Alt İşleyenler
Kişisel veri işleyen hizmet sağlayıcılar ve değişiklik geçmişi.
Kızılelma AI hizmetinde kişisel verileri işleyen hizmet sağlayıcıların (alt veri işleyenlerin) listesi ve tarihli değişiklik geçmişi. Bu tablo Gizlilik Politikası m.7, Ek Protokol Ek-3 ve Veri Aktarımı Protokolü §5 tablolarıyla aynı içeriktedir; son eşitleme tarihi aşağıdaki değişiklik geçmişinde yazılıdır. Bir satırın bu tablolar arasında farklı göründüğünü fark ederseniz info@kizilelmahukuk.ai adresine bildirin: bu sayfa tek kaynaktır.
- Müvekkil ve belge kimlik verileri Türkiye'de ya da Yerel Kasa ile kendi cihazınızda tutulur.
- Model sağlayıcılarına takma adlı metin gider; maskeleme geçidine ulaşılamazsa istek gönderilmez.
- Maskesiz çalışan yüzeyler (taranmış sayfa okuma, sesli mod, mesajlaşma) yalnız ayrı açık rızayla açılır.
- Liste her değişiklikte tarihiyle güncellenir.
Güncel liste
| Alıcı ve altyapı / uç nokta | Amaç | İşlenen veri (maskeli / maskesiz) | Ülke | Güvence durumu |
|---|---|---|---|---|
| Türkiye şifreli kasa & maskeleme geçidi (Kızılelma AI, Türkiye sunucusu) | Müvekkil/belge kimlik verisinin saklanması, maskeleme ve çözme; doğrulama kodu (OTP) üretimi | Orijinal belge, kimlik, token eşlemesi, telefon/e-posta, doğrulama kodu — maskesiz | Türkiye | Yurt içi; LUKS şifreli disk |
| Hetzner Online GmbH — barındırma (uygulama sunucusu, veritabanı, arama indeksi) | Uygulamanın çalıştırılması, depolama, arama/indeksleme | Hesap verileri (ad-soyad, e-posta, telefon, abonelik), dava dosya adları, kayıtlar ve genel yapay zekâ sohbet mesajlarının maskeli kopyaları; Dava Çalışma Alanı sohbet geçmişi ile Dilekçe Üretici geçmişi (olgu özeti ve dilekçe metni): 14 Eylül 2026'daki geçişten önce kaydedilenler maskesiz, sonrakiler maskeli (Yerel Kasa modunda sunucu bu geçmişi ayrıca maskelemez: soru ve olgu özeti kullanıcının cihazından gönderildiği, yanıt ve dilekçe metni üretildiği biçimde yazılır); sistem kayıtları | AB (Finlandiya/Almanya) | Veri işleme sözleşmesi; AB içinde barındırma — KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Anthropic, PBC — Claude (bağımsız veri işleyen; Azure AI Foundry üzerinden dağıtılır) | Analiz, sohbet, dilekçe/taslak üretimi, Vatandaş Portalı asistanı | Maskeli (takma adlandırılmış) metin; maskeleme geçidine ulaşılamazsa istek gönderilmez | ABD (Anthropic, PBC) / işleme: Azure AI Foundry — İsveç (ölçüldü 21.10.2026) — Global Standard; bölge taahhüdü yok | Anthropic Ticari Şartları ve Veri İşleme Ek Protokolü (DPA); Azure AI Foundry katmanı için Microsoft Ürün DPA'sı (Products DPA); KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Microsoft — Azure OpenAI | Yardım asistanı; analiz/üretim; taranmış sayfa okumasında yedek görüntü okuyucu | Metinde maskeli; yedek görüntü okumada taranmış sayfa görüntüsü — maskesiz, yalnız “Bulut okuma” açık rızasıyla | İsveç (Sweden Central) — ölçüldü 21.10.2026 | Microsoft Ürün DPA'sı (Products DPA); KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Microsoft — Azure OpenAI Realtime (canlı sesli mod) | Sesli asistanla konuşma | Ses kaydı ve konuşma dökümü — maskesiz; ayrı “Sesli mod aktarımı” açık rızası gerektirir | İsveç (Sweden Central) — ölçüldü 21.10.2026 | Microsoft Ürün DPA'sı (Products DPA); KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Anthropic PBC — doğrudan API — yedek yol; metin işlemesi için yalnız Azure AI Foundry yolu kurulamazsa | Taranmış (görüntü biçimindeki) sayfaların yazıya