Veri işleme protokolü
Avukat ve hukuk bürolarının veri sorumlusu, [Şirket unvanı]’nın veri işleyen sıfatıyla taraf olduğu işleme ilişkisinin çerçevesi.
1. Tarafların sıfatı
Platforma yüklenen dava dosyaları ve müvekkil belgeleri bakımından veri sorumlusu avukat ya da hukuk bürosudur (“Müşteri”). [Şirket unvanı] bu veriler bakımından veri işleyen sıfatıyla, yalnızca Müşteri’nin talimatları doğrultusunda ve hizmetin sunulması amacıyla işleme yapar.
2. İşlemenin konusu ve süresi
- Konu: Platform hizmetlerinin sunulması (arama, belge üretimi, dönüştürme, büro yönetimi)
- Süre: Abonelik (ya da deneme) süresi ve sona ermesinden itibaren 60 günlük iade (dışa aktarma) süresi; mali kayıtlar için ayrıca 7. maddedeki mali arşiv süresi (Vergi Usul Kanunu m. 253); silinen veriler için yedeklerde en fazla 30 gün daha
- Veri türleri: Dosya içeriğinde yer alan kimlik, iletişim, hukuki işlem ve dava bilgileri; niteliği gereği özel nitelikli veri içerebilir
- İlgili kişiler: Müvekkiller, karşı taraflar, tanıklar ve dosyada adı geçen diğer kişiler
3. Veri işleyenin yükümlülükleri
- Verileri yalnızca Müşteri’nin yazılı talimatları doğrultusunda işlemek
- Verileri yapay zekâ modellerinin eğitiminde kullanmamak
- Erişim yetkisi verilen personelin gizlilik yükümlülüğü altında olmasını sağlamak
- KVKK m. 12 kapsamında uygun teknik ve idari tedbirleri almak
- Müşteri’nin ilgili kişi taleplerini karşılamasına makul ölçüde yardımcı olmak
- Denetim taleplerine, önceden bildirim koşuluyla ve makul sıklıkta yanıt vermek
4. Teknik ve idari tedbirler
- Aktarımda TLS (HTTPS); parolaların özetlenerek (hash) saklanması
- Rol bazlı erişim denetimi (yönetici / avukat / personel); çok sayıda hatalı girişte hesap kilidi
- Her büronun verisinin diğer bürolardan yalıtılması
- Mali İşler belge kasasındaki dosyaların her büroya ayrı anahtarla şifrelenmesi (AES-256-GCM) ve bütünlüklerinin SHA-256 özetiyle denetlenmesi
- Mali belgelerden alan okumanın (OCR) platformun kendi sunucusunda yapılması; belge metninin yapay zekâ sağlayıcısına yalnızca kullanıcı her seferinde ayrıca onay verirse, T.C. kimlik, IBAN ve kart numarası gibi numaralar maskelenerek gönderilmesi
- Yönetimsel işlemlerin denetim kaydına yazılması
- Yazılım değişikliklerinin canlıya alınmadan önce otomatik testlerle denetlenmesi (ayrı bir test sunucusu bulunmamaktadır; testler geliştirme ortamında yapılır)
- Günlük otomatik yedekleme; yedeklere yalnızca yetkili sistem yöneticisi erişebilir ve yedekler en fazla 30 gün saklanır
- Personel için düzenli veri koruma eğitimi
5. Alt işleyenler
Barındırma, e-posta gönderimi, ödeme ve destek altyapısı için alt işleyen kullanılabilir. Güncel alt işleyen listesi talep üzerine paylaşılır; listede değişiklik yapılmadan önce Müşteri bilgilendirilir ve itiraz hakkı tanınır. Kendi sunucunuzdaki kurulumda barındırma alt işleyeni bulunmaz.
| Hizmet | Amaç | Konum |
|---|---|---|
| [Barındırma sağlayıcısı] | Sunucu ve veri tabanı | [konum] |
| Yapay zekâ sağlayıcısı (seçime göre Google Gemini, Anthropic Claude veya OpenAI) | Yapay zekâ özelliklerinde ilgili metnin işlenmesi | [konum] |
| [E-posta sağlayıcısı] | İşlemsel e-posta | [konum] |
| [Ödeme kuruluşu] | Abonelik tahsilatı | Türkiye |
6. İhlal bildirimi
Veri ihlali tespit edildiğinde Müşteri, gecikmeksizin ve her hâlde 24 saat içinde bilgilendirilir. Bildirim; ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık ilgili kişi sayısını, alınan ve alınması önerilen tedbirleri içerir. Kurul’a bildirim yükümlülüğü veri sorumlusu sıfatıyla Müşteri’ye aittir.
7. İade ve imha
(1) Abonelik ya da deneme süresi sona erdiğinde hesabınız 60 gün boyunca salt okunur kipte açık kalır. Bu sürede giriş yapabilir, kayıtlarınızı görüntüleyebilir ve Ayarlar › Sistem › Tüm verileri dışa aktar ile hepsini (her bölüm JSON ve Excel ile açılan CSV olarak) indirebilirsiniz. Yeni kayıt, düzenleme ve yapay zekâ işlemleri bu sürede kapalıdır. Üyeliği bu süre içinde yenilerseniz kayıtlarınız olduğu gibi devam eder.
