Kişisel Veri İşleme ve Veri İşleyen Ek Protokolü

Sürüm: 1.0
Ana Sözleşme: USULESAS Hizmet ve SaaS Kullanım Sözleşmesi

---

1. AMAÇ

1.1. Bu Ek Protokol, Avukat tarafından USULESAS'a aktarılan veya USULESAS Platformu üzerinden Avukat adına işlenen kişisel verilerin korunmasına ilişkin Tarafların hak ve yükümlülüklerini düzenler.

1.2. Bu Protokol, Ana Sözleşmenin ayrılmaz parçasıdır.

1.3. Bu Protokol ile amaçlanan;

• kişisel verilerin hukuka uygun işlenmesi,
• veri erişiminin sınırlandırılması,
• veri izolasyonunun sağlanması,
• yapay zekâ analizlerinin kontrol altında tutulması,
• veri güvenliğinin sağlanması,
• veri silme ve imha süreçlerinin belirlenmesi,
• alt hizmet sağlayıcıların kontrol edilmesi,
• veri ihlallerinin yönetilmesi

ve Tarafların sorumluluklarının açık şekilde belirlenmesidir.

---

2. TARAFLARIN VERİ KORUMA ROLLERİ

2.1. Avukat, kendi müvekkilleri ve hukuki faaliyetleri kapsamında işlediği kişisel veriler bakımından, ilgili işleme faaliyetinin amaç ve vasıtalarını belirlediği ölçüde veri sorumlusu sıfatıyla hareket eder.

2.2. USULESAS, Avukatın talimatları doğrultusunda ve SaaS hizmetinin sunulması amacıyla kişisel verileri teknik olarak işlediği ölçüde veri işleyen sıfatıyla hareket eder.

2.3. USULESAS'ın kendi;

• abonelik yönetimi,
• faturalama,
• kullanıcı hesabı,
• güvenlik,
• hukuki yükümlülük,
• kötüye kullanım önleme

faaliyetlerinde kendi amaçlarını belirlediği veri işleme faaliyetleri ayrıca değerlendirilir.

---

3. VERİ KATEGORİLERİ

USULESAS Platformunda aşağıdaki veri kategorileri işlenebilir:

3.1. Kimlik Verileri

• ad,
• soyad,
• T.C. kimlik bilgileri,
• pasaport,
• imza,
• doğum bilgileri.

3.2. İletişim Verileri

• telefon,
• e-posta,
• adres,
• iletişim kayıtları.

3.3. Hukuki İşlem Verileri

• dava bilgileri,
• dosya numaraları,
• mahkeme bilgileri,
• icra bilgileri,
• kararlar,
• dilekçeler,
• tebligatlar,
• hukuki yazışmalar.

3.4. Finansal Veriler

• banka bilgileri,
• ödeme bilgileri,
• borç,
• alacak,
• tazminat,
• mali bilgiler.

3.5. Özel Nitelikli Kişisel Veriler

Hukuki dosyalarda bulunması halinde;

• sağlık bilgileri,
• ceza mahkûmiyeti ve güvenlik tedbiri bilgileri,
• biyometrik veriler,
• genetik veriler,
• cinsel hayat bilgileri,
• siyasi veya felsefi görüşler,
• dernek/vakıf/sendika üyeliği,
• din veya inanç bilgileri

gibi özel nitelikli veriler işlenebilir.

---

4. VERİ İŞLEME AMAÇLARI

USULESAS tarafından işleme aşağıdaki amaçlarla sınırlıdır:

a) belge saklama,

b) belge sınıflandırma,

c) belge içerisinden veri çıkarma,

d) yapay zekâ analizi,

e) metin analizi,

f) olay analizi,

g) tarih analizi,

h) süre analizi,

i) belge ilişkilendirme,

j) dosya ilişkilendirme,

k) süreç destekleme,

l) raporlama,

m) sistem güvenliği,

n) hata tespiti,

o) teknik bakım,

p) hizmetin yürütülmesi.

