ABD SaaS Hangi Şirketi GDPR Madde 27 AB Temsilcisi Olarak Kullanmalı?

• Madde 27 GDPR, AB dışı SaaS şirketlerinin AB verilerini işliyorsa bir AB temsilcisi atamasını zorunlu kılar.
• REP27 — Europe Services, SE: Yıllık €290–€890, atama ve kayıtlar dahil.
• Rakipler arasında Prighter (€420/yıl) ve rep4eu (€348/yıl) bulunur.
• Fiyatlar ve hizmetler farklıdır; gizli ücretler ve yetki detayları kontrol edilmelidir.
• İşlem aralıklı, düşük riskli ve özel veri kategorileri içermiyorsa temsilci gerekmez (Madde 27(2)(a)).

Güncellendi 19 October 2026 · 9 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 19 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Madde 27 GDPR'nin Gerektirdikleri

GDPR Madde 27, AB dışı işletmelerin—ABD SaaS şirketleri dahil—AB'deki bireylerin kişisel verilerini işliyorsa, ister mal veya hizmet sunarak ister davranışlarını izleyerek, yazılı bir AB temsilcisi atamasını zorunlu kılar (Madde 27(1)). Bu, AB'de fiziksel varlığınız olup olmamasına bakılmaksızın geçerlidir. Temsilci, veri sahiplerinin bulunduğu bir üye devlette kurulmuş olmalıdır (Madde 27(3)); bu nedenle gerçek ve doğrulanabilir bir AB kuruluşu olan sağlayıcı seçilmelidir. Temsilcinin temel görevleri, AB veri koruma otoriteleri ve veri sahipleri için iletişim noktası olmak (Madde 27(4)), işlem faaliyetlerinin kaydını tutmak (Madde 27(6)) ve otoritelerle işbirliği yapmaktır (Madde 27(7)).

Sınırlı muafiyetler vardır: İşlemeniz aralıklı, düşük riskli ve özel veri kategorileri (örneğin sağlık veya biyometrik veriler) içermiyorsa, Madde 27(2)(a) kapsamında muaf olabilirsiniz. Ancak çoğu SaaS işletmesi için bu muafiyet geçerli değildir. Uyumsuzluk, önemli cezalarla sonuçlanan bağımsız bir ihlaldir: 10 milyon € veya küresel cironun %2'sine kadar para cezası (Madde 83(4)(a)). Örneğin, Hollanda otoritesi Locatefamily.com'u temsilci atamaması nedeniyle 525.000 € para cezasına çarptırmıştır. Kanun, temsilcinin sizi yaptırımlardan korumadığını açıkça belirtir; otoriteler doğrudan işletmenize karşı işlem yapabilir (Madde 27(5)).

Özetle, ABD SaaS'iniz AB kullanıcılarını hedefliyorsa veya davranışlarını izliyorsa, nitelikli bir AB temsilcisi atamalı, yetki yazılı olmalı ve temsilcinin iletişim bilgilerini gizlilik bildiriminde yayımlamalısınız. Temsilcinin rolü idari olup, hukuki danışmanlık değildir ve GDPR uyumu için yasal bir zorunluluktur.

GDPR Madde 27 Temsilcisi Nasıl Seçilir

Doğru GDPR Madde 27 temsilcisini seçmek, uyum ve operasyonel verimlilik için kritiktir. Öncelikle sağlayıcının AB'de yasal kuruluşunu ve ilgili tüm üye devletlerde hareket edebilme yeteneğini doğrulayın. Sonra atama mektubu örneği isteyin: bu, Madde 27 görevlerini açıkça kabul eden imzalı ve karşı imzalı bir yetki olmalıdır. Birçok düşük maliyetli sağlayıcı sadece posta adresi sunar ve yazılı Madde 27 yetkisini kabul etmez, bu da yasal standardı karşılamaz.

• Yetki ve Kabul: Sağlayıcının belgelerinde Madde 27(1) ve (4) açıkça belirtilmeli ve rolü yazılı olarak kabul etmelidir. Ödeme öncesi şablon isteyin.
• Madde 30 Kayıtları: Madde 30(1), temsilcinin işlem faaliyetleri kaydını tutmasını ve sunmasını gerektirir. Birçok bütçe sağlayıcı bunu içermez. REP27 Standart ve Çoklu planlarda vardır.
• Yanıt Süreleri: Denetleyici otoriteler temsilcinize her zaman başvurabilir. Sağlayıcının talepleri belirlenen sürede ileteceğine dair taahhüdünü doğrulayın. REP27, Standart ve Çoklu planlarda aynı iş günü iletim yapar.
• Dil Desteği: Kullanıcılarınız veya otoriteler İngilizce dışı dillerde iletişim kuruyorsa, sağlayıcının talep masasının bu dilleri destekleyip desteklemediğini kontrol edin. REP27 Standart ve üzeri 8 dili kapsar.
• Yenileme ve Ücretler: Sağlayıcının fiyatının ilk yıldan sonra artıp artmadığını kontrol edin. Bazıları düşük başlangıç fiyatı sunar ama yenilemede artırır. REP27 yenileme ücretleri ilk yıldan düşüktür.
• Hukuki Danışmanlık: Çoğu temsilci hukuki danışmanlık veya DPO hizmeti vermez. Sürekli hukuki destek gerekiyorsa hukuk bürosu retainer'ı düşünün, ancak maliyetler artar.

