Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca; kişisel verilerinizin hangi amaçla ve hangi hukuki sebebe dayanarak işlendiğini, kimlere hangi çerçevede aktarılabileceğini ve KVKK kapsamındaki haklarınızı açıklamak üzere hazırlanmıştır.
1. Veri sorumlusunun kimliği
- Unvan: [TİCARET UNVANI — DOLDURULACAK] (metinde "STAJYER" veya "Platform" olarak anılır)
- Adres: [AÇIK ADRES — DOLDURULACAK]
- MERSİS No: [MERSİS NO — DOLDURULACAK]
- Vergi dairesi / VKN: [VERGİ DAİRESİ VE VKN — DOLDURULACAK]
- E-posta: iletisim@stajyer.ai
Başvuru kanallarının tamamı ve başvuruda bulunması gerekenler için KVKK Başvuru sayfasına bakınız.
2. Hangi veriler için veri sorumlusuyuz
Platformdaki her veri bakımından veri sorumlusu STAJYER değildir; sıfat veriye göre değişir. Bu ayrım, taleplerinizi kime yönelteceğinizi belirlediği için önemlidir:
- Bu aydınlatma metninin kapsamı: platform hesap ve kimlik verileriniz, asistan sohbet kayıtlarınız ve kullanım telemetrisi. Bu veriler bakımından veri sorumlusu STAJYER'dir.
- Kapsam dışı — müvekkil dosyaları: bir hukuk bürosunun platforma yüklediği müvekkil dosyaları ve içerikleri bakımından veri sorumlusu ilgili HUKUK BÜROSUDUR; STAJYER bu veriler için yalnızca veri işleyendir ve onları büronun talimatı doğrultusunda işler. Bu dosyalardaki verilere ilişkin talepleri ilgili büroya yöneltmeniz gerekir. Büro ile aramızdaki ilişkinin şartları Veri İşleme Sözleşmesi'nde düzenlenmiştir.
Hesap açmadan siteyi yalnızca ziyaret ederken oluşabilecek kayıtlar için Ziyaretçi Aydınlatma Metni; henüz hesabınız yokken e-postayla ilettiğiniz erken erişim ve demo talepleri için İletişim Aydınlatma Metni geçerlidir.
3. İşlenen kişisel veri kategorileri
Platformu kullanımınız kapsamında aşağıdaki veri kategorileri işlenir:
- Hesap ve kimlik verileri: ad-soyad, e-posta adresi, platform içi rolünüz (ör. avukat, stajyer) ve bağlı olduğunuz organizasyon bilgisi.
- Ekip daveti verileri: bir hukuk bürosuna üye olarak davet edildiğinizde tutulan davet kaydı: e-posta adresiniz, davet edildiğiniz rol, davetin son geçerlilik tarihi ve daveti gönderen kullanıcı. Davet bağlantısına tıkladığınızda açılan ekranda size hangi büroya, KİM TARAFINDAN, hangi rolle ve ne zamana kadar davet edildiğiniz gösterilir; daveti gönderen kullanıcının ADI da bu ekranda görünür. Bu gösterimin amacı, tanımadığınız bir hesaba şifre kurmadan önce bilinçli bir karar verebilmeniz ve sahte davet sayfalarını ayırt edebilmenizdir; daveti gönderen kişinin e-posta adresi gösterilmez. Aynı bilgiler size gönderilen davet e-postasında da yer alır. Kendi adınız ise davete konu büroya yalnızca daveti kabul ettiğinizde iletilir.
- Yüklenen belgeler ve içerikleri: platforma yüklediğiniz sözleşme ve diğer belgeler ile bu belgelerin içerikleri — belgelerde yer alan üçüncü kişilere (ör. müvekkil, karşı taraf) ait kişisel veriler dahil. Bu verilerin hukuka uygun şekilde temin edilmiş olması, belgeyi yükleyen kullanıcının ve organizasyonunun sorumluluğundadır.
- Asistan sohbet kayıtları: hukuki asistana yönelttiğiniz sorular, aldığınız yanıtlar ve bu görüşmelere ilişkin kayıtlar.
- Kullanım telemetrisi: platformun işleyişine ve hatalarına ilişkin teknik kayıtlar. Telemetriye kullanıcı kimliği yazılmaz; asistana yöneltilen soru ham metin olarak değil, yalnızca hash'iyle tutulur. Kayıtta organizasyon kimliği, kiracı ayrımı için ham olarak bulunur. Telemetri şemasında içerik kolonu yoktur: belge metni ve ham soru hiç yazılmaz; teknik hata kayıtlarında yalnız kısaltılmış hata mesajı tutulur.
