Yasal
Alt işleyenler
FluxonLab'ın Saldek'i işletmek için görevlendirdiği alt işleyenlerin listesi (GDPR md. 28).
Son güncelleme: 10 Ekim 2026
Bu çeviri yalnızca bilgilendirme amaçlıdır. Hukuken yalnızca Almanca metin bağlayıcıdır. Almanca asıl metni okuyun
1. Veri işleme ilkeleri
Saldek, Hetzner Online GmbH'nin Almanya'daki sunucularında çalışır; veritabanları ve muhasebe verileri orada saklanır. Belge dosyaları Amazon Web Services'in Frankfurt am Main (Almanya) bölgesindeki denetime elverişli arşivde, veritabanlarının şifrelenmiş yedekleri ise Amazon Web Services'in Avrupa Birliği içindeki ayrı bir depolama alanında saklanır.
"Standart" modda (varsayılan) Saldek, OpenAI ve TypeSafe'in yapay zekâ hizmetlerini kullanır; OpenAI bir belgeyi okumazsa veya kullanılabilir şekilde okumazsa, belgeyi onun yerine Google'a ait bir model okur. Belgeleri OpenAI ve Google okur; bunun için her belge sayfasının görüntüsü ve belge metni iletilir (XML biçimindeki e-faturalarda ve CSV dosyalarında yalnızca metin). OpenAI ayrıca belgenin ilk sayfasına dayanarak değerlendirmeler yapar (örneğin belge türü veya bir "ödendi" ibaresi). TypeSafe okunan belgeler hakkında değerlendirmeler yapar (örneğin belge türü, fatura alıcısı ve önceki belgelerle ilişkisi), hesap atamasını önerir, içe aktarılan hesap hareketlerini belgelerle eşleştirir ve mükerrer kayıt kontrolü yapar; bunun için belgeden bilgiler ve metin alıntıları ile kayıt bilgileri ve hesap hareketleri iletilir. Kayıt bilgilerinde ve hesap hareketlerinde IBAN'lar, e-posta adresleri ve telefon numaraları önceden maskelenir. Hizmetler verileri ABD'de, Google ayrıca veri merkezi işlettiği diğer ülkelerde işler ve yalnızca sınırlı bir süre saklar (bkz. gizlilik politikası). TypeSafe'e aktarım AB standart sözleşme maddelerine (GDPR md. 46(2)(c)), Google'a aktarım AB-ABD Veri Gizliliği Çerçevesi'ne (EU-US Data Privacy Framework, GDPR md. 45), aksi halde yine AB standart sözleşme maddelerine dayanır; maddeler aşağıda bağlantısı verilen sözleşmelerin parçasıdır. OpenAI Ireland Ltd verileri ABD'deki bağlı şirketlerine AB standart sözleşme maddelerini içeren sözleşmeler temelinde aktarır (OpenAI Data Processing Addendum, madde 4.1). Kuruluş ayarlarında seçilebilen "Yapay zekâ olmadan" modunda yapay zekâ hizmetlerine hiçbir veri iletilmez.
"Standart" modda sesli notlar ve "Saldek'e sor" içindeki sesli giriş, Microsoft'un hizmeti (İrlanda'daki North Europe bölgesinde Azure Speech) tarafından metne çevrilir; bu hizmet yanıt vermezse, zamanında yanıt vermezse veya kaydı işleyemezse OpenAI onun yerine geçer (OpenAI'ın bağlı şirketleri tarafından ABD'de işleme). Microsoft'a yalnızca kayıt, OpenAI'a ayrıca muhasebe terimleri ve tedarikçi adlarından oluşan bir tanıma yardımı iletilir; Saldek kaydı dönüştürmeden sonra saklamaz.
Saldek, uygulamanın teknik hata raporlarını Sentry'ye (Functional Software, Inc.) iletir; raporlar Sentry'nin Frankfurt am Main'daki AB veri bölgesinde saklanır. Bir hata raporu hata türünü, etkilenen program noktasını ve parametresiz sayfa adresini içerir, ancak belge verisi, istek içeriği veya kullanıcı kimliği içermez; e-posta adresleri, IBAN'lar ve KDV kimlik numaraları gönderimden önce maskelenir.
