Üçüncü Taraf Veri İşleme Bildirimi

ÜÇÜNCÜ TARAF VERİ İŞLEYİCİ BİLDİRİMİ

Son Güncelleme: 31.10.2026

Versiyon: 2.3

Platform: RateTheWork - TechLiberty Projesi

VERİ SORUMLUSU

1. AMAÇ

Bu bildirim, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 10 kapsamındaki aydınlatma yükümlülüğü

gereğince, RateTheWork platformunun hizmet sunumu için kullandığı üçüncü taraf veri işleyicileri ve bu işleyicilere

aktarılan veri kategorilerini açıklamaktadır.

2. HUKUKİ DAYANAK

• KVKK Madde 5/2-c: Sözleşmenin ifası için veri işleme gerekli olması
• KVKK Madde 5/2-f: Veri sorumlusunun meşru menfaati
• KVKK Madde 9: Kişisel verilerin yurt dışına aktarılması — Standart Sözleşme Hükümleri (SCC) ile

3. ÜÇÜNCÜ TARAF VERİ İŞLEYİCİLER

3.1. Sunucu Altyapısı

3.2. İçerik Dağıtım ve Depolama

3.3. Yapay Zeka Hizmetleri

Veri Minimizasyonu: Yalnızca moderasyon ve doğrulama için gerekli minimum veri gönderilir. Kimlik bilgileri (ad, TC Kimlik No) Google'a iletilmez.

3.4. Log Yönetimi

Gizlilik Garantisi: Log kayıtlarında ad, e-posta, telefon, TC Kimlik No gibi kişisel veriler bulunmaz. Yalnızca hashlenmiş IP adresleri ve UUID formatında kullanıcı tanımlayıcıları kullanılır. Bu veriler GDPR Madde 4/5 anlamında pseudonymization kapsamındadır; tam anonimleştirme (irreversible anonymization) olarak değerlendirilmez ve kişisel veri koruma mevzuatına tabi olmaya devam eder.

3.5. İletişim Hizmetleri

3.6. Push Bildirim Hizmeti

Push Bildirim Veri İşleme Detayları:

• Aktarılan Veri: Yalnızca cihazın push jetonu (uygulamanın o cihazdaki kurulumuna özgü, kimlik bilgisi içermeyen tanımlayıcı) ve bildirim içeriği (başlık, metin, bildirimin türü ve açacağı ekran bilgisi). Expo bildirimi iOS'ta APNs'e, Android'de FCM'e devreder; bu iki sağlayıcı da yalnızca aynı verileri alır.
• Aktarılmayan Veri: Kullanıcı kimliği, kullanıcı adı, ad, soyad, e-posta adresi, telefon numarası, TC Kimlik No veya konum bilgisi sunucularımız tarafından bu sağlayıcılara hiçbir şekilde iletilmez.
• Jetonun Alınması: Uygulama push jetonunu Expo'dan alırken cihazınız Expo sunucularıyla doğrudan iletişim kurar; bu sırada bağlantının teknik verileri (IP adresi gibi) Expo tarafından işlenebilir.
• Oturuma Bağlılık: Cihaz jetonu sunucumuzda yalnızca giriş yaptığınız oturuma bağlı tutulur. Çıkış yaptığınızda, oturumunuz sonlandırıldığında ya da cihaz bağınız kaldırıldığında o cihaza bildirim gönderilmez. Sağlayıcı cihazın artık kayıtlı olmadığını bildirdiğinde (örneğin uygulama silindiğinde) jeton pasifleştirilir.
• Veri Saklama: Expo, teslim makbuzlarını en fazla 24 saat saklar; Apple ve Google bildirim iletim kayıtlarını kendi politikalarına göre tutar.
• DPA Kapsamı: Aktarım, GDPR Madde 28 ve KVKK Madde 9 gerekliliklerini karşılayan, Standart Sözleşme Hükümleri (SCC) içeren Expo veri işleme sözleşmesi kapsamında yapılır.

