendirilmelidir.
KVKK uyumunda belirleyici olan, sözleşmenin başlığı değil; tarafların kişisel veriyi hangi rol dağılımı ve talimat yapısı içinde işlediğidir. Bu nedenle aynı hizmet modeli, farklı veri akışlarında farklı hukuki sonuçlar doğurabilir.
Veri İşleyen Sözleşmesi Ne Zaman Gündeme Gelir?
Veri işleyen sözleşmesi, bir tarafın kişisel verileri kendi amacı için değil diğer tarafın talimatı doğrultusunda işlediği ilişkilerde gündeme gelir. Bulut hizmeti, dış kaynak bordro, çağrı merkezi, CRM, e-posta gönderim aracı veya yazılım desteği gibi modellerde veri akışının niteliği ayrıca değerlendirilmelidir.
Bu noktada ilk soru sözleşmenin adı değil, veri işleme rolünün nasıl kurulduğudur. Taraflardan biri işleme amacını ve ana çerçeveyi belirliyor; diğer taraf ise onun adına teknik veya operasyonel işlem yapıyorsa, yazılı çerçeve ihtiyacı genellikle güçlenir.
Her Tedarikçi İçin Aynı Cevap Verilebilir mi?
Hayır. Her hizmet ilişkisini otomatik olarak veri işleyen sözleşmesi varmış gibi değerlendirmek de, buna hiç ihtiyaç yokmuş gibi davranmak da risklidir. Önce veri sorumlusu ile veri işleyen farkı netleştirilmeli; ardından veri akışı, talimat yapısı ve hizmet kapsamı birlikte okunmalıdır.
Örneğin bir tedarikçi veriye yalnızca teknik erişim sağlıyorsa başka, veriyi aktif biçimde sınıflandırıyor, aktarıyor veya saklıyorsa başka bir değerlendirme gerekebilir. Tedarikçi veriyi kendi bağımsız amacı için kullanıyorsa, artık veri işleyen değil ayrı bir veri sorumlusu olarak değerlendirilmesi de gündeme gelebilir. Somut olayda rol dağılımı sözleşme dili kadar fiili işleyişe göre de şekillenir.
Uygulamada Hangi Konular Yazılı Hale Getirilir?
Kurumsal uygulamada veri işleyen sözleşmeleri çoğu zaman şu başlıkları netleştirmek için kullanılır:
- işlemenin konusu ve kapsamı
- talimat çerçevesi
- gizlilik yükümlülükleri
- teknik ve idari güvenlik tedbirleri
- alt işleyen kullanımı
- ihlâl veya olay bildirim akışı
- süre sonunda verilerin iadesi, silinmesi veya erişimin kapatılması
- denetim ve kayıt tutma beklentileri
Bu başlıkların nasıl yazılacağı ilişkiye göre değişir. Ama temel amaç, tarafların veriye neden ve hangi sınırlarla dokunduğunu açıklaştırmaktır.
Sözleşme Yoksa Ne Tür Riskler Doğabilir?
Yazılı çerçevenin zayıf olduğu ilişkilerde rol karmaşası sık görülür. Talimat sınırı belirsiz kaldığında erişim yetkileri, saklama süresi, alt hizmet sağlayıcı kullanımı veya olay anındaki sorumluluk paylaşımı da tartışmalı hale gelebilir.
Bu nedenle sorun sadece bir belge eksikliği değil; uyum zincirinin kopmasıdır. Özellikle kişisel veri işleme envanteri ile tedarikçi sözleşmeleri birbiriyle uyumlu değilse, kurum içinde bir yerde yazılan bilgi ile dış ilişkilerde yürüyen pratik ayrışabilir.
Önce Hangi Kontrol Listesi Yapılmalı?
Yeni bir tedarikçiyle çalışmadan veya mevcut sözleşmeyi yenilemeden önce aşağıdaki sorular üzerinden kısa bir kontrol yapılması faydalıdır:
- Bu hizmette kişisel veri işleniyor mu?
- İşleme amacını kim belirliyor?
- Tedarikçinin eriştiği veri kategorileri neler?
- Veri nerede tutuluyor ve kimlerle paylaşılabiliyor?
- Alt yüklenici veya başka hizmet sağlayıcı kullanılıyor mu?
- İlişki bittiğinde veri ne olacak?
Bu sorulara verilen yanıtlar, yalnızca sözleşme ihtiyacını değil; aydınlatma, açık rıza veya saklama-imha düzeni gibi başka başlıkları da etkileyebilir. Özellikle veri işleme sebebi ile açık rıza ihtiyacı birbirine karıştırılmamalıdır.
