Veri İşleyen Sözleşmesi (DPA) Nedir? KVKK Rehberi

İşletmeler müşteri, çalışan ve tedarikçi bilgilerini yalnızca kendi sistemlerinde işlemeyebilir.

Bulut e-posta hizmetleri, CRM uygulamaları, bordro sistemleri, dış kaynak yazılım hizmetleri ve farklı teknoloji sağlayıcılar kişisel verilerin işlenmesine dahil olabilir.

Bu durumda işletme ile hizmet sağlayıcı arasındaki veri işleme ilişkilerinin doğru değerlendirilmesi gerekir.

Veri İşleyen Sözleşmesi (DPA — Data Processing Agreement), belirli kişisel veri işleme ilişkilerinde tarafların görev ve sorumluluklarını düzenlemek için kullanılan sözleşme yapısını ifade eder.

Peki DPA nedir, KVKK açısından hangi konular önemlidir ve tedarikçilerle sözleşme hazırlanırken nelere dikkat edilmelidir?

Veri sorumlusu ve veri işleyen kimdir?

6698 sayılı Kanun'da veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen; veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi olarak tanımlanır.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Bu roller bir şirketin adı veya faaliyet alanı üzerinden otomatik olarak belirlenmez.

Örneğin bir yazılım sağlayıcısı bazı faaliyetlerde veri işleyen olarak hareket ederken başka faaliyetlerinde kendi amaçları için veri sorumlusu olabilir.

Bu nedenle her veri işleme faaliyetinin niteliği ayrı değerlendirilmelidir.

DPA sözleşmesi nedir?

DPA, kişisel veri işleme faaliyetleriyle ilişkili tarafların sorumluluklarını açıklığa kavuşturmayı amaçlayan sözleşmedir.

Sözleşmede veri işleme kapsamı, güvenlik önlemleri, alt hizmet sağlayıcılar ve hizmetin sona ermesi gibi konular ele alınabilir.

Ancak yurt dışında kullanılan bütün sözleşme şablonlarının Türkiye'deki düzenlemeler bakımından otomatik olarak yeterli olduğu düşünülmemelidir.

Sözleşmenin geçerli mevzuata ve gerçek hizmet ilişkisine uygun olması gerekir.

DPA içerisinde hangi maddeler değerlendirilmeli?

1. Veri işleme kapsamı

Hangi kişisel verilerin hangi hizmet kapsamında işlendiği belirlenmelidir.

Örneğin bir CRM hizmetinde müşteri ve iletişim bilgileri, bir bordro hizmetinde çalışan bilgileri söz konusu olabilir.

2. Amaç ve talimatlar

Veri işleyenin hangi faaliyetleri hangi yetki çerçevesinde gerçekleştireceği açıklanmalıdır.

3. Gizlilik ve erişim

Hizmet sağlayıcının çalışanlarının verilere erişim koşulları ve gizlilik sorumlulukları belirlenmelidir.

4. Teknik ve idari güvenlik

Erişim kontrolü, şifreleme, yedekleme, kayıt yönetimi ve uygun diğer önlemler değerlendirilebilir.

5. Alt hizmet sağlayıcılar

Bulut, destek veya başka hizmetlerin alt sağlayıcılar aracılığıyla yürütülüp yürütülmediği incelenmelidir.

6. Güvenlik olayı bildirimi

Olası kişisel veri güvenliği olaylarının ne şekilde ve hangi sürelerde bildirileceği belirlenmelidir.

7. Veri iadesi ve silme

Hizmetin sona ermesi durumunda verilerin geri alınması, uygun şekilde silinmesi veya gerekli saklama yükümlülüklerinin yönetilmesi planlanmalıdır.

DPA ile gizlilik sözleşmesi aynı mı?

Hayır.

NDA (Non-Disclosure Agreement) olarak bilinen gizlilik sözleşmesi, belirli bilgilerin gizli tutulmasına ilişkin yükümlülükleri düzenleyebilir.

DPA ise kişisel veri işleme ilişkilerinin kapsamını ve ilgili sorumlulukları ele alabilir.

Bu nedenle yalnızca gizlilik sözleşmesi imzalanmış olması, bütün veri işleme gereksinimlerinin karşılandığını göstermez.

KVKK standart sözleşmesi ile DPA aynı mı?

Bu konu özellikle önemlidir.

