Ticari Sözleşmelere Eklenmesi Gereken KVKK Maddeleri (Örnek Metinlerle)

Şablon Madde Yerine Veri Akışına Uygun Hüküm

Birçok ticari sözleşmede KVKK, sözleşmenin sonuna eklenmiş tek paragraflık bir “taraflar KVKK'ya uyacaktır” hükmünden ibarettir. Bu hüküm bir ihlal ya da Kurul incelemesi gündeme geldiğinde neredeyse hiçbir soruyu yanıtlamaz: kim hangi veriyi işliyordu, hangi güvenlik tedbirleri taahhüt edilmişti, ihlal ne zaman bildirilecekti? KVKK sözleşme maddeleri bu soruların yanıtını önceden yazılı hâle getirmenin yoludur.

Bu yazı şirket avukatları, hukuk müşavirleri ve uyum yöneticileri için hazırlandı. Hangi sözleşmelere madde gerektiğini, veri işleyen hükümlerini, güvenlik ve denetim hakkını, ihlal bildirimi ve sorumluluğu, alt işleyen ve yurt dışı aktarımı örnek metinlerle ele alıyoruz. Sonda kendi sözleşmelerinize uyarlayabileceğiniz bir madde seti özeti ve indirilebilir liste yer alıyor.

Hangi Sözleşmelere KVKK Maddesi Gerekir?

Bir sözleşmeye hangi KVKK hükümlerinin ekleneceği, önce tarafların sıfatına bağlıdır. Hizmet sağlayıcı sizin adınıza ve talimatınızla veri işliyorsa veri işleyendir; kendi amaçları için karar veriyorsa bağımsız veri sorumlusudur. Bu ayrımın nasıl yapılacağını veri sorumlusu veri işleyen farkı yazımızda ayrıntılı anlattık; bu yazı o tespitin sözleşmeye nasıl yansıtılacağına odaklanır.

Uygulamada KVKK hükmü gerektiren tipik sözleşmeler ve gereken hüküm setleri aşağıdaki gibidir:

Hukuk birimlerinin kendi işlediği verilerin korunmasını ise dava dosyalarında özel nitelikli veri yazımızda ele aldık.

Sözleşme Türüne Göre Gereken Hüküm Seti

Sıfat değerlendirmesi her ilişki için ayrıca yapılmalıdır; tablo tipik durumları gösterir.

Veri İşleyen Hükümleri

KVKK'nın 12. maddesinin ikinci fıkrası, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, veri sorumlusunu güvenlik tedbirlerinin alınması hususunda bu kişiyle birlikte müştereken sorumlu tutar. Kanun veri işleyen sözleşmesinin içeriğini madde madde saymaz; ancak bu müşterek sorumluluk, yükümlülüklerin sözleşmeyle açıkça dağıtılmasını pratikte zorunlu kılar. Kişisel Verileri Koruma Kurumu'nun (Kurum) “Veri Sorumlusu ve Veri İşleyen” yayını da veri işleyenin veri sorumlusunun talimatlarıyla hareket ettiğini vurgular.

Veri işleyen bölümünde asgari olarak şu konular düzenlenmelidir:

Konu ve kapsam: işlenecek veri kategorileri, ilgili kişi grupları, işleme amacı ve süresi (çoğu zaman sözleşmeye ek olarak).

Talimata bağlılık: veri işleyenin yalnızca yazılı talimatla ve sözleşmedeki amaçla işleme yapacağı; kendi amaçları için kullanamayacağı.

Gizlilik: veriye erişen çalışanların gizlilik yükümlülüğü altında olması ve bu yükümlülüğün sözleşme bittikten sonra da sürmesi.

İlgili kişi başvurularında destek: veri işleyene doğrudan gelen başvuruların veri sorumlusuna iletilmesi ve otuz günlük yanıt süresinin korunması için iş birliği.

İş bitimi: sözleşme sona erdiğinde verilerin iadesi veya imhası ve bunun yazılı olarak teyit edilmesi.

Örnek madde (uyarlanmalıdır): “Hizmet Sağlayıcı, Ek-1'de belirtilen kişisel verileri yalnızca bu Sözleşme kapsamındaki hizmetin ifası amacıyla ve Şirket'in yazılı talimatları doğrultusunda işler. Hizmet Sağlayıcı, bu verileri kendi amaçları için veya üçüncü kişiler lehine kullanamaz. Bir talimatın mevzuata aykırı olduğunu değerlendirmesi hâlinde Şirket'i gecikmeksizin yazılı olarak bilgilendirir.”