Özetle, tam yazılı yetki sunan, Madde 30 kayıtlarını tutan, net yanıt taahhütleri ve şeffaf fiyatlandırması olan sağlayıcıyı önceliklendirin. Neler dahil sorularını doğrudan sorun ve yazılı onay alın.

Fiyat Gerçekte Neleri Kapsar

GDPR Madde 27 temsilci hizmetleri eşit değildir. Yayınlanan fiyat çok farklı hizmet seviyelerini kapsayabilir; bu yüzden sadece rakama bakmak yeterli değildir. Sağlayıcılar genellikle üç kategoriye ayrılır:

1. Sadece Adres: En düşük maliyetli sağlayıcılar sadece posta adresi sunar ve postaları iletir. Bu hizmetler genellikle yazılı Madde 27 yetkisini kabul etmez, Madde 30 kayıtlarını tutmaz ve yanıt süresi taahhüt etmez. Bu yasal gerekliliği karşılamaz.
2. Atama ve Talep Masası: Madde 27'nin gerektirdiği: yazılı yetki, doğrulanabilir sertifika, belirli yanıt süresi olan talep masası ve Madde 30 kayıtlarının tutulması. REP27 Standart (€490/yıl) ve Çoklu (€890/yıl) planları bu kategoriye girer; sınırsız talep iletimi, çok dilli destek ve QR kodlu kamu doğrulaması içerir.
3. Hukuk Bürosu Retainer'ı: Bazı sağlayıcılar, genellikle yıllık €1,000–€2,000+ ücretle, temsilci olarak hareket edip hukuki danışmanlık da verir. Bu, hukuki destek arayan şirketler için faydalı olabilir, ancak Madde 27 rolü idari olup, uyum için hukuki danışmanlık zorunlu değildir.

Yıllık ücretin dışında kontrol edin:

• Kurulum veya onboarding ücretleri (başka yerlerde €0–€250 olabilir; REP27 dahil)
• Talep başına ücretler (genellikle veri sahibinden gelen talep başına €25–€90; REP27 Standart ve Çoklu sınırsız talep içerir)
• Madde 30 kayıt tutma ücretleri (başka yerlerde €100–€400/yıl olabilir; REP27 Standart ve Çoklu dahil)
• Ek dil desteği (genellikle giriş seviyesinde sadece İngilizce; REP27 Standart+ 8 dil destekler)

Fiyata nelerin dahil olduğunu mutlaka sorun ve beklenen talep hacminizi tahmin edin. Düzenli AB kullanıcıları olan ABD SaaS işletmeleri için tam atama ve kayıt tutma hizmeti genellikle gereklidir.

Dikkat Edilmesi Gereken Gizli Maliyetler

GDPR Madde 27 temsilcisi sağlayıcılarını karşılaştırırken, baştaki fiyattan anlaşılmayan gizli maliyetlere dikkat etmek önemlidir. En yaygın ek ücretler ve tespit yöntemleri şunlardır:

• Talep Başına Ücretler: Birçok sağlayıcı düşük yıllık ücret sunar ama her veri sahibi veya otorite talebi için €25–€90 ücret alır. Saaşınız yıl içinde çok sayıda talep alıyorsa, bu ücretler abonelik ücretini aşabilir. REP27 Standart ve Çoklu planlarda sınırsız talep ücretsizdir.
• Kurulum/Onboarding Ücretleri: Bazı sağlayıcılar hesap kurulumu veya belge incelemesi için tek seferlik €250'ye kadar ücret talep eder. REP27 yıllık fiyata dahil eder.
• Kayıt Tutma Ücretleri: Madde 30 kayıtlarını tutmak ve sunmak bazı sağlayıcılarda yıllık €100–€400 arası olabilir. Bu Madde 27 rolünün temel parçasıdır ama giriş seviyesinde her zaman dahil değildir. REP27 Standart ve üzeri kapsar.
• Dil Desteği: Giriş planları genellikle sadece İngilizce destekler. Diğer AB dillerinde talep işleme gerekiyorsa, bunun dahil olup olmadığını veya ek ücret gerektirip gerektirmediğini kontrol edin. REP27 Standart ve Çoklu 8 dilde destek sunar.
• Yenileme Ücret Artışları: Bazı sağlayıcılar düşük giriş fiyatı sunar ama ikinci yıl ücretini artırır. İkinci yıl fiyatını yazılı olarak mutlaka sorun. REP27 yenileme ücretleri ilk yıldan daha düşüktür: Temel €240, Standart €390, Çoklu €690.
• Ek Hizmetler: Bazı sağlayıcılar hukuki danışmanlık veya DPO hizmetlerini ek ücretle sunar. Bunlar Madde 27 uyumu için zorunlu değildir ve çoğu SaaS için gerekli olmayabilir.

