Kulis — Alt İşleyiciler (Sub-processors)
Sürüm: 0.1 (taslak) · Son güncelleme: 16 Eylül 2026 · Yayın adresi: https://kulis.ai/subprocessors
Bu liste hukuki tavsiye değildir. DPA'ların imzalanması ve KVKK m.9 standart sözleşmelerinin hazırlanması lisanslı avukat onayı gerektirir (aşağıda ⚖️ ile işaretli). Liste koddan çıkarıldı (src/lib/ai/registry.ts,src/lib/r2.ts,src/lib/supabase/*,worker/*,src/lib/platforms/telegram.ts,package.json). Kullanımda = bugün kodda çağrılıyor. Planlanan = karar verildi, kod yok. Alt işleyici listesi değiştiğinde bu dosya ve gizlilik politikası aynı gün güncellenir.
1. Kullanımda olan alt işleyiciler
| # | Sağlayıcı | Ülke / bölge | Amaç | İşlenen veri | DPA / sözleşme |
|---|---|---|---|---|---|
| 1 | Supabase, Inc. | ABD (şirket) · veri: AB, Frankfurt (eu-central-1) | Veritabanı, kimlik doğrulama, dosya-dışı tüm kayıtlar | Hesap e-postası, şifre hash'i, çalışma alanı, şifreli token'lar, gönderi metinleri, deşifre metinleri, prompt'lar, işlem/hata kayıtları, erken erişim kayıtları | ⚖️ DPA: [[LINK]] · KVKK standart sözleşme: [[DURUM]] |
| 2 | Cloudflare, Inc. | ABD (şirket) · R2 bölgesi: [[R2_BOLGE — panelden teyit]] | Medya depolama (cdn.kulis.media), CDN, DNS | Yüklenen video ve görseller, normalize kopyalar, üretilen görsel/ses/video dosyaları, erişim kayıtları | ⚖️ DPA: [[LINK]] |
| 3 | Vercel Inc. | ABD (şirket) · dağıtım bölgesi: [[VERCEL_BOLGE]] | Web uygulaması barındırma | HTTP istekleri, IP adresi, oturum çerezleri, sunucu logları | ⚖️ DPA: [[LINK]] |
| 4 | Hetzner Online GmbH | Almanya | Arka plan işçisi (worker), video normalizasyonu, self-hosted Telegram Bot API | Video dosyaları (geçici), çözülmüş token'lar (yalnız bellekte), iş kuyruğu verisi | ⚖️ AVV/DPA: [[LINK]] |
| 5 | Anthropic PBC | ABD | Metin üretimi (başlık, açıklama, hashtag, senaryo) | Gönderi bağlamı, kullanıcı istemleri, deşifre metni parçaları | ⚖️ DPA + "eğitimde kullanılmaz" teyidi: [[DURUM]] |
| 6 | ElevenLabs Inc. | ABD | Deşifre (Scribe v2) ve seslendirme | Ses/video dosyasının erişim adresi ve içeriği, üretilen metin | ⚖️ DPA + eğitim muafiyeti: [[DURUM]] |
| 7 | OpenAI, L.L.C. | ABD | Deşifre ve seslendirme (alternatif sağlayıcı) | Ses dosyası içeriği, üretilen metin | ⚖️ DPA + eğitim muafiyeti: [[DURUM]] |
| 8 | Deepgram, Inc. | ABD | Deşifre (alternatif sağlayıcı) | Ses dosyasının erişim adresi, üretilen metin | ⚖️ DPA + eğitim muafiyeti: [[DURUM]] |
| 9 | fal.ai (Features & Labels, Inc.) | ABD | Görsel ve video üretimi (FLUX, Ideogram, Nano Banana, Wan, Kling, Seedance) | İstemler, referans görsel adresleri, üretilen dosyalar | ⚖️ DPA: [[DURUM]] |
| 10 | Telegram (Telegram FZ-LLC) | BAE / Birleşik Krallık Virgin Adaları | "Gelen kutusu" botu ve kanal yayını | Sohbet/kanal kimliği, gönderilen içerik, bot mesajları | Standart hizmet şartları; DPA yok → ⚖️ değerlendirme gerekli |
Yayın hedefi platformlar (alt işleyici değil, bağımsız veri sorumlusu): Google LLC / YouTube, Meta Platforms Ireland Ltd. (Instagram, Facebook), TikTok Technology Ltd. Bu platformlara aktarım kullanıcının kendi talimatıyla ve kendi hesabı üzerinden yapılır; veriyi kendi politikalarına göre işlerler.
