Alt Veri İşleyenler

Bu belge birden fazla dilde yayımlanmaktadır. Dil sürümleri arasında herhangi bir uyuşmazlık olması halinde Lehçe sürüm bağlayıcıdır.

Sürüm 1.1 · Son güncelleme: 22 Ekim 2026

formexposed hangi üçüncü taraflara, hangi amaçla, nerede ve hangi dayanakla veri gönderir? Bu liste Ek 3 olarak Veri İşleme Sözleşmesinin parçasıdır. Bu sözleşme anlamında onaylanmış alt veri işleyenler yalnızca 2. bölümde listelenenlerdir; 3 ila 6. bölümler diğer alıcılara ilişkin bilgi verir ve onay oluşturmaz.

1. Kısa yanıt

Dil modeli dahil sunucuları, veri tabanını ve hesaplama gücünü Polonya'da kendimiz işletiriz. Barındırma, bulut veya AI sağlayıcısı kullanılmaz. Art. 28(2) ve (4) GDPR anlamındaki alt veri işleyenler, yani Müşterilerimizin verilerini bizim adımıza işleyen üçüncü taraflar yalnızca tek görev için vardır: e-posta.

Ayrıca alt veri işleyen olmayan alıcılar vardır. Tablonun eksiksiz olması için onları yine de nedenlerine göre ayırarak burada listeliyoruz:

• verileri bağımsız veri sorumlusu olarak işleyen alıcılar (bölüm 3),
• uyarıları gönderirken Müşterinin seçtiği alıcılar (bölüm 4),
• kişisel veri içermeyen üçüncü taraf sorguları (bölüm 5).

2. Alt veri işleyenler

Alıcı ve kayıtlı merkez	Amaç	Veriler	İşleme yeri	Aktarım dayanağı
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Hizmetin e-postalarının gönderilmesi (teyitler, uyarılar, raporlar, müşteri portalı abonelerine aylık raporlar); gönderim kontrolü posta kutusu	Alıcıların e-posta adresleri, e-postaların konusu ve içeriği. Gönderim kontrolü posta kutusunda: biz işleyene kadar, ziyaretçilerin girdiği her şey dahil Müşteri web sitelerinden gelen form e-postalarının kopyaları	Henüz doğrulanmalı	Sağlayıcının veri işleme sözleşmesi; verilerin üçüncü ülkeye gidip gitmediği ve hangi dayanakla gittiği henüz doğrulanmalı, bkz. bölüm 7
Namecheap, Inc., Phoenix, Arizona, USA	Alan adlarının kaydı, DNS; Namecheap, Inc. (Private Email), Phoenix, Arizona, USA posta kutusu kurulana kadar alan adımızdaki adreslere gelen genel e-postaların yönlendirilmesi. Gönderim kontrolünün kontrol kopyaları Namecheap üzerinden geçmez; doğrudan posta kutusuna gider	Alan adı verileri; yönlendirme için bize gelen genel e-postaların içeriği ve üstbilgileri, form e-postalarının kopyaları değil	ABD, doğrulanmalı	Namecheap Veri İşleme Eki; standart sözleşme maddeleri veya Veri Gizliliği Çerçevesi — doğrulanmalı, bkz. bölüm 7

Müşterinin, veri işleyen sıfatıyla işlediğimiz verilerinin bu alıcılara ulaşıp ulaşmadığı ayarlarına bağlıdır: gönderim kontrolü olmadan oraya form e-postası gitmez; müşteri portalı olmadan abonelerine e-posta gitmez. Her alt veri işleyenin veri koruma irtibat noktasını talep üzerine sunarız.

Dahil olmayanlar: kontrollerde, ekran görüntülerinde, giriş sonrasındaki taramanın giriş bilgilerinde, tarayıcı akışlarında veya “Fix it for me” işlevinde üçüncü taraf kullanılmaz. Dil modeli kendi sunucumuzda çalışır. IP adresinin ülkesini yerel veri tabanı dosyasından belirleriz; coğrafi konum hizmetine adres gönderilmez. İnternet hizmeti sağlayıcımız yalnızca çoğunlukla şifreli trafiği iletir ve alt veri işleyen değildir.

3. Bağımsız veri sorumlusu olarak hareket eden alıcılar

Alıcı ve kayıtlı merkez	Amaç	Veriler	Konum	Dayanak
Stripe Payments Europe, Ltd., Dublin, Ireland; ABD'ye aktarımlar için Stripe, Inc.	Müşteri hesaplarının ödeme işlemleri ve faturaları	E-posta adresi, ad, fatura adresi, KDV kimlik numarası, ödeme bilgileri (yalnızca Stripe'ta girilir, bize asla ulaşmaz); bizim tarafımızda yalnızca müşteri ve abonelik kimliği ve durum	AB / ABD	Ödeme verilerinde Stripe büyük ölçüde bağımsız veri sorumlusu olarak hareket eder; kesin rol dağılımı doğrulanmalı. ABD'ye aktarım: Veri Gizliliği Çerçevesi veya standart sözleşme maddeleri — doğrulanmalı
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Kendi formlarımızda bot koruması (reCAPTCHA): kayıt, giriş, parola, ücretsiz kontrol, üstbilgi aracı, opt-out, destek ve iletişim	IP adresi, tarayıcı ve cihaz verileri, sayfadaki davranış, Google çerezleri. Betik yalnızca gönderimde yüklenir. Müşterilerin web sitelerinde çalışmaz	AB / ABD	Google koşulları; Veri Gizliliği Çerçevesi veya standart sözleşme maddeleri — doğrulanmalı

Bu alıcılar veri işleyen sıfatıyla işlediğimiz verilerle değil, kendi işlememizle ilgilidir. Ayrıntılar Gizlilik Politikasındadır.

