Veri İşleme Sözleşmesi (VİS)

1. Taraflar

• Veri Sorumlusu (Büro): platformda bir organizasyon hesabı açan ve platforma müvekkil dosyası yükleyen hukuk bürosu, avukatlık ortaklığı veya serbest avukat.
• Veri İşleyen ("STAJYER"): [TİCARET UNVANI — DOLDURULACAK] — adres: [AÇIK ADRES — DOLDURULACAK], MERSİS: [MERSİS NO — DOLDURULACAK], vergi dairesi/VKN: [VERGİ DAİRESİ VE VKN — DOLDURULACAK].

Bu VİS, Kullanım Şartları'nın ayrılmaz bir ekidir ve Büro'nun platformu kullanmaya başlamasıyla birlikte taraflar arasında geçerli olur. Büro, talebi hâlinde ıslak imzalı veya güvenli elektronik imzalı ayrı bir nüsha akdedilmesini isteyebilir; talebinizi iletisim@stajyer.ai adresine iletin.

2. Rollerin tespiti — iki ayrı sıfat

Platform üzerinde işlenen veriler tek bir kategoriye girmez; tarafların sıfatı veriye göre değişir. Bu ayrım, kimin neyden sorumlu olduğunu belirlediği için sözleşmenin en önemli maddesidir:

• Müvekkil dosyaları ve içerikleri bakımından: Büro VERİ SORUMLUSUDUR, STAJYER VERİ İŞLEYENDİR. Bu verilerin hangi amaçla ve hangi hukuki sebebe dayanılarak işleneceğini Büro belirler; STAJYER yalnızca Büro'nun talimatı doğrultusunda işler. Bu VİS bu ilişkiyi düzenler.
• Platform hesap verileri bakımından: (Büro çalışanlarının ad-soyad, e-posta, rol bilgisi ve kullanım telemetrisi) STAJYER kendi VERİ SORUMLUSUDUR — bu verileri hizmeti sunmak ve güvenliğini sağlamak için kendi belirlediği amaçlarla işler. Bu işleme faaliyeti bu VİS'in değil, KVKK Aydınlatma Metni'nin konusudur.

STAJYER, müvekkil dosyalarını hiçbir hâlde kendi amaçları için — ürün geliştirme, model eğitimi, istatistik veya pazarlama dahil — kullanmaz.

3. İşlemenin konusu, süresi, amacı ve niteliği

• Konu ve amaç: Büro'ya sözleşme incelemesi, belge analizi, iş akışı yürütme ve kaynaklı hukuki asistan hizmetlerinin sunulması.
• Niteliği: belgelerin saklanması, metne dönüştürülmesi, arama dizini (embedding) oluşturulması, yapay zekâ modeline sorgu olarak iletilmesi ve çıktının Büro'ya sunulması.
• Süresi: Büro'nun organizasyon hesabı açık kaldığı sürece; hesabın kapanmasıyla 13. maddedeki imha hükümleri uygulanır.
• İlgili kişi grupları: Büro'nun müvekkilleri, karşı taraflar, vekiller, tanıklar ve yüklenen belgelerde adı geçen diğer gerçek kişiler ile Büro'nun kendi çalışanları.

3.1. Veri kategorileri

Büro'nun yüklediği belgelerin içeriğini STAJYER belirlemez; kategoriler bu nedenle Büro'nun kullanımına göre değişir. Bir hukuk bürosunun dosyaları tipik olarak şunları içerir:

• Kimlik ve iletişim verileri (ad-soyad, T.C. kimlik numarası, adres, telefon),
• Hukuki işlem verileri (dava dosyası içeriği, sözleşmeler, yazışmalar, vekâletname),
• Finansal veriler (alacak-borç, banka bilgisi, bilirkişi raporları).

3.2. Özel nitelikli kişisel veriler

Bir hukuk bürosunun dosyaları, niteliği gereği KVKK m.6 anlamında ÖZEL NİTELİKLİ kişisel veri İÇEREBİLİR — özellikle ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler (ceza dosyaları) ile sağlık verileri (tazminat, iş kazası, malpraktis dosyaları). Platform, belge içeriğini kategorize etmez ve özel nitelikli veri içeren belgeleri ayırt ederek farklı bir işleme rejimine tabi tutmaz; tüm belgeler aynı teknik tedbirlerle işlenir.

