Veri işleyen–veri sorumlusu sözleşmesi (DPA) hangi unsurları taşımalı?

Süreci bir bakışta görün

1. 1Veri envanterini ve işleme amaçlarını çıkarın

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

2. 2Taraf rollerini test edin

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

3. 3DPA eklerine güvenlik/SLA ve ihlal akışı koyun

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

4. 4Sözleşme bitince iade/silme kanıtını alın

   Belgenin tüm sayfalarını, tarihini, kaynağını ve eklerini aynı dosyada koruyun; eksik veya doğrulanmamış noktaları ayrıca işaretleyin.

Birbirine karıştırılmaması gerekenler

Kısa cevap: Veri işleyen–veri sorumlusu sözleşmesi (DPA) hangi unsurları taşımalı?

DPA, veri sorumlusunun talimatlarını, işleme amaç ve kapsamını, veri kategorilerini, güvenlik önlemlerini, alt işleyenleri, ihlal bildirimini ve veri iade/silme kurallarını somutlaştırır. Tek bir şablon, her veri akışının riskini karşılamaz.

Bu ilk cevap arama niyetini karşılayan başlangıç özetidir; somut olayda taraf, belge, süre, görev ve güncel yürürlük koşulları ayrıca kontrol edilmelidir.

Kapsamı ve benzer işlemlerden ayrımı

Veri sorumlusu ve veri işleyen sıfatı, hizmet sözleşmesindeki unvanla değil fiilî karar ve talimat yetkisiyle belirlenir. Aydınlatma, açık rıza ve DPA farklı belgelerdir.

Başlığın günlük dildeki karşılığı ile hukuki talebin aynı olmayabileceğini unutmayın; işlem türü, taraf sıfatı ve dayanak belge netleştirilmeden hazır metin kullanılmamalıdır.

Şartlar ve kontrol kriterleri

1. Veri akışı ve roller belirlenmeli 2. talimat/süre/erişim sınırı yazılmalı 3. güvenlik ve denetim hakkı düzenlenmeli 4. alt işleyen/aktarımı ve olay bildirimi planlanmalı

Bu kriterler birlikte değerlendirilmelidir; tek bir belge veya tek bir beyan bütün şartların oluştuğunu göstermez.

Adım adım ne yapmalısınız?

1. Veri envanterini ve işleme amaçlarını çıkarın: Veri envanterini ve işleme amaçlarını çıkarın 2. Taraf rollerini test edin: Taraf rollerini test edin 3. DPA eklerine güvenlik/SLA ve ihlal akışı koyun: DPA eklerine güvenlik/SLA ve ihlal akışı koyun 4. Sözleşme bitince iade/silme kanıtını alın: Sözleşme bitince iade/silme kanıtını alın

İşlemi yapmadan önce ilgili kurumun güncel form, merci ve elektronik başvuru şartlarını doğrulayın.

Süreler ve kritik tarihler

Veri ihlali, sözleşme yenileme ve silme süreleri akışa göre değişir; sürüm ve denetim tarihlerini saklayın.

DİKKAT: Tebligat, ödeme emri, karar, fesih, tespit, ölüm, sözleşme veya başvuru tarihleri ayrı ayrı kaydedilmelidir. Bu sayfa süre hesabının yerine geçmez.

Somut senaryo ile düşünün

Bulut sağlayıcı verileri başka bir alt sağlayıcıya aktarıyor. Alt işleyen, erişim ve aktarım zinciri DPA’da görünür olmalıdır.

Bu senaryo yalnızca hangi kayıtların ve ayrımların inceleneceğini gösterir; gerçek dosyada karşı tarafın iddiaları ve ek deliller farklı olabilir.

Hangi belgeleri hazırlamalısınız?

1. Veri envanteri 2. DPA 3. ana hizmet sözleşmesi 4. güvenlik eki 5. alt işleyen listesi 6. silme/iade tutanağı

Belgelerin asıllarını değiştirmeyin; çalışma kopyalarını tarih ve kaynak bilgisiyle düzenleyin. Gereksiz kişisel verileri açık kanallarda paylaşmayın.

En sık yapılan hatalar

• Aydınlatma metnini DPA yerine koymak veya veri işleyenin bütün sorumluluğu üstlendiğini sanmak

Ayrıca karşı tarafın sıfatını doğrulamadan işlem yapmak, belgenin tamamı yerine kırpılmış ekran görüntüsüne dayanmak ve süreli evrakı yalnız sözlü takip etmek hak kaybı yaratabilir.

Sonraki adım ve sorumluluk reddi

Dosyanızı kısa olay özeti, tarih çizelgesi ve belge listesiyle hazırlayın. Somut durumunuza ilişkin hukuki değerlendirme ve randevu için Mertcan Turan Hukuk ve Danışmanlık Ofisi ile iletişime geçebilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş, dava sonucu veya başarı garantisi değildir. Her olayın tarafları, belgeleri, süreleri ve güncel mevzuatı farklı olabilir. İşlem yapmadan önce yetkin bir avukattan somut dosya incelemesi almanız önerilir.

Kritik uyarı

Bu içerikteki 6698 sayılı Kişisel Verilerin Korunması Kanunu ve diğer kaynaklar 18 Eylül 2026 itibarıyla resmî metin/kurum sayfalarından kontrol edilmiştir. Değişiklik, geçiş hükmü veya dosyaya özgü içtihat için işlem öncesinde yeniden kontrol gerekir.