Veri İşleyen Sözleşmesi (DPA)

KVKK m.12/2 kapsamında veri sorumlusu — veri işleyen ilişkisini düzenleyen ek protokol.

---

1. Taraflar ve Protokolün Amacı#

1.1. Taraflar.

1.2. Amaç. İşbu Protokol; Kullanıcı'nın Yargı PRO hizmetini kullanırken müvekkillerine, karşı taraflara, tanıklara ve diğer üçüncü kişilere ait kişisel verileri işlemesi hâlinde, 6698 sayılı KVKK'nın 12. maddesinin 2. fıkrası uyarınca taraflar arasında kurulması zorunlu olan veri sorumlusu — veri işleyen ilişkisinin şartlarını belirler.

1.3. Rol dağılımı (kademeli kural — kritik hüküm).

(a) Kural — Şirket'e ulaşmayan veriler. Yargı PRO, MCP mimarisi gereği Kullanıcı'nın dosyalarını, müvekkil evrakını ve istemcisine yazdığı metni almaz (bkz. 2.1 ve 2.5). Şirket'e hiç ulaşmayan veriler (2.5'teki tablonun sağ sütunu) bakımından Şirket'in veri sorumlusu veya veri işleyen sıfatı yoktur.

(b) Şirket'e ulaşan sorgu verisi. Şirket'e ulaşan arama sorguları kural olarak hukuki kavram, mevzuat maddesi veya karar künyesinden oluşur. Yargı PRO arama araçları ve hukuk skilleri, modelin arama parametrelerine müvekkil adı, T.C. kimlik numarası, adres ve benzeri kimlik bilgisi koymayacağı şekilde tasarlanmıştır (bkz. 2.2.1). Bu tasarıma rağmen bir sorgu kişisel veri içerirse, Şirket yalnızca o veri bakımından ve o veriyi sakladığı süreyle sınırlı olarak veri işleyen sıfatıyla hareket eder. Bu ilişki işbu Protokol ile düzenlenir. Bu sıfat, Şirket'i Hizmet'in tamamı bakımından veri işleyen hâline getirmez.

(c) Rol dağılımı. (b) kapsamındaki veriler bakımından; işlemenin amaç ve vasıtalarını belirleyen taraf Kullanıcı olduğundan Kullanıcı veri sorumlusu, Şirket veri işleyendir.

(d) Şirket'in kendi veri sorumlusu sıfatı. Şirket'in; kendi müşteri ilişkisi kapsamında işlediği hesap, abonelik ve fatura verileri ile hizmet güvenliğinin sağlanması, kötüye kullanımın ve sahteciliğin önlenmesi, kota ve hız sınırlarının yönetimi, sistem bütünlüğünün korunması, hukuki yükümlülüklerin yerine getirilmesi ve hukuki taleplere karşı savunma amaçlarıyla yürüttüğü işlemeler bakımından Şirket veri sorumlusudur. Bu işlemeler Kullanıcı'nın talimatına tabi değildir, işbu Protokol'ün değil KVKK Aydınlatma Metni'nin kapsamındadır ve 5.1'deki talimata bağlılık kuralının istisnasını oluşturur.

1.4. Yürürlük ve bütünlük. İşbu Protokol; Üyelik ve Hizmet Kullanım Sözleşmesi ile Mesafeli Satış Sözleşmesi'nin ayrılmaz ekidir. Kullanıcı, hesap oluştururken mesleki sıfatını beyan ettiği ve/veya hizmeti mesleki faaliyeti kapsamında kullandığı andan itibaren işbu Protokol taraflar arasında yürürlüğe girer. Çelişki hâlinde, kişisel verilerin korunmasına ilişkin konularda işbu Protokol öncelikle uygulanır.

---

2. Mimari Gerçek — İşlemenin Sınırları#

2.1. Dosyalar ve kullanıcı metni Şirket sunucusuna ulaşmaz. Yargı PRO, MCP (Model Context Protocol) standardı üzerinden çalışan bir altyapıdır. Kullanıcı'nın dava dosyaları, müvekkil evrakı ve belgeleri Şirket sunucularına yüklenmez. Kullanıcı'nın yapay zekâ istemcisine yazdığı soru ve cümleler de Şirket'e ulaşmaz; bunlar Kullanıcı'nın kendi cihazında ve kendi seçtiği model sağlayıcısında işlenir.