Müşteri belgeleri, fişler ve mali işlem verileri yapay zekâ modellerini eğitmek için kullanılmaz — ne Saldek tarafından ne de sözleşme koşullarına göre TypeSafe, OpenAI, Google veya Microsoft tarafından.
2. Güncel alt işleyenler listesi
Bir Google hesabı bağlandığında (Google Drive, Gmail posta kutusu) Google veri işleyen olarak değil, kendi adına veri sorumlusu olarak hareket eder; kayıt şeffaflık amacıyla yer alır.
| Şirket | Amaç | Konum | Üçüncü ülkeye aktarım | Sözleşme |
|---|---|---|---|---|
| Hetzner Online GmbH | Uygulamanın barındırılması: web uygulaması, arayüzler, veritabanı ve belge işleme | Almanya | Üçüncü bir ülkeye aktarım yok | GDPR md. 28 uyarınca veri işleme sözleşmesi |
| Amazon Web Services EMEA SARL, Lüksemburg | BAO § 132 uyarınca yedi yıllık saklama için belge dosyalarının denetime elverişli arşivde (S3 Object Lock) ve veritabanının şifrelenmiş yedeklerinin ayrı bir depolama alanında saklanması | Belge dosyaları için Almanya (AWS Frankfurt am Main bölgesi); yedekler AB içindeki bir AWS bölgesinde | Üçüncü bir ülkeye aktarım öngörülmemiştir; istisnai durum için AWS Data Processing Addendum AB standart sözleşme maddelerini (SCC) içerir | AWS Data Processing Addendum (AWS Service Terms’in parçası) |
| TypeSafe AI, Inc., San Francisco (“Jev” modeli) | Okunan belgeler hakkında değerlendirmeler (örneğin belge türü, fatura alıcısı ve önceki belgelerle ilişkisi), hesap atama önerileri (kategori, hesap, vergi kodu), içe aktarılan hesap hareketlerinin belgelerle eşleştirilmesi, mükerrer kayıt kontrolü ve “Saldek’e Sor” soruları için uygun kaynakların seçilmesi. Belgeden bilgiler ve metin alıntıları ile kayıt bilgileri ve hesap hareketleri (iş ortağı, ödeme açıklaması, referans, tutar) iletilir; kayıt bilgilerinde ve hesap hareketlerinde IBAN’lar, e-posta adresleri ve telefon numaraları önceden maskelenir. “Yapay zekâ olmadan” modunda kullanılmaz. | ABD | TypeSafe’in Data Processing Agreement’ındaki AB standart sözleşme maddeleri (SCC) | TypeSafe’in Data Processing Agreement’ı (Master Customer Agreement’ın parçası) |
| OpenAI Ireland Ltd, Dublin (“gpt-6-luna” modeli) | Belgelerin okunması (her belge sayfasının görüntüsü ve belge metni iletilir; XML biçimindeki e-faturalarda ve CSV dosyalarında yalnızca metin), belgenin ilk sayfasına dayanarak değerlendirmeler (örneğin belge türü, bir “ödendi” ibaresi veya şahıs işletmeleri ile serbest meslek sahiplerinde bir alımın işletmeye ait olup olmadığı; ilk sayfanın görüntüsü ve gerektiğinde belge metninin başlangıcı iletilir) ve “Saldek’e Sor” sorularının yanıtlanması (soru, konuşmadaki önceki sorular ve IBAN’ların, e-posta adreslerinin ve telefon numaralarının maskelendiği, belgelerle kayıtlardan uygun alıntılar). “Yapay zekâ olmadan” modunda kullanılmaz. | ABD (OpenAI’ın bağlı şirketleri tarafından işleme) | OpenAI Ireland Ltd verileri ABD’deki bağlı şirketlerine AB standart sözleşme maddelerini (SCC) içeren sözleşmeler temelinde aktarır (OpenAI Data Processing Addendum, madde 4.1) | OpenAI’ın Data Processing Addendum’u (OpenAI Services Agreement’ın parçası) |
