Veri İşleyen Sözleşmesi Nedir? Tedarikçi Sözleşmelerinde Zorunlu Maddeler

Tedarikçi Veri İşlediğinde Sözleşme Neden Değişir?

Bordro yazılımı, bulut depolama, çağrı merkezi, kargo entegrasyonu, e-posta pazarlama aracı: satın alma ekibinin imzaya götürdüğü sözleşmelerin önemli bir bölümünde tedarikçi, şirketin müşteri veya çalışan verisine erişir. Bu ilişkilerde ticari sözleşme hizmetin kapsamını ve bedelini düzenler; kişisel verinin nasıl korunacağını ise ayrı bir veri işleyen sözleşmesi ya da sözleşmeye eklenen bir veri koruma eki düzenler.

Bu rehberde veri işleyen sözleşmesinin amacını, satın alma ekibinin her tedarikçide araması gereken maddeleri, güvenlik eki ve denetim hakkını, alt işleyen onayını ve sözleşme sonunda verinin akıbetini adım adım anlatıyoruz. Yazının sonunda, satın alma süreçlerinde doğrudan kullanılabilecek bir şablonun içeriğini de bulacaksınız.

Veri işleyen sözleşmesinin amacı

KVKK'ya göre veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Veri işleyen verinin hangi amaçla ve hangi yöntemle işleneceğine kendisi karar vermez; veri sorumlusunun talimatıyla hareket eder. Kişisel Verileri Koruma Kurumu'nun (Kurum) “Veri Sorumlusu ve Veri İşleyen” yayını da bu talimat ilişkisini ayrımın merkezine koyar.

Kanun'un 12. maddesinin ikinci fıkrası, verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusunu güvenlik tedbirlerinin alınması konusunda bu kişiyle birlikte müştereken sorumlu tutar. Yani tedarikçide yaşanan bir veri ihlali, şirketin de sorumluluğunu doğurabilir. Kanun veri işleyen sözleşmesinin içeriğini madde madde saymaz; ancak bu müşterek sorumluluk, kimin neyi yapacağının yazılı olarak belirlenmesini pratikte zorunlu kılar.

Sözleşmenin üç işlevi vardır:

Talimat sınırı: Tedarikçinin veriyi yalnızca hizmet için ve şirketin talimatıyla işleyeceğini, kendi amaçlarına kullanmayacağını kayda geçirir.

İspat: Bir denetim, şikâyet ya da ihlalde şirketin tedarikçi seçerken ve yönetirken gerekli özeni gösterdiğini belgeler.

İşlem kolaylığı: İhlal bildirimi, ilgili kişi başvurusu ve sözleşme sonu gibi kritik anlarda tarafların ne yapacağını önceden belirler.

Önce tedarikçinin gerçekten veri işleyen olup olmadığı belirlenmelidir. Kendi amaçları ve kendi mevzuatı kapsamında veri işleyen bir tedarikçi (ör. bazı bankacılık veya taşımacılık hizmetleri) ayrı bir veri sorumlusu olabilir ve bu durumda farklı hükümler gerekir. Bu ayrımı veri sorumlusu mu, veri işleyen mi yazımızda örneklerle ele aldık. Sözleşme dışında kalan, kontrolsüz edinilen yazılımların riskini ise gölge BT yazımızda anlattık.

Zorunlu ve önerilen maddeler

Aşağıdaki tablo, satın alma ekibinin her veri işleyen sözleşmesinde araması gereken başlıkları iki gruba ayırır. “Temel” olarak işaretlenen maddeler, KVKK'nın 12. maddesindeki müşterek sorumluluğun yönetilmesi için asgari kabul edilmesi önerilen hükümlerdir; “önerilen” maddeler ise riskin büyüklüğüne göre eklenir.

Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesi, veri işleyen sözleşmesinde yer alması gereken unsurları ayrıca sayar: işleme konusu ve süresi, talimata bağlılık, gizlilik, güvenlik, alt işleyen şartları, ilgili kişi haklarında destek, iş sonunda silme veya iade ve denetime imkân tanıma. KVKK bu listeyi içermez; ancak AB'de faaliyet gösteren tedarikçilerin standart metinleri genellikle bu yapıya göre hazırlandığı için tablo ile karşılaştırma kolaylaşır.

İlgili kişi başvuruları KVKK'nın 13. maddesine göre en geç otuz gün içinde sonuçlandırılır. Tedarikçiye doğrudan gelen bir başvurunun şirkete kaç gün içinde iletileceği sözleşmede açıkça yazılmazsa bu süre kolayca kaçabilir.

Veri İşleyen Sözleşmesi Madde Listesi

Güvenlik ekleri ve denetim

KVKK'nın 12. maddesinin birinci fıkrası uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirin alınmasını, üçüncü fıkrası ise veri sorumlusunun bu hükümlerin uygulanmasını sağlamak için gerekli denetimleri yapmasını veya yaptırmasını öngörür. Veri işleyen sözleşmesindeki güvenlik eki ve denetim hakkı, bu iki yükümlülüğün tedarikçiye uzanan ayağıdır.

Güvenlik eki nasıl hazırlanır?: “Tedarikçi gerekli tüm tedbirleri alır” gibi genel bir cümle, bir ihlal sonrasında neyin eksik olduğunu göstermeye yetmez. Güvenlik eki, Kurum'un Kişisel Veri Güvenliği Rehberi'ndeki başlıklar esas alınarak somut hâle getirilmelidir: yetki matrisi ve erişim kontrolü, şifreleme, kayıt (log) tutma ve izleme, yedekleme, zafiyet ve yama yönetimi, çalışan eğitimi, fiziksel güvenlik ve iş sürekliliği. Satın alma ekibi teklif aşamasında tedarikçiden bu başlıklara yanıt veren kısa bir güvenlik anketi isteyebilir; yanıtlar sözleşmenin ekine dönüşür.

Denetim hakkında gerçekçi denge: Büyük bulut ve SaaS sağlayıcıları yerinde denetimi genellikle kabul etmez; bunun yerine bağımsız denetim raporlarını ve bilgi güvenliği sertifikalarını paylaşır. Sözleşme; olağan dönemde hangi belgelerle yetinileceğini, bir ihlal veya ciddi şüphe hâlinde yerinde denetim yapılıp yapılamayacağını, denetimin bildirim süresini, kapsamını ve maliyetini belirlemelidir. Tedarikçi denetimlerinin bir uyum programına nasıl yerleştirildiğini KVKK denetimi neleri kapsar yazımızda özetledik.

İhlal bildirimi süresi: Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı, veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat içinde Kurul'a bildirim yapmasını öngörür. İhlal tedarikçide yaşanıyorsa bu süre, ancak tedarikçi şirketi hızla bilgilendirirse kullanılabilir. Bu nedenle sözleşmede tedarikçinin bildirim süresi 72 saatten belirgin biçimde kısa ve somut olarak yazılmalı, bildirimin asgari içeriği (olayın niteliği, etkilenen veri kategorileri, yaklaşık kişi sayısı, alınan önlemler, irtibat kişisi) tanımlanmalıdır.

Alt işleyen onayı

Bir SaaS sağlayıcısı barındırma için bulut altyapısı, destek için başka bir çağrı merkezi, e-posta gönderimi için ayrı bir hizmet kullanır. Bu alt işleyenler zinciri sözleşmede görünmüyorsa, şirket verisinin kimde ve hangi ülkede olduğunu bilemez.

Sözleşmede iki modelden biri seçilir:

Özel onay: Her yeni alt işleyen için şirketin önceden yazılı onayı aranır. Kontrol yüksektir, ancak büyük sağlayıcılar bu modeli nadiren kabul eder.

