Veri İşleme Sözleşmesi (DPA) Nedir?

Hosting, sunucu veya e-posta hizmeti alan her şirket, müşteri ve çalışan verilerini bir şekilde üçüncü bir tarafa emanet eder. Bu emanetin sınırlarını yazıya dökmenin yolu ise bir sözleşmedir. Veri İşleme Sözleşmesi DPA nedir sorusunun cevabı, hangi verinin kim tarafından, hangi amaçla ve hangi güvenlik önlemleriyle işlendiğini netleştiren bu belgede yatıyor.

İçindekiler

• Veri İşleme Sözleşmesi
• Veri İşleme Sözleşmesi DPA Nedir
• DPA Nedir: Kısa Tanım ve Kapsam
• KVKK Uyumlu Hizmet Ne Demek
• KVKK Uyumlu Sanal Sunucu
• KVKK Uyumlu Mail Hosting
• KVKK Uyumlu Kurumsal E-posta
• KVKK Uyumlu Web Hosting
• KVKK Uyumlu VDS ve VPS
• KVKK Uyumlu Cloud Server ve Cloud Sunucu
• KVKK Uyumlu Bulut ve Bulut Sunucu
• Veri İşleme Sözleşmesi Örneği
• KVKK Sözleşmesi Örneği
• Sıkça Sorulan Sorular

Veri İşleme Sözleşmesi

Veri işleme sözleşmesi, kişisel verileri bir başkası adına işleyen taraf ile verinin sahibi konumundaki şirket arasında imzalanan yazılı düzenlemedir. Amaç, işleme faaliyetinin sınırlarını, tarafların yükümlülüklerini ve güvenlik standartlarını belgelemektir.

Bir e-ticaret sitesi sahibi, sipariş verilerini barındıran hosting firmasına veriyi kendi amacı için kullanma yetkisi vermez; yalnızca barındırma hizmeti için erişim tanır. Sözleşme bu ayrımı resmîleştirir.

Veri İşleme Sözleşmesi DPA Nedir

DPA (Data Processing Agreement), veri sorumlusu ile veri işleyen arasındaki ilişkiyi tanımlayan sözleşmenin uluslararası kısaltmasıdır. Türkiye'de aynı işlevi gören belge genellikle "veri işleme sözleşmesi" veya "veri işleyen sözleşmesi" olarak anılır.

Kavramın kökeni GDPR'a dayanır. 6698 sayılı KVKK'da "DPA" adıyla bir zorunluluk geçmez; ancak 12. madde veri sorumlusunu, veri işleyenin aldığı tedbirlerden müştereken sorumlu tutar. Bu nedenle uygulamada yazılı bir sözleşme neredeyse standart hâle gelmiştir.

DPA Nedir: Kısa Tanım ve Kapsam

DPA, kişisel verinin hangi kapsamda işleneceğini, ne kadar saklanacağını ve sözleşme bittiğinde ne olacağını belirleyen teknik ve hukuki bir ekdir. Hizmet sözleşmesinin yerine geçmez, onu tamamlar.

Tipik bir DPA şu başlıkları içerir:

1. İşlemenin konusu, süresi ve amacı
2. İşlenen veri kategorileri ve ilgili kişi grupları
3. Teknik ve idari güvenlik tedbirleri
4. Alt işleyen (taşeron) kullanımı ve bilgilendirme şartları
5. Veri ihlali bildirim süreci
6. Sözleşme sonunda verinin silinmesi veya iadesi
7. Denetim ve bilgi talebi hakları

KVKK Uyumlu Hizmet Ne Demek

KVKK uyumlu hizmet, sağlayıcının kişisel veriyi yalnızca talimat doğrultusunda işlemesi, gerekli güvenlik tedbirlerini alması ve bunu sözleşmeyle taahhüt etmesidir. Tek başına bir sertifika ya da etiketle sağlanmaz.

Uyum paylaşılan bir sorumluluktur. Sağlayıcı altyapıyı ve erişim kontrollerini yönetir; siz ise sunucuya hangi veriyi yüklediğinize, aydınlatma metinlerine ve yetki yönetimine karar verirsiniz.

Uyarı: "KVKK uyumlu" ifadesi, sizin kendi yükümlülüklerinizi ortadan kaldırmaz. VERBİS kaydı, aydınlatma metni ve saklama politikası veri sorumlusu olarak size aittir.

KVKK Uyumlu Sanal Sunucu

KVKK uyumlu sanal sunucu, kişisel veri barındıran sanallaştırılmış ortamın erişim, yedekleme ve izolasyon kontrolleriyle sunulmasıdır. Sanallaştırma tek başına uyum sağlamaz; yapılandırma belirleyicidir.

