Veri İşleyici Listesi
Son güncelleme: 28 Eylül 2026 · Sürüm 3.15
Bu liste, Sistemiya'nın hizmeti sunmak için kullandığı alt veri işleyenleri (sub-processor) şeffaflıkla açıklar. Liste, KVKK Madde 8 ve 9 kapsamındaki aktarım yükümlülüklerini karşılamak üzere güncel tutulur.
İşlemenin tamamına ilişkin aydınlatma KVKK Aydınlatma Metni'nde, sade dilli özeti ve güvenlik tedbirleri Gizlilik ve Güvenlik Politikası'nda yer alır.
Sorumlu ve İşleyen İlişkisi
- Veri sorumlusu: Platformu kullanan işletme (klinik, mali müşavirlik, hukuk bürosu vb.) kendi müşteri verileri bakımından veri sorumlusudur.
- Veri işleyen: Sistemiya, bu verileri işletmenin talimatıyla işleyen veri işleyendir.
- Alt veri işleyen: Sistemiya'nın, hizmetin belirli bir parçasını yürütmek için yararlandığı üçüncü taraf sağlayıcılardır.
Alt Veri İşleyenler
| Sağlayıcı | Amaç | Konum | Aktarım rejimi |
|---|---|---|---|
| Hostinger | Sunucu, veritabanı ve dosya barındırma | Almanya (AB) | Yurt dışı (KVKK m.9 kapsamında) |
| Anthropic | Yapay zeka asistanı mesaj işleme — birincil yapay zekâ sağlayıcısı (AI_PROVIDER=anthropic, yürürlükteki ayar) | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| OpenAI | Yapay zeka asistanı mesaj işleme — yalnız birincil sağlayıcı OpenAI'ye alındığında (AI_PROVIDER=openai) devrededir; devreye alındığında aydınlatmada otomatik listelenir | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| OpenRouter | Yapay zeka asistanı mesaj işleme için model yönlendirme — yalnız birincil sağlayıcı OpenRouter'a alındığında (AI_PROVIDER=openrouter) devrededir; istekler yalnız OpenAI ve Google uçlarına yönlendirilir, veriyi model eğitiminde kullanan uçlara gönderilmez; devreye alındığında aydınlatmada otomatik listelenir | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Google (Gemini modelleri) | Yapay zeka asistanı mesaj işleme — yalnız AI_PROVIDER=openrouter iken bir Google modeli asıl ya da yedek model olarak seçildiğinde | ABD / küresel uç noktalar | Yurt dışı (KVKK m.9 kapsamında) |
| Meta | WhatsApp Business, Instagram DM ve Messenger mesajlaşma altyapısı | AB | Yurt dışı (KVKK m.9 kapsamında) |
| Resend | E-posta gönderimi ve alımı | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Cloudflare R2 | Dosya ve görsel depolama | AB | Yurt dışı (KVKK m.9 kapsamında) |
| Cloudflare Turnstile | Bot doğrulama | AB | Yurt dışı (KVKK m.9 kapsamında) |
| Sentry | Hata ve performans izleme | AB | Yurt dışı (KVKK m.9 kapsamında) |
| PayTR | Ödeme altyapısı (iFrame + 3D Secure) | Türkiye | Yurt içi |
| Kurumsal tek oturum açma (SSO) | ABD | Yurt dışı (KVKK m.9 kapsamında) | |
| Google (Places API) | Potansiyel müşteri işletme araması — Sistemiya'nın kendi satış faaliyeti; bu işlemede Sistemiya veri sorumlusu sıfatıyla, meşru menfaat (KVKK m.5/2-f) temelinde hareket eder, kiracı müşteri verisi gönderilmez | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Google (Takvim) | Randevunun personelin Google Takvim'ine yazılması (hizmet, müşteri adı, şube; müşteri e-postası varsa davetli olarak eklenir) — yalnız işletme takvimini bağladıysa; telefon ve notlar varsayılan kapsamda gönderilmez | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Microsoft (Takvim) | Randevunun personelin Outlook takvimine yazılması — Google (Takvim) satırıyla aynı kapsam; yalnız işletme takvimini bağladıysa | AB (İrlanda) | Yurt dışı (KVKK m.9 kapsamında) |
