Ek Protokol — Veri İşleme Sözleşmesi (DPA)

1. Taraflar ve Roller

Tanımlar. Kişisel veri, işleme, veri sorumlusu, veri işleyen ve ilgili kişi KVKK m.3'teki anlamı taşır; GDPR'ın uygulandığı hâllerde GDPR m.4'teki karşılıkları uygulanır. "Veri Sorumlusu Verisi": Kullanıcı'nın Platform'a yüklediği, UYAP Köprüsü ile aktardığı ya da Platform'da ürettiği dava, müvekkil, karşı taraf ve belge içeriğine ilişkin kişisel veriler (hesap, ödeme ve doğrulama verileri hariç). "Alt İşleyen": Veri İşleyen'in Veri Sorumlusu Verisi'ni işlemek üzere hizmet aldığı üçüncü kişi. "Maskeleme": kimlik verilerinin yalnız Türkiye'deki kasada çözülebilen belirteçlerle değiştirilmesi (takma adlandırma); maskeli veri kişisel veridir. "Veri İhlali": m.9.1'deki anlam.

Veri Sorumlusu: Platformu kullanan ve müvekkil/üçüncü kişi verilerini yükleyen kullanıcı (bireysel avukat, hukuk bürosu veya şirket). Veri İşleyen: Kızılelma AI Software (Anıl Talha BULDUKLU).

Veri Sorumlusu işlemenin amaç ve vasıtalarını belirler; Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda işler.

Roller. Hesap, üyelik doğrulaması (OTP), ödeme, fatura ve (izin verilmişse) pazarlama verilerinde Kızılelma AI veri sorumlusudur. Kullanıcının platforma yüklediği dava, müvekkil, karşı taraf ve belge verilerinde Kullanıcı (avukat/büro) veri sorumlusu, Kızılelma AI ise Ek Protokol kapsamında veri işleyendir. Katkı Programı'na ayrı onayla gönderilen içerikler, Kızılelma AI'ın kendi amacıyla (ortak bilgi havuzu ve yanıt kalitesinin iyileştirilmesi) işlediği ve veri sorumlusu olduğu ayrı bir faaliyettir.

2. Konu ve Süre

Bu Protokol'ün konusu, Platform hizmetlerinin sunulması kapsamında Veri İşleyen'in, Veri Sorumlusu adına gerçekleştirdiği kişisel veri işleme faaliyetidir. İşlemenin türü, amacı, veri kategorileri ve ilgili kişi grupları Ek-1'de tanımlanır. Protokol, ana hizmet sözleşmesi süresince ve sona ermesinden sonra Veri İşleyen'in Veri Sorumlusu adına kişisel veri işlemeye (yedeklerde ya da yasal saklama kapsamında saklama dâhil) devam ettiği sürece yürürlükte kalır.

3. Talimatla İşleme

• Veri İşleyen, kişisel verileri yalnızca Veri Sorumlusu'nun talimatlarıyla ve hizmetin sunulması amacıyla işler; kendi amaçları (özellikle model eğitimi) için kullanmaz.
• Talimatların hukuka aykırı olduğunu düşünmesi hâlinde Veri İşleyen, Veri Sorumlusu'nu bilgilendirir.
• Birincil talimat kanalı, hizmetin yapılandırma arayüzü ve info@kizilelmahukuk.ai adresidir.
• Veri Sorumlusu talimatlarını ayrıca şu araçlarla verir: veri koruma modu seçimi (Şifreli Bulut Kasa / Yerel Kasa), belgeyi yapay zekâ kapsamı dışına alma, dava notlarının yapay zekâya gönderilmemesi, açık rızaya bağlı yüzeylerin açılıp kapatılması, kayıt ve hesap silme. Hizmet kapsamı dışında kalan ya da Hizmet'te esaslı değişiklik gerektiren talimatlar ancak tarafların yazılı mutabakatıyla uygulanır; Veri İşleyen bir talimatı uygulayamıyorsa Veri Sorumlusu'na gecikmeksizin bildirir.
• Veri İşleyen, kendisine uygulanan bir hukuki yükümlülük gerektirmedikçe talimat dışında işleme yapmaz; böyle bir yükümlülük doğarsa, hukuken yasaklanmadıkça işlemeden önce Veri Sorumlusu'nu bilgilendirir.

3/A. Yapay Zekâ ve Model Eğitimi

• (1) Eğitimde kullanmama. Veri İşleyen, Veri Sorumlusu adına işlediği kişisel verileri (maskeli olsa dahi) kendisinin ya da üçüncü kişilerin yapay zekâ modellerini eğitmek, ince ayar yapmak veya geliştirmek için kullanmaz. Kullanıcı'nın Katkı Programı'na ayrı onayla bizzat gönderdiği içerikler bu Protokol'ün dışındadır; katkı metninde müvekkil ve üçüncü kişi verisi bulunmamasından Kullanıcı sorumludur.
• (2) Olumsuz geri bildirim metinleri. Kullanıcı'nın olumsuz geri bildirimle (👎) gönderdiği maskeli soru ve yanıt, Kızılelma AI'ın veri sorumlusu olduğu ayrı bir faaliyette yalnız yanıt kalitesinin incelenmesi ve iç test vakası hazırlanması için işlenir, model eğitiminde kullanılmaz ve kayıttan yüz seksen (180) gün sonra anonimleştirilir (KVKK Politikası §12); "Ekleme, yalnız oyumu gönder" seçeneğinde metin gönderilmez. Müvekkil verisi içeren yanıtlarda metin gönderilmemelidir.
• (3) Alt işleyenlerde eğitim yasağı. Veri İşleyen, yapay zekâ sağlayıcısı olan alt işleyenlerin kendilerine iletilen verileri kendi modellerini eğitmek için kullanmasını yasaklayan koşullara tabi olmasını sağlar; bu yasağın yazılı olarak teyit edilmediği sağlayıcılar Ek-3'te işaretlenir.
• (4) Otomatik karar. Hizmet, Veri Sorumlusu adına işlenen dava/müvekkil verileri üzerinde ilgili kişiler hakkında hukuki sonuç doğuran tamamen otomatik karar üretmez; çıktılar Kullanıcı'nın denetimine sunulan taslaklardır.