---

5. İŞLEME TALİMATI

5.1. USULESAS, Avukat tarafından sağlanan verileri Ana Sözleşme ve bu Protokol kapsamında işler.

5.2. USULESAS, Avukatın talimatı dışında kişisel veri işleyemez.

5.3. Hukuki zorunluluk halinde USULESAS, gerekli olduğu ölçüde ve mümkün olduğu takdirde Avukatı bilgilendirir.

---

6. VERİ İZOLASYONU

6.1. Her Avukatın veri alanı diğer Avukatların veri alanlarından ayrıştırılır.

6.2. Bir Avukatın verilerine başka bir Avukat erişemez.

6.3. Yapay zekâ analizleri de mümkün olduğu ölçüde ilgili Avukatın analiz çalışma alanı içerisinde yürütülür.

6.4. Analiz sırasında başka Avukatların verileri analiz girdisi olarak kullanılmaz.

---

7. TÜRKİYE'DE SAKLAMA

7.1. Ana veri saklama altyapısı Türkiye'de bulunan sunuculardır.

7.2. Avukat verilerinin ana saklama alanı Türkiye dışındaki sunucular değildir.

7.3. Teknik mimaride gelecekte değişiklik yapılması halinde kişisel verilerin yurt dışına aktarılması söz konusu oluyorsa, aktarım bakımından KVKK'nın yürürlükteki hükümleri ayrıca uygulanır.

---

8. YAPAY ZEKÂ İŞLEMESİ

8.1. Avukat belgeleri yapay zekâ tarafından işlenebilir.

8.2. Yapay zekâ analizi USULESAS'ın sunucu tarafındaki analiz terminallerinde gerçekleştirilir.

8.3. Belgeler analiz için geçici olarak işlem alanına alınabilir.

8.4. Analiz sonucunda oluşturulan veriler Avukat hesabına aktarılır.

8.5. Avukat verileri genel amaçlı model eğitimi amacıyla kullanılmaz; bunun istisnası ancak ayrıca açıkça ve belirli şekilde kararlaştırılmış bir hizmet olabilir.

---

9. ÖZEL NİTELİKLİ VERİLER

9.1. USULESAS, hukuk dosyalarında özel nitelikli verilerin bulunabileceğini kabul eder.

9.2. USULESAS özel nitelikli veriler bakımından uygun erişim ve güvenlik kontrollerini uygular.

9.3. Özel nitelikli verilerin sisteme aktarılmasının hukuki şartlarının bulunması Avukatın sorumluluğundadır.

---

10. PERSONEL GİZLİLİĞİ

10.1. USULESAS'ın verilere erişebilecek çalışanları ve hizmet personeli gizlilik yükümlülüğüne tabidir.

10.2. Erişim yetkileri görev gereksinimi ile sınırlandırılır.

10.3. Personel yalnızca görevini yerine getirmek için gerekli olan verilere erişebilir.

10.4. Personelin yetkileri görev değişikliği veya iş ilişkisinin sona ermesi halinde kaldırılır.

---

11. TEKNİK TEDBİRLER

USULESAS, kendi kontrol alanında uygun olduğu ölçüde aşağıdaki tedbirleri uygular:

a) erişim kontrolü,

b) kullanıcı yetkilendirme,

c) güçlü parola politikaları,

d) oturum yönetimi,

e) loglama,

f) yedekleme,

g) ağ güvenliği,

h) sunucu güvenliği,

i) veri izolasyonu,

j) yetki sınırlandırılması,

k) güvenlik güncellemeleri,

l) zararlı yazılım önleme,

m) olay izleme,

n) veri erişim kayıtları.

---

12. VERİ İHLALİ

12.1. USULESAS kendi kontrol alanında bir kişisel veri ihlali tespit ederse olayın kapsamını değerlendirmeye ve etkilerini sınırlamaya yönelik makul teknik ve idari tedbirleri alır.

12.2. Avukatın bildirilmesini gerektiren bir durum bulunması halinde makul sürede bilgi verilir.

12.3. Bildirimde mümkün olduğu ölçüde;

• olayın niteliği,
• etkilenen veri kategorileri,
• etkilenen kişi grupları,
• alınan tedbirler,
• önerilen önlemler

yer alabilir.

---

13. ALT İŞLEYENLER

13.1. USULESAS hizmetin sunulması için teknik hizmet sağlayıcılarından yararlanabilir.

13.2. Alt işleyen kullanılması halinde USULESAS, alt işleyenin kişisel veri güvenliği bakımından gerekli sözleşmesel yükümlülüklere tabi olmasını sağlar.

