Kişisel Verilerin Korunması

Bölüm 1

Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

İşbu Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, veri sorumlusu sıfatıyla hareket eden aşağıda bilgileri yer alan Şirket tarafından, yapay zeka destekli hukuk teknolojisi platformu, buna bağlı internet sitesi, kullanıcı paneli, uygulama ara yüzleri, entegrasyonlar, destek süreçleri, iletişim kanalları ve bağlantılı tüm hizmetler (birlikte "Platform") kapsamında işlenen kişisel verilere ilişkin olarak ilgili kişilerin bilgilendirilmesi amacıyla hazırlanmıştır.

1. Kapsam ve İlgili Kişi Grupları

İşbu Aydınlatma Metni aşağıdaki ilgili kişi gruplarını kapsamaktadır:

• Platform'a üye olan veya Platform'u kullanan bireysel kullanıcılar
• Kurumsal müşteri adına kullanıcı hesabı açılan çalışanlar, yöneticiler ve yetkililer
• Platform'a belge, metin, olay akışı, dava içeriği, sözleşme, dilekçe, iç yazışma veya benzeri veri yükleyen kullanıcılar
• Destek talepleri, satış görüşmeleri, demo talepleri, iletişim formları ve teklif süreçleri kapsamında verisi işlenen kişiler
• İnternet sitesi, kullanıcı paneli, entegrasyon ve iletişim kanalları üzerinden veri sağlayan gerçek kişiler

Kullanıcıların Platform'a yükledikleri belge ve içeriklerin müvekkil bilgisi, karşı taraf bilgisi, tanık bilgisi veya üçüncü kişilere ait kişisel veriler içerebileceği göz önünde bulundurularak; bu verilerin işlenmesinden önce ilgili üçüncü kişilerin KVKK kapsamındaki haklarına ilişkin bilgilendirilmesi ve gerektiğinde açık rızalarının alınması Kullanıcı'nın sorumluluğundadır.

Platform yalnızca 18 yaşını doldurmuş ve tam medeni haklarını kullanma ehliyetine sahip gerçek kişilerin kullanımına yöneliktir.

2. Kişisel Verilerin İşlenmesinde Benimsenen Genel İlkeler

Şirket, KVKK'nın 4. maddesi uyarınca kişisel verileri aşağıdaki temel ilkelere bağlı kalarak işlemektedir:

• Hukuka ve dürüstlük kurallarına uygun işleme
• Verilerin doğru ve güncel tutulması
• Belirli, açık ve meşru amaçlarla işleme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma (veri minimizasyonu)
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme

3. İşlenen Kişisel Veri Kategorileri

3.1 Kimlik Verileri

Ad, soyad, unvan, kullanıcı adı, baro sicil numarası, şirket/büro adı ve vergi kimlik numarası.

3.2 İletişim Verileri

E-posta adresi, telefon numarası, iş adresi, iletişim formu içerikleri ve mesajlar.

3.3 Mesleki Veriler

Çalışılan büro veya şirket bilgisi, görev ve yetki düzeyi, faturalama ve kurumsal abonelik bilgileri.

3.4 İşlem Güvenliği Verileri

IP adresi, oturum bilgileri, cihaz ve tarayıcı bilgileri, erişim logları, hata kayıtları, güvenlik olayı kayıtları ve ağ trafik verileri.

3.5 Kullanım ve Davranış Verileri

İşlem geçmişi, yapay zeka sorgularının içeriği ve geçmişi, belge geçmişi, Platform tercihleri, özellik erişim kayıtları, destek talep içerikleri, hesabın açılmasına aracılık eden kampanya bilgisi ve çerez tercihi kayıtları.

3.6 Hukuki İçerik Verileri

Kullanıcıların Platform'a yüklediği veya Platform üzerinde oluşturduğu dilekçeler, sözleşmeler, müzekkereler, ihtarnameler, uyuşmazlık dosyaları, bilirkişi raporları, yazışmalar, notlar, müvekkil adları ve iletişim bilgileri, hukuki belgeler ve tutanaklar. Bu veriler üçüncü kişilere ait kişisel veriler içerebilmektedir.

3.7 Finansal Veriler

Fatura bilgileri, vergi kimlik numarası (VKN) veya T.C. kimlik numarası (TCKN), banka ve ödeme bilgileri, tahsilat kayıtları, cari hesap ve abonelik bilgileri.

