Alt İşleyenler ve Yurt Dışı Aktarımlar

1. Bu sayfa hakkında

Senitix Teknoloji LTD. ŞTİ. (“Senitix” veya “biz”), işletmelerin müşteri ilişkilerini yönettiği Senitix CRM’i sunar. Müşterilerimiz Senitix’e kendi müşterilerine, adaylarına ve iş ortaklarına ait kişisel verileri girer. Bu verilerde veri sorumlusu müşterimizdir; Senitix ise Veri İşleme Sözleşmesi (“VİS”) çerçevesinde, müşterinin talimatlarıyla ve onun adına veri işleyendir. Alt işleyen, Senitix’in hizmeti sunabilmek için bu verileri işlemekle görevlendirdiği üçüncü kişidir.

Bu sayfada şunlar yer alır:

• alt işleyenlerin güncel listesi: her birinin unvanı, bizim için yaptığı iş, işlediği kişisel veri kategorileri, verileri işlediği ülke veya bölge, KVKK’nın 9. maddesi kapsamındaki aktarım dayanağı ve bu dayanağın bugünkü durumu (3. bölüm);
• Senitix’in yalnızca kendi verileri için, müşteri verilerine erişmeden çalıştığı ödeme kuruluşu, web sitesi analitik sağlayıcısı, web sitesindeki reklam ölçümü için Meta ve Google (Google Ads) ve web sitesindeki canlı sohbet için Crisp (4. bölüm);
• müşterinin veya kullanıcının kendi yetkisiyle bağladığı ve Senitix’in alt işleyeni olmayan hizmetler (5. bölüm);
• yurt dışına aktarımların dayanakları (6. bölüm) ve listedeki değişiklikleri nasıl bildirdiğimiz (8. bölüm).

Müşterilerimiz VİS’i kabul ederek bu sayfada listelenen alt işleyenlerin görevlendirilmesine genel yetki verir. Listenin güncel hâli bu sayfadır. Alt işleyen görevlendirmesine, değişikliklerin bildirilmesine ve itiraza ilişkin sözleşme hükümleri ise VİS’in 8. maddesinde yer alır; bu sayfadaki açıklamalar ile VİS arasında fark olursa VİS uygulanır.

Senitix’in veri sorumlusu olduğu veriler bakımından bu sayfa, KVKK Aydınlatma Metni’nde sayılan alıcı gruplarının ayrıntısını verir. Kişisel verileri hangi amaçla ve hangi hukuki sebebe dayanarak işlediğimizi ve KVKK’dan doğan haklarınızı o metin açıklar.

Son değişiklik: 11 Ekim 2026. Değişiklik geçmişi 8.5’tedir.

2. Veriler nerede barındırılır

Senitix hizmeti ve müşteri verileri, Amazon Web Services (AWS) altyapısında Almanya’nın Frankfurt bölgesinde (eu-central-1) barındırılır; felaket kurtarma kopyaları İrlanda’daki bölgede (eu-west-1) tutulur. Yedekler de bu iki bölgede saklanır; saklama süreleri Veri Saklama ve İmha Politikası’ndadır. Senitix AI’a yapılan istekler Amazon Bedrock üzerinden, Avrupa Birliği’ndeki AWS bölgelerinde işlenir. Hizmeti bugün Türkiye’de barındırmıyoruz.

Verilerin Avrupa Birliği’nde barındırılması, verilerin yalnızca orada işlendiği anlamına gelmez:

• Senitix Türkiye’de kurulu bir şirkettir. Ekibimiz hizmeti Türkiye’den işletir, korur ve destekler; işin gerektirdiği durumlarda müşteri verilerine Türkiye’den uzaktan erişir.
• Bazı alt işleyenler sınırlı verileri ABD’de işler; Cloudflare ise trafiği kullanıcıya en yakın veri merkezinde karşılar.
• Türkiye’den bakıldığında, verilerin Almanya’da veya İrlanda’da barındırılması da KVKK anlamında yurt dışına aktarımdır. Bu aktarımların dayanağını 6. bölüm açıklar.

3. Güncel alt işleyen listesi

Aşağıdaki sağlayıcılar, müşterilerimizin ve kullanıcılarının Senitix’e girdiği kişisel verileri (“müşteri verileri”) hizmeti sunmak için işleyebilir. Amazon Bedrock ve Tavily dışındakiler, aynı hizmetin parçası olarak Senitix’in veri sorumlusu olduğu hesap, güvenlik ve yazışma verilerini (“Senitix’in kendi verileri”) de işler.

“Dayanak” sütunundaki standart sözleşme, KVKK m.9/4-c uyarınca Kişisel Verileri Koruma Kurulu’nun (“Kurul”) ilan ettiği standart sözleşmedir. Müşteri verileri için veri işleyenden veri işleyene, Senitix’in kendi verileri için veri sorumlusundan veri işleyene aktarıma ilişkin türü kullanılır (6.2). “Durum” sütunu, o alıcı için sözleşmenin imzalanıp Kuruma bildirilip bildirilmediğini gösterir; tamamlanan her satırı aynı gün güncelleriz.

