Teknoloji Şirketleri için Satıcı Sözleşme Yönetimi En İyi Uygulamaları

Ortalama bir teknoloji şirketi, her biri kendi sözleşmesine, veri işleme şartlarına ve yenileme programına sahip 130 SaaS aracı kullanır. Yapılandırılmış tedarikçi yönetimi olmadan, sözleşmeler yüksek oranlarda otomatik olarak yenilenir, güvenlik boşlukları fark edilmez ve uyumluluk yükümlülükleri gözden kaçırılır. Bu kılavuz, sözleşme yaşam döngüsü boyunca satıcı ilişkilerini yönetmek için pratik bir çerçeve sağlar.

Önemli Çıkarımlar

• Kişisel verileri sizin adınıza işleyen her satıcının bir Veri İşleme Sözleşmesine (DPA) ihtiyacı vardır
• SLA izlemesi satıcının kendi raporlamasına bağlı olmadan otomatikleştirilmelidir
• Sözleşme yenileme takibi, anlaşmalı yenilemelerden %15-30 daha pahalı olan sürpriz otomatik yenilemeleri önler
• Satıcı risk değerlendirmeleri, satıcının veri hassasiyeti ve iş kritikliği ile orantılı olmalıdır

---

Satıcı Yaşam Döngüsü

Aşama 1: Seçim ve Durum Tespiti

İmzalamadan önce her satıcıyı şu kriterlere göre değerlendirin:

Aşama 2: Müzakere ve Sözleşme

Teknoloji satıcıları için temel sözleşme maddeleri:

Aşama 3: Devam Eden Yönetim

Aşama 4: Yenileme veya Çıkış

yenilemeden 90 gün önce:

• Mevcut kullanımın taahhütlü kapasite ile karşılaştırmasını inceleyin
• Alternatiflerle karşılaştırmalı fiyatlandırma
• Satıcı performansını SLA'lara göre değerlendirin
• Dönem boyunca meydana gelen güvenlik olaylarını inceleyin
• Yenileme şartlarını müzakere edin veya çıkışı başlatın

---

Veri İşleme Anlaşmaları (DPA'lar)

Bir DPA'ya İhtiyacınız Olduğunda

Bir tedarikçinin sizin adınıza kişisel verileri işlediği durumlarda, GDPR (Madde 28) uyarınca bir DPA gereklidir. Bu şunları içerir:

• Bulut barındırma sağlayıcıları (AWS, Azure, GCP)
• SaaS platformları (CRM, e-posta, analiz)
• Ödeme işlemcileri
• E-posta servis sağlayıcıları
• Müşteri destek platformları
• İK/maaş bordrosu hizmetleri
• Pazarlama otomasyon araçları

Temel DPA Maddeleri

---

SLA Yönetimi

Anlamlı SLA'ları Tanımlama

SLA İzleme

Vendor SLA Dashboard:
+-------------------------------------------+
| Vendor        | Uptime  | Latency | Status |
|---------------|---------|---------|--------|
| AWS (hosting) | 99.98%  | 45ms    | OK     |
| Stripe        | 99.99%  | 120ms   | OK     |
| Authentik     | 99.95%  | 85ms    | OK     |
| SendGrid      | 99.82%  | 350ms   | WARN   |
| Cloudflare    | 100%    | 12ms    | OK     |
+-------------------------------------------+

SLA uyumluluğunu harici olarak takip edin; asla yalnızca satıcı tarafından sağlanan çalışma süresi raporlarına güvenmeyin.

---

Satıcı Risk Değerlendirmesi

Risk Puanlama Matrisi

Risk kategorileri:

• Skor 1,0-2,0: Düşük risk. Standart şartlar kabul edilebilir. Yıllık inceleme.
• Puan 2,1-3,5: Orta risk. Gelişmiş DPA gerekli. Yarı yıllık inceleme.
• Puan 3,6-5,0: Yüksek risk. Tam güvenlik değerlendirmesi, özel DPA, üç aylık inceleme.