3.7. Kimlik Doğrulama (KYC)

Özel Kategori Veri: KYC sürecinde işlenen biyometrik veriler (yüz görüntüsü) açık rıza ile işlenir. Ham görüntüler sistemlerimize kaydedilmez; veri işleyen sıfatıyla Didit nezdinde sözleşmesel saklama süresi boyunca tutulur ve hesabınızın kalıcı olarak silinmesiyle Didit'e oturum silme talebi iletilir. Platformumuzda yalnızca doğrulama sonucu ve referans numarası saklanır.

3.8. Bot Koruması

3.9. Denetim Kaydı (Audit Log) Pseudonymization

Hesap silme taleplerinden sonra, denetim kayıtlarındaki kullanıcı kimliği HMAC-SHA256 algoritmasıyla üretilmiş bir

AnonymizedUserToken değeriyle (ERASED_{kriptografik-değer} formatında) değiştirilir. Bu işlem:

• Yöntemi: Takma adlandırma (pseudonymization) — tam anonimleştirme değil (GDPR m.4/5).
• Saklama süresi: 7 yıl (KVKK m.12 hesap verebilirlik, TBK m.72 delil saklama).
• Yasal dayanak: GDPR m.17(3)(b) "hukuki yükümlülük kapsamındaki saklama" istisnası.
• Kriptografik koruma: HMAC üretim anahtarına yetkisiz erişim olmaksızın token'dan kullanıcı kimliğine ulaşmak

kriptografik olarak önlenmektedir; ancak gizli anahtar açığa çıkarsa teorik yeniden ilişkilendirme ihtimali

teknik olarak mevcut kalır.

Bu kayıtlar, pseudonymization niteliği nedeniyle saklama süresi boyunca kişisel veri koruma mevzuatına tabi olmaya

devam eder ve KVKK m.12 güvenlik yükümlülükleri eksiksiz uygulanır.

3.10. Kalıcı Ban Kimlik Engeli

Hesabınız topluluk kuralları ihlali nedeniyle kalıcı olarak kapatılırsa, kimlik doğrulama verinizin gizli

anahtarla oluşturulan kriptografik özeti (keyed HMAC-SHA256), aynı kimlikle yeniden kayıt oluşturulmasını

engellemek amacıyla yaptırım süresince saklanır. Yaptırım kaldırılırsa (itirazınızın kabulü veya yasağın idari

olarak kaldırılması) bu kayıt derhal silinir (KVKK m.7 — amaç sınırlaması).

• Saklanan veri: Yalnızca gizli anahtarla oluşturulan kriptografik özet; TC Kimlik Numaranızın kendisi bu

amaçla hiçbir şekilde saklanmaz. Özetten kimlik verinize geri dönüş, gizli anahtara yetkisiz erişim olmaması

koşuluyla kriptografik olarak önlenmektedir. Özet, takma adlandırılmış (pseudonymized) kişisel veri

niteliğindedir ve saklama süresi boyunca KVKK korumalarından yararlanmaya devam eder.

• İşleme amacı: Yaptırım etkinliğinin korunması — kalıcı olarak yasaklanan kişinin aynı kimlikle yeni hesap

açmasının önlenmesi (platform güvenliği ve topluluğun korunması).

• Yasal dayanak: KVKK m.5/2-f (veri sorumlusunun meşru menfaati) ve KVKK m.12 veri güvenliği yükümlülüğü.
• KVKK m.11 haklarınız (itiraz dahil) saklıdır; yaptırım kararına 14 gün içinde itiraz edebilirsiniz

(bkz. Topluluk Kuralları — İtiraz ve Temyiz).

