Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Veri Sorumlusu

İşbu Politika kapsamındaki kişisel veri işleme faaliyetlerinde veri sorumlusu, "Kızılelma AI" markası altında hizmet veren aşağıdaki işletmedir:

İşletme, Veri Sorumluları Sicili’ne (VERBİS) 15173547 sicil numarasıyla kayıtlıdır; KVKK ve ikincil mevzuata uyum sağlar ve işlenen tüm kişisel verilerin güvenliği için gerekli teknik ve idari tedbirleri alır.

Kızılelma AI her veri türünde veri sorumlusu değildir: avukat kullanıcının yüklediği ya da UYAP'tan aktardığı dava ve müvekkil verilerinde veri sorumlusu avukat ya da bürodur, Kızılelma AI veri işleyendir. Hangi verilerde hangi sıfatla hareket ettiğimizi ve haklarınız için kime başvuracağınızı gösteren rol tablosu: Gizlilik Politikası 1/A.

2. Tanımlar

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel nitelikli kişisel veri: Sağlık, ceza mahkûmiyeti, din, üyelik, biyometrik veri gibi KVKK m.6'da sayılan veriler.
• İşleme: Verinin elde edilmesinden imhasına kadar her türlü işlem.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi (kullanıcı, müvekkil, karşı taraf, tanık vb.).
• Veri işleyen: Veri sorumlusunun talimatıyla veri işleyen taraf (örn. bulut/altyapı sağlayıcıları).
• Maskeleme (takma adlandırma): Kimlik bilgilerinin, yalnızca Türkiye'deki kasada geri çözülebilen token'larla değiştirilmesi. Maskeleme geri döndürülebilir olduğundan maskeli veri KVKK bakımından kişisel veri olmaya devam eder; TBB Yapay Zekâ Rehberi §4 Yasak 1.1 anlamında anonimleştirilmiş veri sayılmaz.

3. Kişisel Verilerin İşlenmesinde Genel İlkeler

Kişisel verileriniz KVKK m.4'te yer alan ilkelere uygun olarak işlenir:

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

4. İşlenen Kişisel Veri Kategorileri

5. Kişisel Verilerin İşlenme Amaçları

• Platform hizmetlerinin (AI asistan, içtihat/karar arama, dilekçe üretimi, belge analizi, dava yönetimi) sunulması ve iyileştirilmesi,
• Üyelik ve hesap yönetimi, kimlik doğrulama ve yetkilendirme,
• Abonelik, faturalama, ödeme ve kota süreçlerinin yürütülmesi,
• Kullanıcı taleplerinin, şikâyet ve destek başvurularının karşılanması,
• Bilgi güvenliğinin sağlanması, kötüye kullanımın ve suistimalin önlenmesi,
• Yasal yükümlülüklerin yerine getirilmesi ve yetkili makam taleplerinin karşılanması,
• İzin verilmesi hâlinde tanıtım, kampanya ve pazarlama faaliyetlerinin yürütülmesi.

Kişisel verileriniz yapay zeka modellerinin eğitiminde kullanılmaz; yalnızca size hizmet sunmak amacıyla işlenir. Tek istisna gönüllü Katkı Programı'dır: kendi isteğinizle gönderdiğiniz emsal karar, şablon, soru-cevap ya da bir yanıta yaptığınız düzeltme, moderasyondan geçtikten sonra ortak bilgi havuzuna eklenebilir ve sistemin yanıt kalitesini iyileştirmek üzere eğitim/ince-ayar veri kümesinde kullanılabilir; karşılığında hesabınıza kota kredisi tanımlanır. Katkı göndermek zorunlu değildir, normal kullanımınız kendiliğinden katkıya dönüşmez ve gönderdiğiniz bir katkının çıkarılmasını her zaman talep edebilirsiniz (bkz. Kullanım Koşulları m.9). Olumsuz geri bildirimde maskeli soru-yanıtın kalite incelemesi gibi ürün geliştirme kullanımları Veri Aktarımı Protokolü §10'da ayrıca açıklanmıştır.

Otomatik değerlendirme. Tevkil Platformu'nda eşleştirme puanı ve ceza puanına bağlı askı önerisi, yapay zekâyla değil Tevkil Platformu Koşulları m.5/A'da yayımlanan kurallarla üretilir; askı kararını bir yönetici verir; kalemler ve itiraz yolu: Gizlilik Politikası 3/A. KVKK m.11/1-g uyarınca münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhinize çıkan sonuca itiraz edebilirsiniz.

Amaç değişikliği. Verilerinizi, topladığımız amaçla bağdaşmayan yeni bir amaçla işlemeden önce sizi ayrıca bilgilendiririz. Yeni amaç açık rıza gerektiriyorsa rızanızı ayrıca alırız. Önceki bir sürüme verilmiş rıza yeni amacı kapsamaz.

6. İşlemenin Hukuki Sebepleri

Verileriniz KVKK m.5 kapsamında şu sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması/ifası (m.5/2-c): üyelik ve hizmetin sunulması,
• Hukuki yükümlülük (m.5/2-ç): mevzuattan doğan saklama/bildirim yükümlülükleri,
• Meşru menfaat (m.5/2-f): güvenlik, hata analizi, hizmet iyileştirme,
• Açık rıza (m.5/1, m.9): ticari elektronik ileti, zorunlu olmayan çerezler, Avukat Bul dizininde yayın, Katkı eğitim veri kümesi; ayrıca taranmış sayfa okuma, sesli mod ve dikte ile mesajlaşma kanalı aktarımlarında maskesiz işlemenin kendisi bakımından. Bu özelliklerde alınan açık rıza maskesiz işlemeye ilişkin ek bir onaydır; bu aktarımlar da her kullanımda tekrarlandığı için yurt dışı güvenceleri KVKK m.9 standart sözleşmesidir. Yurt dışına düzenli aktarımın (yapay zekâ işlemesi dâhil) dayanağı açık rıza değildir; açık rıza KVKK m.9/6 uyarınca yalnız arızi aktarımlarda dayanak olabilir; güvence KVKK m.9 standart sözleşmesidir (bugünkü durum: Bölüm 11).