| Google Cloud EMEA Limited, Dublin (“gemini-3.5-flash-lite” modeli) | OpenAI bir belgeyi okumadığında veya kullanılabilir şekilde okumadığında belgenin OpenAI yerine okunması (OpenAI’a iletilen bilgilerin aynısı iletilir). “Yapay zekâ olmadan” modunda kullanılmaz. | ABD ve Google’ın veri merkezi işlettiği diğer ülkeler | AB-ABD Veri Gizliliği Çerçevesi (Google’ın sertifikası), aksi halde Google’ın Data Processing Addendum’undaki AB standart sözleşme maddeleri (SCC) | Data Processing Addendum for Products Where Google is a Data Processor (Gemini API Additional Terms of Service’in parçası) |
| Microsoft Ireland Operations Limited, Dublin (Azure Speech, “MAI-Transcribe-2” modeli) | Sesli notların ve sesli girişin metne çevrilmesi (“Saldek’e sor” içindeki mikrofon; WhatsApp sesli mesajları yalnızca WhatsApp bağlantısı devreye alındığında). Yalnızca kayıt iletilir. “Yapay zekâ olmadan” modunda kullanılmaz. | İrlanda (Azure North Europe bölgesi) | Üçüncü bir ülkeye aktarım öngörülmemiştir; istisnai durum için Microsoft’un Data Protection Addendum’u AB standart sözleşme maddelerini (SCC) içerir | Microsoft Products and Services Data Protection Addendum |
| OpenAI Ireland Ltd, Dublin (“gpt-transcribe” modeli) | Microsoft’un hizmeti yanıt vermediğinde, zamanında yanıt vermediğinde veya kaydı işleyemediğinde sesli notların ve sesli girişin metne çevrilmesi. Kayıt ve tanıma yardımı olarak sabit bir muhasebe terimleri listesi ile kuruluşun en fazla 30 tedarikçisinin adı iletilir. “Yapay zekâ olmadan” modunda kullanılmaz. | ABD (OpenAI’ın bağlı şirketleri tarafından işleme) | OpenAI Ireland Ltd verileri ABD’deki bağlı şirketlerine AB standart sözleşme maddelerini (SCC) içeren sözleşmeler temelinde aktarır (OpenAI Data Processing Addendum, madde 4.1) | OpenAI’ın Data Processing Addendum’u (OpenAI Services Agreement’ın parçası) |
| Stripe Payments Europe, Ltd. | Aboneliklerin faturalandırılması: yazılım ücretleri için ödeme işlemleri ve faturalama. Stripe yalnızca müşterinin faturalama verilerini alır, belge ve muhasebe verisi almaz; dolandırıcılığın önlenmesi ve yasal yükümlülüklerin yerine getirilmesi gibi kendi amaçları için Stripe’ın kendisi veri sorumlusudur. | İrlanda (AB); Stripe, Inc.’e (ABD) aktarım mümkündür | Stripe Data Processing Agreement’a ek veri aktarımı eki uyarınca AB-ABD Veri Gizliliği Çerçevesi, aksi halde AB standart sözleşme maddeleri (SCC) | Stripe Data Processing Agreement (Stripe Services Agreement’ın parçası) |
| Functional Software, Inc. (Sentry), San Francisco | Hata izleme: arızaların tespit edilip giderilmesi için web uygulamasının, arayüzlerin ve belge işlemenin teknik hata raporları (hata türü, etkilenen program noktası, parametresiz sayfa adresi, tarayıcı ve sistem sürümü, işlem kimliği). Belge verileri, form ve istek içerikleri, çerezler ve kullanıcı kimlikleri iletilmez; e-posta adresleri, IBAN’lar ve KDV kimlik numaraları gönderimden önce maskelenir. IP adresi kaydedilmez. | Almanya (Sentry’nin AB veri bölgesi, Frankfurt am Main); Sentry’nin yönetim verileri ve erişimleri ABD’de de | AB-ABD Veri Gizliliği Çerçevesi, aksi halde Sentry’nin Data Processing Addendum’undaki AB standart sözleşme maddeleri (SCC) | Sentry Data Processing Addendum (Sentry Terms of Service’in parçası) |