dökülmesi — birincil görüntü okuyucu; ayrıca Claude metin modeli için yedek yol | Yalnızca taranmış sayfa görüntüsü — maskesiz; yalnız “Bulut okuma” açık rızasıyla. Dijital belgeler (UDF, Word, metin katmanlı PDF) aktarılmaz. Ayrıca (yedek) maskeli metin — yalnız Azure AI Foundry yolu kurulamadığında | ABD | Anthropic ticari API koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor. Tamamlanana kadar bu aktarımın tamamlanmış bir m.9 güvencesi yoktur. Açık rıza, KVKK m.9/6 uyarınca yalnız arızi (düzenli olmayan) aktarımlarda dayanak olabilir; her kullanımda tekrarlanan bu aktarımın dayanağı değildir ve müvekkil ile üçüncü kişi verilerinde kullanıcının açık rızası hiçbir durumda dayanak değildir. "Bulut okuma" onayı, sayfa görüntüsünün maskelenmeden gönderilmesine ilişkin bilgilendirme ve tercih kaydıdır |
| Google — Gemini API — bugün hiçbir kullanıcı yüzeyinde devrede değil; teknik yedek zincirinde son sırada | Analiz/üretim (yalnız diğer tüm sağlayıcılar tükenirse) | Maskeli (takma adlandırılmış) metin | ABD | Google API hizmet koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor. 21 Ekim 2026'dan beri kullanıcı yüzeylerinde kullanılmıyor |
| OpenAI — doğrudan API (yalnız yapılandırılmışsa) | Diğer metin modellerine kalıcı olarak ulaşılamadığında yedek model; metinden sese (TTS) | Metinde maskeli. Metinden sese özelliği maskeleme açıkken kapalıdır (metin maskesiz gönderilmez) | ABD | OpenAI API koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Microsoft Azure OpenAI — konuşma tanıma (dikte) | Dikte (sesle yazma) düğmesini kullandığınızda sesin yazıya çevrilmesi | Mikrofon sesi — maskesiz; ses sunucumuz üzerinden Azure konuşma tanıma hizmetine gider (canlı sesli modla aynı kaynak ve aynı açık rıza) | İsveç (Sweden Central) — ölçüldü 21.10.2026 | Microsoft Azure OpenAI koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor. Dikte kullanılmadığında ses gönderilmez. |
| Web araması — SearXNG (kendi sunucumuzda çalışan meta-arama) üzerinden Google (Google CSE dâhil), Microsoft Bing, DuckDuckGo, Brave, Startpage ve Wikimedia (Wikipedia/Wikidata); sorgu para birimi dönüştürme ya da çeviri kalıbındaysa ayrıca DuckDuckGo para birimi servisi, Lingva (lingva.ml), DictZone ve MyMemory (Translated) — 15 Eylül 2026 canlı SearXNG yapılandırmasında genel kategoride açık motorlar; anahtar tanımlanırsa SearXNG yerine Tavily veya Brave API (14 Eylül 2026 itibarıyla ikisi de tanımlı değildir) | Web araması özelliğini açtığınızda ve güncel tutar, oran, eşik ve harç sorularında otomatik olarak güncel bilginin aranması | Yalnız arama sorgusu: web aramasını siz açtığınızda sorunuzun metni (maskeleme açıkken maskeli; maske jetonları, esas/karar numaraları, tam tarihler, e-posta adresleri ve uzun sayılar gönderilmeden çıkarılır; en çok 300 karakter); otomatik aramada yalnız konu etiketi ve yıl. Belge ve önceki yanıt gönderilmez | ABD (Google, Microsoft, DuckDuckGo, Brave, Wikimedia, Tavily); Startpage: Hollanda (AB); Lingva, DictZone ve MyMemory: sunucu konumu teyit edilmedi | Arama sağlayıcılarının hizmet koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
