Son güncelleme: 2026-09-14
Veri İşleyen Listesi
Bu, kolaylığınız için sağlanan bir çeviridir. Bağlayıcı olan sürüm İngilizcedir; bir farklılık olması hâlinde İngilizce sürüm esas alınır.
Bu sayfa, Gila adına (Sezen Soykut tarafından, şahıs şirketi, Türkiye, işletilmektedir) kişisel veriyi işleyen her üçüncü tarafı listeler. Her sağlayıcı, yazılı bir veri işleme sözleşmesi (DPA) kapsamında bir veri işleyen olarak hareket eder ve verilerinizi yalnızca talimatlarımız doğrultusunda kullanabilir.
Gila mobil uygulaması ve gila.coach web sitesi, veri sorumlusu olarak Gila tarafından işletilmektedir. Aşağıdaki sağlayıcılar veri işleyenlerdir — verilerinizle ne yapılacağına onlar değil, biz karar veririz.
Her bir veri işleyenin tam olarak neyi aldığını ve nedenini anlamak isterseniz, faaliyet bazında ayrıntı İşleme Faaliyetleri Kayıtlarımızda (bölüm 3 ve 4) ve 2026-05-16 tarihli Aktarım Etki Değerlendirmemizde yer alır.
Durum lejantı
- DPA mevcut — Evet = dosyada imzalı DPA; Doğrulanacak = Faz 2 yayınından önce bekleyen tedarik kontrolü.
- DPF durumu — AB-ABD Veri Gizliliği Çerçevesi (ve Birleşik Krallık Uzantısı / İsviçre-ABD versiyonu) kapsamındaki sertifikasyonu ifade eder. Doğrulanacak = her yayından önce dataprivacyframework.gov/list adresinde yeniden kontrol edilmelidir.
- Son gözden geçirme — DPO'muzun veri işleyenin durumunu ve DPA şartlarını en son doğruladığı tarih.
1. Temel platform veri işleyenleri
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
| Supabase Inc. | Veritabanı, kimlik doğrulama, dosya depolama, edge fonksiyonları, gerçek zamanlı — Gila'nın üzerine inşa edildiği temel platform | Amerika Birleşik Devletleri — Ohio (us-east-2, AWS) |
Özel nitelikli sağlık verisi (kilo, ilaç, yan etkiler, ruh hali, yemek, günlük, fotoğraflar) dahil tüm uygulama ve hesap verisi | Evet — İmzalı kopya doğrulanacak | Doğrulanacak | 2026-05-16 |
| Amazon Web Services, Inc. (AWS) | Supabase için altta yatan altyapı ana bilgisayarı (yönetilen RDS, S3, EBS); Supabase'in alt işleyeni | Amerika Birleşik Devletleri — Ohio | Supabase ile aynı, AWS tarafından yönetilen anahtarlarla bekleme sırasında şifrelenmiş | Supabase DPA'sı üzerinden devralınmıştır | Evet (Google + AWS DPF sertifikalı) — Doğrulanacak | 2026-05-16 |
| Vercel Inc. | gila.coach web sitesini + Next.js edge fonksiyonlarını + middleware'i barındırır | Birincil olarak Amerika Birleşik Devletleri, küresel edge | İstek başlıkları, geçici IP, edge fonksiyon çalıştırma izleri, aktarım sırasındaki form gönderileri | Evet | Doğrulanacak | 2026-05-16 |
| Cloudflare, Inc. | Genel formlarda bot koruması (Turnstile); Supabase proje uç noktalarının önünde CDN | Küresel edge | Tarayıcı sınama tokenleri, sınama sırasında geçici IP ve istek sinyalleri | Evet | Doğrulanacak | 2026-05-16 |
2. Mesajlaşma ve e-posta veri işleyenleri
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
| Google LLC (Firebase / FCM) | iOS ve Android cihazlarına push bildirimleri | Amerika Birleşik Devletleri | Cihaz push tokeni, genel push payload'ı (kasıtlı olarak sağlık içeriğini açığa çıkarmaz) | Evet — Google DPA | Evet (Google DPF sertifikalı) — Doğrulanacak | 2026-05-16 |
