> Kaynak / Yazar: Av. Kazım Ceylan Hukuk Bürosu (İstanbul Barosu, Sicil No: 78121) — https://www.kazimceylan.av.tr/kisisel-veri-isleme-sozlesmesi # Kişisel Veri İşleme Sözleşmesi Örneği **Kategori:** Bilişim Hukuku, Örnek Dilekçe ### Özet Kişisel veri işleme sözleşmesi, veri sorumlusunun kişisel verileri kendi adına işlemesi için yetki verdiği veri işleyenle arasında Kişisel Verilerin Korunması Kanunu 12. maddesi uyarınca işleme amacını, talimata bağlılığı, teknik ve idari güvenlik tedbirlerini, alt işleyen kullanımını, veri ihlali bildirimini, denetim hakkını ve sözleşme sonunda verilerin iadesi veya imhasını düzenleyen sözleşmedir. ### İçerik \[dilekce\_ornegi baslik="Kişisel Veri İşleme Sözleşmesi Örneği"\] KİŞİSEL VERİ İŞLEME SÖZLEŞMESİ 1. TARAFLAR VERİ SORUMLUSU : {Unvan} – Vergi No: {Numara} – Adres: {Adres} – VERBİS Kayıt No: {Numara} VERİ İŞLEYEN : {Unvan} – Vergi No: {Numara} – Adres: {Adres} 2. KONU VE KAPSAM 2.1. Bu sözleşme, taraflar arasındaki {Tarih} tarihli {Ana Sözleşme: yazılım lisans / bordro hizmeti / çağrı merkezi / bulut barındırma} sözleşmesi ("Ana Sözleşme") kapsamında veri işleyenin veri sorumlusu adına kişisel veri işlemesine ilişkin şartları düzenler. 2.2. İşlenen veri kategorileri: {Kimlik, iletişim, özlük, finans, müşteri işlem, …}; ilgili kişi grupları: {Çalışan, müşteri, tedarikçi, …}; işleme amacı: {Amaç}; işleme faaliyetleri: {Saklama, erişim, analiz, …}. 3. VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ 3.1. Kişisel verileri yalnızca veri sorumlusunun yazılı talimatları doğrultusunda ve Ana Sözleşme amacıyla sınırlı olarak işler; kendi amaçları için kullanamaz. 3.2. Talimatın mevzuata aykırı olduğu kanaatindeyse veri sorumlusunu derhal bilgilendirir. 3.3. Kişisel verilere erişen personelini gizlilik yükümlülüğü altına alır ve erişimi görev gereği ihtiyaç duyanlarla sınırlar. 3.4. Kişisel Verileri Koruma Kurumu'nun yayımladığı Kişisel Veri Güvenliği Rehberi'ndeki teknik ve idari tedbirleri ve EK-1'de sayılan ek tedbirleri uygular. 3.5. Kişisel verileri {Ülke} sınırları içindeki sunucularda işler; yurt dışına aktarım yalnızca veri sorumlusunun yazılı onayı ve Kanun'un 9. maddesindeki şartların sağlanmasıyla yapılır. 4. ALT VERİ İŞLEYEN 4.1. Veri işleyen, veri sorumlusunun önceden yazılı onayı olmaksızın alt işleyen kullanamaz; onaylı alt işleyenler EK-2'de listelenmiştir. 4.2. Veri işleyen, alt işleyenle bu sözleşmedeki yükümlülükleri içeren yazılı sözleşme yapar ve alt işleyenin fiillerinden veri sorumlusuna karşı sorumludur. 5. VERİ İHLALİ BİLDİRİMİ 5.1. Veri işleyen, işlediği kişisel verilerin hukuka aykırı olarak ele geçirildiğini öğrendiğinde veri sorumlusunu en geç {Saat: 24} saat içinde yazılı olarak bilgilendirir. 5.2. Bildirim, ihlalin niteliğini, etkilenen veri ve kişi kategorilerini, muhtemel sonuçları ve alınan tedbirleri içerir; veri işleyen, veri sorumlusunun Kurula yetmiş iki saat içinde yapacağı bildirim için gerekli desteği sağlar. 6. İLGİLİ KİŞİ BAŞVURULARI Veri işleyen, kendisine ulaşan ilgili kişi başvurularını {Gün: 3} iş günü içinde veri sorumlusuna iletir ve veri sorumlusunun otuz günlük cevap süresi içinde talebi karşılaması için gerekli bilgi ve desteği sağlar. 7. DENETİM Veri sorumlusu, {Gün} gün önceden bildirimle ve yılda en fazla {Sayı} kez veri işleyenin bu sözleşmeye uyumunu yerinde ya da bağımsız denetçi aracılığıyla denetleyebilir; veri işleyen gerekli bilgi ve belgeleri sunar. 8. SÖZLEŞME SONUNDA VERİLERİN AKIBETİ Ana Sözleşme sona erdiğinde veri işleyen, veri sorumlusunun tercihine göre kişisel verileri {Gün} gün içinde iade eder ya da Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun biçimde imha eder ve imha tutanağını sunar. Kanuni saklama yükümlülüğü bulunan veriler saklama süresince erişimi kısıtlanarak muhafaza edilir. 