Veri işleyen sözleşmesi, sizin adınıza ve talimatınızla kişisel veri işleyen bir tedarikçiyle (bordro firması, bulut sağlayıcı, yazılım evi, çağrı merkezi) imzalanan ve verinin hangi amaçla, nasıl korunacağını, kime aktarılabileceğini ve iş bitince ne olacağını yazan sözleşmedir. KVKK'ya göre tedarikçinin güvenlik tedbirlerinden onunla birlikte siz de sorumlusunuz.
Kişisel veriniz sandığınızdan çok daha fazla kişinin elinde
Orta ölçekli bir şirketi düşünün. Bordroyu dışarıdaki bir müşavirlik firması hazırlıyor, CRM bir SaaS hizmeti, e-posta bulutta, web sitesinin formları bir ajansın sunucusunda, ziyaretçi kayıtlarını güvenlik firması tutuyor. Bu tedarikçilerin her biri çalışanların, müşterilerin ya da ziyaretçilerin kişisel verisini sizin adınıza işliyor.
Çoğu şirkette bu ilişkilerin dayanağı ya genel bir hizmet sözleşmesi ya da tek satırlık bir "taraflar KVKK'ya uyar" cümlesidir. Tedarikçinin veriyi nerede tuttuğu, kimlerin eriştiği, işi başka bir firmaya devredip devretmediği ve sözleşme bitince verinin silinip silinmediği yazılı değildir. Oysa bir denetimde ya da ihlal incelemesinde ilk sorulanlar tam da bu sorulardır.
Veri sorumlusu mu, veri işleyen mi? Rolü doğru belirlemek
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) iki rol tanımlar. Veri sorumlusu, kişisel verinin işlenme amacını ve yöntemini belirleyen taraftır; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek ya da tüzel kişidir. Ayrım unvana değil fiili ilişkiye bakar: tedarikçi veriyi yalnızca sizin talimatınızla ve sizin amacınız için işliyorsa veri işleyendir.
Kanun'un 12'nci maddesi, veri sorumlusunun kişisel verilerin kendi adına başkası tarafından işlenmesi hâlinde gerekli teknik ve idari tedbirlerin alınmasından o kişilerle birlikte müştereken sorumlu olduğunu söyler. Yani "işi dışarı verdik" demek sorumluluğu devretmez. Sözleşme, bu ortak sorumluluğun nasıl paylaşılacağını ve sizin tedarikçiyi nasıl denetleyeceğinizi gösteren tek somut araçtır.
Rol karışıklığı en çok şu durumlarda yaşanır:
| Tedarikçi | Tipik rolü | Dikkat edilecek nokta |
|---|---|---|
| Bordro / müşavirlik firması | Çoğunlukla veri işleyen | Özel nitelikli veri (sağlık raporu, sendika) içerebilir |
| Bulut e-posta ve dosya hizmeti | Veri işleyen | Sunucu konumu ve alt sağlayıcılar |
| Özel yazılım geliştiren firma | Veri işleyen (erişim varsa) | Test ortamında gerçek veri kullanımı |
| Çağrı merkezi, dış kaynak satış | Veri işleyen | Kayıtların saklama süresi |
| Banka, SGK, vergi dairesi | Ayrı veri sorumlusu | Veri işleyen sözleşmesi gerekmez, aktarım dayanağı gerekir |
| Kargo firması | Çoğunlukla ayrı veri sorumlusu | Kendi amaçları için de veri işler |
Rolü belirlemek, KVKK uyum sürecinin veri envanteri adımında yapılır; envanterdeki her "aktarılan alıcı grubu" satırı ya bir veri işleyen sözleşmesine ya da ayrı bir aktarım dayanağına bağlanmalıdır.
Sözleşmesiz tedarikçi ilişkisinin maliyeti
Üçüncü taraflarla paylaşım, Kurum'a yapılan şikâyetlerde ikinci sırada. KVKK 2025 Yılı Faaliyet Raporu verisine göre 2025'teki ihbar ve şikâyetlerin 2.838'i (%22) kişisel verilerin üçüncü kişilerle hukuka aykırı paylaşılmasıyla ilgiliydi; yalnızca hukuka aykırı işleme (%52) bu konunun önünde yer aldı.
Verizon'un 2026 raporuna göre üçüncü tarafın dahil olduğu ihlaller bir önceki yıla göre %60 artarak tüm ihlallerin %48'ine ulaştı; üçüncü taraf kurumların yalnızca %23'ü bulut hesaplarındaki eksik ya da zayıf çok faktörlü doğrulamayı tamamen giderdi. (Verizon 2026 Data Breach Investigations Report)
Tedarikçi yurt dışındaysa iş bir adım daha ağırlaşır. KVKK'nın standart sözleşme bildirim duyurusuna göre yurt dışı aktarımda kullanılan standart sözleşmeler, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir. Bu yükümlülüğün ayrıntısını yurt dışına veri aktarımı yazımızda anlattık; burada önemli olan, standart sözleşmenin veri işleyen sözleşmesinin yerini tutmayıp onu tamamlamasıdır.
