GDPR Statement

1. Veri Sorumlusu ve İletişim

GDPR (AB 2016/679) kapsamında, AB'de bulunan ilgili kişilere yönelik işleme bakımından veri sorumlusu Kızılelma AI Software (Anıl Talha BULDUKLU)'dir.

GDPR'ın uygulanma bağlantısı ve AB temsilcisi (Art. 3, Art. 27). Kızılelma AI hizmetlerini Türkiye'deki avukatlara, hukuk bürolarına ve Türkiye'de bulunan kişilere yönelik sunar; AB'de bulunan kişilere mal veya hizmet sunmayı hedeflemez (AB dillerinde satış yapılmaz, AB para birimlerinde fiyatlandırma ve AB'ye yönelik tanıtım yoktur) ve AB'deki kişilerin davranışlarını izlemez. Bu nedenle Art. 3(2) kapsamında bulunmadığımızı değerlendiriyoruz ve bugün Art. 27 uyarınca atanmış bir AB temsilcimiz yoktur. Buna karşılık, AB'de yerleşik bir müşterimiz adına ya da AB'de bulunan bir ilgili kişinin verisi bakımından işleme yaptığımız hâllerde bu bildirimdeki bilgileri ve Art. 28 yükümlülüklerini uygularız; AB'de yerleşik kurumsal müşteriler bakımından veri işleyen sıfatıyla AB Standart Sözleşme Hükümleri (Modül 2) çerçevesi geçerlidir (SCC). Bu değerlendirme değişirse temsilci atanır ve unvanı, adresi ile iletişim bilgisi bu bölüme yazılır.

2. İşlenen Veriler ve Amaçlar (Art. 13)

• Hesap/kullanım verileri: platform işletimi, hesap yönetimi, faturalama, destek — hukuki dayanak: sözleşme (Art. 6/1-b) ve meşru menfaat (Art. 6/1-f). İzlediğimiz meşru menfaatler (Art. 13(1)(d)): hesap ve hizmet güvenliği, kötüye kullanım ve dolandırıcılığın önlenmesi, Vatandaş Portalı'nda kota denetimi, olumsuz geri bildirim verilen yanıtların kalite incelemesi ve hukuki taleplerin kurulması, kullanılması ya da savunulması. Türk vergi ve ticaret mevzuatındaki saklama yükümlülükleri, Art. 6(3) uyarınca Art. 6/1-c yalnız AB ya da üye devlet hukukundaki bir yükümlülüğe dayanabileceği için, GDPR bakımından Art. 6/1-f kapsamında değerlendirilir.
• Verilerin verilmesi zorunlu mu (Art. 13(2)(e))? Hesap bilgileri ile kimlik ve avukatlık sıfatı doğrulaması verileri sözleşmenin kurulması için gereklidir; verilmezse hesap açılamaz ve hizmet sunulamaz. Diğer veriler (örneğin ticari ileti tercihi, Katkı Programı içerikleri, isteğe bağlı profil alanları) isteğe bağlıdır; verilmemesi hizmetin kullanımını engellemez.
• Sizden elde edilmeyen veriler (Art. 14). Bazı verileri sizden değil, başka kullanıcılardan ya da platform kayıtlarından elde ederiz: Tevkil Platformu'nda diğer avukatların hakkınızdaki değerlendirmeleri ve ceza kayıtları, büro sahibinin sizi büroya eklerken girdiği bilgiler ve referans/satış ortaklığı kayıtları. Bu verilerin kategorileri bunlardır; kaynakları ilgili kullanıcılar ve platformun kendi işlem kayıtlarıdır.
• Yüklenen içerik (müşteri içeriği): içeriği yükleyen kullanıcı (avukat, büro veya şirket — tüm hesaplar) adına işlenir; bu kapsamda veri işleyen sıfatıyla hareket edilir.
• Çerez/izleme verileri: teknik zorunlu çerezler için meşru menfaat; analitik/pazarlama için açık rıza (Art. 6/1-a).

Veriler model eğitiminde kullanılmaz; tek istisna, kullanıcının Katkı Programı'na ayrı onayla gönderdiği içeriklerdir (Veri Aktarımı Protokolü §10).

