Tedarikçi DPA'sı nasıl incelenir (KVKK ve GDPR)

Özet tablo

DPA neden yalnızca imzalanacak değil, izlenecek bir sözleşmedir

DPA ticari bir sözleşmeye eklenir ama kendi yaşamı vardır: alt işleyici listesi değişir, tedarikçi şartlarını günceller, bir aktarım mekanizması sona erebilir veya değiştirilebilir. DPA'yı ana sözleşmeye bağlı, kendi gözden geçirme tarihi ve sorumlusu olan bir belge olarak ele alın. Bir tedarikçi ilişkisi otomatik yenilenirken arkasındaki DPA, tedarikçinin fiilen yaptıklarıyla artık örtüşmeyebilir.

Adım 1: rolleri doğrulayın

GDPR, işlemenin amaçlarını ve araçlarını belirleyen veri sorumlusunu, sorumlu adına işleyen veri işleyenden ayırır. KVKK da veri sorumlusu ile veri işleyen ayrımını yapar ve madde 12'ye göre veri sorumlusu, kendi adına veri işleyen kişiyle birlikte güvenlik tedbirlerinden sorumludur. Verinizi kendi amaçları için kullanan, örneğin kendi ürünlerini geliştirmek için işleyen bir tedarikçi, GDPR Madde 28(10) uyarınca o işleme bakımından veri sorumlusu sayılma riski taşır. Tedarikçinin hizmeti sunmak dışında verinizle ne yaptığını sorun. Cevap kendi amaçlarını içeriyorsa, sözleşme sade bir veri işleyen sözleşmesi değildir ve farklı bir inceleme gerekir.

Adım 2: zorunlu şartları kontrol edin

Madde 28(3), işlemenin; konusunu ve süresini, niteliğini ve amacını, kişisel verinin türünü ve ilgili kişi kategorilerini ve sorumlunun yükümlülüklerini ve haklarını belirleyen bir sözleşmeyle düzenlenmesini ister. Ekim 2026 itibarıyla madde metni, sözleşmenin veri işleyenin şunları yapacağını öngörmesini gerektirir:

1. Kişisel veriyi yalnızca sorumlunun belgelenmiş talimatlarıyla, üçüncü ülkeye aktarımlar dahil işlemek; hukuk aksini gerektiriyorsa, hukuk yasaklamıyorsa önce sorumluyu bilgilendirmek;
2. Yetkili kişilerin gizlilik taahhüdü altında olmasını sağlamak;
3. Güvenliğe ilişkin Madde 32'nin gerektirdiği tüm tedbirleri almak;
4. Başka bir işleyen görevlendirme koşullarına uymak;
5. İlgili kişi taleplerinin yanıtlanmasında sorumluya yardım etmek;
6. Madde 32 ila 36 kapsamında güvenlik, ihlal bildirimi ve etki değerlendirmelerinde sorumluya yardım etmek;
7. Sorumlunun tercihine göre, hizmetler bittikten sonra tüm kişisel veriyi silmek veya iade etmek ve hukuk saklamayı gerektirmedikçe mevcut kopyaları silmek; ve
8. Uyumu göstermek için gerekli bilgiyi sağlamak, denetimlere (yerinde incelemeler dahil) izin vermek ve bir talimatın veri koruma hukukunu ihlal ettiğini düşünürse sorumluyu derhal bilgilendirmek.

Bunlardan birini içermeyen bir tedarikçi DPA'sında boşluk vardır. Bunları "uygun güvenlik tedbirleri" gibi, tanımsız genel sözlerle içeren bir DPA ise biçimsel olarak vardır ama güvenebileceğiniz çok az şey sunar. Kontrolleri somut biçimde tanımlayan bir teknik ve idari tedbirler eki isteyin.

Adım 3: alt işleyiciler

Madde 28(2), veri işleyenin başka bir işleyen görevlendirmeden önce özel veya genel yazılı izin almasını ister. Genel izinde veri işleyen, öngörülen ekleme veya değişiklikleri sorumluya bildirmeli ve itiraz etme imkânı tanımalıdır. Madde 28(4), aynı veri koruma yükümlülüklerinin alt işleyiciye sözleşmeyle yüklenmesini ister ve ilk işleyen, alt işleyicinin ifasından sorumluya karşı tam sorumlu kalır.

Kontrol edin:

• Konumu ve işleviyle birlikte güncel bir alt işleyici listesi var mı?
• Değişikliklerden nasıl haberdar edileceksiniz ve itiraz için kaç gününüz var?
• İtiraz ederseniz ne olur: fesih hakkı, iade veya hiçbir şey?
• Tedarikçi eşdeğer şartları alt işleyiciye aktarmayı taahhüt ediyor mu?

İtiraz süresini takviminize yazın. Süre dolduktan sonra okuduğunuz bir bildirim, işlem yapamayacağınız bir bildirimdir.

Adım 4: denetim ve bilgi

Madde 28(3)(h), veri işleyenin denetimlere izin vermesini ve katkıda bulunmasını ister. Tedarikçiler bunu sıklıkla üçüncü taraf raporuyla değiştirir. Rapor ihtiyacın bir kısmını karşılayabilir ama neyi kapsadığını okuyun ve rapor yetmezse denetim hakkınızın ne olduğunu sorun. Makul bir ihbar süresi, kapsam ve masrafı kimin karşılayacağını yazın. KVKK madde 12 ayrıca veri sorumlusunu, kendi kuruluşunda gerekli denetimleri yapmak veya yaptırmakla yükümlü kılar.