2.2. Şirket'e ulaşan veri. Kullanıcı'nın yapay zekâ istemcisinden Şirket sistemlerine ulaşan tek şey, modelin araç parametresine koymayı seçtiği arama sorgusu ile buna ilişkin teknik meta verilerdir (zaman damgası, kota tüketimi, oturum bilgisi). Şirket'e ulaşan diğer veriler (hesap, abonelik ve fatura bilgileri, erişim kayıtları, geri bildirimler) 2.5'teki tabloda gösterilmiştir.

Model, içtihat ve mevzuat araması yaparken kural olarak hukuki kavram, mevzuat maddesi veya karar künyesi kullanır; müvekkil kimliği kullanmaz — zira içtihat veri tabanında kimlik bilgisiyle arama yapmanın işlevsel bir karşılığı yoktur.

2.2.1. Maskeleme yönlendirmesi. Şirket; MCP araç açıklamaları ve sistem yönergeleri aracılığıyla modele, arama parametrelerine kimlik bilgisi koymamasını ve vakıa aktarımı gerektiğinde kimliksizleştirerek aktarmasını teknik olarak yönlendirir. Yargı PRO arama araçları ve hukuk skilleri bu doğrultuda tasarlanmıştır; bu yönlendirmenin etkinliği düzenli olarak ölçülür. Bu, KVKK m.4'teki veri minimizasyonu ilkesinin ve m.12'deki teknik tedbir yükümlülüğünün tasarımla karşılanmasıdır.

2.2.2. Artık kanal. Yukarıdaki tedbirlere rağmen modelin bir kimlik bilgisini arama parametresine dâhil etmesi ihtimal dâhilindedir. İşbu Protokol esas olarak bu artık ihtimal için düzenlenmiştir. Şirket, ancak böyle bir veri kendisine ulaştığı ölçüde ve o veri bakımından veri işleyen sıfatını haiz olur.

2.3. Belge dönüştürme. Kullanıcı'nın belgelerinin dönüştürülmesi (UDF/TIFF/PDF → metin, OCR) Şirket altyapısı üzerinden yürütülmez; Kullanıcı'nın kendi cihazında yerel olarak gerçekleştirilir ve bu belgeler Şirket'e iletilmez. Şirket altyapısında yalnızca mevzuat ve karar kaynaklarındaki herkese açık PDF'ler metne çevrilir; bu işlem Kullanıcı verisi içermez.

2.4. Kullanıcı'nın istemci sorumluluğu. Kullanıcı'nın kendi tercih ettiği yapay zekâ istemcisinin (Claude, Gemini, Copilot, Codex vb.) veri saklama ve model eğitimi politikası Şirket'in sorumluluğunda değildir.

2.5. Şirket'e ulaşan ve ulaşmayan veriler. Hizmet kapsamında Şirket'e ulaşan ve ulaşmayan veriler aşağıda gösterilmiştir:

Sol sütundaki veriler bakımından arama sorgularına 1.3(b), diğer verilere 1.3(d) uygulanır. Sağ sütundaki veriler bakımından 1.3(a) uygulanır.

---

3. İşlemenin Konusu, Süresi, Niteliği ve Kapsamı#

---

4. Veri Sorumlusunun (Kullanıcı'nın) Yükümlülükleri#

4.1. Hukuka uygunluk. Kullanıcı; Hizmet'e ilettiği kişisel verilerin toplanmasının, işlenmesinin ve Şirket'e aktarılmasının hukuka uygun bir sebebe dayandığını ve KVKK m.4'teki genel ilkelere uygun olduğunu taahhüt eder.

4.2. Aydınlatma yükümlülüğü. Kullanıcı; kendi müvekkillerine ve verilerini işlediği diğer ilgili kişilere karşı KVKK m.10 kapsamındaki aydınlatma yükümlülüğünü bizzat yerine getirmekle yükümlüdür.

4.3. Veri minimizasyonu ve maskeleme. Şirket, maskelemeyi 2.2.1'deki yönergeyle teknik olarak yönlendirir. Kullanıcı da kendi tarafında yalnızca amaç için gerekli asgari veriyi iletmekle yükümlüdür; müvekkil kimlik bilgilerini araç çağrısına manuel olarak eklememeli, aramayı hukuki kavramla yapmalıdır.

4.4. Talimat yetkisi. Kullanıcı, Şirket'e vereceği talimatların hukuka uygun olmasından sorumludur. Talimatlar; hesap paneli ayarları, Hizmet'in kullanımı ve info@yargipro.com üzerinden yapılacak yazılı bildirimlerle iletilir.

4.5. İlgili kişi taleplerinin muhatabı. İlgili kişilerden gelen KVKK m.11 taleplerinin birinci muhatabı Kullanıcı'dır. Şirket, kendisine doğrudan ulaşan ve Kullanıcı'nın verilerine ilişkin talepleri işleme almaz; talebi sahibine Kullanıcı'ya başvurması gerektiğini bildirerek yönlendirir ve durumu Kullanıcı'ya haber verir.