| Plus Five Five, Inc., San Francisco (Resend) | Hizmetin e-postalarının no-reply@saldek.eu adresinden gönderilmesi (e-posta adresinin doğrulanması, parola sıfırlama, parola değişikliği bildirimi, davetler, e-postayla belge girişinde gönderen adreslerine doğrulama kodları, bir kuruluşun kapatıldığının veya silindiğinin teyidi, müşterilerin hizmet üzerinden kendi müşterilerine gönderdiği faturalar [yanıt adresi olarak kuruluşun e-posta adresiyle]) ve mesajları şirketin iletişim adresine yönlendirilen hello@saldek.eu ve support@saldek.eu iletişim adreslerinin karşılanması. Alıcı adresi ve mesajın içeriği, faturalarda ayrıca varsa kullanıcının bilgi (CC) olarak eklediği bir diğer adres ile PDF eki olarak fatura, iletişim mesajlarında gönderen, konu, metin ve ekler iletilir. Resend kendi beyanına göre e-posta içeriklerini, meta verileri ve günlük kayıtlarını 30 gün saklar. | ABD (Resend kendi beyanına göre mesaj içerikleri ve ekleri, meta veriler, günlük kayıtları ve hesap verileri dahil tüm verileri ABD’de saklar; İrlanda bölgesi yalnızca gönderim yolunu belirler) | Resend’in Data Processing Addendum’undaki AB standart sözleşme maddeleri (SCC, Modül 2 ve 3); Resend kendi beyanına göre ayrıca AB-ABD Veri Gizliliği Çerçevesi’ne katılmaktadır | Resend’in Data Processing Addendum’u (Terms of Service’in parçası) |
| Mailgun Technologies, Inc. (Mailgun EU) | in.saldek.eu altındaki kuruluş giriş adreslerine gelen e-postaların karşılanması (e-postayla belge girişi) ve hizmete iletilmesi. E-postanın göndereni, alıcısı, konusu, metni ve ekleri işlenir. Mailgun kendi beyanına göre e-posta içeriklerini en fazla yedi gün, olay kayıtlarını tarifesinin öngördüğü süre boyunca (mevcut tarifemizde bir gün) saklar ve verileri ayrıca e-posta hizmetini yürütmek için gerekli olduğu ölçüde (örneğin spam ve dolandırıcılığı önlemek, ağının güvenliği ve bakımı ile yasal yükümlülüklerini yerine getirmek için) bağımsız veri sorumlusu olarak kullanır. | Mailgun’ın AB bölgesi (Almanya ve Belçika’daki veri merkezleri); destek ve işletim için ABD’den de erişim | AB-ABD Veri Gizliliği Çerçevesi (Mailgun Technologies, Inc. sertifikası), aksi halde Sinch’in Data Processing Agreement’ındaki AB standart sözleşme maddeleri (SCC, Modül 2 ve 3) | Sinch’in Data Processing Agreement’ı (Sinch Email Terms of Service’in parçası, madde 4.3) |
| Google LLC, Mountain View (Google hesabı: Google Drive ve Gmail posta kutusu) | Bir üye Google hesabını bağladığında: Google ile oturum açma, Google Drive’da dosya seçimi ve seçilen dosyaların alınması, faturaların bağlı Gmail posta kutusu üzerinden gönderilmesi ve yalnızca ek okuma izniyle bu posta kutusunda fatura ve belge aranması ve bunların içe aktarılması; her biri Google arayüzleri üzerinden. Google’a bu arayüzlere yapılan istekler ve gönderimde faturalı e-posta iletilir. Google bu kapsamda veri işleyen olarak değil, kendi adına veri sorumlusu olarak hareket eder; Google hesabındaki veriler için kullanıcının Google ile yaptığı sözleşmeler geçerlidir. | ABD ve Google’ın veri merkezi işlettiği diğer ülkeler | AB-ABD Veri Gizliliği Çerçevesi (Google’ın sertifikası), aksi halde Google Controller-Controller Data Protection Terms’teki AB standart sözleşme maddeleri (SCC) | Google Controller-Controller Data Protection Terms (Google APIs Terms of Service’in parçası) |
3. Planlanan alt işleyenler (henüz kullanımda değil)
Bu hizmetler öngörülmüştür ve henüz kullanımda değildir. Veri ancak Saldek ilgili işlevi açtığında ve bir üye onu kuruluşu için kullandığında alırlar. Devreye alınmalarından önce müşteriler Bölüm 4 uyarınca bilgilendirilir. Google, Gmail eklentisinde veri işleyen olarak değil, kendi adına veri sorumlusu olarak hareket eder; kayıt şeffaflık amacıyla yer alır.