Alt işleyen	Amaç	İşlenen kişisel veri kategorileri	Konum	Dayanak	Durum
Amazon Web Services (AWS)	Senitix uygulamasının barındırılması: sunucular, veritabanları, dosya depolama, şifreleme anahtarlarının yönetimi, yedekleme ve felaket kurtarma. Uygulamanın web dosyalarının Amazon CloudFront ile dağıtılması.	Hizmette tutulan tüm veriler: müşteri verileri (kayıtlar, notlar, dosyalar, eşitlenen e-posta ve takvim öğeleri), kullanıcı hesapları, fatura kayıtları, oturum ve denetim kayıtları. Veriler durağan hâlde şifrelidir.	Almanya (Frankfurt, eu-central-1); felaket kurtarma İrlanda (eu-west-1). CloudFront, web dosyalarını AWS’nin dünya genelindeki uç noktalarından sunar.	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
Amazon Web Services (AWS): Amazon Bedrock	Senitix AI’ın kullandığı yapay zekâ modellerinin çalıştırılması	Kullanıcının Senitix AI’a yazdığı talep; yanıt için gereken ve kullanıcının görmeye yetkili olduğu kayıt içerikleri; üretilen yanıt	Avrupa Birliği’ndeki AWS bölgeleri	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene	Süreç devam ediyor
Tavily, Inc. (ABD)	Senitix AI’ın web arama özelliği kullanıldığında, yalnızca o istek için oluşturulan arama sorgusunun çalıştırılması ve sonuçların döndürülmesi	Arama sorgusunun metni. Sorgu, kullanıcının Senitix AI’a yazdığı talepten ve yanıt için gereken kayıt içeriğinden türetilebilir; kayıtların kendisi gönderilmez.	ABD	Tavily’nin veri işleme koşulları. Kurul’un standart sözleşmesi bakımından 6.2’deki taahhüt bu alıcı için de geçerlidir.	Süreç devam ediyor
Cloudflare, Inc.	Alan adlarımızın DNS’i; senitix.com (www.senitix.com’a yönlendirir) ve Senitix uygulaması için içerik dağıtımı, güvenlik duvarı, dağıtık hizmet engelleme (DDoS) saldırılarına karşı koruma ve bot yönetimi. www.senitix.com Amazon CloudFront üzerinden sunulur; CloudFront her ziyaretçinin IP adresini ve istek bilgilerini dünya genelindeki uç noktalarında işler.	IP adresi, istek bilgileri (tarayıcı, istenen adres, zaman) ve Cloudflare ağından geçen, aktarım hâlindeki içerik (müşteri verileri dâhil)	Cloudflare’in küresel ağı; kullanıcıya en yakın veri merkezi. Şirket ABD’de yerleşiktir.	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
Twilio Inc. (Twilio SendGrid)	Hizmetin gönderdiği e-postaların (davet, doğrulama, parola sıfırlama ve bildirim e-postaları) iletilmesi; Senitix’in hizmet adreslerine gönderilen e-postaların alınması	Gönderici ve alıcıların adı ve e-posta adresi, e-posta içeriği (müşteri verileri içerebilir), teslim durumu	ABD	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
Twilio Inc.	Telefon numarasının doğrulanması ve SMS yöntemini seçen kullanıcılar için çok faktörlü kimlik doğrulama amacıyla doğrulama kodlarının SMS ile gönderilmesi	Telefon numarası, doğrulama kodunu içeren ileti metni, teslim durumu	ABD	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
Functional Software, Inc. (Sentry)	Senitix uygulamasında oluşan hataların izlenmesi	Hata kayıtları ve teknik tanı verileri: IP adresi, kullanıcı veya çalışma alanı tanımlayıcısı, tarayıcı bilgisi ve hata anında işlenen verinin parçaları	Avrupa Birliği (Almanya, Frankfurt)	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
Google LLC (Google Workspace)	Senitix’in kurumsal e-postası; destek, gizlilik başvurusu ve satış yazışmalarının alındığı posta kutuları dâhil	Bize gönderilen e-postalar ve ekleri ile yanıtlarımız; örneğin bir destek talebinde paylaşılan müşteri verileri	ABD ve Google’ın veri merkezi bulunan diğer ülkeler	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor
IPinfo	Hesap güvenliği için, oturum açmada kullanılan IP adresinin yaklaşık konumunun (ülke, bölge, şehir) belirlenmesi	IP adresi	ABD	Standart sözleşme (m.9/4-c): veri işleyenden veri işleyene ve veri sorumlusundan veri işleyene	Süreç devam ediyor

Senitix AI. Bir kullanıcı Senitix AI’ı kullandığında, talep ve yanıt için gereken kayıtlar Amazon Bedrock içinde çalışan modellerce işlenir; bu verileri modelleri geliştiren şirketlere göndermeyiz. Senitix, müşteri verilerini yapay zekâ modellerini eğitmek için kullanmaz; Bedrock’a gönderilen talepler, kayıtlar ve yanıtlar da model eğitiminde kullanılmaz. Senitix AI konuşmaları 180 gün boyunca işlem görmezse silinir.

Listede olmayanlar. Kişisel veri almayan hizmetler listelenmez. Faturalamada kullandığımız döviz kuru servisleri ile yeni parolaların bilinen veri sızıntılarında yer alıp almadığını, parolanın kendisini veya tam özetini göndermeden kontrol eden hizmet bu kapsamdadır. Senitix’in kendi çalışanları da alt işleyen değildir.

4. Senitix’in kendi verileri için çalıştığı sağlayıcılar: ödeme kuruluşu, web sitesi analitik sağlayıcısı, reklam ölçümü sağlayıcısı ve canlı sohbet sağlayıcısı

Bu bölümdeki sağlayıcılar müşteri verilerine erişmez; yalnızca Senitix’in veri sorumlusu olduğu kendi verilerini işler. Bu nedenle VİS anlamında alt işleyen değildir ve 8.2’deki itiraz usulü onlara uygulanmaz. 4.3’teki Meta, Google (Google Ads) ve LinkedIn ise bu verileri bizim adımıza işlemenin yanında kendi amaçları için de işler. 4.4’teki Crisp onay kategorisine bağlı değildir ve sayfayla birlikte yüklenir; Google’ın etiketi de, 4.2 ve 4.3’te anlatıldığı gibi, seçimden önce çerezsiz modda yüklenir (GPC sinyali varsa yüklenmez).

4.1 Ödeme kuruluşu

Abonelik ücretlerini Türkiye’de yerleşik bir ödeme kuruluşu aracılığıyla tahsil ederiz. Bu işleme, müşterinin fatura ve ödeme bilgilerine ilişkindir; bu verilerde veri sorumlusu Senitix’tir ve işleme KVKK Aydınlatma Metni’ne tabidir.

Kuruluş	Amaç	İşlenen kişisel veri kategorileri	Konum	Aktarım dayanağı
iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico)	Abonelik ödemelerinin alınması, kayıtlı kartların saklanması, başarısız ödemelerin yeniden denenmesi, ödeme güvenliği ve dolandırıcılığın önlenmesi	Fatura ilgilisinin adı soyadı veya unvanı, e-posta ve fatura adresi; vergi kimlik numarası, şahıs işletmelerinde T.C. kimlik numarası; kart bilgileri; ödeme tutarı ve işlem kayıtları; ödeme sırasındaki IP adresi	Türkiye	Yurt içi aktarım; KVKK m.9 uygulanmaz. Aktarım KVKK m.8 kapsamında yapılır ve m.5/2-c (sözleşmenin kurulması ve ifası) ile m.5/2-ç (hukuki yükümlülüğün yerine getirilmesi) hukuki sebeplerine dayanır.

Kart numarasını ve güvenlik kodunu Senitix saklamaz. Kayıtlı kart iyzico’da saklanır; Senitix yalnızca karta ait bir referans tutar.

4.2 Web sitesi analitik sağlayıcısı

senitix.com üzerinde Google Analytics 4’ün çerezlerini yalnızca ziyaretçi analitik çerezleri kabul ettiğinde kullanırız. Google etiketi (Google Analytics 4 ve Google Ads etiketi) ise, tarayıcı Global Privacy Control (GPC) sinyali göndermiyorsa, seçimden önce de çerezsiz modda yüklenir ve Google’a yalnızca çerezsiz sinyaller gönderir; GPC varken hiç yüklenmez. Bu işleme Çerez Politikası’nda ve KVKK Aydınlatma Metni’nde ayrıntılı anlatılır. Google bu veriyi Senitix adına ve talimatlarımızla, veri işleyen sıfatıyla işler; kendi reklam amaçları için kullanmaz. Google Analytics mülkümüzde Google Signals ve reklam kişiselleştirmesi kapalıdır.

