Alt İşleyenler

Google Analytics ve çerez tercihleri

Google Analytics 4 (Google; G-13R1XE9ZTL) etiketi web sayfası açıldığında varsayılan olarak yüklenir. Analitik çerez tercihi verilmeden veya reddedildiğinde analytics_storage=denied ile çerezsiz ölçüm sinyalleri gönderilir; bu, Google’a hiç veri gönderilmediği anlamına gelmez. Google; sayfa URL/başlığı, yönlendiren adres, cihaz/tarayıcı bilgisi ve bağlantı IP adresini işleyebilir. Bağlantı yurt dışı işlem içerebilir. Hesap kimliği, portföy tutarı ve hesaplayıcı girdileri özel analitik parametresi olarak gönderilmez. Reklam depolaması, reklam kullanıcı verisi, reklam kişiselleştirme ve Google Signals kapalıdır.

Çerez Tercihleri panelinde zorunlu çerezler her zaman etkin olarak gösterilir. Ayarlar bölümündeki analitik çerez anahtarı ve Tümünü Kabul Et seçeneği _ga ve _ga_* çerezlerine en fazla 180 gün izin verir; Reddet veya anahtarı kapatmak erişilebilir GA çerezlerini temizler, çerezsiz ölçüm devam eder. GPC/DNT sinyali ölçümü kapatır; etiket dosyası yine yüklenebilir. metrilume:analytics-consent:v1 yalnız tercih ve zaman bilgisini tutar; tercih 180 gün sonra yeniden sorulur. Kaydedilemeyen tercih durumunda bu sekmede analitik çerezlere izin verilmez. Önceki kabul/ret kayıtları çerez tercihi olarak korunur. Sayfa altındaki Çerez Tercihleri paneli yeniden açar. Google’a daha önce ulaşan veriler geriye dönük silinmez; rapor saklama süresi Google mülk ayarlarında yönetilir. Native uygulama ve bağımsız Lume Embed iframe’leri bu web etiketini yüklemez. Harici grafik sağlayıcılarının depolama kontrolleri kendi politikaları ve tarayıcı ayarları kapsamındadır.

1. Kapsam ve tanım

Alt işleyen, AxelVira’nın bir kurumsal müşteri adına veri işleyen sıfatıyla aldığı kişisel veriyi yine o hizmet için işleyen üçüncü taraftır. Doğrudan MetriLume tüketicilerine ilişkin işlemlerde aynı tedarikçi “veri işleyen/hizmet sağlayıcı” olabilir; rol somut akışa göre belirlenir.

Bir yazılımın kodda bulunması, testte kullanılması veya ileride planlanması production müşteri verisine eriştiği anlamına gelmez. Aşağıdaki kayıt production yapılandırması, ağ akışı ve sözleşmesel kullanım esas alınarak tutulur.

2. Güncel rol kaydı

Production uygulama ve veritabanı AxelVira’nın yönettiği sunucu altyapısında çalışır. Fiziksel ağ/veri merkezi veya başka bir barındırma tarafının sözleşmesel kimliği ve rolü bu public kayıtta doğrulanmış sayılmaz. Herhangi bir B2B processor hizmeti açılmadan önce Müşteri Verisine erişebilecek tüm tarafların tam tüzel kişiliği, rolü, ülkeleri, güvenlik yükümlülüğü ve aktarım mekanizması siparişe özel ekte tamamlanır; bu doğrulama bitmeden kurumsal işleme başlamaz.

3. Etkin olmayan entegrasyonlar

Google ve Apple kimlik doğrulama, Türkiye GSM doğrulama, passkey, iyzico, Garanti BBVA, Stripe ve mobil mağaza satın alma akışları kod veya plan düzeyinde bulunabilir; production özellik kapıları kapalı olduğu ve kullanıcı verisi bu amaçla gönderilmediği sürece etkin alt işleyen listesinde değildir.

Bir kimlik, ödeme veya mağaza sağlayıcısı etkinleştirilirken rol ayrıca incelenir. Sağlayıcı bazı işlemlerde kendi hukuki amaçları için bağımsız veri sorumlusu olabilir; böyleyse bu durum kullanıcıya işlem öncesi açıklanır ve yalnız alt işleyen olarak nitelendirilmez.

4. Mühendislik ve kurumsal araçlar

Kaynak kodu, CI/CD veya geliştirici işbirliği aracı, olağan kullanımda production son kullanıcı içeriğine erişmiyorsa bu müşteri-verisi alt işleyen listesine alınmaz. Destek veya olay müdahalesinde bir tedarikçiye production verisi açılması gerekirse minimizasyon, süreli erişim, gizlilik ve gerekiyorsa liste/değişiklik süreci uygulanır.

5. Seçim ve sözleşme kontrolleri

• Hizmet gerekliliği, veri minimizasyonu ve daha az aktarımlı alternatif değerlendirmesi.
• Güvenlik, olay müdahalesi, silme/iade, süreklilik ve bağımsız güvence incelemesi.
• Gizlilik, yalnız talimatla işleme, personel yetkisi ve diğer alt işleyen yükümlülükleri.
• KVKK/GDPR rolü, veri merkezi/erişim ülkeleri ve uygun yurt dışı aktarım mekanizması.
• Sözleşme bitişinde veri dönüşü, silme kanıtı ve erişim iptali.

6. Değişiklik bildirimi ve itiraz

Kurumsal DPA müşterilerine, güvenlik veya acil hizmet sürekliliği engeli yoksa yeni alt işleyen ya da esaslı amaç/konum değişikliğinden en az 15 takvim günü önce kayıtlı kanaldan bildirim verilir. Güncel sürüm ve tarih bu sayfada yayımlanır.

Müşteri bildirim süresinde [email protected] adresine somut veri koruma gerekçesiyle itiraz edebilir. AxelVira ek güvence, alternatif tedarikçi veya işleme kapsamını daraltmayı değerlendirir. Makul çözüm bulunamazsa DPA’daki şartlarla etkilenen hizmet sona erdirilebilir.

Kritik güvenlik açığı veya tedarikçi kesintisinde ön bildirim mümkün değilse değişiklik yalnız hizmeti korumak için yapılır; inceleme tamamlanınca gecikmeden bildirilir ve olağan itiraz/çözüm süreci uygulanır.

7. Sürüm geçmişi

8. İletişim

Alt işleyen bildirimi aboneliği, belirli tedarikçinin güvenlik/aktarım bilgisi veya itiraz için [email protected] adresine yazabilirsiniz. Ticari sır ve başka müşterilerin güvenliği korunarak makul destekleyici bilgi sağlanır.