Kısa Karşılaştırma: Hizmet Sözleşmesi Tek Başına Yeterli mi?
| Durum | Tek başına genel hizmet sözleşmesi | Ek veri işleyen çerçevesi |
|---|---|---|
| Kişisel veriye erişim yok | Çoğu durumda yeterli olabilir | Genellikle ikincil önemde |
| Sınırlı teknik erişim var | Tek başına yetersiz kalabilir | Rol ve güvenlik maddeleri netleştirilmeli |
| Düzenli veri işleme ve saklama var | Riskli olabilir | Daha ayrıntılı yazılı çerçeve ihtiyacı artar |
Tablodaki ayrım otomatik hukuki sonuç üretmez; yalnızca pratik bir değerlendirme çerçevesi sunar. Nihai yorum, somut veri akışına ve sözleşme mimarisine göre yapılmalıdır.
Sık Yapılan Hatalar Nelerdir?
- her tedarikçiyi otomatik olarak veri işleyen kabul etmek
- rol dağılımını envanter ve süreç belgeleriyle eşleştirmemek
- gizlilik maddesini veri işleyen sözleşmesinin yerine koymak
- olay bildirimi ve alt işleyen kullanımını hiç düzenlememek
- ilişki sona erdiğinde veri iadesi veya silme sürecini belirsiz bırakmak
Bu hatalar, denetim anında veya bir veri olayı yaşandığında daha görünür hale gelir. Bu nedenle belgeyi yalnızca satın alma aşamasında imzalanan formalite metni olarak görmek yerine, gerçek operasyonla uyumlu hale getirmek gerekir.
Sonuç: Zorunluluk Sorusu Tek Başına Yeterli Değildir
Veri işleyen sözleşmesi için tek cümlelik evet-hayır yanıtı aramak çoğu zaman yanıltıcıdır. Daha doğru yaklaşım; önce veri akışını ve taraf rollerini netleştirmek, ardından yazılı çerçevenin kapsamını bu ilişkiye göre kurmaktır.
Eğer kurumunuzda dış kaynak hizmet, SaaS aracı, bordro, çağrı merkezi veya benzeri bir veri işleme ilişkisi varsa; sözleşme metni ile fiili sürecin birlikte gözden geçirilmesi uyum risklerini azaltmaya yardımcı olabilir.
Sık Sorulan Sorular
Veri işleyen sözleşmesi olmadan hizmet alınabilir mi?
Uygulamada hizmet ilişkisi kurulmuş olabilir; ancak kişisel veri işleme boyutu varsa yazılı çerçevenin zayıf kalması rol ve sorumluluk tartışmalarını artırabilir. Değerlendirme, hizmetin kapsamına ve veri akışına göre yapılmalıdır.
Gizlilik maddesi tek başına yeterli olur mu?
Tek bir gizlilik maddesi çoğu zaman yeterli olmayabilir. Çünkü veri işleyen ilişkilerinde yalnızca sır saklama değil; talimat, güvenlik, alt işleyen kullanımı ve ilişki sonu veri yönetimi gibi başlıklar da önem taşır.
SaaS sağlayıcıları için de bu değerlendirme yapılmalı mı?
Çoğu durumda evet; bulut tabanlı araçlar, CRM veya e-posta servisleri gibi yapılarda kişisel veriye erişim ve saklama kurgusu bulunduğu için rol analizi ve sözleşme çerçevesi ayrıca gözden geçirilmelidir.
Danışmanlık Almadan Önce Hazırlanabilecek Belgeler
Somut bir değerlendirme yapılmadan önce mevcut tedarikçi sözleşmesini, veri akış şemasını, erişim yetkilerini, saklama politikasını ve varsa olay yönetimi prosedürünü hazır etmek süreci kolaylaştırır.
AI Avukatım üzerinden ilerlemeden önce kurum içi süreçlerinizi ve hangi tedarikçinin hangi veriye neden eriştiğini netleştirmeniz, hukuki değerlendirmenin daha isabetli yapılmasına yardımcı olur.
Not: Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Somut sözleşme yapısı, veri akışı ve hizmet modeli ayrıca değerlendirilmelidir.
İhtiyacınız varsa: Tedarikçi sözleşmesi, veri akış haritası ve rol dağılımı birlikte incelenerek size uygun sözleşme çerçevesi belirlenebilir.
Bu konuda daha fazla bilgi almak ister misiniz?
Avukatım'a sorularınızı sorun, anında yanıt alın.
İlgili Yazılar
Çalışan Gizlilik Taahhütnamesi Nedir? Tek Başına Yeterli mi?
Çalışan gizlilik taahhütnamesinin ne işe yaradığı, neden tek başına yeterli olmadığı ve KVKK uyumunda hangi ek adımların gerektiği anlatılır.
VERBİS Kaydı ile Veri İşleme Envanteri Aynı Şey mi? Pratik Rehber
VERBİS kaydı ile veri işleme envanterinin amacı, farkı ve birlikte nasıl ele alınması gerektiğini anlatan pratik rehber.
Kişisel Veri Saklama ve İmha Politikası Nedir? Pratik Rehber
KVKK uyumunda saklama ve imha politikasının amacı, içeriği ve hazırlanırken dikkat edilmesi gereken noktalar.