Bu husus, Büro'nun bilerek karar vermesi gereken bir konudur: özel nitelikli veri işlemenin hukuki dayanağını kurmak ve KVKK m.6 uyarınca aranan ek tedbirleri değerlendirmek Büro'nun (veri sorumlusunun) yükümlülüğüdür. STAJYER'in bu dosyalar için sunduğu tedbirler 8. maddede — eksikleriyle birlikte — açıkça sayılmıştır.

4. STAJYER'in (veri işleyenin) yükümlülükleri

1. Talimatla işleme: STAJYER, müvekkil verilerini yalnızca Büro'nun talimatı ve bu VİS çerçevesinde işler. Platformun kullanımı (belge yükleme, analiz başlatma, asistana soru sorma) Büro'nun talimatı sayılır.
2. Gizlilik: verilere erişimi olan personel gizlilik yükümlülüğü altındadır; ayrıca meslek sırrı taahhüdü uygulanır.
3. Güvenlik: 8. maddede sayılan teknik ve idari tedbirler uygulanır.
4. Alt-işleyenler: 6. maddedeki şartlara uyulur.
5. İlgili kişi taleplerinde yardım: bir ilgili kişi doğrudan STAJYER'e başvurursa, STAJYER talebi kendisi sonuçlandırmaz — gecikmeksizin Büro'ya yönlendirir; çünkü bu verilerde veri sorumlusu Büro'dur. STAJYER, Büro'nun talebi karşılamasına teknik olarak (erişim, düzeltme, silme, taşıma) yardımcı olur.
6. İhlal bildirimi: 9. maddedeki usule uyulur.
7. Sözleşme sonu: 13. maddedeki iade ve imha hükümleri uygulanır.
8. Denetime katkı: 12. maddedeki kapsam ve usulle.

5. Büro'nun (veri sorumlusunun) yükümlülükleri

1. Platforma yüklediği kişisel verilerin hukuka uygun şekilde elde edilmiş olmasını ve işlenmesi için geçerli bir hukuki sebebin bulunmasını sağlamak,
2. Kendi ilgili kişilerine karşı aydınlatma yükümlülüğünü yerine getirmek ve gerekiyorsa açık rıza almak,
3. Yüklediği veri kategorilerinin — özellikle özel nitelikli verilerin — işlenmesine ilişkin hukuki değerlendirmeyi yapmak,
4. STAJYER'e verdiği talimatların hukuka uygun olmasını sağlamak; platformu kendi meslek sırrı yükümlülüklerine uygun kullanmak,
5. Hesap kimlik bilgilerinin güvenliğini sağlamak ve platform içi yetkilendirmeyi (rol atamalarını) doğru yapmak — hangi kullanıcının hangi dosyaya erişeceğini Büro belirler.

6. Alt-işleyenler

Büro, hizmetin sunulabilmesi için gereken altyapı sağlayıcılarının alt-işleyen olarak kullanılmasına onay verir. Güncel alt-işleyen envanteri — her birinin işlevi, işleme konumu, yürüttüğü işleme adımları ve eriştiği veri kategorisiyle birlikte — Alt-İşleyenler sayfasında yayımlanır ve bu VİS'in eki sayılır.

