Alt İşleyenler (Subprocessors)

Birincil sunucu altyapısı ve veri depolama. Tüm dedike sunucularımız Tier 3 veri merkezi sertifikasına sahip Türk Telekom İstanbul Gayrettepe veri merkezinde barındırılmaktadır. Tüm üretim verileriniz burada işlenir ve depolanır.

Pasif yedek sunucu (iş sürekliliği). Birincil sunucunun arızası halinde hizmetin sürdürülebilmesi için üretim verilerinin bir kopyası, Türkiye'deki ikinci bir veri merkezinde (Mars Data Center) tutulan yedek sunucuya 15 dakika aralıkla aktarılır. Kopya, yedek sunucunun diskinde AES-256-GCM (ZFS) ile şifrelenir; şifreleme anahtarı İmzala.org tarafından yönetilir ve sağlayıcıya verilmez. Yedek sunucu normal işleyişte kullanıcı trafiği almaz.

Off-site şifreli yedekler (geçiş dönemi). İstemci tarafında AES-256 ile şifrelenmiş yedek kopyalar, yurt içi yedekleme hedefine geçiş tamamlanana kadar Hetzner Storage Box (Almanya, AB) üzerinde tutulmaya devam etmektedir. Şifreleme anahtarları yalnızca İmzala.org'dadır.

CDN, DNS, WAF, DDoS koruması. EU-Home Region tercih edilir (Avrupa'da kalan trafik AB sunucularından geçer). İmza akışında, imzacı açık rıza ile tam (GPS) konum paylaşmadığında, IP adresinden türetilen il/ülke düzeyinde yaklaşık konum bilgisi de Cloudflare üzerinden sağlanır. Ek olarak Turnstile bot doğrulaması herkese açık İmza Doğrulama, UDF Çevirici ve EYP Görüntüleyici araçlarında, e-imza sipariş formunda, web sitesindeki demo ve teklif formlarında ve süresi dolmuş imzalı belge (sonuç sayfası) bağlantısı için yeni bağlantı isteme sayfasında otomatik gönderimleri ve kötüye kullanımı önlemek için kullanılır; doğrulama için IP adresi ile tarayıcı ve cihaz bilgisi işlenir (aynı alt işleyenin ayrı amacı; yeni sözleşme veya tüzel kişi yoktur).

Transactional e-posta gönderimi ve bülten (newsletter) gönderimi ile teslimat/etkileşim izleme webhook'ları. EU veri merkezi (mailgun.eu). Bildirim, OTP, hesap silme onay, veri export linkleri, Bilgilendirilecek Kişiler (CC) gönderim ve tamamlanma bildirimleri; ayrıca hesap işlevsel bülten kategorileri (hizmet güncellemeleri, mevzuat bildirimi) ile gelecekte açık rıza ve İYS kaydıyla gönderilecek ticari iletiler. Her bülten için delivered, opened, clicked, bounced, complained ve unsubscribed webhook olayları alınır; olay kaydına son okteti maskelenmiş IP ve tarayıcı bilgisi (user-agent) yazılır (tam IP saklanmaz). Bu kullanım mevcut Mailgun DPA sözleşmemiz kapsamındaki ilave bir amaçtır; yeni bir tüzel kişilik doğmaz.

SMS gönderimi (varsayılan Türkiye sağlayıcı) ve bulut santral. İmza bildirim, OTP, hatırlatma SMS'leri. Sistem hesabı üzerinden yapılan gönderimlerde İmzala.org'un alt işleyenidir; organizasyonun kendi hesabı bağlıysa organizasyonun kendi veri işleyenidir. Ayrıca kurumsal telefon numaramızın bulut santrali NetGSM üzerindedir: gelen ve giden çağrıların ses kaydı ile çağrı kaydı (tarih, saat, süre, numara) sağlayıcının Türkiye'deki sistemlerinde tutulur. Görüşmenin başında kayıt alındığı sesli olarak bildirilir. Kayıt, görüşmede verilen bilginin ve yapılan teyidin ispatı için zorunludur ve görüşme boyunca kapatılamaz; kayıt istemeyen kişi talebini telefon yerine yazılı olarak iletebilir. Kayıtlar pazarlama, profilleme veya personel performans değerlendirmesi amacıyla kullanılmaz.