3.8 Özel Nitelikli Kişisel Veriler

Hukuki içeriklerin niteliğine bağlı olarak; sağlık verileri, biyometrik/genetik veriler, ceza mahkumiyeti ve güvenlik tedbirleri, sendika/dernek üyeliği, kimlik belgeleri ve adli sicil kayıtları ile aile, özel yaşam ve disiplin bilgileri üçüncü kişilere ait olmak kaydıyla Platform'a yüklenen içeriklerde yer alabilmektedir. Bu verilerin Platform'a yüklenmesi söz konusu olduğunda, KVKK m. 6 kapsamında gerekli açık rızanın ilgili kişiden alınması ya da kanunda öngörülen istisnaların uygulanabilir olduğunun tespiti Kullanıcı'nın (veri sorumlusu sıfatıyla) yükümlülüğüdür. Şirket, bu verileri yalnızca veri işleyen sıfatıyla, Kullanıcı'nın talimatları doğrultusunda ve hizmet sunumu için zorunlu olan kapsamla sınırlı şekilde işler; Madde 9 ve DPA Madde 6 kapsamındaki teknik ve idari güvenlik tedbirleri bu veriler bakımından da geçerlidir.

4. Kişisel Verilerin Toplanma Yöntemleri

Kişisel veriler aşağıdaki yöntemlerle toplanmaktadır:

• Platform'a üyelik ve hesap oluşturma formları
• Platform kullanımı sırasında otomatik olarak üretilen loglar
• Kullanıcı tarafından Platform'a yüklenen veya girilen belgeler ve içerikler
• Yapay zeka sorgu ve konuşma geçmişleri
• İletişim formları, destek talepleri ve e-posta yazışmaları
• Satış, demo ve teklif süreçlerine ilişkin görüşmeler
• Çerezler ve benzeri izleme teknolojileri (bkz. Madde 4.1 Çerez Politikası)
• Entegrasyon ve API bağlantıları aracılığıyla aktarılan veriler
• Ödeme ve faturalama süreçleri
• Sosyal medya ve üçüncü taraf kimlik doğrulama hizmetleri (OAuth)
• Kamu kaynaklarından veya yasal zorunluluklar kapsamında sağlanan veriler

4.1 Çerez Politikası

Platform, işlevsellik, performans, analitik ve pazarlama amacıyla çerez ile benzeri izleme teknolojileri kullanmaktadır. Kullanılan çerez türleri, saklama süreleri ve kullanıcıların onay/ret tercihleri hakkında ayrıntılı bilgiye Çerez Politikası sayfasından ulaşılabilir. Zorunlu çerezler dışındaki tüm çerezler, kullanıcının açık onayına bağlıdır ve bu onay her zaman geri alınabilir.

5. Kişisel Verilerin İşlenme Amaçları

5.1 Hizmet Sunumu ve Sözleşme Yönetimi

Kullanıcı hesaplarının oluşturulması, yönetimi ve kimlik doğrulaması; abonelik, kullanım ve lisans yönetimi; faturalama ve ödeme işlemleri; yapay zeka destekli sorgu ve belge işleme hizmetlerinin sunulması.

5.2 Platform Güvenliği ve Teknik İşletim

Yetkisiz erişim ve siber saldırılara karşı güvenlik önlemlerinin uygulanması; sistem güvenilirliğinin sağlanması; hata tespiti ve giderilmesi; altyapı izleme ve kapasite yönetimi.

5.3 Müşteri Hizmetleri ve Destek

Destek taleplerinin karşılanması; teknik yardım sağlanması; kullanıcı şikayetlerinin çözüme kavuşturulması; onboarding ve eğitim süreçlerinin yürütülmesi.

5.4 Ürün Geliştirme ve İyileştirme

Platform özelliklerinin analizi ve iyileştirilmesi; yapay zeka çıktılarının kalitesinin değerlendirilmesi (anonim/takma adlı verilerle); kullanıcı deneyimi araştırmaları; yeni özelliklerin test edilmesi.

5.5 Hukuki Yükümlülükler ve Uyum

KVKK ve ilgili mevzuat gerekliliklerinin yerine getirilmesi; denetim ve teftiş süreçleri; mahkeme kararları ve yasal bildirimlere uyum; hukuki uyuşmazlıklarda delil ve kayıt yönetimi.

5.6 Pazarlama ve İletişim

Açık rızaya dayalı pazarlama iletişimleri; ürün güncellemeleri ve duyurular; etkinlik ve webinar bilgilendirmeleri; müşteri memnuniyeti anketleri; reklam ve kampanyaların etkinliğinin ölçülmesi.

5.7 Kurumsal Yönetim ve Raporlama

İç raporlama ve analiz faaliyetleri; iş geliştirme ve satış süreçleri; finansal raporlama ve muhasebe; kurumsal uyum ve yönetişim.

6. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel veriler KVKK'nın 5. ve 6. maddeleri uyarınca aşağıdaki hukuki sebeplere dayalı olarak işlenmektedir:

• Sözleşmenin ifası: Kullanıcı ile Platform kullanımına ilişkin sözleşmenin kurulması ve yerine getirilmesi için zorunlu işleme faaliyetleri
• Açık rıza: Pazarlama iletişimleri, özel nitelikli verilerin işlenmesi ve opsiyonel hizmetler için, aydınlatma metninden ayrı bir onay formu/mekanizması aracılığıyla alınmaktadır
• Hukuki yükümlülük: Vergi, muhasebe, denetim ve yasal bildirim yükümlülüklerinin yerine getirilmesi
• Meşru menfaat: Platform güvenliğinin sağlanması, dolandırıcılığın önlenmesi, ürün geliştirme, iş süreçlerinin yürütülmesi ve kampanya etkinliğinin ölçülmesi (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla)
• Hakkın tesisi, kullanılması veya korunması: Hukuki uyuşmazlıklarda ve davaların yürütülmesinde
• Fiili imkansızlık: İlgili kişinin rıza açıklamasının mümkün olmadığı acil durumlarda

7. Yapay Zeka Sistemleri ve Kişisel Veri İşleme

• Platform'un yapay zeka bileşenleri, kullanıcıların girdiği sorgular ve yüklediği belgeler üzerinde işlem yapmaktadır; bu veriler yalnızca ilgili hizmet oturumunun sağlanması amacıyla kullanılmaktadır.
• Şirket, kullanıcı içeriklerini yapay zeka modellerini eğitmek amacıyla bizzat kullanmamaktadır. Kullanılan üçüncü taraf model sağlayıcısı (Google Ireland Limited — Vertex AI / Gemini API), yayımladığı Cloud Service Specific Terms kapsamında müşteri verilerini ön izin veya talimat olmaksızın hiçbir yapay zeka / makine öğrenmesi modelinin eğitimi veya ince ayarı için kullanmayacağını taahhüt etmektedir. Bu taahhüt ve dayandığı metnin tam alıntısı, işbu Politika ekindeki Veri İşleme Sözleşmesi'nin Alt İşleyenler bölümünde yer almaktadır.
• Yapay zekanın ürettiği çıktılar, hizmet kalitesinin değerlendirilmesi amacıyla anonim veya takma ad kullanılarak analiz edilebilmektedir.
• Kullanıcılar, yapay zeka sorgularında kişisel veri girmekten kaçınmaya teşvik edilmektedir.
• Yapay zeka sistemleri üzerinden otomatik bireysel kararlara dayalı hukuki sonuçlar doğuracak işlemler yapılmamakta; tüm çıktılar kullanıcı denetiminde değerlendirilmektedir.

8. Kişisel Verilerin Aktarımı

Kişisel veriler, aşağıda amaç eşleştirmesiyle birlikte belirtilen alıcı kategorilerine aktarılabilmektedir:

Yurt dışına veri aktarımı, 1 Haziran 2024 tarihinden itibaren yürürlükte olan değişik KVKK m. 9 kapsamında; yeterli koruma kararı bulunan ülkelere, standart sözleşmeler (SCC) veya bağlayıcı şirket kuralları (BCR) gibi uygun güvenceler çerçevesinde gerçekleştirilmektedir. Yurt dışına aktarım gerçekleştirilen hizmet sağlayıcılarla imzalanan standart sözleşmeler, KVKK m. 9 kapsamındaki yükümlülükler doğrultusunda Kişisel Verileri Koruma Kurumu'na bildirilmektedir.

9. Kişisel Verilerin Korunmasına Yönelik Güvenlik Tedbirleri

• AES-256 şifreleme ile veri depolama ve aktarım güvenliği (TLS 1.2+)
• Rol tabanlı erişim kontrolü ve yetki yönetimi
• Çok faktörlü kimlik doğrulama (MFA)
• Düzenli güvenlik açığı taramaları ve sızma testleri
• Sürekli güvenlik izleme ve denetim kayıtları (audit log)
• Yedekleme ve felaket kurtarma prosedürleri
• Personele yönelik veri güvenliği eğitimleri
• Belgelenmiş bilgi güvenliği politikaları ve risk değerlendirme prosedürleri
• İş sürekliliği ve felaket kurtarma planlaması

10. Kişisel Verilerin Saklanması ve Silinmesi

Kişisel veriler, ilgili mevzuatta öngörülen süreler ve işlenme amacının gerektirdiği süre boyunca saklanmakta; bu sürelerin sona ermesinin ardından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Hesap silme taleplerinde, aktif sözleşme yükümlülükleri ve yasal saklama gereklilikleri saklı kalmak kaydıyla veriler en geç 90 gün içinde silinmekte ya da anonim hale getirilmektedir. Yedek sistemlerde kalan veriler ise belirlenmiş yedek döngüsü sonunda kalıcı olarak silinmektedir.