4.6. Kurul'a bildirim sorumluluğu. Kişisel veri ihlali hâlinde Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Kullanıcı'ya aittir. Şirket, 8. bölüm uyarınca Kullanıcı'yı bilgilendirir ve bildirim için gerekli desteği sağlar.

4.7. Mesleki yükümlülükler. Kullanıcı; 1136 sayılı Avukatlık Kanunu m.36 kapsamındaki sır saklama yükümlülüğü, Türkiye Barolar Birliği Meslek Kuralları ve varsa müvekkiliyle akdettiği sözleşmedeki gizlilik taahhütleri bakımından kendi sorumluluğunu muhafaza eder.

---

5. Veri İşleyenin (Şirket'in) Yükümlülükleri#

5.1. Talimata bağlılık. Şirket, kişisel verileri yalnızca Kullanıcı'nın talimatı doğrultusunda ve hizmetin sunulması amacıyla işler; verileri kendi amaçları için kullanamaz. Kanunlarda öngörülen ve Şirket'i doğrudan bağlayan bir yükümlülük gereği işleme yapılması hâlinde, Şirket bu durumu (yasal olarak yasaklanmadıkça) Kullanıcı'ya derhal bildirir.

5.2. Model eğitimi (kritik açıklama). Yargı PRO yapay zekâ modeli sunmaz. Kullanıcı, Hizmet'i kendi seçtiği yapay zekâ istemcisi (Claude, Gemini, Copilot, Codex vb.) üzerinden kullanır; model sağlayıcısını Kullanıcı seçer ve o sağlayıcıyla olan ilişki Kullanıcı ile sağlayıcı arasındadır (bkz. 9.4). Bu kapsamda:

• Şirket, kullanıcıların sorgularını ve Hizmet'e ilettiği içerikleri yapay zekâ modeli eğitiminde veya ince ayarında kullanmaz ve bu amaçla üçüncü kişilere vermez. Bu, Şirket'in kendi fiilleri bakımından verdiği bir taahhüttür.
• Şirket arama sorgularının içeriğini hiçbir yapay zekâ model sağlayıcısına göndermez. Semantik arama için gereken sayısal vektör (embedding) Şirket'in kendi altyapısında üretilir; vektör veritabanı sağlayıcısına yalnızca bu sayısal vektör iletilir. Geri bildirim sayfasına yazılanlar, asistanın çalışabilmesi için Amazon Web Services (Amazon Bedrock) üzerinden API ile erişilen modele iletilir; AWS'nin hizmet şartları uyarınca bu girdiler model geliştiricisine iletilmez.
• Şirket, alt işleyenlerinin hizmet şartlarının, Şirket adına işlenen verilerin model eğitiminde kullanılmamasını içermesini sağlamakla yükümlüdür (Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi m.3.4). Her sağlayıcının bu konudaki şartı Alt İşleyici Listesi'nde gösterilir. Şirket, standart hizmet şartları dışında ayrıca müzakere edilmiş bir taahhüt aldığını beyan etmez.
• Kullanıcının kendi seçtiği yapay zekâ istemcisinin ve model sağlayıcısının saklama ve eğitim politikası Şirket'in kontrolünde değildir. Şirket bu konuda taahhütte bulunamaz; Kullanıcı, kullandığı istemcinin ve model sağlayıcısının şartlarını kendisi değerlendirmekle yükümlüdür.

İstisna: kalite ve güvenlik ölçümü. Şirket; hizmet kalitesini ölçmek, halüsinasyon oranlarını izlemek ve 2.2.1'deki yönlendirmenin etkinliğini denetlemek amacıyla kimliksizleştirilmiş ve toplulaştırılmış sorgu örüntülerini kullanabilir. Bu veriler yalnızca sayısal ölçümlerden oluşur; model eğitiminde, ince ayarında veya değerlendirme setinde kullanılmaz ve üçüncü kişilerle paylaşılmaz.

5.3. Amaç dışı kullanım ve ticarileştirme yasağı. Şirket; Kullanıcı'nın verilerini reklam, pazarlama, profilleme, satış, kiralama veya üçüncü kişilerle paylaşım amacıyla kullanamaz. Toplulaştırılmış ve kimliği belirlenemez hâle getirilmiş (anonim) istatistikler bu yasağın kapsamı dışındadır.

