TASLAK — hukuki tavsiye değildir, kullanımdan önce hukukçu incelemesi gerekir.
- Belge: Alt işleyiciler sayfası (web sitesi rotası
/{l}/legal/subprocessors/, landing.md rota 18) · Dil: Türkçe · Sürüm: 0.1 taslak · Tarih: 2026-10-27 - Dayanak:
docs/research/13-hosting.md(Özet ve Hostinger konumları);docs/research/01-stack.md§15 ve R7 riski (Anthropic);docs/research/15-payments-tr.mdF18 (PayTR);docs/research/06-legal-compliance.mdF8, F10, C-16;docs/decisions/ADR-004-lead-providers.mdD3;docs/decisions/ADR-006-sending-model.mdD1, D8;docs/decisions/ADR-007D9;content-input/company.md. Burada bu kaynakların ötesinde bir şey yoktur. Tüm yer tutucular 2026-10-27’de (F1-64)docs/decisions/01-defaults-2026-10-27.mdve araştırma raporlarındaki değerlerle kapatılmıştır; † ile işaretli cümleler hâlâ hukukçu teyidi bekler. - Tablodaki aktarım mekanizmaları (KVKK m.9, GDPR Bölüm V) “hukukçu teyit edecek” olarak işaretlidir: bu taslak hiçbirini nihai olarak önermez.
- Veri İşleme Sözleşmesi Ek C’nin (
dpa.tr.md17. bölüm) tamamlayıcısıdır. İki liste aynı şeyi söylemelidir.
1. Amaç ve kapsam
1.1 Bu sayfa, web sitesini ve platformu sunarken Faruk Sancak TiklaWeb Bilişim Hizmetleri (şahıs işletmesi) (“biz”) adına kişisel veri işleyen şirketleri ve benzer görünen ama alt işleyicimiz olmayan şirketleri listeler. Bir değişiklik yürürlüğe girmeden önce güncelleriz (4. bölüm).
1.2 Aşağıda kullanılan durum ifadeleri: seçildi (sağlayıcı belli), henüz seçilmedi (sağlayıcı seçilmedi; satır kararın neye bağlı olduğunu gösterir) ve alt işleyicimiz değil (müşterinin kendi ilişkisi ya da bağımsız veri sorumlusu).
2. Sağlayıcılar
| # | Sağlayıcı | Hizmet ve amaç | Veri kategorileri | Konum | Aktarım mekanizması (KVKK m.9 / GDPR Bölüm V) | Durum | Kaynak |
|---|---|---|---|---|---|---|---|
| 1 | Hostinger | Statik tanıtım sitesinin barındırılması; gondero.com DNS’i. Posta kutularının aynı planda açılması planlanıyor (teyit edilecek) | Sunucu günlükleri: IP adresi, zaman, istenen sayfa, tarayıcı bilgisi; bize gönderdiğiniz e-postalar | Teyit edilmedi (DOĞRULANAMADI). Hostinger’ın yayımladığı VPS konumları FR, DE, LT, UK, IN, ID, MY, US ve BR’dir; hiçbiri Türkiye’de değil. Site planının veri merkezi yayın sırasında seçilir. | Veri merkezi Türkiye dışındaysa aktarım kuralları uygulanır. Mekanizma: KVKK’ya tabi veri için KVKK standart sözleşmesi yolu, aksi halde ziyaretçinin bölgesinin aktarım kuralları (hukukçu teyit edecek)† | Seçildi (web sitesi henüz yayında değil) | 13 (Hostinger konumları); company.md (DNS, posta kutuları) |
| 2 | Anthropic | Yapay zekâ özellikleri (örneğin metin taslağı, yanıt sınıflandırma) | Varsayılan olarak lead kişisel verisi yok: istemler, üretimden sonra doldurulan yer tutucular kullanır. Kişisel veri yalnızca kişinin bölgesi için aktarım dayanağı varsa | Çıkarım bölgesi yalnızca global ya da us olabilir; AB seçeneği yok | Anthropic’in DPA’sı AB SCC Modül 2 ve 3’ü, UK Eki’ni ve İsviçre hukukunu kapsar; KVKK’yı ve Data Privacy Framework’ü kapsamaz. Mekanizma: AB ve UK verisi için DPA’sındaki SCC ve UK Eki; KVKK için bilinen bir mekanizma yoktur, bu nedenle standart sözleşme imzalanamadıkça Türkiye kaynaklı kişisel veri gönderilmez (DOĞRULANAMADI) (hukukçu teyit edecek)† | İlk yapay zekâ bağdaştırıcısı olarak planlı (yapay zekâ kararı: TODO 2d-c) | 01 §15, R7; 06 F8, C-16 |