Kuruluş	Amaç	İşlenen kişisel veri kategorileri	Konum	KVKK dayanağı	GDPR dayanağı
Google Ireland Limited (Türkiye’deki kullanıcılar için Google’ın sözleşme koşulları uyarınca) ve Google LLC (Google Analytics)	Analitik çerezleri kabul eden ziyaretçiler için senitix.com kullanımının çerezlerle ölçülmesi: sayfa görüntülemeleri, ziyaretin geldiği kaynak, cihaz, tarayıcı ve dil bilgisi, yaklaşık şehir düzeyinde konum, iletişim formu gönderimi ve ücretsiz deneme başlatma tıklaması gibi etkinlikler. Ayrıca, GPC sinyali yoksa, seçimden önce de ve ret sonrasında yalnızca çerezsiz sinyallerle (sayfa adresi, yönlendiren site, tarayıcı ve cihaz türü, zaman, olay bilgisi, IP adresi) toplu ölçüm yapılır; GPC varken hiçbir şey gönderilmez	Ziyaretçinin IP adresinden türetilen ve IP adresi saklanmadan elde edilen yaklaşık konum; cihaz, tarayıcı ve dil bilgisi; ziyaret edilen sayfalar ve etkinlikler. GA4 IP adresini kaydetmez veya saklamaz.	İrlanda ve ABD	Standart sözleşme (m.9/4-c): veri sorumlusundan veri işleyene. 6.2’deki taahhüt bu aktarım için de geçerlidir ve sözleşmenin imzalanıp Kuruma bildirilmesi süreci devam etmektedir. Çerezlerle yapılan ölçümde aktarımın kendisi ziyaretçinin açık rızasına (m.5/1) bağlıdır. Çerezsiz sinyallerin işlenmesinin dayanağı meşru menfaattir (m.5/2-f); GPC ile itiraz edilebilir.	Google LLC’nin sertifikalı olduğu AB-ABD Veri Gizliliği Çerçevesi (EU-U.S. Data Privacy Framework). Bu çerçeve bir Avrupa Birliği mekanizmasıdır; Türkiye’den yapılan bir aktarımda KVKK m.9 bakımından dayanak oluşturmaz.

Google Analytics mülkümüzdeki veriler 14 ay sonra otomatik olarak silinir. Ziyaretçinin rıza tercihi, açık rızaya tabi olmayan zorunlu bir çerezde (sx_consent) 180 gün süreyle tutulur; ayrıntılar Çerez Politikası’ndadır.

4.3 Web sitesi reklam ölçümü sağlayıcısı

senitix.com üzerinde Meta Pixel’i yalnızca ziyaretçi pazarlama çerezlerini açtığında çalıştırırız; bu işleme Çerez Politikası’nda ve KVKK Aydınlatma Metni’nde ayrıntılı anlatılır. Meta Pixel yalnızca web sitemizde çalışır ve müşteri verilerine erişmez. Meta, 4.2’deki Google’dan farklı olarak yalnızca bizim adımıza işlem yapan bir sağlayıcı değildir: Meta’nın İşletme Araçları Koşulları uyarınca Meta, Pixel verilerini bizim adımıza ölçüm ve raporlama için işlemenin yanında kendi amaçları için de işler ve bu amaçlar bakımından verilerin alıcısı olan bağımsız bir veri sorumlusudur. Verilerin sitemizde toplanması ve Meta’ya iletilmesinde ise, o koşulların tarif ettiği biçimde, sorumluluk bizde de bulunur.

Aynı rızayla Google Ads etiketinin çerezlerini ve gelişmiş dönüşümlerini de kullanırız; etiketin kendisi ise 4.2’de anlatıldığı gibi seçimden önce çerezsiz modda yüklenir. Google Ads etiketi yalnızca web sitemizde çalışır ve müşteri verilerine erişmez. Siteye bir Google reklamından gelen ziyaretçi ücretsiz deneme hesabı açtığında bunu Google’a sunucumuzdan da bildiririz; bu bildirim yalnızca Google’ın tıklama tanımlayıcısını, zamanı ve rastgele bir kayıt kodunu içerir. Google, Google Ads Denetleyiciden Denetleyiciye Veri Koruma Şartları uyarınca dönüşüm ölçümü verilerini kendi amaçları için de işler ve bu amaçlar bakımından bağımsız bir veri sorumlusudur; gelişmiş dönüşümlerde iletilen karma e-posta değerini ise Google Ads Veri İşleme Şartları uyarınca bizim adımıza işler. Google Analytics için 4.2’de anlattığımız düzen (Google’ın yalnızca bizim adımıza işlemesi) bu yüzden Google Ads için geçerli değildir.

Aynı rızayla LinkedIn Insight Tag’i de çalıştırırız. LinkedIn Insight Tag yalnızca web sitemizde çalışır ve müşteri verilerine erişmez. LinkedIn, etiketle toplanan verileri bizim için ölçüm yapmanın ve web sitesi kitlesi oluşturmanın yanında kendi amaçları için de işler ve bu amaçlar bakımından bağımsız bir veri sorumlusudur; verilerin sitemizde toplanması ve LinkedIn’e iletilmesinde ise sorumluluk bizde de bulunur. LinkedIn bu yüzden bir alt işleyen değildir.

