Which companies process data for the service, what reaches each of them, where, and under which transfer mechanism, and the places the data is kept. This is the list the contract with a customer carries as its annex of sub-processors.Hizmet için hangi şirketlerin veri işlediği, her birine ne ulaştığı, nerede ve hangi aktarım mekanizmasıyla işlendiği ve verinin tutulduğu yerler. Bu, müşteriyle yapılan sözleşmenin alt işleyen eki olarak taşıdığı listedir.
Draft: a lawyer has not read this yet, and some decisions are still open (they are named as open below). Checked onTaslak: bir avukat bunu henüz okumadı ve bazı kararlar hâlâ açık (aşağıda açık olarak yazılıdır). Son kontrol: 2026-10-24.
The AI features are off by default. Nothing is sent to an AI provider unless the customer's company has recorded its acknowledgement of the transfer abroad and a project administrator has switched a use on.Yapay zekâ özellikleri varsayılan olarak kapalıdır. Müşterinin şirketi yurt dışına aktarıma ilişkin bilgilendirmesini kaydedip bir proje yöneticisi bir kullanımı açmadıkça yapay zekâ sağlayıcısına hiçbir şey gönderilmez.
Sub-processorsAlt işleyenler
Hosting provider of the serverSunucunun barındırma sağlayıcısı
Not decided yet (decision H1): a Turkish data centre, or Hetzner Online GmbH at its Helsinki site.Henüz karar verilmedi (karar H1): Türkiye'de bir veri merkezi ya da Hetzner Online GmbH'nin Helsinki sahası.
What it doesNe yapar
A virtual server that runs the database, the file store and the local backups.Veritabanını, dosya deposunu ve yerel yedekleri çalıştıran sanal sunucu.
What reaches itOna ne ulaşır
All application data: accounts, project records, files and the backups.Tüm uygulama verisi: hesaplar, proje kayıtları, dosyalar ve yedekler.
WhereNerede
Turkey or Finland (Helsinki), depending on decision H1.Karar H1'e göre Türkiye ya da Finlandiya (Helsinki).
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
Finland: the KVKK standard contract between processors and notification to the Authority within 5 business days, or the provider's own terms if it does not sign it. Turkey: no transfer.Finlandiya: işleyenden işleyene KVKK standart sözleşmesi ve 5 iş günü içinde Kurum'a bildirim, ya da sağlayıcı imzalamıyorsa kendi şartları. Türkiye: aktarım yok.
In useKullanım
Always: the application runs on it.Her zaman: uygulama onun üzerinde çalışır.
Cloudflare, Inc.Cloudflare, Inc.
Decision C1 is open: the hostname of the application and API without the proxy (DNS only), or with the proxy under its own contract.Karar C1 açık: uygulama ve API ana makinesi vekilsiz (yalnız DNS) ya da vekille ve kendi sözleşmesiyle.
What it doesNe yapar
DNS, a proxy and TLS termination in front of the site.Sitenin önünde DNS, vekil (proxy) ve TLS sonlandırma.
What reaches itOna ne ulaşır
All HTTP traffic that passes through the proxy, cookies, and uploaded files in clear text.Vekilden geçen tüm HTTP trafiği, çerezler ve açık metin olarak yüklenen dosyalar.
WhereNerede
A worldwide edge network; a company in the USA.Küresel kenar ağı; ABD şirketi.
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
Counts as a transfer to the USA. The KVKK standard contract is not in the provider's terms; its data processing terms carry the EU standard clauses.ABD'ye aktarım sayılır. KVKK standart sözleşmesi sağlayıcının şartlarında yok; veri işleme şartlarında AB standart maddeleri var.
In useKullanım
When this server is set to run behind the proxy (LINTARA_PROXY=cloudflare).Bu sunucu vekilin arkasında çalışacak şekilde ayarlıysa (LINTARA_PROXY=cloudflare).
E-mail provider (to be chosen)E-posta sağlayıcısı (seçilecek)
To be chosen, in Turkey or the EU, before the first customer.İlk müşteriden önce Türkiye'de ya da AB'de seçilecek.
What it doesNe yapar
Sending invitations, account security notices, review and overdue reminders (SMTP).Davet, hesap güvenliği, inceleme ve gecikme bildirimlerinin gönderimi (SMTP).
What reaches itOna ne ulaşır
The recipient's name and address, the subject (titles of records), the plain-text body, and the invitation link.Alıcının adı ve adresi, konu (kayıt başlıkları), düz metin gövde ve davet bağlantısı.
WhereNerede
To be chosen: Turkey or the EU.Seçilecek: Türkiye ya da AB.
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
Depends on the choice; no transfer if the provider is in Turkey.Seçime bağlı; sağlayıcı Türkiye'deyse aktarım yok.
In useKullanım
When this server is set to send mail (LINTARA_SMTP_URL). Without it messages go to the server log and the audit trail only.Bu sunucu e-posta gönderecek şekilde ayarlıysa (LINTARA_SMTP_URL). Aksi halde iletiler yalnız sunucu günlüğüne ve denetim izine yazılır.
Anthropic PBCAnthropic PBC
Off by default. Only after the company has recorded its acknowledgement of the transfer and a project administrator has switched a use on.Varsayılan olarak kapalı. Yalnız şirket aktarıma ilişkin bilgilendirmesini kaydedip bir proje yöneticisi bir kullanımı açtıktan sonra.
