Sağlayıcılar ve alt işleyenler

Molvek müşteri verileri için sağlayıcı ve alt işleyen kaydı.

Son güncelleme: 28 Ekim 2026

Aşağıdaki kayıt, Molvek’in canlı üretim altyapısında müşteri verilerini Müşteri talimatıyla işleyen alt işleyenleri, Müşterinin kendi hesabı ve koşullarıyla bağladığı hizmetleri (Molvek’in alt işleyeni değildir) ve self-servis ödeme akışındaki kayıtlı satıcıyı (Merchant of Record) açıklar. Temel alt işleyen listesi ve uluslararası veri aktarım dayanağı ayrıca doğrudan GDPR Madde 28 Veri İşleme Eki metni içinde yazılıdır.

Molvek alt işleyenleri

  • Railway — uygulama ve veri tabanı barındırma (europe-west4, Amsterdam, AB). Canlı üretimde uygulama, işçi (worker), PostgreSQL veri tabanı, Redis ve migrator hizmetleri Railway’in Avrupa (europe-west4, Amsterdam, AB) bölgesinde çalışır. Müşteri görüşmeleri, randevu ve entegrasyon kayıtları ile hizmet ve güvenlik günlükleri burada barındırılır. Koşullar için Railway DPA.
  • Amazon Web Services (AWS) — Lightsail, eu-central-1 (Frankfurt, AB): Uygulama, arka plan işçisi, Redis ve yönetilen PostgreSQL 16 veri tabanı barındırması için Railway’in yerini alacak, duyurulmuş alt işleyendir; tüm iş yükü ve veri tabanı AB bölgesinde (eu-central-1, Frankfurt) barındırılacaktır. Bu alt işleyen değişikliğinin bildirimi Veri İşleme Eki’nin imzası (kabulü) anında verilmiş sayılır.
  • Qdrant Cloud — yönetilen vektör veri tabanı (eu-central-1, AB). İşletme bilgi bankası metin parçaları, parça kimlikleri, isteğe bağlı üstveri ve arama vektörleri Qdrant Cloud’un AB Orta Avrupa (eu-central-1) bölgesindeki kümesinde tutulur. Qdrant’ın kamuya açık DPA’sı AEA’da (öncelikle Almanya ve İrlanda) işlemeyi ve sınırlı ABD aktarımlarını açıklar.
  • Anthropic API — yapay zekâ yanıt üretimi. Müşteri mesajları, konuşma bağlamı ve ilgili işletme bilgi bankası parçaları Claude yanıt/özet üretimi ve bilgi çıkarımı için gönderilir. AEA dışına (ABD dahil) yapılan aktarımlarda aktarım dayanağı GDPR Madde 46(2)(c) uyarınca Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC) ve tamamlayıcı önlemlerdir. Sağlayıcı belgesi, DPA ve altyapı listesi için Anthropic Trust Center.
  • OpenAI API — arama vektörü (embedding) üretimi. Bilgi bankası metin parçaları ve müşteri metni içerebilecek arama sorgularından arama vektörü oluşturmak için kullanılır; standart yanıt üretiminde kullanılmaz. AEA dışına (ABD dahil) yapılan aktarımlarda aktarım dayanağı GDPR Madde 46(2)(c) uyarınca Avrupa Komisyonu Standart Sözleşme Maddeleri (SCC) ve tamamlayıcı önlemlerdir. Uygulanabilir koşullar için OpenAI DPA ve alt işleyen listesi.

Müşterinin kendi hesabı ve koşullarıyla bağladığı hizmetler — Molvek’in alt işleyeni değildir

Aşağıdaki üçüncü taraf hizmetler, Müşteri tarafından kendi hesabı ve ilgili sağlayıcıyla yaptığı kendi sözleşme/koşulları kapsamında bağlanır; Molvek’in alt işleyeni değildir ve GDPR Madde 28(4) alt işleyen sorumluluğu kapsamına girmez:

  • Google Takvim (Google OAuth 2.0) — müşterinin bağladığı takvim hizmeti. Yalnızca bir işletme yöneticisi Molvek’e kendi Google Takvim hesabını bağladığında etkinleşir: kurulumda sahip olunan takvim listesi üst verileri (calendar.calendarlist.readonly), gerçek zamanlı dolu-boş uygunluk sorguları (calendar.freebusy) ve seçilen sahip olunan takvimdeki randevu etkinlikleri (calendar.events.owned). OAuth yenileme belirteçleri AES-256-GCM ile şifrelenir. Google API’lerinden alınan verilerin kullanımı ve aktarımı Limited Use koşulları dahil Google API Services User Data Policy hükümlerine uyar; veriler satılmaz, reklam amacıyla kullanılmaz ve genelleştirilmiş yapay zekâ veya makine öğrenimi modellerini eğitmek için kullanılmaz (bkz. Gizlilik politikası ve Google Cloud DPA).
  • Meta / WhatsApp / Instagram — müşterinin bağladığı mesajlaşma kanalları. İşletmenin kendi Meta hesabıyla bağladığı kanallarda telefon numarası, kanal kullanıcı kimliği, mesaj/şablon içeriği ve teslimat üstverisini işler. Resmi WhatsApp İşletme Veri Aktarımı Eki, uygun Avrupa verisinin WhatsApp Ireland tarafından WhatsApp LLC ve Meta Platforms, Inc.’e aktarımını açıklar.
  • Telegram — müşterinin bağladığı mesajlaşma kanalı. Yalnızca ilgili işletme kendi Telegram botu/hesabı ve koşullarıyla kanalı etkinleştirdiğinde mesaj ve kullanıcı kimliği verilerini işler.