| Apple Push Notification Service (Apple Inc.) | iOS cihazlarına ileri push teslimi; Firebase'in alt işleyeni | Amerika Birleşik Devletleri | Aktarım sırasında push payload'ı | Firebase üzerinden devralınmıştır | yok (alt işleyen) | 2026-05-16 |
| Resend, Inc. | İşlemsel e-posta (hoş geldiniz, silme doğrulaması, parola sıfırlama, kilometre taşı) ve pazarlama e-postası (rızayla) | Amerika Birleşik Devletleri (AB bölgesi mevcut — kullanımda değil) | E-posta adresi, ad, dil, şablon değişkenleri | Evet — Resend DPA | Doğrulanacak | 2026-05-16 |
3. AI veri işleyenleri
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
Google LLC (Gemini API, @google/genai üzerinden) |
13 özellik için birincil AI sağlayıcı: yemek görüşü, aktivite hedefi AI'si, beslenme hedefi AI'si, alışkanlık önerileri, başlangıç "vay canına anı", haftalık anlatı raporu, sağlık analizi, haftalık brifing, alışkanlık-sinyal ajanı, topluluk gönderisi güvenlik incelemesi (alışkanlık + set), günlük gömme vektörleri (embedding-001 üzerinden), QA değerlendirme yargıcı ve Alışkanlık Lab'ı oyun alanında ortak sağlayıcı olarak | Amerika Birleşik Devletleri (ABD birincil olan Google küresel altyapısı) | İstek başına bağlamsal anlık görüntü — profil özeti, son aktivite, isteğe bağlı görseller. Reklam verisi yok. Google'ın API şartları bu istemlerin Google'ın temel modellerini eğitmek için kullanılmadığını belirtir | Evet — Google Cloud DPA + "eğitim yok" bayrağı ile Gemini API ToS | Evet (Google DPF sertifikalı) — Doğrulanacak | 2026-05-16 |
| Anthropic, PBC (Claude API) | Alışkanlık Lab'ı oyun alanı için LLM sağlayıcı (Haiku / Sonnet / Opus, lib/features/habit_playground/ içinde kullanıcıya yönelik), dahili QA değerlendirme hattı (eval-score, Sonnet yargıcı — kullanıcıya yönelik değil) ve yemek görüşü içinde bir A/B opt-in yolu olarak (sağlayıcı parametresi, üretimde varsayılan olarak kapalı) |
Amerika Birleşik Devletleri | İstek başına istemler — bağlamsal parçalar, kullanıcı tanımlayıcısı iletilmez. Anthropic'in Ticari Şartları, API üzerinden gönderilen müşteri verilerinin Anthropic'in modellerini eğitmek için kullanılmadığını taahhüt eder | Evet — Anthropic Ticari Şartları (çevrimiçi kabul) + talep üzerine DPA | Evet — Anthropic DPF sertifikalıdır (her döngüde dataprivacyframework.gov/list adresinde doğrulayın) | 2026-05-16 |
| OpenAI, L.L.C. (GPT API) | Yalnızca yemek görüşü A/B opt-in yolu için LLM sağlayıcı — sunucu tarafından kontrol edilen sağlayıcı parametresi, üretimde varsayılan olarak kapalı. Gelecekteki bir varsayılan değişikliğin zaten kapsanması için OpenAI'yi koşullu bir sağlayıcı olarak önceden açıklıyoruz. | Amerika Birleşik Devletleri | İstek başına istemler — görsel + öğün bağlamı, kullanıcı tanımlayıcısı iletilmez. OpenAI'nin (API kullanımını düzenleyen) İş Şartları, müşteri verilerinin varsayılan olarak OpenAI'nin modellerini eğitmek için kullanılmadığını taahhüt eder | Evet — OpenAI İş Şartları DPA içerir — İmzalı kopya doğrulanacak | Doğrulanacak | 2026-05-16 |
| Perplexity AI, Inc. | Alışkanlık-sinyal ajanı tarafından alışkanlık alıntıları için ve belirsiz yemekler için yemek görüşü içinde bir araştırma yedek yolu olarak kullanılan kaynak temelli araştırma (sonar-pro) | Amerika Birleşik Devletleri | Yalnızca anonimleştirilmiş konu bazlı sorgular — tasarım gereği kullanıcı tanımlayıcısı iletilmez | Doğrulanacak | Doğrulanacak | 2026-05-16 |
