Alt İşleyenler (Subprocessors)

Birincil sunucu altyapısı ve veri depolama. Tüm dedike sunucularımız Tier 3 veri merkezi sertifikasına sahip Türk Telekom İstanbul Gayrettepe veri merkezinde barındırılmaktadır. Tüm üretim verileriniz burada işlenir ve depolanır.

Off-site şifreli yedekler (geçiş dönemi). İstemci tarafında AES-256 ile şifrelenmiş yedek kopyalar, yurt içi yedekleme hedefine geçiş tamamlanana kadar Hetzner Storage Box (Almanya, AB) üzerinde tutulmaya devam etmektedir. Şifreleme anahtarları yalnızca İmzala.org'dadır.

CDN, DNS, WAF, DDoS koruması. EU-Home Region tercih edilir (Avrupa'da kalan trafik AB sunucularından geçer). İmza akışında, imzacı açık rıza ile tam (GPS) konum paylaşmadığında, IP adresinden türetilen il/ülke düzeyinde yaklaşık konum bilgisi de Cloudflare üzerinden sağlanır. Ek olarak Turnstile bot doğrulaması herkese açık İmza Doğrulama ve UDF Çevirici araçlarında kötüye kullanımı önlemek için kullanılır (aynı alt işleyenin yeni amacı; yeni sözleşme/tüzel kişi yoktur).

Transactional e-posta gönderimi ve bülten (newsletter) gönderimi ile teslimat/etkileşim izleme webhook'ları. EU veri merkezi (mailgun.eu). Bildirim, OTP, hesap silme onay, veri export linkleri, Bilgilendirilecek Kişiler (CC) gönderim ve tamamlanma bildirimleri; ayrıca hesap işlevsel bülten kategorileri (hizmet güncellemeleri, mevzuat bildirimi) ile gelecekte açık rıza ve İYS kaydıyla gönderilecek ticari iletiler. Her bülten için delivered, opened, clicked, bounced, complained ve unsubscribed webhook olayları alınır; olay kaydına son okteti maskelenmiş IP ve tarayıcı bilgisi (user-agent) yazılır (tam IP saklanmaz). Bu kullanım mevcut Mailgun DPA sözleşmemiz kapsamındaki ilave bir amaçtır; yeni bir tüzel kişilik doğmaz.

SMS gönderimi (varsayılan Türkiye sağlayıcı). İmza bildirim, OTP, hatırlatma SMS'leri.

SMS gönderimi (alternatif sağlayıcı, organizasyon seçimine göre).

Uluslararası SMS (yalnızca seçili organizasyonlar için, yurt dışı imzalayanlara SMS gönderimi gerektiğinde).

Mobil anlık bildirim (push) gönderimi. Mobil uygulamayı kullanan kullanıcılara imza talebi, imza tamamlanma, hatırlatma ve ödeme bildirimleri Google FCM altyapısı üzerinden iletilir. Aktarılan veri yalnızca cihaz bildirim jetonudur (device token) ve jenerik bildirim metnidir; sözleşme başlığı veya taraf adı gibi içerik Google'a gönderilmez (veri minimizasyonu). İmza, hatırlatma ve ödeme bildirimleri hesap-işlevseldir; pazarlama bildirimleri yalnızca açık rıza (opt-in) ile gönderilir ve istendiğinde kapatılabilir. Bu özellik henüz aktif değildir; Firebase projesi kurulduğunda Google'ın Veri İşleme Şartları (SCC Modül 2 dahil) yürürlüğe girecektir.

Demo randevu planlama. Web sitesindeki demo talep formunu gönderen ziyaretçiler, dilerlerse Google Takvim randevu sayfası üzerinden demo görüşmesi için gün ve saat seçebilir. Takvim yalnızca demo talep formu başarıyla gönderildikten sonra yüklenir (sitede gezinirken yüklenmez); bu sırada IP adresi ve tarayıcı bilgisi Google'a iletilir. Randevu bilgilerini (ad, e-posta, tarih/saat) ziyaretçi Google'ın sayfasına kendisi girer; demo formuna girilen veriler Google Takvim'e aktarılmaz.