11. İlgili Kişinin Hakları

KVKK'nın 11. maddesi uyarınca ilgili kişiler aşağıdaki haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme

12. Başvuru Usulü

Yukarıda sayılan haklarınızı kullanmak amacıyla, kimliğinizi doğrulayan belgelerle birlikte yazılı başvurunuzu kvkk@legai.tr adresine iletebilirsiniz. Başvurular, KVKK'nın 13. maddesi uyarınca talebin niteliğine göre en geç otuz gün içinde sonuçlandırılacaktır.

Başvurunuzun ek bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret alınabilecektir. Başvurunuzun reddedilmesi, verilen yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi durumunda Kişisel Verileri Koruma Kurulu'na şikayette bulunma hakkınız saklıdır.

Bölüm 2

Kişisel Veri İşleme Sözleşmesi (DPA)

İşbu Kişisel Veri İşleme Sözleşmesi, bir tarafta Müşteri ("Veri Sorumlusu") ile diğer tarafta Şirket ("Veri İşleyen") arasında akdedilmiştir. Sözleşme, Veri İşleyen'in Veri Sorumlusu adına gerçekleştireceği kişisel veri işleme faaliyetlerine ilişkin tarafların hak ve yükümlülüklerini düzenlemekte olup Platform kullanım koşullarının ayrılmaz bir parçasını oluşturmaktadır.

1. Amaç ve Kapsam

İşbu Sözleşme, Veri İşleyen'in Platform aracılığıyla Veri Sorumlusu adına yürüteceği kişisel veri işleme faaliyetlerinin KVKK ve ilgili ikincil mevzuat çerçevesinde hukuka uygun biçimde gerçekleştirilmesini temin etmek amacıyla hazırlanmıştır. Sözleşme; veri işleme faaliyetlerinin kapsamını, tarafların sorumluluklarını, güvenlik tedbirlerini, alt işleyen kullanım kurallarını, veri ihlali prosedürlerini ve Sözleşme'nin sona ermesine ilişkin şartları düzenler.

2. Tanımlar

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen Müşteri
• Veri İşleyen: Veri Sorumlusu adına kişisel verileri işleyen Şirket
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi
• Platform: Şirket tarafından işletilen yapay zeka destekli hukuk teknolojisi platformu ve bağlı hizmetlerin tamamı
• Veri İhlali: İşlenen kişisel verilerin kanuna aykırı olarak üçüncü kişilerce ele geçirilmesi veya başka şekilde kaybedilmesi

3. Tarafların Rolleri

Müşteri, Platform'u kullanarak işlediği kişisel veriler bakımından KVKK kapsamında Veri Sorumlusu sıfatını taşımakta; Şirket ise Müşteri'nin talimatları doğrultusunda ve işbu Sözleşme hükümleri çerçevesinde Veri İşleyen sıfatıyla hareket etmektedir. Veri İşleyen, Veri Sorumlusu'nun belgelenmiş talimatlarına uymakla yükümlüdür; talimatların mevzuata aykırı olduğunu değerlendirdiği durumlarda bunu derhal bildirmekle yükümlüdür.

4. İşlemenin Konusu, Niteliği ve Süresi

Veri İşleyen, işbu Sözleşme kapsamında Veri Sorumlusu adına şu faaliyetleri yürütmektedir: yapay zeka destekli hukuki metin analizi ve üretimi, belge yönetimi, oturum ve hesap yönetimi, destek hizmetleri ve ilgili teknik operasyonlar. İşleme faaliyetleri, Platform kullanım sözleşmesinin yürürlükte olduğu süre boyunca devam etmekte; sözleşmenin sona ermesiyle birlikte Madde 14 hükümleri uygulanmaktadır.

5. İşlenen Veri Türleri ve İlgili Kişi Grupları

İşleme faaliyetleri kapsamında; kimlik ve iletişim verileri, mesleki veriler, işlem güvenliği verileri, kullanım ve davranış verileri, finansal veriler ve kullanıcıların Platform'a yüklediği hukuki içerikler işlenmektedir. Bu içerikler üçüncü kişilere ait kişisel verileri ve özel nitelikli kişisel verileri kapsayabilmektedir.

İlgili kişi grupları; Müşteri çalışanları, yetkililer, müvekkiller, karşı taraflar, tanıklar ve Müşteri'nin yüklediği belgelerde yer alan diğer gerçek kişilerdir.