2. Planlanan, henüz bağlı olmayan sağlayıcılar
Aşağıdakiler ekip kararlarında yer alır ama bugün kodda yoktur. Devreye alındığı gün bu tablodan yukarıdakine taşınır ve gizlilik politikası aynı gün güncellenir.
| Sağlayıcı | Ülke | Amaç | Durum |
|---|---|---|---|
| Sentry (Functional Software, Inc.) | ABD | Hata izleme | Planlanan (Blok A8) — hata mesajı, istek kimliği, kullanıcı kimliği |
| Better Stack (Better Stack s.r.o.) | Çekya | Uptime izleme | Planlanan (Blok A8) — kişisel veri işlemez |
| Resend, Inc. | ABD | E-posta gönderimi (posta.kulis.ai) | Faz 2.5 — e-posta adresi, gönderim kayıtları |
3. Yurt dışına aktarım — yapılacaklar listesi ⚖️
KVKK m.9, yeterlilik kararı bulunmayan ülkelere aktarımda uygun güvencelerden birini zorunlu kılar. Bugünkü durumda uygun araç standart sözleşmedir; açık rıza bu aktarımların hukuki dayanağı olarak kullanılmamalıdır (süreklilik arz eden aktarımda uygun araç değildir ve her an geri alınabilir).
- Envanteri kesinleştir. Yukarıdaki 10 sağlayıcıdan hangilerinin fiilen kişisel veri işlediğini yaz (Better Stack gibi işlemeyenler listeden çıkar).
- Rol tespiti. Her sağlayıcı için ilişki tipini belirle: veri sorumlusu → veri işleyen (çoğu), veri sorumlusu → veri sorumlusu (platformlar). Standart sözleşmenin dört farklı modülünden doğru olanı seçilir.
- Kurumun yayımladığı standart sözleşme modülünü doldur (taraf bilgileri, veri kategorileri, aktarım amacı, saklama süresi, teknik-idari tedbirler ekleri).
- İmzala — karşı tarafın imzası şart. Sağlayıcının kendi DPA'sı KVKK standart sözleşmesinin yerine geçmez; ikisi birlikte yürür.
- İmza tarihinden itibaren 5 iş günü içinde Kuruma bildir (Standart Sözleşme Bildirim Modülü üzerinden ya da KEP/fiziksel yolla). Bildirim yapılmaması KVKK m.18/1-d uyarınca 50.000 – 1.000.000 TL idari para cezasına tabidir.
- Değişiklik ve fesihte tekrar bildir (taraf değişikliği, içerik değişikliği, sözleşmenin sona ermesi).
- Kaydı tut: imzalı sözleşme, bildirim çıktısı, tarih. Denetimde ilk istenen belge budur.
- Yeni sağlayıcı eklenince aynı zinciri baştan işlet ve bu dosyayı güncelle.
4. Sağlayıcı ekleme kontrol listesi (iç kural)
Yeni bir alt işleyici eklemeden önce: (a) hangi veriyi göreceği yazıldı mı · (b) DPA imzalandı mı · (c) yurt dışıysa standart sözleşme + bildirim yapıldı mı · (d) eğitimde kullanmama taahhüdü var mı (AI sağlayıcıları için) · (e) bu dosya ve gizlilik politikası güncellendi mi · (f) müşterilere bildirim gerekiyor mu (ücretli döneme geçildiğinde: 30 gün önceden).
*Bu doküman hukuki tavsiye değildir; bağlayıcı kararlar için lisanslı bir avukata ve mali müşavire danışın.*