Veri İşleme Sözleşmesi (VİS)

Standart sözleşme hükümleri

EUR-Lex’e göre resmi metin (CELEX 32021D0915), Kararın Ek’i. Seçilen seçenekler [Seçim: …] ile işaretlenmiştir, seçilmeyenler ise çizilmiştir; bunun dışında metinde herhangi bir değişiklik yapılmamıştır.

Bölüm II: Tarafların Yükümlülükleri

Madde 6: İşlemenin Tanımı

İşlemefaaliyetlerinin ayrıntıları, özellikle kişisel veri kategorileri ve kişisel verilerin veri sorumlusu adına işlenme amaçları, Ek II’de belirtilmiştir.

Madde 7: Tarafların Yükümlülükleri

7.1. Talimatlar

a) İşlemci, kişisel verileri yalnızca sorumlu tarafın belgelenmiş talimatı doğrultusunda işler; ancak, Birlik hukuku veya tabi olduğu bir üye devletin hukuku uyarınca işleme yükümlülüğü bulunuyorsa bu durum istisnadır. Böyle bir durumda, işleyici, ilgili hukukun önemli bir kamu yararı nedeniyle bunu yasaklamadığı sürece, işleme başlamadan önce bu yasal gereklilikleri sorumlu tarafa bildirir. Sorumlu taraf, kişisel verilerin işlendiği süre boyunca ilave talimatlar verebilir. Bu talimatlar her zaman belgelenmelidir.

b) İşlemci, sorumlu tarafından verilen talimatların (AB) 2016/679 sayılı Tüzüğe, (AB) 2018/1725 sayılı Tüzük’e veya Birlik ya da üye devletlerin geçerli veri koruma hükümlerine aykırı olduğunu düşünürse, veri sorumlusunu derhal bilgilendirir.

7.2. Amaç Sınırlaması

Veri işleyen, veri sorumlusundan başka talimat almadığı sürece, kişisel verileri yalnızca Ek II’de belirtilen belirli amaç(lar) için işler.

7.3. Kişisel Verilerin İşlenme Süresi

Veriler, işleyen tarafından yalnızca Ek II’de belirtilen süre boyunca işlenir.

7.4. İşlemenin Güvenliği

a) İşleyen, kişisel verilerin güvenliğini sağlamak için en azından Ek III’te belirtilen teknik ve organizasyonel önlemleri alır. Bu, verilerin, kasıtsız veya hukuka aykırı olsun, verilerin imha edilmesine, kaybolmasına, değiştirilmesine veya yetkisiz ifşasına ya da verilere yetkisiz erişime yol açan bir güvenlik ihlalinden korunmasını içerir (bundan sonra “Kişisel Verilerin Korunmasında İhlal” olarak anılacaktır). Taraflar, uygun koruma düzeyini değerlendirirken, teknolojinin mevcut durumunu, uygulama maliyetlerini, işleme türünü, kapsamını, koşullarını ve amaçlarını ile ilgili kişiler için ortaya çıkan riskleri gerektiği gibi dikkate alırlar.

b) İşlemci, personelinin işleme konusu kişisel verilere erişimini, sözleşmenin yürütülmesi, yönetimi ve denetlenmesi için kesinlikle gerekli olduğu ölçüde sınırlar. İşlemci, alınan kişisel verilerin işlenmesine yetkili kişilerin gizlilik taahhüdünde bulunmuş olmalarını veya uygun bir yasal gizlilik yükümlülüğüne tabi olmalarını garanti eder.

7.5. Hassas Veriler

İşleme, ırksal veya etnik kökeni, siyasi görüşleri, dini veya felsefi inançları ya da sendika üyeliğini ortaya koyan kişisel verileri veya bir gerçek kişinin kesin olarak tanımlanması amacıyla genetik verileri veya biyometrik verileri, bir kişinin sağlığı, cinsel yaşamı veya cinsel yönelimi ile ilgili veriler ya da cezai hükümler ve suçlarla ilgili veriler içeriyorsa (bundan sonra “hassas veriler” olarak anılacaktır), işleme sorumlusu özel kısıtlamalar ve/veya ek garantiler uygular.