5.4. Gizlilik ve personel taahhütleri.

• Verilere erişim yetkisi bulunan tüm personel, süresiz gizlilik taahhüdüne (NDA) tabidir; bu yükümlülük iş ilişkisinin sona ermesinden sonra da devam eder.
• Personel erişimi, asgari yetki (least privilege) ve bilmesi gereken (need-to-know) ilkelerine göre yapılandırılmıştır.
• Personel, kişisel verilerin korunması konusunda düzenli olarak bilgilendirilir.
• Ayrıntılar Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi'nde düzenlenmiştir.

5.5. Rutin insan incelemesi yapılmaması. Sorgu içerikleri rutin olarak insan tarafından incelenmez. İnceleme yalnızca; Kullanıcı'nın açık talebiyle açılmış bir destek/arıza kaydı kapsamında, çözüm için gerekli asgari ölçüde ve yetkilendirilmiş personel tarafından yapılabilir. Bu tür her erişim; erişen personel, tarih, saat ve gerekçe bilgisiyle loglanır ve bu kayıtlar KVKK m.12 kapsamındaki teknik tedbir olarak Şirket nezdinde muhafaza edilir.

5.6. Yardım yükümlülüğü. Şirket; Kullanıcı'nın KVKK'dan doğan yükümlülüklerini yerine getirebilmesi için makul ölçüde yardım eder. Bu yardım özellikle ilgili kişi taleplerinin yanıtlanmasına teknik desteği, veri ihlali bildirimi için gerekli bilgi ve belgelerin sağlanmasını ve veri güvenliği tedbirlerine ilişkin bilgi verilmesini kapsar.

5.7. Sorgu kayıtlarının gizliliği ve avukatlık sırrı. Avukat Kullanıcılar bakımından arama sorguları ve bunlara ilişkin kayıtlar, 1136 sayılı Avukatlık Kanunu m.36 kapsamındaki avukatlık sırrına ilişkin olabilecek bilgi olarak sınıflandırılır ve bu nitelikte korunur. Şirket bu kayıtlar bakımından:

• (a) Kayıtları, Kullanıcı'ya karşı kendi talep ve savunmalarında delil olarak kullanmaz. Hesap paylaşımı, toplu veri çekme ve benzeri ihlallerin tespitinde yalnızca sorgu içeriği dışındaki teknik erişim kayıtlarını kullanır.
• (b) Kayıtları hizmetin sunulması, bilgi güvenliği ve kötüye kullanımın önlenmesi dışında hiçbir amaçla işlemez.
• (c) Bir adli veya idari makamdan talep gelmesi hâlinde Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi m.6'daki usulü uygular. Yasal olarak açıkça yasaklanmadıkça Kullanıcı'yı talebi karşılamadan önce bilgilendirir; Kullanıcı'nın avukatlık sırrına dayalı itirazını mevzuatın izin verdiği ölçüde destekler; yalnızca talebin kapsamıyla sınırlı asgari veriyi paylaşır.

Bu hüküm, yetkili makamların kanundan doğan yetkilerini sınırlandırmaz. 1.3(d) ve 10.3'te öngörülen, hukuki taleplere karşı savunma amaçlı işleme ve saklama, Şirket'e arama sorgularının içeriğini Kullanıcı aleyhine delil olarak kullanma yetkisi vermez.

---

6. Teknik ve İdari Tedbirler (KVKK m.12)#

6.1. Teknik tedbirler.

• Aktarımda güncel TLS şifrelemesi, durağan hâlde (at rest) şifreleme
• Ağ güvenliği, güvenlik duvarı ve saldırı tespit mekanizmaları
• Yetkilendirme matrisi ve rol bazlı erişim kontrolü
• Yönetimsel erişimlerde çok faktörlü kimlik doğrulama (MFA)
• Erişim ve işlem hareketlerinin loglanması
• Düzenli, şifreli ve ayrı ortamda yedekleme
• Güncel yama ve zafiyet yönetimi

6.2. İdari tedbirler.

• Personel için süresiz gizlilik taahhütnamesi
• Kişisel veri koruma farkındalık eğitimleri
• Yetki değişikliği ve iş ilişkisinin sona ermesinde erişimin derhal kaldırılması
• Tedarikçilerin hizmet şartlarının veri koruma, gizlilik ve model eğitimi bakımından denetlenmesi
• Güvenlik olayı müdahale ve ihlal bildirim prosedürü
• Kişisel Veri Saklama ve İmha Politikası'nın uygulanması

6.3. Tedbirlerin güncellenmesi. Şirket, teknolojik gelişmeler ve tespit edilen riskler doğrultusunda tedbirleri gözden geçirir. Şirket tedbirleri eşdeğer veya daha uygun tedbirlerle değiştirebilir; ancak tedbirlerin seviyesini KVKK m.12'nin gerektirdiği uygun güvenlik düzeyinin altına düşüremez.

