Veri İşleme Sözleşmesi

Veri sorumlusu, kişisel verileri kendi adına işleyen kişilerle birlikte güvenlik tedbirlerinin alınmasından müştereken sorumludur (KVKK md. 12/2). Sözleşme, veri işleyenin hangi verileri, hangi amaçla ve hangi tedbirlerle işleyeceğini yazılı hâle getirir ve bu sorumluluğun yerine getirildiğini ispatı kolaylaştırır.

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişiler (KVKK md. 3/1-ğ). Muhasebe bürosu, bordro firması, bulut ve yazılım sağlayıcısı veya çağrı merkezi bunlara örnektir.

Kurula göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir; veri işleyen ise ihlali herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirir (KVKK md. 12/5; Kişisel Verileri Koruma Kurulunun veri ihlali bildirimine ilişkin kararı).

Yeterlilik kararı yoksa Kurulun ilan ettiği standart sözleşme hiçbir değişiklik yapılmadan imzalanır ve imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir (KVKK md. 9/4-5; Yurt Dışına Aktarım Yönetmeliği md. 14). Bu sözleşme standart sözleşmenin yerine geçmez.

Sözleşmedeki usule göre kullanılabilir: her biri için yazılı onayla veya genel izin, önceden bildirim ve itiraz hakkıyla. Veri işleyen alt işleyene aynı yükümlülükleri yükler ve onun aykırılığından sorumlu olur.

Seçime göre veri sorumlusuna iade edilir veya imha edilir ve imha yazılı olarak teyit edilir. Kanunen saklanması zorunlu kopyalar süre sonuna kadar yalnızca bu amaçla korunur (KVKK md. 7).

6698 sayılı Kişisel Verilerin Korunması Kanunu md. 3, 6, 7, 9 ve 12; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.