Veri sorumlusu olduğumuz işlemelerde amaç, veri kategorisi, hukuki sebep ve alıcı grupları şöyle eşleşir:

Özel nitelikli veriler. Dava dosyalarındaki sağlık, ceza mahkûmiyeti gibi özel nitelikli verilerde veri sorumlusu avukattır. Avukat bu verileri KVKK m.6/3'teki şartlara dayanarak işler; en sık dayanak, bir hakkın tesisi, kullanılması veya korunması için zorunluluktur. Biz bu verileri veri işleyen olarak, yalnız avukatın talimatıyla ve ek güvenlik tedbirleriyle işleriz. Bunun için sizden ayrıca açık rıza almayız.

7. Özel Nitelikli Kişisel Veriler

Avukatlık faaliyeti gereği yüklediğiniz dava dosyaları sağlık, ceza mahkûmiyeti gibi özel nitelikli veriler içerebilir. Bu veriler KVKK m.6 kapsamında, ek güvenlik tedbirleriyle ve yalnızca hizmetin sunulması amacıyla işlenir. Avukat olan kullanıcı, müvekkillerine gerekli aydınlatmayı yapmak ve gereken hâllerde açık rızalarını almakla yükümlüdür.

Vatandaş Portalı. Vatandaş Portalı'nda veri sorumlusu Kızılelma AI'dır. Asistana yazdığınız soru, sağlık, ceza mahkûmiyeti, aile hayatı ya da inanç gibi özel nitelikli kişisel veri içerebilir; maskeleme geçidi yalnız kimlik tanımlayıcılarını (ad-soyad, T.C. kimlik no, telefon, e-posta, adres) kaldırır, metnin konusunu değiştirmez. Bu içerikler bakımından dayanak KVKK m.6/3-a açık rızanızdır ve soru gönderilmeden önce ayrıca onayınız istenir. Portala özel nitelikli veri ve kimlik bilgisi yazmamanızı öneririz; soru alanındaki uyarı tek başına bir hukuki dayanak değildir.

8. Veri Toplama Yöntemleri

Kişisel verileriniz elektronik ortamda, otomatik ve otomatik olmayan yöntemlerle şu kaynaklardan elde edilir:

• Sizden: üyelik formu, panel, Yerel Kasa masaüstü uygulaması, UYAP Köprüsü tarayıcı uzantısı, destek ve iletişim formları, Tevkil ve Topluluk alanları, sesli mod ve dikte.
• Otomatik olarak: oturum ve güvenlik kayıtları, IP adresi, cihaz ve tarayıcı bilgisi; panelde çerez kullanılmadan tutulan sayfa görüntüleme sayımı (sayfa yolu, yönlendiren sayfa, sekme kapanınca silinen bir oturum tanımlayıcısı ve IP adresinizin özeti — bu özet takma adlandırılmış veridir ve kişisel veri olarak korunur); Vatandaş Portalı'nda cihaz tanımlayıcısı; Tevkil belge erişiminde IP adresi. Tevkil görev raporunda konum (GPS) 21 Ekim 2026’dan beri toplanmamaktadır; bu tarihten önce kaydedilmiş konum verileri 90 günlük saklama kuralıyla silinmiştir.
• Sizin başlattığınız bağlantılardan: UYAP Köprüsü ile kendi UYAP oturumunuzdaki dosya kayıtları; e-imzanızı bağladığınızda sertifika bilgileri; büronuz kurumsal tekli oturum (SAML) kullanıyorsa kimlik sağlayıcısının ilettiği ad ve e-posta.
• Başkalarından: büro yöneticisinin ya da paylaşım sahibinin davetindeki ad ve e-posta; referans koduyla geldiyseniz referans sahibi; avukatlık sıfatınızın doğrulanması için Türkiye Barolar Birliği'nin kamuya açık avukat arama hizmeti (yöneticilerimiz elle kontrol eder).
• Avukatınızdan: müvekkil, karşı taraf ya da tanıksanız verileriniz avukatınızın yüklediği dosyalardan gelir (bkz. Gizlilik Politikası 1/A).

9. Maskeleme ve Güvenlik Mimarisi

Kızılelma AI, hukuk verilerinin hassasiyetine özgü bir mimari uygular:

• Müvekkil ve belge kimlik verileri Türkiye'de ya da (Yerel Kasa'da) kendi cihazınızda saklanır. Orijinal belgeler, belgelerdeki gerçek ad/T.C. kimlik no/iletişim bilgileri ile token↔kimlik eşlemeleri Türkiye'de, şifreli (LUKS2 / AES-256) bir kasada saklanır (Yerel Kasa'da kendi cihazınızda). Dava dosya adları, kayıtlar ve genel yapay zekâ sohbet mesajları, kimlik verileri Türkiye'de maskelendikten sonra maskeli (takma adlandırılmış) kopyalarıyla AB'deki barındırma altyapısında (Hetzner) tutulur; gerçek değerler yalnızca sizin oturumunuzda çözülür. İstisna: Dava Çalışma Alanı sohbet geçmişi ile Dilekçe Üretici'nin dava geçmişine yazdığı olgu özeti ve dilekçe metni 14 Eylül 2026'dan beri maskeli yazılmaktadır (maskeleme geçidine ulaşılamazsa satır yazılmaz; Yerel Kasa modunda sunucu bu geçmişi ayrıca maskelemez: soru ve olgu özeti kullanıcının cihazından gönderildiği, yanıt ve dilekçe metni üretildiği biçimde yazılır); bu tarihteki geçişten önce kaydedilmiş olanlar maskesiz (açık metin) olarak aynı AB veritabanında durmaktadır ve henüz maskeli hâle getirilmemiştir. Hesap bilgileriniz (ad-soyad, e-posta, telefon, abonelik) hizmetin çalıştığı AB'deki bu altyapıda tutulur.
• Maskeleme geçidi. Yapay zeka modeline veya yurt dışındaki işleme altyapısına gönderilen her metin önce Türkiye'de maskelenir; isim, T.C. kimlik no, telefon gibi tanımlayıcılar [KİŞİ_1] gibi yalnızca Türkiye'deki kasada çözülebilen token'larla değiştirilir. Metin işlemede yapay zekâ kural olarak gerçek kimlikleri görmez; açık rızaya bağlı istisnalar ile Yerel Kasa modundaki mod-bağlı istisna (kişi ve kurum adları) aşağıda sayılmıştır. Mahkeme/merci adı, tarih ve esas–karar numarası maskelenmez.
• Yapay zekâ sağlayıcıları metin işlemede maskeli metin görür. Analiz ve üretim için kullanılan modellerin tamamı tek sağlayıcıya — Microsoft Azure AI Foundry üzerinden Claude (veri işleyeni Anthropic, PBC — ABD) ve Microsoft Azure OpenAI (İsveç (ölçüldü 21.10.2026) — Global Standard; bölge taahhüdü yok) — gider ve maskelenmiş (takma adlandırılmış) metni işler. Google Gemini bugün hiçbir kullanıcı yüzeyinde devrede değildir; doğrudan Anthropic API'si ve yapılandırılmışsa OpenAI yalnız teknik yedek yollardır. Maskesiz çalışan ve yalnız ayrı açık rızayla açılan istisnalar: taranmış sayfa görüntüsü okuma (bkz. Bölüm 11), canlı sesli mod (Microsoft Azure OpenAI Realtime), mesajlaşma kanalı (WhatsApp). Dikte (sesle yazma) kullandığınızda sesiniz, canlı sesli modla aynı kaynağa (Microsoft Azure OpenAI konuşma tanıma) gönderilir; tarayıcınızın kendi konuşma tanıma motoru kullanılmaz, ses Google'a gitmez. Web araması, siz açtığınızda ve güncel tutar/oran/harç sorularında otomatik olarak çalışır; arama sağlayıcılarına yalnız arama sorgusu gider. Alıcıların ülke, veri türü ve güvence durumu tablosu Veri Aktarımı Protokolü §5'tedir.
• Veri koruma modları. Kullanıcılar iki moddan birini seçer: Şifreli Bulut Kasa — kimlik eşlemeleri ve belge orijinalleri Türkiye'deki sunucuda, şifreli (LUKS) diskte ve hesap bazında erişim denetimiyle saklanır; kimlik eşlemelerinin ayrıca kasa şifresiyle mühürlü bir kopyası tutulur. Kasa şifresi sunucuya iletilmez. Kasa açıkken yanıtlardaki takma adlar Türkiye'deki sunucuda gerçek değerlerle doldurulur; bu nedenle bu mod, platformun içeriğe teknik olarak hiç erişemediği bir mimari değildir. Şifreli Bulut Kasa kurulumunda kimlik-doğrulamalı kurtarma (e-posta + SMS doğrulaması) zorunludur ve kapatılamaz; kurtarma kaydı oluşturulamazsa kasa kurulmaz. Yerel Kasa — orijinal belgeler ve kimlik eşlemeleri masaüstü uygulaması (Windows/macOS) ile kullanıcının kendi cihazında tutulur, maskeleme cihazda yapılır ve yapay zekâ işlemesi için buluta maskeli metin iletilir (açık rızalı istisnalar hariç); bu kuralın ikinci bir istisnası olarak Dava Çalışma Alanı sorularınız ve Dilekçe Üretici olgu özetiniz kişi/kurum adları bakımından maskelenmeden yapay zekâ sağlayıcısına gider (yalnızca T.C. kimlik no, IBAN, kart no, e-posta ve cep telefonu ayrıca gizlenir; ayrıntı: Yerel Kasa indirme sayfası). İsteğe bağlı yedek (Bulut Kopya), cihazda kasa anahtarıyla mühürlenmiş ve geçitte anahtarsız, opak veri olarak tutulan bir paket olarak saklanabilir. Yerel Kasa'da kurtarma kaydı kasa panelde açıldığında otomatik oluşturulmaya çalışılır, oluşması garanti edilmez (Kullanım Koşulları m.10); kayıt oluştuysa kasa şifresi bu yolla da sıfırlanabilir ve kurtarma sırrı iki parçaya bölünerek Türkiye'deki ve AB'deki sunucularımızda şifreli saklandığından mühürlü kopya tarafımızca teknik olarak açılabilir. Kasa için e-posta + SMS kurtarma kaydı varsa bu kaydın sırrı sunucumuzda tutulduğundan paket tarafımızca teknik olarak açılabilir, kurtarma kaydı bulunmayan kasaların paketleri platform tarafından açılamaz.
• Şifreleme. Aktarımda TLS (sürüm 1.2 ve 1.3) kullanılır; kasalar ve yedekler AES-256 ile şifrelenir. İstisna: Türkiye'deki Katkı Programı veri kümesinin bulunduğu disk bölümü bugün itibarıyla tam disk şifrelemesi (LUKS) ile kurulu değildir; bu bölümdeki veriler yazılım düzeyinde erişim denetimiyle korunur, yedekleri ise şifrelidir (Rıza Metinleri §7).
• İzolasyon ve erişim kontrolü. Hesap bazlı izolasyon, rol/yetki kontrolü ve ağ izolasyonu (VPN tüneli) uygulanır; kullanıcılar birbirlerinin verilerine erişemez.
• Üyelik doğrulaması Türkiye'de. Telefon ve e-posta doğrulama kodları (OTP) Türkiye'de üretilip saklanır; doğrulama SMS'leri Türkiye'de yerleşik sağlayıcı (İnteraktif İletişim / 1SMS) ile, doğrulama/işlem e-postaları ise AB'de yerleşik e-posta altyapısı (Hostinger) üzerinden STARTTLS şifreli iletimle gönderilir.
• Model eğitimi yok. Belgeleriniz, sohbetleriniz, dilekçeleriniz ve müvekkil verileriniz hiçbir yapay zeka modelinin eğitiminde kullanılmaz. Bu, sağlayıcının kendi taahhüdüyle de desteklenir: Anthropic'in ticari şartları, kendisine gönderilen içeriğin Anthropic'in modellerini eğitmek için kullanılmasını yasaklar; taahhüt Anthropic'i bağlar. Tek istisna, kendi isteğinizle gönderdiğiniz Katkı Programı içerikleridir (bkz. Bölüm 5).