4. Veri Sorumlusunun Yükümlülükleri

• İşlemenin hukuka uygunluğu (hukuki sebep, aydınlatma, gereken hâllerde açık rıza), doğruluğu ve veri minimizasyonu,
• Yalnızca amaç için gerekli verinin yüklenmesi ("bilmesi gereken" ilkesi); özellikle özel nitelikli/hassas dosyalarda dikkat,
• İlgili kişilere karşı aydınlatma yükümlülüğünün yerine getirilmesi; özel nitelikli veriler ve hassas dosyalar için gereken yazılı yetkilendirme ve müvekkil onamlarının temini,
• Veri Sorumlusu, verdiği talimatların ve yüklediği verilerin hukuka uygunluğunu garanti eder; hukuka aykırı talimat veya veriden dolayı Veri İşleyen'e yöneltilen idari para cezası, tazminat ve yargılama giderlerini, kusuru ölçüsünde ve Kullanım Koşulları m.10/C'deki usulle (kesinleşmiş karar ya da onaylı sulh tutarı, bildirim ve savunma hakkı) karşılar.
• Güvenlik sorumlulukları: Hesap ve kasa şifresinin, iki adımlı doğrulama araçlarının ve kullandığı cihazların güvenliği; büro içi yetki ve dosya erişiminin doğru tanımlanması; belge orijinallerinin ve Yerel Kasa içeriğinin ayrıca yedeklenmesi Veri Sorumlusu'nun sorumluluğundadır (Platform Hizmet Sözleşmesi m.5, m.11; Kullanım Koşulları m.5, m.10). Veri Sorumlusu, Ek-2'deki tedbirleri ve Güvenlik sayfasında açıklanan sınırları incelediğini ve işlemenin niteliğine göre değerlendirdiğini kabul eder.

5. Veri İşleyenin Yükümlülükleri

• Gizlilik: İşlemeye yetkili personel gizlilik taahhüdü altındadır.
• Kayıt: İşleme faaliyetlerine ilişkin kayıtlar tutulur.
• Yardım: Denetim makamı talepleri ve ilgili kişi başvurularında Veri Sorumlusu'na makul destek sağlanır.
• Etki değerlendirmesi: Veri İşleyen, işlemenin niteliği ve kendi tasarrufundaki bilgiler ölçüsünde, GDPR m.35 kapsamındaki veri koruma etki değerlendirmesinde ve m.36 kapsamındaki ön istişarede Veri Sorumlusu'na makul yardım sağlar.
• Güvenlik: KVKK m.12 / GDPR Art.32 uyarınca uygun tedbirler uygulanır (madde 6).
• Uyumsuzluk bildirimi: Veri İşleyen, bu Protokol'deki yükümlülüklerini yerine getiremeyeceğini öğrendiğinde Veri Sorumlusu'nu gecikmeksizin bilgilendirir; Veri Sorumlusu bu durumda ilgili işlemenin durdurulmasını isteyebilir ya da sözleşmeyi feshedebilir ve kullanılmamış döneme ilişkin bedel orantılı olarak iade edilir.

6. Teknik ve İdari Tedbirler (TOM)

• Aktarımda TLS 1.2 ve 1.3 (TLS 1.1 ve öncesi kapalı); saklamada AES-256 (LUKS2 şifreli kasa, Türkiye),
• Müvekkil ve belge kimlik verisinin yurt içinde saklanması + maskeleme geçidi ile takma adlandırma (geri döndürülebilir; maskeli veri kişisel veri olmayı sürdürür),
• Rol bazlı erişim, çok kiracılı izolasyon (ayrı indeks/namespace), ağ izolasyonu (VPN),
• Loglama, erişim denetimi, yedekleme ve kurtarma süreçleri,
• Güvenli yazılım geliştirme ve bağımlılık/yama yönetimi,
• Birleştirmeme: Veri İşleyen, bir Veri Sorumlusu'nun verisini başka bir Veri Sorumlusu'nun verisiyle birleştirmez ve başka kullanıcılara yanıt üretiminde kullanmaz; Kullanıcı'nın Ortak Dilekçe Havuzu'na ve Katkı Programı'na bizzat gönderdiği içerikler bunun dışındadır.

Ayrıntılı tedbir matrisi Ek-2'de yer alır.