4. Müşterinin seçtiği alıcılar

Uyarılar ve özetler Müşterinin istediği yere gider: e-postayla (2. bölümdeki posta hizmeti sağlayıcısı üzerinden), webhook adresine veya sohbet hizmetine. Mevcut seçenekler:

• Müşterinin ilgili hizmetteki hesabında oluşturduğu adres üzerinden Slack, Discord, Microsoft Teams ve Google Chat;
• Telegram: Müşterinin seçtiği hedef; alıcı sohbeti bota kendisi bağladıktan sonra mesajı botumuz üzerinden göndeririz;
• standart portta herkese açık herhangi bir HTTPS adresine, talep üzerine imzalanmış webhook'lar.

Veriler: alan adı, olay, zaman ve hizmete bağlantı; kontrole ilişkin uyarılarda bu bağlantıyla giriş yapmadan okunabilen raporuna bağlantı; webhook'larda aynı bilgiler makine tarafından okunabilir biçimde. Form e-postalarının içeriği yoktur; gönderim kontrolü uyarısı, web sitesine ait değilse gönderenin e-posta alan adını belirtebilir.

Rol: Slack, Discord, Microsoft Teams, Google Chat ve webhook alıcıları alt veri işleyenlerimiz değildir. Aktarım yalnızca Müşteri hedefi ayarladığı için yapılır; bu Müşterinin talimatıdır. Slack, Discord, Microsoft Teams, Google Chat ve webhook'lar için ilgili sağlayıcıyla sözleşme ilişkisi ve üçüncü ülkeye aktarım için gerekli olabilecek dayanak Müşteriye aittir. Telegram için mesajı kendi botumuzla göndeririz; burada da hedefin seçimi, uyarıları oraya aktarmamız için Müşterinin açık talimatıdır. Telegram'ın bu bakımdan alt veri işleyenimiz olup olmadığı ve aktarımın hangi dayanakla yapıldığı henüz kesinleştirilmemiştir ve incelenmek üzere avukatımızdadır. Telegram alt veri işleyense Müşterinin bu hedefi seçmesi, bu amaçla Art. 28(2) GDPR kapsamındaki özel yetkisi sayılır. Bu sağlayıcıların birkaçı ABD'de veri işler; Telegram AB dışında yeterlilik kararı bulunmayan bir ülkede yerleşiktir ve Telegram'a aktarımın GDPR Bölüm V kapsamındaki dayanağı henüz kesinleştirilmemiştir. Bunu istemeyenler e-posta veya başka hedef seçer.

5. Kişisel veri içermeyen sorgular

Bazı işlevler üçüncü taraflara sorgu gönderir. Dışarıya yalnızca alan adları, sunucu adresleri, kontrol değerleri veya sürüm numaraları gider; Müşterilere veya ziyaretçilere ilişkin bilgiler gitmez. Bu nedenle bu üçüncü taraflar alt veri işleyen değildir.

Alıcı	Amaç	Dışarıya gidenler
IANA dizini üzerinden bulunan alan adı sicillerinin RDAP hizmetleri; ücretsiz kontrolde alan adı yaşını kontrol etmek için rdap.org aktarma hizmeti üzerinden	Alan adının yaşı ve sona erme tarihi	yalnızca alan adı
WPVulnerability (wpvulnerability.net)	WordPress, WordPress uzantıları ve temalardaki bilinen güvenlik açıkları	yalnızca uzantı veya tema tanımlayıcısı ya da WordPress sürüm numarası
Müşterilerin kullandığı sağlayıcıların durum sayfaları (CAPTCHA ve posta hizmetleri gibi)	Bu sağlayıcılardaki kesintilere ilişkin bildirim	isteğin kendisi dışında hiçbir şey
Zaman damgası otoriteleri Certum (Asseco Data Systems S.A., Poland), alternatif olarak DigiCert, Inc. (USA)	Kanıt günlükleri için zaman damgaları	günlüğün yalnızca kontrol değeri (SHA-512), içeriği değil
Spam için DNS engelleme listeleri: SpamCop, PSBL, Mailspike ve SURBL (Spamhaus yalnızca kendi erişimiyle)	Müşterinin posta sunucusunun veya alan adının listede olup olmadığını kontrol etmek	sunucuların (posta sunucuları, web sunucuları) alan adları ve IP adresleri, ziyaretçilerin kişisel verileri değil
Google Web Risk, yalnızca kurulmuşsa	Müşterinin ana sayfasının kötü amaçlı yazılım veya kimlik avı nedeniyle listelenip listelenmediğini kontrol etmek	yalnızca ana sayfa adresi
Telegram, işletim bildirimleri	Kesintilerde ve yeni destek taleplerinde işletmeciye sinyaller	gönderen, içerik veya adres içermeyen sabit metinler
TLS için sertifika otoritesi	Alan adlarımızın sertifikalarının düzenlenmesi	yalnızca kendi alan adlarımız