Veri işleyen sözleşmesi içeriği: yazılması gereken 10 madde
KVKK, sözleşmenin şablonunu vermez; ancak Kanun'un 12'nci maddesindeki güvenlik yükümlülükleri ve ilgili kişi hakları, içeriği belirler. AB müşterisine hizmet veren şirketler için GDPR'ın 28'inci maddesi zaten asgari içeriği sayar; iki rejimi tek metinde karşılamak mümkündür. Uygulamada şu 10 madde olmadan sözleşme eksik kalır:
- Konu, amaç ve süre. Hangi hizmet için, hangi kişi gruplarının (çalışan, müşteri, ziyaretçi) hangi veri kategorilerinin işleneceği ve işlemenin ne kadar süreceği.
- Yalnızca yazılı talimatla işleme. Tedarikçi veriyi kendi amacı için (ürün geliştirme, pazarlama, yapay zeka modeli eğitimi dahil) kullanamaz; talimat dışı işlemeyi fark ederse size bildirir.
- Gizlilik taahhüdü. Veriye erişen tedarikçi personelinin gizlilik yükümlülüğü altında olması ve erişimin bilmesi gerekenle sınırlı tutulması.
- Teknik ve idari tedbirler. Şifreleme, erişim yetkilendirmesi, çok faktörlü doğrulama, loglama, yedekleme ve zafiyet yönetimi somut olarak yazılır; "gerekli tedbirleri alır" demek yetmez. Asgari tedbirlerin neler olduğunu görmek için KOBİ siber güvenlik kontrol listesi iyi bir referanstır.
- Alt veri işleyen. Tedarikçinin işi başka bir firmaya (ör. barındırma sağlayıcısına) vermesi sizin önceden yazılı onayınıza bağlanır; güncel alt işleyen listesi ekte tutulur ve değişiklik önceden bildirilir.
- Veri konumu ve yurt dışı aktarım. Verinin hangi ülkede ve hangi veri merkezinde tutulacağı; yurt dışı aktarım varsa dayanağı ve standart sözleşme bildirimini kimin yapacağı.
- İhlal bildirimi. Tedarikçinin bir ihlali size gecikmeksizin ve tanımlı bir süre içinde, olayın kapsamını içeren bilgilerle bildirmesi. Sizin Kurul'a bildirim süreniz işlediği için bu madde 72 saatlik müdahale planının parçasıdır.
- İlgili kişi taleplerine destek. Bir çalışan ya da müşteri verisinin silinmesini istediğinde tedarikçinin bu talebi sizin yasal süreniz içinde karşılamanıza yardımcı olması.
- Denetim hakkı. Belge isteme, soru formu gönderme ve gerektiğinde yerinde ya da uzaktan denetim yapma hakkı; bağımsız denetim raporlarının paylaşılması.
- Sözleşme sonunda iade ve imha. İlişki bittiğinde verinin sizin seçtiğiniz biçimde iadesi ve tüm kopyaların (yedekler dahil) imhası, imhanın tutanakla belgelenmesi. Süreler saklama ve imha politikanızla uyumlu olmalıdır.
Bu maddeler bir yazılım projesinde kaynak kodu ve fikri mülkiyet hükümleriyle yan yana durur; o tarafı yazılım sözleşmesinde kaynak kodu yazımızda ele aldık.
Mevcut tedarikçilerinizi 4 adımda sözleşmeye bağlayın
Yeni tedarikçide işi baştan doğru kurmak kolaydır; zor olan, yıllardır çalıştığınız firmaları sonradan sözleşmeye bağlamaktır. Önerdiğimiz sıra şudur:
- Envanterden tedarikçi listesi çıkarın. Kişisel veriye erişen her dış firmayı, işlediği veri kategorisini ve verinin nerede durduğunu tek tabloda toplayın. VERBİS kaydınızdaki alıcı grupları iyi bir başlangıç listesidir.
- Riske göre önceliklendirin. Özel nitelikli veri, büyük kişi sayısı, yurt dışında barındırma ve sistemlerinize uzaktan erişim yüksek riskli tedarikçiyi belirler; önce bunlarla başlayın.
- Sözleşme ekini ve soru formunu gönderin. Ana hizmet sözleşmesini yeniden açmak yerine veri işleyen eki ve kısa bir güvenlik soru formu çoğu zaman daha hızlı sonuç verir. Soru formunun kapsamını ve puanlamasını tedarikçi bilgi güvenliği değerlendirmesi yazımızda ayrıntılı anlattık.