3.11. Onaylı Sözleşme Nüshası Kasası

Üyelik açılışında ve kimlik doğrulamanızın yenilenmesinde onayladığınız sözleşmelerin size özgü, doldurulmuş nüshası

ayrı bir kayıtta şifrelenerek saklanır. Nüsha, metnin içine işlenmiş hâlde şu bilgileri açık metin olarak

taşır: ad soyadınız, kimlik numaranız, beyan ettiğiniz tebligat adresi, e-posta adresiniz, telefon numaranız ve

kimlik doğrulama oturum referansınız. Bunların bir kısmı üyelik kaydınızda yalnızca özet (hash) veya şifreli hâlde

tutulur; kasa nüshası bu kuralın istisnasıdır. IP adresiniz kasa nüshasında da maskelenir.

• Şifreleme: Nüsha iki katman hâlinde şifrelenir (AES-256-GCM ve ChaCha20-Poly1305). Katman anahtarları HKDF ile

birbirinden bağımsız türetilir; bir katmanın anahtarı diğerini açmaya yetmez.

• Anahtar saklama: Şifre çözme anahtarları veritabanında tutulmaz. Anahtarlar, erişimi ayrıca yetkilendirilen ve

veritabanından bağımsız çalışan bir gizli anahtar yönetim sisteminde bulunur; veritabanına erişen bir kişi nüshanın

içeriğini okuyamaz.

• Açılma koşulu: Nüsha yalnızca mahkeme kararı, savcılık talebi, 5651 sayılı Kanun kapsamında yetkili

mercilerin talebi, kanunla açıkça yetkilendirilmiş diğer kamu kurumlarının talebi veya bizzat sizin talebiniz

üzerine açılır. Açma yetkisi en yüksek seviyedeki yönetici

hesaplarıyla sınırlıdır, her açma için gerekçe girilmesi zorunludur ve her erişim denetim kaydına yazılır.

• Saklama süresi: Üyelik süresince ve hesabın kalıcı olarak silinmesinden itibaren 5 yıl. Süre üyelik

sürerken veya silme talebini izleyen bekleme süresi boyunca işlemez; kalıcı silme anında başlar. Süre dolduğunda

nüsha otomatik çalışan bir imha işlemiyle kasadan silinir.

• Rıza ile ilişkisi: Bu kayıt açık rızaya dayanmaz; rızanın geri çekilmesi ve silme talebi kapsamı dışındadır.

Ayrıntı: Gizlilik Politikası Bölüm 3, Bölüm 7 ve Bölüm 8; Hukuki Tebligat ve Yazışma Adresi Beyanı Madde 5 ve

Madde 6.

3.12. BELGE DOĞRULAMA VE DOĞRULANMIŞ İSTİHDAM KAYDI

Maaş, değerlendirme veya mülakat katkınızı belgeyle (bordro, SGK hizmet dökümü, işe giriş bildirgesi veya mülakat

daveti) ya da profilinizdeki adresi ikametgah belgesiyle doğrulamayı seçerseniz, belge yalnızca doğrulama isteğinin

süresince işlenir.

• Belge saklanmaz. Yüklediğiniz belge sunucularımızda diske, içerik dağıtım ağına veya yedeğe yazılmaz;

isteğin sonunda düşer. Belgeye işaret eden bir bağlantı da tutulmaz.

• Metin çıkarımı: okuma Google Document AI ile yapılır. Eşzamanlı işlemede belge sağlayıcının belleğinde

işlenir ve diske yazılmaz; sağlayıcı bu veriyi kendi modellerini eğitmek için kullanmaz.

• Geriye kalan: yalnızca doğrulamanın sonucu — belgenin türü, eşleşen alanlar, güven skoru ve doğrulama

tarihi. İkametgah doğrulamasında geriye doğrulama sonucu, belgeden okunan il ve ilçe adı, güven skoru ve

doğrulama tarihi kalır; belgedeki açık adres saklanmaz.

• İkametgah doğrulaması: belgeden okunan il ve ilçe, profilinizde beyan ettiğiniz il ve ilçeyle karşılaştırılır.