6. Veri İşleyen'in Yükümlülükleri

• Kişisel verileri yalnızca Veri Sorumlusu'nun belgelenmiş talimatları doğrultusunda işlemek
• Kişisel verilere erişen personelin gizlilik yükümlülüğünü yerine getirmesini sağlamak
• KVKK ve ilgili mevzuat kapsamında gerekli teknik ve idari güvenlik tedbirlerini almak
• Alt işleyen kullanımında Madde 9 hükümlerine uymak
• İlgili kişilerin başvurularının iletilmesinde Veri Sorumlusu'na yardımcı olmak
• Veri güvenliği ihlallerini öğrenmesinden itibaren en geç 72 saat içinde Veri Sorumlusu'na bildirmek
• Sözleşme sona erdiğinde verileri iade etmek ya da silmek ve silme tamamlandığında yazılı teyit göndermek
• Uyum denetimlerinde Veri Sorumlusu ile iş birliği yapmak

7. Müşteri'nin (Veri Sorumlusu'nun) Yükümlülükleri

• Platform'a yüklenen verilerin toplanması ve işlenmesi için gerekli hukuki dayanakları tesis etmek
• İlgili kişileri KVKK kapsamında bilgilendirmek ve gerektiğinde açık rızalarını ayrı bir mekanizmayla almak
• Üçüncü kişilere ait kişisel verileri Platform'a yüklemeden önce gerekli hukuki değerlendirmeyi yapmak
• KVKK m. 6 kapsamındaki özel nitelikli kişisel verileri (sağlık, ceza mahkumiyeti ve güvenlik tedbirleri, sendika/dernek üyeliği, biyometrik/genetik veriler, din, mezhep, felsefi inanç vb.) Platform'a yüklemeden önce ilgili kişiden ayrı bir açık rıza almak ya da kanunda öngörülen istisnanın uygulanabilir olduğunu tespit etmek; Veri İşleyen'in bu verileri yalnızca Veri Sorumlusu'nun talimatları doğrultusunda işleyeceğini kabul etmek
• Platform kullanım yetkilerini yalnızca yetkili personel ile sınırlı tutmak ve hesap güvenliğini sağlamak

8. Güvenlik Tedbirleri

Veri İşleyen, kişisel verilerin yetkisiz erişime, ifşaya, değiştirilmesine veya imha edilmesine karşı korunması amacıyla asgari olarak şu teknik ve idari tedbirleri uygulamaktadır: AES-256 şifreleme, TLS 1.2+ ile aktarım güvenliği, rol tabanlı erişim kontrolü, çok faktörlü kimlik doğrulama, sürekli güvenlik izleme, düzenli sızma testleri, personel güvenlik eğitimi ve belgelenmiş olay müdahale prosedürleri. Güvenlik tedbirlerinin listesi, teknolojik gelişmelere ve ortaya çıkan tehditlere paralel olarak güncellenmektedir.

9. Alt İşleyenler

Mevcut alt işleyenler aşağıda listelenmiştir. Müşteri, işbu Sözleşme'yi kabul etmekle mevcut alt işleyenlere genel onay vermiş sayılmaktadır. Yeni bir alt işleyen kullanımı öncesinde Müşteri'ye bildirimde bulunulacak ve Müşteri'ye itiraz hakkı tanınacaktır.

Tüm yurt dışı alt işleyenler Avrupa Birliği üyesi devletlerde (İrlanda, Fransa) yerleşik olup yurt dışı aktarımlar KVKK m. 9 kapsamında Standart Sözleşme güvenceleri altında gerçekleştirilmektedir. Alt işleyenler, en az işbu Sözleşme ile belirlenen koruma düzeyi kadar güçlü veri koruma yükümlülüklerini içeren sözleşmelerle bağlanmaktadır. Veri İşleyen, alt işleyenlerin yükümlülüklerini yerine getirmemesinden Veri Sorumlusu'na karşı sorumlu olmaya devam etmektedir.

Contabo GmbH ile imzalanan Veri İşleme Sözleşmeleri (DPA), Contabo'nun müşteri portalı üzerinden hizmet başına ayrı ayrı tesis edilmekte ve uygun olduğu hâllerde AB Standart Sözleşme Maddeleri (SCC) ile desteklenmektedir. Yürürlükteki imzalı sözleşmelerin kopyaları ve sağlayıcının ilgili kamuya açık belgeleri, denetim ve düzenleme incelemesi amacıyla legai.tr/legal/dpa adresinde indekslenmektedir.

9.1 Google Ireland Limited ile Sözleşmesel İlişki

Yapay zeka API hizmetinin sağlayıcısı olan Google Ireland Limited ile Veri İşleyen arasındaki sözleşmesel ilişki, Google'ın kamuya açık olarak yayımladığı ve hizmetin kabulü ile yürürlüğe giren bağlayıcı belgeler (Cloud Data Processing Addendum, Cloud Service Specific Terms, Google Cloud Platform Terms of Service ve Acceptable Use Policy) çerçevesinde yürütülmektedir. Bu belgelerin kabul tarihli kopyaları ve sağlayıcının canlı sürümleri, denetim ve düzenleme incelemesi amacıyla legai.tr/legal/dpa adresinde indekslenmektedir.