7.6. Belgeleme ve Hükümlere Uyum

a) Taraflar, bu hükümlereuyum sağladıklarını kanıtlayabilmelidir.

b) Veri işleyen, veri sorumlusunun bu hükümlere uygun olarak veri işlemeyle ilgili taleplerini derhal ve uygun bir şekilde ele alır.

c) İşlemci, bu hükümlerde belirtilen ve (AB) 2016/679 sayılı Tüzük ve/veya (AB) 2018/1725 sayılı Tüzükten doğrudan kaynaklanan yükümlülüklerin yerine getirildiğini kanıtlamak için gerekli olan tüm bilgileri Veri Sorumlusuna sağlar. Veri Sorumlusunun talebi üzerine, Veri İşleyen ayrıca bu hükümler kapsamındaki işleme faaliyetlerinin makul aralıklarla veya uyumsuzluk belirtileri olması durumunda denetlenmesine izin verir ve bu tür bir denetime katkıda bulunur. Denetim veya inceleme kararı verirken, veri sorumlusu, veri işleyicinin ilgili sertifikalarını dikkate alabilir.

d) Veri sorumlusu, denetimi kendisi gerçekleştirebilir veya bağımsız bir denetçi görevlendirebilir. Denetimler, veri işleyicinin tesislerinde veya fiziksel tesislerinde yapılacak teftişleri de içerebilir ve uygun olduğu hallerde makul bir ön bildirim süresi ile gerçekleştirilir.

e) Taraflar, talep üzerine bu maddede belirtilen bilgileri, denetim sonuçları da dahil olmak üzere, yetkili denetim makamına/makamlarına sunacaktır.

7.7. Alt İşlemcilerin Kullanımı

a) SEÇENEK 2: GENEL YAZILI İZİN: Veri İşleyen, Veri Sorumlusu’ndan, üzerinde mutabık kalınan bir listede yer alan alt veri işleyicileri görevlendirmek için genel izin almıştır. Veri İşleyen, bu listeye alt işleyici ekleyerek veya mevcut alt işleyicileri değiştirerek yapılması planlanan tüm değişiklikleri, Veri Sorumlusuna en az 30 gün önceden açıkça ve yazılı olarak bildirir ve böylece Veri Sorumlusuna, ilgili alt işleyici(ler)in görevlendirilmesinden önce bu değişikliklere itiraz edebilmesi için yeterli süre tanır. İşlemci, Veri Sorumlusunun itiraz hakkını kullanabilmesi için gerekli bilgileri Veri Sorumlusuna sağlar. [Seçim: Seçenek 2, süre 30 gün; mutabık kalınan liste Ek IV’tedir]

b) İşlemci, belirli işleme faaliyetlerinin yürütülmesi için (Veri Sorumlusu adına) bir alt işleyiciye görev verirse, bu görevlendirme, alt işleyiciye esasen bu hükümler uyarınca işleyici için geçerli olanlarla aynı veri koruma yükümlülüklerini yükleyen bir sözleşme yoluyla yapılmalıdır. Veri İşleyen, alt işleyicinin, bu hükümler uyarınca ve (AB) 2016/679 sayılı Tüzük ve/veya (AB) 2018/1725 sayılı Tüzük uyarınca Veri İşleyenin tabi olduğu yükümlülükleri yerine getirmesini sağlar.

c) Veri işleyen, veri sorumlusunun talebi üzerine, söz konusu alt işleme sözleşmesinin bir kopyasını ve daha sonra yapılan olası değişiklikleri veri sorumlusuna sunar. Ticari sırların veya kişisel veriler dahil olmak üzere diğer gizli bilgilerin korunması için gerekli olduğu ölçüde, işleyici, bir kopyasını paylaşmadan önce sözleşmenin metnini gizleyebilir.

d) İşlemci, alt işleyicinin kendisiyle yapılan sözleşme uyarınca yükümlülüklerini yerine getirmesinden Veri Sorumlusuna karşı tam olarak sorumludur. İşlemci, alt işleyicinin sözleşmesel yükümlülüklerini yerine getirmemesi durumunda Veri Sorumlusunu bilgilendirir.

e) Veri işleyen, alt veri işleyen ile bir üçüncü lehdar maddesi üzerinde anlaşır; bu maddeye göre, veri işleyenin fiilen veya hukuken artık var olmaması veya ödeme aczine düşmesi durumunda - alt işleme sözleşmesini feshetme ve alt işleyiciye kişisel verileri silmesini veya iade etmesini talimat verme hakkına sahip olacaktır.