OpenAlex (OurResearch) — akademik literatür indeksi (uç nokta: api.openalex.org) | Panelde “Akademik Araştırma” aramasını kullandığınızda bilimsel yayın araması | Yalnız arama sorgusu — kişisel veriler (ad-soyad, T.C. kimlik numarası, telefon, e-posta, adres, IBAN) çıkarıldıktan sonra; en çok 300 karakter. Geçide ulaşılamazsa sorgu gönderilmez. Belge, müvekkil verisi ve önceki yanıt gönderilmez | ABD | Sağlayıcının genel hizmet koşulları (kamuya açık akademik veri kaynağı); KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Google Ireland Ltd. / Google LLC — Google Analytics 4 (ölçüm kimliği G-SKX3GDN54G) | Yalnız halka açık tanıtım ve bilgi sayfalarında ziyaret istatistiği; panel, yönetim, giriş, ödeme ve Yerel Kasa sayfalarında çalışmaz. Yalnız Performans/Analiz çerezine açık rıza verirseniz yüklenir; rıza yoksa Google'a istek hiç gönderilmez | IP adresi (Google tarafında kısaltılır), _ga çerez kimliği, ziyaret edilen sayfa adresi ve başlığı, yönlendiren sayfa, tarayıcı ve cihaz bilgisi — maskelenmez. Reklam depolama ve reklam kişiselleştirme izinleri hiçbir durumda açılmaz | ABD / İrlanda | Google Analytics veri işleme koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor. Çerez rızası 22 Ekim 2026'dan önce verilmişse geçersiz sayılmış ve yeniden istenmiştir |
| Meta Platforms (WhatsApp) | Bağladığınız WhatsApp numarasına bildirim; bot sohbetini kullanırsanız soru-yanıt iletimi | Numara/sohbet kimliği, bildirim metni; bot sohbetinde WhatsApp'ta yazdığınız soru — maskesiz (orada yazıldığı için); bot yanıtı varsayılan olarak maskeli gider, yalnız panelde açık metin tercihini açarsanız maskesiz; yalnız “Mesajlaşma kanalına aktarım” onayıyla | ABD / İrlanda | Sağlayıcı hizmet koşulları; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor. Tamamlanana kadar bu aktarımın tamamlanmış bir m.9 güvencesi yoktur. Aktarım, ayrı ve geri alınabilir onayınız olmadan hiç yapılmaz; ancak bu onay, düzenli bir aktarım olduğu için KVKK m.9/6 anlamında bir açık rıza dayanağı olarak gösterilmez (m.9/6 yalnız arızi aktarımlarda uygulanır) ve müvekkil ile üçüncü kişi verilerinde hiçbir durumda dayanak değildir |
| SMS doğrulama sağlayıcısı (İnteraktif İletişim / 1SMS) | Üyelik/hesap doğrulaması için tek kullanımlık kod (OTP) SMS gönderimi | Telefon numarası, doğrulama kodu | Türkiye | Yurt içi; sözleşme, talimatla işleme |
| E-posta gönderim sağlayıcısı (Hostinger International Ltd.) | Doğrulama ve işlem e-postası (OTP) gönderimi — kodlar Türkiye'de üretilir ve saklanır | E-posta adresi, doğrulama kodu | AB (AEA) — sunucu bölgesi yazılı teyit bekliyor | STARTTLS şifreli iletim; KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor |
| Ödeme kuruluşu (PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.) | Ödeme tahsilatı, iade ve mutabakat; kart verisi doğrudan PayTR tarafından işlenir, platformda saklanmaz | Ad-soyad, e-posta, telefon, sipariş/tutar bilgisi | Türkiye | Yurt içi; 6493 sayılı Kanun kapsamında lisanslı kuruluş, PCI-DSS |
Bölge ve işleyen sıfatı (21 Ekim 2026 ölçümü). Azure AI Foundry; dağıtım türü Global Standard. 21 Ekim 2026 ölçümünde istekler İsveç (Sweden Central) bölgesinde işlendi; bu dağıtım türünde işlemenin belirli bir bölgeyle sınırlı kalacağı sağlayıcı tarafından taahhüt edilmemektedir. Claude bakımından veri işleyen Anthropic, PBC (ABD)'dir: Anthropic, Microsoft için bağımsız veri işleyen olarak hareket eder ve Azure AI Foundry yalnız dağıtım ve altyapı katmanıdır; sağlayıcı çıkarım için bir AB/AEA veri ikametgâhı seçeneği sunmamaktadır. Anthropic'in ticari API'sinde içerik varsayılan olarak saklanmaz, saklandığı hâllerde üst sınır 30 gündür; ancak kullanım politikası ihlali bakımından işaretlenirse girdi ve çıktı 2 yıla, sınıflandırma skorları 7 yıla kadar saklanabilir.
