# Что такое договор об обработке данных (DPA)? | Corex360 > Договор об обработке данных задаёт правила для фирмы, которая обрабатывает персональные данные за другую компанию. Он закрепляет общую ответственность по KVKK. Источник: https://www.corex360.com/ru/glossariy/dogovor-ob-obrabotke-dannykh Последнее обновление: 2026-09-29 --- [Главная](https://www.corex360.com/ru) [Глоссарий](https://www.corex360.com/ru/glossariy) Договор об обработке данных (DPA) Глоссарий · Законодательство и данные # Что такое договор об обработке данных (DPA)? Договор об обработке данных (DPA) – это договор между компанией-оператором данных и фирмой, которая обрабатывает персональные данные от её имени; в нём записано, с какой целью, где и с какими мерами обрабатываются данные. Он возникает при покупке облачной программы, услуг по расчёту зарплаты или хостинга. Он письменно закрепляет совместную ответственность за безопасность по KVKK. [Запросить демо](https://www.corex360.com/ru/kontakty?konu=governance#form) Зачем нужноКак это работаетПримерЗаблужденияВ Corex360Что часто путаютВопросы ## Короткий ответ - Договор об обработке данных (DPA) – это договор между компанией-оператором данных и фирмой, которая обрабатывает персональные данные от её имени; в нём записано, с какой целью, где и с какими мерами обрабатываются данные. - Когда компания доверяет записи клиентов облачной CRM, зарплатные данные сервисному провайдеру или почту хостинговой компании, данные начинают обрабатываться в чужой системе. - **Часто путают с:** [Оператор данных](https://www.corex360.com/ru/glossariy#veri-sorumlusu), [Обработчик данных](https://www.corex360.com/ru/glossariy#veri-isleyen) ## Зачем требовать договор об обработке данных? Когда компания доверяет записи клиентов облачной CRM, зарплатные данные сервисному провайдеру или почту хостинговой компании, данные начинают обрабатываться в чужой системе. По KVKK (турецкий закон о защите персональных данных) оператор данных, чьи данные от его имени обрабатывает другое лицо, отвечает за меры безопасности вместе с этим лицом. Договор закрепляет эту совместную ответственность письменно. Договор – это текст, к которому обращаются, когда возникает проблема. Кто, кому и когда сообщает о нарушении, возвращаются или удаляются данные по окончании договора и можно ли привлекать субподрядчиков, записано заранее. ## Что входит в договор об обработке данных? Договор об обработке данных определяет, какие персональные данные, с какой целью и как долго обрабатываются и что обработчик действует только по указаниям оператора. В договоре также указаны меры защиты, такие как контроль доступа, шифрование, резервное копирование и журнал доступа, срок и форма уведомления об утечке, страна хранения данных и возврат или удаление данных после окончания договора. - **Тема и цель** Какие персональные данные, с какой целью и как долго будут обрабатываться. - **Инструкции** То, что обработчик действует только по указаниям оператора данных. - **Меры безопасности** Технические и организационные меры, такие как контроль доступа, шифрование, резервное копирование и журнал доступа. - **Уведомление о нарушении** Как и в какой срок сообщается оператору данных, когда обнаружено нарушение. - **Место и передача** В какой стране хранятся данные; если они передаются за рубеж, на каком основании. - **Окончание** Возврат или удаление данных по окончании договора и то, как это документируется. ## Пример Частная клиника решает перенести запись пациентов в облачную программу. При покупке она запрашивает у поставщика договор об обработке данных и особенно смотрит, в какой стране хранятся данные, зашифрованы ли резервные копии и как данные будут переданы по окончании договора. Поскольку ответы записаны в договоре, клиника может показать, каким документом она выполняет свои обязанности. ## Какие заблуждения о KVKK распространены? При покупке облачного ПО часто звучат два мнения о KVKK: данные всегда должны храниться в Турции, а после подписания договора вся ответственность переходит к поставщику. В каждом пункте приведены распространённое