Yazılım ve SaaS sağlayıcıları açısından aynı yükümlülüklerin karşı taraftan nasıl göründüğünü yazılım firması veri işleyen yazımızda inceledik.

Güvenlik Tedbiri ve Denetim Hakkı

KVKK'nın 12. maddesinin birinci fıkrası, uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirin alınmasını; üçüncü fıkrası ise veri sorumlusunun bu hükümlerin uygulanmasını sağlamak amacıyla kendi kurum veya kuruluşunda gerekli denetimleri yapmasını veya yaptırmasını öngörür. Veri işleyen sözleşmesindeki denetim hakkı, bu yükümlülüğün tedarikçiye uzanan ayağıdır.

Güvenlik hükmünde “gerekli tüm tedbirleri alır” gibi genel ifadeler yerine asgari tedbirlerin bir ekte listelenmesi önerilir: erişim yetkilendirmesi, şifreleme, log kaydı, yedekleme, zafiyet yönetimi, çalışan eğitimi. Kurum'un Kişisel Veri Güvenliği Rehberi bu ek için iyi bir başlangıç listesidir.

Denetim hakkı düzenlenirken pratik bir denge kurulmalıdır. Büyük bulut sağlayıcıları yerinde denetimi genellikle kabul etmez; bunun yerine bağımsız denetim raporlarını veya sertifikaları paylaşır. Sözleşme, hangi durumda belge incelemesiyle yetinileceğini, hangi durumda (örneğin bir ihlal sonrasında) yerinde denetim yapılabileceğini ve denetimin bildirim süresini, kapsamını ve maliyetini belirlemelidir.

Örnek madde (uyarlanmalıdır): “Hizmet Sağlayıcı, Ek-2'de belirtilen teknik ve idari tedbirleri uygular ve bu tedbirlerde güvenlik düzeyini düşürecek bir değişiklik yapmadan önce Şirket'i bilgilendirir. Şirket, makul bir süre önceden yazılı bildirimde bulunarak bu tedbirlere uyumu yılda bir defadan fazla olmamak üzere denetleyebilir veya bağımsız bir denetçiye denetletebilir; bir kişisel veri ihlali hâlinde bu sınırlama uygulanmaz.”

Tedarikçi denetimlerinin bir uyum denetimine nasıl yerleştirildiğini KVKK denetimi neleri kapsar yazımızda özetledik.

İhlal Bildirimi ve Sorumluluk

KVKK'nın 12. maddesinin beşinci fıkrası, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı bu süreyi, veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat olarak yorumlar. İhlal veri işleyende yaşandığında bu 72 saat, ancak veri işleyen ihlali hızla bildirirse kullanılabilir hâle gelir.

Bu nedenle ihlal hükmünde üç unsur bulunmalıdır: veri işleyenin ihlali öğrenmesinden itibaren kısa ve somut bir bildirim süresi (örneğin 24 saat gibi, taraflarca belirlenecek bir süre), bildirimde yer alacak asgari bilgiler (olayın niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, alınan önlemler, irtibat kişisi) ve inceleme ile Kurul bildirimi sürecinde iş birliği yükümlülüğü. Kurul'a bildirim veri sorumlusunun yükümlülüğüdür; veri işleyenin, veri sorumlusu adına Kurul'a veya ilgili kişilere doğrudan bildirim yapmaması da ayrıca düzenlenmelidir.

Örnek madde (uyarlanmalıdır): “Hizmet Sağlayıcı, bu Sözleşme kapsamında işlenen kişisel verileri etkileyen bir ihlali öğrenmesinden itibaren en geç taraflarca belirlenecek süre içinde Şirket'e yazılı olarak bildirir; bildirimde ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, olası sonuçlarını ve alınan veya önerilen önlemleri belirtir. Şirket'in yazılı onayı olmaksızın Kurum'a, ilgili kişilere veya üçüncü kişilere açıklama yapmaz.”

Sorumluluk ve tazminat hükümleri, ticari sözleşmelerin en çok müzakere edilen kısmıdır. Veri ihlalinden doğan zararların genel sorumluluk sınırının dışında tutulması ya da ayrı bir üst sınıra bağlanması sık görülen bir yaklaşımdır. Bu müzakerede Türk Borçlar Kanunu'nun 115. maddesi akılda tutulmalıdır: borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür. İdari para cezalarının sözleşmeyle karşı tarafa yansıtılıp yansıtılamayacağı ise ayrı bir hukuki değerlendirme gerektirir; güncel ceza tutarları için 2026 KVKK idari para cezaları yazımıza bakabilirsiniz.