SMS gönderimi (alternatif sağlayıcı, organizasyon seçimine göre). Sistem hesabı üzerinden yapılan gönderimlerde İmzala.org'un alt işleyenidir; organizasyonun kendi hesabı bağlıysa organizasyonun kendi veri işleyenidir.

Uluslararası SMS (yalnızca seçili organizasyonlar için, yurt dışı imzalayanlara SMS gönderimi gerektiğinde). Sistem hesabı üzerinden yapılan gönderimlerde İmzala.org'un alt işleyenidir; organizasyonun kendi hesabı bağlıysa organizasyonun kendi veri işleyenidir.

Mobil anlık bildirim (push) gönderimi. Mobil uygulamayı kullanan kullanıcılara imza talebi, imza tamamlanma, hatırlatma ve ödeme bildirimleri Google FCM altyapısı üzerinden iletilir. Aktarılan veri yalnızca cihaz bildirim jetonudur (device token) ve jenerik bildirim metnidir; sözleşme başlığı veya taraf adı gibi içerik Google'a gönderilmez (veri minimizasyonu). İmza, hatırlatma ve ödeme bildirimleri hesap-işlevseldir; pazarlama bildirimleri yalnızca açık rıza (opt-in) ile gönderilir ve istendiğinde kapatılabilir. Bu özellik henüz aktif değildir; Firebase projesi kurulduğunda Google'ın Veri İşleme Şartları (SCC Modül 2 dahil) yürürlüğe girecektir.

Demo ve e-imza kurulum randevusu planlama. Web sitesindeki demo talep formunu gönderen ziyaretçiler, dilerlerse Google Takvim randevu sayfası üzerinden demo görüşmesi için gün ve saat seçebilir. Takvim yalnızca demo talep formu başarıyla gönderildikten sonra yüklenir (sitede gezinirken yüklenmez); bu sırada IP adresi ve tarayıcı bilgisi Google'a iletilir. Randevu bilgilerini (ad, e-posta, tarih/saat) ziyaretçi Google'ın sayfasına kendisi girer; demo formuna girilen veriler Google Takvim'e aktarılmaz. Ayrıca e-imza (NES) siparişi veren müşteriler, kargo e-postasıyla gönderilen kurulum rehberindeki bağlantıdan uzaktan kurulum desteği için gün ve saat seçebilir; bu bağlantı Google'ın randevu sayfasını doğrudan açar ve randevu bilgilerini müşteri o sayfaya kendisi girer. Bu kanal isteğe bağlıdır; randevu telefonla ya da e-postayla da alınabilir.

Ödeme işlemleri. Kart bilgileriniz doğrudan PayTR tarafından saklanır, imzala.org bu bilgileri görmez ve saklamaz (PCI-DSS SAQ A scope).

