Tekno Borsa

Alt İşleyici (Sub-Processor) Listesi · Hukuki Merkez · Tekno Borsa

2. Tanımlar

Veri Sorumlusu: KVKK m.3/1-ı — Kişisel verilerin işleme amaç ve vasıtalarını belirleyen; veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
Veri İşleyen: KVKK m.3/1-ğ — Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
Alt İşleyici (Sub-processor): Veri işleyen sıfatıyla Tekno Borsa'nın, hizmet sunumu için işin bir bölümünü gördürdüğü üçüncü taraf hizmet sağlayıcı; KVKK m.12/2 ve GDPR Art.28/2 kapsamındadır.
DPA (Data Processing Agreement): KVKK m.12 ve GDPR Art.28/3 uyarınca veri sorumlusu ile veri işleyen arasında akdedilen yazılı veri işleme anlaşması.
SCC (Standart Sözleşme Hükümleri): KVKK Kurulu'nun 04.06.2024 t. 2024/959 sy. kararı ile kabul edilip 10.07.2024 tarihinde Resmî Gazete'de yayımlanan Yönetmelik ekinde yer alan, yurt dışı aktarımda uygun güvence sağlayan tip sözleşme metinleri (KVKK m.9/3) — ek olarak AB SCC (Komisyon Kararı 2021/914).
BCR (Bağlayıcı Şirket Kuralları): Çok uluslu şirket grubu içinde grup şirketleri arasında yurt dışı aktarımda uygulanmak üzere KVKK Kurulu / AB veri koruma otoritesi tarafından onaylanan bağlayıcı kurallar bütünü (KVKK m.9/3-b).
Yeterlilik Kararı: KVKK Kurulu (m.9/2) veya AB Komisyonu (GDPR Art.45) tarafından bir ülke / sektör / uluslararası kuruluş hakkında yeterli koruma düzeyi bulunduğuna dair karar.
Taahhütname: Yeterli korumayı yazılı olarak taahhüt eden, KVKK Kurulu izniyle uygulamaya alınabilen yurt dışı aktarım enstrümanı (KVKK m.9/3-c).
Açık Rıza: KVKK m.3/1-a — Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza; yurt dışı aktarımda yalnızca arızî/tek seferlik durumlarda dayanak olabilir (KVKK m.9/6).
Transfer Etki Değerlendirmesi (TIA): Schrems II (CJEU C-311/18) sonrası AB hukukunda zorunlu hâle gelen; aktarım hedef ülkesindeki yerel mevzuatın aktarılan veriler üzerinde devlet erişim riski yaratıp yaratmadığının ve ek teknik/sözleşmesel tedbirlere ihtiyaç olup olmadığının belgelendiği değerlendirme.
AB-ABD Veri Gizlilik Çerçevesi (DPF): AB Komisyonu'nun 10.07.2023 tarihli Adequacy Decision (2023/1795) ile yeterli koruma sağladığını kabul ettiği; ABD merkezli kuruluşların self-certification ile katıldığı çerçeve.
Encryption at Rest: Verinin diskte/yedekte AES-256 veya muadili algoritma ile şifrelenmesi.
Encryption in Transit: Verinin ağ üzerinde TLS 1.2/1.3 ile uçtan uca şifrelenerek aktarılması.
SOC2 Type II: AICPA Trust Services Criteria (Security, Availability, Processing Integrity, Confidentiality, Privacy) bağlamında bağımsız denetçi tarafından minimum 6 aylık periyot için işletim etkinliği denetlenmiş raporlama standardı.
ISO 27001 / 27018: Bilgi güvenliği yönetim sistemi (27001) ve bulutta kişisel veri koruma kontrolleri (27018) için uluslararası standartlar.

3. Aktif Alt İşleyici Listesi (Konsolide)

Aşağıdaki tablo, işbu sürüm itibarıyla Tekno Borsa'nın hizmet sunumunda aktif olarak kullandığı alt işleyicilerin tamamını listeler. Sütunlar: sağlayıcı, sunulan hizmet, işlenen veri kategorisi, hukuki yetki alanı, DPA durumu, bağımsız sertifika.