мнение, что говорит KVKK, и ссылка на mevzuat.gov.tr; о правилах вашей отрасли спросите консультанта. - **Заблуждение:** KVKK всегда требует хранить данные в Турции. **Как на самом деле:** KVKK ставит передачу за рубеж под условия: при наличии основания для обработки и решения об адекватности для страны назначения передача возможна; без такого решения нужна одна из гарантий, перечисленных в Законе (KVKK, ст. 9). В некоторых регулируемых отраслях могут действовать свои правила о хранении внутри страны. [KVKK, ст. 9](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) - **Заблуждение:** После подписания такого договора вся ответственность за безопасность переходит к разработчику ПО. **Как на самом деле:** Даже если данные обрабатывает другое лицо, оператор несёт солидарную с ним ответственность за принятие мер безопасности (KVKK, ст. 12 ч. 2). Договор фиксирует эту общую ответственность, а не снимает её. [KVKK, ст. 12](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) Эта страница носит общий информационный характер и не является юридическим заключением; нормы последний раз проверены 25 сентября 2026 года. **Официальный текст:** [Закон о защите персональных данных (mevzuat.gov.tr)](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), [Управление по защите персональных данных Турции (kvkk.gov.tr)](https://www.kvkk.gov.tr) ## Как это выглядит в Corex360? Corex360 работает двумя способами: в выделенном пространстве вашей компании в Corex360 Cloud или на вашем [собственном сервере](https://www.corex360.com/ru/resheniya/na-svoem-servere); выбор фиксируется в договоре. Каждый вход, устройство и доступ фиксируются. Персональные данные обрабатываются в рамках KVKK (турецкий закон о защите персональных данных). [Безопасность и размещение](https://www.corex360.com/ru/bezopasnost)[KVKK: облако или собственный сервер](https://www.corex360.com/ru/blog/kvkk-oblako-ili-svoy-server) ## Термины, которые часто путают | [Оператор данных](https://www.corex360.com/ru/glossariy#veri-sorumlusu) | Оператор данных – это сторона, которая решает, зачем и как обрабатываются данные; чаще всего это компания, которая покупает программу. Договор фиксирует её указания. | | [Обработчик данных](https://www.corex360.com/ru/glossariy#veri-isleyen) | Обработчик – это сторона, которая обрабатывает данные от имени оператора и по его указаниям; типичный пример – поставщик облачной программы. Большинство обязательств по договору лежит на нём. | **Связанные термины:** [Обработчик данных](https://www.corex360.com/ru/glossariy#veri-isleyen), [Оператор данных](https://www.corex360.com/ru/glossariy#veri-sorumlusu), [VERBİS (Реестр операторов персональных данных)](https://www.corex360.com/ru/glossariy/verbis-reestr-operatorov-dannykh) ## Вопросы и ответы ### Обязывает ли KVKK заключать договор об обработке данных? KVKK не вводит отдельного требования к договору под таким названием. Но поскольку оператор данных вместе с обработчиком отвечает за меры безопасности, на практике эти меры обычно закрепляют письменным договором. В Европейском союзе такой договор прямо требует GDPR. ### Является ли поставщик облачной программы оператором по договору DPA? Как правило, нет. Поскольку он обрабатывает данные от имени своего клиента, он обработчик. Для данных, которые он обрабатывает в своих целях, например платёжных данных своих клиентов, он становится оператором. ### Что происходит с данными, когда договор об обработке данных заканчивается? Как указано в договоре: данные возвращаются оператору данных, удаляются или и то, и другое. Как документируется удаление, тоже должно быть в договоре. [Глоссарий программ для бизнеса](https://www.corex360.com/ru/glossariy) ## Связанные вопросы **[Вносятся ли в VERBİS данные самих людей?](https://www.corex360.com/ru/glossariy/verbis-reestr-operatorov-dannykh#sss)** Нет. В Реестр сообщают цели, группы лиц, категории данных, группы получателей, передачу за рубеж, меры безопасности и максимальный срок хранения (KVKK, ст. 16 ч. 3). Имя или телефон клиента в Реестр не вносятся. Была ли эта страница полезной?