7. Alt İşleyenler (Alt Yükleniciler)

7.1 Genel izin, bildirim ve itiraz. Veri İşleyen, Veri Sorumlusu'nun genel iznine dayanarak alt işleyen kullanabilir. Güncel alt işleyen listesi Ek-3'te tutulur. Yeni/değişen alt işleyenler önceden bildirilir; Veri Sorumlusu, veri korumasına ilişkin haklı sebeplerle otuz (30) gün içinde itiraz edebilir. İtiraz hâlinde taraflar iyi niyetle çözüm arar; bulunamazsa Veri Sorumlusu ilgili hizmeti feshedebilir ve kullanılmamış döneme ilişkin bedel orantılı olarak iade edilir; Veri İşleyen, itirazın tek sonucu olarak bu fesih dışında bir yükümlülük üstlenmez. Bildirim, bu sayfadaki tarihli değişiklik kaydı ve kayıtlı e-posta adresine gönderilen duyuruyla yapılır; otomatik bildirim gönderen bir mekanizma bugün kurulmamış olup bildirimler elle yapılır, bu nedenle geçmişte bazı alt işleyenler sonradan bildirilmiştir (aşağıda 7.5'te tarihleriyle sayılmıştır).

7.2 Alt işleyenle sözleşme. Veri İşleyen, alt işleyenle bu Protokol'deki yükümlülüklerden daha az koruyucu olmayan; en az teknik ve idari tedbirleri, Veri İhlali'nin Veri İşleyen'e gecikmeksizin bildirilmesini, verinin iadesini veya imhasını, model eğitiminde kullanılmamasını ve ileri alt işleyen kullanımını düzenleyen yazılı bir sözleşme (sağlayıcının standart veri işleme koşulları dâhil) kurar. Bu şartı henüz karşılamayan alt işleyenler Ek-3'ün "Güvence durumu" sütununda açıkça işaretlenir; her alt işleyenin bugünkü güvence durumu Ek-3'te satır bazında gösterilir.

7.5 İtiraz süresi ve geçmiş bildirimler. Bu maddedeki otuz (30) günlük itiraz süresi, Kullanım Koşulları m.12'deki on beş (15) günlük genel değişiklik süresinden ayrıdır. Claude modelinin Microsoft Azure AI Foundry üzerinden çağrılması (2 Eylül 2026) ve sesli mod altyapısı (Azure OpenAI Realtime, 3 Eylül 2026) önceden bildirilmeden devreye alınmıştır; 14 Eylül 2026 tarihli 1.6 sürümüyle Ek-3'e eklenerek bildirilmiştir ve itiraz süresi o sürümün yayımından itibaren işlemiştir. unpkg (React kütüphanesinin tarayıcıya yüklenmesi) ve Google Fonts (yazı tipleri) en geç 14 Eylül 2026'dan beri (başlangıç daha önce olabilir) önceden bildirilmeden kullanılmaktadır; 15 Eylül 2026'da Ek-3'e eklenmiştir; kayıtlı kullanıcılara ayrıca bildirilecek ve itiraz süresi bu bildirimin yapıldığı tarihten itibaren işleyecektir. 29 Ekim 2026'da her ikisinin kullanımı sona ermiştir: yazı tipleri ve React kütüphanesi artık kendi sunucularımızdan sunulmakta, bu satırlar alıcı listesinden çıkarılmıştır. Web araması altyapısında (SearXNG) sorgu para birimi dönüştürme ya da çeviri kalıbındaysa çağrılan DuckDuckGo para birimi servisi önceden bildirilmeden açık tutulmaktadır; Lingva, DictZone ve MyMemory (Translated) çeviri motorları en geç 21 Eylül 2026'dan beri kapalıdır ve alıcı listesinden çıkarılmıştır (en geç 2 Eylül 2026'dan beri; SearXNG altyapısının devreye alındığı tarih); 15 Eylül 2026'da Ek-3'e eklenmiştir; kayıtlı kullanıcılara ayrıca bildirilecek ve itiraz süresi bu bildirimin yapıldığı tarihten itibaren işleyecektir.

7.3 Alt işleyenden sorumluluk. Veri İşleyen, alt işleyenin veri koruma yükümlülüklerini yerine getirmemesinden Veri Sorumlusu'na karşı, işlemeyi kendisi yapmış olsaydı sorumlu olacağı ölçüde sorumludur; m.13'teki sınırlar saklıdır. Platform Hizmet Sözleşmesi m.11 ve Kullanım Koşulları m.12/D'deki alt işleyen kaynaklı kesintilere ilişkin muafiyet, alt işleyenden kaynaklanan Veri İhlalleri'ne uygulanmaz.

7.4 Bildirim süresi ve içeriği. Yeni bir alt işleyen eklenmeden ya da mevcut bir alt işleyenin işlediği veri, ülkesi veya amacı esaslı biçimde değişmeden en az otuz (30) gün önce alt işleyenin adı, ülkesi, işleyeceği veri kategorileri (maskeli/maskesiz), amacı ve güvence durumu Ek-3'te ve Alt İşleyenler sayfasında tarihiyle yayımlanır ve kayıtlı e-posta adresine duyurulur. Güvenlik ya da hizmet sürekliliği nedeniyle önceden bildirilemeyen acil değişiklikler, devreye alınmasından itibaren en geç yedi (7) gün içinde gerekçesiyle bildirilir. 7.1'deki otuz (30) günlük itiraz süresi bildirim tarihinden itibaren işler; itiraz süresi dolmadan yeni alt işleyen devreye alınmaz (AB Komisyonu Standart Sözleşme Hükümleri 2021/914, Modül 2, Clause 9(a) Seçenek 2).