Sağlayıcı	Hizmet	İşlenen Veri	Konum / Yetki Alanı	DPA	Sertifika
Supabase Inc.	PostgreSQL DB, Auth, Storage, Realtime	Tüm uygulama verisi (kullanıcı, ilan, mesaj, dosya)	AB — Frankfurt (eu-central-1)	Aktif (DPA + AB SCC)	SOC2 Type II, ISO 27001, HIPAA
Vercel Inc.	Hosting, Edge Functions, CDN	HTTP istek/cevap metadata, IP, build artefaktı	Edge global (AB+ABD)	Aktif (DPA + DPF)	SOC2 Type II, ISO 27001, DPF sertifikalı
Upstash Inc.	Redis cache, rate-limit, kuyruk	Oturum tokenı, geçici cache, IP hash	AB — Frankfurt	Aktif (DPA + AB SCC)	SOC2 Type II
Resend Inc.	İşlemsel e-posta dağıtımı	Alıcı e-posta adresi, ileti içeriği, teslim logu	AB (eu-west-1)	Aktif (DPA + AB SCC)	SOC2 Type II, GDPR uyum beyanı
Google LLC (Firebase Cloud Messaging)	Push bildirim teslimi (Android/iOS/Web)	FCM token, bildirim payload (sanitize)	ABD (Google global ağ)	Aktif (Google DPA + DPF)	SOC2 Type II, ISO 27001/27017/27018, DPF
Functional Software Inc. (Sentry)	Hata izleme, performans monitoring	Hata izleri, sanitize edilmiş user context, anonim cihaz	AB (Frankfurt) — self-hosted opsiyonel	Aktif (DPA + AB SCC)	SOC2 Type II, ISO 27001
Mux Inc.	Video hosting, transcoding, streaming	Yüklenen ilan videoları, izleme metrikleri	ABD (AWS us-east)	Aktif (DPA + DPF + SCC)	SOC2 Type II, DPF sertifikalı
Amazon Web Services Inc. (S3)	Görsel ve dosya nesne depolama	İlan görselleri, profil fotoğrafı, sözleşme PDF	AB — Dublin (eu-west-1)	Aktif (AWS DPA + AB SCC)	SOC2 Type II, ISO 27001/27017/27018, PCI-DSS
Vercel Inc. (Analytics)	Web Vitals, sayfa metrikleri (anonim)	Anonimleştirilmiş sayfa görüntüleme metrikleri	AB+ABD edge	Aktif (DPA + DPF)	SOC2 Type II, DPF
Cloudflare Inc.	WAF, DDoS koruması, edge cache (varsa)	IP, istek başlıkları, yönlendirme metadata	Edge global (AB+ABD)	Aktif (DPA + AB SCC + DPF)	SOC2 Type II, ISO 27001, DPF
Netgsm İletişim ve Bilgi Tek. A.Ş.	SMS OTP ve işlemsel SMS (yerli)	Telefon numarası, OTP içeriği, teslim logu	Türkiye (yurt içi)	Aktif (KVKK m.12 DPA)	ISO 27001, BTK lisanslı
Twilio Inc.	Yedek/uluslararası SMS dağıtımı	Telefon numarası, OTP içeriği	ABD (yedek), AB (Dublin tercihli)	Aktif (Twilio DPA + DPF + SCC)	SOC2 Type II, ISO 27001, DPF
İleti Merkezi Bilgi ve İletişim Tek. A.Ş.	Pazarlama amaçlı kampanya SMS	Telefon, kampanya içeriği, İYS doğrulama	Türkiye (yurt içi)	Aktif (KVKK m.12 DPA)	ISO 27001, İYS entegrasyon onaylı
Google LLC (Maps Platform)	Konum picker, harita gösterimi, geocoding	Adres metni, koordinat, IP	ABD (Google global)	Aktif (Google DPA + DPF)	SOC2 Type II, ISO 27001, DPF
Google LLC (OAuth)	Sosyal giriş (kayıt/oturum)	Ad, e-posta, profil fotoğrafı (kullanıcı izniyle)	ABD	Aktif (Google DPA + DPF)	SOC2 Type II, DPF
GitHub Inc. (Microsoft) — OAuth	Sosyal giriş (geliştirici hesapları)	Ad, e-posta, kullanıcı adı	ABD	Aktif (Microsoft DPA + DPF)	SOC2 Type II, ISO 27001, DPF