What it doesNe yapar
The AI features: reading handwritten comments from a scan, and AI answers to questions about a project.Yapay zekâ özellikleri: el yazısı yorumların taramadan okunması ve projeye sorulan sorulara yapay zekâ cevabı.
What reaches itOna ne ulaşır
Handwriting: the image of every scanned page with the document number, revision and title. Questions: the masked question and the results of the read-only tools (record text, reviewer names, comment text).El yazısı: taranan her sayfanın görüntüsü ile doküman numarası, revizyon ve başlık. Sorular: maskelenmiş soru ve salt okunur araçların sonuçları (kayıt metni, inceleyen adları, yorum metni).
WhereNerede
USA or global processing.ABD veya küresel işleme.
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
A standard contract is needed; whether the provider signs the KVKK text was not found, and its data processing terms do not mention KVKK. Its terms: input and output deleted within 30 days, flagged content up to 2 years, zero retention by contract.Standart sözleşme gerekir; sağlayıcının KVKK metnini imzalayıp imzalamadığı bulunamadı, veri işleme şartlarında KVKK geçmiyor. Şartları: girdi ve çıktı 30 gün içinde silinir, bayraklı içerik 2 yıla kadar, sözleşmeyle sıfır saklama.
In useKullanım
When this server has an AI key (LINTARA_AI_KEY) and a project has a use switched on.Bu sunucuda yapay zekâ anahtarı (LINTARA_AI_KEY) varsa ve bir projede bir kullanım açıksa.
Google LLC (Firebase Cloud Messaging)Google LLC (Firebase Cloud Messaging)
Off by default. Only when this server has a Firebase service account key (LINTARA_PUSH_FCM_KEY_FILE) and a person has signed in on the phone app.Varsayılan olarak kapalı. Yalnız bu sunucuda bir Firebase hizmet hesabı anahtarı (LINTARA_PUSH_FCM_KEY_FILE) varsa ve bir kişi telefon uygulamasında giriş yaptıysa.
What it doesNe yapar
Delivers push notifications to the phone app on iOS and Android.iOS ve Android'deki telefon uygulamasına anlık bildirim iletir.
What reaches itOna ne ulaşır
The phone's push token and a short text: a record number, a project code or a count, never a title, a comment or a name.Telefonun bildirim anahtarı ve kısa bir metin: bir kayıt numarası, bir proje kodu ya da bir sayı; başlık, yorum ya da isim asla.
WhereNerede
USA or global processing.ABD veya küresel işleme.
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
Not decided: a standard contract is needed, as for the other sub-processors abroad; the push token is a device identifier and the text names a project code. Decision for the lawyer (research report 45).Karar verilmedi: yurt dışındaki diğer alt işleyenler gibi bir standart sözleşme gerekir; bildirim anahtarı bir cihaz tanımlayıcısıdır ve metin proje kodunu içerir. Avukat için karar (araştırma raporu 45).
In useKullanım
When this server has LINTARA_PUSH_FCM_KEY_FILE set.Bu sunucuda LINTARA_PUSH_FCM_KEY_FILE ayarlıysa.
GitHub, Dependabot and the npm registryGitHub, Dependabot ve npm kayıt defteriNo personal data reaches itKişisel veri ulaşmaz
Listed so that nothing is left out: no personal data reaches them.Hiçbir şey eksik kalmasın diye listelenir: kişisel veri ulaşmaz.
What it doesNe yapar
Source code and its automated checks.Kaynak kod ve otomatik denetimleri.
What reaches itOna ne ulaşır
None: the code holds sample data only.Yok: kod yalnız örnek veri içerir.
WhereNerede
USA.ABD.
Transfer mechanism (KVKK art. 9)Aktarım mekanizması (KVKK md. 9)
Not needed: no personal data.Gerekmez: kişisel veri yok.
In useKullanım
Always, for development.Her zaman, geliştirme için.
Where the data is keptVerinin tutulduğu yerler
The databaseVeritabanı
PostgreSQL on the server, at the hosting provider above.Sunucudaki PostgreSQL, yukarıdaki barındırma sağlayıcısında.
Accounts, project records and the audit trail (13 months, then archive files).Hesaplar, proje kayıtları ve denetim izi (13 ay, sonra arşiv dosyaları).
The files of documentsDoküman dosyaları
The files folder on the same server, each file named by its SHA-256.Aynı sunucudaki dosya klasörü; her dosya SHA-256 adıyla.
Not encrypted on the disk yet (a decision is open); the backups of them are encrypted.Diskte henüz şifreli değil (karar açık); yedekleri şifrelidir.
BackupsYedekler
Encrypted (AES-256) on the same server: 14 daily and 8 weekly database backups; archives of files and of audit rows are not pruned.Aynı sunucuda şifreli (AES-256): 14 günlük ve 8 haftalık veritabanı yedeği; dosya ve denetim arşivleri budanmaz.
A second location in another country is set up when a provider is chosen; there is none yet.Başka bir ülkede ikinci konum, sağlayıcı seçilince kurulur; henüz yok.
The phone or browser of a person on siteSahadaki kişinin telefonu veya tarayıcısı
Site entries made without signal wait on the device until they are sent.Sinyalsiz yapılan saha girişleri gönderilene kadar cihazda bekler.
They are removed from the device once the server has them.Sunucuya ulaşınca cihazdan silinir.
Lintara