Saklanan il, ilçe ve doğrulama sonucu, profilinizdeki il veya ilçeyi değiştirdiğinizde ya da hesabınız kalıcı

olarak silindiğinde silinir.

• Doğrulanmış istihdam kaydı: SGK hizmet dökümünden çıkarılan işyeri unvanı, işyeri sicil numarası, adresi,

iş kolu, giriş ve çıkış tarihleri ile gün sayısı hesabınıza bağlı olarak saklanır. Bu kayıt, aynı belgeyi her

katkıda yeniden yüklemenizi gereksiz kılar. Prim esas kazanç tutarı saklanmaz.

• Anonim içeriğe bağlanmaz: istihdam kaydı kimlik tarafında durur ve anonim değerlendirme, maaş veya mülakat

kayıtlarınızla veritabanı düzeyinde ilişkilendirilmez.

• Saklama süresi: kayıt üyeliğiniz boyunca yaşar ve hesabınızın kalıcı olarak silinmesiyle birlikte

silinir. Ham belge saklanmadığı için ayrıca bir imha süreci gerekmez.

• Tazelik: kaydın dayandığı belgenin kendi tarihi de saklanır. Kayıt, o tarih itibarıyla doğrulanmış bir

geçmişi gösterir; güncel çalışma durumunuzun kanıtı değildir.

• Yasal dayanak: KVKK m.5/2-c (sözleşmenin ifası) ve m.5/2-f (meşru menfaat — Platform'daki beyanların

doğruluğu). Belge yüklemek isteğe bağlıdır: katkı belgesi yüklemediğinizde katkınız doğrulanmamış olarak

yayımlanır; ikametgah belgesi yüklemediğinizde adresiniz doğrulanmamış olarak kalır ve bu, Platform'daki hiçbir

işlevi kısıtlamaz.

3.13. Ürün Analitiği

Kapsam sınırı: Otomatik tıklama yakalama (autocapture) ve oturum kaydı KAPALIDIR — tıklanan

öğenin metni ve ekran kaydı hiçbir koşulda aktarılmaz. Adresteki kişisel veri parametreleri

gönderimden önce maskelenir. Kişi profili hiçbir koşulda oluşturulmaz ve hesap kimliği PostHog'a

gönderilmez; ölçüm kişiyi değil ekranların genel kullanımını gösterir. Ziyaretçi tanımlayıcısı

kalıcı değildir: web sitesinde yalnız sekme açıkken bellekte durur, mobil uygulamada her gün

yenilenir.

Analitik çerez rızası verilmediğinde yazılım paketi tarayıcıya hiç indirilmez; rıza geri

alındığında tarayıcıdaki kayıtlar da silinir.

3.14. Hata İzleme

Kapsam sınırı: Varsayılan kişisel veri gönderimi kapatılmıştır ve IP adresi koşulsuz olarak

düşürülür. Hata kaydına gerçek ad, e-posta, telefon veya TC Kimlik No iletilmez.

3.15. Mobil Uygulama Güvenliği

Kapsam sınırı: Yalnız mobil uygulamada çalışır; web sitesi Talsec'e bağlanmaz. Uygulama,

cihazın rootlu ya da jailbreak'li olup olmadığını, emülatörde çalışıp çalışmadığını ve

kurcalanıp kurcalanmadığını cihazda denetler ve sonucu Talsec'e gönderir. IP adresi Talsec'e

cihazdan doğrudan ulaşır; yaklaşık konumu ve ağ operatörünü Talsec kendi sunucusunda IP

adresinden çıkarır. Talsec, DPA'sına göre bu kayıtları 12 ay sonra siler ya da anonim hale

getirir. Alt işleyenleri: Google Cloud (AB — barındırma ve depolama), Cloudflare (küresel —

log iletimi), Elastic (ABD — yaklaşık 1 hafta tutulan geçici log), SendGrid (ABD — güvenlik

raporu e-postası). Talsec, alt işleyenlerini DPA'sındaki veri koruma yükümlülüklerinin aynısına

bağlar. Talsec'e aktarım, KVKK m.9 uyarınca Kişisel Verileri Koruma Kurulu'nun ilan ettiği

standart sözleşmeyle (Veri Sorumlusundan Veri İşleyene) yapılır.