Kuruluş	Amaç	İşlenen kişisel veri kategorileri	Konum	KVKK dayanağı	GDPR dayanağı
Meta Platforms Ireland Limited (Amerika Birleşik Devletleri’nde Meta Platforms, Inc.) (Meta Pixel)	Yalnızca pazarlama çerezlerini açan ziyaretçiler için, Meta’nın platformlarında yayınladığımız reklamların senitix.com’daki ziyaretlere, taleplere ve kayıtlara etkisinin ölçülmesi: her sayfa görüntülemesi (PageView), fiyatlandırma ve özellikler sayfalarının görüntülenmesi (ViewContent), iletişim veya satış formunun başarıyla gönderilmesi (Lead) ve ücretsiz deneme kaydının başlatılması (bu da Lead olayı olarak, aynı kaydın sitede ve sunucumuzda iki kez sayılmasını önleyen bir olay kimliğiyle); kayıttan sonra sunucumuzdan (Meta Dönüşümler API’si) hesabın açılması (CompleteRegistration), deneme sürecinin başlaması (StartTrial) ve ilk ödeme (Purchase)	Görüntülenen sayfanın adresi (kampanya parametreleri ve Meta’nın tıklama tanımlayıcısı bulunabilir), yönlendiren sayfa, IP adresi, tarayıcı ve cihaz bilgileri, _fbp ve _fbc çerezlerindeki tanımlayıcılar ve olaylar; sunucu bildiriminde ayrıca ülke ve rastgele kayıt kodu (tek yönlü karma), kodla doğrulanan e-posta adresinin ve hesap açıldıktan sonra telefon numarası, ad ve soyadın tek yönlü karmaları (SHA-256) ile ilk ödemenin tutarı ve para birimi. Bu bilgilerin açık hâli ve form içeriği gönderilmez; Pixel’de Gelişmiş Eşleştirme kapalıdır.	İrlanda ve ABD	Pazarlama çerezleri için verilen açık rıza (m.5/1). Aktarım da KVKK m.9 kapsamında, olası riskler hakkında bilgilendirilmiş ziyaretçinin açık rızasına dayanır (bkz. 6.3); 6.2’deki standart sözleşme taahhüdü bu aktarımı kapsamaz.	Ziyaretçinin rızası (m.6/1-a). Aktarımda Meta’nın İşletme Araçları Koşulları ve kendi koşullarında tarif ettiği güvenceler uygulanır.
Google Ireland Limited ve Google LLC (Google Ads)	Pazarlama çerezlerini açan ziyaretçiler için çerezlerle ve gelişmiş dönüşümlerle; ayrıca, GPC sinyali yoksa, seçimden önce de çerezsiz sinyallerle (4.2), Google’da yayınladığımız reklamların ücretsiz deneme kayıtlarına etkisinin ölçülmesi: tek dönüşüm olayı, ücretsiz deneme kayıt formunun başarıyla gönderilmesi (“Deneme kaydı”); Google reklamından gelen ziyaretçinin deneme hesabı açıldığında sunucudan gönderilen bildirim. Reklam kişiselleştirme sinyali (ad_personalization) her durumda reddedilmiş kalır; Google üzerinden yeniden hedefleme yapılmaz.	Görüntülenen sayfanın adresi (kampanya parametreleri ve Google’ın tıklama tanımlayıcısı bulunabilir), yönlendiren sayfa, IP adresi, tarayıcı ve cihaz bilgileri, _gcl_au ve _gcl_aw çerezlerindeki tanımlayıcılar ve dönüşüm olayı; gelişmiş dönüşümlerde kayıt formuna yazılan e-posta adresinin tarayıcıda SHA-256 ile karma değere dönüştürülmüş hâli (adresin kendisi gönderilmez). Sunucu bildirimi yalnızca tıklama tanımlayıcısını (gclid, gbraid veya wbraid), hesabın açıldığı zamanı ve rastgele bir kayıt kodunu içerir; ad, e-posta veya telefon içermez.	İrlanda, ABD ve Google’ın diğer veri merkezleri	Pazarlama çerezleri ve gelişmiş dönüşümler için verilen açık rıza (m.5/1); çerezsiz sinyaller için meşru menfaat (m.5/2-f). Çerezler ve gelişmiş dönüşümlerle yapılan aktarım KVKK m.9 kapsamında, olası riskler hakkında bilgilendirilmiş ziyaretçinin açık rızasına dayanır (bkz. 6.3); çerezsiz sinyallerin aktarımı ise 6.2’deki standart sözleşme taahhüdü kapsamındadır.	Çerezler ve gelişmiş dönüşümler için ziyaretçinin rızası (m.6/1-a); çerezsiz sinyaller için meşru menfaat (m.6/1-f). Aktarımda Google Ads Denetleyiciden Denetleyiciye Veri Koruma Şartları ve Google Ads Veri İşleme Şartları’ndaki güvenceler uygulanır.
LinkedIn Ireland Unlimited Company (Amerika Birleşik Devletleri’nde LinkedIn Corporation) (LinkedIn Insight Tag)	Yalnızca pazarlama çerezlerini açan ziyaretçiler için, LinkedIn’de yayınladığımız reklamların senitix.com’daki ziyaretlere ve ücretsiz deneme kayıtlarına etkisinin toplu raporlarla ölçülmesi: sayfa ziyaretleri ve tek dönüşüm olayı (ücretsiz deneme kaydı). Aynı rızayla, siteyi ziyaret eden LinkedIn üyelerine LinkedIn’de reklamlarımızın gösterilebilmesi için web sitesi kitlesi oluşturulur (üyelik son ziyaretten sonra en fazla 30 gün); kişi listesi yüklenmez.	Görüntülenen sayfanın adresi ve yönlendiren sayfa, IP adresi, tarayıcı ve cihaz bilgileri, ziyaret zamanı, tıklanan düğmelerin etiketleri ve sayfada kalma süresi, LinkedIn’in tıklama tanımlayıcısı (li_fat_id), li_giant çerezindeki değer ve LinkedIn’in kendi tanımlayıcıları; dönüşüm olayı. Ad, e-posta adresi (karma değer olarak da), telefon veya formlara yazılan bilgi gönderilmez.	İrlanda ve ABD	Pazarlama çerezleri için verilen açık rıza (m.5/1). Aktarım da KVKK m.9 kapsamında, olası riskler hakkında bilgilendirilmiş ziyaretçinin açık rızasına dayanır (bkz. 6.3); 6.2’deki standart sözleşme taahhüdü bu aktarımı kapsamaz.	Ziyaretçinin rızası (m.6/1-a). LinkedIn bu verileri kendi koşullarına ve gizlilik politikasına göre işler.

_fbp ve _fbc çerezleri ziyaretçinin tarayıcısında 90 gün kalır ve rıza geri alındığında silinir. Meta’ya iletilen verilerin Meta’daki saklama süresini biz belirlemeyiz. Meta’nın bu verileri nasıl işlediği Meta Gizlilik Politikası’nda ve Meta Çerez Politikası’nda anlatılır.

_gcl_au ve _gcl_aw çerezleri de ziyaretçinin tarayıcısında 90 gün kalır ve rıza geri alındığında silinir. Google’a iletilen verilerin Google’daki saklama süresini biz belirlemeyiz; Google’ın bu verileri nasıl işlediği Google Gizlilik Politikası’nda anlatılır.

LinkedIn Insight Tag’in senitix.com’daki li_fat_id (30 gün) ve li_giant (7 gün) çerezleri de rıza geri alındığında silinir. LinkedIn web sitesi kitlesindeki üyelik son ziyaretten sonra en fazla 30 gün sürer. LinkedIn’in kendi alan adındaki çerezlerini ve LinkedIn’e iletilen verilerin saklama süresini biz belirlemeyiz; bunlar LinkedIn Gizlilik Politikası’nda anlatılır.

4.4 Web sitesi canlı sohbet sağlayıcısı

Ziyaretçilerin bize doğrudan ulaşabilmesi için senitix.com’un her sayfasında Crisp’in canlı sohbetini kullanırız; bu işleme Çerez Politikası’nda ve KVKK Aydınlatma Metni’nde ayrıntılı anlatılır. Canlı sohbet bir onay kategorisi değildir: ziyaretçinin çerez tercihini beklemeden, her ziyaretçi için sayfayla birlikte yüklenir. Yalnızca web sitemizde yüklenir; Senitix uygulamasında (app.senitix.com, crm.senitix.com) hiçbir zaman yüklenmez ve CRM çalışma alanlarındaki müşteri verilerine erişmez. Crisp bu hizmeti bizim adımıza, hizmet sağlayıcımız (veri işleyen) olarak sunar. Sitemiz Crisp’e kendiliğinden ad, e-posta adresi veya başka bir kişisel bilgi iletmez.

