Veri İşleyen Sözleşmesi (DPA) ve Tedarikçi Risk Yönetimi — KVKK m.12 Rehberi

"Bizi bulut sağlayıcısı yönetiyor, KVKK onların sorunu." Bu cümle, uyum toplantılarında hâlâ duyuluyor — ve hukuken geçersiz. 6698 sayılı Kanun'da kişisel verilerin işlenmesi için yetkilendirilen taraflar veri işleyen sayılır; veri sorumlusu ise işleme faaliyetinin amacını ve araçlarını belirleyen tüzel kişidir. Dış kaynak kullanımı, veri sorumluluğunu devretmez; aksine gözetim, denetim ve sözleşmesel güvence yükümlülüğünü beraberinde getirir.

KVKK'nın 12. maddesi, veri sorumlusunun veri güvenliğine ilişkin yükümlülüklerini düzenler; veri işleyenle yapılan sözleşmede asgari unsurları zorunlu kılar. 9. madde ise yurt dışına aktarım şartlarını belirler — çoğu SaaS tedarikçisi bu kapsamdadır. Bu rehber, DPA'da bulunması gereken maddeleri, tedarikçi denetim pratiğini ve alt-işleyen kontrolünü somut adımlarla açıklar.

"Dış kaynak kullanıyorum, o sorumlu" — neden güvensiz?

Veri sorumlusu ile veri işleyen arasındaki ayrım, sorumluluğun paylaşıldığı anlamına gelmez. Kanun'un 12. maddesinin 1. fıkrası, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbirleri almakla yükümlü olduğunu hükme bağlar. Bu yükümlülük, veriyi üçüncü bir tarafa devrettiğinizde sona ermez.

Pratikte şu senaryolar sık görülür:

Kurul, veri sorumlusunun veri işleyeni seçerken gerekli özeni göstermesini ve işleyenin aldığı tedbirleri denetlemesini bekler. İhlal durumunda idari para cezası öncelikle veri sorumlusuna uygulanır; veri işleyene karşı tazminat hakkı ayrıca saklıdır.

KVKK m.12: sözleşmede bulunması zorunlu maddeler

Kanun'un 12. maddesinin 3. fıkrası, veri sorumlusu ile veri işleyen arasındaki sözleşmede yer alması gereken asgari unsurları sayar. Bu maddeler, Data Processing Agreement (DPA) veya veri işleme eki (schedule) olarak düzenlenir:

İşleme talimatı (Processing Instructions)

Veri işleyen, veri sorumlusunun yazılı talimatları dışında kişisel veri işleyemez. Bu madde, SaaS sözleşmelerinde sık atlanır: "Hizmet sağlayıcı, hizmet kalitesini artırmak için anonim analiz yapabilir" gibi geniş ifadeler, talimat dışı işleme riski doğurur. DPA'da işleme amacı dar ve spesifik tanımlanmalıdır.

Gizlilik yükümlülüğü

Veri işleyenin personeli de kişisel verilere erişebilir. Sözleşmede, veri işleyenin çalışanlarının gizlilik yükümlülüğü altında olduğu ve bu yükümlülüğün sözleşme sonrasında da devam ettiği belirtilmelidir.

Alt-işleyen (Sub-processor) onayı

Bulut sağlayıcıları, CDN'ler veya alt yükleniciler kişisel veriye erişebilir. KVKK, alt-işleyen kullanımında veri sorumlusunun onayını ve alt-işleyenle de aynı düzeyde koruma sağlanmasını öngörür. DPA'da:

• Mevcut alt-işleyenlerin listesi (ek veya web sayfası)
• Yeni alt-işleyen eklendiğinde bildirim süresi (örn. 30 gün)
• İtiraz hakkı ve alternatif sunma yükümlülüğü

Google Cloud, AWS ve Microsoft Azure gibi büyük sağlayıcılar alt-işleyen listelerini web'de yayınlar; ancak bu listeyi takip etmek ve envanterinizde güncel tutmak sizin sorumluluğunuzdadır.

Denetim hakkı

Veri sorumlusu, veri işleyenin aldığı teknik ve idari tedbirleri denetleyebilmelidir. Pratikte tam fiziksel denetim yerine:

• Yıllık SOC 2 Type II veya ISO 27001 sertifikası kabulü
• Güvenlik anketi (SIG Lite, CAIQ)
• Kritik tedarikçilerde yerinde veya sanal denetim

sözleşmede tanımlanır. "Denetim hakkımız saklıdır" ifadesi tek başına yeterli değildir; denetim kapsamı, sıklığı ve maliyet paylaşımı net olmalıdır.

İhlal bildirimi

Veri işleyen, kişisel veri ihlalini öğrendiği anda veri sorumlusuna bildirmelidir. 72 saatlik Kurul bildirim süresi (m.12/5) veri sorumlusuna ait olduğundan, DPA'da veri işleyenin bildirim süresi 24 saat veya daha kısa olarak belirlenmelidir; aksi halde 72 saatlik pencere daralır.

Yurt dışı aktarım: m.9 bağlantısı

Türkiye dışında sunucusu bulunan her SaaS tedarikçisi, kişisel verilerin yurt dışına aktarımı anlamına gelir. Veri işleme envanteri nasıl hazırlanır rehberinde anlatıldığı gibi, her tedarikçi envanterde "alıcı" veya "veri işleyen" olarak işaretlenmeli; yurt dışı aktarım varsa m.9 şartları belirtilmelidir.

