KVKK standart sözleşme yapay zeka aktarımında nasıl seçilir?

Kısa yanıt: KVKK standart sözleşme yapay zeka aracına kişisel veri aktarımında gündeme geldiğinde önce aktarımın taraflarını ve rollerini belirleyin. Standart sözleşme yoluna dayanılacaksa Kurulun ilan ettiği uygun metni değiştirmeden kullanın, ekleri gerçek veri akışına göre doldurun ve imzaların tamamlanmasından itibaren beş iş günü içindeki Kurum bildirimini takip edin. Belgenin bulunması, bütün işleme ve aktarım koşullarının kendiliğinden sağlandığı anlamına gelmez.

Bu yazı genel bilgilendirme içindir; hukuki tavsiye değildir.

Önce aktarımın hangi işlem olduğunu belirleyin

Bir tedarikçinin satış sayfasında veri korumasından söz etmesi, yükleyeceğiniz belgenin hangi kuruluşa ve hangi amaçla gideceğini açıklamayabilir. Araştırmaya sözleşme adından başlamak yerine bir veri akışı çizmek daha yararlıdır: büro hangi bilgiyi gönderiyor, sözleşmedeki alıcı kim, hizmeti kim işletiyor, veriler başka alıcılara aktarılıyor mu? Bunlar aşağıdaki kontrol yönteminin başlangıç sorularıdır; belirli bir ürün hakkında tespit değildir.

6698 sayılı Kanun'un 9. maddesi, yurt dışına aktarımı kademeli biçimde düzenler. Yeterlilik kararı bulunmayan durumda uygun güvence yollarından biri standart sözleşmedir. Ancak m.9/4, m.5 ve m.6'daki şartlardan birinin varlığını ve ilgili kişinin aktarım ülkesinde haklarını kullanma, etkili kanun yollarına başvurma imkânını da arar. Dolayısıyla yalnızca bir PDF imzalayarak değerlendirmeyi kapatmayın.

Bu rehber standart sözleşme dosyasının hazırlanmasına odaklanır. Daha geniş değerlendirme için KVKK ve yapay zekâ kontrol listesine, ilk tedarikçi görüşmesi için araç seçiminde sorulacak sorulara geçebilirsiniz.

KVKK standart sözleşme yapay zeka tedarikçisinde nasıl eşleştirilir?

Kurumun standart sözleşmeler sayfası dört yönü ayrı ayrı listeler: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım. Seçimi yalnızca hizmetin adında “yapay zekâ” geçmesine bağlamayın. Aktaran ve alıcının somut faaliyetteki rolü belirlenmelidir.

Örneğin bir sağlayıcının yalnızca büronun talimatıyla işlem yaptığı varsayılıyorsa bu varsayımı sözleşme ve gerçek kullanım açıklamasıyla sınayın. Sağlayıcı aynı girdiyi kendi amaçları için de kullanacağını söylüyorsa bu beyanı inceleme notuna alın. Buradan otomatik bir rol sonucu çıkarmayın; hangi işleme bakımından hangi rolün bulunduğunu ayırın. Aynı ticari ilişkinin bütün işlemlerini tek etikete sıkıştırmak belge seçiminde hataya yol açabilir.

İncelenen standart sözleşme 2, veri sorumlusu aktaran ile yurt dışındaki veri işleyen alıcı arasındaki senaryoya yöneliktir. Bu metin bir örnek inceleme kaynağıdır; her büro ve sağlayıcı ilişkisinde bu tipin uygun olduğu iddia edilmez.

Standart metin ile doldurulacak ekleri ayırın

Yönetmelik m.14/3, standart metnin değişiklik yapılmadan kullanılmasını zorunlu tutar. Yabancı dilde de akdedildiğinde Türkçe metin esastır. Aynı maddenin dördüncü fıkrası tarafların veya onları temsile ve imzaya yetkili kişilerin imzasını arar. Tedarikçinin gönderdiği benzer başlıklı bir belgeyi resmî metinle karşılaştırmadan kabul etmeyin.

Standart sözleşme 2'nin 1. maddesi ekleri sözleşmenin parçası sayar; 6. maddesi veri kategorileri, hukuki sebep ve amaç başta olmak üzere aktarım ayrıntılarını Ek I'e bağlar. “Hukuki hizmet verileri” gibi belirsiz bir açıklamayla yetinmek yerine aktarılan veri grubunun gerçekten ne olduğunu değerlendirin. İnceleme sırasında müvekkil dosyasının tamamını tedarikçiye göndermek yerine önce kategori ve süreç açıklaması istemek kullanılabilecek bir çalışma yöntemidir.

İncelenecek alan	Tedarikçiden istenecek açıklama	Dosyada tutulabilecek kanıt
Taraflar ve imza	Sözleşmenin gerçek tüzel kişi tarafları ve yetkili imzacılar	İmzalı metin ve yetki belgeleri
Aktarım kapsamı	Veri grupları, amaç ve hukuki sebep	Doldurulmuş Ek I
Güvenlik tedbirleri	Aktarıma uygulanacak somut teknik ve idari tedbirler	Ek II ve açıklayıcı belgeler
Sonraki alıcılar	Belirli alıcılar veya alıcı grupları	Eklerdeki kayıt ve değişiklik bildirimi
İşlemenin sona ermesi	Geri gönderme veya yok etme süreci	İlgili sözleşme hükmü ve teyit yöntemi

Tablo, resmî bir başvuru formu değildir; okunan hükümlerin belge incelemesine çevrilmiş çalışma önerisidir. Beyan ile uygulanabilir tedbirin aynı şey olmadığını kontrol notunda görünür tutun.

Talimat, sonraki aktarım ve sona erme neden önemlidir?

