Güvenlik ve Güven Merkezi

---

1. Neden Bu Sayfa Var?#

Yargı PRO kullanıcılarının çoğu avukat ve hukuk bürosudur. Müvekkil verisi, mesleki sır ve dosya mahremiyeti söz konusu olduğunda "güveniyoruz" demek yetmez; ne yaptığımızın ve ne yapmadığımızın açıkça yazılı olması gerekir.

Bu sayfa; mimarimizi, aldığımız tedbirleri ve uyum durumumuzu açıkça ortaya koyar.

---

2. Temel Mimari: Dosyalarınız Bize Gelmiyor#

Yargı PRO bir sohbet botu değil, MCP (Model Context Protocol) altyapısıdır. Bu teknik tercihin güvenlik açısından somut sonucu şudur:

Kaynak arama sonuçları (kamuya açık karar ve mevzuat), Yargı PRO altyapısından istemcinize gönderilir.

Kritik nokta: İstemcinize yazdığınız cümle bize gelmez. Model, kaynak araması yapması gerektiğine karar verdiğinde sunucumuza bir sorgu gönderir. İstemcinizden bize ulaşan tek şey, modelin arama için seçtiği parametredir; bu parametre kural olarak hukuki kavram, mevzuat maddesi veya karar künyesidir.

Maskeleme yönlendirmesi: Yargı PRO arama araçları ve hukuk skilleri, modelin arama parametrelerine müvekkil adı, T.C. kimlik numarası, adres ve benzeri kimlik bilgisi koymayacağı şekilde tasarlanmıştır. Araç açıklamaları ve sistem yönergeleri aracılığıyla modeli, arama parametrelerine kimlik bilgisi koymaması ve gerektiğinde kimliksizleştirerek aktarması için teknik olarak yönlendiririz. Bu yönlendirmenin etkinliğini düzenli olarak ölçeriz.

En güçlü güvenlik tedbiri, veriyi hiç almamaktır. Erişmediğimiz bir sırrı ifşa edemeyiz.

Sizin belgelerinizin dönüştürülmesi (UDF/TIFF/PDF → metin, OCR) Şirket sunucularında yapılmaz; bu işlem kendi cihazınızda yerel olarak yapılır ve belgeleriniz bu süreçte de Şirket'e ulaşmaz. Şirket sunucusunda yalnızca mevzuat ve karar kaynaklarındaki herkese açık PDF'ler metne çevrilir; bunlar kişisel veri içermeyen kamuya açık yayınlardır.

---

3. Taahhütlerimiz#

---

4. Teknik Tedbirler#

Bu bölümde ve 5. bölümde anlatılan tedbirler, KVKK m.12 uyarınca aldığımız makul teknik ve idari tedbirlerdir. Hiçbir bilgi sistemi tamamen risksiz değildir; bu tedbirler mutlak güvenlik veya kesintisiz hizmet garantisi anlamına gelmez. Tedbirleri teknolojik gelişmelere ve risklere göre eşdeğer veya daha uygun tedbirlerle değiştirebiliriz.

4.1. Şifreleme.

• Aktarımda: Hizmetle aranızdaki trafik güncel TLS protokolü ile şifrelenir.
• Durağan hâlde: Veri tabanı ve yedekler at-rest encryption ile şifreli tutulur.
• Yedekler: Şifreli ve ayrı ortamda saklanır; imhada kripto-imha (anahtarın yok edilmesi) yöntemi uygulanır.

4.2. Erişim kontrolü.

• Asgari yetki (least privilege) ve bilmesi gereken (need-to-know) ilkeleri
• Rol bazlı yetkilendirme matrisi
• Yönetimsel erişimlerde çok faktörlü kimlik doğrulama (MFA) zorunlu
• Görev değişikliği ve ayrılışta erişimin gecikmeksizin kaldırılması

4.3. Loglama ve izlenebilirlik.

• Tüm yönetimsel ve destek amaçlı erişimler kim, ne zaman, neden bilgisiyle loglanır; bu kayıtlar güvenlik tedbiri olarak tutulur
• Loglar düzenli olarak gözden geçirilir
• Kendi verinize yapılan bir erişime ilişkin somut bir şüpheniz varsa bize başvurabilirsiniz; başvuru incelenir ve sonucu bildirilir