9.1. Arama sorguları

İçtihat, mevzuat, emsal ve anlamsal aramada girdiğiniz sorgu metni yalnızca Kızılelma’nın Türkiye ve AB’deki kendi arama altyapısında işlenir; üçüncü taraf bir yapay zekâ sağlayıcısına aktarılmaz ve ayrı bir arama geçmişi kaydı tutulmaz. Sorgunun anlamsal karşılığının üretilmesi (vektör) ve sonuçların yeniden sıralanması kendi sunucularımızda çalışan yerel modellerle yapılır.

Saklama ve kayıt. Sorgu metni, arama işlemi sırasında sunucuda işlenirken kısa süre bellekte bulunur; kalıcı bir kayıt bırakmaz. Ölçüm sonucu (15 Ekim 2026): arama geçmişi tablosu bulunmamaktadır; sorgu metni veritabanına yazılmamaktadır; sunucu, uygulama ve hata kayıtlarına (log) sorgu metni düşmemektedir — teşhis amacıyla yalnız sorgunun karakter uzunluğu ile geri çevrilemez kısa bir özeti kaydedilir; web sunucusu erişim kayıtları adres satırının sorgu dizesi bölümünü kaydetmez (arama sorguları adres satırında değil, isteğin gövdesinde iletilir); hız önbelleği sorguyu okunabilir biçimde değil yalnız geri çevrilemez özetiyle anahtarlar. Vektör veri tabanına (Qdrant) sorgu metninin kendisi değil, yalnızca anlamsal karşılığı olan vektör iletilir.

Kalan işleme. Sorgu metni, istek işlenirken sunucu belleğinde maskelenmemiş olarak bulunur ve yanıtla birlikte ilgili kişiye geri döner. Bu aşamada maskeleme uygulanmaması ölçüme dayalıdır: arama terimindeki özel adın düşürülmesi sonuç isabetini ölçülebilir biçimde bozmaktadır (on beş gerçek sorgu ile yapılan ölçümde ilk on sonucun örtüşmesi ortalama 1,5/10 düzeyine inmiştir). Veri minimizasyonu bu nedenle maskeleme yerine saklamama yoluyla sağlanır: metin amaçla bağlantılı, sınırlı ve ölçülü biçimde yalnızca arama işlevinin yerine getirilmesi için kullanılır ve işlem sonunda kalıcı bir kopyası tutulmaz.

Yurt dışına ya da üçüncü tarafa giden her arama yolunda — akademik literatür araması (OpenAlex), web araması, derin araştırma ve yapay zekâ çağrıları — sorgudaki kişisel veriler (ad-soyad, T.C. kimlik numarası, telefon, e-posta, adres, IBAN gibi) aktarımdan önce metinden çıkarılır; mahkeme ve kurum adları ile hukuki terimler işlevsel olarak gerekli olduğundan korunur. Bu çıkarmayı yapan maskeleme geçidine ulaşılamadığında sorgu üçüncü tarafa aktarılmaz. Sorgudan kişisel veri çıkarıldığında bu durum arama ekranında ilgili kişiye bildirilir.

Çıktı üslup tercihleri. İlgili kişinin yapay zekâ çıktılarının biçimi için yazdığı serbest metin tercih hesapta kalıcı olarak saklanır. Bu metin kayıttan önce maskeleme geçidinden geçirilir ve kişisel veriler (ad-soyad, T.C. kimlik numarası, telefon, e-posta, IBAN, adres) metinden çıkarılır; biçim/üslup tarifi korunur. Geçide ulaşılamadığında tercih kaydedilmez. Yönetici ekranlarında metnin kendisi gösterilmez; yalnız özellik, tarih ve karakter sayısı görünür.