9. SORUMLULUK 9.1. Veri işleyen, bu sözleşmeye aykırı işleme sebebiyle veri sorumlusuna uygulanan idari para cezasını ve ilgili kişilere ödenen tazminatı veri sorumlusuna rücu yoluyla öder. 9.2. Veri sorumlusu, işleme faaliyetinin hukuki dayanağının bulunduğunu ve ilgili kişilerin aydınlatıldığını taahhüt eder. 10. SÜRE Bu sözleşme Ana Sözleşme süresince yürürlükte kalır; gizlilik ve veri güvenliği yükümlülükleri sözleşme sonrasında da devam eder. 11. UYUŞMAZLIK Bu sözleşmeden doğan uyuşmazlıklarda {İl} mahkemeleri ve icra daireleri yetkilidir. 12. YÜRÜRLÜK İki nüsha düzenlenen bu sözleşme {Tarih} tarihinde imzalanmıştır. VERİ SORUMLUSU : {Ad Soyad / Unvan} – {İmza} VERİ İŞLEYEN : {Ad Soyad / Unvan} – {İmza} EK-1 : Teknik ve idari tedbirler listesi EK-2 : Onaylı alt veri işleyenler \[/dilekce\_ornegi\] ## Kişisel Veri İşleme Sözleşmesi Kişisel veri işleme sözleşmesi, **veri sorumlusunun** kişisel verileri kendi adına işlemesi için yetki verdiği **veri işleyenle** arasındaki sözleşmedir. [6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), veri güvenliği tedbirlerinden veri sorumlusu ile veri işleyeni **birlikte sorumlu** tutar. Sözleşme, bu ortak sorumluluğun sınırlarını ve veri işleyenin talimata bağlılığını yazılı hale getirir.[^1] Sözleşmenin zorunlu hükümleri, ihlal bildirimi ve veri imhası aşağıda. İlgili kişinin veri sorumlusuna başvurusu [Kişisel Veri Bilgi Talebi Dilekçesi](/kisisel-veri-bilgi-talebi) yazımızda, silme talebi ise [Kişisel Veri Silme Talebi Dilekçesi](/kisisel-veri-silme-talebi) yazımızda ele alınıyor. ## Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir? Veri sorumlusu, verinin **hangi amaçla ve nasıl** işleneceğine karar veren kişidir. Buna karşılık veri işleyen, veri sorumlusunun **talimatıyla ve onun adına** veri işleyen dış hizmet sağlayıcısıdır. Bordro şirketi, çağrı merkezi, bulut barındırma sağlayıcısı ve yazılım hizmeti veren şirket, müşterisi adına veri işlediği sürece veri işleyendir. Ayrım **sorumluluğu** belirler. Kurula karşı asıl muhatap veri sorumlusudur. İlgili kişi başvuruları, aydınlatma ve VERBİS kaydı veri sorumlusuna aittir ve veri işleyen, talimat dışına çıkmadıkça bu yükümlülükleri taşımaz. Hizmet sağlayıcı **kendi amacıyla** veri işlerse veri sorumlusuna dönüşür. Çağrı merkezinin müşteri verilerini kendi pazarlaması için kullanması, işleyeni sorumlu yapar ve iki tarafı da idari para cezasıyla karşı karşıya bırakır. Sözleşmedeki "yalnızca talimatla işleme" hükmü bu dönüşümü önler. ## Sözleşmede Hangi Hükümler Bulunmalıdır? Sözleşme, işlenen **veri kategorilerini, ilgili kişi gruplarını ve işleme amacını** somut olarak tanımlar. Genel "hizmet kapsamındaki veriler" ifadesi yeterli değildir. Veri işleyenin hangi veriyi hangi faaliyetle işleyeceği yazılmazsa talimat sınırı belirsiz kalır. Sözleşmede şunlar bulunur: - Ana sözleşmeye atıf ve işleme amacı - Veri kategorileri ve ilgili kişi grupları - Yalnızca yazılı talimatla işleme yükümlülüğü - Teknik ve idari güvenlik tedbirleri - Personel gizlilik yükümlülüğü - Sunucu lokasyonu ve yurt dışı aktarım şartı - Alt işleyen onayı ve sorumluluğu - Veri ihlali bildirim süresi - İlgili kişi başvurularının iletilmesi - Denetim hakkı - Sona ermede iade ya da imha - Rücu ve tazminat **Güvenlik tedbirleri** ek olarak listelenir. Kurumun Kişisel Veri Güvenliği Rehberi, şifreleme, erişim yetkisi matrisi, günlük kaydı ve sızma testi gibi tedbirleri sayar. Sözleşme bu rehbere atıf yapar ve hizmete özgü ek tedbirleri ekte gösterir. ## Veri İhlali Halinde Bildirim Nasıl Yapılır? Veri sorumlusu, ihlali öğrendiği tarihten itibaren **yetmiş iki saat** içinde Kurula bildirim yapmak zorundadır. İhlali veri sorumlusuna geç bildiren veri işleyen bu süreyi tehlikeye sokar. Sözleşme, veri işleyen için yirmi dört saat