• STAJYER, her alt-işleyenle bu VİS'tekine denk düzeyde veri koruma yükümlülüğü içeren bir sözleşme akdeder.
• Değişiklik bildirimi: envanterde yapılacak her değişiklik — yeni bir alt-işleyen eklenmesi, mevcut bir alt-işleyenin işleme adımlarının genişletilmesi ve bir işleme konumunun değişmesi dahil — yürürlüğe girmeden EN AZ 30 (OTUZ) GÜN ÖNCE Büro'ya duyurulur. Duyuru, değişikliğin konusunu, gerekçesini ve yürürlük tarihini içerir.
• İtiraz hakkı: Büro, duyuru ile yürürlük arasındaki süre boyunca, yukarıda sayılan değişikliklerin HERHANGİ BİRİNE — yalnız yeni bir alt-işleyene değil, işleme adımının genişlemesine, işleme konumunun değişmesine ve devre dışı bir yolun etkinleştirilmesine de — haklı bir sebebe dayanarak itiraz edebilir. İtiraz hâlinde taraflar makul bir çözüm arar; çözüm bulunamazsa Büro sözleşmeyi bedelsiz feshedebilir ve verilerini 13. maddedeki usulle geri alabilir. İtiraz süresi dolmadan değişiklik yürürlüğe konmaz.
• Ölçüt, envanterin metni değil FİİLİ İŞLEMEDİR: envanterde tarif edilmiş olmakla birlikte bugün fiilen çalışmayan bir işleme adımının başlatılması da — envanter metni bu sebeple değişmese bile — yukarıdaki bildirim ve itiraz usulüne tabidir. Bu ayrım bilinçlidir: envanter, bir adımı açılmadan önce şeffaflık için tarif edebilir; işleme fiilen o adım çalıştığında başlar ve Büro'nun hakkı o ana bağlıdır.
• Bu sürenin tek istisnası, bir alt-işleyenin hizmet veremez hâle gelmesi gibi hizmetin sürekliliğini derhâl tehdit eden hâllerdir; böyle bir durumda değişiklik gecikmeksizin bildirilir ve Büro'nun itiraz hakkı saklı kalır.
• Alt-işleyenin bu VİS'e aykırı davranışından STAJYER, kendi fiili gibi sorumludur.

7. Yurt dışına aktarım

Platformun altyapısı Frankfurt (Almanya) bölgesindedir; yapay zekâ model çağrıları şu 6 AB bölgesini kapsayan çapraz-bölge çıkarım profili üzerinden yürütülür: Frankfurt (Almanya), İrlanda, Paris (Fransa), Stockholm (İsveç), Milano (İtalya) ve İspanya (Aragón). Arama dizini (embedding) üretimi bu profilden bağımsızdır ve tek bölgede yürür (yalnız eu-central-1 (Frankfurt)). Her alt-işleyenin sözleşme tarafı, kullanılan hizmeti, işleme bölgesi, müşteri verisine erişim durumu ve üçüncü taraf alt işleyenleri — bugün AB dışı tek işleme konumu olan ve devre dışı duran uç dahil — Alt-İşleyenler envanterinde tek tek sayılır. İşleme konumunun değişmesi, envanterin değişiklik usulüne (en az 30 gün önceden duyuru ve itiraz hakkı) tabidir.

Bu aktarım için KVKK m.9'da öngörülen aktarım mekanizmalarından hangisine dayanılacağı (uygun güvencelere dayalı aktarım — ör. Kurul tarafından belirlenen standart sözleşme — veya başka bir yol) taraflarca HENÜZ KARARLAŞTIRILMAMIŞTIR; bu VİS, hazır bir aktarım dayanağı beyan etmez. STAJYER, seçilecek mekanizmanın gerektirdiği belgeleri imzalamayı ve alt-işleyen zincirinde karşılığını kurmayı taahhüt eder.

Bu VİS'in imzalanmış olması, Büro'ya gerçek müvekkil dosyası yükleme hakkını TEK BAŞINA VERMEZ. İki belge ayrı işlev görür: VİS, Büro ile STAJYER arasındaki işleme ilişkisini düzenler; m.9 kapsamındaki aktarım dayanağı ise ayrı bir belgenin konusudur ve HENÜZ KURULMAMIŞTIR. Gerçek müvekkil dosyalarının platforma yüklenmesi, bu dayanağın kurulmasına ve özel nitelikli veri güvenlik önkoşullarının (yazılı veri güvenliği politikası, altyapı yönetim erişimlerinin kayıt altına alınması, çok faktörlü kimlik doğrulama) tamamlanmasına bağlıdır.

Not: bu maddedeki mekanizma seçimi, yürürlükteki mevzuat ve Kurul uygulaması ışığında hukukçu tarafından netleştirilecektir; taslak, hazır bir dayanak beyan etmez.

8. Teknik ve idari tedbirler

Aşağıdaki liste, PAZARLAMA DİLİ DEĞİL, üründe fiilen uygulanan tedbirlerin envanteridir. Uygulanmayan bir tedbir bu listeye yazılmamıştır; eksikler 8.2'de açıkça sayılmıştır.