4. İşleme amaçları ve hukuki sebepler
Kişisel verileriniz aşağıdaki amaçlarla ve karşılarında belirtilen hukuki sebeplere dayanılarak işlenir:
- Hizmetin sunulması (hesabınızın oluşturulması ve yönetimi, belge inceleme, iş akışları ve asistan işlevlerinin çalıştırılması): KVKK m.5/2(c) — bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
- Güvenlik ve denetim (UYAP aktarımlarının denetim kaydına yazılması, kötüye kullanımın önlenmesi, hata izleme): KVKK m.5/2(f) — ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
- UYAP eklentisi üzerinden belge aktarımı: KVKK m.5/1 — açık rızanız. Bu işleme faaliyeti yalnızca 7. bölümde açıklanan rıza modeli çerçevesinde yürütülür ve rıza verilmedikçe gerçekleşmez.
5. Verilerin aktarıldığı taraflar ve yurt dışına aktarım
Kişisel verileriniz; reklam, profilleme veya veri ticareti amacıyla hiçbir üçüncü tarafa aktarılmaz. Aktarım yalnızca hizmetin teknik olarak sunulabilmesi için zorunlu olan barındırma ve altyapı hizmet sağlayıcılarıyla sınırlıdır:
- AWS (Amazon Web Services) — sözleşme tarafı AWS Turkey Pazarlama Teknoloji ve Danışmanlık Hizmetleri Limited Şirketi; model çağrıları eu-central-1 (Frankfurt/Almanya) çıkışlı, çapraz-bölge çıkarım profili üzerinden
- Supabase — veritabanı ve dosya depolama, Frankfurt/Almanya
- Vercel — uygulama barındırma, fra1 (Frankfurt) bölgesi
Verileriniz Almanya'da (Frankfurt) saklanmaktadır. Model çağrıları bakımından işleme, Frankfurt çıkışlı olmakla birlikte AB üyesi ülkelerdeki şu 6 bölgeden herhangi birinde de gerçekleşebilir: Frankfurt (Almanya), İrlanda, Paris (Fransa), Stockholm (İsveç), Milano (İtalya) ve İspanya (Aragón). Bu çağrılarda veri işlenir, saklanmaz. Arama dizini (embedding) üretimi bu profilden bağımsızdır ve tek bölgede yürür (yalnız eu-central-1 (Frankfurt)). Her hâlde aktarım AB/AEA sınırları içinde kalır. Sağlayıcılar verileri yalnızca hizmetin sunulması amacıyla ve talimatlarımız doğrultusunda işler.
Bir sağlayıcının ticari sözleşme tarafının Türkiye'de bulunması, verinin yukarıdaki bölgelerde işlenmesini ve bunun KVKK m.9 bakımından yurt dışına aktarım sayılmasını değiştirmez; sözleşme tarafı ile fiilî veri alıcısı Alt-İşleyenler envanterinde ayrı ayrı gösterilir.
Açıkça belirtilmesi gereken husus
Verilerin AB'de bulunması, KVKK bakımından aktarımı "yurt içi" hâline GETİRMEZ. Türk hukuku yönünden Almanya yurt dışıdır ve buraya yapılan her aktarım KVKK m.9 kapsamında bir yurt dışına aktarımdır.
Bu aktarım için KVKK m.9'da öngörülen mekanizmalardan hangisine dayanılacağı (uygun güvencelere dayalı aktarım — ör. Kurul tarafından belirlenen standart sözleşme — veya başka bir yol) HENÜZ KARARLAŞTIRILMAMIŞ, gereken bildirim/onay usulleri TAMAMLANMAMIŞTIR. Bu metin, kurulmuş bir aktarım dayanağı beyan etmez. Mekanizma kurulduğunda bu bölüm güncellenecek ve metnin güncellenme tarihi değişecektir.
6. Veri lokasyonu
Uygulama barındırma, veritabanı, belge ve dosya depolama ile arama dizinleri (embedding) Frankfurt (Almanya) bölgesindedir; verileriniz bu bölgede saklanır. Arama dizini üretimi de tek bölgede yürür (yalnız eu-central-1 (Frankfurt)) ve aşağıdaki çıkarım profilini kullanmaz. Yapay zekâ işleme çağrıları Frankfurt'tan başlar; ancak model çağrıları AWS Bedrock'un şu 6 AB bölgesini kapsayan çapraz-bölge çıkarım profili üzerinden yürütülür: Frankfurt (Almanya), İrlanda, Paris (Fransa), Stockholm (İsveç), Milano (İtalya) ve İspanya (Aragón). Tekil bir çağrı, o anki kapasiteye göre bu bölgelerden herhangi birinde karşılanabilir. Bu çağrılarda veri işlenir, saklanmaz. Her alt-işleyenin işleme konumu, bugün AB dışında bulunan ve devre dışı duran tek uç dahil, Alt-İşleyenler envanterinde tek tek sayılır; bir işleme konumunun değişmesi envanterin değişiklik usulüne tabidir.