KVKK'nin 9. maddesi kapsamında kişisel verilerin yurt dışına aktarılması için belirli şartlarla kullanılabilen standart sözleşmeler bulunmaktadır.

Bunlar, ilgili aktarım taraflarının rollerine göre farklı türlerde düzenlenmiştir.

Genel tedarikçi DPA'sı ile KVKK kapsamında yurt dışına aktarım için kullanılan standart sözleşme aynı belge olarak kabul edilmemelidir.

Bir işletme yabancı bir bulut sağlayıcısıyla DPA imzalamış olsa bile, yurt dışına kişisel veri aktarımının hukuki şartları ayrıca değerlendirilmelidir.

Bulut hizmetleri için DPA neden önemlidir?

Bir şirket Microsoft 365, CRM, ERP veya başka bulut hizmetleri kullanıyor olabilir.

Bu hizmetlerde hangi kişisel verilerin işlendiği, tarafların rolleri, alt hizmet sağlayıcılar ve veri konumları değerlendirilmelidir.

Sadece sistemin teknik olarak güvenli olması, veri işleme faaliyetinin bütün hukuki gerekliliklerinin yerine getirildiğini göstermez.

Aynı şekilde doğru sözleşmelerin bulunması da teknik güvenlik önlemlerinin yerini almaz.

Dış kaynak BT destek firmaları için dikkat edilmesi gerekenler

Bir dış BT destek sağlayıcısı, hizmet kapsamına göre kullanıcı hesapları, sunucular, müşteri verileri veya başka sistemlere erişebilir.

Bu erişimlerin kapsamı ve ilgili kişisel veri işleme rolü değerlendirilmelidir.

Teknik tarafta:

• Ayrı yönetici hesapları
• En az ayrıcalık ilkesi
• Çok faktörlü kimlik doğrulama
• Erişim kayıtları
• Yetki gözden geçirme
• Güvenli uzaktan erişim
• İş bitiminde erişim iptali

gibi önlemler önem taşıyabilir.

Veri işleyen sözleşmesi nasıl hazırlanmalı?

Sözleşme hazırlığına başlamadan önce mevcut hizmet ve veri akışları değerlendirilmelidir.

1. Hangi hizmet için sözleşme gerekiyor?
2. Tarafların veri işleme rolleri neler?
3. Hangi veri kategorileri işleniyor?
4. Veriler hangi ülkelerde işleniyor?
5. Alt sağlayıcılar bulunuyor mu?
6. Teknik güvenlik önlemleri neler?
7. İhlal bildirimi nasıl yapılacak?
8. Hizmet sonlandırma koşulları neler?
9. Yurt dışına aktarım için ek mekanizma gerekiyor mu?

Bu soruların cevapları sözleşmenin gerçek hizmet ilişkisini yansıtmasına yardımcı olur.

RelGen Teknoloji ile tedarikçi ve veri güvenliği

RelGen Teknoloji, işletmelerin mevcut BT altyapısını ve teknoloji tedarikçileriyle ilişkili teknik güvenlik ihtiyaçlarını değerlendirmeye yardımcı olur.

Firewall, sunucu güvenliği, kullanıcı yetkileri, loglama, yedekleme ve dış hizmet sağlayıcı erişimleri birlikte incelenebilir.

Sözleşmenin hukuki içeriği ve uygulanabilir veri aktarım şartları ilgili hukuk uzmanlarıyla ele alınmalıdır.

Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.

Sık sorulan sorular

DPA nedir?

DPA, kişisel veri işleme ilişkilerinde tarafların sorumluluklarını düzenlemek amacıyla kullanılan sözleşme yapısıdır.

Her teknoloji tedarikçisi veri işleyen midir?

Hayır. Roller, ilgili veri işleme faaliyetinin niteliğine göre belirlenir.

DPA imzalanırsa yurt dışına aktarım otomatik olarak uygun olur mu?

Hayır. KVKK'nin yurt dışına aktarım hükümleri ayrıca değerlendirilmelidir.

DPA ile NDA aynı şey mi?

Hayır. Gizlilik sözleşmesiyle kişisel veri işleme sorumluluklarını düzenleyen sözleşme farklı amaçlar taşıyabilir.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Sözleşme ve aktarım yükümlülükleri hukuk uzmanıyla değerlendirilmelidir.

Resmî kaynak: KVKK — Standart Sözleşmeler