Alt İşleyenler (Subprocessors)

Birincil sunucu altyapısı ve veri depolama. Falkenstein veri merkezi (Almanya, AB). Tüm üretim verileriniz burada işlenir ve depolanır. Off-site şifreli yedekler de Hetzner Storage Box (Almanya, AB).

CDN, DNS, WAF, DDoS koruması. EU-Home Region tercih edilir (Avrupa'da kalan trafik AB sunucularından geçer). İmza akışında, imzacı açık rıza ile tam (GPS) konum paylaşmadığında, IP adresinden türetilen il/ülke düzeyinde yaklaşık konum bilgisi de Cloudflare üzerinden sağlanır. Ek olarak Turnstile bot doğrulaması herkese açık İmza Doğrulama ve UDF Çevirici araçlarında kötüye kullanımı önlemek için kullanılır (aynı alt işleyenin yeni amacı; yeni sözleşme/tüzel kişi yoktur).

Transactional e-posta gönderimi ve bülten (newsletter) gönderimi ile teslimat/etkileşim izleme webhook'ları. EU veri merkezi (mailgun.eu). Bildirim, OTP, hesap silme onay, veri export linkleri, Bilgilendirilecek Kişiler (CC) gönderim ve tamamlanma bildirimleri; ayrıca hesap işlevsel bülten kategorileri (hizmet güncellemeleri, mevzuat bildirimi) ile gelecekte açık rıza ve İYS kaydıyla gönderilecek ticari iletiler. Her bülten için delivered, opened, clicked, bounced, complained ve unsubscribed webhook olayları alınır; olay kaydına son okteti maskelenmiş IP ve tarayıcı bilgisi (user-agent) yazılır (tam IP saklanmaz). Bu kullanım mevcut Mailgun DPA sözleşmemiz kapsamındaki ilave bir amaçtır; yeni bir tüzel kişilik doğmaz.

SMS gönderimi (varsayılan Türkiye sağlayıcı). İmza bildirim, OTP, hatırlatma SMS'leri.

SMS gönderimi (alternatif sağlayıcı, organizasyon seçimine göre).

Uluslararası SMS (yalnızca seçili organizasyonlar için, yurt dışı imzalayanlara SMS gönderimi gerektiğinde).

Mobil anlık bildirim (push) gönderimi. Mobil uygulamayı kullanan kullanıcılara imza talebi, imza tamamlanma, hatırlatma ve ödeme bildirimleri Google FCM altyapısı üzerinden iletilir. Aktarılan veri yalnızca cihaz bildirim jetonudur (device token) ve jenerik bildirim metnidir; sözleşme başlığı veya taraf adı gibi içerik Google'a gönderilmez (veri minimizasyonu). İmza, hatırlatma ve ödeme bildirimleri hesap-işlevseldir; pazarlama bildirimleri yalnızca açık rıza (opt-in) ile gönderilir ve istendiğinde kapatılabilir. Bu özellik henüz aktif değildir; Firebase projesi kurulduğunda Google'ın Veri İşleme Şartları (SCC Modül 2 dahil) yürürlüğe girecektir.

Demo randevu planlama. Web sitesindeki demo talep formunu gönderen ziyaretçiler, dilerlerse Google Takvim randevu sayfası üzerinden demo görüşmesi için gün ve saat seçebilir. Takvim yalnızca demo talep formu başarıyla gönderildikten sonra yüklenir (sitede gezinirken yüklenmez); bu sırada IP adresi ve tarayıcı bilgisi Google'a iletilir. Randevu bilgilerini (ad, e-posta, tarih/saat) ziyaretçi Google'ın sayfasına kendisi girer; demo formuna girilen veriler Google Takvim'e aktarılmaz.

Ödeme işlemleri. Kart bilgileriniz doğrudan PayTR tarafından saklanır, imzala.org bu bilgileri görmez ve saklamaz (PCI-DSS SAQ A scope).

AI Sözleşme Analizi (isteğe bağlı özellik). Yalnızca kullanıcı, sözleşme editöründe AI Sözleşme Analizi'ni kendisi başlatıp açık onay verdiğinde çalışır; onay verilmedikçe hiçbir belge içeriği iletilmez. Analiz isteği, kalıcı saklamanın kapalı olduğu (zero-retention) yapılandırmayla OpenRouter üzerinden yapay zeka modeline iletilir; içerik model eğitiminde kullanılmaz. Analiz sonucu yalnızca kendi altyapımızda (Hetzner, Almanya) ilgili sözleşme kaydıyla birlikte saklanır. Ayrıntı: KVKK Aydınlatma Metni §2.17.

Nitelikli zaman damgası hizmeti (RFC 3161, KAMUnet Policy OID 2.16.792.1.2.1.1.5.7.3.1). 5070 Sayılı Elektronik İmza Kanunu kapsamında resmi sağlayıcı. İki kullanım: (1) imzalanan sözleşme PDF'lerinin zaman damgası, (2) yedek dosyalarının bütünlük hash'lerinin zaman damgası (9 Mayıs 2026'da yedek audit trail aktif edildi). Yalnızca SHA-256 hash değerleri iletilir; belge veya yedek içeriği iletilmez.

Kaynak kodu yönetimi. Yalnızca uygulama kodu depolanır, kullanıcı PII'si saklanmaz. CI/CD için GitHub Actions kullanılır (image build → GHCR registry).