8.1. Uygulanan tedbirler

• Organizasyon izolasyonu (veritabanı seviyesinde): dosyalar, işler, incelemeler, sohbetler ve entegrasyon kayıtları satır seviyesi güvenlik (RLS) politikalarıyla organizasyona bağlanır; başka bir organizasyonun kaydına erişim veritabanı tarafından reddedilir. Organizasyon kimliği, oturum jetonuna yalnızca sunucu tarafındaki kimlik doğrulama akışıyla yazılır.
• Belge içeriği ve arama dizini izolasyonu (uygulama seviyesinde): belge metni ve arama dizini kayıtları, veritabanı politikasıyla değil, uygulama katmanındaki organizasyon parametresiyle ayrılır. Bu ayrım bilinçlidir ve burada açıkça belirtilmektedir; "tüm veriler veritabanı seviyesinde izole edilir" denmemesinin sebebi budur.
• Dosya depolama: belgeler herkese kapalı (private) bir kovada, organizasyon kimliğini içeren bir yol düzeniyle saklanır; yol politikası organizasyon eşleşmesini arar. Kalıcı paylaşım bağlantısı (signed URL) üretilmez.
• Kimlik doğrulama: oturum jetonları kriptografik olarak doğrulanır (imza algoritması, yayıncı ve hedef kitle denetlenir); geçerli oturum yoksa istek reddedilir. Hesaplar yalnızca davetle açılır, herkese açık kayıt yoktur.
• Rol kapıları: belge silme gibi geri alınamaz işlemler ile yönetim uçları sunucu tarafında rol denetimine tabidir.
• Hata kayıtlarında PII temizliği: hata izleme etkinleştirildiğinde, gönderilen kayıt bir İZİN LİSTESİ (allowlist) ile yeniden kurulur: yalnız bilinen güvenli alanlar kopyalanır, geri kalan her şey — hata mesajının kendisi, değişken içerikleri, istek gövdesi, kullanıcı bilgisi ve gezinti izleri dahil — düşürülür.
• Telemetri: kullanım telemetrisi şemasında içerik kolonu yoktur; asistana yöneltilen soru ham metin olarak değil, yalnız özet (hash) değeriyle tutulur. Belge metni ve ham soru hiç yazılmaz.
• Silme kaskadı: 13. maddede tarif edildiği şekilde, orada belirtilen sınırlarla birlikte.
• Şifreleme (sağlayıcı kaynaklı): veriler saklama ve iletim sırasında altyapı sağlayıcılarının standart şifrelemesiyle korunur. Bu, STAJYER'in kendi uyguladığı bir tedbir DEĞİL, sağlayıcının sunduğu bir güvencedir ve burada bu şekilde beyan edilmektedir.
• Çok faktörlü kimlik doğrulama: BUGÜN ZORLANMAMAKTADIR. Veri katmanında imzalı JWT'nin aal2 seviyesini zorlayan sunucu kapısı ve kullanıcıya TOTP kurulum/doğrulama yolu veren istemci kapısı kurulmuş ve bir süre yürürlükte kalmış, ardından işletmecinin kararıyla devre dışı bırakılmıştır. Altyapı yerinde durur ve tek bir kontrol satırıyla yeniden açılabilir. Aktif giriş yöntemi e-posta adresine gönderilen tek kullanımlık koddur; bu yöntem TEK FAKTÖRLÜDÜR ve çok faktörlü doğrulama SAYILMAZ — e-posta kutusu zaten parolanın kurtarma kanalıdır. Artık hesap ele geçirme riski işletmeci tarafından kabul edilmiştir. TOTP sırrı STAJYER uygulama veritabanında tutulmaz; kimlik sağlayıcısında yönetilir.
• Uygulama içi erişim denetim izi: Büro üyelerinin uygulama üzerinden yaptığı müvekkil verisi erişimleri ve üyelik değişiklikleri (belge görüntüleme ve orijinalini indirme, yükleme, silme, dosya açma, davet, rol değişikliği, üye çıkarma, veri dışa aktarma) kim–ne–ne zaman biçiminde kayda geçirilir. Kayıtlar EKLEME-ONLY'dir: yazıldıktan sonra DEĞİŞTİRİLEMEZ; bu, uygulamanın kendi servis anahtarı için de geçerlidir. Silinmeleri ise yalnızca iki tanımlı yoldan mümkündür — organizasyonun tümüyle imhası ve 365 günlük saklama süresi sonunda çalışan otomatik temizlik. Kayıtların değiştirilemezliği koşulsuz, süresiz saklanacakları ise değildir. Kayıtlar Büro'nun Sahip ve Yönetici rolündeki üyelerine açıktır; içeriğinde belge adı, soru metni veya ham IP adresi bulunmaz. Bu izin KAPSAMADIĞI erişim türü için 8.2'ye bakınız.
• Felaketten kurtarma tatbikatı: dosya depolama yedeğinin geri yüklenmesi uçtan uca tatbik edilmiş ve geri yüklenen nesnelerin bayt düzeyinde birebir olduğu doğrulanmıştır.

