Alt İşleyenler (Subprocessors)

Birincil sunucu altyapısı ve veri depolama. Tüm dedike sunucularımız Tier 3 veri merkezi sertifikasına sahip Türk Telekom İstanbul Gayrettepe veri merkezinde barındırılmaktadır. Tüm üretim verileriniz burada işlenir ve depolanır.

Pasif yedek sunucu (iş sürekliliği). Birincil sunucunun arızası halinde hizmetin sürdürülebilmesi için üretim verilerinin bir kopyası, Türkiye'deki ikinci bir veri merkezinde (Mars Data Center) tutulan yedek sunucuya 15 dakika aralıkla aktarılır. Kopya, yedek sunucunun diskinde AES-256-GCM (ZFS) ile şifrelenir; şifreleme anahtarı İmzala.org tarafından yönetilir ve sağlayıcıya verilmez. Yedek sunucu normal işleyişte kullanıcı trafiği almaz.

Off-site şifreli yedekler (geçiş dönemi). İstemci tarafında AES-256 ile şifrelenmiş yedek kopyalar, yurt içi yedekleme hedefine geçiş tamamlanana kadar Hetzner Storage Box (Almanya, AB) üzerinde tutulmaya devam etmektedir. Şifreleme anahtarları yalnızca İmzala.org'dadır.

CDN, DNS, WAF, DDoS koruması. EU-Home Region tercih edilir (Avrupa'da kalan trafik AB sunucularından geçer). İmza akışında, imzacı açık rıza ile tam (GPS) konum paylaşmadığında, IP adresinden türetilen il/ülke düzeyinde yaklaşık konum bilgisi de Cloudflare üzerinden sağlanır. Ek olarak Turnstile bot doğrulaması herkese açık İmza Doğrulama ve UDF Çevirici araçlarında kötüye kullanımı önlemek için kullanılır (aynı alt işleyenin yeni amacı; yeni sözleşme/tüzel kişi yoktur).

Transactional e-posta gönderimi ve bülten (newsletter) gönderimi ile teslimat/etkileşim izleme webhook'ları. EU veri merkezi (mailgun.eu). Bildirim, OTP, hesap silme onay, veri export linkleri, Bilgilendirilecek Kişiler (CC) gönderim ve tamamlanma bildirimleri; ayrıca hesap işlevsel bülten kategorileri (hizmet güncellemeleri, mevzuat bildirimi) ile gelecekte açık rıza ve İYS kaydıyla gönderilecek ticari iletiler. Her bülten için delivered, opened, clicked, bounced, complained ve unsubscribed webhook olayları alınır; olay kaydına son okteti maskelenmiş IP ve tarayıcı bilgisi (user-agent) yazılır (tam IP saklanmaz). Bu kullanım mevcut Mailgun DPA sözleşmemiz kapsamındaki ilave bir amaçtır; yeni bir tüzel kişilik doğmaz.

SMS gönderimi (varsayılan Türkiye sağlayıcı). İmza bildirim, OTP, hatırlatma SMS'leri.

SMS gönderimi (alternatif sağlayıcı, organizasyon seçimine göre).

Uluslararası SMS (yalnızca seçili organizasyonlar için, yurt dışı imzalayanlara SMS gönderimi gerektiğinde).

Mobil anlık bildirim (push) gönderimi. Mobil uygulamayı kullanan kullanıcılara imza talebi, imza tamamlanma, hatırlatma ve ödeme bildirimleri Google FCM altyapısı üzerinden iletilir. Aktarılan veri yalnızca cihaz bildirim jetonudur (device token) ve jenerik bildirim metnidir; sözleşme başlığı veya taraf adı gibi içerik Google'a gönderilmez (veri minimizasyonu). İmza, hatırlatma ve ödeme bildirimleri hesap-işlevseldir; pazarlama bildirimleri yalnızca açık rıza (opt-in) ile gönderilir ve istendiğinde kapatılabilir. Bu özellik henüz aktif değildir; Firebase projesi kurulduğunda Google'ın Veri İşleme Şartları (SCC Modül 2 dahil) yürürlüğe girecektir.

