Veri İşleme Sözleşmesi (DPA)

Bu Veri İşleme Sözleşmesi ("DPA"), bir tarafta hizmeti kullanan avukat/hukuk bürosu ("Veri Sorumlusu"— vekil sıfatıyla) ile diğer tarafta LawIndex (Keremcan Şeker — "Law Index Yazılım", "Veri İşleyen") arasında akdedilir ve Kullanım Şartları’nın ayrılmaz ekidir.

• Veri Sorumlusu: Kullanıcı, vekil sıfatıyla yönettiği müvekkil/dosya verileri bakımından veri sorumlusudur.
• Veri İşleyen: LawIndex, bu verileri yalnızca Veri Sorumlusu’nun talimatları ve Hizmet’in sunumu çerçevesinde işler.

Kullanıcı’nın kendisine ait kişisel veriler (hesap, fatura vb.) bu DPA kapsamında değildir; onlar bakımından LawIndex veri sorumlusudur ve KVKK Aydınlatma Metni uygulanır.

KVKK’daki tanımlar esas alınır. "Müvekkil Verisi"; Veri Sorumlusu’nun Platform’a girdiği veya Eklenti aracılığıyla aktardığı müvekkil, karşı taraf, tanık, borçlu ve sair ilgili kişilere ait kişisel verileri ifade eder. "Alt-İşleyen"; Veri İşleyen’in, Müvekkil Verisi’nin işlenmesinde yararlandığı üçüncü taraf hizmet sağlayıcıyı ifade eder.

Veri İşleyen, Müvekkil Verisi’ni yalnızca:

• Hizmet’in sunulması amacıyla ve bu amaçla sınırlı olarak,
• Veri Sorumlusu’nun bu DPA, Kullanım Şartları ve Platform üzerinden verdiği talimatlar doğrultusunda,
• Yürürlükteki mevzuata uygun olarak işler.

Veri İşleyen, Müvekkil Verisi’ni kendi amaçları için kullanmaz, satmaz, ölçüm/profilleme dışı amaçla işlemez ve hiçbir koşulda yapay zekâ modeli eğitiminde kullanmaz. Bir mevzuat hükmü işlemeyi zorunlu kılarsa, yasak olmadıkça Veri İşleyen bunu Veri Sorumlusu’na bildirir.

İşlenen veri kategorileri, ilgili kişi grupları, işleme amacı ve süresi Ek-1’de tanımlanır. Süre, ilgili Hesap/abonelik aktif olduğu müddetçe ve bu DPA’nın silme/iade hükümleri saklı kalmak üzere devam eder.

Veri İşleyen; Müvekkil Verisi’ne erişebilen personelinin gizlilik yükümlülüğü altında olmasını sağlar. Avukatlık Kanunu m.36 sır saklama yükümlülüğünün hassasiyetiyle hareket eder; mahkeme/kurul kararı veya Veri Sorumlusu’nun açık talebi (ör. destek için verilen geçici erişim) dışında Müvekkil Verisi’nin içeriğine erişmez.

Veri İşleyen, uygun teknik ve idari tedbirleri alır:

• Aktarımda TLS 1.3; durağan veride AES-256 at-rest şifreleme; kimlik bilgilerinde bcrypt.
• Satır düzeyinde erişim kontrolü (RLS), rol/yetki bazlı erişim, en az yetki ilkesi ve çalışma alanları arasında veri izolasyonu.
• Erişim ve işlem logları, izleme ve düzenli güvenlik güncellemeleri/testleri.
• Yedekleme ve felaket kurtarma süreçleri; ortam ve erişim ayrıştırması.

Veri Sorumlusu, Hizmet’in sunumu için gerekli alt-işleyenlerin kullanılmasına genel olarak izin verir. Kullanılan alt-işleyenler isim ve ülke belirtilerek aşağıda listelenir:

Veri İşleyen; alt-işleyenleri bu DPA ile en az eşdeğer yükümlülüklere yazılı olarak bağlar ve alt-işleyenin edimlerinden Veri Sorumlusu’na karşı sorumlu kalır.

Değişiklik bildirimi: Yeni bir alt-işleyen ekleneceğinde veya mevcut biri değiştirileceğinde, değişiklik yürürlüğe girmeden en az 30 gün önce e-posta ile bildirim yapılır ve bu tablo güncellenir. Veri Sorumlusu bu süre içinde haklı gerekçeyle itiraz edebilir; itiraz çözülemezse aboneliği cezasız feshedebilir ve ödenmiş olup kullanılmayan döneme ait bedel gün esasına göre iade edilir.