KVKK'nın 9. maddesi, kişisel verilerin yurt dışına aktarımı için şu yollardan birinin kullanılmasını öngörür:

ABD merkezli SaaS sağlayıcıları için yeterlilik kararı bulunmamaktadır. Bu durumda:

1. DPA'da yurt dışı aktarım maddesi ve taahhütname
2. Gerekirse Kurul'dan izin başvurusu
3. Envanterde aktarım amacı, veri kategorisi ve alıcı ülke kaydı

2024 sonrası AB-Türkiye yeterlilik kararı tartışmaları devam etse de, mevcut uygulamada yazılı taahhüt ve Kurul izni en yaygın yoldur. Hukuk danışmanınızla güncel durumu doğrulayın.

Tedarikçi risk yönetimi: pratik çerçeve

TPRM (Third-Party Risk Management), tedarikçi yaşam döngüsünü sistematik yönetmek için kullanılan çerçevedir. KVKK uyumunda dört aşama:

1. Envanterleme ve sınıflandırma

Tüm tedarikçileri listeleyin; kişisel veri işleyenleri ayırın. Her tedarikçi için:

Bu bilgiler veri işleme envanterinizin "alıcı / veri işleyen" sütununda yer almalıdır. Excel'de dağınık tutulan liste, tedarikçi değiştiğinde güncellenmez; canlı envanter platformu bu sorunu çözer.

2. Due diligence (önceden değerlendirme)

Yeni tedarikçi onboarding'inde:

• KVKK / GDPR uyum beyanı
• Güvenlik sertifikaları (ISO 27001, SOC 2)
• Alt-işleyen listesi
• Veri silme prosedürü
• İhlal bildirim süreci

sorulmalıdır. Yüksek riskli tedarikçilerde (sağlık verisi, finansal veri, büyük hacim) ek hukuk incelemesi yapılır.

3. Sözleşme ve DPA

Standart satın alma sözleşmesine KVKK eki eklenmelidir. Tedarikçi kendi DPA şablonunu sunuyorsa, m.12/3 unsurlarının karşılandığı kontrol edilmelidir. Eksik maddeler için ek protokol imzalanır.

4. Sürekli izleme

DPA imzalamak tek seferlik bir iş değildir:

• Yıllık güvenlik anketi gönderimi
• Alt-işleyen değişiklik bildirimlerinin takibi
• Sertifika yenileme tarihlerinin izlenmesi
• Sözleşme bitiş tarihinde veri silme/onay

Denetim soru listesi (örnek)

Tedarikçi değerlendirmesinde kullanılabilecek sorular:

1. Kişisel veriler hangi sunucu lokasyonlarında işleniyor?
2. Veri şifreleme (at-rest, in-transit) nasıl uygulanıyor?
3. Son 12 ayda veri ihlali yaşandı mı? Bildirim süreci nasıl işledi?
4. Alt-işleyen listesi güncel mi? Yeni alt-işleyen eklendiğinde bildirim süresi nedir?
5. Sözleşme sonlandığında veri silme süresi ve yöntemi nedir?
6. Veri sorumlusunun denetim hakkını kullanma prosedürü nedir?
7. Çalışan gizlilik eğitimi ve erişim kontrolü nasıl sağlanıyor?
8. Yedekleme ve felaket kurtarma planında kişisel veri nasıl korunuyor?

Yanıtlar, tedarikçi dosyasında saklanmalı ve denetimde sunulabilmelidir.

Alt-işleyen zinciri: görünmez risk

Bir SaaS tedarikçisi, verilerinizi başka bir bulut sağlayıcısında barındırabilir; o sağlayıcı da CDN veya analitik servisi kullanabilir. Üç katmanlı bir zincirde hangi tarafın ne veriye eriştiğini bilmiyorsanız, envanteriniz eksiktir.

Kontrol adımları:

1. Ana tedarikçiden alt-işleyen listesini alın.
2. Her alt-işleyen için veri konumu ve işleme amacını kaydedin.
3. Kritik alt-işleyenler için ayrı DPA veya ana sözleşmede alt-işleyen maddesi yeterli mi değerlendirin.
4. Envanterde "alt veri işleyen" olarak işaretleyin.

Lexidata TPRM modülü ile tedarikçi yönetimi

Manuel Excel takibi, onlarca tedarikçi ve yıllık yenileme döngüsünde sürdürülebilir değildir. Lexidata TPRM modülü şunları sağlar:

• Tedarikçi envanteri: Kişisel veri işleyen tedarikçiler, veri kategorileri ve risk seviyesi tek panelde.
• DPA takibi: Sözleşme durumu, bitiş tarihi, eksik madde uyarıları.
• Alt-işleyen kaydı: Ana tedarikçiye bağlı alt-işleyen listesi ve değişiklik bildirimleri.
• Denetim anketi: Şablon soru listesi gönderimi ve yanıt arşivi.
• Envanter entegrasyonu: Tedarikçi bilgileri veri işleme envanteriyle senkron; alıcı/veri işleyen sütunu otomatik dolar.

Veri sorumluluğu devredilemez; ancak gözetim yükümlülüğü sistematik bir süreçle yönetilebilir. Lexidata ile tedarikçi riskinizi envanterinizden kopuk tutmayın.

Lexidata'yı keşfedin: lexidata.io — KVKK uyum platformu; TPRM, canlı veri envanteri ve çerez rıza modülleri.

İlgili yazılar