7.8. Uluslararası Veri Aktarımları

a) Veri işleyen tarafından üçüncü bir ülkeye veya uluslararası bir kuruluşa yapılan her türlü veri aktarımı, münhasıran veri sorumlusunun belgelenmiş talimatları temelinde veya Birlik hukuku ya da veri işleyenin tabi olduğu bir üye devletin hukukundaki özel bir hükmün yerine getirilmesi amacıyla gerçekleştirilir ve (AB) 2016/679 veya (AB) 2018/1725 sayılı Tüzük ile uyumlu olmalıdır.

b) Veri Sorumlusu, işleyicinin Madde 7.7 uyarınca belirli işleme faaliyetlerini (Veri Sorumlusu adına) yürütmek üzere bir alt işleyiciye başvurması ve bu işleme faaliyetlerinin (AB) 2016/679 sayılı Tüzüğün V. Bölümü anlamında kişisel verilerin aktarılmasını içermesi durumunda, işleyici ve alt işleyicinin (AB) 2016/679 sayılı Tüzüğün V. Bölümü’ne uymasını kabul eder (AB) 2016/679’un anlamı dahilinde kişisel verilerin aktarılmasını içeriyorsa, işleyici ve alt işleyicinin, (AB) 2016/679’un V. Bölümüne uyumu, (AB) 2016/679 sayılı Tüzüğün 46. maddesinin 2. fıkrası uyarınca Komisyon tarafından kabul edilen standart sözleşme hükümlerini kullanarak sağlayabilirler; ancak bu standart sözleşme hükümlerinin uygulanması için gerekli koşulların yerine getirilmesi şarttır.

Madde 8: Veri Sorumlusuna Destek

a) İşlemci, ilgili kişiden aldığı her türlü talebi derhal ### veri sorumlusunabildirir. Veri sorumlusu tarafından yetkilendirilmedikçe, talebe kendisi cevap vermez.

b) Veri işleyicisi, işleme türünü göz önünde bulundurarak, veri sorumlusunun, ilgili kişilerin haklarını kullanma taleplerine yanıt verme yükümlülüğünü yerine getirmesine destek olur. Veri işleyicisi, (a) ve (b) bentlerine göre yükümlülüklerini yerine getirirken veri sorumlusunun talimatlarına uyar.

c) İşlemcinin Madde 8’in b bendi uyarınca sorumlu kişiye destek verme yükümlülüğünün yanı sıra, işlemci, veri işleme türünü ve elindeki bilgileri dikkate alarak, sorumlu kişinin aşağıdaki yükümlülüklerini yerine getirmesine de destek olur:

• 1) Bir işleme biçiminin gerçek kişilerin hak ve özgürlükleri için yüksek risk oluşturacağı öngörülüyorsa, planlanan işleme faaliyetlerinin kişisel verilerin korunması üzerindeki etkilerine ilişkin bir değerlendirme (bundan sonra “Veri Koruma Etki Değerlendirmesi” olarak anılacaktır) yapma yükümlülüğü;
• 2) Veri koruma etki değerlendirmesinden, veri sorumlusunun riski azaltmaya yönelik önlemler almaması halinde işlemenin yüksek risk doğuracağı anlaşılıyorsa, işleme başlamadan önce yetkili denetim makamı veya makamlarıyla istişare etme yükümlülüğü;
• 3) Kişisel verilerin doğru ve güncel olmasını sağlama yükümlülüğü; bu kapsamda, işleyen, işlediği kişisel verilerin yanlış veya güncel olmadığını tespit ettiğinde, veri sorumlusunu derhal bilgilendirmelidir;
• 4) (AB) 2016/679 sayılı Tüzüğün 32. maddesine göre yükümlülükler. [Seçim: Seçenek 1]

d) Taraflar, Ek III’te, işleyenin bu maddenin uygulanmasında sorumlu kişiye sağlayacağı destek için uygun teknik ve organizasyonel önlemleri ile gerekli desteğin kapsamını ve boyutunu belirler.

Madde 9: Kişisel Verilerin Korunmasına İlişkin İhlallerin Bildirilmesi

Kişisel verilerin korunmasına ilişkinbir ### ihlaldurumunda, işleyici, veri sorumlusuyla işbirliği yapar ve veri sorumlusunun (AB) 2016/679 sayılı Tüzüğün 33. ve 34. maddeleri (AB) 2016/679 sayılı Tüzüğün 33. ve 34. maddeleri veya uygun olduğu hallerde (AB) 2018/1725 sayılı Tüzüğün 34. ve 35. maddeleri uyarınca yükümlülüklerini yerine getirebilmesi için işleyen, işleme türünü ve elindeki bilgileri dikkate alarak işleyen ile işbirliği yapar ve ona uygun şekilde destek sağlar.