Yapay zekâ alt-işleyenine yapılan aktarım, yalnızca Veri Sorumlusu ilgili özelliği kullandığında ve o işlemde gönderilen istemle sınırlı olarak gerçekleşir. Gönderilen içeriğin model eğitiminde kullanılmayacağı ve sınırlı süre sonunda silineceği, sağlayıcıyla akdedilen sözleşmeyle güvence altına alınmıştır.

Veri İşleyen; bir ilgili kişinin (müvekkil, karşı taraf vb.) KVKK m.11 kapsamındaki talebini doğrudan kendisi yanıtlamaz, gecikmeksizin Veri Sorumlusu’na yönlendirir ve Veri Sorumlusu’nun bu talepleri karşılaması için Platform’un sunduğu görüntüleme, düzeltme, dışa aktarma ve silme araçlarıyla makul desteği sağlar.

Veri İşleyen, Müvekkil Verisi’ni etkileyen bir ihlali öğrendiğinde, Veri Sorumlusu’nun KVKK m.12/5 kapsamındaki yükümlülüklerini zamanında yerine getirebilmesi için gecikmeksizin ve mümkünse 24 saat içinde Veri Sorumlusu’na bildirir; ihlalin niteliği, etkilenen veri ve kişiler, olası sonuçlar ve alınan/önerilen tedbirler hakkında makul bilgi ve desteği sağlar. Kurul’a/ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Veri Sorumlusu’na aittir.

Hizmet’in sona ermesi veya Veri Sorumlusu’nun talebi üzerine Veri İşleyen, tercih edilen şekilde Müvekkil Verisi’ni iade eder veya siler.

• İade (dışa aktarma): Veriler; kayıtlar için yapılandırılmış ve makine tarafından okunabilir formatta (CSV veya JSON), yüklenen belgeler için orijinal dosya formatında, ücretsiz olarak ve talepten itibaren en geç 7 gün içinde teslim edilir. Bu hak, Hizmet süresince ve fesihten sonraki 30 gün boyunca kullanılabilir (Kullanım Şartları m.17).
• Silme: Hesap silindikten sonra Müvekkil Verisi en geç 30 gün içinde kalıcı olarak imha edilir; yedeklerdeki kopyalar rutin yedek döngüsü içinde, en geç 90 gün içinde silinir.
• İmha kaydı: İmha işlemi tarih ve kapsam belirtilerek kayıt altına alınır; Veri Sorumlusu talep ederse imha kaydının bir örneği kendisine verilir.
• Yasal saklama zorunluluğu bulunan veriler, ilgili süre boyunca yalnızca bu amaçla ve erişimi kısıtlanmış olarak saklanır.

Veri İşleyen, bu DPA’ya uyumu göstermek için gerekli bilgileri makul talep üzerine Veri Sorumlusu’na sağlar. Veri Sorumlusu, gizlilik ve güvenlik gereklerine uyarak ve faaliyeti aksatmayacak biçimde, yılda bir kez veya makul sebeple denetim/inceleme talep edebilir; tarafların mutabakatıyla bağımsız denetim raporları kabul edilebilir.

Veri İşleyen’in sunucuları Almanya’dadır; bu nedenle Müvekkil Verisi KVKK m.9 anlamında yurt dışında işlenmektedir. Yapay zekâ özellikleri kullanıldığında ilgili istem ayrıca Amerika Birleşik Devletleri’ndeki alt-işleyene aktarılır.

Yurt dışına aktarımlarda KVKK m.9 uygulanır: Kurul’ca yeterlilik kararı bulunmayan ülkeler bakımından Kanun’da öngörülen uygun güvencelerden biri (standart sözleşme veya taahhütname) esas alınır. Veri Sorumlusu, kendi ilgili kişilerine karşı aydınlatma yükümlülüğünü yerine getirebilmesi için bu bilgiyi kullanabilir; talep halinde Veri İşleyen, aktarıma ilişkin güvence belgeleri hakkında bilgi verir.

Tarafların bu DPA’dan doğan sorumluluğu, Kullanım Şartları’ndaki sorumluluk sınırlamalarına tabidir. Her taraf, kendi sıfatından kaynaklanan KVKK yükümlülüklerinin ihlalinden sorumludur; Veri Sorumlusu, Platform’a girdiği verilerin hukuka uygunluğundan, Veri İşleyen ise talimat ve bu DPA’ya aykırı işlemeden sorumludur.

Bu DPA, Hizmet kullanıldığı sürece yürürlüktedir. Kişisel verilerin işlenmesine ilişkin konularda bu DPA ile diğer sözleşmeler arasında çelişki olması halinde bu DPA önceliklidir.