Veri ihlalinin ilk saatlerinde şirket içinde kimin ne yapacağını veri ihlali bildirimi 72 saat odaklı müdahale planı yazımızda adım adım anlattık.

Alt İşleyen ve Yurt Dışı Aktarım

Veri işleyen çoğu zaman tek başına çalışmaz: bir SaaS sağlayıcısı barındırma için bulut altyapısı, destek için çağrı merkezi, e-posta gönderimi için başka bir hizmet kullanır. Bu alt işleyenler zinciri sözleşmede görünür değilse, veri sorumlusu verisinin nerede ve kimde olduğunu bilemez.

Alt işleyen hükmünde şu seçeneklerden biri tercih edilir: her yeni alt işleyen için önceden yazılı onay ya da sözleşme ekindeki alt işleyen listesine genel onay verilip yeni ekleme veya değişiklikte önceden bildirim ve itiraz hakkı. Her iki modelde de veri işleyenin, alt işleyene en az kendi yükümlülükleri kadar koruyucu yükümlülükler yüklemesi ve alt işleyenin fiillerinden veri sorumlusuna karşı sorumlu kalması düzenlenmelidir.

Alt işleyen yurt dışındaysa ya da veri işleyen verileri yurt dışındaki sunucularda tutuyorsa, aktarım KVKK'nın 7499 sayılı Kanun'la değişik 9. maddesine uygun bir mekanizmaya dayanmalıdır. Yeterlilik kararı bulunmayan durumlarda en sık kullanılan uygun güvence, Kurum'un ilan ettiği standart sözleşmelerdir. Kurum dört tür standart sözleşme yayımlamıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Kurum'un 05.02.2025 tarihli duyurusuna göre seçimlik veya alternatif içerikli maddeler dışında standart sözleşme metinlerinde ekleme, çıkarma veya değişiklik yapılmamalıdır. Standart sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

Bu nedenle ticari sözleşmenin KVKK eki ile standart sözleşme birbirinin yerine geçmez: ticari sözleşme hizmetin ve sorumluluğun çerçevesini, standart sözleşme ise aktarımın yasal dayanağını oluşturur. Yurt dışı aktarımın genel çerçevesini yurt dışı aktarım uygulama rehberi yazımızda özetledik.

Örnek madde (uyarlanmalıdır): “Hizmet Sağlayıcı, Ek-3'te listelenen alt işleyenler dışında bir alt işleyen görevlendirmeden veya mevcut bir alt işleyeni değiştirmeden taraflarca belirlenecek bir süre önceden Şirket'i yazılı olarak bilgilendirir; Şirket'in haklı sebeple itirazı hâlinde değişikliği uygulamaz. Kişisel verilerin yurt dışına aktarılması, ancak 6698 sayılı Kanun'un 9. maddesine uygun bir aktarım mekanizması bulunması ve Şirket'in önceden yazılı onayı ile mümkündür.”

Örnek Madde Seti (indirilebilir)

Aşağıdaki tablo, bir veri işleyen ilişkisi için hazırlanacak KVKK ekinin bölümlerini ve her bölümde dikkat edilmesi gereken noktaları özetler. İndirilebilir listede her başlık için örnek metin, seçenekli ifadeler ve müzakere notları yer alır.

Bu yazıdaki örnek metinler bilgilendirme amaçlıdır ve her sözleşmenin koşullarına göre uyarlanmalıdır. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Veri İşleyen Sözleşmesi İçin Madde Seti Özeti

Madde seti genel bir başlangıç noktasıdır; her sözleşmede tarafların sıfatına ve veri akışına göre uyarlanmalıdır.

Sonuç ve Sonraki Adım

KVKK sözleşme maddeleri, tarafların sıfatını tespit ettikten sonra bu tespitin sonuçlarını yazıya döker: işleme kapsamı, talimata bağlılık, güvenlik ve denetim, ihlal bildirimi, alt işleyen ve yurt dışı aktarım, sorumluluk ve iş bitimi. Tek paragraflık genel bir KVKK hükmü bu soruların hiçbirini yanıtlamaz; veri akışına göre hazırlanmış bir ek ise hem ihlal anında hem de denetimde şirketin elini güçlendirir.

Pratik bir başlangıç olarak kritik tedarikçilerinizi listeleyip mevcut sözleşmeleri yukarıdaki 12 başlıkla karşılaştırabilirsiniz. Sözleşme yönetiminin bir uyum dosyası içinde nasıl ele alındığını standart KVKK uyum paketi, mevcut sözleşme ve uygulamaların bağımsız incelemesini ise KVKK denetimi sayfamızda inceleyebilirsiniz.

Sık Sorulan Sorular