8. İlgili Kişi Haklarına Destek

8.1 Araçlar. Veri İşleyen, erişim/düzeltme/silme/taşınabilirlik gibi başvuruların karşılanması için Veri Sorumlusu'na şu araçları sağlar: kayıtlarda arama; "Verilerimi indir" dışa aktarma paketi; belge, sohbet ve kayıt silme; hesap silme; UYAP verisi için "Verimi temizle (KVKK)" (UYAP Köprüsü Ek Protokolü m.8); belgeyi yapay zekâ kapsamı dışına alma ve dava notlarının yapay zekâya gönderilmemesi ayarı. Bu araçlarla karşılanamayan başvurularda Veri İşleyen makul yardım sağlar.

8.2 Doğrudan gelen başvurular. Veri Sorumlusu adına işlenen verilere ilişkin bir başvuru Veri İşleyen'e doğrudan ulaşırsa Veri İşleyen: (a) başvuruyu esastan yanıtlamaz ve belirli bir Veri Sorumlusu'nun başvurana ilişkin veri işleyip işlemediğini doğrulamaz ya da reddetmez; (b) başvuruda belirtilen Veri Sorumlusu'na başvuruyu gecikmeksizin iletir; başvuru bir Veri Sorumlusu belirtmiyorsa başvuranı tespit etmek amacıyla Veri Sorumlularının verilerinde arama yapmaz; (c) başvurana, başvurusunu verilerini işleyen avukat ya da büroya yöneltmesi gerektiğini bildirir. Kızılelma AI'ın veri sorumlusu olduğu veriler için başvurular KVKK Politikası uyarınca yanıtlanır.

8.3 Süre. Veri Sorumlusu başvuruyu KVKK m.13 uyarınca en geç otuz (30) gün içinde sonuçlandırır; Veri İşleyen yardımını bu süreye uygun olarak sağlar.

9. Veri İhlali Bildirimi

9.1 Tanım. "Veri İhlali", Veri İşleyen'in ya da alt işleyenlerinin sorumluluğundaki kişisel verilerin kazara ya da hukuka aykırı olarak yok edilmesi, kaybı, değiştirilmesi, yetkisiz açıklanması ya da bunlara yetkisiz erişilmesi sonucunu doğuran güvenlik ihlalidir. Verinin güvenliğini tehlikeye atmayan başarısız denemeler (başarısız oturum açma, port taraması, engellenen saldırı gibi) Veri İhlali sayılmaz.

9.2 Süre. Veri İşleyen, Veri Sorumlusu adına işlediği verileri etkileyen bir Veri İhlali'ni öğrenmesinden itibaren gecikmeksizin ve en geç kırk sekiz (48) saat içinde, hesaba kayıtlı e-posta adresi üzerinden Veri Sorumlusu'na bildirir. Bu yükümlülük tüm kullanıcı hesaplarına uygulanır. Büro Hesabı'nda bildirim, olay anındaki büronun sahibine ve yöneticilerine de yapılır.

9.3 İçerik. Bildirim, o an bilinebildiği ölçüde ihlalin niteliğini, başlangıç ve tespit tarih-saatini, etkilenen veri kategorilerini ve yaklaşık kişi/kayıt sayısını, verinin maskeli olup olmadığını, varsa ilgili alt işleyeni, olası sonuçları, alınan ve Veri Sorumlusu'na önerilen tedbirleri ve irtibat kişisini içerir. Bilgilerin tamamı aynı anda sağlanamıyorsa bildirim geciktirilmez; eksikler edinildikçe aşamalı olarak tamamlanır. Veri İşleyen, Veri Sorumlusu'nun Kurul'a yapacağı bildirim (Kişisel Veri İhlal Bildirim Formu) ve GDPR Art.33/34 bildirimleri için gereken bilgileri sağlar.

9.4 Görev paylaşımı. Kurul'a ve ilgili kişilere bildirim Veri Sorumlusu'nun yükümlülüğüdür; Veri İşleyen, yazılı talimat olmadıkça Veri Sorumlusu adına bildirim yapmaz. Kızılelma AI'ın veri sorumlusu olduğu veriler (hesap, ödeme, doğrulama) bakımından Kişisel Verileri Koruma Kurulu'na yetmiş iki (72) saat içinde bildirim yapılır. Bildirim, tek başına Veri İşleyen'in kusur ikrarı sayılmaz.

10. Yurt Dışı İşleme ve Aktarım

10.1 Kural ve istisnalar. Müvekkil ve belge kimlik verileri Türkiye'de ya da (Yerel Kasa'da) kullanıcının cihazında barındırılır; hesap verileri ve maskeli içerik AB'deki barındırma altyapısındadır. Yapay zekâ işlemesi için yurt dışındaki alt işleyenlere kural olarak Türkiye'deki maskeleme geçidinden geçmiş, takma adlandırılmış (maskeli) metin iletilir; maskeli veri kişisel veri olmayı sürdürür. Mahkeme/merci adları, tarihler, esas–karar numaraları ve tutarlar maskelenmez; bunlar bir araya geldiğinde dosyanın bulunmasına yetebilir. Bu kuralın istisnaları şunlardır:

