Sürüm: v0.3 · Yürürlük: 2026-08-01 · Son güncelleme: 2026-09-01
Bu metin taslaktır. AVUKAT ONAYI ŞARTTIR.
Sözleşme dilinde çelişki çıkması hâlinde Türkçe metin esastır.
Bu belge, LevelPilot ("Platform") kapsamında REOS Bilişim Teknolojileri Anonim Şirketi'nin ("REOS") veri işleyen sıfatıyla hizmet sunarken yararlandığı alt işleyenleri (subprocessor) listeler.
Aşağıdaki tablo, Platform'da fiilen kullanılan entegrasyonlara dayanır. Bu liste dışında hiçbir alt işleyen kabul edilmemektedir; belirlenmemiş hizmetler için köşeli parantezli yer tutucu bırakılmıştır.
| Alt işleyen | Hizmet | İşlenen veri kategorileri | Veri konumu / aktarım | Aktarım hukuki dayanağı | Not |
|---|---|---|---|---|---|
| Google LLC — Gemini API | Yapay zekâ (LLM) — sohbet/öneri işlevleri | Kullanıcı tarafından üretilen içerik (AI sohbet kayıtları); istemde maskelenmiş kimlik/mesleki performans verisi parçaları | Global (sağlayıcı altyapısı) — yurt dışı | KVKK m.9/2 — uygun güvence: Kurul standart sözleşmesi (bkz. §3.1) | Bkz. §3 — AI sağlayıcılarına özel taahhütler |
| Google LLC — Vertex AI | Yapay zekâ (LLM) — sohbet/öneri işlevleri | Kullanıcı tarafından üretilen içerik (AI sohbet kayıtları); istemde maskelenmiş kimlik/mesleki performans verisi parçaları | Bölge parametrik (bkz. §4) — yurt dışı | KVKK m.9/2 — uygun güvence: Kurul standart sözleşmesi (bkz. §3.1); AB'de yerleşik kullanıcılar için bölge AB içine sabitlenebilir | Bkz. §3 ve §4 |
| [ÜÇÜNCÜ YAPAY ZEKÂ SAĞLAYICISI — SEÇİLECEK] | Yapay zekâ (LLM) — zincirin üçüncü basamağı: ilk iki sağlayıcı yanıt veremediğinde devreye girer (bkz. §5) | Kullanıcı tarafından üretilen içerik (AI sohbet kayıtları); istemde maskelenmiş kimlik/mesleki performans verisi parçaları | [BELİRLENECEK] — yurt dışı olması beklenmektedir | [BELİRLENECEK] — KVKK m.9 kapsamında uygun güvence; sağlayıcı seçilmeden hukuki dayanak kesinleşmez (bkz. §3.1) | 🔴 Bu basamak bugün boştur: hiçbir sağlayıcıya bağlanmamıştır ve hiçbir veri gönderilmemektedir. Bağlanmadan en az 30 gün önce bu satır sağlayıcı adı ve ülkesiyle doldurulur ve bildirim yapılır (§6). Seçim ölçütü hizmet kalitesi ve maliyettir |
| PayTR Ödeme Hizmetleri | Ödeme/tahsilat (abonelik faturalama) | Abonelik/fatura verisi | Türkiye | Yurt içi işleme — ayrı yurt dışı aktarım rızası gerekmez | — |
| Twilio SendGrid, Inc. | E-posta gönderimi (işlemsel bildirim) | İletişim verisi (e-posta), bildirim içeriği | ABD — yurt dışı | KVKK m.9/2 — uygun güvence: Kurul standart sözleşmesi (bkz. §3.1) | Gönderim yapılandırması Config/EmailService.cs |
| Functional Software, Inc. (Sentry) | Hata izleme (uygulama istisnaları, yığın izleri) | İstisna tipi/mesajı · yığın izi · istek yolu · zaman damgası. Kişisel veri gönderilmez — kimlik/iletişim/IP gönderim öncesi maskelenir | [SENTRY BÖLGESİ — Kaan: DSN ana bilgisayar adı teyit edilecek · CK-567] — DSN ingest.de.sentry.io ise AB, ingest.us.sentry.io ise ABD — yurt dışı | KVKK m.9/2 — uygun güvence: Kurul standart sözleşmesi (bkz. §3.1) | Maskeleme Config/SentryTemizleyici.cs · SendDefaultPii=false · yapılandırma yoksa hiç devreye girmez |
| eMarka İletişim ve Bilgi Teknolojileri A.Ş. (İleti Merkezi) | Telefon doğrulama (SMS) | İletişim verisi (telefon numarası), doğrulama kodu | Türkiye — yurt içi hizmet sağlayıcı | Yurt içi işleme — ayrı yurt dışı aktarım rızası gerekmez | BTK tarafından yetkilendirilmiş işletmeci. Mevcut REOS hesabı üzerinden kullanılacak. Yurt dışı numaralara gönderim de aynı sağlayıcıdan yapılır — alıcı numarası yurt dışı olsa da işleme Türkiye'de gerçekleşir, sağlayıcı değişmez |