(2) Büro yöneticisinin e-posta adresine; üyeliğin sona erdiği gün ile silmeden 30, 7 ve 1 gün önce hatırlatma gönderilir. Ücretli aboneliğin bitmesine 7 ve 1 gün kala ayrıca bilgi verilir. Mali arşivin süresi bitmeden 30 gün önce de hatırlatma gönderilir.
(3) 60 günlük sürenin sonunda Müşteri’ye ait dava, randevu, belge, şablon, yapay zekâ sohbeti ve büro WhatsApp kayıtları, personel hesapları ve mali kayıtlarla ilişkisi bulunmayan müvekkil kayıtları canlı sistemden kalıcı olarak silinir. Mali kaydı bulunmayan büroda bütün veriler bu tarihte silinir. Bu madde, Müşteri’nin veri sorumlusu sıfatıyla verdiği silme ve saklama talimatıdır.
(4) Mali arşiv. Avukat, defter ve belgelerini ilgili oldukları yılı izleyen takvim yılından başlayarak beş yıl saklamakla yükümlüdür (213 sayılı Vergi Usul Kanunu m. 253). Bu nedenle Müşteri’nin mali kayıtları (gelir ve gider kayıtları, ücret sözleşmeleri ve avanslar, dönem ve imza kayıtları, mali belge kasasındaki belgeler, mali denetim izi ve mali müşavir notları) ile bu kayıtlarla ilişkili müvekkillerin yalnızca vergi için gereken bilgileri (ad-soyad ya da unvan, T.C. kimlik ya da vergi kimlik numarası, vergi dairesi, stopaj ve tevkifat bilgisi) 60 günlük sürenin sonunda silinmez; üyeliğin sona erdiği yılı izleyen takvim yılından başlayarak 5 yıl, beşinci yılın 31 Aralık günü sonuna kadar salt okunur mali arşivde tutulur. Bu müvekkillerin telefon, e-posta, adres ve not bilgileri silinir. Arşivdeki kayıtları yalnızca Müşteri’nin büro yöneticisi ve avukat hesapları görüntüleyebilir ve dışa aktarabilir (her dönem için Mali Arşiv Paketi dahil); yeni kayıt ve düzenleme yapılamaz, mali müşavir erişimi kapanır. Arşiv süresinin sonunda mali arşiv de kalıcı olarak silinir. Üyelik bu süre içinde yenilenirse arşiv kaldırılır; daha önce silinmiş veriler geri gelmez. Bu fıkra, protokolün bu sürümünü kabul eden bürolara uygulanır; önceki bir sürümü kabul etmiş ve bu sürümü kabul etmemiş büronun bütün verileri, önceki sürümdeki talimat uyarınca 60 günlük sürenin sonunda silinir.
(5) Silinen veriler, yalnızca felaket kurtarma amacıyla tutulan ve yalnızca yetkili sistem yöneticisinin erişebildiği yedeklerde en fazla 30 gün daha kalır; yedek döngüsü tamamlandığında bu kopyalar da kendiliğinden silinir. Bir yedekten geri dönülmesi gerekirse silinmiş hesaplar ve kayıtlar yeniden silinir. Böylece mali olmayan veriler üyeliğin sona ermesinden itibaren en geç 90 gün, mali arşiv ise arşiv süresinin bitiminden itibaren en geç 30 gün içinde tüm kopyalardan kaldırılmış olur.
(6) Müşteri, süre dolmadan kvkk@mestech.com.tr adresine yazarak erken silme isteyebilir; talep en geç 30 gün içinde yerine getirilir. Erken silme mali arşivi de kapsar; mali kayıtların Vergi Usul Kanunu kapsamındaki saklama yükümlülüğü Müşteri’de olduğundan talepten önce Mali Arşiv Paketlerinin indirilmesi önerilir. Haklı bir sebeple bir defaya mahsus olmak üzere 60 günlük süre için 30 güne kadar uzatma da istenebilir.
(7) Yetkili bir makamın talebi ya da süren bir uyuşmazlık nedeniyle saklama zorunluluğu doğarsa silme, bu zorunluluk sona erene kadar ertelenir ve Müşteri bilgilendirilir.
(8) Her silme aşaması (60. gündeki silme ve mali arşivin silinmesi) tamamlandığında Müşteri’ye bildirim gönderilir ve imha defterine yazılır; talep hâlinde imha tutanağı düzenlenir. Fatura, ödeme ve sözleşme kayıtları gibi Şirket’in kendi yasal saklama yükümlülüğüne tabi kayıtlar, KVKK aydınlatma metninde belirtilen sürelerle ayrıca saklanır.
(9) Platform, (4). fıkradaki mali arşiv dışında bir arşiv hizmeti değildir. Avukatın kendisine tevdi olunan evrakı vekâletin sona ermesinden itibaren üç yıl saklama yükümlülüğü (1136 sayılı Avukatlık Kanunu m. 39) Müşteri’ye aittir; bu kapsamdaki kayıtların süre dolmadan dışa aktarılması Müşteri’nin sorumluluğundadır. Mali arşiv, Müşteri’nin Vergi Usul Kanunu m. 253 yükümlülüğünü yerine getirmesini kolaylaştırır; yükümlülük Müşteri’de kalır.