Lüğət · Qanunvericilik və məlumat
Fərdi məlumatların emalı müqaviləsi (DPA) nədir?
Məlumatların emalı müqaviləsi (DPA) şəxsi məlumatları başqasının adından emal edən şirkət ilə məlumatlara cavabdeh olan şirkət arasında bağlanan və məlumatın hansı məqsədlə, harada və hansı tədbirlərlə emal ediləcəyini yazan müqavilədir. Bulud proqramı, əmək haqqı xidməti və hostinq alarkən gündəmə gəlir. KVKK-dakı ortaq təhlükəsizlik məsuliyyətini yazılı hala gətirir.
Son yeniləmə: · Müəllif: Şevket Erer, Həmtəsisçi, süni intellekt mütəxəssisi
Məlumatların emalı müqaviləsi niyə tələb olunur?
Şirkət müştəri qeydlərini bulud CRM-ə, əmək haqqı məlumatını xidmət təminatçısına və ya e-poçtunu hostinq şirkətinə etibar edəndə məlumat başqasının sistemində emal olunmağa başlayır. KVKK (Türkiyə şəxsi məlumatların qorunması qanunu) üzrə məlumatlara cavabdeh şəxs, məlumat onun adından başqası tərəfindən emal olunduqda təhlükəsizlik tədbirlərinə görə həmin şəxslə birlikdə cavabdehdir. Müqavilə bu ortaq məsuliyyəti yazılı hala gətirir.
Müqavilə problem çıxanda müraciət ediləcək mətndir. Pozuntu olanda kimin kimə nə vaxt xəbər verəcəyi, müqavilə bitəndə məlumatın qaytarılacağı, yoxsa silinəcəyi və subpodratçıdan istifadə edilə bilib-bilməyəcəyi əvvəlcədən yazılmış olur.
Məlumatların emalı müqaviləsində nələr yer alır?
Məlumatların emalı müqaviləsi hansı şəxsi məlumatın hansı məqsədlə və nə qədər müddətə emal ediləcəyini və emal edənin yalnız məlumatlara cavabdeh şəxsin göstərişi ilə hərəkət edəcəyini yazır. Girişə nəzarət, şifrələmə, ehtiyat nüsxə və giriş qeydi kimi tədbirlər, pozuntu bildirişinin müddəti və forması, məlumatın saxlandığı ölkə və müqavilə bitəndə məlumatın qaytarılması və ya silinməsi də müqavilədə yer alır.
- Mövzu və məqsəd
Hansı şəxsi məlumatın hansı məqsədlə və nə qədər müddətə emal olunacağı.
- Göstəriş
Məlumatı emal edənin yalnız məlumatlara cavabdeh şəxsin göstərişi ilə hərəkət edəcəyi.
- Təhlükəsizlik tədbirləri
Girişə nəzarət, şifrələmə, ehtiyat nüsxə və giriş jurnalı kimi texniki və inzibati tədbirlər.
- Pozuntu bildirişi
Pozuntu aşkar ediləndə məlumatlara cavabdeh şəxsə nə qədər müddətdə və necə xəbər veriləcəyi.
- Yer və ötürmə
Məlumatın hansı ölkədə saxlandığı; xaricə ötürülmə varsa, onun əsası.
- Bitmə
Müqavilə bitəndə məlumatın qaytarılması və ya silinməsi və bunun necə sənədləşdiriləcəyi.
Bir nümunə
Özəl bir klinika pasiyent görüşlərini bulud proqramına köçürməyə qərar verir. Satınalma zamanı proqram şirkətindən məlumatların emalı müqaviləsi istəyir və xüsusilə məlumatın hansı ölkədə durduğuna, ehtiyat nüsxələrin şifrəli olub-olmadığına və müqavilə bitəndə məlumatın necə təhvil veriləcəyinə baxır. Cavablar müqavilədə yazılı olduğu üçün klinika öhdəliklərini hansı sənədlə yerinə yetirdiyini göstərə bilir.
KVKK və məlumatların emalı barədə hansı yanlış təsəvvürlər geniş yayılıb?
Bulud proqramı alarkən KVKK barədə iki fikir tez-tez eşidilir: məlumat mütləq Türkiyədə qalmalıdır və müqavilə imzalananda bütün məsuliyyət təchizatçıya keçir. Hər bənddə geniş yayılmış fikir, KVKK-nın nə dediyi və mevzuat.gov.tr keçidi verilir; sahənizə aid qaydalar üçün məsləhətçinizdən soruşun.