• (a) Açık rızaya bağlı maskesiz yüzeyler: taranmış sayfa görüntüsünün okunması (birincil okuyucu Anthropic, ABD; yedek Microsoft Azure OpenAI), canlı sesli mod ve dikte (Microsoft Azure OpenAI), mesajlaşma kanalı (Meta/WhatsApp; Kullanıcı'nın WhatsApp'ta yazdığı soru maskelenemez; bot yanıtı varsayılan olarak maskeli gönderilir, açık metin yalnız Kullanıcı'nın panelden açtığı tercihle gider).
• (b) Yerel Kasa modu: Bu modda maskeleme Kullanıcı'nın cihazında yapılır, sunucu ayrıca maskelemez. Dava Çalışma Alanı soruları ve Dilekçe Üretici olgu özeti kişi ve kurum adları bakımından maskelenmeden yapay zekâ sağlayıcısına iletilir (yalnız T.C. kimlik no, IBAN, kart no, e-posta ve cep telefonu gizlenir) ve AB'deki barındırma altyapısında gönderildiği biçimde saklanır (KVKK Politikası §9 ve §11; Platform Hizmet Sözleşmesi m.9). Bu istisna açık rızaya değil, Veri Sorumlusu'nun mod seçimine bağlıdır.
• (c) AB'de maskesiz saklanan kayıtlar: hesap verileri; Dava Çalışma Alanı ve Dilekçe Üretici geçmişinin 14 Eylül 2026'daki geçişten önce kaydedilmiş kayıtları; (b)'deki Yerel Kasa geçmişi.
• (d) Tek sağlayıcı ve yedek model yolu: 21 Ekim 2026'dan beri, (a) bendindeki taranmış sayfa görüntüsünün okunması (birincil okuyucu: doğrudan Anthropic API'si, ABD) ve bu bentte sayılan yedek yollar dışındaki tüm yapay zekâ çağrıları (Vatandaş Portalı asistanı dâhil) tek altyapıya — Microsoft Azure AI Foundry / Azure OpenAI — gider (Azure AI Foundry; dağıtım türü Global Standard. 21 Ekim 2026 ölçümünde istekler İsveç (Sweden Central) bölgesinde işlendi; bu dağıtım türünde işlemenin belirli bir bölgeyle sınırlı kalacağı sağlayıcı tarafından taahhüt edilmemektedir); Google Gemini hiçbir kullanıcı yüzeyinde devrede değildir, teknik yedek zincirinde son sırada durur. Claude modeli Microsoft Azure AI Foundry üzerinden çağrılır; bu yolda da veri işleyen Anthropic, PBC (ABD)'dir (Anthropic, Microsoft için bağımsız veri işleyen olarak hareket eder; Azure AI Foundry yalnız dağıtım ve altyapı katmanıdır) ve sağlayıcı çıkarım için bir AB/AEA veri ikametgâhı seçeneği sunmamaktadır. Yalnız bu yol kurulamazsa aynı maskeli metin doğrudan Anthropic API'sine (ABD) gönderilebilir.

10.2 Güvence durumu. Yurt dışındaki alıcılara aktarılan veriler KVKK m.9'a tabidir; maskeli (takma adlandırılmış) metin de buna dâhildir, çünkü maskeli veri de kişisel veridir. Bu alıcıların bulunduğu ülkeler için Kurul'un ilan ettiği bir yeterlilik kararı bulunmadığından aktarımın güvencesi Kurul'un ilan ettiği standart sözleşmedir; standart sözleşme imzalandıktan sonra beş (5) iş günü içinde Kurum'a bildirilir. Bu imza ve bildirim süreci henüz tamamlanmamıştır; tamamlanan her imza ve bildirim Veri Aktarımı Protokolü §5 tablosunda tarihiyle gösterilecektir. Kayıtta işaretlenen kutu, Kullanıcı'nın yurt dışında işleme konusunda bilgilendirildiğini teyit eder; açık rıza beyanı değildir. Açık rıza, KVKK m.9/6 uyarınca yalnız arızi (düzenli olmayan) aktarımlarda dayanak olabilir; her kullanımda tekrarlanan yapay zekâ işlemesi aktarımlarının dayanağı olarak gösterilmez. Veri Sorumlusu adına işlenen müvekkil ve üçüncü kişi verilerinde Kullanıcı'nın açık rızası hiçbir durumda dayanak değildir. Alıcıların tam listesi — OpenAlex (OurResearch, ABD) dâhil — Ek-3'te ve Veri Aktarımı Protokolü §5'tedir.

10/A. Kamu Otoritelerinin Talepleri

(1) Veri İşleyen, Veri Sorumlusu adına işlediği verilere ilişkin bir yargı mercii, kolluk, idari makam ya da yabancı bir kamu otoritesinden gelen erişim, bilgi, belge veya el koyma talebini, hukuken yasaklanmadıkça gecikmeksizin Veri Sorumlusu'na bildirir ve talep sahibini öncelikle Veri Sorumlusu'na yönlendirmeye çalışır. (2) Veri İşleyen talebin dayanağını, yetkiyi ve kapsamı denetler; hukuka aykırı ya da aşırı geniş gördüğü talebe karşı mevzuatın tanıdığı itiraz ve kanun yollarını değerlendirir; açıklamayı talebi karşılayan asgari veriyle sınırlar ve talep sahibine verinin avukatlık sırrı niteliği taşıyabileceğini (Avukatlık Kanunu m.36) bildirir. (3) Talepler, verilen yanıt ve açıklanan veri kategorileri kayıt altına alınır; hukuken mümkün olduğu ölçüde bu kaydın özeti Veri Sorumlusu'na verilir. (4) Teknik sınır: Yerel Kasa'da cihazda tutulan belge asıllarına ve kimlik eşlemelerine Veri İşleyen'in sunucu üzerinden erişimi yoktur; Şifreli Bulut Kasa içerikleri ile kurtarma kaydı bulunan kasaların Bulut Kopya paketleri Veri İşleyen tarafından teknik olarak açılabilir (Kullanım Koşulları m.10).