4. Yurt İçi Sağlayıcılar (Türkiye Yetki Alanı)

Aşağıdaki sağlayıcılar Türkiye'de yerleşik olup KVKK'nın doğrudan kapsamındadır; yurt dışı aktarım rejimi (KVKK m.9) uygulanmaz. Sağlayıcılar BTK ve T.C. Ticaret Bakanlığı denetimine tabidir.

Sağlayıcı	Hizmet	Mevzuat Tabanı	KVKK İşleyen Kayıt	Sertifika
Netgsm A.Ş.	SMS OTP, işlemsel SMS	5809 sayılı Elektronik Haberleşme Kanunu, BTK lisansı	VERBİS kayıtlı veri işleyen	ISO 27001
İleti Merkezi A.Ş.	Pazarlama SMS, kampanya yönetimi	6563 ETK + İYS entegrasyonu	VERBİS kayıtlı veri işleyen	ISO 27001

5. AB Sağlayıcıları (KVKK m.9 + AB SCC)

Aşağıdaki sağlayıcılar Avrupa Birliği yetki alanında (Frankfurt, Dublin) yerleşik olup hem KVKK m.9 hem GDPR rejimine tabidir. Aktarımlar KVKK Kurulu 04.06.2024 t. 2024/959 sy. Kararı ile yayımlanan Standart Sözleşme Hükümleri ve gerektiğinde AB Komisyonu Standart Sözleşme Hükümleri (Karar 2021/914) çerçevesinde gerçekleştirilir.

Sağlayıcı	Veri Merkezi	Aktarım Mekanizması	Sertifika	TIA Tarihi
Supabase	Frankfurt (eu-central-1)	KVKK SCC (Modül 2: Sorumlu→İşleyen) + AB SCC	SOC2 Type II, ISO 27001, HIPAA	2026 Q1
Upstash	Frankfurt	KVKK SCC (Modül 2) + AB SCC	SOC2 Type II	2026 Q1
Resend	eu-west-1 (Dublin)	KVKK SCC (Modül 2) + AB SCC	SOC2 Type II	2026 Q1
Sentry (AB region)	Frankfurt	KVKK SCC (Modül 2) + AB SCC	SOC2 Type II, ISO 27001	2026 Q1
AWS S3	Dublin (eu-west-1)	KVKK SCC (Modül 2) + AB SCC	SOC2 Type II, ISO 27001/27017/27018	2026 Q1

6. ABD Sağlayıcıları (DPF + SCC + Ek Tedbirler)

Aşağıdaki sağlayıcılar ABD yetki alanında yerleşik olup, AB Komisyonu'nun 10.07.2023 tarihli Adequacy Decision (2023/1795) kapsamında EU-U.S. Data Privacy Framework (DPF) sertifikalıdır. KVKK rejimi açısından ise Kurul Yönetmeliği m.5 uyarınca uygun güvence (SCC) ile aktarım yapılır; gerekli görülen hâllerde Schrems II (CJEU C-311/18) sonrası ek teknik/sözleşmesel tedbirler uygulanır.