Cloud Service Specific Terms'in §18 Training Restriction (önceki sürümlerde §17) bölümü, Google'ın müşteri verisini model eğitiminde kullanmayacağını şu ifadeyle taahhüt etmektedir: “Google will not use Customer Data to train or fine-tune any AI/ML models without Customer's prior permission or instruction.” Burada “Customer Data” Cloud Master Service Agreement kapsamında tanımlanmış olup Veri İşleyen'in Google Cloud hizmetleri üzerinden ilettiği bütün içerikleri kapsamaktadır (Vertex AI'a iletilen sorgu içeriği ve evrak içeriği dahil). Cloud Data Processing Addendum m. 4.1 uyarınca Google işleyen sıfatıyla hareket etmekte, m. 5.2 uyarınca yalnızca müşterinin talimatları doğrultusunda işleme yapmaktadır. Suistimal ve kötüye kullanım tespiti amacıyla Google, kabul edilebilir kullanım politikası çerçevesinde girdileri sınırlı süreyle loglayabilmektedir; bu loglama yalnızca Google'ın iç güvenlik operasyonları için yapılmakta ve model eğitiminde kullanılmamaktadır.

10. Yurt Dışı Aktarım

Kişisel verilerin Türkiye dışına aktarılması, 1 Haziran 2024 tarihinden itibaren yürürlükte olan değişik KVKK m. 9 kapsamında; yeterli koruma kararı bulunan ülkelere veya standart sözleşmeler (SCC) ya da bağlayıcı şirket kuralları (BCR) gibi uygun güvenceler çerçevesinde gerçekleştirilmektedir. Aktarım yapılan tüm ülkeler ve uygulanan güvence mekanizmaları talep üzerine Müşteri'ye açıklanmaktadır.

11. İlgili Kişi Başvurularının Yönetimi

Veri İşleyen, İlgili Kişiler'den KVKK kapsamındaki haklarının kullanımına ilişkin başvuru alması durumunda, başvuruyu derhal Veri Sorumlusu'na iletmekte ve yanıt sürecinde Veri Sorumlusu'nun taleplerine destek sağlamaktadır. Başvuruların yanıtlanması Veri Sorumlusu'nun sorumluluğundadır.

12. Veri İhlali Yönetimi

Veri İşleyen, kişisel verilerin güvenliğini tehdit eden bir ihlalin varlığından haberdar olması durumunda, ihlalin niteliğini, etkilenen kişi ve veri kategorilerini, olası sonuçlarını ve alınan/alınacak önlemleri içeren bildirimini en geç 72 saat içinde Veri Sorumlusu'na iletmektedir. Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü ve İlgili Kişiler'in bilgilendirilmesi Veri Sorumlusu'nun sorumluluğundadır.

13. Denetim ve Uyum

Veri Sorumlusu, işbu Sözleşme kapsamındaki yükümlülüklere uyumu denetlemek amacıyla yazılı talepte bulunabilir. Yerinde denetimler için asgari 15 iş günü önceden yazılı bildirim yapılmalıdır. Denetim faaliyetlerine ilişkin makul masraflar Veri Sorumlusu tarafından karşılanır; taraflar bu maliyetleri önceden mutabık kalarak belirler.

Taraflar, denetim faaliyetlerinin Platform'un normal işleyişini asgari düzeyde aksatacak biçimde planlanması konusunda iş birliği yapmaktadır.

14. Verilerin İadesi ve Silinmesi

Sözleşme'nin sona ermesinin ardından Veri İşleyen, Veri Sorumlusu'nun talebine bağlı olarak kişisel verileri makine tarafından okunabilir bir formatta teslim etmekte ya da belgelenmiş silme prosedürleri çerçevesinde geri dönüşü olmayan biçimde silmektedir.

Silme işlemi en geç 90 gün içinde tamamlanmakta ve tamamlandığına dair yazılı teyit belgesi Veri Sorumlusu'na iletilmektedir. Yasal saklama yükümlülükleri kapsamında saklanan veriler ve dayanakları bu teyit belgesinde ayrıca belirtilmektedir.

15. Gizlilik

Taraflar, işbu Sözleşme kapsamında edindikleri bilgileri, karşı tarafın önceden yazılı onayı olmaksızın üçüncü kişilerle paylaşmamayı taahhüt etmektedir. Bu yükümlülük, Sözleşme'nin sona ermesinden itibaren beş yıl süreyle geçerliliğini korumaktadır.

16. Sorumluluk

Veri İşleyen'in işbu Sözleşme kapsamındaki sorumluluğu, KVKK'nın veri işleyene yüklediği yükümlülüklerle sınırlıdır. Veri Sorumlusu'nun veri işleme talimatlarından ve Platform'a yüklediği içeriklerden kaynaklanan sorumluluk tamamen Veri Sorumlusu'na aittir.