Kuruluş	Amaç	İşlenen kişisel veri kategorileri	Konum	KVKK dayanağı	GDPR dayanağı
Crisp IM SAS (Crisp)	senitix.com’daki canlı sohbet: sohbet balonunun ve penceresinin sayfayla birlikte yüklenmesi, sohbet oturumunun sayfalar ve ziyaretler arasında sürmesi, ziyaretçi mesajlarının Senitix ekibine Crisp’in gelen kutusunda iletilmesi	IP adresi, tarayıcı ve cihaz bilgileri, görüntülenen sayfanın adresi ve yönlendiren sayfa, sohbet oturumu tanımlayıcısı (crisp-client/session/* ve crisp-client/socket/* çerezleri ile aynı adlı yerel depolama kayıtları); ziyaretçi yazarsa mesaj metni, gönderdiği dosyalar ve yalnızca kendisi yazarsa adı veya e-posta adresi	Şirket Fransa’da (Avrupa Birliği) yerleşiktir.	İşleme: ziyaretçilere bize doğrudan ulaşma imkânı sunmak ve sohbet oturumunun çalışmasını sağlamak konusundaki meşru menfaatimiz (m.5/2-f); mesaj içerikleri ziyaretçi yazmayı seçtiği için işlenir. Aktarım: Crisp Fransa’da yerleşik olduğundan KVKK bakımından yurt dışına aktarımdır; canlı sohbet sayfayla birlikte yüklendiği için, hizmetin sunulması amacıyla her sayfa ziyaretinde gerçekleşir ve ziyaretçinin çerez tercihine bağlı değildir.	Meşru menfaat (m.6/1-f). Crisp Avrupa Birliği’nde yerleşiktir.

crisp-client/session/* çerezi ziyaretçinin tarayıcısında yaklaşık 6 ay (182 gün), crisp-client/socket/* çerezi yaklaşık 2 gün kalır. Sohbet kayıtlarını, talebi yanıtlamak, takip etmek ve kaydını tutmak için gerekli olduğu sürece ve ziyaretçi silinmesini isteyene kadar saklarız; silme talepleri privacy@senitix.com adresine iletilebilir. Crisp’in kendi uygulamaları Crisp Gizlilik Politikası’nda anlatılır.

5. Müşteri yetkisiyle çalışan entegrasyonlar

Kullanıcılarınız e-posta, takvim ve ön muhasebe hesaplarını Senitix’e bağlayabilir ve sunulan yöntemlerle oturum açabilir. Bağlantı ancak kullanıcı, ilgili sağlayıcının onay ekranında izin verdiğinde kurulur. Senitix bağlanan hesaba bu yetkiyle erişir ve onu yalnızca kullanıcının açtığı özellikler için kullanır.

Bu sağlayıcılar Senitix’in alt işleyeni değildir. Hesap müşteriye veya kullanıcıya aittir ve sağlayıcıyla ilişki, onların o sağlayıcıyla yaptığı sözleşmeye ve sağlayıcının kendi gizlilik politikasına tabidir. Hangi hesabın bağlanacağına veri sorumlusu olarak müşteri karar verir; Senitix bu sağlayıcıları kendi adına veri işlemekle görevlendirmez. Bağlanan hesaptan Senitix’e eşitlenen e-postalar ve takvim etkinlikleri müşteri verisi hâline gelir ve 3. bölümdeki alt işleyenlerce işlenir. Çalışma alanınıza bağladığınız diğer uygulamalar için de aynı kural geçerlidir.

Hizmet	Sağlayıcı	Senitix’in eriştiği veriler	Kullanım amacı
Gmail	Google	Bağlanan posta kutusundaki iletiler, bunların üst verileri ve ekleri; hesabın adı ve e-posta adresi	E-postaların ilgili kişi, firma ve fırsat kayıtlarında gösterilmesi; kullanıcının Senitix’te yazdığı e-postaların gönderilmesi
Google Takvim	Google	Bağlanan takvimlerdeki etkinlikler ve takvim listesi	Toplantıların CRM kayıtlarında gösterilmesi; kullanıcının Senitix’te planladığı etkinliklerin oluşturulması veya güncellenmesi
Microsoft Outlook e-postası	Microsoft	Bağlanan posta kutusundaki iletiler, bunların üst verileri ve ekleri; hesabın adı ve e-posta adresi	Gmail ile aynı amaçlar
Microsoft Outlook takvimi	Microsoft	Bağlanan takvimdeki etkinlikler	Google Takvim ile aynı amaçlar
IMAP ve SMTP ile bağlanan diğer e-posta hesapları	Kullanıcının kendi e-posta sağlayıcısı	Kullanıcının girdiği sunucu ve hesap bilgileriyle erişilen posta kutusundaki iletiler	Gmail ile aynı amaçlar
GitHub ile oturum açma	GitHub, Inc.	Kullanıcının adı, e-posta adresi ve GitHub’ın oturumu doğruladığı bilgisi	Sunulduğu hâllerde, kullanıcının mevcut GitHub hesabıyla oturum açması
Mevcut bir hesapla oturum açma ve tek oturum açma (SSO)	Google, Microsoft veya kurumunuzun kullandığı başka bir OpenID Connect sağlayıcısı	Kullanıcının adı, e-posta adresi, hesap kimliği ve sağlayıcının oturumu doğruladığı bilgisi	Sunulduğu hâllerde kullanıcının mevcut veya kurumsal hesabıyla oturum açması. Tek oturum açma bağlantısı Senitix ekibiyle birlikte kurulur.
Paraşüt ön muhasebe	Paraşüt	Bağlanan hesaptaki cari kart bilgileri, satış faturaları, tahsilatlar, ürünler ve teklifler	Müşterinin CRM kayıtlarıyla ön muhasebesinin eşitlenmesi; e-Fatura ve e-Arşiv belgelerinin müşterinin kendi hesabı üzerinden gönderilmesi
Mikro	Müşterinin kendi Mikro kurulumu (Mikro Desktop API)	Cari, stok, satış faturası kayıtları	Aynı amaçlar

Ön muhasebe bağlantıları. Bu bağlantılar Senitix’in alt işleyeni değildir; hesap müşteriye aittir. Senitix bir e-Fatura entegratörü değildir; e-belgeler müşterinin bağladığı hesap üzerinden gönderilir.

Bağlantıyı kesmek. Kullanıcı, bağladığı hesabın bağlantısını Senitix’te istediği zaman kesebilir; bu durumda eşitleme durur ve Senitix’in o hesaba erişimi sona erer. Kullanıcı veya kuruluşunun yöneticisi, Senitix’e verilen izni Google ya da Microsoft hesap ayarlarından da kaldırabilir. Daha önce eşitlenen öğeler Veri Saklama ve İmha Politikası’ndaki sürelere göre silinir; bir CRM kaydına bağlanmamış eşitlenmiş e-postalar her durumda en geç 365 gün sonra silinir.

KVKK bakımından. Bağlanan hesapla Senitix arasındaki veri alışverişi, müşterinin veya kullanıcının talimatıyla ve müşteri verileri kapsamında yapılır. Bu bağlantılar için gereken hukuki sebebi ve aydınlatmayı veri sorumlusu olarak müşteri sağlar. Sağlayıcının kendi hizmetinde yaptığı işleme ve bu işlemedeki yurt dışına aktarımın dayanağı, müşterinin veya kullanıcının o sağlayıcıyla ilişkisine tabidir.

5.1 Google kullanıcı verileri ve Sınırlı Kullanım

Senitix’in Google API’lerinden aldığı bilgileri kullanması ve başka herhangi bir uygulamaya aktarması, Sınırlı Kullanım (Limited Use) şartları dâhil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası’na (Google API Services User Data Policy) uygun olacaktır. Aynı taahhüt, Google Workspace API’lerinden alınan bilgiler için de geçerlidir.

Bu beyanın Google’ın öngördüğü İngilizce metni şöyledir: “Senitix’s use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.”

