Madde kütüphanesi

Veri koruma maddesi, açıklamalı

Veri koruma maddesi, kişisel verilerin nasıl işlendiğini kaydeder; taraflardan biri Birleşik Krallık GDPR’ı kapsamı bir veri işleyen ise 28(3). madde adı konmuş veri işleyen hükümlerini zorunlu kılar.

Son güncelleme: 28 Ekim 2026

veri koruma maddesi ne işe yarar?

Bir tedarikçi, veri sorumlusu olan bir müşteri için kişisel verileri işlediğinde Birleşik Krallık GDPR’ı 28. madde, işlemenin bir sözleşmeyle yönetilmesi gerektiğini söyler. 28(3). madde, o sözleşmenin içermesi gereken veri işleyen hükümlerini sıralar. Aynı Birleşik Krallık GDPR’ı İskoçya’da da geçerlidir. ABD eyalet gizlilik yasaları farklı bir rejimdir. O hükümleri tek bir paylaşılan sayfaya koyarız.

28. madde kapsamındaki bir veri işleyen sözleşmesi neleri içermelidir?

Sözleşme bağlayıcı olmalı ve işlemenin konusunu, süresini, niteliğini ve amacını, kişisel veri türlerini ve ilgili kişileri ile veri sorumlusunun haklarını belirtmelidir. 28(3). madde ardından (a) ila (h) bentlerindeki veri işleyen hükümlerini zorunlu kılar: belgelenmiş talimatlar, gizlilik, güvenlik, alt işleyenler, yardım, silme veya iade ve denetim.

Bir taraf ne zaman veri sorumlusu değil de veri işleyen olur?

Veri sorumlusu, işlemenin amaçlarına ve araçlarına karar verir. Veri işleyen, veri sorumlusu adına işler. Bir müşterinin müşteri listesini, müşterinin e-postalarını göndermek için saklayan bir stüdyo genellikle veri işleyendir. Kendi pazarlama listesini oluşturan bir stüdyo ise o listenin veri sorumlusudur. 28. maddenin yalnızca uygulanması gereken yerde uygulanması için her veri seti için rolü adıyla yazın.

Veri işleyen alt işleyen atayabilir mi?

Yalnızca veri sorumlusunun önceden özel ya da genel yazılı izniyle. Genel bir izinde veri işleyen, veri sorumlusunun itiraz edebilmesi için amaçlanan eklemeleri veya değişiklikleri ona bildirmelidir. Aynı veri koruma yükümlülükleri alt zincire de aktarılmalıdır. İlk veri işleyen, alt işleyen için veri sorumlusuna karşı tam sorumlu kalır. İzin yöntemini maddeye yazın.

İş bittiğinde verilere ne olur?

28(3)(g) bendi, veri sorumlusunun tercihine göre veri işleyenin hizmetler bittikten sonra kişisel verileri sildiğini veya iade ettiğini ve iç hukuk saklamayı gerektirmedikçe kopyaları sildiğini söyler. Bunu gizlilik ve kişisel olmayan gizli dosyalar için bir iade-veya-imha satırıyla eşleştirin. Bir kanun gerektiriyorsa kayıtların ne kadar saklanabileceğini belirtin.

Örnek ifade

Örnek · kendi taslağımız

Tedarikçi, Müşteri için kişisel verileri veri işleyen olarak işlediğinde Tedarikçi şunları yapacaktır: bu verileri yalnızca Müşteri’nin belgelenmiş talimatları doğrultusunda işlemek; bunları işlemeye yetkili kişilerin gizlilikle bağlı olmasını sağlamak; Birleşik Krallık GDPR’ı 32. maddesinin gerektirdiği güvenlik önlemlerini almak; Müşteri’nin önceden yazılı izni olmadan alt işleyen atamamak; Müşteri’ye ilgili kişi talepleri konusunda ve 32 ila 36. maddeler kapsamında yardımcı olmak; Müşteri’nin tercihine göre, iç hukuk saklamayı gerektirmedikçe, hizmetlerin sonunda verileri silmek veya iade etmek; ve uyumu göstermek için gereken bilgileri sunmak ve denetimlere izin vermek.

