Veri İşleme Sözleşmeleri ve Politikalar

Şirketler kişisel verileri çoğu zaman tek başına işlemez: bordro hizmeti, bulut altyapısı, çağrı merkezi, kargo firması ya da yazılım tedarikçisi bu verilere erişir. Bu ilişkilerin doğru sözleşmelerle kurulması, veri sorumlusunun KVKK kapsamındaki sorumluluğunu yönetmesinin temel aracıdır. Veri işleyen sözleşmelerinizi hazırlıyor, tedarikçi ve müşterilerinizden gelen sözleşmeleri KVKK açısından inceliyor, çalışanlarınızla gizlilik ve veri koruma sözleşmelerini ve şirket içi politikalarınızı hazırlıyoruz.

Veri işleyen sözleşmesi nedir?

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Veri işleyen sözleşmesi bu ilişkide verilerin hangi amaçla ve hangi talimatlarla işleneceğini düzenler. Alınacak güvenlik tedbirlerini, alt işleyen kullanımını, veri ihlali hâlinde bildirim yükümlülüğünü, denetim hakkını ve sözleşme sona erdiğinde verilerin iadesini veya imhasını da belirler.

KVKK’nın 12. maddesi uyarınca veri sorumlusu, verilerin kendi adına başkası tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından veri işleyenle birlikte müştereken sorumludur. Sözleşme, bu sorumluluğu yönetmenin ve gerektiğinde tedbir alındığını ispat etmenin yoludur.

Veri sorumlusu mu, veri işleyen mi?

Aynı şirket bir ilişkide veri sorumlusu, bir başkasında veri işleyen olabilir. Rolün doğru belirlenmesi; aydınlatmayı hangi tarafın yapacağını, ilgili kişi başvurularını kimin yanıtlayacağını ve veri ihlalinde Kurul’a kimin bildirim yapacağını belirler. Yalnızca sizin talimatınızla ve sizin amacınız için veri işleyen bir hizmet sağlayıcı genellikle veri işleyendir. Veriyi kendi amaçları için de kullanan bir iş ortağı ise ayrı bir veri sorumlusudur ve bu ilişki farklı bir sözleşme kurgusu gerektirir.

Kapsam

Veri işleyen–veri sorumlusu sözleşmelerinin hazırlanması ya da kontrol edilmesi
Tedarikçi ya da müşteriler tarafından iletilen sözleşmelerin KVKK bağlamında kontrolü
Çalışanlarla gizlilik ve veri koruma sözleşmelerinin hazırlanması ve kontrolü
Kişisel veri saklama ve imha politikası, özel nitelikli kişisel verilerin korunması politikası ve şirket içi KVKK politikalarının hazırlanması

Nasıl Çalışıyoruz

Tedarikçi ve iş ortağı listesinin çıkarılması, her ilişkide tarafların rolünün belirlenmesi
Mevcut sözleşmelerin KVKK açısından incelenmesi ve eksiklerin raporlanması
Veri işleyen sözleşmesi şablonunun ve mevcut sözleşmelere eklenecek protokollerin hazırlanması
Karşı taraftan gelen sözleşmelerde müzakere desteği
Şirket içi politikaların hazırlanması ve çalışanlara duyurulması

Ekip

Ali Gül Kurucu Ortak

Buse Yüceer Avukat

Burcu Kulotu Avukat

Sık Sorulan Sorular

Veri işleyenle ayrı bir sözleşme imzalamak zorunlu mu?

KVKK "veri işleyen sözleşmesi" adıyla ayrı bir belge öngörmez. Ancak veri sorumlusu, veri işleyenin alması gereken güvenlik tedbirlerinden onunla birlikte müştereken sorumludur. Bu sorumluluğu yönetmenin ve ispat etmenin pratikteki yolu yazılı sözleşmedir; Kurul'un Kişisel Veri Güvenliği Rehberi de veri işleyenlerle yapılan sözleşmelere veri güvenliği hükümleri eklenmesini idari tedbirler arasında sayar.

Mevcut hizmet sözleşmesine madde eklemek yeterli mi?

Çoğu durumda evet; ayrı bir sözleşme yerine ek protokol ya da ek madde yeterlidir. Belirleyici olan belgenin adı değil içeriğidir: işleme amacı ve talimatlar, güvenlik tedbirleri, alt işleyen kullanımı, ihlal bildirimi, denetim hakkı ve sözleşme sonunda verilerin iadesi veya imhası.

Tedarikçimiz yurt dışındaysa ne değişir?

Veri işleyen sözleşmesine ek olarak KVKK'nın 9. maddesindeki yurt dışına aktarım şartlarından birinin de sağlanması gerekir. Uygulamada çoğu zaman Kurul'un ilan ettiği standart sözleşme imzalanır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

Hangi şirket içi politikalar zorunlu?

VERBİS'e kayıt yükümlüsü veri sorumluları kişisel veri saklama ve imha politikası hazırlamak zorundadır. Özel nitelikli kişisel veri işleyen şirketlerden de Kurul kararı gereği bu verilere özgü bir politika ve prosedür oluşturmaları beklenir. Bunların dışındaki politikalar yasal zorunluluk olmasa da KVKK'daki teknik ve idari tedbir yükümlülüğünün belgelenmesini sağlar.

Bu hizmet hakkında görüşmek ister misiniz? Bizimle bir görüşme planlayın, ilk görüşme ücretsizdir.

Görüşme Planla