| Şirket | Amaç | Konum | Üçüncü ülkeye aktarım | Sözleşme |
|---|---|---|---|---|
| Meta Platforms Ireland Limited, Dublin (WhatsApp Business Platform Cloud API) | Hizmetin kendi WhatsApp numarası (şirketin WhatsApp Business hesabı) üzerinden WhatsApp ile belge girişi: üyelerin telefon numaralarını bağladıktan sonra gönderdiği fotoğrafların ve PDF dosyalarının alınması ve yanıtların gönderilmesi (örneğin bağlantının veya alındının teyidi). Gönderenin telefon numarası ve WhatsApp kimliği, mesajlar ve dosyalar iletilir. Meta kendi beyanına göre mesajları en fazla 30 gün saklar ve verileri ayrıca hizmetin güvenliği ve bütünlüğü için kendi adına veri sorumlusu olarak kullanır. Yalnızca işlev açıldığında kullanılır. | Meta’nın ve alt işleyenlerinin İrlanda, Danimarka, İsveç ve ABD’deki veri merkezleri | Meta Platforms Ireland Limited’in merkezi AB’dedir; Meta Platforms, Inc. (ABD) gibi bağlı şirketlere aktarım için Meta, GDPR kapsamında öngörülen aktarım mekanizmalarına dayanır (Meta Global Processor Terms); Meta Platforms, Inc. kendi beyanına göre AB-ABD Veri Gizliliği Çerçevesi’ne katılmaktadır | Data Processing Terms (WhatsApp Business Platform Cloud API Terms’in A eki) ve Meta Global Processor Terms |
| Google LLC, Mountain View (Gmail eklentisi) | Bir üye ekleri hizmete gönderdiğinde Gmail eklentisinin gösterilmesi ve açık e-postanın eklerinin Google arayüzleri üzerinden alınması. Google’a eklentinin içeriği (kuruluşun adı, bağlantının durumu, eklerin dosya adları) iletilir. Google bu kapsamda veri işleyen olarak değil, kendi adına veri sorumlusu olarak hareket eder; Google hesabındaki veriler için kullanıcının Google ile yaptığı sözleşmeler geçerlidir. Yalnızca işlev açıldığında kullanılır. | ABD ve Google’ın veri merkezi işlettiği diğer ülkeler | AB-ABD Veri Gizliliği Çerçevesi (Google’ın sertifikası), aksi halde Google Controller-Controller Data Protection Terms’teki AB standart sözleşme maddeleri (SCC) | Google Controller-Controller Data Protection Terms (Google APIs Terms of Service’in parçası) |
4. Değişikliklerin bildirilmesi
Müşteriler, bir alt işleyenin eklenmesi veya değiştirilmesi planlandığında en az 14 gün önceden e-postayla veya uygulama içinde bilgilendirilir ve haklı bir nedenle itiraz etme hakkına sahiptir.