Gizli maliyetlerden kaçınmak için tam ücret çizelgesini, talep başına ve yenileme ücretlerini sözleşme öncesi isteyin. Beklenen talep hacminizi ve dil ihtiyaçlarınızı tahmin edin ve sağlayıcının yazılı yetkisinin tüm Madde 27 görevlerini kapsadığından emin olun. Böylece sürprizlerle karşılaşmaz ve tam uyum sağlarsınız.

Atama Adım Adım Nasıl İşler

GDPR Madde 27 AB temsilcisi atamak basit bir süreçtir ancak her adım doğru yapılmalıdır. REP27 — Europe Services, SE örneğiyle süreç şu şekildedir:

1. Sağlayıcınızı Seçin: Sağlayıcıların tekliflerini, fiyatlarını ve şartlarını inceleyin. AB kuruluşlarını ve ilgili tüm üye devletlerde hareket kabiliyetlerini doğrulayın.
2. Onboarding Formunu Doldurun: Şirketiniz, işlem faaliyetleriniz ve iletişim bilgilerinizle ilgili detayları verin. Bu, Madde 27 yetkisi ve Madde 30 kaydı için temel oluşturur.
3. Sağlayıcı İncelemesi: Sağlayıcı gönderinizi inceler. REP27 her dosyayı imzalamadan önce kontrol eder. Temsilci olamıyorsa (yasaklı faaliyetler veya eksik bilgi nedeniyle) tam para iadesi yapar ve yazılı gerekçe sunar.
4. İmzalı Atama Mektubu Alın: Onaylandıktan sonra, genellikle 24 saat içinde (REP27 standart) karşı imzalı yetki mektubu alırsınız. Bu belge Madde 27 rolünü açıkça kabul eder ve sağlayıcının sorumluluklarını belirtir.
5. Sertifika ve Doğrulama: REP27, QR kodlu ve kamu doğrulama sayfası olan sertifika verir. Bu sayede müşteriler, denetçiler ve otoriteler uyumu anında teyit eder.
6. Gizlilik Bildirimini Güncelleyin: Temsilcinin adı, adresi ve iletişim bilgilerini (sertifika paketinde verilir) GDPR Madde 13(1)(a) gereği gizlilik bildirimine ekleyin.
7. Sürekli İşlemler: Temsilci AB veri sahipleri ve otoritelerden gelen talepleri alır, kaydeder ve anlaşmaya uygun sürede size iletir (REP27 Standart+ otorite taleplerini aynı iş günü iletir). Madde 30 kayıtları varsa, bunları tutar ve talep edilince sunar.
8. Yenileme ve İptal: Hizmet yıllık peşin faturalandırılır. Yenilemeden önce iptal edebilirsiniz. Sağlayıcı değiştirirken bekleyen talepler ve kayıtların devrini düzgün yönetin.

Bu süreç Madde 27 yasal gerekliliklerini karşılamanızı sağlar ve denetleyici otoritelerin sorularına hazırlıklı olmanızı temin eder. İmzalı yetki ve sertifika kopyalarını saklayın.

Uyumsuzluk Riskleri ve Cezalar

Gerekli olduğunda GDPR Madde 27 AB temsilcisi atamamak işletmenizi önemli yasal ve finansal risklere sokar. GDPR Madde 83(4)(a), uyumsuzluk halinde 10 milyon € veya toplam yıllık küresel cironuzun %2'sine kadar para cezası öngörür. Bu cezalar teorik değil; Hollanda veri koruma otoritesi Locatefamily.com'u sadece temsilci atamadığı için 525.000 € ile cezalandırmıştır.

Riskler şunlardır:

• Regülasyon Cezaları: AB genelindeki denetleyici otoriteler Madde 27'yi ihlal eden AB dışı şirketleri inceleyip para cezası verebilir. Cezalar kamuya açıktır ve itibarınızı zedeler.
• Yaptırım İşlemleri: Temsilci sizi yaptırımlardan korumaz. Otoriteler doğrudan işletmenize karşı işlem yapabilir, veri işleme durdurma veya etkilenen bireyleri bilgilendirme emirleri verebilir.
• İş Kesintisi: Temsilci yoksa veri sahipleri veya otoritelerden gelen taleplere hızlı yanıt veremeyebilir, bu da ek uyumsuzluklara ve artan cezalara yol açar.
• Güven Kaybı: Müşteriler, ortaklar ve denetçiler GDPR uyumunu, geçerli AB temsilcisinin varlığını kontrol eder. Uyumsuzluk iş fırsatlarının kaybına neden olabilir.
• Hukuki Süreçler: Madde 27(5) temsilci atamanın şirketin kendisine karşı işlemleri engellemediğini açıklar. Temsilci kolaylaştırıcıdır, kalkan değil.

Bu riskleri azaltmak için nitelikli temsilci atayın, yetkiyi doğru uygulayın ve gizlilik bildirimini güncel tutun. Sağlayıcı performansını düzenli değerlendirin ve uyumu otoritelere ve müşterilere gösterebilecek durumda olun.