Veri işleyen sözleşmesinde bulunması gereken hükümler

Şirketlerin kişisel verilerinin önemli bir bölümü kendi sunucularında değil; bordro firmasında, bulut sağlayıcısında, çağrı merkezinde, kargo entegratöründe ya da İK yazılımında durur. Uyum çalışması içeride tamamlansa bile, bu zincirin sözleşmesel çerçevesi kurulmadıysa yapı eksiktir — çünkü veri güvenliği bakımından sorumluluk dışarıya devredilemez.

Neden sözleşme?

Kanun'un 12. maddesi, veri güvenliğine ilişkin tedbirlerin alınması hususunda veri sorumlusunu veri işleyen ile birlikte müştereken sorumlu kılar. Kurumun Kişisel Veri Güvenliği Rehberi de taraflar arasında yazılı bir sözleşme bulunmasını bekler.

Bunun pratik anlamı nettir: tedarikçide yaşanan bir olay, veri sorumlusunun sorumluluğunu ortadan kaldırmaz. Sözleşme, sorumluluğu devretmenin değil; tedarikçi üzerinde kontrol kurmanın aracıdır. Sözleşme yoksa şirketin elinde ne talimat verme, ne denetleme, ne de zamanında haberdar olma imkânı kalır.

Sözleşmeyi hazırlamadan önce tarafın gerçekten veri işleyen olup olmadığı belirlenmelidir; bu ayrımı ayrı bir yazıda ele aldık. Taraf kendi amaçlarıyla veri işliyorsa ilişki aktarımdır ve farklı bir çerçeve gerekir.

Bulunması beklenen hükümler

1. Talimatla sınırlı işleme. Veri işleyen, yalnızca veri sorumlusunun yazılı talimatları doğrultusunda ve sözleşmede belirlenen amaçla işlem yapar. Kendi amaçları (ürün geliştirme, analiz, model eğitimi) için kullanamaz.

2. İşlemenin kapsamı. Hangi veri kategorileri, hangi ilgili kişi grupları, hangi süreyle ve hangi işlemler için — sözleşmeye ek bir tabloyla netleştirilir.

3. Süresiz gizlilik. Sır saklama yükümlülüğü sözleşme sona erdikten sonra da devam eder. Veri işleyenin personelinin de gizlilik taahhüdü altında olması aranır.

4. Teknik ve idari tedbirler. Veri işleyenin sağlayacağı asgari güvenlik düzeyi (şifreleme, erişim yetkilendirmesi, loglama, yedekleme) sözleşme ekinde somutlaştırılır. "Gerekli tedbirleri alır" ifadesi ölçülebilir değildir.

5. İhlal bildirimi ve süresi. Veri işleyen, öğrendiği ihlali veri sorumlusuna gecikmeksizin bildirmekle yükümlüdür. Süre saatle belirlenmelidir; çünkü veri sorumlusunun Kurul'a bildirim için 72 saati vardır ve bu süre tedarikçinin haber vermesini beklerken tükenemez.

6. Alt işleyen kullanımı. Alt işleyen ancak veri sorumlusunun izniyle kullanılabilir; kullanılıyorsa aynı yükümlülükler ona da yansıtılır. Bulut hizmetlerinde alt işleyen zinciri çoğu zaman uzundur ve şeffaflığı sözleşmeyle sağlanır.

7. Yurtdışı kısıtı. Verinin nerede işleneceği ve saklanacağı yazılır. Yurtdışına aktarım söz konusuysa m.9 dayanağı kurulmalı, gerekiyorsa standart sözleşme imzalanıp Kuruma bildirilmelidir.

8. Denetim hakkı. Veri sorumlusunun, tedarikçinin tedbirlerini denetleme veya bağımsız denetim raporu talep etme hakkı tanınır.

9. İlgili kişi taleplerinde yardım. Veri işleyen, kendisine ulaşan talepleri yönlendirmek ve veri sorumlusunun cevap verebilmesi için gerekli bilgiyi sağlamakla yükümlüdür.

10. Sözleşme sonunda iade veya imha. İlişki bittiğinde verinin ne olacağı — iade mi, imha mı, hangi süre içinde, tutanakla mı — yazılmalıdır. Yedeklerdeki kopyalar da bu hükmün kapsamındadır.

Sık yapılan hatalar

1. Sözleşmeyi hiç yapmamak. Özellikle küçük tedarikçilerde (muhasebe yazılımı, kargo entegratörü, saha ekibi) bu adım tümüyle atlanır.
2. Tek cümleyle geçiştirmek. "Taraflar KVKK'ya uyar" hükmü, denetimde hiçbir işlev görmez.
3. Standart metni okumadan imzalamak. Büyük sağlayıcıların hazır veri işleme ekleri, alt işleyen ve yurtdışı konularında şirketin kabul edemeyeceği hükümler içerebilir.
4. İhlal bildirimi süresini belirsiz bırakmak. "Makul sürede" ifadesi 72 saatlik yükümlülüğü karşılamaz.
5. Mevcut tedarikçileri kapsam dışı bırakmak. Yıllardır çalışılan firmalarla ek protokol yapılmadığında, en büyük veri hacmi sözleşmesiz kalır.
6. Sözleşme bitişini yönetmemek. Hizmet sona erer, veri tedarikçide kalır; kimse silinip silinmediğini sormaz.

Bütüncül gözden geçirme

Bir veri işleyen sözleşmesi imzalamak, dosyalanacak bir evrak işi değildir; uyum yapınızın birçok noktasına bağlanır. Yeni bir tedarikçiyle çalışmaya başlandığında: kişisel veri envanterine ilgili süreç ve alıcı grubu işlenmeli, aydınlatma metinlerindeki alıcı grupları güncellenmeli, VERBİS kaydı buna uygun hâle getirilmeli, saklama ve imha politikasındaki süreler ile sözleşmedeki iade/imha hükmü birbirini tutmalı, aktarım yurtdışınaysa m.9 dayanağı kurulmalı ve ihlal müdahale planınızdaki iletişim akışına tedarikçinin irtibat kişisi eklenmelidir.

Tedarikçi sözleşmeleri, hukuki metin ile teknik gerçekliğin buluştuğu yerdir; ekteki güvenlik tedbirleri listesi gerçekten uygulanabilir değilse sözleşme kâğıt üzerinde kalır. Bu nedenle sözleşmelerin hukuki destek alınarak hazırlanmasını ve mevcut tedarikçilerle ek protokol yapılmasını öneririz; Genç Partners bu metinlerin kurgulanmasında deneyimlidir. KVKK belge merkezi ise sözleşme ekleriniz ve politikalarınızın güncel sürümlerinin düzenli biçimde saklanmasını sağlar.

Özet

• Veri güvenliğinde sorumluluk müştereklidir; sözleşme sorumluluğu devretmez, kontrol kurar.
• Asgari hükümler: talimatla sınırlı işleme, kapsam tablosu, süresiz gizlilik, somut güvenlik tedbirleri, saatle tanımlı ihlal bildirimi, alt işleyen izni, yurtdışı kısıtı, denetim hakkı, talep desteği, iade/imha.
• "KVKK'ya uyulur" cümlesi hüküm değildir.
• Mevcut tedarikçilerle ek protokol yapılmalıdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Tedarikçi sözleşmelerinizin hazırlanması için hukuki destek alınız.