- Kanıtla doğrulayın ve takvime bağlayın. Yazılan tedbirin gerçekten uygulandığını (erişim listesi, şifreleme ayarı, yedek raporu) görün ve yıllık gözden geçirme tarihini belirleyin.
Tedbirleri kâğıtta bırakmamak için teknik kontrol şarttır. ISO 27001 çerçevesi tedarikçi ilişkileri için hazır bir denetim dili sunar; veri sızıntısını teknik olarak sınırlamak için de DLP yaklaşımı sözleşmedeki taahhütleri sistem tarafında destekler.
Özel yazılım, bulut geçişi ve entegrasyonda sık atlanan noktalar
Veri işleyen ilişkisi yalnızca "hizmet satın alma" anında doğmaz. Bir yazılım firmasına canlı veritabanının kopyasını test için vermek, bir bulut geçişinde eski dosya sunucusunu taşıyan ekibe tam yetki açmak ya da iki sistemi bağlayan entegratöre API anahtarı vermek de bu kapsama girer.
Buluta geçerken sözleşme ile mimari birlikte düşünülmelidir: verinin konumu, yedeklerin nerede tutulduğu ve sağlayıcının alt işleyenleri, dosya sunucusundan buluta geçiş planının ilk sorularıdır. Aynı mantık bulut geçişi maliyet kalemlerinde de geçerlidir; uyum eksiklikleri sonradan düzeltilmesi en zahmetli kalemler arasındadır.
Yapay zeka araçları ayrı bir dikkat ister. Çalışanların belge yüklediği bir hizmetin veriyi model eğitimi için kullanıp kullanmadığı, sözleşmenin 2'nci maddesiyle doğrudan ilgilidir; ayrıntısı ChatGPT ve şirket verisi yazımızda. Bordro gibi yoğun kişisel veri taşıyan entegrasyonlarda ise PDKS–bordro entegrasyonunda hangi alanların aktarıldığını sınırlamak, sözleşmedeki veri kategorisi tanımını pratiğe döker.
Digital Bridge'de bu işi nasıl yapıyoruz?
Veri işleyen sözleşmesi hukuki bir metindir; hukuki görüşü sizin avukatınız verir. Bizim katkımız, sözleşmeye yazılan tedbirlerin teknik olarak doğru tanımlanması ve sistemlerde gerçekten uygulanmasıdır.
- Keşif ve envanter. KVKK uyum danışmanlığı kapsamında kişisel veriye erişen tedarikçileri, veri akışlarını ve erişim yollarını çıkarıyor, her ilişki için rolü (veri işleyen ya da ayrı veri sorumlusu) netleştiriyoruz.
- Teknik ek ve soru formu. Sözleşmenin tedbirler ekini ve tedarikçiye gönderilecek güvenlik soru formunu, siber güvenlik danışmanlığı deneyimimizle somut ve ölçülebilir hâle getiriyoruz.
- Bulut ve altyapı kararları. Buluta taşınan sistemlerde veri konumu, yedekleme ve alt sağlayıcı sorularını bulut geçiş ve altyapı danışmanlığı sürecinin başına koyuyoruz.
- Entegrasyonda veri en aza indirme. Sistemler arası bağlantıları API entegrasyonu projelerinde yalnızca gereken alanları taşıyacak, erişimi kayıt altında tutacak şekilde kuruyoruz.
İmzalı sözleşmelerin ve eklerin takibi için kendi ürünümüz SmartFiles kurumsal dosya yönetimi bir seçenektir: ana sözleşme ile veri işleyen eki birbirine bağlanır, son metin birim müdürü, hukuk ve genel müdür gibi sıralı bir onaydan geçer ve yıllık gözden geçirme tarihi belgeye hatırlatma olarak eklenir. Sözleşme klasörüne erişim kişi ya da departman bazında verilir; klasördeki hareketler etkinlik geçmişinde kalır.
Önce yüksek riskli birkaç tedarikçiyle şablonu oturtmayı, ardından kalan listeye yaymayı öneriyoruz. Aynı kural bizim için de geçerlidir: bir projede kişisel verinize erişmemiz gerekiyorsa, bu ilişkinin de yazılı bir veri işleyen sözleşmesine dayanması gerekir.
Sonraki adım
Kişisel veriye erişen tedarikçilerinizi bir sayfada listeleyin ve yanına "yazılı veri işleyen sözleşmesi var mı?" sütununu ekleyin. Boş kalan satırlar önceliğinizdir. Listeyi birlikte değerlendirmek için iletişim sayfamızdan bize ulaşın; konuyla ilgili diğer yazılar Siber Güvenlik ve KVKK merkezinde toplu durur.