Sözlük · Mevzuat ve veri
Veri işleme sözleşmesi (DPA) nedir?
Veri işleme sözleşmesi (DPA), kişisel veriyi başkası adına işleyen firma ile veri sorumlusu olan şirket arasında yapılan ve verinin hangi amaçla, nerede ve hangi tedbirlerle işleneceğini yazan sözleşmedir. Bulut yazılım, bordro hizmeti ve barındırma alırken gündeme gelir. KVKK'daki ortak güvenlik sorumluluğunu yazılı hale getirir.
Son güncelleme: · Yazar: Şevket Erer, Kurucu Ortak, Yapay Zekâ Uzmanı
Veri işleme sözleşmesi neden istenir?
Bir şirket müşteri kayıtlarını bulut bir CRM'e, bordro verisini bir hizmet sağlayıcıya ya da e-postasını bir barındırma firmasına emanet ettiğinde veri başka birinin sisteminde işlenmeye başlar. KVKK'ya göre veri sorumlusu, verinin kendi adına başkası tarafından işlenmesi halinde güvenlik tedbirlerinden o kişiyle birlikte sorumludur. Sözleşme bu ortak sorumluluğu yazılı hale getirir.
Sözleşme, sorun çıktığında başvurulacak metindir. Bir ihlal olduğunda kimin kime ne zaman haber vereceği, sözleşme bitince verinin iade mi edileceği yoksa silinecek mi olduğu ve alt yüklenici kullanılıp kullanılamayacağı önceden yazılmış olur.
Veri işleme sözleşmesinde neler yer alır?
Veri işleme sözleşmesi, hangi kişisel verinin hangi amaçla ve ne süreyle işleneceğini ve veri işleyenin yalnız veri sorumlusunun talimatıyla hareket edeceğini yazar. Erişim kontrolü, şifreleme, yedekleme ve erişim kaydı gibi tedbirler, ihlal bildiriminin süresi ve biçimi, verinin tutulduğu ülke ve sözleşme bitince verinin iadesi ya da silinmesi de sözleşmede yer alır.
- Konu ve amaç
Hangi kişisel verinin, hangi amaçla ve ne süreyle işleneceği.
- Talimat
Veri işleyenin yalnız veri sorumlusunun talimatıyla hareket edeceği.
- Güvenlik tedbirleri
Erişim kontrolü, şifreleme, yedekleme ve erişim kaydı gibi teknik ve idari tedbirler.
- İhlal bildirimi
Bir ihlal fark edildiğinde veri sorumlusuna ne kadar sürede ve nasıl haber verileceği.
- Yer ve aktarım
Verinin hangi ülkede tutulduğu; yurt dışına aktarım varsa dayanağı.
- Bitiş
Sözleşme bitince verinin iadesi ya da silinmesi ve bunun nasıl belgeleneceği.
Bir örnek
Özel bir klinik hasta randevularını bulut bir yazılıma taşımaya karar veriyor. Satın alma sırasında yazılım firmasından veri işleme sözleşmesi istiyor ve özellikle verinin hangi ülkede durduğuna, yedeklerin şifreli olup olmadığına ve sözleşme bitince verinin nasıl teslim edileceğine bakıyor. Cevaplar sözleşmede yazılı olduğu için klinik, yükümlülüklerini hangi belgeyle karşıladığını gösterebiliyor.
KVKK ve veri işleme hakkında hangi yanlışlar yaygındır?
Bulut yazılım satın alırken KVKK hakkında iki inanış sık duyulur: verinin mutlaka Türkiye'de durması gerektiği ve sözleşme imzalanınca sorumluluğun satıcıya geçtiği. Her maddede yaygın inanış, KVKK maddesine dayanan doğrusu ve mevzuat.gov.tr bağlantısı yer alır; sektörünüze özel kural için danışmanınıza sorun.
Yanlış: KVKK verinin her durumda Türkiye'de tutulmasını zorunlu kılar.
Doğrusu: KVKK yurt dışına aktarımı şarta bağlar: işleme şartlarından biri ve aktarılan ülke için yeterlilik kararı bulunursa aktarım yapılabilir; karar yoksa Kanun'da sayılan uygun güvencelerden biri aranır (KVKK m. 9). Özel düzenlemeye tabi bazı sektörlerde ayrıca yurt içinde saklama kuralı bulunabilir. KVKK m. 9
Yanlış: Veri işleme sözleşmesi imzalanınca güvenlik sorumluluğu tamamen yazılım firmasına geçer.
Doğrusu: Veri başkası tarafından işlense de veri sorumlusu güvenlik tedbirlerinin alınmasından o kişiyle birlikte müştereken sorumludur (KVKK m. 12/2). Sözleşme bu ortak sorumluluğu yazar, kaldırmaz. KVKK m. 12
Bu sayfa genel bilgidir, hukuki görüş değildir; mevzuat son olarak 25 Eylül 2026 tarihinde kontrol edildi. Resmi metin: Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr), Kişisel Verileri Koruma Kurumu (kvkk.gov.tr)
Corex360'ta nasıl görünür?
Corex360 iki biçimde çalışır: Corex360 Bulut'ta şirketinize özel alanda ya da kendi sunucunuzda; seçim sözleşmede yazılır. Her giriş, cihaz ve erişim kayda geçer. Kişisel veri KVKK kapsamında işlenir.
Sık karıştırılan terimler
| Veri sorumlusu | Veri sorumlusu verinin neden ve nasıl işleneceğine karar veren taraftır; çoğu zaman yazılımı satın alan şirket. Sözleşme onun talimatlarını yazar. |
|---|---|
| Veri işleyen | Veri işleyen, veri sorumlusunun adına ve talimatıyla veriyi işleyen taraftır; bulut yazılım firması tipik örnektir. Sözleşmedeki yükümlülüklerin çoğu onun üzerindedir. |
İlgili terimler: Veri işleyen, Veri sorumlusu, VERBİS (Veri Sorumluları Sicili)
Sık sorulanlar
KVKK veri işleme sözleşmesini zorunlu kılıyor mu?
KVKK bu adla ayrı bir sözleşme şartı koymaz. Ancak veri sorumlusu, adına veri işleyenle birlikte güvenlik tedbirlerinden sorumlu olduğu için bu tedbirleri yazılı bir sözleşmeyle belirlemek uygulamada yaygın yoldur. Avrupa Birliği'nde GDPR ise bu sözleşmeyi açıkça ister.
Bulut yazılım firması veri işleme sözleşmesinde veri sorumlusu mudur?
Çoğunlukla hayır. Müşterisi adına veri işlediği için veri işleyendir. Kendi amaçları için işlediği veriler, örneğin müşterisinin fatura bilgileri, için ise veri sorumlusu olur.
Veri işleme sözleşmesi bitince veriye ne olur?
Sözleşmede yazana göre veri, veri sorumlusuna iade edilir, silinir ya da ikisi birden yapılır. Silmenin nasıl belgeleneceği de sözleşmede yer almalıdır.
İlgili sorular
- VERBİS'e kişilerin kendi verisi girilir mi?
- Hayır. Sicile amaçlar, kişi grupları, veri kategorileri, alıcı grupları, yurt dışı aktarım, güvenlik tedbirleri ve azami saklama süresi bildirilir (KVKK m. 16/3). Bir müşterinin adı ya da telefonu sicile yazılmaz.
Bu sayfa işinize yaradı mı?