9.2. Katkı Programı ve eğitim veri kümesi

Katkı Programı'na kendi isteğinizle gönderdiğiniz içerik (emsal karar, şablon, soru-cevap ya da bir yanıta yaptığınız düzeltme), moderasyondan geçtikten sonra iki ayrı yerde kullanılabilir: ortak bilgi havuzunda arama sonucu olarak ve sistemin yanıt kalitesini iyileştirmek üzere eğitim/ince-ayar veri kümesinde. Bu bölüm, ikincisinin nasıl yürüdüğünü 15 Ekim 2026 ölçümüne dayanarak açıklar.

Rıza nasıl alınır. Eğitim veri kümesine yazım, ayrı ve zorunlu olmayan bir onaya bağlıdır (onay defterinde KATKI_EGITIM türü). Bu onayı vermezseniz katkınız moderasyondan geçse ve havuza eklense bile eğitim veri kümesine yazılmaz; onay kaydı okunamazsa da yazılmaz (sistem şüphede yazmama yönünde kuruludur). Katkı göndermek de, eğitim onayı vermek de zorunlu değildir; normal kullanımınız kendiliğinden katkıya dönüşmez.

Rıza nasıl geri çekilir, geri çekmek ne yapar. Onayı panelde Ayarlar › Yapay Zekâ & TBB › “Açık rızalarım” bölümünden dilediğiniz zaman geri çekebilirsiniz. Bundan sonra verdiğiniz katkılar eğitim veri kümesine yazılmaz. Daha önce gönderdiğiniz bir katkıyı geri çektiğinizde ise o katkı için şunlar yapılır: katkıdan türetilmiş eğitim veri kümesi örnekleri (soru-cevap, tercih ve değerlendirme örnekleri) silinir, katkı metni ve başlığı boşaltılır, kayıt “geri çekildi” durumuna geçer ve ortak havuzdaki arama kaydı kaldırılır. Ölçüm (15 Ekim 2026): geri çekilmiş katkılara bağlı eğitim veri kümesi satırı sistemde bulunmamaktadır.

Sınırlar — olduğu gibi. Geri çekme, katkı karşılığında hesabınıza tanımlanmış kota kredisini geri almaz. Geri çekme, daha önce tamamlanmış bir model eğitiminin sonucunu geriye dönük olarak geri alamaz; yapabildiği, metnin ve ondan türetilen örneklerin veri kümesinden çıkarılması ve sonraki eğitimlerde kullanılmamasıdır. Eğitim onayına dayanan saklama için üst sınır 12 ay, onay geri alındığında ise 30 gün içinde silmedir; bu süreye bağlı otomatik silme de uygulanmaktadır (21 Ekim 2026 ölçümü; bkz. Rıza Metinleri §8) — geri çekme sırasındaki silme ise ayrıca çalışmaktadır. Bu onay türünün rıza metni Rıza Metinleri sayfasında yayımlanmıştır; onay, bu metin, bu bölümdeki açıklama ve Kullanım Koşulları m.9 esas alınarak alınmakta ve onay defterine kaydedilmektedir.

Kişisel veri. Katkı metni, platformun maskeleme hattından geçtikten sonra işlenir ve katkı gönderirken içeriğin müvekkile özgü sır içermediğini beyan etmeniz istenir. Buna karşılık katkı metnini siz yazdığınız için, içine koyduğunuz bir ad ya da ayrıntının maskelemede yakalanmaması mümkündür; bu nedenle katkıya müvekkil kimliği ya da dosya numarası yazmamanızı öneririz.

10. Kişisel Verilerin Aktarılması

Kişisel verileriniz KVKK m.8 ve m.9'daki şartlara uygun olarak; yalnızca gerekli olduğu ölçüde, hizmetin sunulması için altyapı/hizmet sağlayıcılarına (veri işleyenler), yasal yükümlülük kapsamında yetkili kamu kurum ve kuruluşlarına aktarılabilir. Tüm aktarımlar veri minimizasyonu ilkesine uygun yapılır.

Yetkili makam talepleri. Yetkili makamlara yalnız hukuken zorunlu olan asgari veri verilir. Dava ve müvekkil verilerinde veri sorumlusu avukattır (bkz. Gizlilik Politikası 1/A).

11. Yurt Dışına Aktarım (KVKK m.9)

Yapay zekâ işlemesi tek sağlayıcı altyapısında toplanmıştır; bölge taahhüdü yoktur (21 Ekim 2026, ölçüldü). Analiz, sohbet, dilekçe/taslak üretimi, yardım asistanı, Vatandaş Portalı asistanı, canlı sesli mod ve dikte dâhil yapay zekâ çağrıları tek altyapıya — Microsoft Azure AI Foundry / Azure OpenAI — gider; taranmış sayfa okuma bu kuralın istisnasıdır (aşağıdaki "Taranmış sayfaların okunması" paragrafı). Azure AI Foundry; dağıtım türü Global Standard. Azure kaynağımız İsveç (Sweden Central) bölgesindedir (21 Ekim 2026 ölçümü); bu dağıtım türünde çıkarımın hangi ülkede yapılacağı taahhüt edilmez ve ölçülen kaynak bölgesi, Claude çıkarımının yapıldığı yeri göstermez. Bu nedenle yapay zekâ işlemesi bakımından yurt dışına aktarımın belirli bir ülke ya da bölgeyle sınırlı olduğu beyan edilemez; aktarım KVKK m.9 kapsamında olmaya devam eder ve güvence süreci (Kurul'un ilan ettiği standart sözleşme + imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirim — Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/5) sürmektedir; süreç henüz tamamlanmamıştır. Claude modelinin veri işleyeni Anthropic, PBC (ABD)'dir — Anthropic, Microsoft için bağımsız veri işleyen olarak hareket eder; Azure AI Foundry yalnız dağıtım ve altyapı katmanıdır. Sağlayıcı, çıkarım için bir AB/AEA veri ikametgâhı seçeneği sunmamaktadır. Doğrudan Anthropic API'si (ABD) yalnız Azure AI Foundry yolu kurulamazsa devreye giren teknik yedek yoldur; Google Gemini bugün hiçbir kullanıcı yüzeyinde devrede değildir.