| Google (Gmail API) | Bağlı Gmail posta kutusunun okunması ve yanıt gönderimi — yalnız işletme "Google ile bağla"yı kullandıysa | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Microsoft (Graph) | Bağlı Outlook / Microsoft 365 posta kutusunun okunması ve yanıt gönderimi — yalnız işletme "Microsoft ile bağla"yı kullandıysa | AB (İrlanda) | Yurt dışı (KVKK m.9 kapsamında) |
| Microsoft | Kurumsal tek oturum açma (Entra ID) | AB (İrlanda) | Yurt dışı (KVKK m.9 kapsamında) |
| Mistral AI | Yedek yapay zekâ modeli (birincil sağlayıcı Anthropic erişilemezken) — yalnız AI_FALLBACK_* ortam değişkenleri kurulduğunda devrededir, devreye alındığında aydınlatmada otomatik listelenir | Fransa (AB) | Yurt dışı (KVKK m.9 kapsamında) |
| TypeSafe (Jev) | Mesajın niyetinin sınıflandırılması (yanıt gerekir mi, insan talebi, vazgeçme, hassas konu); metin üretmez, takma adlandırılmış metin gider, OpenRouter aracılığıyla erişilir — yalnız JEV_MOD_* ayarlarından müşteri mesajı taşıyan biri devreye alındığında devrededir, devreye alındığında aydınlatmada otomatik listelenir | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Cloudflare (ağ katmanı) | Alan adı çözümleme, trafik yönlendirme, TLS sonlandırma ve DDoS koruması — sisteme gelen tüm web trafiği Cloudflare ağından geçer | AB / küresel uç noktalar | Yurt dışı (KVKK m.9 kapsamında) |
| Apple (APNs) | iOS uygulamasında anlık bildirim teslimi — yalnız işletme iOS uygulamasında bildirimi açtıysa; bildirim başlığı ve kısa metni Apple üzerinden iletilir | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Google (FCM), Mozilla, Microsoft (Web push servisleri) | Web push bildirimi teslimi — yalnız işletme personeli tarayıcıda bildirimi açtıysa; bildirim başlığı ve kısa metni tarayıcı üreticisinin push servisinden geçer | ABD / AB | Yurt dışı (KVKK m.9 kapsamında) |
| Twilio | Sesli asistan telefon hattı — çağrının taşınması; arayan numara ve görüşme sesi Twilio üzerinden geçer, ses Sistemiya'da saklanmaz — yalnız işletme sesli asistanı açtıysa | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Deepgram | Sesli asistan — görüşme sesinin anlık olarak yazıya dökülmesi — yalnız işletme sesli asistanı açtıysa | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| Microsoft (Azure Konuşma Hizmeti) | Sesli asistan — asistanın yanıt metninin seslendirilmesi (varsayılan seslendirme motoru); yalnız yanıt metni gönderilir, arayanın sesi gönderilmez — yalnız işletme sesli asistanı açtıysa | İsveç (AB) | Yurt dışı (KVKK m.9 kapsamında) |
| ElevenLabs | Sesli asistan — yanıt metninin seslendirilmesi; yalnız seslendirme motoru ElevenLabs'e alındığında Azure'un yerine devrededir | ABD | Yurt dışı (KVKK m.9 kapsamında) |
| İşletmenin kendi posta sunucusu (IMAP/SMTP) | Bağlı posta kutusunun okunması ve yanıt gönderimi — yalnız işletme Gmail/Microsoft yerine kendi sunucusunu bağladıysa; sunucu işletmenin seçtiği sağlayıcıdadır | İşletmenin sağlayıcısına göre | İşletmenin sözleşmesine tabidir |
Tek oturum açma yalnızca Kurumsal planda ve işletmenin tercihiyle etkinleşir; SSO kullanıldığında Google ve Microsoft'a aktarılan veriler e-posta adresi, kullanıcı kimliği ve görünen ad ile sınırlıdır.