gibi kısa bir bildirim süresi öngörür ve bildirimin içeriğini belirler. **İlgili kişilere** de bildirim yapılır. Veri sorumlusu, ihlalden etkilenen kişileri makul süre içinde bilgilendirir. Etkilenen kişi listesini ve iletişim bilgilerini veri işleyen sağlar. Bildirim yapılmaması **ayrı ceza** sebebidir. Kurul, veri güvenliği yükümlülüğünün ihlali için yeniden değerleme oranıyla güncellenen ve milyonlarca lirayı bulan idari para cezası uygular. Veri işleyenin kusurundan doğan ceza sözleşmedeki rücu hükmüyle veri işleyenden alınır. ## Alt İşleyen Kullanımı ve Yurt Dışı Aktarım Nasıl Düzenlenir? Veri işleyen, veri sorumlusunun **yazılı onayı** olmadan alt işleyen kullanamaz. Bulut altyapısı, yedekleme hizmeti ve teknik destek gibi alt hizmet sağlayıcılar sözleşme ekinde listelenir. Yeni alt işleyen eklenmesi bildirime ve itiraz hakkına bağlanır. **Yurt dışı aktarım** özel şartlara tabidir. Kanun'un 9. maddesi, aktarımı yeterlilik kararı bulunan ülkelere ya da Kurulun standart sözleşmesine dayalı olarak ve bildirim şartıyla mümkün kılar. Sunucusu yurt dışında olan işleyenle çalışan veri sorumlusu bu şartları sağlamak zorundadır ve barındırma sözleşmesinde lokasyon hükmü [Web Hosting Sözleşmesi Örneği](/web-hosting-sozlesmesi) yazımızda anlatılmaktadır. Alt işleyenin kusurundan **veri işleyen** sorumludur. Veri sorumlusu, alt işleyenle doğrudan sözleşme ilişkisi kurmaz. Zarar halinde veri işleyene başvurur ve veri işleyen, alt işleyene rücu eder. ## Sözleşme Sona Erince Veriler Ne Olur? Veri işleyen, ana sözleşme sona erdiğinde verileri **iade eder ya da imha eder**. İmha, Yönetmelik'teki silme, yok etme ya da anonim hale getirme yöntemlerinden biriyle yapılır ve tutanakla belgelenir. Kanuni saklama yükümlülüğü bulunan veriler erişimi kısıtlanarak saklanır. **İade formatı** önceden belirlenir. Veri işleyenin kendi sisteminde tuttuğu verilerin yaygın bir formatta iadesi sözleşmede yazılmazsa veri sorumlusu verilerine ulaşamaz. İade süresi ve formatı, hizmet sağlayıcısının değiştirilmesini mümkün kılar. Gizlilik yükümlülüğü sona ermeden **sonra da** sürer. Veri işleyenin personeli, öğrendiği kişisel verileri süresiz gizli tutar. Bu yükümlülük, çalışanlar açısından [Çalışan Açık Rıza Formu Örneği](/calisan-acik-riza-formu) yazımızdaki rıza ve gizlilik metinleriyle desteklenir. ## Kişisel Veri İşleme Sözleşmesi Hakkında Sık Sorulan Sorular Alt işleyen onayı ve yurt dışı aktarım sorularda öne çıkıyor. ### Sözleşme yapılmazsa veri işleyenle çalışmak hukuka aykırı mı? Kanun ayrı bir sözleşme şekli öngörmez, ancak veri güvenliği yükümlülüğünün yerine getirildiğinin ispatı için yazılı sözleşme gerekir. Kurul, sözleşmesiz çalışmayı tedbir eksikliği olarak değerlendirir. ### Ana sözleşmeye madde eklemek yeterli mi? Evet, veri işleme hükümleri ana sözleşmenin bir bölümü olarak da yazılabilir. Ayrı sözleşme, hükümlerin güncellenmesini ve denetimini kolaylaştırır. ### Veri işleyen VERBİS'e kayıt olmalı mı? Hayır, VERBİS kaydı veri sorumlusuna aittir. Veri işleyen, kendi çalışanları ve müşterileri bakımından veri sorumlusu olduğu için o sıfatla kayıt olur. ### Yabancı bulut sağlayıcısıyla bu sözleşme yapılabilir mi? Büyük sağlayıcılar kendi standart veri işleme eklerini sunar. Türk hukukuna uyum için yurt dışı aktarım şartlarının ayrıca sağlanması gerekir. Sağlayıcının standart metni, Kurulun standart sözleşmesinin yerine geçmez. ### Veri işleyen kendi güvenlik ihlalinden Kurula bildirim yapar mı? Hayır, Kurula bildirim veri sorumlusu tarafından yapılır. Veri işleyen, ihlali veri sorumlusuna bildirir ve bildirim için gerekli bilgiyi sağlar. --- [^1]: 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 3, 8, 9, 12 ve 18; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik; Kişisel Veri Güvenliği Rehberi (KVKK).