GDPR: kişisel veri göndermeden önce 5 kontrol
Barındırma, hukuki dayanak, saklama süresi, izlenebilirlik, veri minimizasyonu: GDPR’ın dosya transferleriniz açısından pratikte ne anlama geldiği.
Taranmış bir kimlik, bir İK dosyası, bir müşteri listesi: bir dosya kişiyi tanımlamaya yarayan veriler içerdiği anda, onu göndermek GDPR kapsamında kişisel veri işleme anlamına gelir — ve kullandığınız araç bu zincirin halkalarından biri hâline gelir. "Gönder"e tıklamadan önce yapmanız gereken beş kontrol şöyle.
Bu sizi ilgilendiriyor mu? (spoiler: evet)
GDPR yalnızca büyük platformlar için geçerli değil: bordro alan mali müşavir, portre teslim eden fotoğrafçı, İK dosyası gönderen küçük işletme — hepsi kişisel veri işler. Sorumluluk araca devredilemez, ama araç seçimi sizi bağlar.
1. Verilerin nerede barındırıldığı
Transfer hizmetinize soracağınız ilk soru: dosyalar nerede saklanıyor? Avrupa Ekonomik Alanı (AEA) içinde barındırma uyumu köklü biçimde kolaylaştırır; AEA dışına yapılan bir aktarım ise ek güvenceler gerektirir (yeterlilik kararı, standart sözleşme maddeleri). TransferNow verileri Avrupa’da barındırır ve plana göre bölge seçme imkânı sunar.
2. Sözleşmesel çerçeve (DPA)
Bir tüzel kişi adına hareket ediyorsanız transfer hizmeti, 28. madde anlamında sizin veri işleyeninizdir: ilişkinin bir veri işleme sözleşmesiyle (DPA) düzenlenmesi gerekir. Böyle bir belgenin var olduğundan ve erişilebilir olduğundan emin olun — DPO’nuzun ilk isteyeceği belge budur. Bizimki herkese açıktır ve gizlilik politikamızdan erişilebilir.
3. Saklama süresi
GDPR, verilerin gerekli olandan uzun süre saklanmamasını şart koşar. Dosya transferi diline çevirirsek: süresi dolan bir bağlantı uyum açısından bir avantajdır. Gerçek ihtiyaca uyan bir süre seçin — çoğu zaman 7 gün yeterli olur — ve teslimat tamamlanır tamamlanmaz bağlantıyı devre dışı bırakmanıza izin veren bir hizmet tercih edin.
4. İzlenebilirlik
Bir müşteriden ya da bir otoriteden soru geldiğinde, verilere kimin eriştiğini söyleyebilmeniz gerekir. Her indirmede gönderilen kişiye özel bildirim, ek bir prosedüre gerek kalmadan bu kaydı sağlar: dosyayı kimin, ne zaman aldığını gösterir.
5. Veri minimizasyonu
En basit ve en çok unutulan ilke: yalnızca gerekli olanı gönderin. "Ne olur ne olmaz" diye gönderilen eksiksiz klasör riski katlar. Hassas her gönderimden önce tek bir soru sorun: bu alıcının bütün bu dosyalara ihtiyacı var mı?
Bu beş madde hukuki danışmanlığın yerini tutmaz — ama bir DPO’nun ilk kontrol edeceği noktaları kapsar. Teknik tarafı için güvenlik kontrol listemiz bunu tamamlıyor.
Sıkça sorulan sorular
Kişisel verileri ücretsiz bir bireysel kullanıcı hizmetiyle gönderebilir miyim?
Ölçüt ücretli mi ücretsiz mi olduğu değil, sunulan güvencelerdir: AEA’da barındırma, erişilebilir bir DPA, kontrollü saklama süresi, izlenebilirlik. Bu dört noktayı kontrol edin — bireysel kullanıcılara yönelik pek çok hizmet hiçbirini karşılamaz.
Transferin alıcısının da Avrupa’da olması gerekir mi?
Zorunlu değil, ancak veriler AEA dışına çıkıyorsa ek güvenceler devreye girer (yeterlilik, standart maddeler). Hizmetin Avrupa’daki barındırması depolamayı kapsar; alıcı ise sizin duruma özel değerlendirmenize tabidir.
TransferNow’un DPA belgesini nerede bulabilirim?
Belge, gizlilik politikamızdan (transfernow.net/tr/privacy-gdpr) PDF olarak, Fransızca ve İngilizce erişilebilir.
DPA nedir ve ne zaman gerekir?
DPA (veri işleme sözleşmesi), GDPR’ın 28. maddesi kapsamındaki bir veri işleyenle ilişkiyi düzenleyen sözleşmedir. Bir tüzel kişi adına kişisel veri gönderdiğiniz andan itibaren transfer hizmetiniz veri işleyen konumundadır: DPA’nın var olması ve erişilebilir olması gerekir.
Süresi dolan bir bağlantı GDPR uyumuna yardımcı olur mu?
Evet, doğrudan: GDPR verilerin gerekli olandan uzun süre saklanmamasını şart koşar; süresi sınırlı bir bağlantı da bu ilkeyi ek prosedür gerektirmeden hayata geçirir. Teslimat doğrulanır doğrulanmaz elle devre dışı bırakma ile tamamlayın.
Kayıt olmadan, transfer başına ücretsiz 5 GB