Sözlük
Veri işleme sözleşmesi (DPA)
Kısaca
Veri işleme sözleşmesi (DPA), veri sorumlusu ile veri işleyen arasında, işleyenin sorumlu adına kişisel verileri nasıl ele alacağını düzenleyen sözleşmedir. GDPR 28. madde uyarınca konuyu, süreyi, amacı, veri türlerini, güvenliği, alt işleyici koşullarını ve verilerin silinmesini veya iadesini belirlemelidir.
Yazan: Pactinel editorial team22 Ekim 2026 tarihinde gözden geçirildi
Bir tedarikçi müşteri adına kişisel veri işlediğinde, örneğin bordro, CRM veya barındırma hizmetinde, birçok hukuk düzeninde DPA gerekir. Genellikle ana sözleşmeye eklenen ayrı bir belgedir.
GDPR 28. madde ne ister
GDPR 28. maddeye göre sözleşme, işleyeni diğer hususlarla birlikte şunlara bağlamalıdır:
- yalnızca sorumlunun belgelenmiş talimatlarıyla hareket etmek;
- personeli gizlilik altında tutmak;
- uygun güvenlik önlemlerini uygulamak;
- alt işleyicilerin görevlendirilmesine ilişkin koşullara uymak;
- veri sahibi talepleri ve güvenlik yükümlülüklerinde yardımcı olmak;
- hizmet bittiğinde verileri silmek veya iade etmek;
- denetime izin vermek ve uyum kanıtı sunmak.
Örnek inceleme noktası
Bir tedarikçinin DPA'sı, alt işleyicileri bildirimle görevlendirebileceğini ancak müşteriye itiraz hakkı tanımadığını söylüyor. Madde 28(2), genel yetki durumunda sorumlunun değişikliklere itiraz edebilmesini gerektirir; bu nedenle bu hüküm müzakere gerektirir.
Diğer düzenlemeler
Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında da veri sorumlusu ve veri işleyen ayrımı vardır; Birleşik Krallık'ta UK GDPR uygulanır. Sınır ötesi aktarımlar ek bir mekanizma gerektirir.
DPA ile ana sözleşme çelişirse öncelik sırasını kontrol edin. Bu içerik genel bilgidir, hukuki tavsiye değildir.