Sunucuda SSH anahtarı kullanmak, gereksiz portları kapatmak, yedekleri şifrelemek ve erişim kayıtlarını tutmak sizin tarafınızdaki temel adımlardır. Sağlayıcıdan ise fiziksel güvenlik ve altyapı yönetimi beklenir.

KVKK Uyumlu Mail Hosting

KVKK uyumlu mail hosting, e-posta içeriklerinin ve kullanıcı bilgilerinin yetkisiz erişime karşı korunduğu, sözleşmeyle çerçevelenmiş bir hizmettir. E-postalar çoğu zaman kimlik, sözleşme ve fatura verisi taşır.

SPF, DKIM ve DMARC kayıtları, TLS ile iletim şifrelemesi ve spam filtreleme bu hizmette aranacak teknik ölçütlerdir.

KVKK Uyumlu Kurumsal E-posta

KVKK uyumlu kurumsal e-posta, kendi alan adınız üzerinden çalışan ve çalışan hesaplarının yönetilebildiği e-posta altyapısıdır. Kişisel adreslerin aksine, hesap kontrolü şirkette kalır.

Bir çalışan ayrıldığında hesabı devretmek veya arşivlemek mümkün olur. Bu, saklama ve imha süreçlerini yönetmenin pratik bir yoludur.

KVKK Uyumlu Web Hosting

KVKK uyumlu web hosting, formlar, üyelik sistemleri ve sipariş kayıtlarıyla toplanan verilerin güvenli ortamda barındırılmasıdır. İletişim formu bile kişisel veri toplar.

SSL sertifikası, düzenli yedek, güncel PHP sürümü ve WAF gibi önlemler barındırma tarafında beklenen asgari seviyedir. Çerez onayı ve aydınlatma metni ise site sahibinin görevidir.

KVKK Uyumlu VDS ve VPS

KVKK uyumlu VDS ve VPS çözümleri, yönetim yetkisinin size geçtiği sanal sunucu modelleridir. Root erişimi esneklik sağlar, ancak güvenlik yapılandırmasının sorumluluğunu da büyütür.

VDS'te kaynaklar daha ayrıştırılmış tahsis edilir; VPS ise genellikle paylaşımlı fiziksel donanım üzerinde çalışır. Veri güvenliği açısından asıl fark, yapılandırma disiplinidir.

KVKK Uyumlu Cloud Server ve Cloud Sunucu

KVKK uyumlu cloud server ve cloud sunucu, kaynakların esnek ölçeklendiği bulut tabanlı sunucu hizmetidir. Ölçeklenebilirlik avantajdır; verinin nerede tutulduğunu bilmek ise uyum açısından kritik.

Sözleşmede veri merkezinin konumu, alt işleyenler ve yedeklerin nerede saklandığı açıkça yazmalıdır.

KVKK Uyumlu Bulut ve Bulut Sunucu

KVKK uyumlu bulut ve bulut sunucu yaklaşımında temel soru, verinin yurt içinde mi yurt dışında mı işlendiğidir. KVKK'nın 9. maddesi yurt dışına aktarımı ayrı şartlara bağlar.

Bu madde 2024'te yapılan değişiklikle yeniden düzenlendi. Yurt dışına aktarım planlıyorsanız güncel mevzuatı ve Kurum duyurularını kontrol edin.

Veri İşleme Sözleşmesi Örneği

İyi bir veri işleme sözleşmesi örneği, soyut ifadeler yerine ölçülebilir taahhütler içerir. Örneğin "uygun güvenlik tedbirleri" yerine "yedeklerin şifrelenmesi" gibi somut ifadeler tercih edilmelidir.

Örnek madde: *"Veri işleyen, kişisel verileri yalnızca veri sorumlusunun yazılı talimatları doğrultusunda işler ve hizmet sona erdiğinde verileri talep üzerine iade eder veya siler."*

İpucu: Hazır şablonu olduğu gibi imzalamayın. Hizmet türünüze göre veri kategorilerini ve silme sürelerini kendi durumunuza uyarlayın.

KVKK Sözleşmesi Örneği

"KVKK sözleşmesi" çoğu zaman veri işleme sözleşmesini, bazen de aydınlatma metni veya gizlilik taahhüdünü ifade eder. Hangi belgenin kastedildiğini baştan ayırmak gerekir.

Netlen'de KVKK Uyumlu Veri İşleme Sözleşmesi

Netlen'de sunulan hizmetler KVKK uyumlu olarak yapılandırılmıştır. Müşteriler, KVKK uyumlu Veri İşleme Sözleşmesi'ni (DPA) müşteri paneli üzerinden kolayca temin edebilir; ayrıca hukuki süreç için ayrı yazışma yapmaya gerek kalmaz.