Sağlayıcı	Veri Merkezi	KVKK Aktarım	AB→ABD Aktarım	Ek Tedbir
Vercel	Edge global (AB tercihli)	KVKK SCC + açık rıza (gerekirse)	DPF Adequacy + AB SCC	TLS 1.3, edge-region pinning
Mux	AWS us-east	KVKK SCC + açık rıza	DPF Adequacy + AB SCC	AES-256 storage, signed playback URL
Firebase Cloud Messaging (Google)	Google global	KVKK SCC	DPF Adequacy + AB SCC	Payload sanitize (PII'siz), TTL 7 gün
Twilio	AB tercihli, ABD yedek	KVKK SCC	DPF Adequacy + AB SCC	EU Geo region, end-to-end TLS
Google Maps API	Google global	KVKK SCC	DPF Adequacy + AB SCC	IP anonim, sorgu cache 24sa
Google OAuth	Google global	Açık rıza (kullanıcı seçimi) + KVKK SCC	DPF Adequacy	Yalnızca user-initiated flow
GitHub OAuth (Microsoft)	Microsoft global	Açık rıza (kullanıcı seçimi) + KVKK SCC	DPF Adequacy + AB SCC	Yalnızca user-initiated flow
Cloudflare	Edge global	KVKK SCC	DPF Adequacy + AB SCC	Customer SSL, GeoKey Manager (AB anahtar)

7. Kişisel Veri Kategorisi Bazında Aktarım Matrisi

Aşağıdaki tablo, hangi kişisel veri kategorisinin hangi alt işleyiciye, hangi amaçla ve hangi azami saklama süresiyle aktarıldığını gösterir.

Veri Kategorisi	Alt İşleyici(ler)	İşleme Amacı	Azami Süre
Kimlik (ad-soyad, T.C.)	Supabase, AWS S3 (sözleşme PDF)	Hesap, sözleşme tarafı tespiti	Hesap aktif + 10 yıl (VUK)
İletişim (e-posta, telefon)	Supabase, Resend, Netgsm, Twilio, İleti Merkezi	Bildirim, OTP, kampanya	Hesap aktif + 3 yıl
Trafik / Log (IP, user-agent)	Vercel, Cloudflare, Sentry	Güvenlik, hata izleme	90 gün — 2 yıl (5651 m.5)
Mesaj İçerikleri	Supabase, AWS S3 (medya)	İletişim sürdürme	3 yıl (TBK m.146)
Görsel (ilan, profil)	AWS S3, Mux (video)	İlan tanıtımı	Hesap aktif + 30 gün
Konum (yaklaşık)	Vercel, Google Maps	Bölgesel sıralama, harita	Oturum + 30 gün
Push Token	Supabase, FCM	Bildirim teslimi	Token canlı + 90 gün
Pazarlama Onayı (İYS)	İleti Merkezi, Resend, Netgsm	Pazarlama iletisi	Onayın iptaline + 3 yıl
Hata İzi (sanitize)	Sentry	Bug fix, performans	90 gün
Web Vitals (anonim)	Vercel Analytics	Performans iyileştirme	13 ay (toplam)
Anlık Kimlik Doğrulama (TC + ad)	KPS Web Servisi (yurt içi, NVI)	Sahtecilik önleme	Doğrulama anı + 24 saat (kayıt yok)

10. Sertifikasyon Şartları ve Matris

Tekno Borsa, alt işleyici seçiminde aşağıdaki sertifikasyon şartlarını gözetir:

SOC2 Type II — zorunlu (kullanıcı verisi işleyen tüm bulut sağlayıcılar için)
ISO 27001 — zorunlu (bilgi güvenliği yönetim sistemi)
ISO 27018 — tercih (bulutta kişisel veri koruma)
ISO 27017 — tercih (bulut hizmetleri güvenlik kontrolleri)
PCI-DSS — yalnızca ödeme verisi işleyen sağlayıcılar için zorunlu
AB-ABD DPF — ABD merkezli sağlayıcılar için tercih (yoksa SCC + ek tedbir zorunlu)
HIPAA — sağlık verisi işleme durumunda (Tekno Borsa için uygulanmaz)

Sağlayıcı	SOC2	ISO 27001	ISO 27018	DPF	PCI-DSS
Supabase	Var	Var	Yok	N/A	Yok
Vercel	Var	Var	Yok	Var	Yok
Upstash	Var	Yok	Yok	N/A	Yok
Resend	Var	Yok	Yok	N/A	Yok
Google (FCM/Maps/OAuth)	Var	Var	Var	Var	Var
Sentry	Var	Var	Yok	N/A	Yok
Mux	Var	Yok	Yok	Var	Yok
AWS S3	Var	Var	Var	Var (parent)	Var
Cloudflare	Var	Var	Yok	Var	Var
Twilio	Var	Var	Yok	Var	Yok
Microsoft (GitHub)	Var	Var	Var	Var	Var