4.4. Kimlik doğrulama. Kullanıcı girişi, oturum ve MCP erişim anahtarı yönetimi, bu alanda uzmanlaşmış WorkOS, Inc. altyapısı (AB bölgesi) üzerinden yürütülür. Google hesabınızla giriş yapmayı seçerseniz, kimlik bilginiz (ad, e-posta, hesap kimliği) WorkOS üzerinden bize iletilir. Doğrulama kodu (OTP) SMS'leri yurt içindeki eMarka İletişim ve Bilgi Teknolojileri A.Ş. (İleti Merkezi) aracılığıyla gönderilir; cep telefonu numaranız WorkOS'a iletilmez. Sağlayıcıların işlediği veriler ve aktarımın dayanağı Alt İşleyici Listesi'nde yayımlanır.

4.5. Ödeme güvenliği. Kartlı ödemeler TCMB lisanslı, PCI-DSS uyumlu ödeme kuruluşu üzerinden ve 3D Secure zorunlu olarak işlenir. Kart numarası, son kullanma tarihi ve CVC/CVV bilgisi sunucularımızda saklanmaz.

4.6. Yedekleme ve iş sürekliliği. Veriler düzenli aralıklarla ve şifreli olarak yedeklenir. Kurumsal müşterilerle imzalanan Hizmet Seviyesi Eki (SLA)'nde ayrıca RPO ve RTO hedefleri kararlaştırılabilir.

---

5. İdari Tedbirler#

• Verilere erişimi olan tüm personel süresiz gizlilik taahhütnamesi (NDA) imzalar; yükümlülük iş ilişkisi sonrasında da devam eder
• Personel, merak yasağı ile bağlıdır: görev gerektirmedikçe hiçbir müşteri verisi görüntülenemez
• Düzenli kişisel veri koruma ve bilgi güvenliği eğitimi
• Tedarikçilerin hizmet şartlarının veri koruma, gizlilik ve model eğitimi bakımından denetlenmesi
• Yazılı veri ihlali müdahale prosedürü
• 6 ayda bir periyodik veri imhası

Ayrıntılar: Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi ve Kişisel Veri Saklama ve İmha Politikası.

---

6. Destek Personeli Verinize Ne Zaman Erişebilir?#

Sorgu içeriğinize insan erişimi yalnızca dört koşulun birlikte gerçekleşmesi hâlinde mümkündür:

1. Sizin açık talebinizle açılmış bir destek/arıza kaydı bulunması,
2. Çözüm için o veriye erişimin teknik olarak zorunlu olması,
3. Erişimin yetkilendirilmiş ve NDA'ya tabi personel tarafından yapılması,
4. Erişimin gerekli asgari kapsamla sınırlı tutulması.

Destek talebi açarken verilerinize erişilmesini reddedebilirsiniz. Bu hâlde erişim gerektirmeyen yöntemlerle çözüm üretmeye çalışırız.

---

7. Veri Saklama ve Silme#

Veri taşınabilirliği: Abonelik süresince ve aboneliğin sona ermesinden sonraki 30 gün içinde, hesabınıza ilişkin verileri JSON / CSV / PDF formatında hesap panelinden veya talep üzerine dışa aktarabilirsiniz (DPA 10.1).

---

8. Veri İhlali Durumunda#

Bildirim, mevcut bilgiler ölçüsünde; ihlalin niteliğini, etkilenen veri kategorilerini, olası sonuçlarını ve alınan tedbirleri içerir. Ayrıntı: DPA 8. bölüm.

---

9. Yasal Belgelerimiz#

Kurumsal değerlendirme için başlıca belgelerimiz kamuya açıktır:

• Veri İşleyen Sözleşmesi (DPA) — rol dağılımı, denetim hakkı, ihlal bildirimi, imha
• Alt İşleyici Listesi ve Bildirim Taahhüdü — sağlayıcı, ülke, veri, hukuki dayanak
• Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi — sektöre özel ek güvenceler
• Yapay Zekâ Kullanım Şartları ve Çıktı Sorumluluğu — model sınırları ve sorumluluk paylaşımı
• KVKK Aydınlatma Metni, Gizlilik Politikası, Çerez Politikası
• Kişisel Veri Saklama ve İmha Politikası

---

10. Sertifika ve Uyum Durumu#

Güven, yalnızca sahip olduklarını değil, olmadıklarını da söylemekle kurulur.

