Tedarikçi Sözleşmesinde Hukuki Riskinizi Hangi Maddeler Belirler?

Bir tedarikçi sözleşmesindeki riskin büyük kısmı yaklaşık altı maddede belirlenir: sorumluluğun sınırlandırılması, tazmin (indemnification), sigorta, veri güvenliği, denetim hakları ve fesih. Sözleşmenin geri kalanı da önemlidir; ancak tedarikçinin yazılımı çöktüğünde, teknisyeni işyerinizde birini yaraladığında ya da sistemleri müşterilerinizin verilerini sızdırdığında bedeli kimin ödeyeceğini bu altı madde belirler. Pek çok işletme, fiyat ve hizmet koşulları doğru göründüğü için tedarikçinin standart sözleşmesini imzalar; ardından ilk ciddi sorunda tedarikçinin kendilerine bir aylık ücretin iadesinden fazlasını borçlu olmadığını öğrenir.

Bu yazıda her maddenin ne işe yaradığını, ne talep etmeniz gerektiğini ve tedarikçilerin genellikle nerede itiraz ettiğini ele alıyoruz. Büyüyen şirketler için yürüttüğümüz hukuki risk yönetimi ve uyum incelemelerinde, tedarikçi koşulları çoğu zaman karşılaştığımız en büyük incelenmemiş risk kalemidir.

Sorumluluğun sınırlandırılması: tedarikçi sözleşmesinin en önemli maddesi

Sorumluluğu sınırlandırma maddesi, taraflardan her birinin talep edebileceği tutara bir üst sınır koyar; bu sınır genellikle belirli bir dönemde ödenen ücretlere eşitlenir ve çoğu zaman kâr kaybı gibi dolaylı veya netice zararları (consequential damages) kapsam dışı bırakır. Tedarikçiler düşük üst sınırlar önerir; çünkü fiyatlandırmaları sınırlı bir risk varsayımına dayanır. Kontrol edilmesi gerekenler:

• Üst sınırın karşılıklı mı olduğu, yoksa yalnızca tedarikçiyi mi koruduğu.
• Üst sınırın, bir aksaklığın size verebileceği gerçek zarara kıyasla büyüklüğü. Üç aylık ücrete eşit bir üst sınır bir ofis malzemesi sözleşmesi için yeterli olabilirken bordronuzu yöneten sistem için yetersiz kalır.
• İstisnalar (carve-outs), yani üst sınırın dışında kalan talepler. Yaygın olanlar; gizlilik yükümlülüğünün ihlali, veri güvenliği ihlalleri, tazmin yükümlülükleri, ağır ihmal veya kasıtlı kusur ve fikri mülkiyet ihlalidir. Bir tedarikçi sınırsız sorumluluk yerine veri ihlalleri için ayrı ve daha yüksek bir üst sınırı kabul edebilir; bu çoğu zaman makul bir orta yoldur.
• Netice zararlarını hariç tutan hükmün gerçek kaybınızı tamamen yutup yutmadığı. Bir ihlalden doğacak asıl zararınız bildirim maliyetleri, idari para cezaları ve kaybedilen müşteriler olacaksa, bu kalemler talep edilebilir olarak açıkça sayılmadıkça dolaylı zararları hariç tutan bir hüküm alacağınız tazminatı tamamen ortadan kaldırabilir.

Tazmin ve sigorta

Tazmin hükmü, üçüncü kişilerden gelen taleplerin maliyetini diğer tarafa aktarır. Tedarikçinin ürünü birinin patentini ihlal ederse ya da çalışanı bir ziyaretçiyi yaralarsa, tazmin maddesi tedarikçiyi bu talebe karşı savunma yapmaya ve bedelini ödemeye zorlar. Kimlerin kapsamda olduğunu (siz, iştirakleriniz, yöneticileriniz), yükümlülüğü neyin tetiklediğini (ihmal, sözleşme ihlali, fikri mülkiyet ihlali, mevzuata aykırılık) ve avukatları kimin seçeceği ile bir sulhü kimin onaylayacağı da dahil olmak üzere savunmanın nasıl yürüyeceğini kontrol edin.

Bir tazmin taahhüdü ancak tedarikçinin ödeyebileceği kadar değerlidir; sigortanın önemi de buradan gelir. Riske uygun teminatın belgelenmesini isteyin: genel sorumluluk sigortası, hizmet sağlayıcılar için mesleki sorumluluk sigortası, verilerinizi işleyen herkes için siber sorumluluk sigortası ve personeli işyerinizde çalışan tedarikçiler için iş kazası sigortası (workers’ compensation). Uygun olduğu durumlarda poliçede ek sigortalı (additional insured) olarak gösterilmeyi talep edin ve teminatın iptal edilmesi halinde size bildirim yapılmasını şart koşun.

