Şablon
Tedarikçi veri işleme sözleşmesi kontrol listesi
Kısaca
Bir tedarikçi sizin adınıza kişisel veri işleyecekse ve veri işleme sözleşmesini incelemeniz gerekiyorsa bu listeyi kullanın. Talimata uygun işleme, güvenlik, alt işleyiciler, yurt dışına aktarım, ihlal bildirimi, denetim, silme veya iade ve sorumluluk başlıklarını kapsar; imzadan önce eksikleri bulmanızı sağlar.
Yazan: Pactinel editorial team22 Ekim 2026 tarihinde gözden geçirildi3 dk okuma
Nasıl kullanılır
- Önce rolleri belirleyin: siz veri sorumlusu, tedarikçi veri işleyen mi? Tedarikçi amaç ve vasıtaları kendisi belirliyorsa değerlendirme değişir.
- Tabloyu madde madde doldurun; her kalemi Uygun, Kısmen veya Eksik olarak işaretleyin ve maddeyi yazın.
- Eksik ve kısmen uygun kalemleri tedarikçiyle görüşün ve yanıtları kaydedin.
- Alt işleyici değişikliği veya ihlal bildirimlerinin hangi kanalla yapılacağını bildirim maddesinden kontrol edin; kendi bildirimleriniz (itiraz, denetim talebi) için gönderim belgesini saklayın.
- Alt işleyici değişikliğine itiraz süresini ve DPA gözden geçirme tarihini takvime işleyin.
Türkiye uygulaması hakkında: KVKK'da veri işleyenin veri sorumlusunun talimatlarına uygun hareket etmesi ve gerekli tedbirleri alması gerekir; yurt dışına aktarımda 6698 sayılı Kanun m.9 ile 7499 sayılı Kanun'la yapılan değişiklik (m. 9 hükümleri 1 Haziran 2024'te yürürlüğe girdi) sonrası yeterlilik kararı, uygun güvenceler (örneğin Kurul'un ilan ettiği standart sözleşmeler) ve arızi aktarım yolları ayrılmıştır. Güncel durumu KVKK Kurumu'nun internet sitesinden ve bir avukattan teyit edin. Aşağıdaki liste AB GDPR Madde 28 gereklilikleri esas alınarak hazırlanmıştır ve KVKK kapsamında da iyi uygulama olarak kullanılabilir.
Kontrol listesi
| No | Kalem | Neden önemli | Uygun / Kısmen / Eksik | Madde |
|---|---|---|---|---|
| 1 | İşlemenin konusu, süresi, niteliği, amacı, veri ve ilgili kişi kategorileri tanımlı | GDPR m.28(3) zorunlu içerik | [ ] | [Madde] |
| 2 | Yalnızca belgelenmiş talimatlarla işleme, aktarımlar dahil | GDPR m.28(3)(a) | [ ] | [Madde] |
| 3 | Yetkili personelin gizlilik yükümlülüğü | GDPR m.28(3)(b) | [ ] | [Madde] |
| 4 | Güvenlik tedbirleri, somut bir ek ile | GDPR m.28(3)(c) | [ ] | [Madde] |
| 5 | Alt işleyici kuralları: izin (genel/özel), liste, değişiklik bildirimi, itiraz hakkı, yükümlülüklerin aktarılması, tedarikçinin sorumluluğu | GDPR m.28(2), (3)(d), (4) | [ ] | [Madde] |
| 6 | İlgili kişi başvurularında yardım | GDPR m.28(3)(e) | [ ] | [Madde] |
| 7 | Güvenlik, ihlal bildirimi ve etki değerlendirmesinde yardım | GDPR m.28(3)(f) | [ ] | [Madde] |
| 8 | Veri ihlalinin gecikmeksizin, belirli bir sürede (örneğin [saat] saat) bildirilmesi | Kendi yasal sürelerinizi karşılamanız için | [ ] | [Madde] |
| 9 | Hizmet sonunda verilerin silinmesi veya iadesi, yazılı teyit | GDPR m.28(3)(g) | [ ] | [Madde] |
| 10 | Uyumu gösteren bilgi ve denetim hakkı | GDPR m.28(3)(h) | [ ] | [Madde] |
| 11 | Talimatın hukuka aykırı göründüğünde bildirim yükümlülüğü | GDPR m.28(3)(h) | [ ] | [Madde] |
| 12 | Yurt dışı aktarım: konumlar, dayanılan mekanizma, sonraki aktarımlar | Aktarım kuralları ülkeye göre değişir | [ ] | [Madde] |
| 13 | DPA ile ana sözleşme arasında öncelik sırası | Çelişkiyi önler | [ ] | [Madde] |
| 14 | Veri koruma ihlalleri için sorumluluk sınırı ve tazminat: üst sınır, ayrı üst sınır veya istisnalar | Ticari risk | [ ] | [Madde] |
| 15 | DPA süresinin ana sözleşmeyle ilişkisi; devam eden yükümlülükler | Veri sözleşmeden uzun yaşayabilir | [ ] | [Madde] |
| 16 | Her iki tarafta gizlilik/veri koruma iletişim kişisi | Operasyonel | [ ] | [Madde] |
Kaydedilecek tedarikçi bilgileri
| Alan | Değer |
|---|---|
| Tedarikçi unvanı | [Tedarikçi unvanı] |
| Hizmet ve veri kategorileri | [Açıklama] |
| Bizim rolümüz / tedarikçinin rolü | [Veri sorumlusu / Veri işleyen] |
| Alt işleyiciler (güncel liste bağlantısı) | [URL veya inceleme tarihi] |
| Veri konumları | [Ülkeler] |
| Sonraki gözden geçirme | [Tarih] |
Bu liste genel bilgidir, hukuki danışmanlık değildir. Veri koruma hukuku ülkeye ve sektöre göre değişir; sizin için nelerin geçerli olduğunu bir veri koruma avukatıyla teyit edin.
Pactinel, bir sözleşmedeki veri koruma maddelerini bulmanıza ve kaynak metni göstermenize yardımcı olur; bkz. ücretsiz plan.
Kaynaklar
- GDPR Madde 28 (veri işleyen), AB metni · erişim: 22 Ekim 2026
- KVKK, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik Taslağı duyurusu · erişim: 22 Ekim 2026