# Alt işleyen sözleşmesi neden gerekli?

> Kliniğin kullandığı yazılım, muhasebe, barındırma ve mesaj gönderim hizmetleri veri işleyen konumunda; ancak sorumluluk veri sorumlusu olan klinikte kalıyor. Yazılı sözleşme, bu ilişkinin sınırlarını çizen ve denetimde istenen belge.

Kaynak: https://solvitaklinik.com/blog/alt-isleyen-sozlesmesi
Yayımlayan: Sol Víta
Kategori: KVKK ve mevzuat
Yayın: 2026-09-26

Bir fizyoterapi kliniği hasta verisini yalnız kendi içinde işlemiyor. Yazılım bulutta çalışıyor, muhasebe dışarıdan yürüyor, mesajlar bir servis üzerinden gidiyor, yedekler başka bir yerde duruyor.

Bu hizmetleri veren tarafların hepsi **veri işleyen** konumunda olabiliyor. Ve kritik nokta şu: **sorumluluk sizde kalıyor.**

## Veri sorumlusu ve veri işleyen

**Veri sorumlusu**, verinin neden ve nasıl işleneceğine karar veren taraf. Klinik.

**Veri işleyen**, bu kararlar doğrultusunda veriyi sorumlu adına işleyen taraf. Yazılım sağlayıcınız, muhasebeciniz, barındırma firmanız.

Bir hasta şikâyet ettiğinde, bir talep geldiğinde ya da bir denetim olduğunda muhatap veri işleyen değil **sizsiniz**. "Yazılım firması öyle yapmış" savunması sizi sorumluluktan kurtarmıyor.

Kanun, veri sorumlusunun veri işleyenle **birlikte müştereken sorumlu** olduğunu düzenliyor. Bu yüzden kimi seçtiğiniz ve onunla neyi yazılı hâle getirdiğiniz önemli.

## Kliniğin alt işleyenleri kimler?

Çoğu klinik listeyi çıkardığında sayının fazlalığına şaşırıyor:

| Hizmet | Ne işliyor |
|---|---|
| Klinik yazılımı | Hasta kayıtları, sağlık verisi, tahsilat |
| Sunucu / bulut barındırma | Yukarıdakilerin tamamı |
| Yedekleme hizmeti | Aynı verinin kopyası |
| Mesaj gönderim servisi | Hasta adı ve telefon numarası |
| E-posta servisi | Hasta ve çalışan iletişimi |
| Muhasebe | Mali kayıtlar, hasta adları |
| İSG hizmeti | Çalışan sağlık verileri |
| Bordro hizmeti | Çalışan verileri |
| Web sitesi ve form altyapısı | İletişim formu verileri |
| Çağrı merkezi (varsa) | Hasta iletişimi |
| Arşiv / imha firması | Kâğıt kayıtlar |

Bu listeyi çıkarmak, VERBİS kaydınızın ve aydınlatma metninizin de bir parçası.

## Sözleşmede ne bulunmalı?

Bir hukukçuyla hazırlanması gereken sözleşmede genel olarak yer alması beklenenler:

**Kapsam.** Hangi veri, hangi amaçla işleniyor.

**Talimatla sınırlı işleme.** Veri işleyen, sizin talimatınız dışında işlem yapamaz. Kendi amaçları için kullanamaz.

**Gizlilik.** İşleyenin ve çalışanlarının gizlilik yükümlülüğü.

**Güvenlik tedbirleri.** Alınması gereken teknik ve idari tedbirler.

**İhlal bildirimi.** İşleyen tarafında bir ihlal olduğunda **size ne kadar sürede haber verileceği**. Bu madde kritik: Kurul'a bildirim süreniz sizin haberdar olduğunuz andan işliyor.

**Alt yükleniciler.** İşleyenin başka bir firmayı devreye sokup sokamayacağı, sokacaksa onayınızın gerekip gerekmediği.

**Verinin konumu.** Nerede tutuluyor, yurt dışına aktarım var mı.

**İlgili kişi taleplerinde işbirliği.** Bir silme ya da erişim talebi geldiğinde işleyenin size destek olma yükümlülüğü.

**Sözleşme bitiminde ne olacak.** Verinin size iade edilmesi ya da imha edilmesi ve bunun belgelenmesi.

**Denetim.** Sizin denetim yapma ya da belge isteme hakkınız.

Son maddeden bir önceki, sözleşme bittiğinde en çok sorun çıkan konu. Yazılımdan çıkarken verinizi hangi biçimde ve ne kadar sürede alacağınızın önceden yazılı olması gerekiyor.

## Yurt dışına aktarım

Kullandığınız bir hizmetin sunucuları yurt dışındaysa, kişisel verinin yurt dışına aktarımı söz konusu olabiliyor ve bunun kendi kuralları var.

2024'te kanunda bu alanda değişiklik yapıldı ve aktarım için öngörülen yöntemler yeniden düzenlendi. **Güncel çerçeveyi bir hukukçudan ve Kurumun duyurularından öğrenin;** bu konuda eski kaynaklara güvenmeyin.

Yapmanız gereken pratik adım: kullandığınız her hizmetin sunucularının nerede olduğunu sağlayıcısına sorun ve yazılı cevap alın. Çoğu klinik bu soruyu hiç sormamış oluyor.

## Sağlayıcı seçerken sorulacaklar

1. Veri işleyen sözleşmesi imzalıyor musunuz?
2. Sunucularınız nerede?
3. Alt yüklenici kullanıyor musunuz, kimler?
4. Bir ihlal olduğunda bana ne kadar sürede haber veriyorsunuz?
5. Sözleşme bitiminde verimi hangi biçimde ve ne kadar sürede alabiliyorum?
6. Verimi sildiğinizi nasıl belgeliyorsunuz?
7. Erişim yetkilerini rol bazında ayırabiliyor muyum?
8. Kim ne zaman hangi kaydı açtı, iz kaydı tutuyor musunuz?

Bu sorulara net cevap veremeyen bir sağlayıcı, uyum tarafında sizi zorlar.

## Küçük tedarikçiler

Muhasebeci, İSG firması, arşiv firması gibi küçük tedarikçilerde sözleşme yapmak "abartılı" gibi görünüyor. Ama veri akışı gerçek: muhasebeciye giden dosyada hasta adları var.

Bu ilişkiler için de en azından bir gizlilik ve veri işleme taahhüdü alınması gerekiyor.

## Özet

- Yazılım, muhasebe, barındırma ve mesaj servisleri **veri işleyen** konumunda; sorumluluk sizde.
- Alt işleyen listenizi çıkarın; sayı genelde beklenenden fazla.
- Sözleşmede **ihlal bildirim süresi** ve **sözleşme bitiminde verinin iadesi** mutlaka olmalı.
- Sunucuların nerede olduğunu sorun ve yazılı cevap alın.
- Yurt dışı aktarım kuralları 2024'te değişti; güncel çerçeveyi hukukçudan alın.
- Küçük tedarikçilerde de en azından gizlilik taahhüdü olmalı.

---

*Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kliniğinizin durumu için bir avukata danışın.*