Gmail ve Google Takvim verilerini yalnızca kullanıcının açtığı özellikleri sunmak için kullanırız. Bu verileri reklam için kullanmaz, satmaz ve genel amaçlı yapay zekâ veya makine öğrenmesi modellerini geliştirmek, iyileştirmek ya da eğitmek için kullanmayız. Bir kullanıcı Senitix AI’dan bir yazışmayı özetlemesini veya e-posta taslağı hazırlamasını istediğinde, ilgili iletiler 3. bölümde anlatıldığı gibi Amazon Bedrock üzerinden işlenir ve model eğitiminde kullanılmaz. Senitix personeli bu verileri; kullanıcının belirli iletiler için açık onayı bulunmadıkça, kötüye kullanımın araştırılması gibi güvenlik amaçları için gerekmedikçe veya kanunen zorunlu olmadıkça okumaz. Hangi verilere hangi izinlerle eriştiğimiz Gizlilik Politikası’nda açıklanır.

5.2 Microsoft Outlook verileri

Microsoft API’leri üzerinden aldığımız Outlook e-posta ve takvim verilerine de aynı sınırları uygularız: bu verileri yalnızca kullanıcının açtığı özellikler için kullanır, reklam için kullanmaz, satmaz ve yapay zekâ modellerini eğitmek için kullanmayız.

6. Yurt dışına aktarımlar ve KVKK m.9 dayanakları

6.1 Hangi aktarımlar KVKK m.9’a tabidir

Senitix Türkiye’de kurulu olduğu için, yurt dışındaki bir alıcıya yaptığımız her kişisel veri aktarımı 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 9. maddesine tabidir. Hizmet Almanya’da ve İrlanda’da barındırıldığından bu kapsam, Avrupa Birliği’ndeki sağlayıcıları da içerir. 3. bölümdeki alt işleyenlerin tamamı yurt dışındaki alıcılardır. 4. bölümdeki ödeme kuruluşuna yapılan aktarım ise yurt içi aktarımdır ve KVKK m.8’e tabidir; 4.2’deki ve 4.3’teki Google’a, 4.3’teki Meta’ya ve 4.4’teki Crisp’e yapılan aktarımlar yurt dışına aktarımdır.

Yurt dışına aktarım, her durumda KVKK m.5 veya m.6’daki işleme şartlarından birinin bulunmasını da gerektirir. Senitix’in kendi verileri için bu şartlar KVKK Aydınlatma Metni’nde gösterilmiştir; müşteri verileri için ise bu şartın varlığı veri sorumlusu olarak müşterinin sorumluluğundadır (6.4).

6.2 Dayandığımız güvence: standart sözleşme

7499 sayılı Kanun’la değişik ve 1 Haziran 2024’ten beri yürürlükte olan KVKK m.9, yurt dışına aktarımı sıralı bir düzene bağlar: önce aktarılan ülke hakkında Kurul’un yeterlilik kararı; yeterlilik kararı yoksa m.9/4’te sayılan uygun güvencelerden biri; bunlar da sağlanamıyorsa yalnızca arızi aktarımlar için m.9/6’daki istisnalar. Bu sayfanın tarihi itibarıyla Kurul’un herhangi bir ülke için verdiği bir yeterlilik kararı bulunmamaktadır.

Bu nedenle 3. bölümdeki alt işleyenlere yaptığımız düzenli aktarımları, KVKK’nın 9’uncu maddesinin dördüncü fıkrasının (c) bendindeki uygun güvenceye, yani Kurul’un ilan ettiği standart sözleşmeye dayandırmayı taahhüt ediyoruz. Kurul’un ilan ettiği dört standart sözleşme türünden, aktarımın niteliğine göre ikisini kullanırız:

• Veri işleyenden veri işleyene: müşteri verileri için. Bu verilerde veri sorumlusu müşteridir; Senitix verileri veri işleyen sıfatıyla ve müşterinin VİS’te verdiği talimat doğrultusunda alt işleyene aktarır.
• Veri sorumlusundan veri işleyene: hesap, fatura, güvenlik ve yazışma verileri gibi Senitix’in veri sorumlusu olduğu veriler için.

Sağlayıcılarımızla bu sözleşmelerin imzalanması ve Kanun’un aradığı beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi süreci devam etmektedir (KVKK m.9/5). Hangi alıcı için sürecin tamamlandığını 3. bölümdeki tablonun “Durum” sütununda gösterir ve her tamamlanmada tabloyu aynı gün güncelleriz.

Standart sözleşme, ilgili kişilere haklarını kullanma ve etkili kanun yollarına başvurma imkânı tanıyan hükümler içerir; bu hükümlerden doğan taleplerinizi privacy@senitix.com adresine iletebilirsiniz. KVKK, yurt dışına aktarılan verilerin sonraki aktarımlarında da Kanun’daki güvencelere uyulmasını ister; bu kural, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile birlikte alt işleyenlerin verileri başka bir ülkeye aktardığı hâllerde de uygulanır.

6.3 Düzenli aktarımlarda açık rızaya dayanmayız

Süreklilik arz eden bu aktarımları açık rızaya dayandırmayız ve hizmetten yararlanmayı yurt dışına aktarıma rıza verilmesi koşuluna bağlamayız. KVKK m.9/6’daki istisnalar yalnızca arızi aktarımlar içindir. Standart sözleşmeyle güvence altına alınamayan istisnai bir aktarım gerekirse, bunu ancak m.9/6’da sayılan hâllerden birine dayanarak yaparız.

4.3’teki Meta Pixel, Google Ads ve LinkedIn Insight Tag bu düzenin dışında kalır. Meta’ya, Google Ads için Google’a ve LinkedIn’e yapılan aktarımlar bir alt işleyene yapılan aktarım değildir; yalnızca pazarlama çerezlerini açan ziyaretçinin verisi için ve o ziyaretçinin rızasıyla gerçekleşir. Dayanağı, olası riskler hakkında Çerez Politikası’nda bilgilendirilmiş ziyaretçinin pazarlama çerezleri için verdiği açık rızadır. Bu kategorinin izni, ziyaretçi kabul etmedikçe verilmez, rıza istenildiği an geri alınabilir ve rıza vermemek web sitesini kullanmayı hiçbir şekilde etkilemez. Google etiketinin seçimden önce gönderdiği çerezsiz sinyaller de Google LLC’ye (ABD) aktarılabilir; bunlar da bir alt işleyene yapılan aktarım değildir, yalnızca web sitesi ziyaretçisi verisini kapsar ve GPC sinyali varsa gönderilmez. Bu aktarımı da 6.2’deki standart sözleşme taahhüdüne dayandırırız; Google bu verinin bağımsız veri sorumlusu olduğundan sözleşme türü veri sorumlusundan veri sorumlusunadır.

6.4 Müşterinin veri sorumlusu olarak payı

Müşteri verileri bakımından, yurt dışına aktarımın KVKK m.5 veya m.6’daki bir işleme şartına dayanması ve ilgili kişilerin aktarım hakkında aydınlatılması veri sorumlusu olarak müşterinin sorumluluğundadır. Bu sayfa, müşterinin kendi aydınlatma metni ve kişisel veri işleme envanteri için ihtiyaç duyduğu bilgileri verir: alıcılar, amaçlar, veri kategorileri, ülkeler ve aktarım dayanakları.