| 3 | PayTR | Abonelik ve kredi paketi ödemesi | Ödeme isteğinde gönderilen alıcı adı, e-posta, telefon, adres ve IP; kart verisi PayTR sayfasında girilir ve sunucularımıza ulaşmaz | PayTR bildiriminde yurt dışı alıcı belirtmiyor | Alt işleyici değil: PayTR bağımsız veri sorumlusu olarak hareket eder ve işleyen sözleşmesi beklenmez. Bizim aktarım dayanağımız sözleşmenin ifası (KVKK m.5/2-c) (önerilen; hukukçu teyit edecek)† | Alt işleyicimiz değil (bağımsız veri sorumlusu) | 15 F18 |
| 4 | Ürün barındırma sağlayıcısı | Platformun barındırılması (uygulama, veritabanı, depolama) | Tüm müşteri verisi | Henüz seçilmedi: ADR-008 ile belirlenecek | Henüz seçilmedi | Henüz seçilmedi | 13 Özet madde 5; TODO 2m |
| 5 | Müşterinin kendi posta sağlayıcısı (Google Workspace, Microsoft 365 ya da müşterinin SMTP/IMAP sunucusu) | Müşterinin kampanya e-postasını kendi posta kutusu üzerinden göndermek ve okumak | Kampanya içeriği, alıcı adresleri, yanıtlar | Müşterinin kendi sağlayıcısına bağlı | Alt işleyici değil: müşterinin kendi ilişkisidir; platform müşterinin talimatıyla hareket eder ve müşteri trafiğini kendi IP’leri ya da ESP hesapları üzerinden asla göndermez | Alt işleyicimiz değil | ADR-006 D1, Seçenek A |
| 6 | Platform transactional e-posta sağlayıcısı (ESP) | Davetler, şifre sıfırlama, 2FA ve fatura ya da kötüye kullanım uyarıları; ayrı bir platform alan adından, müşteri kampanya içeriği asla | Platform kullanıcılarının e-posta adresleri | Henüz seçilmedi (ADR-006 D8 adayları: SES, Postmark, Resend ya da operatörün kendi SMTP rölesi) | Henüz seçilmedi | Henüz seçilmedi (TODO 2m-f, 2a-b) | ADR-006 D8 |
| 7 | Hata izleme sağlayıcısı | Teknik hata raporları | Teknik veri, sır yok | Henüz seçilmedi (TODO 2m-e) | Henüz seçilmedi | Henüz seçilmedi | 13 Özet madde 5; DPA Ek C |
| 8 | Lead veri sağlayıcıları (ticari veri API’leri) | Lead bulma; müşterinin kendi hesabı ya da anahtarıyla bağlanır | Sağlayıcının müşteriye döndürdüğü lead verisi | Her sağlayıcıya bağlı | Platformun alt işleyicisi değil: müşteri sağlayıcının müşterisi ve bağımsız veri sorumlusudur; platform müşterinin belgelenmiş talimatıyla işler ve kaynak kaydını tutar | Alt işleyicimiz değil | ADR-004 D3; 06 F10 |
| 9 | Telefon doğrulama sağlayıcısı | İlk gönderimden önce çalışma alanı sahibinin telefonunu doğrulayan tek seferlik kod | Çalışma alanı sahibinin telefon numarası | Henüz seçilmedi. ADR-007 D9 adayları: +90 numaraları için yurt içi lisanslı bir sağlayıcı (Netgsm okunan örnek) ve diğer numaralar için Twilio Verify; +90 numara Twilio’ya asla gitmez | Henüz seçilmedi (TODO 2l-f) | Henüz seçilmedi | ADR-007 D9 |
| 10 | Hostinger (abonelikten çıkma kutusu) | Pilot süresince “mailto” abonelikten çıkma taleplerini alan, platformun IMAP ile okuduğu posta kutusu | Abonelikten çıkma e-postasının gönderen adresi ve içeriği | Teyit edilmedi (DOĞRULANAMADI); 1. satırdaki Hostinger veri merkezi sorusuyla aynı | 1. satırla aynı (hukukçu teyit edecek)† | Pilot için seçildi (karar 2026-10-27; kendi posta sunucusu sonra, onaya bağlı) | 01-defaults 16-3; 13 |
| 11 | Hyperping (durum sayfası) | Yalnızca genel bileşenleri gösteren herkese açık durum sayfası | Müşteri kişisel verisi yok | Değerlendirilmedi | Uygulanmaz: kişisel veri gönderilmez | Seçildi (karar 2026-10-27); kişisel veri bakımından alt işleyici değil | 01-defaults 17-1, 17-2 |
3. Satırlara ilişkin notlar
3.1 5 ve 8. satırlar, bütün tablonun görülebilmesi için listelenmiştir. Bir posta kutusu ya da veri sağlayıcısı bağlayan müşteri o sağlayıcıyı seçer ve o ilişkiden sorumludur; platform bu hesapları tutmaz.