Ödeme işlemleri. Kart bilgileriniz doğrudan PayTR tarafından saklanır, imzala.org bu bilgileri görmez ve saklamaz (PCI-DSS SAQ A scope).

AI Sözleşme Analizi (isteğe bağlı özellik). Yalnızca kullanıcı, sözleşme editöründe AI Sözleşme Analizi'ni kendisi başlatıp açık onay verdiğinde çalışır; onay verilmedikçe hiçbir belge içeriği iletilmez. Analiz isteği, kalıcı saklamanın kapalı olduğu (zero-retention) yapılandırmayla OpenRouter üzerinden yapay zeka modeline iletilir; içerik model eğitiminde kullanılmaz. Analiz sonucu yalnızca kendi altyapımızda (Türk Telekom İstanbul Gayrettepe veri merkezi, Türkiye) ilgili sözleşme kaydıyla birlikte saklanır. Ayrıntı: KVKK Aydınlatma Metni §2.17.

Nitelikli zaman damgası hizmeti (RFC 3161, KAMUnet Policy OID 2.16.792.1.2.1.1.5.7.3.1). 5070 Sayılı Elektronik İmza Kanunu kapsamında resmi sağlayıcı. İki kullanım: (1) imzalanan sözleşme PDF'lerinin zaman damgası, (2) yedek dosyalarının bütünlük hash'lerinin zaman damgası (9 Mayıs 2026'da yedek audit trail aktif edildi). Yalnızca SHA-256 hash değerleri iletilir; belge veya yedek içeriği iletilmez.

Nitelikli zaman damgası hizmeti (eIDAS). Yalnızca sözleşme gönderilirken Avrupa Birliği geçerli nitelikli zaman damgası (eIDAS) seçeneği açıkça işaretlenirse kullanılır; varsayılan olarak kapalıdır. Avrupa Birliği güven listesinde (EU Trusted List, İspanya) nitelikli zaman damgası hizmeti olarak listelidir. Yalnızca SHA-256 hash değerleri iletilir; belge içeriği, taraf bilgileri veya ekler iletilmez. Hash geri döndürülemez, içerik yeniden üretilemez. Bu sağlayıcıya belge içeriği veya kişisel veri iletilmez; iletilen tek veri belgenin geri döndürülemez özet değeridir. Bu nedenle sağlayıcı, verilerinizi işleyen klasik bir alt işleyen değil, imza altyapımızın teknik bir bileşenidir; şeffaflık amacıyla bu listede gösterilir. Belgenizde fiilen kullanılan otoritenin adı, sözleşmenin sonuç sayfasındaki damga rozetinde gösterilir.

E-imza (NES) satış kanalında nitelikli sertifikayı düzenleyen ESHS. BTK'nın yayımladığı listede yer alır (2023). Yalnızca imzala.org üzerinden nitelikli sertifika siparişi verildiğinde, sertifika başvurusunun işlenmesi ve kimlik doğrulamasının yürütülmesi için başvuru bilgileriniz aktarılır; ESHS bu işlemede kendi aydınlatma yükümlülüğünü ayrıca yerine getirir. İmzala.org yetkili satıcıdır, ESHS değildir. Bu kayıt yeni bir alıcı eklenmesi değildir; e-imza satış kanalının başından (15 Ağustos 2026) beri açıklanan "sertifikayı düzenleyen ESHS (ARKİMZA)" alıcısının kimliğinin açıkça belirtilmesidir (4 Eylül 2026).

E-imza (NES) USB token teslimatı. Yalnızca e-imza sertifikası siparişi verildiğinde ve yalnızca gönderinin teslim edilebilmesi için gereken kadar veri aktarılır: ad, soyad, telefon ve teslimat adresi. Sipariş içeriği, kimlik numarası ve ödeme bilgisi paylaşılmaz. Ayrıntı: E-İmza Satış ve Başvuru Süreci KVKK Aydınlatma Metni.

Kaynak kodu yönetimi. Yalnızca uygulama kodu depolanır, kullanıcı PII'si saklanmaz. CI/CD için GitHub Actions kullanılır (image build → GHCR registry).