Data Processing Agreement

Also known as: DPA, Processor Agreement, Veri İşleme Sözleşmesi

In short

The contract between a data controller and the processor processing personal data on its behalf, covering instructions, security measures, sub-processors, breach notification and what happens to the data when the service ends.

Veri işleme sözleşmesi, veri sorumlusunun kişisel verileri kendi adına işleyecek veri işleyenle yaptığı ve veri işlemenin çerçevesini belirleyen sözleşmedir. Uygulamada İngilizce kısaltmasıyla DPA (data processing agreement) olarak da anılır.

KVKK’da Zorunlu mu?

KVKK, GDPR’ın 28. maddesindeki gibi asgari içeriği sayılmış bir sözleşme şekli öngörmez. Ancak KVKK’nın 12. maddesine göre veri sorumlusu, verilerin kendi adına başkası tarafından işlenmesi hâlinde veri güvenliği tedbirlerinin alınmasından veri işleyenle birlikte müştereken sorumludur. Bu sorumluluğu yönetmenin ve olası bir Kurul incelemesinde hizmet sağlayıcıya hangi talimatların verildiğini göstermenin pratikteki tek yolu yazılı bir sözleşmedir.

Sözleşmede Bulunması Gerekenler

İşlemenin konusu, süresi, niteliği ve amacı; işlenen veri kategorileri ve ilgili kişi grupları,
Veri işleyenin yalnızca veri sorumlusunun yazılı talimatlarıyla hareket edeceği,
Veri işleyenin çalışanlarının gizlilik yükümlülüğü,
Alınacak teknik ve idari tedbirler,
Alt veri işleyen kullanılmasının veri sorumlusunun iznine bağlanması ve aynı yükümlülüklerin alt işleyene de yüklenmesi,
İlgili kişi başvurularına cevap verilmesinde destek,
Veri ihlallerinin gecikmeksizin ve belirli bir süre içinde bildirilmesi; veri sorumlusunun Kurul’a 72 saat içinde bildirim yapabilmesi için bu süre kısa tutulmalıdır,
Veri sorumlusunun denetim hakkı,
Hizmetin sona ermesinde verilerin iadesi veya silinmesi.

Yurt Dışındaki Veri İşleyenler

Veri işleyen yurt dışındaysa veya verileri yurt dışındaki sunucularda tutuyorsa, veri işleme sözleşmesi tek başına yeterli değildir. Yurt dışına veri aktarımı kuralları uygulanır ve çoğu durumda Kurul’un ilan ettiği standart sözleşme imzalanıp beş iş günü içinde Kurum’a bildirilmelidir. Ticari ve teknik konular ayrı bir sözleşmede düzenlenebilir, ancak bu hükümler standart sözleşmeyle çelişmemelidir.

Frequently Asked Questions

Is it enough to sign the supplier's own DPA?

Large providers usually offer their own non-negotiable terms. As these are drafted for the GDPR, provisions on transfers, breach notification deadlines and sub-processors should be checked separately for the KVKK and any gaps filled with an additional protocol.

Is a DPA enough for a processor abroad?

No. If the processor is abroad, the KVKK's transfer rules must also be met, and in most cases the Board's controller-to-processor standard contractual clauses must be signed and notified to the Authority.

← Glossary A–Z