Yapay zekâ işlemesi için yurt dışına aktarım kural olarak maskeli (takma adlandırılmış) metinle yapılır; maskeli veri de kişisel veridir ve KVKK m.9 kapsamındadır. Hesap verileriniz ve maskeli içerik AB'deki barındırma altyapısında tutulur; Dava Çalışma Alanı ve Dilekçe Üretici geçmişinin 14 Eylül 2026'daki geçişten önce kaydedilmiş kayıtları da bu altyapıda maskesiz durmaktadır (Veri Aktarımı Protokolü §2). Maskesiz istisnalar — taranmış sayfa görüntüsü okuma, canlı sesli mod ve dikte (aynı ses aktarımı rızası) ve mesajlaşma kanalları — yalnız ayrı açık rızanızla çalışır. Bunlara ek olarak, Yerel Kasa modunda Dava Çalışma Alanı ve Dilekçe Üretici geçmişinin kişi/kurum adı bakımından maskelenmeden gönderilmesi ayrı bir istisnadır (açık rızaya değil mod seçimine bağlıdır; ayrıntı: Bölüm 9). Alıcıların ülke, veri türü (maskeli/maskesiz) ve güvence durumu tablosu Veri Aktarımı Protokolü §5'tedir.

Halka açık sayfalarda analiz. Halka açık internet sayfalarımızda, yalnız Performans/Analiz çerez rızanız varsa Google Analytics 4 çalışır; bu hâlde çerez tanımlayıcıları, IP adresi, ziyaret edilen sayfa ve tarayıcı bilgisi Google Ireland Ltd. / Google LLC'ye (ABD) aktarılır. Panel, giriş, kayıt, ödeme ve yönetim sayfalarında bu betik yüklenmez. Ayrıntı: Çerez Politikası m.4.

Güvence durumu. Yurt dışındaki alıcılara aktarılan veriler KVKK m.9'a tabidir; maskeli (takma adlandırılmış) metin de buna dâhildir, çünkü maskeli veri de kişisel veridir. Bu alıcıların bulunduğu ülkeler için Kurul'un ilan ettiği bir yeterlilik kararı bulunmadığından aktarımın güvencesi Kurul'un ilan ettiği standart sözleşmedir; standart sözleşme imzalandıktan sonra beş (5) iş günü içinde Kurum'a bildirilir (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/5). Standart sözleşmelerin imzalanması ve Kurum'a bildirilmesi süreci yürütülmektedir; bugün itibarıyla tamamlanmamıştır. Bu nedenle yurt dışına aktarımın KVKK m.9 kapsamında tamamlanmış bir güvencesi bulunmamaktadır; hiçbir metnimiz imzalanmış bir standart sözleşmenin bulunduğunu beyan etmez. Tamamlanan her imza ve bildirim Veri Aktarımı Protokolü §5 tablosunda tarihiyle gösterilecektir. Kayıt sırasında işaretlediğiniz kutu bir bilgilendirme teyididir: kişisel verilerinizin kural olarak maskelenerek yurt dışında işlendiği konusunda bilgilendirildiğinizi teyit eder. Açık rıza beyanı değildir ve yurt dışına aktarımın hukuki dayanağı da değildir. Bu teyit hizmetin kurulabilmesi için istenir; tam bu nedenle açık rıza olarak nitelendirilmemektedir — hizmet şartına bağlanan bir onay KVKK m.5/1 anlamında özgür iradeye dayanmış sayılmaz. Kutunun kayıt ekranındaki metni bu belgedeki ifadeyle aynıdır. Rıza defterinde bu teyidin bugün hâlâ açık rıza çağrışımı taşıyan bir tür adıyla kayıtlı olması teknik bir ad kalıntısıdır ve kaydın niteliğini değiştirmez; tür adının "yurt dışında işleme bilgilendirmesi" olarak düzeltilmesi çalışması sürmektedir. Açık rıza, KVKK m.9/6 uyarınca yalnız arızi (düzenli olmayan) aktarımlarda dayanak olabilir; bu nedenle yapay zekâ işlemesi gibi her kullanımda tekrarlanan aktarımların dayanağı olarak gösterilmez. Müvekkil ve üçüncü kişilere ait verilerde kullanıcının açık rızası hiçbir durumda dayanak değildir.

