Alt işleyenler

Alt işleyen, Fauna'nın Cohie'yi sunarken kişisel veri işlemek üzere görevlendirdiği üçüncü taraftır. Cohie aşağıdaki alt işleyenleri kullanır.

Cloudflare, Inc.

• Şirket merkezi: ABD
• Hizmet: uygulama barındırma (Workers), veritabanı (D1), dosya depolama (R2), bot koruması (Turnstile), kök alan adının herkese açık sayfalarında çerezsiz ziyaret ölçümü (Web Analytics), ağ ve alan adı hizmetleri
• İşlenen veri: platformdaki veri (hesap, program, başvuru, dosya); Turnstile için ziyaretçinin IP adresi ve tarayıcı sinyalleri; Web Analytics için açılan sayfanın adresi, gelinen sayfa, tarayıcı ve cihaz türü, yüklenme süresi ve IP adresinden çıkarılan ülke
• Veri konumu: Veritabanı Avrupa Birliği yargı alanındadır. Dosyalar varsayılan olarak Avrupa'da oluşturulmuş bir depoda durur; bu depo AB yargı alanına bağlı değildir. Kurumsal planda kurum, dosyalarının AB yargı alanındaki depoda tutulmasını seçebilir. Ayrıntı aşağıda, "Hangi veri nerede durur" bölümünde.
• Aktarım dayanağı: KVKK m.9

Resend, Inc.

• Şirket merkezi: ABD
• Hizmet: işlemsel e-posta gönderimi (başvuru alındı, karar, davet, parola sıfırlama, adres doğrulama)
• İşlenen veri: alıcının e-posta adresi, e-postanın konusu ve içeriği
• Veri konumu: Resend'in e-posta altyapısı (ABD dahil)
• Aktarım dayanağı: KVKK m.9

Anthropic, PBC

• Kullanım: yalnızca Kurumsal planda ve kurum yapay zekâ özelliklerini (başvuru ön özeti, program asistanı) açtığında. Özellik kapalıyken hiçbir veri gönderilmez
• Şirket merkezi: ABD
• Hizmet: yapay zekâ modeliyle metin özeti ve soru yanıtı
• İşlenen veri: başvurunun kişisel olarak işaretlenmemiş form yanıtları; asistana yazılan soru ve programın kendi içeriği. Kişisel alanlar, başvuran kimliği ve dosyalar gönderilmez
• Veri konumu: Anthropic'in altyapısı (ABD dahil)
• Aktarım dayanağı: KVKK m.9. Kurum özelliği açtığında başvuranlara yönelik aydınlatma metnine ilgili madde eklenir

Kurumun bağladığı servisler

Aşağıdakiler Fauna'nın görevlendirdiği alt işleyenler değildir. Bir kurum bunları kendi kararıyla bağlar ya da ziyaretçi kendi seçimiyle bunlara bağlanır. Şeffaflık için burada yazılır; kurum bunları kendi aydınlatma metninde de belirtir.

• Kurumun e-posta altyapısı: Kurumsal planda kurum kendi gönderim altyapısını (SMTP, Postmark, SendGrid, Amazon SES ya da Microsoft 365) bağlarsa, kurumun e-postaları bu altyapıyla gönderilir. Alıcının e-posta adresi, e-postanın konusu ve içeriği o sağlayıcıya gider.
• Kurumsal giriş (SSO): Kurum kendi kimlik sağlayıcısını bağlarsa, giriş sırasında kullanıcı o sağlayıcıya yönlendirilir. Sağlayıcıdan kullanıcı kimliği ve e-posta adresi gelir.
• Sosyal medya paylaşımı: Kurumsal planda kurum LinkedIn, X, Facebook ya da Instagram hesabını bağlarsa, kurumun yazdığı paylaşım metni ve görseli o platforma gönderilir. Hesabın erişim belirteci Cohie'de şifreli durur.
• Webhook: Kurumsal planda kurum bir webhook adresi tanımlarsa, olay bildirimleri o adrese gönderilir. Bildirimler kimlik ve durum bilgisi taşır, ad ya da e-posta taşımaz.
• YouTube (Google LLC) ve Vimeo, Inc. (ABD): Kurumsal planda bir kurum özel sayfasına video eklediyse ve ziyaretçi "Videoyu oynat"a bastığında devreye girer. Çerezsiz gömme adresleri kullanılır (youtube-nocookie.com, player.vimeo.com). Sayfa açılırken ve oynatmadan önce sağlayıcıya hiçbir istek gitmez, küçük resim çekilmez. Oynatınca ziyaretçinin tarayıcısı sağlayıcıya doğrudan bağlanır; IP adresi ve tarayıcı bilgisi sağlayıcıya gider, Cohie bunları almaz. Dayanak, ziyaretçinin oynatmayı kendisinin seçmesidir (kapakta uyarı yazar).

Hangi veri nerede durur

Bu bölüm, Veri İşleme Sözleşmesi'nin 9. maddesinde anılan aktarım bilgisinin ekidir. Kurum yönetimindeki Veri konumu ekranı aynı bilgiyi kurumun bugünkü seçimiyle gösterir.

• Veritabanı kayıtları (hesaplar, başvuru yanıtları, puanlar ve yorumlar, mesajlar, bildirimler, denetim kaydı): Cloudflare D1, bütün kurumların ortak veritabanı. Avrupa Birliği yargı alanındadır; kayıtlar AB dışında saklanmaz. Kurumun veri konumu seçimi veritabanını değiştirmez.
• Dosyalar (başvuru belgeleri, teslimler, logolar ve görseller, rapor çıktıları, tam dışa aktarım arşivi): Cloudflare R2. Varsayılan depo Avrupa'da oluşturulmuştur ama AB yargı alanına bağlı değildir. Kurumsal planda kurum AB yargı alanındaki depoyu seçebilir; bu depodaki dosyalar AB dışında saklanmaz. Dosyalar, açan kişiye Cloudflare ağı üzerinden iletilir.
• Veritabanı yedekleri: Cloudflare R2, ayrı bir depo. Avrupa'da oluşturulmuştur ama AB yargı alanına bağlı değildir. Haftalık alınır, şifrelidir, en çok 90 gün tutulur.
• E-posta gönderimi: Resend (ABD dahil). Kurum Kurumsal planda kendi e-posta altyapısını bağladıysa kurumun sağlayıcısı.
• Yapay zekâ özellikleri: yalnızca Kurumsal planda ve kurum açtıysa Anthropic (ABD dahil).
• Video oynatma: yalnızca bir kurum sayfasına video eklediyse ve ziyaretçi oynatmayı seçtiğinde YouTube (Google) ya da Vimeo (ABD dahil).
• Ağ ve uygulama günlükleri: Cloudflare küresel ağı.

Veritabanının da belli bir ülkede (ör. Türkiye) durması gerekiyorsa kurum, Veri konumu ekranından bölgesel kurulum talebi gönderir. Böyle bir kurulumun kapsamı ve süresi ayrı sözleşmeyle belirlenir; talep tek başına veriyi taşımaz.

Değişiklikler

Liste değişirse bu sayfa güncellenir ve kurumun sahip ve yöneticilerine e-postayla en az 30 gün önce bildirilir. İtiraz hakkı Veri İşleme Sözleşmesi'nin 7. maddesindedir.