ISO Belgelendirme
Gıda Belgeleri
Sektörel Belgeler
Veri İşleyen Sözleşmesi – DPA
Kişisel verileri sizin adınıza işleyen tedarikçi ve hizmet sağlayıcılarla (bulut, çağrı merkezi, İK/bordro, pazarlama araçları vb.) ilişkinizi KVKK'ya uygun hale getirmek için veri işleyen sözleşmesi (DPA) hazırlığında danışmanlık sağlıyoruz. DPA; talimatla işleme, güvenlik, gizlilik, alt işleyen ve iade/imha kurallarını belirler. Sistem Kalite sözleşme içeriği kurgusunda danışmanlık üstlenir; hukuki onay avukat/hukuk danışmanınca verilir.
Veri işleyen sözleşmesi (DPA) nedir?
Veri işleyen sözleşmesi (Data Processing Agreement: DPA), bir veri sorumlusunun kişisel verileri kendi adına işleyen bir veri işleyenle (ör. bulut/hosting sağlayıcısı, çağrı merkezi, İK/bordro hizmeti, pazarlama/CRM aracı, arşiv/imha firması) yaptığı ve bu işlemenin KVKK'ya uygun yürütülmesini güvence altına alan sözleşmedir. KVKK'da veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak ve onun adına kişisel veri işleyen taraftır; veri güvenliğine ilişkin yükümlülükler veri sorumlusu ile veri işleyen tarafından müştereken taşınır. DPA tipik olarak; veri işleyenin yalnızca veri sorumlusunun yazılı talimatlarıyla ve belirlenen amaç/kapsamla sınırlı işleme yapması, gizlilik yükümlülüğü, uygun teknik ve idari güvenlik tedbirlerinin alınması, alt veri işleyen (sub-processor) kullanımının kurallara bağlanması, bir veri ihlali hâlinde veri sorumlusuna bildirim, ilgili kişi başvurularında ve denetimlerde destek, işleme bittiğinde verilerin iade veya imha edilmesi ve yurt dışı aktarım söz konusuysa buna ilişkin şartları içerir. DPA bir belge/sertifika değildir; tarafları bağlayan ve hukuki geçerliliği esas olan bir sözleşmedir. (Yurt dışı aktarım içeren işlemelerde ilgili aktarım mekanizması ayrıca değerlendirilir.)
Veri işleyen sözleşmesi nasıl hazırlanır?
Süreç, kişisel verileri kuruluş adına işleyen veri işleyenlerin (tedarikçi/hizmet sağlayıcıların) envanter ve veri haritası temelinde tespitiyle başlar. Her veri işleyen için; işlenen veri türü ve kapsamı, işleme amacı, verinin nerede saklandığı (yurt içi/yurt dışı), alt işleyen kullanımı ve risk düzeyi belirlenir. Buna göre DPA içeriği kurgulanır: talimatla ve amaçla sınırlı işleme, gizlilik, teknik/idari güvenlik tedbirleri, alt işleyen onayı ve sorumluluğu, ihlal bildirim süresi ve usulü, ilgili kişi başvurusu ve denetim desteği, sözleşme sonunda iade/imha ve gerekiyorsa yurt dışı aktarım şartları maddeleri düzenlenir. Sözleşme, mevcut ticari sözleşmelere ek/eklenti olarak da konumlandırılabilir. Sistem Kalite; veri işleyen tespiti, risk değerlendirmesi ve DPA içeriği kurgusunda danışmanlık sağlar; sözleşmenin nihai hukuki müzakeresi ve onayı avukat/hukuk danışmanınca yapılır.
Not: KVKK uyumu hukuki boyut içerir. Bu içerik genel bilgilendirme ve danışmanlık amaçlıdır; hukuki görüş yerine geçmez. Sistem Kalite doküman/taslak hazırlığı, sistem kurulumu, denetim ve eğitim danışmanlığı sağlar; belge/sertifika vermez. VERBİS kaydı veri sorumlusunca Kurum sisteminde yapılır; metin ve sözleşmelerin nihai hukuki onayı avukat/hukuk danışmanınca verilir. Mevzuata bağlı hususlar güncel duruma göre teyit edilmelidir.
Veri İşleyen Sözleşmesi – DPA hakkında
DPA hangi durumlarda gerekir?
Kişisel verilerinizi bir başka firma sizin adınıza işliyorsa (ör. bulut/hosting, çağrı merkezi, bordro, CRM/pazarlama aracı, arşiv/imha) o firma veri işleyendir ve ilişkinin KVKK'ya uygun yürütülmesi için bir DPA yapılması önemlidir. Veri güvenliği yükümlülükleri taraflarca müştereken taşındığından sözleşme netlik sağlar.
Alt veri işleyen (sub-processor) nedir?
Veri işleyenin, hizmeti sunmak için başka bir tarafı (ör. bir bulut sağlayıcısını) kullanması hâlinde bu taraf alt veri işleyendir. DPA'da, alt işleyen kullanımının veri sorumlusunun bilgisi/onayı çerçevesinde ve aynı yükümlülüklerin alt işleyene de yansıtılmasıyla yapılması kurala bağlanır.
DPA yurt dışı aktarımı da kapsar mı?
Veri işleyen verileri yurt dışında saklıyor veya işliyorsa, DPA'ya ek olarak yurt dışına veri aktarımı için uygun mekanizmanın (ör. standart sözleşme) sağlanması gerekir. DPA bu şartlara atıf yapabilir; ancak yurt dışı aktarım ayrı ve dikkatli biçimde ele alınır.
DPA'yı kim onaylar?
Sistem Kalite veri işleyen tespiti, risk değerlendirmesi ve içerik kurgusunda danışmanlık sağlar; sözleşmenin nihai hukuki müzakeresi, düzenlenmesi ve onayı tarafların avukatları/hukuk danışmanlarınca yapılır. DPA bağlayıcı bir sözleşme olduğundan hukuki onay esastır.
KVKK uyum yolculuğunuzun diğer adımları
KVKK uyumunuza bugün başlayın, süreci biz yönetelim.
Danışmanlık ekibimiz kuruluşunuzu ve KVKK ihtiyacınızı değerlendirsin; size özel yol haritası, takvim ve net teklif çıkarsın. İlk görüşme tamamen ücretsiz.