3.16. Tarayıcınızın Doğrudan Bağlandığı Hizmetler

Aşağıdaki hizmetlere veri sunucularımız üzerinden değil, web sitesindeki sayfayı görüntülerken

tarayıcınızın yaptığı istekle gider. Her istekte, internet bağlantısının doğası gereği IP adresiniz ve tarayıcı

bilgileriniz (user-agent) ilgili sağlayıcıya ulaşır.

Kapsam sınırı: DiceBear'e hesap bilgisi, kullanıcı kimliği veya gerçek adınız gönderilmez;

avatar yalnızca içerikte görünen takma addan üretilir. Mobil uygulama avatarı cihazınızda

üretir ve DiceBear'e hiç bağlanmaz. Google Haritalar, siz düğmeye basmadıkça

yüklenmez ve Google'a hiçbir istek yapılmaz. Bayraklar, şirket ve rakip logoları ile blog

görselleri platformun kendi içerik dağıtım ağından sunulur.

4. VERİ MİNİMİZASYONU İLKESİ

TechLiberty, tüm üçüncü taraf veri işleyicilere yalnızca hizmetin sunulması için zorunlu olan minimum veriyi aktarır:

• Kimlik bilgileri (ad, TC Kimlik No) yalnızca yasal zorunluluk halinde (KYC) ilgili sağlayıcıya iletilir
• IP adresleri her zaman hashlenmiş formatta saklanır (HashedIpAddress)
• E-posta ve telefon numaraları yalnızca iletişim hizmeti sağlayıcılarına, doğrudan iletişim amacıyla aktarılır
• Push bildirim hizmetinde yalnızca pseudonymized tanımlayıcı (UUID) kullanılır

5. YURT DIŞI AKTARIM GÜVENCELERİ (KVKK MADDE 9)

Yurt dışındaki sağlayıcılar (Google Cloud, Postmark, Expo, Apple, Sentry) ve Talsec'in ABD'deki alt işleyenleri ile yapılan veri aktarımları aşağıdaki güvencelerle korunmaktadır:

1. Standart Sözleşme Hükümleri (SCC): AB Komisyonu tarafından onaylanmış SCC'ler her DPA'ya dahil edilmiştir

2. Ek Teknik Tedbirler: Transit'te TLS 1.3, at-rest'te AES-256-GCM şifreleme

3. Veri Minimizasyonu: Yalnızca hizmet için zorunlu minimum veri aktarılır

4. Transfer Etki Değerlendirmesi (TIA): Google Cloud, Postmark, Expo ve Apple için veri aktarım etki değerlendirmesi yapılmıştır

6. HAKLARINIZ

Bu bildirimde listelenen üçüncü taraf veri işleyiciler hakkında bilgi alma, verilerin aktarıldığı kişileri öğrenme ve itiraz hakkınız KVKK Madde 11 kapsamında saklıdır. Başvurularınız için: dpo@techliberty.co

7. GÜNCELLEME POLİTİKASI

Bu bildirim, yeni üçüncü taraf hizmet sağlayıcı eklenmesi veya mevcut sağlayıcıların değişmesi durumunda güncellenir. Önemli değişiklikler Platform'da yayınlanır; kayıt sırasında bildirdiğiniz e-posta adresine ayrıca bildirim yapıldığında bu bildirim de gönderilir. Bildirimin yapılmadığı hâllerde değişikliğin Platform'da yayınlandığı tarih esas alınır.

© 2026 TechLiberty Sağlık ve Teknoloji Hizmetleri Ltd. Şti. Tüm hakları saklıdır.