Gizlilik ve Kişisel Verilerin Korunması
Bu metin, KelsenAI (kelsenai.com, app.kelsenai.com, iOS ve Android uygulamaları) hizmetini kullanırken hangi verilerin, nerede, hangi amaçla ve nasıl işlendiğini açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, Kişisel Veri Güvenliği Rehberi ve uygulanabilir olduğu ölçüde GDPR kapsamında aydınlatma yükümlülüğü bu metinle yerine getirilir. Avukatlar için ayrıca 1136 sayılı Avukatlık Kanunu m. 36 (sır saklama) gözetilerek tasarlanmıştır.
1. Roller: veri sorumlusu kimdir?
Avukat / hukuk bürosu, kendi dosyalarına girdiği müvekkil, karşı taraf, tanık ve üçüncü kişi verileri bakımından veri sorumlusudur. KelsenAI (PBDM LLC) bu veriler bakımından veri işleyendir; verileri yalnızca avukatın talimatı doğrultusunda ve hizmeti sunmak için işler, kendi amaçları için kullanmaz, üçüncü kişilere satmaz, model eğitiminde kullanmaz ve kullandırmaz.
Hesap verileri (ad, e-posta, büro, ödeme ve kullanım kayıtları) bakımından veri sorumlusu PBDM LLC'dir. Bu metnin 11. bölümü, avukat ile KelsenAI arasındaki veri işleme sözleşmesi hükümlerini içerir ve hizmeti kullanmakla kabul edilmiş sayılır.
2. İşlenen veriler
- Hesap verileri: ad soyad, e-posta, büro adı, şifre (geri döndürülemez özet), rol, oturum ve cihaz kayıtları.
- Dosya verileri: dosyalar, müvekkil bilgileri, taraflar, mahkeme ve esas numaraları, ajanda, notlar, süre hesapları.
- Evraklar: yüklenen veya UYAP'tan aktarılan belgeler, bunlardan çıkarılan metinler, analizler, üretilen taslaklar, sohbet ve savunma çalışması kayıtları.
- UYAP oturumu: tarayıcı eklentisiyle gönderilen oturum bilgisi şifreli saklanır; e-imza ve UYAP şifresi hiçbir zaman KelsenAI'ye iletilmez.
- Ödeme: kart bilgileri yalnızca Stripe tarafından işlenir; KelsenAI abonelik durumu ve fatura kayıtlarını tutar.
- Teknik veriler: cihaz modeli, uygulama sürümü, hata kayıtları, push bildirim adresi, erişim kayıtları.
3. Verilerin bulunduğu yer: Türkiye
Dosya, evrak, müvekkil ve belge verileri Türkiye Cumhuriyeti sınırları içinde, İstanbul'daki veri merkezinde (Radore) bulunan sunucularda saklanır. Veritabanı, dosya depolama ve yedekler Türkiye'de tutulur; yedekler şifreli olarak ayrı bir alanda saklanır. Türkiye dışında yalnızca 6. bölümde sayılan alt işleyiciler, orada açıklanan sınırlı amaçlarla veri işler.
4. Her avukata ayrı şifreli alan
Her hesap (büro) için ayrı bir veri şifreleme anahtarı üretilir. Evrak dosyaları, evrak metinleri, belgeler, sohbet kayıtları, müvekkil kimlik ve iletişim bilgileri bu anahtarla şifrelenerek (AES-256) saklanır; anahtarlar ana anahtarla sarmalanır ve veritabanından ayrı yönetilir. Bir büronun verisi başka bir büro tarafından teknik olarak okunamaz. Sunucu diskleri ayrıca tam disk şifrelemesiyle korunur; aktarımda TLS kullanılır. KelsenAI personeli, avukatın yazılı talebi ve bilgisi dışında dosya içeriğine erişmez; her erişim kayıt altına alınır.
5. İşleme amaçları ve hukuki dayanak
- Hizmetin sunulması: dosya yönetimi, süre hesabı, hatırlatma, belge taslağı, içtihat araması, UYAP aktarımı (KVKK m. 5/2-c, sözleşmenin ifası).
- Yapay zeka işlemleri: evrak analizi, taslak ve savunma çalışması, kendi geliştirdiğimiz KelsenAI Uno-1.4 modeliyle yapılır (m. 5/2-c). Model Türkiye'deki altyapımızda çalışır; dosya verileri modelin eğitiminde kullanılmaz.
- Bildirim ve e-posta: hatırlatma, günlük özet, destek yanıtı (m. 5/2-c); pazarlama iletisi yalnızca açık rızayla.
- Güvenlik, erişim kaydı ve hata takibi (m. 5/2-f, meşru menfaat).
- Yasal yükümlülükler: fatura ve muhasebe kayıtları (m. 5/2-ç).