11. İade ve İmha

11.1 Sona erme hâlleri. Hizmetin sona ermesinde, Veri Sorumlusu'nun tercihine göre kişisel veriler iade veya imha edilir; yasal saklama yükümlülükleri (11.4) saklıdır. (a) Kullanıcı'nın hesabını silmesi, Veri Sorumlusu'nun imha talimatıdır: veriler aktif sistemlerden gecikmeksizin silinir ve Kullanıcı'ya silme belgesi verilir. (b) Ücretli dönemin bitmesi tek başına hesabı sona erdirmez; dışa aktarma açık kalır (Platform Hizmet Sözleşmesi m.6); bu maddedeki tanıma giren ücretsiz hesaplarda Deneme Üyeliği Sözleşmesi m.8 ve KVKK Politikası §12 saklıdır. (c) Hizmet'in Sağlayıcı tarafından sunulmasına son verilmesi en az otuz (30) gün önceden bildirilir (Platform Hizmet Sözleşmesi m.13). (d) Askı veya Sağlayıcı tarafından fesih hâlinde Veri Sorumlusu, askı ya da fesih bildiriminden itibaren otuz (30) gün içinde dışa aktarma paketinin ve belge orijinallerinin güvenli bir yolla kendisine iletilmesini talep edebilir; erişimin hukuka aykırı içerik ya da yetkili merci kararı nedeniyle hukuken yasak olduğu hâller saklıdır. Bu süre dolmadan veriler askı ya da fesih nedeniyle imha edilmez (Kullanım Koşulları m.11, Platform Hizmet Sözleşmesi m.13).

11.2 İade yöntemi. İade, "Verilerimi indir" dışa aktarma paketi (makinece okunur JSON/ZIP) ile yapılır; belge orijinalleri pakete gömülmez, paketteki bağlantılarla Kullanıcı'nın oturumunda Türkiye'deki kasadan indirilir. Paketteki satır sınırları aşıldığında bu durum pakette belirtilir.

11.3 Yedekler ve istisnai kopyalar. Yedekleme iki katmanlıdır. (i) Günlük veritabanı dökümlerinde son otuz (30) günlük kopya tutulur; bu katmandaki veriler en geç otuz (30) gün içinde döngüsel olarak imha edilir. (ii) Ayrıca her gece, AB'deki yedek depolama alanına (Hetzner Online GmbH — Storage Box) şifreli bir felaket kurtarma arşivi (Borg) gönderilir. Bu arşivin kapsamı: uygulama ve yönetim veritabanlarının tam dökümleri (hesap, dava, sohbet, rıza ve katkı kayıtları dâhil), yüklenen dosyalar hacmi, uygulama ağacı ve Türkiye'deki kasanın şifreli aynası. Arşiv kopyaları günlük 14, haftalık 8, aylık 6 ve yıllık 3 kopya olarak budanır; arama indeksi (Qdrant) arşivinde haftalık 8, aylık 6 ve yıllık 2 kopya tutulur. Bu nedenle aktif sistemlerden silinen bir veri yedek kopyalarda en geç üç (3) yıl içinde döngüsel olarak silinir; bu kopyalara yalnız felaket kurtarma amacıyla erişilir, içerikleri olağan işleyişte sorgulanmaz ve hizmet sunumunda kullanılmaz. Türkiye'deki kasanın AB'de tutulan kopyası şifrelidir ve çözme parolası yalnız Türkiye'dedir. 4 Ağustos 2026 tarihli olay ve devir yedek tabloları (i)'deki otuz günlük döngüye tabi değildir; bu tablolar en geç (ii)'deki yıllık arşiv budama süresi olan üç (3) yıl içinde, yani en geç 4 Ağustos 2029'da imha edilir; hesap silme işlemi bu tablolardaki Kullanıcı'ya ait satırları da silme kapsamına alır, uygulamanın bu tablolarda silme yetkisinin bulunmadığı durumda ilgili adım atlanır ve bu durum silme belgesinde gösterilir.

11.4 Yasal saklama. Veri İşleyen, mevzuatın saklamayı zorunlu kıldığı verileri (i) gizli tutar ve Ek-2'deki tedbirlerle korur, (ii) yalnız ilgili mevzuatın öngördüğü amaçla işler, (iii) saklama zorunluluğu sona erince imha eder.

11.5 İspat. Her imha, etkilenen kayıt sayılarıyla silme defterine yazılır; talep hâlinde imha teyidi verilir.