Sağlayıcıların bağlı olduğu koşullar satır bazında “Güvence durumu” sütunundadır: Microsoft hizmetlerinde Microsoft Ürün DPA'sı, Anthropic'te Anthropic Ticari Şartları ve DPA'sı, diğerlerinde ticari API/hizmet koşulları. Microsoft ve Anthropic'in ticari API koşulları gönderilen verinin model eğitiminde kullanılmamasını öngörür — Anthropic'in taahhüdü Anthropic'i bağlar ve Kullanıcı'nın ayrı onayla gönderdiği Katkı Programı içeriği bu taahhüdün dışındadır; Gemini 21 Ekim 2026'dan beri hiçbir kullanıcı yüzeyinde devrede değildir; Google Gemini API'de kullanılan katmanın yazılı teyidi beklenmektedir.
Yurt dışına aktarımın hukuki güvencesi — bugünkü durum. Yurt dışındaki alıcılara aktarılan veriler KVKK m.9'a tabidir; maskeli (takma adlandırılmış) metin de buna dâhildir, çünkü maskeli veri de kişisel veridir. Bu alıcıların bulunduğu ülkeler için Kurul'un ilan ettiği bir yeterlilik kararı bulunmadığından aktarımın güvencesi Kurul'un ilan ettiği standart sözleşmedir; standart sözleşme imzalandıktan sonra beş (5) iş günü içinde Kurum'a bildirilir. Bu imza ve bildirim süreci henüz tamamlanmamıştır; tamamlanan her imza ve bildirim Veri Aktarımı Protokolü §5 tablosunda tarihiyle gösterilecektir. Kayıt sırasında işaretlediğiniz kutu, kişisel verilerinizin kural olarak maskelenerek yurt dışında işlendiği konusunda bilgilendirildiğinizi teyit eder; açık rıza beyanı değildir. Açık rıza, KVKK m.9/6 uyarınca yalnız arızi (düzenli olmayan) aktarımlarda dayanak olabilir; bu nedenle yapay zekâ işlemesi gibi her kullanımda tekrarlanan aktarımların dayanağı olarak gösterilmez. Müvekkil ve üçüncü kişilere ait verilerde kullanıcının açık rızası hiçbir durumda dayanak değildir.
Değişiklik geçmişi
| Tarih | Değişiklik |
|---|---|
| 1 Kasım 2026 | Google Analytics 4 (Google Ireland Ltd. / Google LLC) ve OpenAlex (OurResearch) satırları bu listeye eklendi; ikisi de daha önce yalnız başka belgelerde ya da hiç yayımlanmamıştı (GA4 22 Ekim 2026'dan, OpenAlex 15 Ekim 2026'dan beri kullanılıyordu — bu listeye geç eklenmiş olması Ek Protokol m.7.4'teki önceden bildirim taahhüdüne aykırıdır ve burada açıkça kayda geçirilmiştir). Hetzner satırındaki 14 Eylül 2026 geçiş tarihi geri getirildi; WhatsApp satırında bot yanıtının varsayılan olarak maskeli gittiği düzeltildi; Hostinger satırına sunucu bölgesinin yazılı teyit beklediği yazıldı; web araması satırı Gizlilik Politikası m.7 metniyle eşitlendi; güvence sütunundaki “Kurul bildirimi” ifadesi KVKK m.9/4'e uygun olarak “Kurum'a bildirim” yapıldı; maskesiz aktarımlarda güvence olarak gösterilen “bugün: açık rıza” ifadesi kaldırıldı. |
| 21 Ekim 2026 | Yapay zekâ işlemesi tek altyapıda (Microsoft Azure AI Foundry / Azure OpenAI) toplandı; Google Gemini kullanıcı yüzeylerinden çıkarıldı (teknik yedek zincirinde son sırada); Vatandaş Portalı asistanı Azure'a alındı; Claude bakımından veri işleyenin Anthropic, PBC (ABD) olduğu ve dağıtım türünün Global Standard olup bölge taahhüdü bulunmadığı kayda geçirildi. Tarayıcı konuşma tanıma motoru listeden çıktı, yerine “Microsoft Azure OpenAI — konuşma tanıma (dikte)” satırı geldi. |