Taranmış sayfaların okunması. Taranmış (fotokopi/görüntü biçimindeki) belgelerde sayfa üzerinde makineyle okunabilir metin bulunmaz; güvenilir metin çıkarmanın tek yolu görüntünün yapay zekâ ile okunmasıdır. Bu kapsam el yazması ve bozuk taramalarla sınırlı değildir: matbu da olsa, sayfa görüntü biçimindeyse metni ancak bu yolla çıkarılabilir. Bu nedenle yalnızca taranmış sayfaların görüntüsü, açık rızanızla, Türkiye’deki geçidimiz üzerinden yapay zekâ görüntü okuyucusuna (Anthropic — Claude, Microsoft Azure AI Foundry üzerinden; dağıtım türü Global Standard, işleme yeri taahhüt edilmez, veri işleyen Anthropic, PBC — ABD. Foundry yolu kurulamazsa doğrudan Anthropic API'si — ABD; ona da erişilemezse yedek olarak Microsoft Azure OpenAI — kaynak bölgesi İsveç (Sweden Central), ölçüldü 21.10.2026) iletilir ve metne çevrilir. Sayfa görüntüleri, üzerlerindeki bilgiler maskelenmeden iletilir; görüntüde metin ayrıştırılamadığı için maskeleme sayfa okunmadan yapılamaz. Dijital belgeler (UDF, Word, metin katmanlı PDF) bu kapsamda değildir: onların metni bilgisayarınızda okunur, görüntüsü hiçbir yere gönderilmez. Görüntü gidip gelen bir veridir: bizim sistemlerimizde saklanmaz — ne Türkiye’deki geçidimizde ne de Avrupa’daki sunucumuzda diske yazılır, kopyası veya yedeği tutulmaz; yalnız aktarım süresince bellekte kalır. Görüntüyü okuyan hizmet sağlayıcısı, kötüye kullanım denetimi amacıyla sınırlı süreli geçici kayıt tutabilir; bu kaydın süresi sağlayıcının ticari koşullarına tabidir ve yazılı teyidi beklenmektedir. Görüntü ve ondan çıkarılan metin, sağlayıcı tarafından model eğitiminde kullanılmaz. Her aktarım denetim günlüğüne yazılır (kim, hangi belge, kaç sayfa, ne zaman); günlükte görüntünün kendisi tutulmaz. Belgenin orijinali kasanızda kalır; buluta, okunan metnin maskelenmiş hâli gider. Kapsam: kural olarak yalnız okunamayan sayfalar gönderilir; ancak belgeyi açıp “Tümüyle buluta okut” seçeneğini kendiniz kullanırsanız, o belgenin okunabilen sayfaları dâhil tüm sayfalarının görüntüsü gönderilir. Rıza vermezseniz hiçbir görüntü çıkmaz — bu durumda taranmış belgelerden metin çıkarılamaz, sistemin diğer işlevleri çalışmaya devam eder. Rıza bir kez alınır ve hesabınızda saklanır; siz geri çekene kadar sonraki yüklemeler için de geçerlidir. Dilediğiniz zaman geri çekebilirsiniz; geri çektiğinizde taranmış belgelerden metin çıkarılmaz. Ayrıntı: Veri Aktarımı Protokolü.

12. Saklama ve İmha

Aşağıdaki süreler, her satırda ayrıca tarih verilenler o tarihte olmak üzere, en son 21 Ekim 2026 ölçüm tarihi itibarıyla sistemde fiilen uygulanan kurallardır; “hedef” olarak işaretlenen süreler henüz otomatik uygulanmayan, devreye alınması planlanan sürelerdir. “Otomatik silme: Yok” yazan kategorilerde veri, siz silene, hesabınız silinene ya da talebiniz karşılanana kadar kalır. Periyodik imha (§12/A). Saklama süresi dolan ya da işleme amacı ortadan kalkan kişisel veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik m.11 uyarınca en geç altı (6) ayda bir yapılan periyodik imha işlemiyle silinir, yok edilir ya da anonim hâle getirilir; her imha işlemi kayıt altına alınır. Aşağıdaki tabloda “Otomatik silme: Yok” yazan kalemler de bu periyodik imha kapsamındadır. İstisna: hesap planı şu anda ücretsiz olan (etkin deneme süresindeki ya da şu anda platform tarafından plan tanımlanmış hesaplar bu kapsamda değildir), deneme dışında hiçbir plan aboneliği — ücretli ya da platform tarafından (kurumsal/yönetici) tanımlanmış — hiç olmamış ve şu anda büro üyeliği, büro sahipliği, Büro Paketi ya da Özel Paket tanımı bulunmayan hesaplar (deneme ve Bulut Kopya eklentisi plan aboneliği sayılmaz) bakımından içerik verileri aşağıdaki otomatik silme satırına tabidir.

Süre dolduğunda ya da amaç ortadan kalktığında veriler silinir, yok edilir veya anonim hâle getirilir. Hesap silme; dava, müvekkil, belge, dilekçe, not, takvim, sohbet kayıtlarını ve kasanızı kapsar. Hesap silindiğinde ayrıca, Kızılelma AI'ın kendi veri sorumlusu sıfatıyla hukuki uyuşmazlıklarda ispat ve savunma hakkını kullanabilmesi amacıyla (KVKK m.5/2-e; 6098 sayılı TBK m.146'daki on yıllık genel zamanaşımı) kimlik ve iletişim bilgileriniz açık, yapay zekâ sohbet içerikleriniz ile müvekkil, avukat, büro, destek ve Tevkil mesajlarınız yalnız açık anahtarla şifrelenmiş olarak, silme tarihinden itibaren beş (5) yıl süreyle ayrı bir arşivde saklanır; süper yönetici arşivde mesaj içeriğini göremez (yalnız bayt sayısı görüntülenir), saklama bitiş tarihi her kayda yazılır ve süre sonunda kayıt imha için işaretlenir. Rol sınırı. Bu arşivde müvekkil, avukat ve büro mesajları ile yapay zekâ sohbet içerikleri yalnız açık anahtarla şifrelenmiş olarak tutulur ve tarafımızca okunamaz; arşivin ispat amacıyla açılması ancak bir uyuşmazlıkta ve yetkili merci talebiyle söz konusu olabilir. Bu veriler bakımından veri sorumlusu avukat olduğundan, avukatın Ek Protokol m.11.7 uyarınca iade ya da imha talimatı vermesi hâlinde ilgili şifreli kayıtlar talimat doğrultusunda imha edilir. Ayrıntı: Ek Protokol m.11.7. Hesap silme, 4 Ağustos 2026 tarihli olay ve devir yedek tablolarındaki size ait satırları da kapsar. Geri bildirim ve Katkı kayıtlarınız (Katkı'dan türetilen veri kümesi örnekleri dahil) ile yapay zekâ çıktı köken ve olay kayıtlarınız da bu işlemle silinir. Rıza ve denetim kayıtları ispat amacıyla, ödeme, fatura ve abonelik kayıtları yasal saklama süresince tutulur; dilekçe havuzuna lisans onayıyla verdiğiniz anonim metinler hesap silmeyle silinmez. Bunların silinmesini info@kizilelmahukuk.ai adresinden ayrıca talep edebilirsiniz (yasal saklama yükümlülükleri saklıdır).