9.1. Sorumlu tarafından işlenen verilerin korunmasında meydana gelen ihlal

Sorumlu tarafından işlenen verilerle ilgili olarak kişisel verilerin korunmasında bir ihlal meydana gelmesi durumunda, işleyici, sorumluya aşağıdaki şekilde destek sağlar:

a) kişisel verilerin korunmasında meydana gelen ihlalin, sorumlu tarafından ihlalin farkına varılmasından sonra, ilgili ise, derhal yetkili denetim makamına/makamlarına bildirilmesinde, ilgili durumlarda, veri sorumlusunun ihlali öğrenmesinden sonra (kişisel verilerin korunmasına ilişkin ihlalin, gerçek kişilerin kişisel hak ve özgürlükleri için bir risk oluşturması beklenmediği durumlar hariç);

b) (AB) 2016/679 sayılı Tüzüğün 33. maddesinin 3. fıkrası uyarınca, sorumlu tarafın bildiriminde belirtilmesi gereken aşağıdaki bilgilerin toplanmasında; bu bilgiler en azından aşağıdakileri içermelidir: [Seçim: Seçenek 1]

• 1) Kişisel verilerin türü; mümkün olduğu ölçüde, etkilenen kişilerin kategorileri ve yaklaşık sayısı ile etkilenen kişisel veri kayıtlarının kategorileri ve yaklaşık sayısı;
• 2) kişisel verilerin korunmasına ilişkin ihlalin olası sonuçları;
• 3) kişisel verilerin korunmasına ilişkin ihlali gidermek için sorumlu tarafından alınan veya önerilen tedbirler ve gerekirse olası olumsuz etkilerini hafifletmeye yönelik tedbirler.

Bu bilgilerin tamamı aynı anda sağlanamıyorsa, ilk bildirim o anda mevcut olan bilgileri içerir ve diğer bilgiler, elde edilir edilmez, makul bir gecikme olmaksızın sonradan sağlanır;

c) (AB) 2016/679 sayılı Tüzüğün 34. maddesinde belirtilen yükümlülüğe uygun olarak (AB) 2016/679 sayılı Tüzüğün 34. maddesinde belirtilen, kişisel verilerin korunmasına ilişkin ihlalin gerçek kişilerin hak ve özgürlükleri için yüksek risk oluşturması öngörüldüğü durumlarda, ilgili kişiye derhal bildirimde bulunma yükümlülüğüne uyulması. [Seçim: Seçenek 1]

9.2. Veri İşleyen Tarafından İşlenen Verilerin KorunmasındaMeydana Gelen**İhlal

Veri İşleyen tarafından işlenen verilerleilgili olarak kişisel **verilerin korunmasında bir ihlalmeydana gelmesi durumunda, Veri İşleyen, ihlali öğrendikten sonra derhal bunu Veri Sorumlusuna bildirir. Bu bildirimde en azından aşağıdaki bilgiler yer almalıdır:

a) ihlalin türüne ilişkin bir açıklama (mümkünse, etkilenen kişilerin kategorileri ve yaklaşık sayısı ile etkilenen veri kayıtlarının yaklaşık sayısı belirtilerek);

b) kişisel verilerin korunmasına ilişkin ihlal hakkında daha fazla bilgi alınabileceği bir irtibat noktasının iletişim bilgileri;

c) Kişisel verilerin korunmasına ilişkin ihlalin öngörülen sonuçları ve bu ihlali gidermek için alınan veya önerilen tedbirler, olası olumsuz etkilerini hafifletmeye yönelik tedbirler dahil.

Bu bilgilerin tamamı aynı anda sağlanamıyorsa, ilk bildirim o anda mevcut olan bilgileri içerir ve ek bilgiler, elde edilir edilmez, makul bir gecikme olmaksızın sonradan sağlanır.