Bu bölüm verinin FİİLEN NEREDE durduğunu anlatır; hukuki nitelendirmeyi değil. Almanya'da bulunmak, KVKK bakımından aktarımı yurt içi hâline getirmez — 5. bölümdeki açıklamaya bakınız.
7. Saklama süreleri ve silme
Kişisel verileriniz, işleme amacının gerektirdiği süre boyunca — kural olarak hesabınız ve organizasyonunuzun üyeliği devam ettiği sürece — saklanır. Mevzuattan doğan saklama yükümlülükleri saklıdır.
Silme talebiniz üzerine silme işlemi kaskad olarak yürütülür: belge kaydı ve ona bağlı kayıtlar, belgeden türetilen arama dizini kayıtları (embedding) ve ikili dosyanın kendisi birlikte silinir. Veritabanı kaydının silinmesi garantilidir; arama dizini ve depolanan dosyanın kaldırılması en iyi gayret esasına tabidir.
Silinen bir veri, silme anından itibaren canlı sistemde bulunmaz; silme öncesinde alınmış yedeklerde ise o yedek yaşlanıp düşene kadar bulunmaya devam eder. Kayıt türlerine göre saklama süreleri, silme kaskadının sınırları, yedeklerin saklanma süresi ve bugün otomatik temizliği bulunmayan kayıtlar Saklama ve İmha sayfasında ayrıntılı ve açık şekilde belirtilmiştir.
8. UYAP aktarımı ve açık rıza modeli
STAJYER, isteğe bağlı bir tarayıcı eklentisiyle, UYAP Avukat Portal'daki kendi açık oturumunuzda gördüğünüz dosyaları seçip platforma aktarmanıza imkân tanır.
Bu resmi bir UYAP API'si değildir. Kullanıcı kontrollü bir tarayıcı eklentisi aktarımıdır. UYAP kimlik bilgileri (kullanıcı adı, şifre, e-imza, oturum çerezi, token) okunmaz, saklanmaz ve sunucuya gönderilmez.
Aktarım, aşağıdaki açık rıza modeline tabidir:
- Yalnızca eklentide manuel olarak seçtiğiniz dosyalar aktarılır; otomatik veya arka planda aktarım yoktur.
- Aktarılan belgeler yalnızca organizasyonunuz kapsamında saklanır: aktarım ve dosya kayıtları veritabanı seviyesinde (RLS), belge metni ve arama dizini ise uygulama katmanındaki organizasyon filtresiyle diğer organizasyonlardan ayrılır.
- Her aktarım denetim kaydına yazılır: kim, ne zaman, kaç belge aktardı.
- Rıza metni sürümlenir; rıza metninin sürümü değiştiğinde aktarım yapılabilmesi için rızanız yeniden alınır.
- Rızanızı dilediğiniz zaman geri çekebilirsiniz; bağlantıyı kaldırdığınızda yeni aktarım yapılamaz.
9. KVKK m.11 kapsamındaki haklarınız ve başvuru yolu
KVKK m.11 uyarınca veri sorumlusuna başvurarak;
- Kişisel verilerinizin işlenip işlenmediğini öğrenme,
- Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
- Verilerin eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme,
- KVKK m.7'de öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme,
- Düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
- Verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
haklarına sahipsiniz.
Başvurunuzu yazılı olarak veya kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza ya da sistemimizde kayıtlı e-posta adresiniz üzerinden iletebilirsiniz. Kanalların tamamı, başvurunuzda bulunması gerekenler ve kimlik doğrulaması hakkında ayrıntı için KVKK Başvuru sayfasına bakınız.
Başvurunuzun size ait olduğunun teyidi için kimlik doğrulaması yapılır; yanıt yalnızca kimliği doğrulanmış başvuru sahibine verilir. Başvurular, KVKK m.13 uyarınca en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Başvurunuzun reddedilmesi, verilen yanıtı yetersiz bulmanız veya süresinde yanıt verilmemesi hâllerinde; yanıtı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır. KVKK m.13'teki başvuru yolu tüketilmeden Kurul'a şikâyette bulunulamaz.