Veri Kategorisi ve İşleyen Eşlemesi
| Veri kategorisi | Aktarılan işleyen(ler) |
|---|---|
| Uygulama ve veritabanı içeriğinin tamamı (barındırma) | Hostinger |
| Mesaj içeriği (WhatsApp, Instagram DM, Messenger, e-posta) | Birincil yapay zekâ sağlayıcısı (Anthropic; AI_PROVIDER=openai ise OpenAI; AI_PROVIDER=openrouter ise OpenRouter aracılığıyla OpenAI veya Google), Meta, Resend, Google (Gmail API), Microsoft (Graph); devreye alındığında niyet sınıflandırması için TypeSafe |
| Bağlı posta kutusu içeriği (gelen/giden e-postalar, ekler) | Hostinger (Almanya, Frankfurt — işletmenin talimatıyla); AI özet/yanıt için birincil yapay zekâ sağlayıcısı (ABD) |
| Bilgi tabanı doküman içeriği (yanıt üretimi sırasında ilgili bölümler) | Birincil yapay zekâ sağlayıcısı |
| Telefon numarası | Meta (WhatsApp); sesli asistan açıksa Twilio |
| Telefon görüşmesi sesi (anlık; saklanmaz) | Twilio, Deepgram |
| Sesli asistanın yanıt metni | Microsoft (Azure Konuşma Hizmeti) ya da seçildiyse ElevenLabs |
| Randevu takvim kaydı (hizmet, müşteri adı, şube, varsa müşteri e-postası) | Google (Takvim), Microsoft (Takvim) — yalnız işletme takvimini bağladıysa |
| Instagram / Messenger uygulama-kapsamlı kullanıcı kimliği | Meta |
| E-posta adresi | Resend |
| Dosya ve görseller | Cloudflare R2 |
| Anonimleştirilmiş IP adresi | Sentry, Cloudflare Turnstile |
| Ödeme verisi (kart bilgisi sunucularımıza girmez) | PayTR |
Google API üzerinden alınan veriler için Sistemiya, Google API Hizmetleri Kullanıcı Verileri Politikası'nın Limited Use şartlarına uyar: veriler yalnızca işletmenin panelde gördüğü gelen kutusu, özet ve yanıt özellikleri için işlenir; reklam amacıyla kullanılmaz, üçüncü kişilere satılmaz, yapay zekâ modeli eğitiminde kullanılmaz; insan erişimi yalnızca güvenlik, hukuki zorunluluk veya işletmenin açık onayıyla sınırlıdır.
Yapay Zeka Sağlayıcısına Giden Verinin Kapsamı
Birincil yapay zekâ sağlayıcısına (ve devredeyse yedek modele ve TypeSafe sınıflandırıcısına) giden metin takma adlandırılmıştır: müşterinin adı, telefon numarası, e-posta adresi, T.C. kimlik numarası ile IBAN ve kart numarası, gönderim öncesinde yer tutucuyla (TEL_1, MUSTERI_ADI gibi) değiştirilir. Yeniden kimliklendirmeyi mümkün kılan eşleme yalnızca Sistemiya'nın kendi veritabanında (Almanya, Frankfurt) kalır, sağlayıcıya hiçbir biçimde verilmez; eşleme ilgili görüşmenin saklama süresi sonunda görüşmeyle birlikte silinir. Aynı değişim araç çağrılarında da uygulanır: randevu için gereken telefon numarası modele yer tutucu olarak verilir, gerçek numarayı yalnızca kendi sunucumuzdaki işlem görür.
Bu bir anonimleştirme değildir. Eşleme veri sorumlusunun/işleyenin elinde olduğu için veri, KVKK anlamında kişisel veri olmayı sürdürür; aktarım Madde 9 kapsamındadır ve aşağıda açıklanan güvence usulüne (standart sözleşme ve Kurum bildirimi) aynen tabidir. Takma adlandırmanın sağladığı şey yükümlülüğün kalkması değil, Madde 4'teki ölçülülük ilkesinin fiilen uygulanması ve bir ihlal hâlinde sağlayıcı tarafındaki içeriğin kimliklendirilemez kalmasıdır.
Bilinen sınırlar, şeffaflık gereği: müşterinin serbest metinde yazdığı üçüncü kişi adları, rakamları yazıyla yazılmış numaralar ve işletmenin bilgi tabanına yüklediği dokümanlardaki adlar yer tutucuya çevrilmez. Görüşmenin konusu (talep, şikâyet, tercih) da sağlayıcıya iletilir.