Taraflar, Ek III’te, işleyicinin, sorumlu kişinin (AB) 2016/679 sayılı Tüzüğün 33. ve 34. maddelerine göre yükümlülüklerini yerine getirmesine destek olmak üzere sağlaması gereken diğer tüm bilgileri belirler. [Seçim: Seçenek 1]

Ek I: Tarafların listesi

Veri İşleyen

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, İsviçre, UID CHE-220.381.580, Günter Reichelt (Yönetim Kurulu Başkanı) tarafından temsil edilmektedir. İletişim: privacy@mail.transpareo.com.

GDPR Madde 27 uyarınca Veri Koruma Görevlisi ve AB Temsilcisi: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Münih, Almanya, info@mail.dg-datenschutz.de.

Transpareo’nun merkezi, Komisyon tarafından uygunluk kararı alınmış olan (2000/518/EG) İsviçre’dedir. Veriler Almanya’da bulunmaktadır.

Veri Sorumluları

Transpareo, bu hükümleri her bir veri sorumlusu ile ayrı ayrı imzalamaktadır. Veri sorumlusu şunlardan biridir:

1. Genel İş Koşulları (AGB) uyarınca Transpareo platformunu kullanan bir müşteri. Ad, adres ve irtibat kişisi, müşterinin platform üzerinden sözleşmeyi imzalarken sağladığı ve hesabında güncel tuttuğu bilgilerdir; irtibat kişisi, hesap sahibidir. Bu hükümler, bu sözleşmenin imzalanmasıyla kabul edilmiş sayılır (AGB’nin 14. maddesi).
2. Tedarikçi sayfası aracılığıyla kendi tedarikçilerine bir talep ileten bir tedarikçi. Sorumlu kişi, talepte belirtildiği şekilde, iletimin yapıldığı bağlantının yönlendirildiği şirkettir. İrtibat kişisi, talebi ileten kişidir; bu kişi, ileti sırasında belirttiği ad ve e-posta adresiyle tanımlanır. Tedarikçi, talebi iletirken şirketi adına bu hükümleri kabul ederek sözleşmeyi imzalamış sayılır; Transpareo, kabul edilen metni ve iletilen bağlantıyla birlikte kabul tarihini kaydeder. Ayrıca, tedarikçi için Kullanım Koşulları da geçerlidir.

Transpareo, sorumlu tarafın veri koruma görevlisini, bu kişi tarafından belirtildiği anda kayda alır.

Genel Şartlar ve Koşullar veya Tedarikçiler için Kullanım Koşulları, her durumda ana sözleşme niteliğindedir. Hükümler elektronik olarak imzalanır (GDPR Madde 28, Paragraf 9); katılım tarihi, sözleşmenin imzalandığı tarihtir.

Ek III: Teknik ve organizasyonel önlemler

Şifreleme ve Takma Adlandırma

• Tüm bağlantılar TLS ile şifrelenmiştir.
• Erişim bilgileri ve diğer gizli veriler (PIN, tek kullanımlık kod anahtarları, SMTP erişim bilgileri, API anahtarları) veritabanında AES-256-GCM ile şifrelenmiş olarak saklanır; her çalışma alanı için ayrı bir anahtar kullanılır.
• Yedeklemeler şifrelenmiştir.
• Ziyaretçi istatistikleri, IP adreslerini yalnızca gizli anahtarla şifrelenmiş bir hash değeri olarak saklar. Tedarikçi sayfasına yapılan erişimler bu istatistiklere dahil edilmez.

Ayrıştırma

• Her müşterinin kendine ait bir veritabanı vardır.

Fiziksel Güvenlik

• Sunucular ve nesne depolama alanları, ISO 27001 sertifikalı, Almanya’nın Falkenstein kentinde bulunan Hetzner Online GmbH’nin veri merkezlerinde barındırılmaktadır.

Kimlik Doğrulama ve Yetkilendirme

• Şifreler yalnızca bcrypt hash’i olarak saklanır.
• Tek kullanımlık kod veya güvenlik anahtarı ile iki faktörlü oturum açma özelliği tüm kullanıcıların hizmetindedir; müşteri, çalışma alanı için bu özelliği talep edebilir.
• Oturum, müşteri tarafından ayarlanan bir süre boyunca herhangi bir etkinlik olmaması durumunda sona erer (varsayılan ayar sekiz saattir).
• Çalışma alanında, müşteri tarafından atanan roller ve yetkiler geçerlidir.
• Transpareo çalışanları, bir çalışma alanını yalnızca müşteri adına oturum açarak açabilirler; bu işlem, platform günlüğüne ve çalışma alanının güvenlik günlüğüne kaydedilir.
• Tedarikçi tarafı: Bağlantı, 16 karakterlik (80 bit) rastgele bir anahtar içerir; PIN girilmeden sayfa veri setinin hiçbir kısmını göstermez. Beş kez yanlış PIN girildikten sonra bağlantı 15 dakika süreyle engellenir. Sayfa, her IP adresi için dakikada en fazla 120 erişim kabul eder. Engelleme kaldırıldığında oturuma yeni bir kimlik atanır. Sayfa, arama motorlarına engellenmiştir ve adresini üçüncü taraf sitelere aktarmaz.

