Where a controller uses the services of the data processor the security arrangement must be part of a written agreement between the two.
Pan fydd rheolydd yn defnyddio gwasanaethau'r prosesydd data, mae'n rhaid i'r trefniadau diogelwch fod yn rhan o drefniant ysgrifenedig rhwng y ddau.