Genel onay ve itiraz hakkı: Sözleşme ekindeki alt işleyen listesine onay verilir; yeni ekleme veya değişiklik makul bir süre önceden bildirilir ve şirket haklı sebeple itiraz edebilir. İtiraz kabul edilmezse sözleşmeyi feshetme hakkı da düzenlenmelidir.

Her iki modelde de tedarikçinin alt işleyene en az kendi yükümlülükleri kadar koruyucu yükümlülükler yüklemesi ve alt işleyenin fiillerinden şirkete karşı sorumlu kalması yazılmalıdır. Alt işleyen yurt dışındaysa, aktarım KVKK'nın 7499 sayılı Kanunla değişik 9. maddesine uygun bir mekanizmaya dayanmalıdır; standart sözleşme kullanılıyorsa sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilir. Ticari sözleşmelerdeki KVKK hükümlerinin genel çerçevesini ticari sözleşmelere eklenecek KVKK maddeleri yazımızda örnek metinlerle ele aldık.

Sözleşme sonu veri iadesi ve imha

Tedarikçi değiştirilirken en sık unutulan konu, eski tedarikçide kalan verilerdir. Hizmet bittiğinde verinin işlenme amacı da ortadan kalkar; KVKK'nın 7. maddesi, işlenmesini gerektiren sebepler ortadan kalktığında kişisel verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini öngörür.

Sözleşmede şu sıralama açıkça yazılmalıdır:

Seçim: Verinin şirkete iade mi edileceği yoksa imha mı edileceği; iade ediliyorsa hangi formatta ve hangi sürede.

Yedekler: Canlı sistemin yanında yedeklerdeki ve alt işleyenlerdeki kopyaların da kapsama alınması.

Kanuni saklama istisnası: Tedarikçinin kendi mevzuatı gereği saklaması gereken bir kayıt varsa bunun kapsamı ve süresi.

Yazılı teyit: İmhanın hangi yöntemle ve hangi tarihte yapıldığını gösteren tutanak veya beyan.

Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği, sicile kayıt yükümlüsü veri sorumlularından saklama ve imha politikası hazırlamalarını ister ve yapılan imha işlemlerinin kayıtlarının en az üç yıl saklanmasını öngörür. Tedarikçiden alınan imha teyidi, bu kayıtların bir parçası olarak dosyalanmalıdır.

Şablon (indirilebilir)

İndirilebilir şablon, satın alma ekibinin her yeni tedarikçide aynı yapıyı kullanmasını sağlamak için hazırlanmıştır. Şablon bir başlangıç noktasıdır; somut hizmete, veri türüne ve tedarikçinin konumuna göre uyarlanmalı ve hukuk biriminin onayından geçmelidir.

Satın alma kontrol listesinin ilk sorusu basittir: “Bu tedarikçi bizim adımıza kişisel veri işleyecek mi?” Yanıt evetse ekler doldurulmadan sipariş onaylanmaz. Bu tek kontrol, sözleşmesi eksik tedarikçi sayısını hızla azaltır.

Şablonun Bölümleri

Sonuç ve Sonraki Adım

Veri işleyen sözleşmesi, tedarikçide işlenen verinin sorumluluğunu ortadan kaldırmaz; ancak bu sorumluluğu yönetilebilir ve ispatlanabilir hâle getirir. Konu ve kapsam, talimata bağlılık, somut bir güvenlik eki, kısa bir ihlal bildirimi süresi, alt işleyen onayı, aktarım dayanağı ve sözleşme sonu imha teyidi; satın alma ekibinin her tedarikçide araması gereken asgari çerçevedir.

Mevcut tedarikçi portföyünüzde en yüksek riskli sözleşmelerden başlayarak şablonu uygulayabilirsiniz. Sözleşme ve tedarikçi süreçlerinin satın alma departmanında nasıl kurgulandığını satın alma departmanı KVKK sayfasında inceleyebilir, ücretsiz bir ön görüşme için 444 4 908'i arayabilirsiniz.

Sık Sorulan Sorular