17. Yürürlük

İşbu Sözleşme, Müşteri'nin Platform kullanım koşullarını kabul ettiği tarihte yürürlüğe girmekte ve Platform kullanım sözleşmesiyle aynı anda sona ermektedir. Sözleşme'nin değiştirilmesi veya güncellenmesi durumunda Müşteri'ye önceden bildirimde bulunulmaktadır. İşbu Sözleşme'den doğan uyuşmazlıkların çözümünde Türk hukuku uygulanmakta; yetkili mahkeme olarak Konya Mahkemeleri ve İcra Daireleri kabul edilmektedir.

Bölüm 3

Yapay Zeka Etik, Güven ve Sorumlu Kullanım Politikası

İşbu Yapay Zeka Etik, Güven ve Sorumlu Kullanım Politikası ("Politika"), Şirket tarafından sunulan yapay zeka destekli hukuk teknolojisi platformunun etik, güvenilir ve sorumlu bir şekilde geliştirilmesi, işletilmesi ve kullanılmasına ilişkin ilkeleri, sınırlamaları ve yükümlülükleri düzenlemektedir.

Hukuk alanına özgü yapay zeka uygulamaları; bireylerin hukuki haklarını, adalet erişimini ve toplumsal güveni doğrudan etkileme potansiyeli taşıdığından, bu alanda genel AI standartlarının ötesinde daha yüksek bir özen, şeffaflık ve hesap verebilirlik anlayışı gerekmektedir.

1. Temel İlkeler

1.1 İnsan Merkezlilik

Platform, insan kararını desteklemek amacıyla tasarlanmıştır; yerini almak için değil. Tüm AI çıktıları, hukuki karar süreçlerinde nihai değerlendirmenin yetkili bir hukuk profesyoneli tarafından yapılmasını gerektirir.

1.2 Şeffaflık

Platform, yapay zeka ile üretilen içerikleri açıkça belirtmekte; kullanıcıların sistemin nasıl çalıştığını anlayabilmesi için gerekli bilgiyi sağlamaktadır.

1.3 Adalet ve Tarafsızlık

Şirket, AI sistemlerinin ayrımcı veya önyargılı sonuçlar üretmemesi için aktif önlemler almaktadır. Model çıktıları düzenli olarak önyargı değerlendirmesine tabi tutulmaktadır.

1.4 Güvenilirlik ve Güvenlik

Sistem, beklenmedik girdi ve koşullara karşı dayanıklı biçimde tasarlanmış olup güvenlik açıklarına karşı sürekli izlenmektedir.

1.5 Hesap Verebilirlik

Şirket, yapay zeka sistemlerinin kararları ve çıktıları için kurumsal düzeyde sorumluluk üstlenmekte; bu sorumluluk yalnızca teknik ekiple sınırlı kalmamaktadır.

2. Yapay Zekanın Kullanım Amacı

Platform'daki yapay zeka sistemleri yalnızca şu amaçlarla kullanılmaktadır:

• Hukuki içtihat ve mevzuat araştırmasının hızlandırılması
• Hukuki belge taslak ve analiz süreçlerinin desteklenmesi
• Dava yönetimi ve organizasyona yardımcı olunması
• Hukuki metinlerin özetlenmesi ve yapılandırılması
• Platform kullanımına ilişkin teknik destek

Platform; yargı yetkisi kullanımı, kesin hukuki tavsiye verilmesi, avukatlık beyanı niteliğinde sonuç üretilmesi ya da doğrudan bağlayıcı hukuki işlem yapılması amacıyla kullanılmamak üzere tasarlanmıştır.

3. Veri Kullanımı ve İşleme Sınırları

3.1 Amaç Sınırlaması

Şirket, kullanıcıların Platform'a yüklediği içerikleri ve AI sorgu geçmişlerini yalnızca talep edilen hizmet oturumunun sağlanması amacıyla işlemektedir.

3.2 Platform İyileştirmesi

Platform performansının iyileştirilmesi amacıyla kullanılan veriler, geri döndürülemez biçimde anonim hale getirilmekte ya da sentetik olarak üretilmektedir.

3.3 Veri Minimizasyonu

AI sistemlerine yalnızca görevi yerine getirmek için zorunlu olan veri miktarı iletilmektedir. Sistem, kullanıcıları hassas kişisel veriler yerine anonim veya takma adlı içerikler kullanmaya teşvik etmektedir.

4. Gizlilik ve Avukat-Müvekkil Ayrıcalığı

Şirket, Platform aracılığıyla işlenen hukuki içeriklerin avukat-müvekkil gizliliğinin kapsamında değerlendirilebileceğinin bilincindedir. Bu nedenle içeriklere erişim yetkisi sıkı biçimde kısıtlanmakta; teknik personelin müşteri içeriklerine erişimi yalnızca meşru teknik zorunluluk halinde ve kayıt altına alınarak gerçekleşmektedir.