8.2. Uygulanmayan tedbirler

Aşağıdakiler bugün üründe YOKTUR. Bu liste, Büro'nun kendi risk değerlendirmesini gerçek bilgiyle yapabilmesi için verilmektedir:

• Kurumsal kimlik entegrasyonu (SSO/SAML/SCIM) yoktur.
• STAJYER teknik personelinin ALTYAPI YÖNETİM YETKİSİYLE (veritabanı ve depolama yönetim anahtarıyla) yaptığı doğrudan erişimler kayıt altına ALINMAMAKTADIR. 8.1'deki denetim izi UYGULAMA ÜZERİNDEN yapılan erişimleri kapsar; uygulamayı atlayarak veritabanına doğrudan bağlanan bir yönetim oturumunu kapsamaz. Bu husus meslek sırrı bakımından ayrıca ele alınmıştır.
• Uygulama veya alan seviyesinde ek şifreleme (sağlayıcı şifrelemesinin üstünde) yoktur.
• Bağımsız sızma testi yaptırılmamıştır; ISO 27001, ISO 42001 veya SOC 2 belgesi bulunmamaktadır.
• Saldırı tespit sistemi (IDS/SIEM) ve veri sızıntısı önleme (DLP) çözümü kullanılmamaktadır.
• Parola politikası: platform arayüzü asgari 8 karakter arar; ancak kimlik sağlayıcısı tarafında zorlanan asgari uzunluk 6'dır. Karmaşıklık, süreli değiştirme ve deneme sınırlaması kuralları yoktur.

9. İhlal bildirimi

Kişisel Veri İhlalinin Bildirimi — Veri İşleyen, kişisel verilere ilişkin bir veri güvenliği ihlalini öğrendiğinde, ihlalin kapsamına ilişkin teknik incelemenin tamamlanmasını beklemeksizin, durumu herhangi bir gecikmeye yer vermeksizin ve her hâlde ihlali öğrenmesinden itibaren en geç 24 saat içinde Veri Sorumlusuna bildirir.

İlk bildirim sırasında mevcut olmayan bilgiler, elde edildikçe gecikmeksizin Veri Sorumlusuna iletilir.

Veri Sorumlusunun, 6698 sayılı Kanun'un 12'nci maddesi ve Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı uyarınca, kişisel veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirimde bulunmasına ilişkin yükümlülüğü saklıdır.

İhlalden etkilenen ilgili kişilere bildirim ayrı bir rejime tabidir: bu bildirim için 72 saatlik süre geçerli değildir; etkilenen ilgili kişiler belirlendikten sonra makul olan en kısa süre içinde bilgilendirme yapılır. İki bildirim rejimi birbirinin yerine geçmez.

10. Kamu makamı talepleri

STAJYER, kamu makamlarından gelen veri taleplerini hukuki geçerlilik ve kapsam yönünden değerlendirir; yalnızca hukuken zorunlu olduğu ölçüde veri sağlar ve hukuken yasaklanmadığı ölçüde ilgili kullanıcıyı bilgilendirir.

CMK m.130'daki avukatlık bürosu güvencelerinin buluttaki veriye otomatik olarak ve aynen uygulanacağı taahhüt edilmez; mevzuat bu konuda yeterince açık değildir. Bununla birlikte, avukatlık sırrı niteliğindeki verinin buluta taşınması onu sıradan şirket verisine dönüştürmez. İzlenecek usulün ayrıntısı Meslek Sırrı ve Personel Erişimi sayfasının 5. bölümündedir.