6. Yurt dışına aktarım ve alt işleyiciler
Veriler kural olarak Türkiye'den çıkmaz. Aşağıdaki alt işleyiciler yalnızca belirtilen amaç ve kapsamda, veri işleme sözleşmesi ve KVKK m. 9 kapsamındaki güvencelerle kullanılır:
- Yapay zeka: analiz, taslak ve savunma çalışması KelsenAI Uno-1.4 modeliyle Türkiye'deki altyapımızda yapılır; bu işlemler için dosya verisi yurt dışına aktarılmaz.
- Stripe (ABD/İrlanda): ödeme; yalnızca hesap sahibinin ad, e-posta ve ödeme bilgisi.
- Resend: e-posta gönderimi; yalnızca alıcı adresi ve ileti içeriği.
- Expo, Apple, Google: push bildirimi; yalnızca bildirim adresi ve kısa bildirim metni, dosya içeriği gönderilmez.
- Yargıtay / Danıştay karar arama servisleri: yalnızca arama sorgusu.
Müvekkil ad, TC kimlik numarası ve iletişim bilgileri yapay zeka işlemine girmeden önce avukatın tercihine göre maskelenebilir (ayarlardan açılır).
7. Silme yalnızca avukatın onayıyla yapılır
Dosya, evrak, belge ve müvekkil kayıtları yalnızca büro yöneticisi olan avukatın onayıyla silinir. Büro içindeki diğer kullanıcıların silme talepleri avukatın onayına düşer. Silinen kayıtlar 30 gün çöp kutusunda tutulur ve bu sürede geri alınabilir; kalıcı silme avukatın şifresiyle yeniden doğrulanarak yapılır. KelsenAI personeli, platform yöneticisi dahil, hiçbir büro verisini avukatın onayı olmadan silemez. Hesabın tamamının kapatılması talebinde veriler 7 gün bekletilir, bu sürede iptal edilebilir; sonra Yönetmelik'e uygun biçimde geri döndürülemez şekilde yok edilir.
8. Saklama süresi
Veriler hesap açık olduğu sürece ve avukatın talimatıyla saklanır. Hesap kapatıldığında dosya, evrak, analiz ve yedekler en geç 30 gün içinde yok edilir; yasal saklama yükümlülüğü olan fatura kayıtları mevzuatın öngördüğü süre boyunca tutulur. Erişim ve hata kayıtları 1 yıl, tarayıcı eklentisi oturum kayıtları oturum düştükten sonra en geç 7 gün içinde silinir.
9. Güvenlik önlemleri
- Büro başına ayrı anahtarla veri şifreleme (AES-256), tam disk şifrelemesi, şifreli yedek.
- Aktarımda TLS 1.2+; şifreler argon2 ile özetlenir; API anahtarları yalnızca özet olarak saklanır.
- Rol tabanlı yetkilendirme; büro içinde yalnızca yetkili kullanıcılar dosyaları görür; mobilde Face ID kilidi.
- Her evrak görüntüleme, indirme ve dışa aktarma işlemi kullanıcı ve zaman bilgisiyle kaydedilir.
- Veri ihlali halinde Kişisel Verileri Koruma Kurulu'na en geç 72 saat içinde bildirim yapılır ve etkilenen avukatlar derhal bilgilendirilir.
10. Hakların
KVKK m. 11 kapsamında verilerine erişme, düzeltme, silme, işlemeye itiraz, aktarım (veri taşınabilirliği) ve Kurul'a şikâyet haklarına sahipsin. Dosya ve evraklarını uygulama içinden dışa aktarabilir (PDF, Word, UDF ve toplu arşiv), hesabını kapatabilirsin. Talepler için veri sorumlusuna başvuru sayfasını kullanabilir veya destek@kelsenai.com adresine yazabilirsin; en geç 30 gün içinde yanıtlanır. Teknik ayrıntılar: güvenlik mimarisi. Müvekkillerin kendi hakları için önce veri sorumlusu olan avukata başvurur; KelsenAI bu başvuruların karşılanmasında avukata teknik destek verir.
11. Veri işleme sözleşmesi (avukat ile KelsenAI arasında)
- KelsenAI verileri yalnızca avukatın talimatıyla ve bu metinde sayılan amaçlarla işler; başka amaçla işlemez, anonim istatistik dışında kullanmaz.
- Alt işleyiciler bu metinde listelenir; yeni alt işleyici eklenmeden önce avukatlara e-posta ile bildirilir ve itiraz hakkı tanınır.
- KelsenAI, işlediği verilere ilişkin gizlilik yükümlülüğü altındadır; personeli gizlilik taahhüdüyle bağlıdır.
- Avukat, dilediği zaman verilerinin dışa aktarılmasını ve silinmesini isteyebilir; KelsenAI bu talebi 30 gün içinde yerine getirir ve silme işlemini yazılı olarak teyit eder.
- KelsenAI, denetim amacıyla uyguladığı teknik ve idari tedbirleri avukatın talebi halinde yazılı olarak sunar.
12. Çerezler
Yalnızca zorunlu çerezler ve tema gibi yerel tercihler kullanılır. Ayrıntı: Çerez politikası.
13. Değişiklikler
Bu metin güncellendiğinde tarih değiştirilir; önemli değişiklikler e-posta ile bildirilir.