12/A. Veri İhlali

Kişisel verilerinizi etkileyen bir ihlali öğrenmemizden itibaren etkilenen tüm kullanıcılara gecikmeksizin ve en geç 48 saat içinde, hesabınıza kayıtlı e-posta adresi üzerinden haber veririz. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini, tahmini kişi sayısını, olası sonuçları ve alınan/önerilen tedbirleri içerir. Veri sorumlusu olduğumuz veriler (bkz. Gizlilik Politikası 1/A) bakımından Kişisel Verileri Koruma Kurulu'na, KVKK m.12/5 ve Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca ihlali öğrenmemizden itibaren gecikmeksizin ve en geç yetmiş iki (72) saat içinde bildirim yapılır; bu süre içinde bildirilemezse gecikmenin gerekçesi bildirime eklenir. Avukat kullanıcının yüklediği dava ve müvekkil verilerinde veri sorumlusu avukattır; bu hâlde Kurul'a ve ilgili kişilere bildirim için gereken bilgi ve destek gecikmeksizin ve en geç 48 saat içinde sağlanır (Kullanım Koşulları m.10/B, Platform Hizmet Sözleşmesi m.9; veri işleyen sıfatıyla bildirimin kapsamı: Ek Protokol m.9).

13. İlgili Kişinin Hakları (KVKK m.11)

• Kişisel verinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme,
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik/yanlış işlenmişse düzeltilmesini, şartları oluşmuşsa silinmesini/yok edilmesini isteme ve bunların aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik analiz sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme.

14. Başvuru Yöntemi ve Süreç

Nasıl başvurulur. KVKK m.11'deki haklarınız için başvurunuzu Türkçe olarak şu yollardan biriyle iletebilirsiniz:

• ıslak imzalı yazılı dilekçeyle tebligat adresimize (Bölüm 1);
• güvenli elektronik imza ya da mobil imzayla imzalanmış olarak info@kizilelmahukuk.ai adresine;
• hesabınıza kayıtlı (sistemimizde bulunan) e-posta adresinizden info@kizilelmahukuk.ai adresine.

Başvuruda bulunması gerekenler (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5/2):

• adınız-soyadınız ve yazılı başvuruda imzanız;
• T.C. kimlik numaranız (yabancıysanız uyruğunuz ve pasaport ya da kimlik numaranız);
• tebligata esas yerleşim yeri ya da iş yeri adresiniz;
• varsa bildirime esas e-posta adresiniz ve telefonunuz;
• talebinizin konusu.

Başkası adına başvuruyorsanız, temsil yetkinizi gösteren belgeyi (örneğin vekâletname) ekleyin. Başvurunun size ait olduğunu doğrulamak için gerekirse ek bilgi isteyebiliriz; bu bilgiyi yalnız başvuruyu sonuçlandırmak için kullanırız.

Süre, ücret, yanıt. Başvurunuzu niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz sonuçlandırırız. İşlem ayrıca bir maliyet gerektirirse Kurul'un belirlediği tarifedeki ücret alınabilir. Talebinizi kabul eder ya da gerekçesini açıklayarak reddederiz; yanıtımızı yazılı olarak ya da elektronik ortamda iletiriz (KVKK m.13).

Kurul'a şikâyet. Başvurunuz reddedilirse, yanıtı yetersiz bulursanız ya da süresinde yanıt verilmezse Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (KVKK m.14). Süre, yanıtı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gündür.

Panelden kendiniz yapabilecekleriniz.

• Hesabınızı silebilirsiniz.
• Silmeden önce hangi verilerin silineceğini görebilirsiniz (silme önizlemesi).
• Verilerinizi dışa aktarma paketiyle indirebilirsiniz.
• İsteğe bağlı açık rızalarınızı panelde Ayarlar › Yapay Zekâ & TBB › “Açık rızalarım” bölümünden geri çekebilirsiniz.

Müvekkil verileri. Avukatın yüklediği dosya içeriklerine ilişkin başvurular için Gizlilik Politikası 1/A'ya bakın.

15. Politikadaki Değişiklikler

Bu Politika gerektiğinde güncellenir. Güncel sürüm bu sayfada yayımlanır ve yayım tarihinden itibaren geçerli olur.

Yayım tarihi: 1 Kasım 2026 · Sürüm: 2.7