Veri güvenliği, gizlilik ve denetim hakları

Bir tedarikçi kişisel verileri veya gizli ticari bilgileri saklıyor, işliyor ya da bunlara erişebiliyorsa, sözleşme asgari güvenlik standartlarını belirlemeli, verilerinizin kullanımını hizmetin sunulmasıyla sınırlamalı, bir güvenlik olayının derhal bildirilmesini şart koşmalı ve ihlale müdahaleyi kimin yürüteceğini ve masraflarını kimin karşılayacağını açıkça düzenlemelidir. ABD’nin her eyaletinde bir veri ihlali bildirim yasası vardır ve etkilenen kişileri bilgilendirme yükümlülüğü genellikle veriyi kaybeden tedarikçiye değil, verinin sahibi olan işletmeye düşer. Bu maliyetleri geri almanın yolu sözleşmedir.

Denetim hakları; soru formları, SOC 2 gibi bağımsız denetim raporları veya yüksek riskli tedarikçiler için yerinde inceleme yoluyla uyumu doğrulamanızı sağlar. Düzenlemeye tabi bir sektördeyseniz, düzenleyici kurumunuzun belirli bir düzeyde tedarikçi gözetimi bekleyip beklemediğini kontrol edin ve sözleşmenin bu gözetimi sağlamanız için gereken erişimi size tanıdığından emin olun. Tedarikçinin aynı yükümlülükleri alt yüklenicilerine de yansıtmasını şart koşun.

Fesih ve çıkış koşulları

Çıkış maddesi müzakere sırasında en az, bir uyuşmazlık sırasında ise en çok ilgiyi gören maddedir.

Fesih hakları

Sözleşmeyi herhangi bir gerekçe göstermeden mi (for convenience), yoksa yalnızca haklı bir nedenle mi feshedebilirsiniz? Bir ihlalin giderilmesi için tanınan süre ne kadar? Sözleşme otomatik olarak yenileniyor mu ve bunu durdurmak için ne kadar önceden bildirimde bulunmanız gerekiyor?

Geçiş desteği

Verilerinizi elinde tutan veya temel bir işlevi yürüten her tedarikçi için, tedarikçinin fesihten sonra belirli bir süre boyunca verilerinizi kullanılabilir bir formatta iade etmesini ve devir sürecinde işbirliği yapmasını şart koşun.

Uygulanacak hukuk ve uyuşmazlıklar

Tedarikçinin hazırladığı sözleşmeler çoğu zaman tedarikçinin bulunduğu eyaletin hukukunu ve mahkemelerini seçer ya da tahkimi zorunlu kılar. Bu durum güçlü bir talebi bile takip etmeyi pahalı hale getirebilir. Ticari uyuşmazlıklarda arabuluculuk ile tahkimi karşılaştıran yazımız bu maddelerin uygulamada ne anlama geldiğini açıklıyor.

Tedarikçi sözleşmelerinizi nasıl önceliklendirmelisiniz

Her sözleşmeyi yeniden müzakere etmeniz gerekmez. Tedarikçileri bir aksaklığın size neye mal olacağına göre sıralayın: hassas verilere erişim, operasyonlar açısından önem, sözleşme bedeli ve tedarikçinin yerine başkasını bulmanın ne kadar zor olacağı. Çabanızı en üst gruba yoğunlaştırın, geri kalanlar için standart bir ek protokol kullanın. Her yenilemeden önce üst gruptaki sözleşmeleri mevcut riskinize göre gözden geçirin; çünkü üç yıl önce verilerinizin küçük bir bölümünü tutan bir tedarikçi bugün tamamını tutuyor olabilir.

Taslak hazırlama ve müzakere sürecinin kendisi için sözleşme incelemesi ve yönetici danışmanlığı avukatlarımız tedarikçi sözleşmeleri üzerinde değişiklik önerileri hazırlayabilir ve önemli korumalardan vazgeçmeden anlaşmanın kapanmasını sağlayacak alternatif pozisyonlar önerebilir. Daha kapsamlı bir hukuki risk değerlendirmesi de hangi tedarikçi sözleşmelerinin öncelikle ele alınması gerektiğini belirlemenin iyi bir yoludur.

Verilerinizi, operasyonlarınızı veya müşterilerinizi etkileyen bir tedarikçi sözleşmesini imzalamak ya da yenilemek üzereyseniz, Capitol Law Partners taahhüt altına girmeden önce risk hükümlerini inceleyebilir. Görüşme planlayın.

Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımamaktadır. Bu iletişim yoluyla avukat-müvekkil ilişkisi kurulmamaktadır.

Av. Çağatay Ersoy. Kurucular, yatırımcılar ve büyüyen şirketler için pratik strateji.

Bu konuda yardıma mı ihtiyacınız var? Tedarikçi ve operasyonel risk uyumu sayfamıza göz atın veya randevu alın.