11. İlgili kişi talepleri

Müvekkil dosyalarındaki kişisel verilere ilişkin talepleri karşılamak Büro'nun yükümlülüğüdür. STAJYER'e ulaşan böyle bir talep, sonuçlandırılmaksızın gecikmeksizin Büro'ya iletilir. Platform hesap verilerine ilişkin talepler için KVKK Başvuru sayfasındaki usul uygulanır.

12. Denetim hakkı

Büro, STAJYER'in bu VİS'teki yükümlülüklerine uygunluğunu denetleme hakkına sahiptir. Denetim, yılda bir kez ve makul süre önce yazılı bildirimle; işletmenin olağan işleyişini aksatmayacak biçimde yürütülür.

Denetimin kapsamı dürüstçe belirtilmelidir: STAJYER'in bağımsız bir denetim raporu (ISO/SOC 2) YOKTUR — dolayısıyla denetim, hazır bir sertifikanın sunulmasıyla karşılanamaz. Denetim; yazılı bilgi talebi, güvenlik sorularının yanıtlanması ve uygulanan tedbirlerin belgelenmesi yoluyla gerçekleştirilir. Alt-işleyenlerin veri merkezleri STAJYER'in mülkiyetinde olmadığından, bu tesislerde yerinde denetim STAJYER tarafından sağlanamaz; bu sağlayıcıların kendi denetim raporları, sağlayıcı tarafından yayımlandığı ölçüde Büro'ya iletilir.

13. Sözleşmenin sona ermesi — iade ve imha

Hesabın kapanması veya Büro'nun talebi hâlinde, yüklenen belgeler ve türev kayıtlar silinir. Silme işlemi kaskad olarak yürütülür: belge kaydı ve ona bağlı kayıtlar (madde metinleri, inceleme ve bulgular) veritabanından, arama dizini kayıtları (embedding) dizinden, ikili dosyanın kendisi ise depolamadan kaldırılır.

Bu maddenin dürüstçe belirtilmesi gereken sınırı vardır: veritabanı kaydının silinmesi işlemin ayrılmaz parçasıdır ve garantilidir. Arama dizini kayıtlarının ve depolanan dosyanın kaldırılması ise EN İYİ GAYRET esasına tabidir — bu adımlardan biri teknik bir sebeple başarısız olursa işlem geri alınmaz, aksaklık kayda geçirilir ve operatör tarafından giderilir. Doğrulanmış tam imha teyidi isteyen Büro, bunu yazılı olarak talep edebilir.

Veri çıkışı (iade): Büro, hesabı kapanmadan önce depolamada saklanan orijinal belge kopyalarını ilgili belge ekranından ayrı ayrı; çıkarılmış metin ve diğer organizasyon verilerini ise makine-okunur veri dışa aktarma paketiyle indirebilir.

Yedeklerden düşme süresi ve saklama takvimi için Saklama ve İmha sayfasına bakınız.

14. Sorumluluk

Tarafların bu VİS kapsamındaki sorumluluğu, Kullanım Şartları'ndaki sorumluluk hükümlerine tabidir. Kişisel verilerin korunmasına ilişkin mevzuattan doğan ve sınırlandırılması mümkün olmayan sorumluluk ile kast ve ağır ihmalden doğan sorumluluk saklıdır.

KVKK m.12/2 uyarınca, verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından taraflar müştereken sorumludur; bu hüküm, tarafların birbirine rücu hakkını ortadan kaldırmaz.

15. Süre, değişiklik ve uygulanacak hukuk

Bu VİS, Büro'nun platformu kullandığı süre boyunca yürürlüktedir. Metinde yapılacak ve Büro'nun haklarını önemli ölçüde etkileyen değişiklikler, yürürlüğe girmeden önce duyurulur. Bu VİS Türkiye Cumhuriyeti hukukuna tabidir; uyuşmazlıklarda [TİCARET UNVANI — DOLDURULACAK] ile Büro arasındaki Kullanım Şartları'nın yetki hükmü uygulanır.