13. Yurt Dışı Aktarım Mekanizmaları (KVKK m.9)

7499 sayılı Kanun (R.G. 12.03.2024) ile yenilenen KVKK m.9 hükmü, yurt dışı aktarımı üç aşamalı bir süzgeçten geçirir: yeterlilik kararı (m.9/2), uygun güvenceler (m.9/3), arızî hâller (m.9/6). Tekno Borsa'nın aktarımları aşağıdaki tabloya göre sınıflandırılmıştır:

Mekanizma	Yasal Dayanak	Uygulama	Tekno Borsa Kullanımı
Yeterlilik Kararı	KVKK m.9/2	KVKK Kurulu'nun yeterli koruma sağladığını ilan ettiği ülke/sektör	Henüz yayımlanmamıştır
Standart Sözleşme (KVKK SCC)	KVKK m.9/3-ç + Yön. m.10	Kurul 04.06.2024 t. 2024/959 sy. karar ekindeki tip metin; imzadan 5 iş günü içinde Kurum'a bildirim	AB ve ABD aktarımlarında temel mekanizma
Bağlayıcı Şirket Kuralları (BCR)	KVKK m.9/3-b + Yön. m.11	Grup içi aktarımlar için Kurul onayı ile uygulanan bağlayıcı kurallar	Tekno Borsa için uygulanmıyor (grup yapısı yok)
Taahhütname	KVKK m.9/3-c	Kurul izniyle uygulamaya alınan yazılı taahhüt	Henüz kullanılmıyor (SCC tercih)
Açık Rıza	KVKK m.9/6-a	Yalnızca arızî / tek seferlik aktarımlar için	Sosyal giriş (Google/GitHub OAuth) — kullanıcı seçimine bağlı
Sözleşmenin İfası	KVKK m.9/6-c	İlgili kişi ile yapılan sözleşmenin ifası için zorunlu, arızî aktarım	Mux video stream (kullanıcı izlerken)
Üstün Kamu Yararı	KVKK m.9/6-d	Arızî aktarımlar için, kamu makamı talebi	Kolluk talebi durumunda (Kolluk Rehberi)
DPF (AB→ABD)	AB Komisyonu Kararı 2023/1795	DPF sertifikalı ABD kuruluşları için yeterli koruma	Vercel, Mux, Google, Twilio, Cloudflare, GitHub
AB SCC (Komisyon 2021/914)	GDPR Art.46/2-c	AB içi ve AB→3. ülke aktarımları için Komisyon onaylı tip sözleşme	Tüm AB ve ABD sağlayıcıları ile akdedilmiştir

Tekno Borsa

Tekno Borsa

Tekno Borsa

Tekno Borsa

Alt İşleyici (Sub-Processor) Listesi

1. Politikanın Amacı ve Kapsamı

2. Tanımlar

3. Aktif Alt İşleyici Listesi (Konsolide)

4. Yurt İçi Sağlayıcılar (Türkiye Yetki Alanı)

5. AB Sağlayıcıları (KVKK m.9 + AB SCC)

6. ABD Sağlayıcıları (DPF + SCC + Ek Tedbirler)

7. Kişisel Veri Kategorisi Bazında Aktarım Matrisi

8. Yeni Alt İşleyici Ekleme Süreci

9. Alt İşleyici Çıkarma ve Değiştirme Süreci

10. Sertifikasyon Şartları ve Matris

11. Denetim Hakkı ve Periyodik Gözden Geçirme

12. Veri İhlali Bildirim Akışı (Alt İşleyici Kaynaklı)

13. Yurt Dışı Aktarım Mekanizmaları (KVKK m.9)

14. Yıllık Sub-Processor Raporu

İletişim

Yürürlük ve Değişiklikler