Demo randevu planlama. Web sitesindeki demo talep formunu gönderen ziyaretçiler, dilerlerse Google Takvim randevu sayfası üzerinden demo görüşmesi için gün ve saat seçebilir. Takvim yalnızca demo talep formu başarıyla gönderildikten sonra yüklenir (sitede gezinirken yüklenmez); bu sırada IP adresi ve tarayıcı bilgisi Google'a iletilir. Randevu bilgilerini (ad, e-posta, tarih/saat) ziyaretçi Google'ın sayfasına kendisi girer; demo formuna girilen veriler Google Takvim'e aktarılmaz.

Ödeme işlemleri. Kart bilgileriniz doğrudan PayTR tarafından saklanır, imzala.org bu bilgileri görmez ve saklamaz (PCI-DSS SAQ A scope).

AI Sözleşme Analizi (isteğe bağlı özellik). Yalnızca kullanıcı, sözleşme editöründe AI Sözleşme Analizi'ni kendisi başlatıp açık onay verdiğinde çalışır; onay verilmedikçe hiçbir belge içeriği iletilmez. Analiz isteği, kalıcı saklamanın kapalı olduğu (zero-retention) yapılandırmayla OpenRouter üzerinden yapay zeka modeline iletilir; içerik model eğitiminde kullanılmaz. Analiz sonucu yalnızca kendi altyapımızda (Türk Telekom İstanbul Gayrettepe veri merkezi, Türkiye) ilgili sözleşme kaydıyla birlikte saklanır. Ayrıntı: KVKK Aydınlatma Metni §2.17.

Nitelikli zaman damgası hizmeti (RFC 3161, KAMUnet Policy OID 2.16.792.1.2.1.1.5.7.3.1). 5070 Sayılı Elektronik İmza Kanunu kapsamında resmi sağlayıcı. İki kullanım: (1) imzalanan sözleşme PDF'lerinin zaman damgası, (2) yedek dosyalarının bütünlük hash'lerinin zaman damgası (9 Mayıs 2026'da yedek audit trail aktif edildi). Yalnızca SHA-256 hash değerleri iletilir; belge veya yedek içeriği iletilmez.

Nitelikli zaman damgası hizmeti (eIDAS). Yalnızca sözleşme gönderilirken Avrupa Birliği geçerli nitelikli zaman damgası (eIDAS) seçeneği açıkça işaretlenirse kullanılır; varsayılan olarak kapalıdır. Avrupa Birliği güven listesinde (EU Trusted List, İspanya) nitelikli zaman damgası hizmeti olarak listelidir. Yalnızca SHA-256 hash değerleri iletilir; belge içeriği, taraf bilgileri veya ekler iletilmez. Hash geri döndürülemez, içerik yeniden üretilemez. Bu sağlayıcıya belge içeriği veya kişisel veri iletilmez; iletilen tek veri belgenin geri döndürülemez özet değeridir. Bu nedenle sağlayıcı, verilerinizi işleyen klasik bir alt işleyen değil, imza altyapımızın teknik bir bileşenidir; şeffaflık amacıyla bu listede gösterilir. Belgenizde fiilen kullanılan otoritenin adı, sözleşmenin sonuç sayfasındaki damga rozetinde gösterilir.

E-imza (NES) satış kanalında nitelikli sertifikayı düzenleyen ESHS. BTK'nın yayımladığı listede yer alır (2023). Yalnızca imzala.org üzerinden nitelikli sertifika siparişi verildiğinde, sertifika başvurusunun işlenmesi ve kimlik doğrulamasının yürütülmesi için başvuru bilgileriniz aktarılır; ESHS bu işlemede kendi aydınlatma yükümlülüğünü ayrıca yerine getirir. İmzala.org yetkili satıcıdır, ESHS değildir. Bu kayıt yeni bir alıcı eklenmesi değildir; e-imza satış kanalının başından (15 Ağustos 2026) beri açıklanan "sertifikayı düzenleyen ESHS (ARKİMZA)" alıcısının kimliğinin açıkça belirtilmesidir (4 Eylül 2026).