4. Beslenme verisi veri işleyeni
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
| FatSecret (Secret Industries Pty Ltd) | Yemek arama ve barkod tarama için beslenme veritabanı sorguları | Amerika Birleşik Devletleri | Yalnızca yemek arama sorgu dizeleri — kullanıcı tanımlayıcısı iletilmez (OAuth 1.0 HMAC-SHA1) | Evet — Premier Free katmanı şartları | Doğrulanacak | 2026-05-16 |
5. Gözlemlenebilirlik veri işleyenleri
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
| PostHog Inc. | Ürün analitiği — ekran görüntülenmeleri, olay adları, özellik bayrağı (feature-flag) maruziyeti | Amerika Birleşik Devletleri (AB bölgesi mevcut — değerlendirme aşamasında) | Hashlenmiş kullanıcı tanımlayıcısı; ekran ve olay adları; cihaz + işletim sistemi + dil + uygulama sürümü. Sağlık verisi, ilaç dizeleri, kalori değerleri, günlük metni, e-posta ve ad tasarım gereği hariç tutulur | Evet — PostHog DPA | Doğrulanacak | 2026-05-16 |
| Functional Software, Inc. (Sentry) | Hata izleme ve performans izleme | Amerika Birleşik Devletleri (AB bölgesi mevcut — değerlendirme aşamasında) | Hashlenmiş kullanıcı tanımlayıcısı; hata mesajı ve yığın izi; PII'den arındırılmış breadcrumb'lar; performans izleri. E-posta, ad ve Madde 9 nitelikleri temizlenir | Evet — Sentry DPA — Doğrulanacak | Doğrulanacak | 2026-05-16 |
6. Ticari veri işleyenleri
| Veri işleyen | Rol | Bölge | Paylaşılan veri | DPA mevcut | DPF durumu | Son gözden geçirme |
|---|---|---|---|---|---|---|
| RevenueCat, Inc. | Abonelik yönetimi — abonelik ekranı henüz üretime yayınlanmadığı için koşullu olarak açıklanmıştır. Uygulama içi abonelik ekranı etkinleştiğinde aktif bir veri işleyen haline gelecektir (bkz. decision-log öge #17) | Amerika Birleşik Devletleri | Hashlenmiş app_user_id; abonelik katmanı, durum, tarihler; mağaza tarafı işlem tanımlayıcıları (App Store işlem kimliği, Play Store satın alma tokeni). Ödeme kartı verisi asla gönderilmez — Apple ve Google ödemeyi işler |
Evet — RevenueCat DPA — Doğrulanacak | Doğrulanacak | 2026-05-16 |
7. Cihaz üzerindeki veri kaynakları (Gila'nın veri işleyenleri değildir)
Bu platformlar, Gila'ya belirli toplamları okuma izni verene kadar veriyi cihazınızda tutar. Gila verisinin işleyenleri değildirler ve şeffaflık için burada listelenmiştir.
| Sağlayıcı | Rol | Veri kapsamı |
|---|---|---|
| Apple HealthKit (Apple Inc.) | iOS sağlık veri deposu | Adımlar, mesafe, antrenmanlar, aktif enerji, egzersiz dakikaları, kilo, su, beslenme — uyku ve kalp atış hızı asla okunmaz; yalnızca günlük toplam, açık rızanızla Gila'ya yüklenir |
| Health Connect (Google) | Android sağlık veri deposu | Android'de HealthKit ile aynı |
8. Bir veri işleyeni ne zaman ekliyor veya kaldırıyoruz
Bu listede herhangi bir önemli değişiklikten en az 30 gün önce size söylemeyi taahhüt ediyoruz — bu, yeni bir veri işleyen veri almadan önce veya mevcut birini yeni bir bölgeye taşımadan önce anlamına gelir.
Bildirim kanalları:
- Bir sonraki girişinizde uygulama içi banner;
- Her hesap sahibine (pazarlama katılımından bağımsız olarak, dosyadaki e-postayı kullanarak — bu hizmet açısından kritik bir açıklamadır) e-posta bildirimi;
- Bu sayfanın altında bir değişiklik günlüğü kaydı.