Yapay zeka destekli özellikler (isteğe bağlı). AI Sözleşme Analizi, sözleşme editöründe alan tespiti ve şablon hazırlama, yalnızca kullanıcı işlemi kendisi başlatıp açık onay verdiğinde çalışır; onay verilmedikçe hiçbir belge içeriği iletilmez. Belge Toplama'daki imza sirküleri yorumlaması ise kurum yöneticisinin izni ve kalem düzeyinde verdiği kabulle, belge yüklendiğinde otomatik olarak çalışır: otomatik okuma yetki bilgilerini çıkaramazsa yalnızca sirkülerin bilgi bölümünün (unvan, ticaret sicili ve vergi bilgisi, yetkili, kullanım şekli ve temsil süresi satırları) kodlanmış metni iletilir; adres satırları ile açıklama ve noter onay metni gönderilmez. Adlar ve şirket unvanı açık hâliyle gönderilmez; yerlerine yalnızca bizim sistemimizde açılabilen kodlar konur. Kimlik numarası, adres ve tarihler dışındaki sayılar gönderilmez. Kodlanmış metin kişisel veri niteliğini korur. İletilen içerik belge metni ve sayfa görüntüleridir (alan tespiti ve şablon hazırlamada her zaman, AI Sözleşme Analizi'nde belge taranmışsa). İstek, kalıcı saklamanın kapalı olduğu yapılandırmayla OpenRouter üzerinden yapay zeka modeline iletilir; içerik model eğitiminde kullanılmaz. Sonuçlar yalnızca kendi altyapımızda (Türk Telekom İstanbul Gayrettepe veri merkezi, Türkiye) ilgili sözleşme veya şablon kaydıyla birlikte saklanır. Kurum yöneticileri bu özellikleri çalışma alanı genelinde kapatabilir. Ayrıntı: KVKK Aydınlatma Metni §2.17.

Nitelikli zaman damgası hizmeti (RFC 3161, KAMUnet Policy OID 2.16.792.1.2.1.1.5.7.3.1). 5070 Sayılı Elektronik İmza Kanunu kapsamında resmi sağlayıcı. İki kullanım: (1) imzalanan sözleşme PDF'lerinin zaman damgası, (2) yedek dosyalarının bütünlük hash'lerinin zaman damgası (9 Mayıs 2026'da yedek audit trail aktif edildi). Yalnızca SHA-256 hash değerleri iletilir; belge veya yedek içeriği iletilmez.

Nitelikli zaman damgası hizmeti (eIDAS). Yalnızca sözleşme gönderilirken Avrupa Birliği geçerli nitelikli zaman damgası (eIDAS) seçeneği açıkça işaretlenirse kullanılır; varsayılan olarak kapalıdır. Avrupa Birliği güven listesinde (EU Trusted List, İspanya) nitelikli zaman damgası hizmeti olarak listelidir. Yalnızca SHA-256 hash değerleri iletilir; belge içeriği, taraf bilgileri veya ekler iletilmez. Hash geri döndürülemez, içerik yeniden üretilemez. Bu sağlayıcıya belge içeriği veya kişisel veri iletilmez; iletilen tek veri belgenin geri döndürülemez özet değeridir. Bu nedenle sağlayıcı, verilerinizi işleyen klasik bir alt işleyen değil, imza altyapımızın teknik bir bileşenidir; şeffaflık amacıyla bu listede gösterilir. Belgenizde fiilen kullanılan otoritenin adı, sözleşmenin sonuç sayfasındaki damga rozetinde gösterilir.

E-imza (NES) satış kanalında nitelikli sertifikayı düzenleyen ESHS. BTK'nın yayımladığı listede yer alır (2023). Yalnızca imzala.org üzerinden nitelikli sertifika siparişi verildiğinde, sertifika başvurusunun işlenmesi ve kimlik doğrulamasının yürütülmesi için başvuru bilgileriniz aktarılır; ESHS bu işlemede kendi aydınlatma yükümlülüğünü ayrıca yerine getirir. İmzala.org yetkili satıcıdır, ESHS değildir. Bu kayıt yeni bir alıcı eklenmesi değildir; e-imza satış kanalının başından (15 Ağustos 2026) beri açıklanan "sertifikayı düzenleyen ESHS (ARKİMZA)" alıcısının kimliğinin açıkça belirtilmesidir (4 Eylül 2026).