3. Alıcılar

Barındırma altyapısı: Hetzner Online GmbH (AB — Finlandiya/Almanya). Yapay zekâ işlemesi 21 Ekim 2026'dan beri tek sağlayıcı altyapısında toplanmıştır: Microsoft Azure AI Foundry üzerinden Claude (Claude bakımından veri işleyen Anthropic, PBC — ABD; Anthropic Microsoft için bağımsız veri işleyen olarak hareket eder, Foundry yalnız dağıtım ve altyapı katmanıdır; dağıtım türü Global Standard, bölge taahhüdü yoktur — 21 Ekim 2026 ölçümünde istekler İsveç'te işlendi) ve Microsoft Azure OpenAI — metin işlemede maskeli (takma adlandırılmış) metin alır. Doğrudan Anthropic API'si (ABD) ve yapılandırılmışsa OpenAI (ABD) yalnız teknik yedek yoldur; Google Gemini 21 Ekim 2026'dan beri hiçbir kullanıcı yüzeyinde devrede değildir ve teknik yedek zincirinde son sıradadır. Maskesiz istisnalar yalnız açık rızayla: taranmış sayfa okuma (birincil okuyucu Azure AI Foundry üzerinden Claude; Foundry yolu kurulamazsa doğrudan Anthropic API'si, ABD; yedek Microsoft Azure OpenAI), canlı sesli mod ve dikte (Microsoft Azure OpenAI Realtime / konuşma tanıma), mesajlaşma kanalı (WhatsApp — Meta Platforms). Ayrıca web araması sağlayıcıları, akademik literatür indeksi (OpenAlex / OurResearch, ABD), e-posta ve SMS sağlayıcıları, Türkiye'deki şifreli kasa/maskeleme geçidi, PayTR ve — yalnız halka açık sayfalarda ve yalnız analiz çerezine açık rıza verirseniz — Google Analytics 4 (Google Ireland Ltd. / Google LLC, ABD). Tam liste, ülke ve güvence durumu: Veri Aktarımı Protokolü §5. Microsoft hizmetlerinde Microsoft Ürün DPA'sı, diğerlerinde ticari API/hizmet koşulları uygulanır.

4. Üçüncü Ülkelere Aktarım (Bölüm V)

Müvekkil ve belge kimlik verileri Türkiye'de ya da (Yerel Kasa'da) kullanıcının cihazında saklanır; hesap verileri ve maskeli içerik AB'deki barındırma altyapısındadır. ABD'deki alıcılara metin işlemede maskeli veri, açık rızalı istisnalarda maskesiz veri gider. Bölüm V kapsamındaki durum — bugünkü gerçek hâl. Türkiye için Avrupa Komisyonu'nun yeterlilik kararı yoktur; ABD'deki alıcılar bakımından AB–ABD Veri Gizliliği Çerçevesi (DPF) sertifikasyonuna dayanıldığı yönünde bir beyanda bulunmuyoruz, çünkü alıcı bazında sertifika durumu tarafımızca doğrulanmış değildir. AB Standart Sözleşme Hükümleri (2021/914) metni bu sitede bilgi amaçlı yayımlanmıştır (SCC) ve AB'de yerleşik kurumsal müşterilerden Kızılelma AI'a yapılan aktarımlar bakımından Modül 2 çerçevesini tanımlar; bunun dışındaki aktarımlar için bugün GDPR Art. 46(2)(c) uyarınca imzalanmış bir Standart Sözleşme Hükümleri belgesi bulunmamaktadır. Bir güvence imzalandığında, hangi alıcı için hangi mekanizmanın geçerli olduğu ve imza tarihi Veri Aktarımı Protokolü §5 tablosunda gösterilir; imzalı hükümlerin bir kopyasını info@kizilelmahukuk.ai adresinden isteyebilirsiniz (Art. 13(1)(f)). Türkiye'ye aktarım bakımından KVKK m.9 standart sözleşmesinin imza ve Kurum'a bildirim süreci de devam etmekte olup henüz tamamlanmamıştır; KVKK m.9 sözleşmesi GDPR bakımından bir Bölüm V güvencesi değildir.

5. Saklama Süresi

Hesap verileri ve müşteri içeriği: hesap açık olduğu sürece; hesap planı şu anda ücretsiz olan (etkin deneme süresindeki ya da şu anda platform tarafından plan tanımlanmış hesaplar bu kapsamda değildir), deneme dışında hiçbir plan aboneliği — ücretli ya da platform tarafından (kurumsal/yönetici) tanımlanmış — hiç olmamış ve şu anda büro üyeliği, büro sahipliği, Büro Paketi ya da Özel Paket tanımı bulunmayan hesaplar (deneme ve Bulut Kopya eklentisi plan aboneliği sayılmaz) bakımından içerik verileri hesabın açılışından yaklaşık 37 gün sonra otomatik silinir (kapsam ve istisnalar: KVKK Politikası §12; bazı içerikler bu silmeye dahil değildir); hesap silinince aktif sistemlerden silinir. Hesap silindikten sonra, hukuki taleplerin kurulması, kullanılması ya da savunulması amacıyla (Art. 6/1-f; Art. 17(3)(e)) kimlik ve iletişim bilgileriniz açık, yapay zekâ sohbet içerikleriniz ile müvekkil, avukat, büro, destek ve Tevkil mesajlarınız açık anahtarla şifrelenmiş olarak, silme tarihinden itibaren 5 yıl ayrı bir arşivde tutulur (Ek Protokol m.11.7). Rıza ve aydınlatma onay kayıtları ispat amacıyla süre sınırı olmaksızın; ödeme, fatura ve abonelik kayıtları vergi mevzuatındaki süre boyunca; Katkı Programı'ndan türetilen eğitim veri kümesi satırları en çok 12 ay (onay geri alınırsa 30 gün içinde silme) tutulur. Destek ve şikâyet metinleri 180 günde anonimleştirilir. Yedekler: veritabanı her gece yedeklenir ve son 30 kopya tutulur (yaklaşık 30 gün); ayrıca AB'de bulunan şifreli bir felaket kurtarma arşivi (Borg, Hetzner Storage Box) günlük 14, haftalık 8, aylık 6 ve yıllık 3 kopya saklar — silinen veri günlük dökümlerden en geç 30 gün, bu arşivden en geç 3 yıl içinde döngüsel olarak düşer; yedeklere yalnız felaket kurtarma amacıyla erişilir (4 Ağustos 2026 tarihli olay/devir yedek tabloları: süre sınırı tanımlanmamış). Güvenlik ve denetim kayıtları: 2555 gün (7 yıl) sonra otomatik silinir. Kategori bazlı tam tablo: KVKK Politikası §12. İlke: yalnızca gerekli olduğu sürece (Art. 5/1-e).