Aktarım Güvenceleri
Türkiye dışına yapılan tüm aktarımlar (AB ve ABD dâhil) KVKK Madde 9 anlamında yurt dışı aktarım sayılır. 7499 sayılı Kanun'la değişik Madde 9, sırasıyla yeterlilik kararı (m.9/1), uygun güvenceler (m.9/2 — standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve yalnızca süreklilik arz etmeyen hâller için arızi durum (m.9/6) yollarını öngörür.
Buradaki aktarımlar düzenli ve sürekli olduğundan arızi hâl istisnasına dayanılmaz; bu aktarımlar KVKK m.9/2'deki uygun güvencelere dayandırılacaktır ve Kişisel Verileri Koruma Kurulu'nun yayımladığı Kurul standart sözleşmesinin imza süreci yürütülmektedir. İmzalanan her sözleşme, imza tarihinden itibaren mevzuatın öngördüğü süre içinde Kişisel Verileri Koruma Kurumu'na bildirilir.
Ödeme altyapısına yapılan aktarım Türkiye içinde gerçekleşir; yurt dışı aktarım rejimine tabi değildir.
Yapay zeka işlemede aktarılan veriler işleme amacıyla sınırlı tutulur. Bilgi tabanına özel nitelikli (örneğin sağlık) veri yüklenmemesi tavsiye edilir; yüklenen içerikteki kişisel veriden ve hukuki dayanaktan ilgili işletme sorumludur.
Yapay Zeka Şeffaflığı
Sistemiya, işletme adına yürütülen görüşmelerde müşterilere karşı aşağıdaki şeffaflık önlemlerini yazılım düzeyinde uygular. Bu önlemler işletme ayarlarıyla kapatılamaz:
-
Bildirim: WhatsApp, Instagram DM, Messenger veya e-posta üzerinden ilk temasta ve 30 günden uzun bir aradan sonraki ilk yanıtta, müşteriye bir yapay zekâ asistanıyla iletişim kurduğu bildirilir. Bildirim, asistanın davranışını yönlendiren talimatlardan bağımsız olarak yazılım tarafından eklenir; asistana verilecek hiçbir talimat bu bildirimi bastıramaz.
-
İnsana devir: Müşteri bir yetkiliyle görüşmek istediğini belirttiğinde talep işletmeye iletilir ve asistan o görüşmede yanıt vermeyi bırakır.
-
Pazarlama ayrımı: Randevu bildirimleri (onay, hatırlatma, erteleme, iptal) işlem iletisidir; bu iletilere tanıtım veya kampanya içeriği eklenmez.
-
İşletmeye özel aydınlatma sayfası: Her işletme için, işletmenin panelde girdiği yasal kimlik (ünvan, adres, başvuru e-postası) ile dolan bir müşteri aydınlatma metni şablonu üretilir (
/r/{işletme}/aydinlatma) ve ilk mesajdaki cümleye bu bağlantı eklenir. Hangi müşteriye hangi sürümün ne zaman gösterildiği kaydedilir. İşletme kendi metnini kullanmayı seçebilir.
Bu şablon hukuki tavsiye değildir; işletmeler kendi aydınlatma metinlerinin içeriğinden kendileri sorumludur.
İhlal Bildirimi
Bir alt veri işleyende veya Sistemiya altyapısında kişisel veri ihlali tespit edilirse, etkilenen işletmelere gecikmeksizin ve en geç 24 saat içinde bildirimde bulunulur. Bildirim, işletmenin Kurul'a yapacağı 72 saatlik bildirimi hazırlayabilmesi için ihlalin niteliğini, etkilenen veri kategorilerini, yaklaşık kayıt sayısını, olası sonuçları ve alınan tedbirleri içerir.
Veri sorumlusu sıfatıyla işletmenin Kurul'a bildirimi https://ihlalbildirim.kvkk.gov.tr/ adresindeki Veri İhlali Bildirim Modülü üzerinden yapılır.
Listede Değişiklik
Listeye yeni bir alt veri işleyen eklenmeden 30 gün önce işletmelere e-posta ile duyuru yapılır. İşletme itiraz hakkını kullanabilir; itiraz halinde sözleşme tazminatsız feshedilebilir.
İletişim
- Veri işleme soruları: destek@sistemiya.com
- Acil ihlal bildirimi: destek@sistemiya.com