Mobil İmza ile güvenli elektronik imza. Yalnızca sözleşmeyi gönderen taraf güvenli elektronik imzayı açtığında ve imzacı imzayı Mobil İmza ile atmayı seçtiğinde veya kullanıcı kendi belgesini imzalarken bu yöntemi seçtiğinde devreye girer. Operatöre imzacının telefon numarası, telefonda gösterilecek metin (ad-soyad, altı haneli eşleştirme kodu, işlem zamanı ve sözleşme kayıt numarasının bir bölümü) ve imzalanacak geri döndürülemez özet değeri iletilir; operatör imzayı ve nitelikli sertifikayı döner. Sözleşme içeriği ve IP adresi iletilmez. Mobil imza aboneliği ve SIM kartındaki sertifika, imzacı ile operatörü (ve onun çalıştığı ESHS) arasındaki ilişkiye dayandığından operatör alt işleyen değil bağımsız veri sorumlusudur; ilişki DPA'ya değil KVKK m.8 aktarım şartlarına dayanır. Bugün Turkcell, Türk Telekom ve Vodafone kanalları kullanımdadır.

İmza daveti, hatırlatma ve tamamlanma bildiriminin WhatsApp üzerinden iletilmesi; ayrıca destek hattı olarak kullanım. Sözleşmeyi gönderen taraf bu kanalı açtıysa ve imzacının telefon numarası girilmişse bildirim, İmzala.org'un kendi WhatsApp hattından gönderilir. İletilen veri: alıcının telefon numarası, imzacının adı soyadı ve imza bağlantısı (tamamlanma bildiriminde imzalı belgenin sonuç sayfası bağlantısı); gönderen taraf mesaj metnini kendisi düzenlediyse o metin. Belge içeriği, belge dosyası, T.C. kimlik numarası ve IP adresi iletilmez. Alıcının telefon numarası ile iletim meta verisi (gönderim zamanı, teslim durumu) WhatsApp servisini işleten Meta tarafından işlenir. Aynı hat üzerinden bize yazan kişilerin destek yazışmaları da bu kanalda tutulur. Meta bu aktarımda İmzala.org'un alt işleyeni değildir: veriyi kendi kullanım şartları ve gizlilik politikası uyarınca bağımsız veri sorumlusu sıfatıyla işler ve İmzala.org ile ayrı bir veri işleme sözleşmesi bulunmamaktadır. Bu aktarım için uygun güvencenin (Kurul standart sözleşmesi) tamamlanmasına yönelik süreç yürütülmektedir. Bildirimler hesap işlevseldir (imzalanacak belgeye ilişkindir), pazarlama içermez; gönderen tarafın düzenlediği metnin işlemsel nitelikte kalması gönderen tarafın sorumluluğundadır. Bu kayıt yeni bir alıcı eklenmesi değildir; Haziran 2026'dan bu yana kullanımda olan WhatsApp bildirim kanalının alıcısının açıkça beyan edilmesidir (12 Eylül 2026). Alt işleyen bildirim listesine kayıtlı kurumsal müşterilerimize ayrıca bildirim yapılmakta olup itiraz hakları saklıdır.

E-imza (NES) USB token teslimatı. Yalnızca e-imza sertifikası siparişi verildiğinde ve yalnızca gönderinin teslim edilebilmesi için gereken kadar veri aktarılır: ad, soyad, telefon ve teslimat adresi. Sipariş içeriği, kimlik numarası ve ödeme bilgisi paylaşılmaz. Ayrıntı: E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni.

E-imza kurulumunda uzak bağlantı (ekran paylaşımı) oturumu. Yalnızca siz istediğinizde ve oturumu siz başlattığınızda kullanılır; oturum boyunca ekranınızda görünen içerik bağlantı üzerinden aktarılır. Oturum kayda alınmaz, ekran görüntüsü alınmaz, cihazınızdan dosya kopyalanmaz; yalnızca tarih, saat ve oturum kimliğinden oluşan destek kaydı tutulur. Oturumu dilediğiniz an sonlandırabilirsiniz; istemezseniz kurulum telefonda sözlü anlatımla tamamlanır. Ayrıntı: E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni.

Kaynak kodu yönetimi. Yalnızca uygulama kodu depolanır, kullanıcı PII'si saklanmaz. CI/CD için GitHub Actions kullanılır (image build → GHCR registry).