6.4. Bilgi talebi ve denetim. Kullanıcı, işbu Protokol'e uygunluğun doğrulanması amacıyla yılda 1 (bir) kez olmak üzere Şirket'ten yazılı bilgi ve belge talep edebilir; Şirket bu talebi en geç 45 (kırk beş) gün içinde yanıtlar. Kullanıcı ayrıca Şirket'in varsa bağımsız güvenlik denetim raporlarının bir özetini talep edebilir. Şirket bu talepleri öncelikle mevcut rapor, sertifika ve yazılı açıklamalarla karşılar; Şirket'in diğer müşterilerine ait veriler, kaynak kod, sistem promptları ve ticari sırlar bu talebin kapsamı dışındadır.

Yerinde denetim. Denetim yükümlülüğü kural olarak yukarıdaki yazılı bilgilendirme ile yerine getirilmiş sayılır. Yerinde denetim ancak;

• Kurumsal Lisans Sözleşmesi kapsamındaki müşteriler bakımından,
• 2 (iki) yılda en fazla 1 (bir) kez,
• somut ve yazılı bir gerekçeye dayanılarak,
• en az 45 (kırk beş) gün önceden bildirilerek,
• mesai saatleri içinde, en fazla 1 (bir) iş günü süreyle ve Şirket'in faaliyetini aksatmayacak biçimde,
• masrafları Kullanıcı'ya ait olmak üzere

talep edilebilir. Denetçinin Şirket'in rakibi olmaması ve gizlilik taahhüdü imzalaması şarttır. Denetim, Şirket'in diğer müşterilerine ait verilerin gizliliğini ihlal etmeyecek ve kaynak koda, sistem promptlarına veya ticari sırlara erişim sağlamayacak şekilde yürütülür. Bir kamu makamının talebi üzerine yapılan denetimlerde bu sınırlar uygulanmaz.

6.5. Özel nitelikli veriler. Şirket özel nitelikli kişisel veri talep etmez ve toplamaz. Kullanıcı'nın sorgu içeriğinde istem dışı özel nitelikli veri bulunması hâlinde, bu veriler ilgili mevzuata ve Kurul kararlarına uygun ek tedbirlerle korunur ve mümkün olan en kısa sürede imha edilir.

---

7. Alt İşleyenler#

7.1. Genel izin. Kullanıcı, Şirket'in hizmeti sunabilmek için alt işleyen kullanmasına genel olarak izin verir. Güncel alt işleyen listesi; her sağlayıcının unvanı, bulunduğu ülke, işleme amacı, işlediği veri, aktarımın hukuki niteliği ve dayanağı ile model eğitimine ilişkin şartı Alt İşleyici Listesi belgesinde yayımlanır.

İşbu Protokol kapsamındaki arama sorgusu verisine erişen alt işleyen, uygulama sunucusu, MCP uç noktası ve kullanıcı veritabanı sağlayıcısı Railway Corporation'dır. MCP uç noktası yalnızca Railway Corporation altyapısında çalışır; arama sorguları başka bir alt işleyene iletilmez. Semantik arama için kullanılan vektör veritabanına (Pinecone) sorgu metni değil, yalnızca Şirket altyapısında üretilen sayısal vektör iletilir. Pinecone'a kişisel veri iletilmediğinden Pinecone alt işleyen değildir; Alt İşleyici Listesi'nde şeffaflık amacıyla ayrıca gösterilir.

7.2. Sağlayıcı seçimi ve model eğitimi şartı. Şirket, kullandığı altyapı sağlayıcılarını; sundukları hizmet şartlarının gizlilik, amaçla sınırlı işleme, güvenlik ve model eğitimi bakımından işbu Protokol ile bağdaşır olmasını gözeterek seçer. Şirket, alt işleyenlerinin hizmet şartlarının, Şirket adına işlenen verilerin model eğitiminde kullanılmamasını içermesini sağlamakla yükümlüdür (bkz. 5.2). Şirket, alt işleyenlerinin standart hizmet şartları dışında ayrıca müzakere edilmiş taahhütler aldığını beyan etmez. Kendi tedarikçi şablonuyla sözleşme akdedilebilen sağlayıcılar bakımından Alt İşleyen (Tedarikçi) Veri İşleme Sözleşmesi kullanılır.