13.3. Alt işleyenler yalnızca hizmetin gerçekleştirilmesi için gerekli verilere erişebilir.

13.4. Avukat verilerinin gizliliği bakımından USULESAS, kendi alt işleyenlerinin faaliyetlerinden kendi sorumluluk alanı içerisinde sorumludur.

---

14. VERİLERİN SİLİNMESİ

14.1. Avukatın talimatı veya Ana Sözleşmenin sona ermesi halinde verilerin aktif sistemlerden kaldırılması süreci başlatılır.

14.2. Yedekler bakımından teknik saklama süreleri uygulanabilir.

14.3. Yasal olarak saklanması gereken kayıtlar ilgili süre boyunca tutulabilir.

---

15. DENETİM VE BİLGİ SAĞLAMA

15.1. Avukat, hizmet kapsamında işlenen kişisel verilerin güvenliği hakkında makul bilgi talep edebilir.

15.2. USULESAS, güvenlik politikaları ve ticari sırlarını ifşa etmeksizin hizmet güvenliği hakkında gerekli açıklamaları sağlayabilir.

15.3. Avukatın denetim talebi USULESAS'ın diğer müşterilerinin verilerine erişim veya ticari sırlarının açıklanması sonucunu doğuramaz.

---

16. VERİ SAKLAMA SÜRESİ

16.1. Kişisel veriler hizmetin gerektirdiği süre boyunca işlenir.

16.2. Hizmet sona erdiğinde aktif sistemlerdeki verilerin kaldırılması prosedürü uygulanır.

16.3. Yedekler ve yasal kayıtlar ayrıca değerlendirilir.

---

17. VERİ SORUMLUSU TALEPLERİ

17.1. İlgili kişilerin KVKK kapsamındaki başvuruları bakımından Avukatın veri sorumlusu olduğu durumlarda başvurunun yönetilmesinden Avukat sorumludur.

17.2. USULESAS, kendi kontrolündeki sistemler bakımından gerekli teknik desteği sağlar.

17.3. USULESAS'a doğrudan ulaşan ve Avukatın veri sorumlusu olduğu bir ilgili kişi talebi bulunması halinde, talebin niteliğine göre Avukata yönlendirme yapılabilir.

---

18. GİZLİLİK

18.1. Kişisel veriler gizli kabul edilir.

18.2. USULESAS verileri yalnızca hizmet amacıyla işler.

18.3. Veriler ticari veri tabanı oluşturmak veya başka müşterilere hizmet vermek amacıyla kullanılmaz.

---

19. YURT DIŞINA AKTARIM

19.1. Standart hizmet mimarisinde ana veri saklama Türkiye'dedir.

19.2. Yurt dışına veri aktarımı gerektiren bir teknik değişiklik yapılması halinde aktarım öncesinde yürürlükteki KVKK hükümleri değerlendirilir.

19.3. Gerekli uygun güvence mekanizması bulunmadan kişisel veriler yurt dışına aktarılmaz.

19.4. Yurt dışı aktarımın gündeme gelmesi halinde tarafların ayrıca gerekli sözleşmeleri ve bildirimleri tamamlaması gerekir.

---

20. PROTOKOLÜN SÜRESİ

20.1. Bu Protokol Ana Sözleşme ile birlikte yürürlüğe girer.

20.2. Ana Sözleşmenin sona ermesiyle birlikte veri işleme faaliyetleri, verilerin silinmesi ve yasal saklama yükümlülükleri tamamlanıncaya kadar ilgili hükümler yürürlükte kalır.

---

EK-A – VERİ İŞLEME TABLOSU

---

EK-B – TEKNİK VERİ AKIŞI

Avukat

↓

HTTPS üzerinden USULESAS

↓

Avukata özel veri alanı

↓

Belge işleme / veri çıkarma

↓

İzole AI analiz alanı

↓

AI analiz terminali

↓

Analiz sonucu

↓

Avukat hesabı

---

EK-C – TEMEL PRENSİPLER

1. Türkiye'de saklama.

1. Büro bazlı izolasyon.

1. Analiz bazlı izolasyon.

1. Yetki bazlı erişim.

1. FIFO analiz kuyruğu.

1. Kontrollü analiz terminali.

1. Genel amaçlı model eğitiminin yapılmaması.

1. Teknik loglama.

1. Yedekleme.

1. Silme ve imha prosedürü.

1. Güvenlik olayı yönetimi.

1. KVKK'ya uygun veri işleme.