Müşteri, aydınlatma metninde Senitix’i ve alt işleyenlerini bir alıcı grubu olarak (örneğin “yazılım, barındırma ve e-posta hizmeti sağlayıcıları”) gösterebilir ve verilerin başta Almanya, İrlanda ve ABD olmak üzere yurt dışına aktarıldığını belirtebilir. Bu bir örnektir; aydınlatma metninin içeriğine, kendi işleme faaliyetlerini bilen müşteri karar verir.

6.5 AB ve Birleşik Krallık mevzuatı

Avrupa Komisyonu Türkiye için bir yeterlilik kararı vermemiştir ve ekibimiz verilere Türkiye’den erişir. Bu nedenle Senitix’e GDPR’a veya Birleşik Krallık veri koruma mevzuatına tabi veri aktaran müşteriler için VİS, Avrupa Komisyonu’nun 2021/914 sayılı Uygulama Kararı ile kabul ettiği Standart Sözleşme Maddelerini (SCC) ve Birleşik Krallık verileri için Uluslararası Veri Aktarımı Ek Protokolünü (UK Addendum) içerir. Ayrıntılar VİS’in yurt dışına aktarım maddesindedir.

Avrupa Ekonomik Alanı ve Birleşik Krallık dışındaki bir alt işleyen bu verileri işlediğinde, o sağlayıcının veri işleme koşullarındaki SCC’ye dayanırız: müşteri verileri için Üçüncü Modül, Senitix’in kendi verileri için İkinci Modül; Birleşik Krallık verileri için bunlara UK Addendum eklenir. Sertifikası ilgili aktarımı kapsayan ABD’li sağlayıcılar için AB-ABD Veri Gizliliği Çerçevesi (Data Privacy Framework) de bir dayanak olabilir. GDPR kapsamındaki yaklaşımımız GDPR ve Veri Koruma sayfasında açıklanır.

6.6 Güvencelerin örneğini isteme

Belirli bir alıcıya yapılan aktarımda uygulanan güvencenin bir örneğini privacy@senitix.com adresinden isteyebilirsiniz; ticari sır niteliğindeki hükümleri örnekten çıkarabiliriz. Kendi aktarım değerlendirmesini yapan bir müşteri, bunun için ihtiyaç duyduğu bilgileri de aynı adresten isteyebilir.

7. Alt işleyenleri nasıl seçer ve denetleriz

• Kişisel veri işleyecek bir sağlayıcıyla çalışmaya başlamadan önce, sunacağı hizmet bakımından güvenlik ve veri koruma uygulamalarını değerlendiririz.
• Sağlayıcıyla; kişisel verileri yalnızca bize hizmet sunmak için işlemesini, gizli tutmasını, uygun teknik ve idari tedbirlerle korumasını ve VİS’teki yükümlülüklerin hizmetiyle ilgili olanlarına uymasını gerektiren yazılı bir sözleşme yaparız. Bu sözleşme, 6. bölümdeki aktarım dayanağını da içerir.
• Sağlayıcının erişimini, hizmetini sunması için gereken verilerle sınırlarız.
• Alt işleyenlerin bu yükümlülükleri yerine getirmesinden müşterilerimize karşı VİS’te belirtildiği şekilde sorumlu kalırız.
• Hizmetlerimiz veya sağlayıcılarımız değiştiğinde listeyi gözden geçirir ve bu sayfayı güncel tutarız.

Kişisel verileri bu sağlayıcılara yalnızca bize hizmet sunabilmeleri için veririz; satmayız ve reklam amacıyla paylaşmayız. Kendi sistemlerimizde aldığımız güvenlik tedbirleri Veri İşleme Sözleşmesi’nin Ek-2’sinde yer alır.

8. Değişikliklerin bildirilmesi ve itiraz hakkı

8.1 14 gün önceden bildirim

Yeni bir alt işleyen eklediğimizde veya mevcut bir alt işleyeni değiştirdiğimizde, yeni alt işleyen müşteri verilerini işlemeye başlamadan en az 14 gün önce müşterilerimizi bilgilendiririz. Bildirimi her çalışma alanının yöneticilerine e-postayla gönderir ve aynı anda bu sayfayı güncelleriz. Bildirim; alt işleyenin unvanını, sunacağı hizmeti, işleyeceği müşteri verilerini, verileri işleyeceği ülkeyi ve işlemeye başlayacağı tarihi içerir.

Bildirimlerin hukuk, uyum veya satın alma biriminiz gibi ek bir adrese de gönderilmesini legal@senitix.com adresinden isteyebilirsiniz.

8.2 İtiraz

Bildirim tarihinden itibaren 14 gün içinde, veri korumaya ilişkin makul gerekçelerinizi belirterek privacy@senitix.com veya legal@senitix.com adresine yazılı olarak itiraz edebilirsiniz. Bu süre içinde itiraz edilmezse değişiklik VİS uyarınca onaylanmış sayılır.

İtirazınızı iyi niyetle değerlendiririz. Örneğin alınan güvenceleri açıklayabilir veya makul olarak mümkünse hizmeti, yeni alt işleyenin verilerinizi işlemeyeceği bir şekilde kullanmanızın yolunu önerebiliriz. İtiraz, değişikliğin yürürlüğe gireceği tarihe kadar çözülemezse, etkilenen hizmetlere ilişkin sözleşmeyi yazılı bildirimle ve herhangi bir cezai şart veya fesih bedeli ödemeksizin feshedebilirsiniz.

8.3 Acil değişiklikler

Bir alt işleyen hizmetini beklenmedik biçimde sona erdirirse veya verilerin güvenliği için bir risk oluşturursa, onu 14 günlük süreyi beklemeden değiştirebiliriz. Bu durumda bildirimi mümkün olan en kısa sürede yaparız ve itiraz süreniz bu bildirimin tarihinden başlar.

8.4 Senitix’in kendi verilerine ilişkin değişiklikler

4. bölümdeki ödeme kuruluşunda, web sitesi analitik sağlayıcısında, reklam ölçümü sağlayıcısında ve canlı sohbet sağlayıcısında veya yalnızca Senitix’in kendi verilerini işleyen başka bir sağlayıcıda yapılan değişiklikleri bu sayfaya ve değişiklik geçmişine işler, gerekiyorsa KVKK Aydınlatma Metni’ni ve Çerez Politikası’nı güncelleriz. Bu sağlayıcılar müşteri verilerini işlemediği için 8.2’deki itiraz usulü onlara uygulanmaz; ilgili kişilerin KVKK’dan doğan hakları saklıdır.

8.5 Değişiklik geçmişi

11 Ekim 2026. senitix.com’daki pazarlama çerezleri kategorisine LinkedIn Insight Tag eklendi; aynı rızayla LinkedIn web sitesi kitlesi için de kullanılır. LinkedIn Ireland Unlimited Company (LinkedIn Insight Tag), Senitix’in kendi verileri için çalıştığı ve müşteri verilerine erişmeyen bir alıcı olarak 4.3 bölümüne eklendi; bu aktarım, Meta Pixel ve Google Ads gibi ziyaretçinin açık rızasına dayanır (6.3). LinkedIn bir alt işleyen olmadığı için 8.2’deki itiraz usulü bu değişikliğe uygulanmaz (8.4).