Günlük Kaydı

• Veri kayıtlarındaki değişiklikler ve tedarikçi tarafındaki işlemler, zaman, işlem yapan kişi ve IP adresi ile birlikte günlüğe kaydedilir ve beş yıl süreyle saklanır; oturum açma işlemleri ve diğer güvenlik olayları ise bir yıl süreyle saklanır.
• Sunucu günlükleri 14 gün sonra silinir.

Bütünlük

• Tedarikçilere ait görseller, bir inceleme sonucunda kabul edilene kadar meta veriler olmadan kamuya açık depolama alanının dışındaki korumalı bir alanda tutulur. Bir yanıt, veri kaydını ancak inceleme tamamlandıktan sonra değiştirir.
• Yayınlanan sürümler kriptografik olarak imzalanır.

Kullanılabilirlik ve Geri Yükleme

• Her dört saatte bir, aktif olan her çalışma alanının veritabanı ve dosyaları yedeklenir, şifrelenir ve sunuculardan ayrı olarak Almanya’daki nesne depolama alanında saklanır. Yerel kopyalar dört gün sonra silinir. Nesne depolama alanındaki yedekler 90 gün boyunca saklanır ve 30 gün içinde kalıcı olarak silinir.
• Hizmetler ve sunucular sürekli olarak izlenir; güvenlik güncellemeleri düzenli olarak yüklenir.
• Transpareo bu önlemleri düzenli olarak gözden geçirir ve en son teknolojiye göre günceller.

Sorumlunun Desteği (Madde 8 ve 9)

• Bir müşteri, platformdaki çalışma alanına ait verileri görüntüleyebilir, düzeltebilir ve silebilir. Bir tedarikçi, tedarikçi sayfasında kendi paylaşımlarına verilen yanıtları görebilir ve paylaşılan her bağlantıyı geri çekebilir.
• Transpareo’ya ulaşan ilgili kişilerin taleplerini Transpareo derhal sorumlu kişiye iletir.
• Madde 7.7 ve 9.2 uyarınca yapılan bildirimler, müşterinin hesap sahibine ve tedarikçinin paylaşım sırasında belirttiği e-posta adresine e-posta yoluyla gönderilir. Madde 9.2 (b) bendi uyarınca irtibat noktası privacy@mail.transpareo.com adresidir.
• Madde 9.2 uyarınca yapılan bir bildirimde ayrıca ihlalin gerçekleştiği ve tespit edildiği tarih ile etkilenen çalışma alanları veya bağlantılar da belirtilir.

İsviçre Ek Maddesi

Bu ek, Madde 2’nin (b) bendi uyarınca bir başka hükümdür. İşleme faaliyetinin İsviçre Federal Veri Koruma Kanunu’na (DSG) tabi olması durumunda:

1. (AB) 2016/679 sayılı Tüzüğe yapılan atıflar, aynı zamanda DSG’nin ilgili hükümlerine de atıf olarak kabul edilir; yani GDPR’nin 28. maddesi DSG’nin 9. maddesine, 32. maddesi 8. maddesine, 33. ve 34. maddeler 24. maddeye, 35. ve 36. maddeler 22. ve 23. maddelere, Bölüm V, 16 ila 18. maddelere; ilgili kişilerin hakları, DSG’nin 25 ila 32. maddelerine; ve Madde 7.5’teki hassas veriler, DSG’nin 5. maddesinin c bendi uyarınca özel koruma gerektiren kişisel verilere;
2. Yetkili denetim makamı, İsviçre Federal Veri Koruma ve Bilgilendirme Komiseri’dir (EDÖB); GDPR’ye göre denetim makamlarının yetki alanı bundan etkilenmez;
3. İsviçre hukuku da bir üye devletin hukuku olarak kabul edilir.

Güncelleme tarihi: 8 Ekim 2026