| REOS kendi sunucusu (self-host LLM) | Yapay zekâ — yerel (T9) dil desteği | Kullanıcı tarafından üretilen içerik (AI sohbet kayıtları) | Türkiye | Üçüncü taraf değildir — REOS'un kendi altyapısı; yurt dışına aktarım söz konusu değildir | Alt işleyen listesine yalnızca şeffaflık amacıyla dahil edilmiştir. Bu basamak yalnızca REOS'un Türkiye'deki kendi sunucusunu ifade eder; yurt dışında yerleşik hiçbir sağlayıcı bu basamağın altında kullanılmaz — yurt dışı sağlayıcılar tabloda ayrı satır olarak gösterilir |
| Cloudflare, Inc. | CDN/trafik yönlendirme ve saldırı koruması · ayrıca Cloudflare Web Analytics (tanıtım sayfası ölçümü) | IP adresi, istek üstverisi, tarayıcı bilgisi, sayfa görüntüleme ve performans ölçümleri. Ölçüm işlevi yalnızca ziyaretçinin açık rızasıyla çalışır | Global kenar ağı — yurt dışı | Koruma/yönlendirme ayağı: KVKK m.5/2-f meşru menfaat. Ölçüm ayağı: KVKK m.5/1 açık rıza; yurt dışına aktarım KVKK m.9 kapsamında açık rıza | Ölçüm betiği site-olcum.js tarafından yalnız onay sonrası yüklenir. [TEYİT EDİLECEK — Kaan: hesapta açık olan Cloudflare ürünleri ve otomatik enjeksiyon ayarının kapatıldığı] |
| Google Ireland Limited (Google Analytics 4) | Tanıtım sayfası ziyaret istatistiği | Ziyaret edilen sayfalar, oturum ve cihaz/tarayıcı bilgisi, kısaltılmış IP adresi. Reklam ve profilleme izinleri kapalıdır | Yurt dışı | KVKK m.5/1 açık rıza; yurt dışına aktarım KVKK m.9 kapsamında açık rıza | Yalnızca ziyaretçinin açık rızasıyla yüklenir (site-olcum.js). Ölçüm kimliği site-olcum-config.js |
| REOS barındırma | Sunucu/veritabanı barındırma | Platformda işlenen tüm kişisel veri kategorileri (bkz. Ortak Blok §4.1) | Türkiye | Yurt içi barındırma — ayrı yurt dışı aktarım rızası gerekmez | — |
Özel nitelikli kişisel veri hiçbir alt işleyene aktarılmamaktadır.
Gemini API ve Vertex AI gibi yapay zekâ (LLM) sağlayıcılarına gönderilen veriler bakımından REOS aşağıdaki asgari güvenceleri uygular:
AcikRizaYurtDisiLlm) tabidir. Bu onay verilmeden ilgili işleme gerçekleştirilmez. Bu onay, yurt dışına aktarımın tek hukuki dayanağı değildir — bkz. §3.1.7499 sayılı Kanunla değişik KVKK m.9 (yürürlük 01.06.2024) uyarınca açık rıza, yurt dışına aktarımda kural değil istisnadır ve yalnızca arızi (süreklilik arz etmeyen, tek seferlik) aktarımlarda kullanılabilir. Yapay zekâ hizmeti çağrıları ve işlemsel e-posta gönderimi süreklilik arz eden mutat faaliyet niteliğinde olduğundan, bu aktarımlar açık rızaya dayandırılamaz.
Uygulanan hukuki dayanak KVKK m.9/2 kapsamında uygun güvence — Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşmedir. Standart sözleşme metni üzerinde değişiklik yapılamaz ve imzalanmasını takip eden 5 iş günü içinde Kurul'a bildirilmesi zorunludur.
Aşağıdaki alt işleyenler bakımından standart sözleşme süreci yürütülür: Google LLC (Gemini API ve Vertex AI), Twilio SendGrid, Inc. ve Functional Software, Inc. (Sentry). Sürecin fiilî durumu: [STANDART SÖZLEŞME DURUMU — TEYİT EDİLECEK].
Zincirin üçüncü basamağına bir sağlayıcı bağlanması hâlinde aynı süreç o sağlayıcı için de yürütülür. ⚠ Bu basamak maliyet ölçütüyle seçilecektir; bir sağlayıcı Kurul standart sözleşmesini imzalamıyorsa bu belgede açıkça yazılır ve hangi hukuki dayanağa (m.9/2'deki diğer güvenceler ya da m.9/6 istisnaları) dayanıldığı ayrıca belirtilir. Kullanıcının bilgilendirilmiş olması, tek başına aktarımın hukuki dayanağı değildir.