| 29 Ekim 2026 | Google Fonts (yazı tipleri) ve unpkg (React kütüphanesi) listeden çıkarıldı; jsDelivr (belge okuma ve OCR kitaplıkları) da aynı tarihte kullanımdan kaldırıldı, ancak bu listeye hiç eklenmemişti: bu dosyalar artık kendi sunucularımızdan sunulmakta, sayfa açılışında ziyaretçinin IP adresi bu sağlayıcılara gitmemektedir. Gizlilik Politikası m.7, Ek Protokol Ek-3 ve Veri Aktarımı Protokolü §5 tablolarının eşitlenmesi aynı gün yapıldı; eşitlemenin tamamlanmamış olduğu (OpenAlex ve Google Analytics satırlarının eksikliği) 1 Kasım 2026 denetiminde tespit edilmiş ve giderilmiştir. |
| 16 Eylül 2026 | Mesajlaşma kanalı yalnız WhatsApp olarak daraltıldı; diğer bot kanalı hizmetten ve bu listeden kaldırıldı. WhatsApp satırı değişmedi. |
| 15 Eylül 2026 | unpkg (React kütüphanesinin tarayıcıya yüklenmesi) ve Google Fonts (yazı tipleri) listeye eklendi; ikisi de en geç 14 Eylül 2026'dan beri kullanılıyordu (başlangıç daha önce olabilir). Web araması satırı Gizlilik Politikası m.7, Ek Protokol Ek-3 ve Veri Aktarımı Protokolü §5 tablolarında bu sayfayla eşitlendi; gönderilen arama sorgusunun tarifi koda göre ayrıntılandırıldı (kendi açtığınız aramada arındırılmış soru metni, otomatik aramada konu etiketi ve yıl). Barındırma satırına Dava Çalışma Alanı ve Dilekçe Üretici geçmişi için 14 Eylül 2026 maskeli saklama geçişi yazıldı. Web araması satırına canlı meta-aramada açık olan para birimi ve çeviri motorları (DuckDuckGo para birimi servisi, Lingva, DictZone, MyMemory) eklendi; bu motorlar en geç 2 Eylül 2026'dan beri açık tutulmaktadır. |
| 14 Eylül 2026 | Liste ayrıntılandırıldı: Azure AI Foundry üzerinden Claude, Azure OpenAI (yedek görüntü okuma dâhil), Azure OpenAI Realtime (canlı sesli mod; maskesiz, açık rızalı), Anthropic doğrudan API (taranmış sayfa okuma, maskesiz, açık rızalı), Google Gemini API, OpenAI doğrudan API (yedek model, metinden sese), tarayıcı konuşma tanıma motoru, meta-arama üzerinden web arama sağlayıcıları, WhatsApp (açık rızalı). Güvence sütunu “KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor” olarak düzeltildi. Web araması sağlayıcıları ve web aramasının güncel tutar/oran/harç sorularında otomatik çalışması, tarayıcı konuşma tanıma motoru ve doğrudan OpenAI API (yedek model, metinden sese); bu sürümle bu sayfadaki listeye eklendi (aynı tarihte Ek Protokol sürüm 1.5 Ek-3'e ve Veri Aktarımı Protokolü sürüm 1.7 §5'e de eklendi). Bu sayfa da bu tarihte açıldı. |
| 3 Eylül 2026 | Azure OpenAI Realtime (canlı sesli mod) alıcı olarak tanımlandı. |
| 2 Eylül 2026 | Azure AI Foundry üzerinden Claude. |
| 14 Eylül 2026 öncesi | Bu sayfa açılmadan önceki değişiklikler ayrı kayıt altında değildir; geriye dönük yalnız bilinen değişiklikler yazılmıştır. |
Yeni bir alt işleyen eklendiğinde veya çıkarıldığında değişiklik bu tabloya tarihiyle yazılır. Önceden bildirim taahhüdü ve itiraz hakkı Ek Protokol m.7'dedir.
Kullanıcının açık rızası müvekkil ve üçüncü kişi verileri için dayanak değildir; açık rıza KVKK m.9/6 uyarınca yalnız arızi aktarımlarda dayanak olabilir (Tedarikçi Yanıtları s.6).