5. Doğruluk ve Hata Yönetimi

AI sistemleri hatalı, eksik veya güncel olmayan bilgi üretebilmektedir. Hiçbir AI çıktısı, yetkili bir hukuk profesyonelinin incelemesi yapılmadan bağlayıcı hukuki belge olarak kullanılmamalıdır. Tespit edilen hatalar ve yanlış bilgilendirme vakaları, hizmet kalitesini iyileştirmek amacıyla belgelenmekte ve değerlendirilmektedir.

6. İnsan Denetimi ve Gözetimi

Şirket, kritik hukuki süreçlerde insan denetiminin zorunlu olduğunu prensip olarak benimsemektedir. Platform, AI çıktılarını kendi başına yetkili belgeler olarak değil, profesyonel değerlendirmeye açık taslaklar ve referans kaynakları olarak sunmaktadır. Kullanıcılar, AI önerilerini kabul etme, reddetme veya değiştirme konusunda tam kontrole sahiptir.

7. Yasaklı Kullanımlar

Platform aşağıdaki amaçlarla kullanılamaz:

• Sahte hukuki belge veya delil üretimi
• Yargı veya savcılık süreçlerini yanıltma girişimi
• Kimlik avı veya dolandırıcılık amaçlı içerik oluşturma
• Üçüncü kişilerin kişisel verilerinin izinsiz işlenmesi
• Ayrımcı, nefret söylemi veya hukuka aykırı içerik üretimi
• Platform güvenlik sistemlerini aşma veya zayıflatma girişimi
• Yetkisiz otomatik veri kazıma ve toplu sorgu faaliyetleri (API sınırlarını aşacak biçimde)
• Rakip ürün geliştirme amacıyla Platform çıktılarının sistematik olarak toplanması

8. Güvenlik ve Kötüye Kullanım Önleme

Şirket, Platform'un kötüye kullanımını tespit etmek amacıyla otomatik izleme sistemleri işletmektedir. Şüpheli faaliyetler insan gözetiminde değerlendirilmekte; politika ihlalleri tespit edildiğinde hesap askıya alma veya sonlandırma gibi tedbirler uygulanmaktadır. Kullanıcılar, kötüye kullanım vakalarını kvkk@legai.tr adresine bildirebilmektedir.

9. Adil Kullanım ve Erişim

Şirket, hukuki AI teknolojisinin yalnızca büyük kurumlara değil, tüm hukuk profesyonellerine erişilebilir olmasını hedeflemektedir. Fiyatlandırma politikaları, bireysel avukatlar ve küçük bürolar dahil geniş bir kullanıcı kitlesini kapsayacak biçimde tasarlanmaktadır.

10. Şeffaflık ve Açıklanabilirlik

Şirket, kullanıcılara Platform'un hangi yapay zeka sağlayıcılarıyla çalıştığını ve bu sağlayıcıların genel işleme amaçlarını açıklamaktadır. Kullanılan modeller veya işleme süreçlerindeki önemli değişiklikler önceden duyurulmaktadır. Sistem, içtihat arama gibi belirli işlevlerde önerilerin dayandığı kaynakları atıf yoluyla göstermektedir.

11. Sürekli İyileştirme ve Değerlendirme

Şirket, AI sistemlerinin performansını, güvenliğini ve etik uyumunu düzenli aralıklarla değerlendirmektedir. Bu değerlendirmeler; kullanıcı geri bildirimleri, hata analizi, önyargı testleri ve dış uzman görüşlerini kapsamaktadır. Politika, teknolojik gelişmeler, değişen mevzuat ve kullanım deneyiminden elde edilen içgörüler doğrultusunda periyodik olarak güncellenmektedir.

12. Sınırlar ve Sorumluluk Reddi

Platform tarafından sağlanan yapay zeka destekli içerikler; hukuki danışmanlık, avukatlık hizmeti veya hukuki görüş niteliği taşımamaktadır. Tüm çıktılar bilgi amaçlı ve taslak niteliğinde olup yetkili bir hukuk profesyonelinin değerlendirmesine tabidir. Şirket, AI çıktılarının doğruluğu, güncelliği veya belirli bir hukuki duruma uygunluğu konusunda garanti vermemektedir.

13. Yürürlük ve Güncellemeler

İşbu Politika, Platform'un kullanıma açıldığı tarihte yürürlüğe girmiş olup periyodik olarak güncellenmektedir. Önemli değişiklikler kullanıcılara e-posta veya Platform bildirimi aracılığıyla önceden duyurulmaktadır. Politika hakkındaki soru ve geri bildirimlerinizi kvkk@legai.tr adresine iletebilirsiniz.