Bu tablo, durum değiştikçe güncellenir. Sahip olmadığımız bir belgeyi sahipmişiz gibi sunmayız.

---

11. Model Bağımsızlığı ve Üçüncü Taraf İstemci Uyarısı#

Yargı PRO yapay zekâ modeli sunmaz, barındırmaz, yeniden satmaz ve sizin adınıza bir model sağlayıcısıyla sözleşme kurmaz. Hizmet, MCP standardını destekleyen her istemciyle ve kendi bilgisayarınızda çalışan yerel modellerle (Ollama, LM Studio vb.) kullanılabilecek şekilde tasarlanmıştır. Hizmet'te ve masaüstü uygulamasında varsayılan olarak seçili bir bulut model yoktur. Sizi belirli bir model sağlayıcısına yönlendirmeyiz ve model sağlayıcılarından pay veya komisyon almayız.

Yargı PRO'yu bağladığınız yapay zekâ istemcisi (Claude, Gemini, Copilot, Codex vb.) bizim kontrolümüzde değildir ve alt işleyenimiz değildir.

• O istemciyi seçen ve onunla kendi sözleşmesini kuran taraf sizsiniz.
• Dosyalarınız o istemcide işlenir; bu işleme üzerinde kontrolümüz yoktur.
• İstemcinin veri saklama ve model eğitimi politikası bizim taahhüdümüz kapsamında değildir.

Dosyalarınızı veya müvekkil verilerinizi bulut tabanlı bir model sağlayıcısına göndermeniz, kendi tercihinize dayanan ve veri sorumlusu sıfatıyla yürüttüğünüz bir işleme ve aktarma faaliyetidir. Bu faaliyetin KVKK m.9 ve Avukatlık Kanunu m.36 bakımından hukuka uygunluğunu değerlendirmek size aittir; biz bu aktarımın tarafı değiliz.

Müvekkil verisi içeren belgelerin işlenmesinde yerel modelleri ya da veri saklamayan ve verileri model eğitiminde kullanmayan kurumsal yapılandırmaları tercih etmenizi öneririz. Kullandığınız istemcinin gizlilik ve model eğitimi politikasını incelemenizi önemle tavsiye ederiz. Model eğitimine ilişkin ayarlar sağlayıcıya ve plana göre farklılık gösterebilir; kullandığınız planın şartlarını teyit ediniz.

---

12. Güvenlik Açığı Bildirimi#

Bir güvenlik açığı tespit ederseniz, istismar etmeksizin info@yargipro.com adresine bildiriniz.

Taahhüdümüz: İyi niyetle ve tesadüfen fark edilen bir açığın istismar edilmeden bildirildiği; bildirim sahibinin veri sızdırmadığı, erişebildiği veriyi saklamadığı, hizmeti aksatmadığı ve açığı giderilmeden kamuya veya üçüncü kişilere açıklamadığı hâllerde, bu bildirim nedeniyle bildirim sahibine karşı hukuki yola başvurmayız. Kanundan doğan bildirim ve işbirliği yükümlülüklerimiz ile üçüncü kişilerin hakları saklıdır.

---

13. Kurumsal Değerlendirme ve İletişim#

Kurumsal güvenlik değerlendirmesi (due diligence) yapıyorsanız; DPA imzalayabilir ve DPA 6.4 kapsamında bilgi/denetim talebinde bulunabilirsiniz. Ayrıntılı güvenlik soru-cevap formu için bizimle iletişime geçiniz.

Telefon hattı yalnızca bilgi ve destek içindir. Güvenlik açığı bildirimleri, ihtarlar ve diğer hukuki sonuç doğuran bildirimler yazılı olarak (e-posta, KEP veya İletişim ve Satıcı Bilgileri sayfasındaki adrese posta yoluyla) yapılır; telefonla yapılan sözlü beyanlar Şirket'i bağlamaz. Tüketicilerin kanundan doğan hakları saklıdır.

Yayımlayan: HF YARATICI PROJE GELİŞTİRME VE DANIŞMANLIK LTD. ŞTİ. ("Yargı PRO")