Ödeme ve kayıtlı satıcı (Merchant of Record)

  • Stripe Managed Payments (Stripe / Link) — self-servis faturalandırma ve kayıtlı satıcı (Merchant of Record). Self-servis abonelik ödemelerinde her ödeme oturumu managed_payments[enabled]=true ile tam sayfa barındırılan Stripe Checkout üzerinden çalışır ve Stripe/Link kayıtlı satıcı (Merchant of Record) olarak vergi hesaplaması, vergi faturası/makbuz düzenlenmesi, ödeme tahsilatı, iadeler ve itirazları yürütür. Molvek kart veya ödeme yöntemi verilerini hiçbir zaman almaz veya saklamaz; yalnızca imzası doğrulanmış webhook yönlendirme/durum alanlarını ve yük (payload) SHA-256 özetini kaydeder.

Statik şirket web sitesinin teslimatı ve çerezsiz web analitiği için kullanılan Cloudflare, müşteri sohbet içeriklerini veya Google Takvim verilerini işlemez. İşlemsel hesap e-postası gönderim sağlayıcısı üretimde etkinleştirildiğinde bu kayda eklenecektir.

Alt işleyen değişiklik bildirimi ve itiraz hakkı Veri İşleme Eki Bölüm 4’te düzenlenmiştir. Sorular: info@molvek.com.

Providers and subprocessors

Provider and subprocessor register for Molvek customer data.

Last updated: 28 October 2026

This register describes the subprocessors that process Customer Personal Data on Customer instructions in Molvek’s live production infrastructure, services connected by the Customer under its own account and terms (not Molvek subprocessors), and the Merchant of Record for self-serve subscription billing. The core subprocessor list and international data-transfer basis are also written directly in the GDPR Article 28 Data Processing Addendum text.

Molvek subprocessors

  • Railway — application and database hosting (europe-west4, Amsterdam, EU). In live production, the application, worker, PostgreSQL database, Redis, and migrator services run in Railway’s European region (europe-west4, Amsterdam, EU). Customer conversations, appointment and integration records, and service and security logs are hosted here. See the Railway DPA.
  • Amazon Web Services (AWS) — Lightsail, eu-central-1 (Frankfurt, EU): Announced replacement subprocessor that will replace Railway for application, background worker, Redis, and managed PostgreSQL 16 database hosting; all compute and database workloads will be hosted in the EU region (eu-central-1, Frankfurt). Notice of this replacement subprocessor is given at the time of signature (acceptance) of the Data Processing Addendum.
  • Qdrant Cloud — managed vector database (eu-central-1, EU). Business knowledge-base text chunks, chunk identifiers, optional metadata, and search vectors are hosted in Qdrant Cloud’s EU central (eu-central-1) cluster. Qdrant’s public DPA states EEA processing (primarily Germany and Ireland) and limited US transfers.
  • Anthropic API — AI response generation. Customer messages, conversation context, and relevant business knowledge-base chunks are sent for Claude reply/summary generation and information extraction. Transfers outside the EEA (including to the United States) rely on the European Commission Standard Contractual Clauses under GDPR Article 46(2)(c) (SCCs) and supplementary measures. See the Anthropic Trust Center.
  • OpenAI API — search vector (embedding) generation. Used to generate search vectors from business knowledge-base text chunks and retrieval queries that may contain customer text; not used for standard response generation. Transfers outside the EEA (including to the United States) rely on the European Commission Standard Contractual Clauses under GDPR Article 46(2)(c) (SCCs) and supplementary measures. See the OpenAI DPA and subprocessor list.

Services connected by the Customer under its own account and terms — not Molvek subprocessors

The following third-party services are connected by the Customer under its own account and its own agreements/terms with the relevant provider; they are not Molvek subprocessors and are not covered by GDPR Article 28(4) subprocessor liability:

  • Google Calendar (Google OAuth 2.0) — customer-connected calendar service. Active only when a business administrator connects its own Google Calendar account to Molvek: owned calendar list metadata during setup (calendar.calendarlist.readonly), real-time availability queries (calendar.freebusy), and appointment events on the selected owned calendar (calendar.events.owned). OAuth refresh tokens are encrypted with AES-256-GCM. Molvek’s use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements; Google user data is not sold, not used for advertising, and not used to train generalized AI or machine-learning models (see the Privacy policy and Google Cloud DPA).
  • Meta / WhatsApp / Instagram — customer-connected messaging channels. Processes phone numbers, channel-specific user identifiers, message/template content, and delivery metadata for channels connected by the business with its own Meta account. The official WhatsApp Business Data Transfer Addendum describes transfers of qualifying European Data by WhatsApp Ireland to WhatsApp LLC and Meta Platforms, Inc.
  • Telegram — customer-connected messaging channel. Processes message and user-identifier data only when enabled by the business under its own Telegram bot/account and terms.

Billing and Merchant of Record

  • Stripe Managed Payments (Stripe / Link) — self-serve billing and Merchant of Record. Every self-serve subscription Checkout Session runs with managed_payments[enabled]=true via hosted full-page Stripe Checkout, with Stripe/Link acting as Merchant of Record for tax calculation, tax invoicing/receipts, payment collection, refunds, and disputes. Molvek never receives or stores card or payment-method data, recording only signature-verified webhook routing/state fields and payload SHA-256 hashes.

Cloudflare, used for static website delivery and cookieless web analytics, does not process customer chat contents or Google Calendar data. Any transactional account-email delivery provider will be added to this register when enabled in production.

Subprocessor change notice and objection rights are set out in Section 4 of the Data Processing Addendum. Contact: info@molvek.com.