Mobil İmza ile nitelikli elektronik imza. Yalnızca sözleşmeyi gönderen taraf nitelikli imzayı (NES) açtığında ve imzacı imzayı Mobil İmza ile atmayı seçtiğinde devreye girer. Operatöre imzacının telefon numarası, telefonda gösterilecek metin (ad-soyad, altı haneli eşleştirme kodu ve işlem zamanı) ve imzalanacak geri döndürülemez özet değeri iletilir; operatör imzayı ve nitelikli sertifikayı döner. Sözleşme içeriği ve IP adresi iletilmez. Mobil imza aboneliği ve SIM kartındaki sertifika, imzacı ile operatörü (ve onun çalıştığı ESHS) arasındaki ilişkiye dayandığından operatör alt işleyen değil bağımsız veri sorumlusudur; ilişki DPA'ya değil KVKK m.8 aktarım şartlarına dayanır. Bugün Turkcell kanalı kullanımdadır; Türk Telekom ve Vodafone entegrasyonları hazır olup operatör tarafındaki teknik erişim tamamlandığında açılacaktır.

İmza daveti, hatırlatma ve tamamlanma bildiriminin WhatsApp üzerinden iletilmesi; ayrıca destek hattı olarak kullanım. Sözleşmeyi gönderen taraf bu kanalı açtıysa ve imzacının telefon numarası girilmişse bildirim, İmzala.org'un kendi WhatsApp hattından gönderilir. İletilen veri: alıcının telefon numarası, imzacının adı soyadı ve imza bağlantısı (tamamlanma bildiriminde imzalı belgenin sonuç sayfası bağlantısı); gönderen taraf mesaj metnini kendisi düzenlediyse o metin. Belge içeriği, belge dosyası, T.C. kimlik numarası ve IP adresi iletilmez. Alıcının telefon numarası ile iletim meta verisi (gönderim zamanı, teslim durumu) WhatsApp servisini işleten Meta tarafından işlenir. Aynı hat üzerinden bize yazan kişilerin destek yazışmaları da bu kanalda tutulur. Meta bu aktarımda İmzala.org'un alt işleyeni değildir: veriyi kendi kullanım şartları ve gizlilik politikası uyarınca bağımsız veri sorumlusu sıfatıyla işler ve İmzala.org ile ayrı bir veri işleme sözleşmesi bulunmamaktadır. Bu aktarım için uygun güvencenin (Kurul standart sözleşmesi) tamamlanmasına yönelik süreç yürütülmektedir. Bildirimler hesap işlevseldir (imzalanacak belgeye ilişkindir), pazarlama içermez; gönderen tarafın düzenlediği metnin işlemsel nitelikte kalması gönderen tarafın sorumluluğundadır. Bu kayıt yeni bir alıcı eklenmesi değildir; Haziran 2026'dan bu yana kullanımda olan WhatsApp bildirim kanalının alıcısının açıkça beyan edilmesidir (12 Eylül 2026). Alt işleyen bildirim listesine kayıtlı kurumsal müşterilerimize ayrıca bildirim yapılmakta olup itiraz hakları saklıdır.

E-imza (NES) USB token teslimatı. Yalnızca e-imza sertifikası siparişi verildiğinde ve yalnızca gönderinin teslim edilebilmesi için gereken kadar veri aktarılır: ad, soyad, telefon ve teslimat adresi. Sipariş içeriği, kimlik numarası ve ödeme bilgisi paylaşılmaz. Ayrıntı: E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni.

Kaynak kodu yönetimi. Yalnızca uygulama kodu depolanır, kullanıcı PII'si saklanmaz. CI/CD için GitHub Actions kullanılır (image build → GHCR registry).