6. Hazırlanmış, şu anda kullanılmayan

Hizmet, tarayıcı kontrollerini ve form isteklerini ek olarak ikinci, bağımsız bir konumdan teyit ettirebilir. Bu kontrol noktası şu anda kurulmamıştır. Daha sonra bir üçüncü taraf işletirse bu taraf alt veri işleyen olur ve 8. bölüme uygun olarak önceden duyurulur. Alan adını, tarayıcı akışının temizlenmiş yapılandırmasını ve iş kimliğini alırdı; ancak giriş bilgileri veya ziyaretçilere ait bilgiler almazdı.

7. Henüz açık olan konular

Bu liste lansman öncesi taslaktır. Henüz çözüme kavuşturulmamış hususları açıkça belirtiriz:

• Posta hizmeti sağlayıcısı: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA planlanmaktadır. Sağlayıcının verileri nerede işlediği ve hangi dayanakla üçüncü ülkeye gidebileceği henüz doğrulanmalıdır. Bu kullanım için sağlayıcının veri işleme sözleşmesinin kabul edilip edilmediği, posta kutularının gerçekte nerede bulunduğu, sağlayıcının başka hangi alt veri işleyenleri kullandığı ve standart sözleşme maddelerinin hangi modülünün uygulandığı henüz belgelenmelidir. Kamuya açık Veri İşleme Eki tek başına sözleşmenin akdedildiğini kanıtlamaz. Bunlar belgelenene kadar bu sağlayıcı üzerinden veri işleyen sıfatıyla işlediğimiz veriler dışarıya gönderilmez; bu nedenle lansmandan önce çözüme kavuşturulmalıdır.
• Veri Gizliliği Çerçevesi: bu sürüm için Namecheap, Stripe ve Google'ın ilgili hizmetler bakımından AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı olup olmadığını kontrol etmedik. Bu nedenle bunu iddia etmeyiz; sertifika yoksa standart sözleşme maddeleri uygulanır.
• Tekil veriler için Stripe'ın rolü.
• Telegram uyarıları: Müşteri Telegram'ı hedef seçtiğinde ve mesajı botumuzla gönderdiğimizde aktarımın dayanağı.

8. Bu listedeki değişiklikler

Alt veri işleyenleri Veri İşleme Sözleşmesindeki genel yetkiye dayanarak görevlendiririz. Yeni alt veri işleyen işlemeye başlamadan veya mevcut olan değiştirilmeden önce, Müşterilere hesap sahibinin adresine e-postayla en az 30 gün önceden bilgi verir ve değişikliği bu sayfada ve Sözleşme Belgelerindeki Değişiklikler genel bakışında duyururuz. Bildirim alıcıyı, kayıtlı merkezi, amacı, verileri, konumu ve aktarım dayanağını belirtir.

Müşteri bu süre içinde makul bir veri koruma gerekçesiyle metin biçiminde itiraz edebilir. Çözüm bulunana kadar yeni alt veri işleyeni, Müşterinin veri işleyen sıfatıyla işlediğimiz verileri için kullanmayız veya etkilenen işlevi Müşteri için askıya alırız. Çözüm bulunamazsa Müşteri hizmet sözleşmesini veya etkilenen hizmet bileşenini feshedebilir; fesih sonrasındaki dönem için peşin ödenmiş ücretleri orantılı olarak iade ederiz. Ayrıntılar Veri İşleme Sözleşmesinde belirtilir. Alt veri işleyenlerden Müşteriye karşı kendi eylemlerimiz gibi sorumluyuz.

3 ila 5. bölümlerde alt veri işleyenlerle ilgili olmayan değişiklikleri önceden bildirim yapmadan yeni sürüm numarasıyla burada yayımlarız.

9. Durum ve sürüm

• Sürüm 1.1 · Son güncelleme: 22 Ekim 2026 · dil sürümleri arasında farklılık varsa Almanca yerine Lehçe sürüm esas alınır; başka değişiklik yoktur.
• Sürüm 1.0 · Son güncelleme: 11 Ekim 2026 · ayrı sayfa olarak ilk sürüm; daha önce Veri İşleme Sözleşmesinin Ek 3'üydü. Yenilikler: alt veri işleyenler, bağımsız veri sorumlusu alıcılar, Müşterinin seçtiği hedefler ve kişisel veri içermeyen sorgular olarak ayrım; açık konuların açıkça belirtilmesi.
• Dil sürümleri arasında farklılık varsa Lehçe sürüm esas alınır.