11.6 Ücretsiz hesaplar. Tanım: hesap planı şu anda ücretsiz olan (etkin deneme süresindeki ya da şu anda platform tarafından plan tanımlanmış hesaplar bu kapsamda değildir), deneme dışında hiçbir plan aboneliği — ücretli ya da platform tarafından (kurumsal/yönetici) tanımlanmış — hiç olmamış ve şu anda büro üyeliği, büro sahipliği, Büro Paketi ya da Özel Paket tanımı bulunmayan hesaplar (deneme ve Bulut Kopya eklentisi plan aboneliği sayılmaz) bakımından, KVKK Politikası §12'de sayılan içerik verileri (istisnalar aynı yerde belirtilmiştir) hesabın açılışından yaklaşık 37 gün sonra imha edilir (ayrıntı: Deneme Üyeliği Sözleşmesi m.8 ve KVKK Politikası §12). Bu imha, saklama politikası gereği günlük otomatik çalışmayla uygulanır; hesabın kabul ettiği sözleşme sürümüne bakılmaz. Veri dışa aktarma paketi süresi dolmuş hesapta da alınabilir; bu paket belge orijinallerini içermez (belgelerin yalnız üstverisi yer alır). Deneme ya da ücretli plan süresi bittikten sonra silmeye kadar belge orijinalleri panelin belge listesinden indirilemeyebilir; Yerel Kasa masaüstü uygulaması kuruluysa Buluttan Yerel Kasa'ya geçiş sihirbazıyla cihaza aktarılabilir, ancak bu yolun her durumda açık olduğu güvence altında değildir.

11.7 Hesap silme sonrası ispat arşivi. Hesap silindiğinde Kızılelma AI, kendi veri sorumlusu sıfatıyla ve hukuki uyuşmazlıklarda ispat ve savunma hakkının kullanılması amacıyla (KVKK m.5/2-e; 6098 sayılı TBK m.147'deki, sözleşmeden doğan alacaklar bakımından beş (5) yıllık zamanaşımı), silinen hesaba ait şu kayıtları ayrı bir arşive alır: kimlik ve iletişim bilgileri (ad-soyad, e-posta, telefon, doğum tarihi, rol, baro ve sicil numarası), silme sebebi ve kanalı, üyelik başlangıcı ile hesap özeti (sayımlar, abonelik ve ödeme kayıtları) açık olarak. Yapay zekâ sohbet içerikleri ile müvekkil, avukatlar arası, büro, destek ve Tevkil mesajlarının içeriği bu arşive alınmaz; bunlar hesap silmeyle birlikte imha edilir. Arşiv yalnız kimlik/iletişim bilgilerini, silme kaydını ve abonelik/ödeme özetini kapsar; müvekkile ve üçüncü kişilere ait veriler ile avukatlık sırrı kapsamındaki yazışmalar ispat amacıyla da saklanmaz (Avukatlık Kanunu m.36; GDPR m.28(3)(g)). Arşiv, silme tarihinden itibaren beş (5) yıl saklanır; saklama bitiş tarihi her kayda yazılır ve bu tarih geldiğinde kayıt imha için işaretlenir (otomatik imha mekanizması bugün kurulmamıştır). Süper yönetici arşivde mesaj içeriğini göremez; yalnız kayıt özeti ve şifreli paketin bayt sayısı görüntülenir ve her erişim yalnız-ekleme erişim kaydına yazılır; arşiv kayıtları yönetim uçlarından değiştirilemez ve silinemez. Bu arşiv 11.1-(a)'daki imha talimatının istisnasıdır; arşivdeki veriler bakımından veri sorumlusu Kızılelma AI'dır ve ilgili kişi başvuruları KVKK Politikası'ndaki usulle yapılır.

12. Denetim Hakkı

Veri Sorumlusu, uyumu doğrulamak için denetim yapabilir. Denetimler öncelikle uzaktan (belge/sertifika/anket) yürütülür; yerinde denetim ancak gerekli hâllerde, en az otuz (30) gün önceden bildirimle, mesai saatlerinde ve gizlilik yükümlülüğü altında, kural olarak yılda bir kez yapılır. Veri İşleyen, bu Protokol'deki yükümlülüklere uyumu göstermek için gereken tüm bilgileri Veri Sorumlusu'na sağlar; denetim Veri Sorumlusu'nun kendisi ya da yetkilendirdiği, gizlilik yükümlülüğü altındaki bağımsız bir denetçi tarafından yapılabilir. Geçerli sertifika/denetim raporları kanıt olarak kabul edilir. Denetimin makul masrafları, denetim Veri İşleyen'in esaslı bir ihlalini ortaya koymadıkça Veri Sorumlusu'na aittir; denetim bulguları Gizli Bilgi'dir ve Veri İşleyen'in diğer müşterilerine ait verilere erişim içeremez.

13. Sorumluluk

KVKK m.12/2 uyarınca veri güvenliği tedbirlerinin alınmasında Veri Sorumlusu ile Veri İşleyen'in müşterek sorumluluğu saklıdır; bu madde yalnız taraflar arasındaki iç ilişkiyi düzenler. İlgili kişilere karşı sorumluluk, ilgili mevzuat hükümlerine tabidir. Taraflar arası iç ilişkide, her taraf kendi yükümlülük ihlalinden doğan zarardan kusuru oranında sorumludur. Veri Sorumlusu; işlemenin hukuki dayanağı, aydınlatma, açık rıza/onam, veri minimizasyonu ve talimatların hukuka uygunluğuna ilişkin yükümlülüklerinin ihlalinden doğan ve Veri İşleyen'e yöneltilen her türlü talep, idari para cezası ve zarardan Veri İşleyen'i kusuru ölçüsünde ve Kullanım Koşulları m.10/C'deki usulle ari kılar. Veri İşleyen'in bu Protokol kapsamındaki toplam sorumluluğu, Platform Hizmet Sözleşmesi m.11'deki üst sınırla birlikte tek bir toplam sınır olarak, ilgili olaydan önceki altı (6) ayda ödenen bedel ile sınırlıdır; Veri İşleyen dolaylı ve sonuç olarak doğan zararlardan sorumlu değildir; bu sınırlar kasıt ve ağır ihmalde uygulanmaz.

