Tedarikçi sözleşmelerinde bilgi güvenliği maddeleri: kontrol listesi
Tedarikçi riskinin önemli bir kısmı sözleşmede kazanılır ya da kaybedilir. Güvenlik ve KVKK gerekliliklerini uygulanabilir sözleşme maddelerine dönüştürmek için pratik bir kontrol listesi.
Bir tedarikçi sözleşmesinde en az şu başlıklar yer almalıdır: gizlilik, uygulanacak güvenlik gereklilikleri, kişisel veri işleme şartları, güvenlik olayı bildirim süresi, denetim ve kanıt talep hakkı, alt yüklenici kullanımı, iş sürekliliği, sözleşme sonunda verinin iadesi veya imhası ve aykırılık hâlinde sonuçlar. Bu maddeler, tedarikçi denetiminde neyi talep edebileceğinizi de belirler.
Sözleşmede bulunması gereken 10 başlık
Gizlilik
Bilginin tanımı, kullanım sınırları ve gizlilik yükümlülüğünün süresi.
Güvenlik gereklilikleri
Erişim kontrolü, şifreleme, yama, kayıt ve zafiyet yönetimi gibi asgari kontroller.
Kişisel veri işleme
İşleme amacı, talimatlar, teknik ve idari tedbirler, yurt dışı aktarım koşulları.
Olay bildirimi
Güvenlik olayının hangi sürede, kime ve hangi içerikle bildirileceği.
Denetim hakkı
Kanıt talep etme, online ve yerinde denetim yapma hakkı ve bildirim süreleri.
Alt yükleniciler
Alt yüklenici kullanımına onay ve aynı gerekliliklerin onlara yansıtılması.
İş sürekliliği
Hizmet seviyeleri, yedekleme, felaket kurtarma ve test yükümlülükleri.
Erişim yönetimi
Tedarikçi personelinin erişimlerinin açılması, izlenmesi ve kapatılması.
Çıkış ve veri iadesi
Sözleşme sonunda verinin iadesi, imhası ve hizmetin devri.
Aykırılık sonuçları
Düzeltme süresi, ceza, fesih ve sorumluluk hükümleri.
Maddeyi yazmak yetmez, uygulandığını görmek gerekir.
Sözleşmedeki güvenlik maddeleri, ancak düzenli olarak doğrulandığında anlam kazanır. Tedarikçi değerlendirmesi ve denetimi, sözleşmede taahhüt edilen kontrollerin gerçekten uygulandığını kanıtla görmenizi sağlar. Bu nedenle sözleşme maddelerini denetim soru setinizle aynı dilde yazmak süreci kolaylaştırır.
Kişisel veri işleyen tedarikçiler için KVKK kapsamındaki veri güvenliği yükümlülükleri ayrıca değerlendirilmelidir. Sözleşme metninin hukuki uygunluğu için hukuk danışmanınızla birlikte çalışmanızı öneririz.
Tedarikçi sözleşmeleri ve güvenlik hakkında sık sorulanlar
Mevcut sözleşmelerde güvenlik maddesi yoksa ne yapılmalı?
Kritik tedarikçilerden başlayarak sözleşme yenileme veya ek protokol yoluyla güvenlik, olay bildirimi ve denetim hakkı maddeleri eklenmelidir.
Olay bildirim süresi ne olmalı?
Süre; hizmetin kritikliğine ve sizin düzenleyici bildirim yükümlülüklerinize göre belirlenmelidir. Tedarikçiye tanınan süre, sizin kendi bildirim sürenizi karşılamanıza imkân vermelidir.
Denetim hakkı her tedarikçiye uygulanmalı mı?
Denetim hakkının sözleşmede yer alması önerilir; ancak uygulamada denetim, kritiklik seviyesine göre önceliklendirilir.
Bu sayfa genel bilgilendirme amaçlıdır ve hukuki görüş değildir; sözleşme metinleri hukuk danışmanınızla birlikte hazırlanmalıdır.
Konuyla ilgili diğer içerikler
Kritik tedarikçi sözleşmelerinizi birlikte gözden geçirelim.
Sözleşme gerekliliklerini denetlenebilir kontrollere dönüştürmenize destek olalım.