3.2 2. satır: yapay zekâ özelliklerimiz, lead kişisel verisi varsayılan olarak modele gönderilmeyecek biçimde tasarlanmıştır (Gizlilik Politikası 8. bölüm; DPA 3.4).
3.3 3. satır: kart verisi PayTR’nin sayfasında girilir; yalnızca PayTR’nin döndürdüğü referansları saklarız (token, son dört hane, son kullanma, marka) (15 F18).
4. Bu listedeki değişiklikler
4.1 Yeni bir alt işleyici başlamadan ya da biri değişmeden 30 gün önce müşterilere e-posta ile haber veririz (2026-10-27 varsayılanı; hukukçu teyit edecek).† Müşteri makul veri koruma gerekçeleriyle itiraz edebilir; sonuç DPA’da belirlenir (DPA, 6.3). Aynı değer DPA 6.3’te de kullanılır (30 gün).
4.2 “Henüz seçilmedi” işaretli satırlar, sağlayıcı seçildiğinde 4.1’deki bildirimle doldurulur.
5. İletişim
5.1 Faruk Sancak TiklaWeb Bilişim Hizmetleri (şahıs işletmesi), Atatürk Mahallesi Dilek Sokak No: 12 İç Kapı No: 5, Küçükçekmece / İstanbul, privacy@gondero.com.
6. İnceleyen hukukçu için notlar
- Bu taslak bir öneridir.
privacy@gondero.comaçık bir posta kutusudur; planın diğer adresleri (legal@, abuse@) henüz yoktur. - Her yurt dışı satır için aktarım mekanizmasını teyit edin (KVKK m.9; GDPR Bölüm V). Hostinger’ın web sitesi veri merkezi DOĞRULANAMADI. Anthropic ya da Hostinger’ın KVKK standart sözleşmesini imzalayıp imzalamayacağı DOĞRULANAMADI (06 F8; 13 Özet madde 4).
- PayTR’nin bağımsız veri sorumlusu olduğunu (15 F18 bunu PayTR’nin kendi bildiriminden okur; hiçbir açıklama PayTR’yi işleyen yapmaz) ve aktarım dayanağını teyit edin.
- Bildirim süresini ve itiraz sonucunu teyit edin; DPA Ek C’yi (
dpa.tr.md) bu listeyle hizalayın. - Yapay zekâ için sentetik ya da maskelenmiş veri kuralına ilişkin bir ADR notu bulunamadı; kural Gizlilik Politikası 8.1 ve DPA 3.4’ten gelir (06 F8, C-16). Ürün tasarımı için bağlayıcı olduğunu teyit edin.
- 1. satır posta kutuları: company.md posta kutuları için bir Hostinger plan limitinden söz eder; kutuların orada barındırılıp barındırılmadığı teyit edilecek.
- † Hukukçu teyidi bekleyen maddeler: §2, 4.1.
Faruk Sancak TiklaWeb Bilişim Hizmetleri
Atatürk Mahallesi Dilek Sokak No: 12 İç Kapı No: 5, Küçükçekmece / İstanbul
hello@gondero.com
https://gondero.com/tr/legal/subprocessors/