11 Ekim 2026. senitix.com’daki pazarlama çerezleri kategorisine Google Ads etiketi eklendi. Google Ireland Limited ve Google LLC (Google Ads), Senitix’in kendi verileri için çalıştığı ve müşteri verilerine erişmeyen bir alıcı olarak 4.3 bölümüne eklendi; bu aktarım, çerezler ve gelişmiş dönüşümler bakımından, Meta Pixel gibi ziyaretçinin açık rızasına dayanır (6.3). Google Ads bir alt işleyen olmadığı için 8.2’deki itiraz usulü bu değişikliğe uygulanmaz (8.4).

11 Ekim 2026. Google’ın etiketi (Google Analytics ve Google Ads etiketi, 4. bölüm) artık ziyaretçi seçim yapmadan önce çerezsiz modda yüklenir ve Google’a yalnızca çerezsiz sinyaller gönderir; Global Privacy Control sinyali etiketin hiç yüklenmesini engeller. 4. bölümdeki Google satırları buna göre güncellendi. Google bunun için yalnızca web sitesi ziyaretçisi verisi alır, müşteri verisi almaz; bu yüzden 8.2’deki itiraz usulü uygulanmaz.

30 Eylül 2026. senitix.com’a rızaya bağlı pazarlama çerezleri kategorisi eklendi. Meta Platforms Ireland Limited (Meta Pixel), Senitix’in kendi verileri için çalıştığı ve müşteri verilerine erişmeyen bir alıcı olarak 4.3 bölümüne eklendi. Meta bir alt işleyen olmadığı için 8.2’deki itiraz usulü bu değişikliğe uygulanmaz (8.4). Aynı gün senitix.com’a, onay kategorilerinin dışında sayfayla birlikte yüklenen canlı sohbet eklendi: Crisp IM SAS, Senitix’in kendi verileri için çalıştığı ve müşteri verilerine erişmeyen bir sağlayıcı olarak 4.4 bölümüne eklendi. Crisp bir alt işleyen olmadığı için 8.2’deki itiraz usulü bu değişikliğe de uygulanmaz (8.4).

19 Eylül 2026. Bu turda listede şunlar değişti:

• Senitix AI’ın web arama özelliğini çalıştıran Tavily, Inc. 3. bölüme ayrı bir satır olarak eklendi. Bu, 8.1 anlamında yeni bir alt işleyendir; bildirimi çalışma alanı yöneticilerine gönderilecek ve itiraz süresi o bildirimin tarihinden başlayacaktır.
• 3. bölümdeki tablonun son sütunu ikiye ayrıldı: “Dayanak” aktarımın hangi güvenceye dayandırılacağını, “Durum” o güvencenin bugün hangi aşamada olduğunu gösteriyor. Standart sözleşmelerin imza ve bildirim süreci devam ettiği için bütün satırlar “Süreç devam ediyor” durumundadır.
• Cloudflare satırındaki kapsam düzeltildi: www.senitix.com Amazon CloudFront üzerinden sunulur, Cloudflare’in içerik dağıtımı ve güvenlik hizmetleri senitix.com ile Senitix uygulaması içindir.
• Twilio SendGrid satırından, web sitesindeki iletişim formu mesajlarının bu sağlayıcı üzerinden iletildiği ifadesi çıkarıldı; site formlarının posta yolu bu ifadeyle uyuşmuyordu.
• Müşteri yetkisiyle çalışan entegrasyonlara Paraşüt ve Mikro satırları eklendi.
• 4.2’deki aktarım dayanağı hücresi “KVKK dayanağı” ve “GDPR dayanağı” olarak ayrıldı; AB-ABD Veri Gizliliği Çerçevesi artık yalnızca GDPR sütununda yer alıyor.

Bu değişiklikler, önceki sürümü kabul etmiş müşterilerimizin çalışma alanı yöneticilerine ayrıca e-postayla bildirilecektir. Bildirim gönderildiğinde tarihini bu bölüme işleriz; bu müşteriler 8.2’deki itiraz hakkını o bildirimin tarihinden itibaren kullanabilir.

12 Eylül 2026. Liste ilk kez ayrı bir sayfa olarak yayımlandı ve 2 Haziran 2026 tarihli önceki Veri İşleme Sözleşmesi’nin (sürüm 1.1) alt işleyen tablosunun yerini aldı. O tabloya göre:

• Amazon Web Services, destekleyici altyapı sağlayıcısı olarak değil, hizmetin ana barındırma sağlayıcısı olarak gösterilmektedir; Senitix AI’ın çalıştığı Amazon Bedrock ayrı satır olarak eklenmiştir.
• Google Workspace (kurumsal e-posta) ve IPinfo (oturum açma konumu) listeye eklenmiştir. GitHub ile oturum açma, 5. bölümdeki bağlı hizmetler arasında ayrı bir satırda gösterilmektedir.
• Sentry’nin verileri işlediği yer ABD değil, Avrupa Birliği (Almanya) olarak düzeltilmiştir.
• Cloudflare yalnızca alan adı, içerik dağıtımı ve güvenlik hizmetleri için listededir; dosyalar artık Cloudflare R2’de değil, AWS’de saklanmaktadır.
• iyzico güncel unvanıyla (iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) ve müşteri verilerine erişmediği için ayrı bir bölümde (4. bölüm) gösterilmektedir.
• DigitalOcean ve Contabo listeden çıkarılmıştır. DigitalOcean Temmuz 2026’dan beri kullanılmamaktadır; Contabo yalnızca kaynak kodumuzun bulunduğu sunucuyu barındırır ve müşteri verisi işlemez.
• Google Ireland Limited ve Google LLC (Google Analytics), senitix.com’a rızaya bağlı analitik çerezlerin eklenmesiyle birlikte 4.2 bölümüne, Senitix’in kendi verileri için çalıştığı ve müşteri verilerine erişmeyen bir sağlayıcı olarak eklenmiştir.

12 Eylül 2026 tarihli bu değişiklikler de, önceki sürümü kabul etmiş müşterilerimizin çalışma alanı yöneticilerine ayrıca e-postayla bildirilecektir. Bildirim gönderildiğinde tarihini bu bölüme işleriz; bu müşteriler 8.2’deki itiraz hakkını o bildirimin tarihinden itibaren kullanabilir.

9. İletişim

• Bu liste, aktarım güvenceleri ve güvencelerin örnekleri hakkında sorular: privacy@senitix.com
• Alt işleyen itirazları: privacy@senitix.com veya legal@senitix.com
• Hukuki bildirimler, bildirimlerin ek bir adrese gönderilmesi ve imzalı VİS nüshası talepleri: legal@senitix.com

Senitix Teknoloji LTD. ŞTİ., MERSİS No: 0478-1132-3580-0001, Cevizli Mah. Zuhal Cad. A Blok No:46 İç Kapı No:50, Maltepe, İstanbul, Türkiye. KEP adresimiz ve hukuki bildirim yollarımız Şirket Bilgileri sayfasında yer alır; başvurularınızı ve bildirimlerinizi yukarıdaki e-posta adreslerine veya şirket adresimize yazılı olarak da iletebilirsiniz.

KVKK’nın 11. maddesindeki haklarınızı kullanmak için başvuru yolları KVKK Aydınlatma Metni’nde, müşteri adına veri işlemeye ilişkin tüm hükümler Veri İşleme Sözleşmesi’nde yer alır.