Statü, taraflar ve talimatlar
Bu yayımlanmış çerçeve, imzalanmış bir veri işleme sözleşmesi değildir. Ancak taraflar, işleme ekleri ve kabul mekanizması tamamlandığında uygulanabilir. AB veya Türkiye’ye ilişkin yurt dışı aktarım belgesinin yerini almaz.
Çalışma alanı işlemesinin amaçlarını ve temel vasıtalarını müşteri belirliyorsa müşteri veri sorumlusudur; sağlayıcı belgelenmiş talimatlarla kişisel veri işler. Bağımsız toplanan aday bilgileri dâhil farklı roller değerlendirilmelidir; her işlem otomatik olarak veri işleyen faaliyeti sayılmaz.
Mutabık kalınan ek kapsamındaki veri işleyen yükümlülükleri
- Yalnızca belgelenmiş hukuka uygun talimatlarla işlemek; veri koruma hukukuyla bağdaşmadığı görülen talimatları bildirmek.
- Yetkili erişimi sınırlamak ve müşteri verisini ele alan personel için uygun gizlilik yükümlülükleri sağlamak.
- Tamamlanan güvenlik ekinde açıklanan riske uygun teknik ve idari tedbirleri uygulamak. Doğrulanmamış sertifika veya şifreleme ifadesini bu çerçevenin parçası saymamak.
- İşleme ilişkisi için gerektiği ölçüde ilgili kişi başvuruları, olay müdahalesi, etki değerlendirmeleri ve uyum bilgileri konusunda destek vermek.
- Kişisel veri ihlalini öğrenince mevcut bilgiler ve takip adımlarıyla müşteriye gecikmeksizin bildirmek. Nihai olay irtibatları ve eskalasyon süreci tamamlanmalıdır.
- Hizmet sonunda müşteri talimatıyla işlenen kişisel verileri kararlaştırılan talimatlara ve saklama yükümlülüklerine göre iade etmek veya silmek; yedek işleyişini ve silme sürelerini belgelemek.
Alt veri işleyenler ve aktarımlar
Nihai envanter her yetkili alt veri işleyeni, tüzel kişiyi, hizmeti, işleme yerini, veri kategorisini ve aktarım güvencesini tanımlamalıdır. Değişikliklerde kararlaştırılan bildirim ve itiraz süreci uygulanır. Kaynak kodda sağlayıcı adı bulunması, tek başına yapılmış veri işleme sözleşmesinin kanıtı değildir.
Yurt dışı aktarımda ek güvence gerekiyorsa mekanizma, gerçek veri aktaran/alıcı rolleri için değerlendirilip tamamlanmalıdır. Bu çerçeve her standart sözleşme hükmünü otomatik içermez veya tüm aktarımların zaten uyumlu olduğunu ileri sürmez.
Tamamlanacak ekler
| Ek | Gereken ayrıntı |
|---|---|
| A · İşleme | Taraflar, ürünler, konu/süre, amaçlar, talimatlar, veri kategorileri ve kişi grupları. Task: ekip/müşteri işleri. Scale: metrik/dosya/rapor. Compete: araştırma girdileri/sonuçları. Recruit: roller ayrıca değerlendirilerek araştırma, zenginleştirme ve aday havuzları. |
| B · Güvenlik | Doğrulanmış erişim kontrolleri, kimlik doğrulama, şifreleme kapsamı, kayıtlar, yedekler, olay yönetimi, ayrıştırma ve silme süreçleri. |
| C · Alıcılar | Teyit edilmiş alt veri işleyen listesi, bölgeler, sözleşmeler, aktarım belgeleri ve değişiklik bildirim mekanizması. |
| D · Ayrılma ve gözetim | Dışa aktarma/iade biçimi, silme ve yedek süreleri, denetim kanıtları, irtibatlar ve ölçülü denetim koşulları. |