6. İlgili Kişi Hakları

Erişim (Art.15), düzeltme (16), silme (17), kısıtlama (18), taşınabilirlik (20), itiraz (21), rızayı geri çekme (7/3) ve denetim makamına şikâyet hakkı. Müşteri içeriğine ilişkin talepler için önce ilgili avukata ya da hukuk bürosuna (veri sorumlusu) başvurmanız gerekebilir: bir avukatın müvekkili, karşı tarafı, tanığı ya da dosyada adı geçen kişiyseniz veri sorumlusu avukatınız ya da bürosudur, işvereniniz değildir. Denetim makamına şikâyet hakkınızı, mutad meskeninizin ya da iş yerinizin bulunduğu üye devletin denetim makamı nezdinde kullanabilirsiniz (Art. 77).

7. Otomatik Karar Verme

Yapay zekâ taslak/öneri üretir; çıktılar hukuki tavsiye değildir ve kullanıcı tarafından gözden geçirilir. Yapay zekâ çıktıları bakımından Art. 22 anlamında hukuki sonuç doğuran "tamamen otomatik" bir karar bulunmaz.

Tevkil Platformu'nda kurala dayalı iki otomatik işlem vardır (yapay zekâyla değil, Tevkil Platformu Koşulları m.5/A'da yayımlanan kurallarla yapılır):

• Eşleştirme puanı (profil oluşturma). Bir ilana uygun avukatlar 0–100 arası bir uyum puanıyla sıralanır. Puana adliye/şehir ve mesafe uyumu, görev türü ve uzmanlık, rozet ve itibar puanı, yanıt süresi ve tamamlama oranı, müsaitlik, doğrulama ve mesleki sorumluluk sigortası girer; ilan sahibine gösterilmeyen disiplin kalemleri (ceza puanı, göreve gitmeme ve geç rapor geçmişi, askı) ile ücret beklentisi de sıralamayı etkiler.
• Askı önerisi. Toplam ceza puanı 60'a ulaştığında sistem otomatik olarak bir askı önerisi oluşturur; Tevkil hesabının 30 gün süreyle askıya alınmasına bir yönetici karar verir ve öneri onaylanmadıkça hesap askıya alınmaz (24 Eylül 2026'dan beri).

Önemi, sonuçları ve haklarınız (Art. 13(2)(f), Art. 22). Bu işlemler Tevkil'deki mesleki fırsatlarınızı etkileyebilir: düşük eşleştirme puanı ilanlarda daha geride sıralanmanıza, askı kararı 30 gün yeni görev alamamanıza yol açar. Askı kararı insan onayına bağlı olduğundan Art. 22(1) anlamında "yalnızca otomatik işlemeye dayanan" bir karar değildir; yine de her ceza kaydına Tevkil ceza itirazı sayfasından gerekçeli itiraz edebilir, insan müdahalesi talep edebilir, görüşünüzü bildirebilir ve karara itiraz edebilirsiniz (Art. 22(3) ile aynı güvenceler). Bu yol, Art. 77 uyarınca denetim makamına şikâyet ve KVKK m.13 uyarınca bize başvurma hakkınızı sınırlamaz. Türk hukuku bakımından aynı açıklama KVKK m.11/1-g kapsamında Gizlilik Politikası 3/A'da yer alır.

8. DPA (Art. 28) Özeti

Tüm kullanıcı hesapları için veri işleyen yükümlülükleri, kayıtta kabul edilen Ek Protokol (DPA) ile düzenlenir: talimatla işleme, gizlilik, TOM (Art.32), alt işleyenler, ihlal bildirimi, denetim, iade/imha.

9. İletişim

info@kizilelmahukuk.ai · +90 531 796 53 83