Adım 5: ihlal bildirimi

DPA, tedarikçinin kişisel veri ihlalini size ne kadar hızlı bildireceğini ve neleri içermesi gerektiğini söylemelidir. Somut bir süre taahhüdü, örneğin belirli sayıda saat, ve adı belli bir irtibat kişisi isteyin. Kendi düzenleyici bildirim yükümlülüklerinizi kontrol edin ve tedarikçinin süresinin bunları karşılamanıza izin verdiğinden emin olun.

Adım 6: silme ve iade

İadenin biçimini ve zamanını, silme süresini ve yedeklerin nasıl ele alındığını kontrol edin. Süresi olmayan "talep üzerine silme" zayıftır. Ayrıca ödememe nedeniyle fesihte ne olduğuna bakın.

Adım 7: yurt dışına aktarım

Kişisel veri AB veya AEA'dan çıkıyorsa bir aktarım mekanizması gerekir. Avrupa Komisyonu, 4 Haziran 2021'de Karar 2021/914 ile, GDPR'a tabi veri sorumlularından veya işleyenlerden AB/AEA dışındaki ve GDPR'a tabi olmayan sorumlulara veya işleyenlere aktarımlar için güncellenmiş standart sözleşme maddelerini yayımladı. Maddeler dört modülde düzenlenir: sorumludan sorumluya, sorumludan işleyene, işleyenden işleyene ve işleyenden sorumluya. Aynı tarihli ayrı bir Karar olan 2021/915, Madde 28(7) uyarınca sorumlu-işleyen ilişkisinin kendisi için standart maddeleri ortaya koyar. İkisini karıştırmayın: biri Madde 28 şartlarını, diğeri aktarımları kapsar. Komisyon sayfası, güncellenmiş maddelerin eski Veri Koruma Direktifi altındaki üç eski seti değiştirdiğini belirtir.

Verinin nerede saklandığını, destek personelinin ona nereden eriştiğini ve hangi tüzel kişilerin aldığını sorun. Bir tedarikçi veriyi AB'de saklayıp yine de uzaktan erişimle aktarabilir.

Türkiye'de yurt dışına aktarım KVKK madde 9'a tabidir. 2024'te değiştirilen metne göre aktarım, madde 5 veya 6'daki bir şartın yerine getirilmesini ve hedef ülke, ülke içindeki bir sektör veya uluslararası kuruluş için bir yeterlilik kararını gerektirir. Yeterlilik kararı yoksa uygun güvencelerden biri aranır: Kurul onaylı bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşme veya Kurul onaylı yazılı taahhüt gibi. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilmelidir. Sınırlı ve arızi durumlar için ayrıca istisnalar vardır.

Hukukun farklılaştığı yerler

Bu tablo genel bilgidir, hukuki tavsiye değildir.

İnceleme akışı

1. Tedarikçinin DPA'sını, eklerini, alt işleyici listesini ve güvenlik belgelerini toplayın.
2. Bir kontrol listesi doldurun (yukarıdaki noktaları kapsayan tedarikçi DPA kontrol listesi şablonu).
3. Her gerekliliği karşılandı, kısmen karşılandı veya eksik olarak, madde referansıyla işaretleyin.
4. Önemli boşlukları risk sırasına göre müzakere edin.
5. İmzalanan sürümü, yürürlük tarihini ve gözden geçirme tarihini kaydedin.
6. Alt işleyici itiraz sürelerini ve yenileme tarihlerini takvime işleyin.
7. Tedarikçi şartlarını veya hizmetleri değiştirdiğinde incelemeyi tekrarlayın.

Sık görülen hatalar

• Ana sözleşmenizle çelişen, tedarikçinin kendi şablonundaki DPA. Öncelik sırası maddesini kontrol edin.
• Ek yok. İşlemenin tanımı ve güvenlik tedbirleri eklerdedir; eksiz bir sözleşme eksiktir.
• Değişen bir web sayfasındaki alt işleyici listesi. İncelediğiniz sürümü kaydedin.
• Aktarımların göz ardı edilmesi. Saklama yeri, erişim yeri demek değildir.
• Sorumlu yok. Alt işleyici bildirimlerini birinin alması gerekir.

Pactinel nasıl yardımcı olur

Pactinel, veri işleme sözleşmelerini tarihleri ve sorumlularıyla ana sözleşmeye bağlı belgeler olarak kaydeder ve kurallarınızın gerektirdiği bir belge, örneğin güncel bir DPA, eksik veya süresi dolmuş olduğunda uyarı üretebilir. Madde araması veri koruma şartları içeren sözleşmeleri bulur; yapay zekâ, bir kişinin onaylaması için kaynak metne bağlantılı madde alıntıları önerebilir. Pactinel hukuki tavsiye vermez ve bir DPA'nın hukuka uygun olup olmadığına karar vermez. Ücretsiz planla başlayabilirsiniz.