Глоссарий · Законодательство и данные
Что такое договор об обработке данных (DPA)?
Договор об обработке данных (DPA) – это договор между компанией-оператором данных и фирмой, которая обрабатывает персональные данные от её имени; в нём записано, с какой целью, где и с какими мерами обрабатываются данные. Он возникает при покупке облачной программы, услуг по расчёту зарплаты или хостинга. Он письменно закрепляет совместную ответственность за безопасность по KVKK.
Последнее обновление: · Автор: Şevket Erer, Сооснователь, специалист по ИИ
Зачем требовать договор об обработке данных?
Когда компания доверяет записи клиентов облачной CRM, зарплатные данные сервисному провайдеру или почту хостинговой компании, данные начинают обрабатываться в чужой системе. По KVKK (турецкий закон о защите персональных данных) оператор данных, чьи данные от его имени обрабатывает другое лицо, отвечает за меры безопасности вместе с этим лицом. Договор закрепляет эту совместную ответственность письменно.
Договор – это текст, к которому обращаются, когда возникает проблема. Кто, кому и когда сообщает о нарушении, возвращаются или удаляются данные по окончании договора и можно ли привлекать субподрядчиков, записано заранее.
Что входит в договор об обработке данных?
Договор об обработке данных определяет, какие персональные данные, с какой целью и как долго обрабатываются и что обработчик действует только по указаниям оператора. В договоре также указаны меры защиты, такие как контроль доступа, шифрование, резервное копирование и журнал доступа, срок и форма уведомления об утечке, страна хранения данных и возврат или удаление данных после окончания договора.
- Тема и цель
Какие персональные данные, с какой целью и как долго будут обрабатываться.
- Инструкции
То, что обработчик действует только по указаниям оператора данных.
- Меры безопасности
Технические и организационные меры, такие как контроль доступа, шифрование, резервное копирование и журнал доступа.
- Уведомление о нарушении
Как и в какой срок сообщается оператору данных, когда обнаружено нарушение.
- Место и передача
В какой стране хранятся данные; если они передаются за рубеж, на каком основании.
- Окончание
Возврат или удаление данных по окончании договора и то, как это документируется.
Пример
Частная клиника решает перенести запись пациентов в облачную программу. При покупке она запрашивает у поставщика договор об обработке данных и особенно смотрит, в какой стране хранятся данные, зашифрованы ли резервные копии и как данные будут переданы по окончании договора. Поскольку ответы записаны в договоре, клиника может показать, каким документом она выполняет свои обязанности.
Какие заблуждения о KVKK распространены?
При покупке облачного ПО часто звучат два мнения о KVKK: данные всегда должны храниться в Турции, а после подписания договора вся ответственность переходит к поставщику. В каждом пункте приведены распространённое мнение, что говорит KVKK, и ссылка на mevzuat.gov.tr; о правилах вашей отрасли спросите консультанта.
Заблуждение: KVKK всегда требует хранить данные в Турции.
Как на самом деле: KVKK ставит передачу за рубеж под условия: при наличии основания для обработки и решения об адекватности для страны назначения передача возможна; без такого решения нужна одна из гарантий, перечисленных в Законе (KVKK, ст. 9). В некоторых регулируемых отраслях могут действовать свои правила о хранении внутри страны. KVKK, ст. 9
Заблуждение: После подписания такого договора вся ответственность за безопасность переходит к разработчику ПО.
Как на самом деле: Даже если данные обрабатывает другое лицо, оператор несёт солидарную с ним ответственность за принятие мер безопасности (KVKK, ст. 12 ч. 2). Договор фиксирует эту общую ответственность, а не снимает её. KVKK, ст. 12
Эта страница носит общий информационный характер и не является юридическим заключением; нормы последний раз проверены 25 сентября 2026 года. Официальный текст: Закон о защите персональных данных (mevzuat.gov.tr), Управление по защите персональных данных Турции (kvkk.gov.tr)
Как это выглядит в Corex360?
Corex360 работает двумя способами: в выделенном пространстве вашей компании в Corex360 Cloud или на вашем собственном сервере; выбор фиксируется в договоре. Каждый вход, устройство и доступ фиксируются. Персональные данные обрабатываются в рамках KVKK (турецкий закон о защите персональных данных).
Безопасность и размещение→KVKK: облако или собственный сервер→
Термины, которые часто путают
| Оператор данных | Оператор данных – это сторона, которая решает, зачем и как обрабатываются данные; чаще всего это компания, которая покупает программу. Договор фиксирует её указания. |
|---|---|
| Обработчик данных | Обработчик – это сторона, которая обрабатывает данные от имени оператора и по его указаниям; типичный пример – поставщик облачной программы. Большинство обязательств по договору лежит на нём. |
Связанные термины: Обработчик данных, Оператор данных, VERBİS (Реестр операторов персональных данных)
Вопросы и ответы
Обязывает ли KVKK заключать договор об обработке данных?
KVKK не вводит отдельного требования к договору под таким названием. Но поскольку оператор данных вместе с обработчиком отвечает за меры безопасности, на практике эти меры обычно закрепляют письменным договором. В Европейском союзе такой договор прямо требует GDPR.
Является ли поставщик облачной программы оператором по договору DPA?
Как правило, нет. Поскольку он обрабатывает данные от имени своего клиента, он обработчик. Для данных, которые он обрабатывает в своих целях, например платёжных данных своих клиентов, он становится оператором.
Что происходит с данными, когда договор об обработке данных заканчивается?
Как указано в договоре: данные возвращаются оператору данных, удаляются или и то, и другое. Как документируется удаление, тоже должно быть в договоре.
Связанные вопросы
- Вносятся ли в VERBİS данные самих людей?
- Нет. В Реестр сообщают цели, группы лиц, категории данных, группы получателей, передачу за рубеж, меры безопасности и максимальный срок хранения (KVKK, ст. 16 ч. 3). Имя или телефон клиента в Реестр не вносятся.
Была ли эта страница полезной?