# VERİ İŞLEME SÖZLEŞMESİ — GDPR MADDE 28 DEĞERLENDİRME KONTROL LİSTESİ

Belge kodu: DPA-28-CHK-01 · Sürüm 1.0 · Gizlilik: Şirket içi
Veri sorumlusu: ....................   Veri işleyen: ....................
Sözleşme tarihi: ....../....../20....   İnceleyen: ....................

PUANLAMA:  [E] var ve yeterli   [K] kısmen / metin düzeltmeli   [H] yok

BÖLÜM A — İLİŞKİ VE KAPSAM
[ ] A1 Taraflar ve rolleri (sorumlu / işleyen) tanımlı.
[ ] A2 İşlemenin konusu, süresi, niteliği ve amacı belirtilmiş.
[ ] A3 Kişisel veri türleri ve ilgili kişi kategorileri sayılmış.
[ ] A4 Sözleşme yazılı, elektronik biçim dâhil (m. 28(9)).

BÖLÜM B — SEKİZ ZORUNLU HÜKÜM (m. 28(3))
[ ] B1 (a) İşleme yalnızca sorumlunun belgelenmiş talimatlarıyla; üçüncü
        ülkeye aktarımlar dâhil.
[ ] B2 (b) İşlemeye yetkili kişiler gizlilik yükümlülüğü altında.
[ ] B3 (c) Madde 32'deki tüm güvenlik tedbirleri alınıyor.
[ ] B4 (d) Alt işleyenler: izin olmadan (genel veya özel) çalıştırılmıyor; aynı
        yükümlülükler sözleşmeyle aktarılıyor; işleyen alt işleyeninden tam sorumlu.
[ ] B5 (e) İşleyen, ilgili kişi taleplerinde (Bölüm III) sorumluya yardımcı oluyor.
[ ] B6 (f) İşleyen, 32-36. maddelerde (güvenlik, ihlal bildirimi, DPIA, ön
        danışma) elindeki bilgi ölçüsünde yardımcı oluyor.
[ ] B7 (g) Sona ermede veri, sorumlunun tercihine göre siliniyor veya iade
        ediliyor; hukuken saklama gerekmedikçe kopyalar siliniyor.
[ ] B8 (h) İşleyen, uyumu kanıtlamak için gereken tüm bilgiyi sağlıyor; denetim
        ve incelemelere izin veriyor ve katkı sunuyor.
[ ] B9 İşleyen, bir talimatın GDPR'ı veya ilgili veri koruma hukukunu ihlal
        ettiğini düşünürse sorumluyu bilgilendiriyor.

BÖLÜM C — ALT İŞLEYENLER (m. 28(2) & (4))
[ ] C1 İzin modeli belirtilmiş (önceden bildirimli genel veya özel).
[ ] C2 Güncel bir alt işleyen listesi / eki var.
[ ] C3 Değişiklik bildirimi ve itiraz mekanizması tanımlı.
[ ] C4 Her alt işleyene aynı veri koruma yükümlülükleri yansıtılıyor.

BÖLÜM D — YURT DIŞINA AKTARIM (m. 44 vd.)
[ ] D1 Aktarım konumları (işleyen ve alt işleyenler) belirli.
[ ] D2 Geçerli bir aktarım aracı var (yeterlilik / SCC / BCR).
[ ] D3 Kullanılıyorsa Standart Sözleşme Hükümleri ekli ve doldurulmuş.
[ ] D4 Gerekli olduğunda aktarım etki değerlendirmesi mevcut.

BÖLÜM E — GÜVENLİK, İHLAL, KAYIT
[ ] E1 Teknik ve idari tedbirler yalnızca atıfla değil, tarif edilerek yazılmış.
[ ] E2 Sorumluya ihlal bildirimi "gecikmeksizin" ve bir süreyle tanımlı.
[ ] E3 İşleyen, sorumlu adına işleme kayıtlarını tutuyor (m. 30(2)).
[ ] E4 Denetim sıklığı, maliyeti ve yöntemi uygulanabilir, göstermelik değil.

SONUÇ
[H] / [K] madde sayısı: ....   Öncelikli eksikler: ........................
Giderme sorumlusu: ..............   Hedef tarih: ....../....../20....

Bu kontrol listesi genel niteliktedir ve hukuki danışmanlık oluşturmaz.