7.3. Alt işleyenin fiillerinden sorumluluk. Şirket, alt işleyenlerinin işbu Protokol'e aykırı fiillerinden kendi fiili gibi sorumludur. Bu sorumluluk 11.3'teki üst sınıra ve sorumsuzluk hâllerine tabidir; kast ve ağır ihmal hâlleri saklıdır.

7.4. Değişiklik. Şirket, alt işleyici listesine yeni bir sağlayıcı eklemeden veya mevcut bir sağlayıcıyı değiştirmeden en az 30 (otuz) gün önce değişikliği iki yolla duyurur: Alt İşleyici Listesi sayfasında ve kayıtlı e-posta adresine gönderilecek bildirimle.

Kullanıcı değişikliği kabul etmezse, değişikliğin yürürlük tarihine kadar sözleşmeyi bedelsiz feshedebilir. Bu hâlde kullanılmayan döneme isabet eden bedel oransal olarak iade edilir.

Bir sağlayıcının hizmetini aniden durdurması veya bir güvenlik gereği gibi acil hâllerde bu süre kısalabilir. Bu durumda değişiklik derhal ve gerekçesiyle duyurulur; Kullanıcı'nın bedelsiz fesih hakkı aynen saklıdır. Bir sağlayıcının listeden çıkarılması bu usule tabi değildir.

Kullanıcı'nın Üyelik ve Hizmet Kullanım Sözleşmesi m.8.2 uyarınca dilediği zaman ve gerekçe göstermeksizin fesih hakkı ayrıca saklıdır.

---

8. Veri İhlali Bildirimi#

8.1. Şirket'in bildirim süresi. Şirket, işlediği kişisel verilerin hukuka aykırı olarak erişilmesi, ifşası veya kaybı hâlinde; ihlali öğrenmesinden itibaren gecikmeksizin Kullanıcı'ya bildirimde bulunur. Avukatlık sırrı kapsamına girebilecek veriler bakımından Avukatlık Sırrı ve Mesleki Gizlilik Taahhütnamesi m.7.1'deki süre saklıdır. Kullanıcı'nın Kurul'a karşı kendi bildirim yükümlülüğü ve süresi saklıdır.

Öğrenme anı. Süre, ihlalin Şirket'in yetkili biriminin makul değerlendirmesiyle bir kişisel veri ihlali olduğunun tespit edildiği andan itibaren işlemeye başlar; bir güvenlik olayının ihlal niteliği taşıyıp taşımadığına dair ilk inceleme süresi bu sürenin dışındadır.

Bildirimin niteliği (kritik hüküm). İşbu madde uyarınca yapılan bildirim ve bildirimde yer alan ilk değerlendirmeler; Şirket'in kusurunun, sorumluluğunun veya herhangi bir yükümlülüğü ihlal ettiğinin ikrarı sayılmaz ve Şirket aleyhine delil olarak yorumlanamaz. Bildirim, mevcut bilginin gecikmeksizin paylaşılması amacıyla yapılır ve sonraki incelemeyle değişebilir.

8.2. Bildirimin içeriği. Bildirim, mevcut bilgiler ölçüsünde asgari olarak şunları içerir:

• İhlalin niteliği, gerçekleşme zamanı ve tespit zamanı
• Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı
• İhlalin olası sonuçları
• Alınan ve alınması planlanan tedbirler
• Şirket'in irtibat kişisi bilgileri

Bilgiler kademeli olarak elde ediliyorsa, Şirket gecikmeksizin ek bildirimler yapar.

8.3. Kurul'a bildirim (rol ayrımı). Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Kullanıcı'ya aittir. Şirket, Kullanıcı'nın Kurul'a karşı bildirim süresine uyabilmesi için gerekli olan ve Şirket'in elinde bulunan bilgi ve belgeleri gecikmeksizin sağlar.

8.4. Şirket'in kendi bildirimi. Şirket'in kendi veri sorumlusu sıfatıyla işlediği verileri (hesap, abonelik, fatura) etkileyen ihlallerde bildirim yükümlülüğü Şirket'e aittir.

8.5. Kayıt ve işbirliği. Şirket tüm ihlalleri kayıt altına alır ve Kullanıcı'nın soruşturma ve raporlama süreçlerine iyi niyetle işbirliği yapar.