Sade Türkçeyle

Tedarikçi müşteri için kişisel verileri işliyorsa yalnızca müşterinin belgelediği şeyi yapar, gizli tutar, güvenliği sağlar ve yazılı onay olmadan başka bir veri işleyen getirmez. Bireysel haklar ve güvenlik yükümlülükleri konusunda yardımcı olur, iş bittiğinde de kanun bir kopyayı saklamasını gerektirmedikçe verileri siler ya da iade eder ve müşterinin kontrol etmesine izin verir.

Nelere dikkat etmelisiniz?

NoktaDikkat edinTalep edin
Rollerİki tarafın da veri sorumlusu olduğu bir anlaşmaya eklenmiş bir veri işleyen eki.Her veri seti için rolü adıyla belirten bir cümle.
TalimatlarBelgelenmiş talimat olmadan ‘hizmetler için gerektiği gibi işle’.Konu, süre, veri türleri ve ilgili kişilerin yer aldığı bir ek.
Alt işleyenlerHerkesi atamak için serbest yetki ya da sessizlik.Önceden yazılı izin, alt zincire aktarım ve süregelen sorumluluk.
İşin sonuSil-veya-iade et satırı yok.Veri sorumlusunun tercihi; hukuka uygun saklama istisnasıyla.
Üst sınırKüçük bir ücret karşılığında sınırsız bir veri tazminatı ya da bir ihlali yutan bir üst sınır.Sorumluluk üst sınırı ve tazminat karşısında adı konmuş bir konum.

Hangi sözleşmeler bunu içerir?

Lex bu maddeyi, diğerlerinin yanı sıra şunlara ekler:

  • Hizmet sözleşmesi ()
  • Web sitesi yapım sözleşmesi
  • Danışmanlık sözleşmesi

Hukuk ne diyor?

  • Bir veri işleyen tarafından yapılan işleme, veri işleyeni bağlayan ve işlemenin konusunu ile süresini, işlemenin niteliğini ve amacını, kişisel verilerin türünü ve ilgili kişi kategorilerini, ayrıca veri sorumlusunun yükümlülüklerini ve haklarını (28(3)(a)–(h) maddesinde sıralanan veri işleyen şartları dahil) belirleyen bir sözleşmeyle düzenlenmelidir.

    Kaynak: UK GDPR, Article 28(3)Kontrol tarihi: 28 Ekim 2026Avukat incelemesi bekleniyor

Bu maddeyle bir çerçeve hizmet sözleşmesi hazırlayın

Karşı taraf için ücretsiz

Lex, hukuki metnin yanında sade Türkçeyle hazırlar. Tek bir bağlantı paylaşın; iki taraf da anlaşır ve imzalar.

Sık sorulan sorular

Veri koruma maddesi ne anlama gelir?

Sözleşme kapsamında kişisel verilerin nasıl işlendiğini kaydeder. Bir taraf diğeri için Birleşik Krallık GDPR’ı kapsamında veri işleyen olarak kişisel veri işlediğinde 28. madde, bu işlemenin adı konmuş veri işleyen hükümleri içeren bir sözleşmeyle yönetilmesini zorunlu kılar.

Birleşik Krallık GDPR’ı 28. madde kapsamındaki bir veri işleyen sözleşmesi neleri içermelidir?

İşlemenin konusu, süresi, niteliği ve amacı, veri türleri ve ilgili kişiler ile 28(3)(a)–(h) bentlerindeki veri işleyen hükümleri; belgelenmiş talimatlar, gizlilik, güvenlik, alt işleyenler, yardım, silme veya iade ve denetim dahil.

Bir tedarikçi ne zaman veri işleyendir?

Amaçlara ve araçlara kendisi karar vermek yerine müşteri adına kişisel veri işlediğinde. Madde her veri seti için rolü adıyla belirtmelidir. 28. madde, veri işleyen ilişkileri için geçerlidir.

Veri işleyen alt işleyen kullanabilir mi?

Yalnızca veri sorumlusunun önceden özel ya da genel yazılı izniyle. Aynı yükümlülükler alt zincire aktarılmalıdır ve ilk veri işleyen, alt işleyen için veri sorumlusuna karşı tam sorumlu kalır.

Sözleşme bittiğinde kişisel verilere ne olur?

Veri sorumlusunun tercihine göre veri işleyen bunları siler veya iade eder ve iç hukuk saklamayı gerektirmedikçe kopyaları siler. Bu tercihi maddeye yazın.

Kaynaklar

İlgili

Hukuki ifade esas alınırSon inceleme: 28 Ekim 2026Avukat incelemesi bekleniyor