Standart sözleşme 2'nin 7.1 maddesi alıcının aktaranın talimatlarına göre işlem yapmasını düzenler. 7.8 maddesi sonraki aktarımları belirli koşullara bağlar; bildirimden önce belirli alıcıların Ek I'de gösterilmesini, sonradan alıcı veya alıcı grubu değiştiğinde ekin güncellenerek Kuruma bildirilmesini öngörür. Bu nedenle yalnızca ilk hizmet sağlayıcının adına bakmak incelemeyi tamamlamaz.

Aynı metnin 7.4 maddesinde işleme sona erdiğinde aktaranın tercihine bağlı olarak verilerin yedekleriyle geri gönderilmesi veya tamamen yok edilmesi ele alınır. Hüküm, bunu engelleyen mevzuat karşısındaki sınırlı işleme ve gizliliği koruma taahhütlerini de düzenler. İnceleme notuna yalnızca “silinir” yazmak yerine sona erme talimatının nasıl verileceğini ve yerine getirmenin nasıl belgelendirileceğini sorun.

Bu soruların yanıtı bulunmadan teknik silinme garantisi üretmeyin. Sağlayıcının açıklamasını, sözleşmedeki yükümlülüğünü ve eldeki uygulama kanıtını ayrı satırlarda tutmak sonradan denetimi kolaylaştırır.

Beş iş günü bildirimini dosya kontrolüne dönüştürün

Kanun m.9/5 standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesini düzenler. Yönetmelik m.14/5, imzaların tamamlanmasını esas alır. Taraflar bildirim yükümlüsünü belirleyebilir; belirleme yapılmamışsa bildirim veri aktaran tarafından yapılır. Aynı hüküm fiziki, KEP veya Kurulun belirlediği diğer yöntemleri sayar.

Yönetmelik m.14/6 uyarınca imzalayanların yetkisini gösteren belgeler ve yabancı dildeki her belgenin noter onaylı çevirisi bildirime eklenir. Taraf, doldurulmuş bilgi veya açıklama değişikliği ve sona erme durumlarında m.14/8 kapsamında yeniden bildirim gereği de kontrol edilir. Bu yazı belirli bir portalın güncel ekranlarını veya otomatik bildirim yeteneğini doğrulamamaktadır.

Dosya için uygulanabilecek sıra şöyledir:

1. İmzalanacak son metnin resmî sürümle karşılaştırmasını tamamlayın.
2. Tarafları, ekleri ve temsil yetkisini aynı sürüm dosyasında eşleştirin.
3. İmzaların tamamlandığı kaydı ve bildirimden sorumlu kişiyi belirleyin.
4. Bildirim süresini ilgili takvim ve teslim yöntemiyle ayrıca denetleyin.
5. Gönderilen paket ile ulaştığına ilişkin kanıtı birlikte saklayın.
6. Sonraki değişikliklerin kim tarafından izleneceğini yazılı hâle getirin.

Buradaki sıra büro içi takip önerisidir; somut bir bildirim için son gün hesabı verilmemektedir. Tedarikçinin “biz hallediyoruz” açıklaması varsa bunun hangi metin ve hangi teslim kaydıyla karşılandığını ayrıca sorun.

Kurgusal bir eksik belgeyi nasıl ele alırsınız?

Örnek gösterim: Bir büroya standart sözleşme 2 başlıklı metin gönderildiğini, fakat Ek I'in boş ve imza yetkisinin belirsiz olduğunu varsayalım. İnceleme sonucu “sağlayıcı onaylandı” olamaz. Çalışma notunda eksik alanları, istenen açıklamayı ve inceleme sorumlusunu belirleyin; gerçek belge yüklemeyi bu belgenin varlığına dayanarak başlatmayın. Bu örnek hiçbir sağlayıcının gerçek uygulamasını anlatmaz.

Tedarikçi daha sonra ekleri gönderirse önceki soru listesini kapatmadan her yanıtı ilgili alanla eşleştirin. Yeni alıcı grubu, farklı saklama süresi veya başka bir taraf ortaya çıktıysa bunları eski sürümün üzerine sessizce yazmayın. Hangi açıklamanın hangi tarihte alındığını gösteren sürüm notu tutun. Böylece imzalanmış belgenin değerlendirdiğiniz veri akışına gerçekten ait olup olmadığını yeniden kontrol edebilirsiniz.

Bir sonraki incelemeciye devrederken yalnızca imzalı dosyayı iletmeyin. Dolu eklerin sürümünü, yanıt bekleyen soruları ve bildirim paketinin nerede saklandığını gösteren kısa bir dizin ekleyin. Çalışma notunun hangi açıklamayı kanıtladığını açıkça yazın; örneğin temsil belgesi imza yetkisine, teslim kaydı ise bildirimin ulaştırılmasına ilişkindir. Birini diğerinin kanıtı olarak kullanmayın.

İnceleme sonucunu nasıl kaydedersiniz?

Son notta seçilen sözleşme tipi, aktarımın kapsamı, açık sorular, imza ve bildirim kanıtı ayrı başlıklar olsun. Eksik tedarikçi yanıtını olumlu varsayımla tamamlamayın. Standart sözleşme, kişisel veri işleme ilkeleri ve güvenlik yükümlülüklerinin yerine geçen bir ürün sertifikası değildir; m.4 ve m.12 incelemesi ayrıca korunmalıdır.

Araştırma ve belge kıyaslamasını iş akışınıza yerleştirmek için Prolex AI özelliklerini inceleyebilirsiniz; burada herhangi bir aktarım veya güvenlik niteliği taahhüt edilmemektedir. İlgili konuların sahip sayfası olan hukuk yapay zeka merkezinde genel rehberlerle bu özel belge kontrolünü birlikte takip edebilirsiniz.