---

Sözleşme Yaşam Döngüsü Otomasyonu

Yenilemelerin Takibi

Takvim hatırlatıcılarını şurada ayarlayın:

• Yenilemeden 90 gün önce: İncelemeye başlayın
• 60 gün önce: Karşılaştırma ve müzakere stratejisinin tamamlanması
• 30 gün önce: Pazarlığı sonlandırın veya iptal bildirimini gönderin

---

Sıkça Sorulan Sorular

Her SaaS tedarikçisi için bir DPA'ya ihtiyacımız var mı?

Satıcı kişisel verileri sizin adınıza işliyorsa evet. Bu, aklınıza gelmeyebilecek satıcıları içerir: analiz araçları (kullanıcı IP'lerini ve davranışlarını işlerler), e-posta sağlayıcıları (alıcı e-posta adreslerini işlerler), müşteri destek araçları (müşteri adlarını ve sorgularını işlerler). Şüpheye düştüğünüzde bir DPA imzalayın. Çoğu büyük SaaS satıcısının istek üzerine standart DPA'ları vardır.

Bir satıcı veri ihlaliyle karşılaşırsa ne olur?

DPA'nız, satıcının aşırı gecikme olmadan (GDPR) veya belirli bir zaman dilimi içinde sizi bilgilendirmesini gerektirmelidir. Bildirim üzerine: (1) olay müdahale planınızı etkinleştirin, (2) etkilenen verilerin kapsamını değerlendirin, (3) denetleyici otorite bildiriminin gerekli olup olmadığını belirleyin (GDPR uyarınca 72 saat içinde), (4) yüksek risk varsa etkilenen veri sahiplerini bilgilendirin, (5) tüm süreci belgeleyin.

Odoo'daki satıcıları nasıl yönetiriz?

Odoo'nun Satın Alma modülü satıcı sözleşmelerini, koşullarını ve yenileme tarihlerini takip eder. Bunu DPA durumu, risk puanı ve uyumluluk sertifikasyon tarihlerine yönelik özel alanlarla genişletin. Yenileme hatırlatıcıları için otomatik eylemleri kullanın. ECOSIRE'ın Odoo uygulama hizmetleri, uyumluluğa duyarlı satın alma için satıcı yönetimi yapılandırmasını içerir.

---

Satıcı Çıkış Stratejisi

Her satıcı ilişkisinin, ilişki başlamadan önce belgelenmiş bir çıkış planı olmalıdır. Bir satıcı ilişkisi sona erdiğinde - ister seçim, ister satıcının iflası, ister güvenlik olayı nedeniyle - verilerinizi çıkarmanız ve işinizi kesintiye uğratmadan bir alternatife geçmeniz gerekir.

Kontrol Listesinden Çık

• Standart formatta (CSV, JSON, API) veri aktarımı tamamlandı
• Verilerin silinmesi satıcı tarafından onaylandı (yazılı onay)
• Tüm kullanıcı hesapları devre dışı bırakıldı
• API anahtarları ve entegrasyonların bağlantısı kesildi
• DPA yükümlülüklerinin feshedilmeye devam ettiği doğrulandı
• Alternatif satıcı veya süreç mevcut
• Ekip yeni çözüm konusunda eğitildi
• Geçmiş veriler taşındı veya arşivlendi

Satıcıya Bağlılık Değerlendirmesi

---

Sırada Ne Var?

Satıcı yönetimi, veri yönetiminin bir temel direğidir. Bunu, yönetilen veri yaşam döngüsü için veri saklama politikaları, alıcı tarafı sözleşme bilgisi için SaaS sözleşmesinin temelleri ve uluslararası tedarikçi yönetimi için sınır ötesi aktarım düzenlemeleri ile birleştirin.

Satıcı yönetimi danışmanlığı ve uyumluluk denetimi için ECOSIRE ile iletişime geçin.

---

ECOSIRE tarafından yayınlandı - işletmelerin satıcı ilişkilerini güvenle yönetmelerine yardımcı oluyor.