14. Genel Hükümler

Çatışma hâlinde, veri koruma yükümlülükleri bakımından bu Protokol esas alınır. Veri İşleyen bu Protokol'ü mevzuata uyum için ve kişisel verilerin korunma düzeyini esaslı ölçüde düşürmemek kaydıyla güncelleyebilir; her sürüm tarih ve numarasıyla yayımlanır; taraflar mevzuat değişikliğinin gerektirdiği değişiklikleri iyi niyetle görüşür. Bu Protokol, Platform Hizmet Sözleşmesi'nin ekidir ve onunla birlikte yorumlanır. Türk hukuku uygulanır.

Ekler

Ek-1: İşleme Tanımı

Ek-2: Teknik ve İdari Tedbirler

Yönetişim/ISMS, erişim/kimlik yönetimi, şifreleme (aktarım+saklama), çok kiracılı izolasyon, loglama/izleme/olay müdahale, yedekleme/iş sürekliliği, güvenli geliştirme, tasarımdan gizlilik. (Madde 6'da özetlenmiştir.)

Ek-3: Alt İşleyen Listesi

Listenin iki bölümü. (A) Veri Sorumlusu Verisi'ni Veri Sorumlusu adına işleyen alt işleyenler — yurt dışı aktarımda Kurul'un ilan ettiği standart sözleşmenin veri işleyenden veri işleyene modülü uygulanır (Hetzner, Anthropic, Microsoft, Google, OpenAI, arama sağlayıcıları, OpenAlex, Meta). (B) Kızılelma AI'ın kendi veri sorumlusu olduğu verileri (hesap, doğrulama, ödeme) işleyen hizmet sağlayıcıları — bunlar bu Protokol'ün m.1'deki “Alt İşleyen” tanımına girmez ve yurt dışı aktarımda veri sorumlusundan veri işleyene modülü uygulanır (Türkiye kasası ve maskeleme geçidi, SMS sağlayıcısı, e-posta sağlayıcısı, PayTR).

Güvence durumu (14 Eylül 2026). Yurt dışındaki alıcılar için KVKK m.9 standart sözleşmesi — imza ve Kurum'a bildirim süreci devam ediyor; tamamlanan her imza ve bildirim bu tabloda tarihiyle gösterilecektir. Bu süreç tamamlanana kadar da düzenli aktarımların dayanağı olarak açık rıza gösterilmez: açık rıza KVKK m.9/6 uyarınca yalnız arızi (düzenli olmayan) aktarımlarda dayanak olabilir; kayıt sırasında işaretlenen kutu yurt dışında işleme konusunda bilgilendirme teyididir, açık rıza beyanı değildir; taranmış sayfa okuma, sesli mod ve mesajlaşma kanalları için ayrıca alınan açık rızalar yalnız o istisnai işlemlere ilişkindir. Müvekkil ve üçüncü kişilere ait verilerde kullanıcının açık rızası hiçbir durumda dayanak değildir. Maskeli (takma adlandırılmış) veri de KVKK bakımından kişisel veri olmaya devam eder ve bu rejime tabidir.

Alt işleyen değişiklikleri. Claude modelinin Microsoft Azure AI Foundry üzerinden çağrılması (2 Eylül 2026) ve sesli mod altyapısı (Microsoft Azure OpenAI Realtime, 3 Eylül 2026) önceden duyurulmadan devreye alınmıştır; bu sürümle listeye eklenerek bildirilmektedir. Web araması sağlayıcıları (aşağıdaki para birimi ve çeviri motorları hariç) ve yedek OpenAI modeli de 14 Eylül 2026 tarihli 1.6 sürümüyle listeye eklenmiştir; tarayıcı konuşma tanıma motoru 29 Eylül 2026'dan beri kullanılmamaktadır (dikte Azure konuşma tanımaya taşınmıştır) ve listede ayrı bir satır olarak yer almaz. unpkg (React kütüphanesinin tarayıcıya yüklenmesi) ve Google Fonts (yazı tipleri) en geç 14 Eylül 2026'dan beri (başlangıç daha önce olabilir) önceden duyurulmadan kullanılmaktadır; 15 Eylül 2026'da listeye eklenmiştir; kayıtlı kullanıcılara ayrıca bildirilecek ve Ek Protokol m.7'deki itiraz süresi bu bildirimin yapıldığı tarihten itibaren işleyecektir. 29 Ekim 2026'da her ikisinin kullanımı sona ermiştir: yazı tipleri ve React kütüphanesi artık kendi sunucularımızdan sunulmakta, bu satırlar alıcı listesinden çıkarılmıştır. Web araması altyapısında (SearXNG) sorgu para birimi dönüştürme ya da çeviri kalıbındaysa çağrılan DuckDuckGo para birimi servisi önceden duyurulmadan açık tutulmaktadır; Lingva, DictZone ve MyMemory (Translated) çeviri motorları en geç 21 Eylül 2026'dan beri kapalıdır ve alıcı listesinden çıkarılmıştır (en geç 2 Eylül 2026'dan beri; SearXNG altyapısının devreye alındığı tarih); 15 Eylül 2026'da listeye eklenmiştir; kayıtlı kullanıcılara ayrıca bildirilecek ve Ek Protokol m.7'deki itiraz süresi bu bildirimin yapıldığı tarihten itibaren işleyecektir.