30 günlük bildirim döneminde yeni bir veri işleyene itiraz ederseniz, değişiklik yürürlüğe girmeden önce /delete-account adresinden hesabınızı silebilirsiniz ve verileriniz kaldırılır (Gizlilik Politikasında açıklanan 30 günlük yedek devrine tabi olarak).
Listeden bir veri işleyeni kaldırdığımızda aynı bildirim prosedürünü izleriz.
9. Sınır ötesi aktarım mekanizması
Yukarıdaki her veri işleyene, Gizlilik Politikasının bölüm 5'inde özetlenen aktarım mekanizması aracılığıyla ulaşılır:
- AB / EEA kullanıcıları — Standart Sözleşme Hükümleri (SCC) Modül 2 + AB-ABD Veri Gizliliği Çerçevesi (sağlayıcı sertifikalı olduğunda) + tamamlayıcı önlemler (aktarımda ve bekleme sırasında şifreleme, satır düzeyi güvenlik, istek başına veri minimizasyonu, telemetri içinde hashlenmiş tanımlayıcılar).
- Birleşik Krallık kullanıcıları — Birleşik Krallık Uluslararası Veri Aktarım Sözleşmesi (IDTA) veya AB SCC'lerine Birleşik Krallık Eki.
- İsviçreli kullanıcılar — sağlayıcı sertifikalı olduğunda İsviçre-ABD DPF, aksi takdirde revFADP uyumlu SCC'ler.
- Türkiye kullanıcıları — başlangıçta alınan ve rıza kaydımıza işlenen KVKK Madde 9 kapsamında açık rıza. Çalışması için verinin ABD'ye gitmesi gerektiğinden, bu rıza olmadan uygulamayı sunamayız.
- Brezilya kullanıcıları — özel rıza ve ANPD uyumlu SCC'lerle LGPD Madde 33.
- Kanada kullanıcıları — PIPEDA hesap verebilirlik aktarımı; sorumlu kalmaya devam ederiz.
- Avustralya kullanıcıları — veri işleyen DPA'ları ve Aktarım Etki Değerlendirmesi aracılığıyla yerine getirilen makul adımlar yükümlülüğüyle APP 8 sınır ötesi ifşası.
Her içe aktarıcı için tam analiz (FISA §702 / CLOUD Act maruziyeti, Avrupa Temel Güvenceleri, tamamlayıcı önlemler, kalıntı risk hükmü), 2026-05-16 tarihli dahili Aktarım Etki Değerlendirmemizde yer alır.
10. Sorular
gila.coach web sitesinde veya Gila mobil uygulamasında bu sayfada görünmeyen bir hizmet listelenmişse, lütfen bize bildirin — dpo@gila.coach adresine yazın, ya ekleriz ya da üründen kaldırırız.
Değişiklik günlüğü
| Sürüm | Tarih | Özet |
|---|---|---|
| 1.0 | 2026-05-16 | İlk yayın. 13 aktif veri işleyeni artı AWS'yi (Supabase'in alt işleyeni), Apple Push'u (Firebase'in alt işleyeni) ve cihaz üzerindeki iki sağlık platformunu kapsar. RevenueCat için koşullu açıklama (abonelik ekranı yayınlandığında aktif). 30 günlük değişiklik bildirimi taahhüdü oluşturuldu. |
| 1.1 | 2026-05-16 | Faz 6 kapanışı (decision-log #18). Kullanıcıya yönelik bir AI veri işleyeni olarak Anthropic Claude (Alışkanlık Lab'ı + QA yargıcı + yemek görüşü A/B opt-in) ve koşullu bir AI veri işleyeni olarak OpenAI (yalnızca yemek görüşü A/B opt-in, varsayılan kapalı) eklendi. Gemini satırı, güçlendirdiği 13 özelliği sıralayacak şekilde genişletildi. Aktif varsayılan veri akışına hiçbir veri işleyen eklenmedi — Claude, Alışkanlık Lab'ında aktif; OpenAI varsayılan olarak kapalı kalır. |
| 1.2 | 2026-09-14 | gila.coach'ta 2026-10-18'de yayımlandı. Beehiiv, Inc. kaldırıldı (bülten platformu 2026-09-14'te bırakıldı). Apple HealthKit satırı Gila'nın okuduğu verilere göre düzeltildi (uyku ve kalp atış hızı asla okunmaz). |