---

9. Yurt Dışına Aktarım (KVKK m.9)#

9.1. Fiilî durum. Şirket'in kullandığı altyapı sağlayıcılarının bir kısmı yurt dışında bulunmaktadır. Uygulama sunucusu ve veritabanı (Railway Corporation), kimlik doğrulama (WorkOS), e-posta gönderimi (Resend), web sitesi barındırma (Vercel), geri bildirim asistanı (Amazon Web Services — Amazon Bedrock) ve geri bildirim iş takibi (Linear) sağlayıcılarının işlemesi AB'deki sunucularda yapılır; AB'deki sunucular da KVKK bakımından yurt dışıdır. Kurumsal posta kutusu (Google Workspace) Google'ın yurt dışındaki altyapısında işler. Yalnızca çerez onayı verilmesi hâlinde çalışan ziyaret istatistiği sağlayıcısı (Google Analytics 4) ABD ve AB'deki küresel altyapıda işler. SMS (eMarka İletişim ve Bilgi Teknolojileri A.Ş. — İleti Merkezi) ve ödeme (PayTR) sağlayıcıları Türkiye'dedir. Sağlayıcının merkezinin AB dışında olması hâlinde, destek amaçlı erişimler sonraki aktarım (m.9/8) niteliği taşıyabilir. Bu nedenle işbu Protokol kapsamındaki işleme, KVKK m.9 anlamında yurt dışına aktarım içerebilir. Güncel liste, her bir sağlayıcının işleme amacı, işlediği veri ve bulunduğu ülke Alt İşleyici Listesi'nde yayımlanır.

9.2. Aktarımın hukuki dayanağı. Şirket'in kendi altyapı sağlayıcılarına yaptığı aktarımlar bakımından, 7499 sayılı Kanunla değişik KVKK m.9'daki kademeli rejim uygulanır: (i) Kurul'un yeterlilik kararı bulunuyorsa buna dayanılarak, (ii) yoksa uygun güvencelerden biri (Kurul'ca ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname) sağlanarak, (iii) bunlar yoksa yalnızca arızi olmak kaydıyla açık rıza ile. Standart sözleşmeye dayanılan hâllerde Şirket, sözleşmenin imza tarihinden itibaren beş iş günü içinde Kurum'a bildirim yapmakla yükümlüdür (m.9/5). Sürekli/sistematik nitelikteki aktarımlar öncelikle standart sözleşme / uygun güvence esasına dayandırılır; açık rıza yalnızca m.9/6'daki arızi aktarım hâlleri için yedek dayanak olarak kullanılır.

Şirket'in yurt dışındaki alt işleyenlerine yaptığı aktarımlar bir yeterlilik kararına dayanmaz; dayanak, KVKK m.9/4 uyarınca standart sözleşmedir. Her sağlayıcı bakımından dayanak ve sözleşmenin durumu aşağıda gösterilmiştir:

• Railway Corporation (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• WorkOS, Inc. (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• Resend (Plus Five Five, Inc.) (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• Vercel Inc. (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• Amazon Web Services (Amazon Bedrock) (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene) imzalandı ve 14.09.2026 tarihinde Kurul'a bildirildi
• Linear Orbit, Inc. (AB): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• Google (Google Workspace) (yurt dışı, Google'ın altyapısı): Yurt dışına aktarım, KVKK m.9 — standart sözleşme (veri sorumlusundan veri işleyene); imza ve Kurul'a bildirim süreci yürütülmektedir
• Google LLC / Google Ireland Ltd. (Google Analytics 4) (ABD / AB): Çerez için açık rıza; aktarım KVKK m.9 — standart sözleşme; imza ve Kurul'a bildirim süreci yürütülmektedir

Türkiye'deki sağlayıcılara (eMarka İletişim ve Bilgi Teknolojileri A.Ş. — İleti Merkezi; PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.) yapılan aktarımlar KVKK m.8'e tabidir. Her sağlayıcının işlediği veri ve işleme amacı Alt İşleyici Listesi'nde gösterilir.

9.3. Değişiklik. Yurt dışında bulunan bir sağlayıcının eklenmesi veya değiştirilmesi dahil, alt işleyen değişikliklerinde 7.4 uygulanır. Değişiklik en az 30 (otuz) gün önce Alt İşleyici Listesi sayfasında ve kayıtlı e-posta adresine gönderilecek bildirimle duyurulur. Değişikliği kabul etmeyen Kullanıcı, yürürlük tarihine kadar sözleşmeyi bedelsiz feshedebilir; bu hâlde kullanılmayan döneme isabet eden bedel oransal olarak iade edilir.

9.4. Model bağımsızlığı ve Kullanıcı'nın kendi yapay zekâ istemcisi (kapsam dışı). Yargı PRO yapay zekâ modeli sunmaz, barındırmaz, yeniden satmaz ve Kullanıcı adına bir model sağlayıcısıyla sözleşme kurmaz. Kullanıcı'nın kendi seçtiği yapay zekâ istemcisi ve model sağlayıcısı Alt İşleyici Listesi'ne dâhil değildir.