Aktarımı tamamen ortadan kaldıran alternatif: Türkiye'de yerleşik kullanıcılar bakımından yapay zekâ trafiğinin REOS'un Türkiye'deki kendi sunucusunda çalışan modele yönlendirilmesi ve e-posta gönderiminin Türkiye merkezli bir sağlayıcıya taşınması hâlinde yurt dışına aktarım söz konusu olmaz.
⚠ Bu bir imkândır, bugünkü durum değildir. Yapay zekâ zincirinin bugünkü birinci ve ikinci basamağı yurt dışındadır (bkz. §5); Türkiye'deki model yalnızca bu belgede ayrıca belirtilen hâllerde devreye girer. Türkiye'deki sunucu ile yurt dışındaki sağlayıcılar birbirinden ayrı tanımlanmıştır: yurt dışında yerleşik bir sağlayıcı hiçbir zaman Türkiye'deki basamağın altında kullanılmaz, tabloda kendi satırıyla ve kendi ülkesiyle gösterilir.
Vertex AI entegrasyonunda işlem bölgesi (region) yapılandırılabilir bir parametredir. Avrupa Birliği'nde yerleşik kullanıcılar için bu bölge, veri işlemenin AB sınırları içinde kalmasını sağlayacak şekilde AB içine sabitlenebilir. Bu bir teknik/idari yapılandırma kararıdır; varsayılan bölge ayarı ve AB'ye özgü yapılandırmanın fiilen etkinleştirilip etkinleştirilmediği ayrıca teyit edilecek ve bu belgeye işlenecektir: [BÖLGE YAPILANDIRMASI — TEYİT EDİLECEK].
Yapay zekâ sağlayıcı seçimi bir zincir halinde çalışır:
Bir basamaktan diğerine geçişi gerektiren zorunlu devreye girme (failover) olayları denetim kaydına yazılır. Bu sayede hangi isteğin hangi sağlayıcı tarafından işlendiği geriye dönük olarak izlenebilir.
REOS, yukarıdaki listeye yeni bir alt işleyen eklemesi hâlinde, ilgili veri sorumlusuna (Ofis/marka) değişikliğin yürürlüğe girmesinden en az 30 gün önce bildirimde bulunur. Ofis, bildirimi izleyen makul süre içinde gerekçeli itirazda bulunma hakkına sahiptir; itiraz ve sonrasında izlenecek usul DPA'da ayrıca düzenlenir.
Bu listenin güncel sürümü [YAYIM ADRESİ — BELİRLENECEK] adresinde yayımlanır. Güncel sürüm bilgisi:
Alt işleyen listesinde yapılan her değişiklik, sürüm numarası ve tarih güncellenerek yayımlanır.
[SMS SAĞLAYICI — KAAN BİLDİRECEK][ÜÇÜNCÜ YAPAY ZEKÂ SAĞLAYICISI — SEÇİLECEK] — zincirin üçüncü basamağına bağlanacak sağlayıcının adı, ülkesi ve aktarımın hukuki dayanağı (§2 tablosu, §3.1 ve §5). Basamak bugün boştur; doldurulmadan bağlantı kurulmaz[STANDART SÖZLEŞME DURUMU — TEYİT EDİLECEK] — Google ve SendGrid ile Kurul standart sözleşmesinin imza ve bildirim durumu (§3.1)[BÖLGE YAPILANDIRMASI — TEYİT EDİLECEK] — Vertex AI bölge parametresinin AB için fiilen AB içine sabitlenip sabitlenmediği[SENTRY BÖLGESİ — Kaan: DSN ana bilgisayar adı teyit edilecek · CK-567] — Sentry hesabının veri bölgesi (DSN'in ingest.de / ingest.us olması); AB ise §4'teki S-4 kararıyla uyumlu, ABD ise ayrıca değerlendirilir[YAYIM ADRESİ — BELİRLENECEK] — Bu listenin güncel sürümünün yayımlanacağı adresUnvan : REOS Bilişim Teknolojileri Anonim Şirketi
Adres : Aydınevler Mah. Preveze Sok. No:21/3 Maltepe/İSTANBUL
Vergi Dairesi : Küçükyalı Vergi Dairesi
Vergi Kimlik No : 7341745139
Ticaret Sicil No : 752862-0
MERSİS No : 0068080171200014
KEP Adresi : [email protected]
Telefon : +90 850 885 33 00
E-posta : [email protected]
KVKK Başvuru : [email protected]
ETBİS : Kayıtlıdır — https://etbis.ticaret.gov.tr/tr/SiteSorgulamaSonuc?siteId=d1f95845-2b39-46f6-86d2-ceda748ade50
Ürün / Platform : LevelPilot (levelpilot.net)