Yanlış: KVKK məlumatların hər halda Türkiyədə saxlanılmasını məcburi edir.
Əslində: KVKK xaricə ötürməni şərtə bağlayır: emal şərtlərindən biri və ötürülən ölkə üçün adekvatlıq qərarı varsa, ötürmə edilə bilər; qərar yoxdursa, Qanunda sadalanan müvafiq təminatlardan biri tələb olunur (KVKK m. 9). Xüsusi tənzimlənən bəzi sahələrdə əlavə olaraq ölkə daxilində saxlama qaydası ola bilər. KVKK m. 9
Yanlış: Məlumatların emalı müqaviləsi imzalananda təhlükəsizlik məsuliyyəti tamamilə proqram təminatı şirkətinə keçir.
Əslində: Məlumatlar başqası tərəfindən emal olunsa da, məlumatlara cavabdeh şəxs təhlükəsizlik tədbirlərinin görülməsinə görə həmin şəxslə birgə məsuliyyət daşıyır (KVKK m. 12/2). Müqavilə bu birgə məsuliyyəti yazıya alır, aradan qaldırmır. KVKK m. 12
Bu səhifə ümumi məlumatdır, hüquqi rəy deyil; qanunvericilik sonuncu dəfə 25 sentyabr 2026-cı il tarixində yoxlanılıb. Rəsmi mətn: Şəxsi məlumatların qorunması haqqında qanun (mevzuat.gov.tr), Türkiyə Şəxsi Məlumatların Qorunması Qurumu (kvkk.gov.tr)
Corex360-da necə görünür?
Corex360 iki formada işləyir: Corex360 Cloud-da şirkətinizə məxsus sahədə və ya öz serverinizdə; seçim müqavilədə yazılır. Hər giriş, cihaz və əlçatanlıq qeydə alınır. Şəxsi məlumatlar KVKK (Türkiyə şəxsi məlumatların qorunması qanunu) çərçivəsində emal olunur.
Tez-tez qarışdırılan terminlər
| Məlumatlara cavabdeh şəxs | Məlumatlara cavabdeh şəxs məlumatın niyə və necə emal olunacağına qərar verən tərəfdir; çox vaxt proqramı alan şirkət. Müqavilə onun göstərişlərini yazır. |
|---|---|
| Məlumatları emal edən şəxs | Məlumatı emal edən məlumatlara cavabdeh şəxsin adından və göstərişi ilə məlumatı emal edən tərəfdir; bulud proqram şirkəti tipik nümunədir. Müqavilədəki öhdəliklərin çoxu onun üzərindədir. |
Əlaqəli terminlər: Məlumatları emal edən şəxs, Məlumatlara cavabdeh şəxs, VERBİS (Məlumatlara Cavabdeh Şəxslərin Reyestri)
Tez-tez verilən suallar
KVKK məlumatların emalı müqaviləsini məcburi edirmi?
KVKK bu adla ayrıca müqavilə şərti qoymur. Lakin məlumatlara cavabdeh şəxs onun adından məlumatı emal edənlə birlikdə təhlükəsizlik tədbirlərinə görə cavabdeh olduğu üçün bu tədbirləri yazılı müqavilə ilə müəyyən etmək praktikada geniş yayılmış yoldur. Avropa İttifaqında GDPR isə belə müqaviləni açıq şəkildə tələb edir.
Bulud proqram şirkəti məlumatların emalı müqaviləsində məlumatlara cavabdeh şəxsdirmi?
Çox vaxt xeyr. Müştərisinin adından məlumat emal etdiyi üçün məlumatı emal edəndir. Öz məqsədləri üçün emal etdiyi məlumatlar, məsələn müştərisinin hesab-faktura məlumatları üçün isə məlumatlara cavabdeh şəxs olur.
Məlumatların emalı müqaviləsi bitəndə məlumata nə olur?
Müqavilədə yazılana görə məlumat məlumatlara cavabdeh şəxsə qaytarılır, silinir və ya hər ikisi edilir. Silmənin necə sənədləşdiriləcəyi də müqavilədə yer almalıdır.
Əlaqəli suallar
- VERBİS-ə şəxslərin öz məlumatları daxil edilirmi?
- Xeyr. Reyestrə məqsədlər, şəxs qrupları, məlumat kateqoriyaları, alıcı qrupları, xaricə ötürmə, təhlükəsizlik tədbirləri və maksimum saxlama müddəti bildirilir (KVKK m. 16/3). Müştərinin adı və ya telefonu reyestrə yazılmır.
Bu səhifə işinizə yaradımı?