Sıkça Sorulan Sorular

DPA zorunlu mu?

KVKK metninde "DPA" adıyla bir zorunluluk yok. Ancak 12. madde, veri sorumlusunun veri işleyenle birlikte güvenlik tedbirlerinden sorumlu olmasını öngörür. Bu sorumluluğu belgelemek için yazılı sözleşme fiilen gereklidir. Denetim veya ihlal durumunda tarafların rollerini ispat etmek de sözleşmeyle kolaylaşır.

DPA ile hizmet sözleşmesi aynı şey midir?

Hayır. Hizmet sözleşmesi ticari şartları (ücret, süre, kapsam) düzenler. DPA ise yalnızca kişisel verinin işlenme şartlarını belirler. Çoğu zaman hizmet sözleşmesine ek olarak imzalanır ve çelişki durumunda hangisinin geçerli olacağı hükme bağlanır.

Hosting firması veri sorumlusu mudur, veri işleyen mi?

Genellikle veri işleyendir; çünkü müşterinin sitesindeki verileri kendi amaçları için kullanmaz. Ancak kendi müşteri kayıtları, faturalama ve iletişim bilgileri söz konusu olduğunda aynı firma o veriler için veri sorumlusu olur.

Kendi sunucumda KVKK uyumu kime aittir?

VPS veya VDS'te işletim sistemi, uygulama ve erişim yönetimi sizdedir. Sağlayıcı altyapı güvenliğini üstlenir; sunucudaki yapılandırma, güncellemeler ve yetkilendirme sorumluluğu ise size aittir. Bu paylaşım DPA'da açıkça belirtilmelidir.

Alt işleyen nedir, neden önemlidir?

Alt işleyen, veri işleyenin hizmeti sunmak için başka bir firmadan aldığı destektir; örneğin yedekleme veya veri merkezi sağlayıcısı. Verinin sizin bilginiz dışında üçüncü kişilere ulaşmaması için DPA'da alt işleyen listesi ve değişiklik bildirimi yer almalıdır.

Veri ihlali olursa ne yapılır?

Veri işleyen, ihlali fark ettiğinde gecikmeden veri sorumlusuna bildirmelidir. Veri sorumlusu ise KVKK kapsamında ihlali en geç 72 saat içinde Kurula bildirmekle yükümlüdür. DPA'da bildirim süresi ve iletişim kanalı net olmalıdır.

Sözleşme bittiğinde veriler ne olur?

DPA, verilerin iade edilmesini veya silinmesini düzenler. Silme için süre ve yöntem tanımlanmalıdır. Yedekler dahil tüm kopyaların imhası ve talep halinde yazılı teyit alınması, sözleşme bitişinde güvenli bir çıkış sağlar.

Yurt dışındaki sunucuya veri koyabilir miyim?

Mümkündür, ancak KVKK'nın 9. maddesindeki aktarım şartlarına uymanız gerekir. Bu şartlar 2024'te güncellendi. Aktarım dayanağını belirlemeden önce güncel mevzuatı ve Kurul duyurularını inceleyin, gerekirse hukuk danışmanından destek alın.

KVKK uyumlu hosting seçerken nelere bakmalıyım?

Veri merkezinin konumuna, DPA sunulup sunulmadığına, yedekleme politikasına, şifreleme uygulamalarına, destek kanallarına ve ihlal bildirim sürecine bakın. Fiyat yanında bu şeffaflık da karar kriteri olmalıdır.

Hazır DPA şablonunu olduğu gibi kullanabilir miyim?

Şablon iyi bir başlangıçtır, ancak olduğu gibi imzalamak risklidir. Veri kategorileri, saklama süreleri ve güvenlik tedbirleri iş modelinize göre değişir. Şablonu kendi hizmet yapınıza uyarlayın ve gerekiyorsa hukuk danışmanıyla gözden geçirin.

Sonuç ve Yönlendirme

Veri işleme sözleşmesi, hosting veya bulut hizmeti alırken çoğu zaman göz ardı edilen ama sorun çıktığında ilk bakılan belgedir. Netlen müşterileri, KVKK uyumlu DPA'yı müşteri paneli üzerinden temin edebilir. Hizmetleri incelemek için netlen.com.tr adresini ziyaret edebilirsiniz.

İlgili içerikler

• KVKK Nedir ve Şirketleri Nasıl Etkiler?
• VPS ile VDS Arasındaki Farklar
• Bulut Sunucu Nedir, Nasıl Seçilir?
• Kurumsal E-posta Güvenliği İçin SPF, DKIM ve DMARC Rehberi
• Web Sitesi İçin Aydınlatma Metni Nasıl Hazırlanır?