Hizmet, MCP standardını destekleyen her istemciyle ve Kullanıcı'nın kendi bilgisayarında çalışan yerel modellerle (Ollama, LM Studio vb.) kullanılabilecek şekilde tasarlanmıştır. Hizmet'te ve masaüstü uygulamasında varsayılan olarak seçili bir bulut model yoktur. Şirket, Kullanıcı'yı belirli bir model sağlayıcısına yönlendirmez ve model sağlayıcılarından pay veya komisyon almaz.

Kullanıcı'nın dosyalarını veya müvekkil verilerini bulut tabanlı bir model sağlayıcısına göndermesi, kendi tercihine dayanan ve veri sorumlusu sıfatıyla yürüttüğü bir işleme ve aktarma faaliyetidir. Bu faaliyetin KVKK m.9 ve Avukatlık Kanunu m.36 bakımından hukuka uygunluğunu değerlendirmek Kullanıcı'ya aittir; Şirket bu aktarımın tarafı değildir. Kullanıcı yerel bir model kullanıyorsa dosyaları ve istemcisine yazdığı metin cihazından çıkmaz.

Müvekkil verisi içeren belgelerin işlenmesinde yerel modellerin ya da veri saklamayan ve verileri model eğitiminde kullanmayan kurumsal yapılandırmaların tercih edilmesi önerilir.

9.5. Yasal erişim talepleri. Yurt dışındaki bir kamu makamının, işlenen verilere erişim talebinde bulunması hâlinde Şirket; yasal olarak yasaklanmadıkça durumu Kullanıcı'ya bildirir, talebin hukuki dayanağını değerlendirir ve mevzuatın izin verdiği ölçüde talebi sınırlandırmak için makul çabayı gösterir.

---

10. Verilerin İadesi ve İmhası#

10.1. Dışa aktarma. Kullanıcı, abonelik süresince ve abonelik sona erdikten sonraki 30 (otuz) gün içinde; hesabına ilişkin verileri makine tarafından okunabilir formatta (JSON / CSV / PDF) hesap panelinden veya talep üzerine dışa aktarabilir.

10.2. İmha. 30 günlük sürenin sonunda, Şirket nezdindeki sorgu ve kullanım verileri geri döndürülemeyecek şekilde silinir, yok edilir veya anonim hâle getirilir.

10.3. Yasal saklama istisnası. Şirket'i bağlayan mevzuattan doğan saklama yükümlülükleri (213 sayılı VUK, 6102 sayılı TTK m.82, 5651 sayılı Kanun, 6563 sayılı Kanun ve Mesafeli Sözleşmeler Yönetmeliği m.20) kapsamındaki kayıtlar ile Şirket'in hukuki taleplere karşı savunma hakkını kullanabilmesi için gerekli sözleşme, onay ve işlem kayıtları; ilgili yasal süreler boyunca ve yalnızca bu amaçla sınırlı olarak muhafaza edilir; bu süre boyunca erişim kısıtlanır ve veri başka hiçbir amaçla kullanılmaz.

10.4. Yedeklerdeki veriler. Yedekleme sistemlerindeki veriler, yedek rotasyon döngüsünün tamamlanmasıyla (azami 90 gün) otomatik olarak imha edilir.

10.5. İmha beyanı. Kullanıcı'nın talebi hâlinde Şirket, imha işleminin gerçekleştirildiğine dair yazılı beyan verir.

---

11. Sorumluluk ve Tazmin#

11.1. Taraflardan her biri, işbu Protokol'den doğan kendi yükümlülüklerinin ihlalinden sorumludur.

11.2. Karşılıklı sorumluluk ve rücu. Taraflardan her biri, kendi yükümlülüklerini ihlal etmesinden doğan idari para cezası, tazminat ve masraflardan kendisi sorumludur.

• (a) Kullanıcı'dan rücu. Kullanıcı'nın veri sorumlusu yükümlülüklerini (hukuki sebep, aydınlatma, veri minimizasyonu, hukuka uygun talimat) kusurlu olarak ihlal etmesi nedeniyle Şirket'e yöneltilen ve Şirket'in ödemek zorunda kaldığı tutarlar, kusur oranında Kullanıcı'ya rücu edilebilir.
• (b) Şirket'ten rücu. Şirket'in kendi veri güvenliği yükümlülüklerini (KVKK m.12) ihlal etmesinden veya alt işleyenlerinin fiillerinden doğan tutarlar Kullanıcı'ya yansıtılamaz. Kullanıcı'nın bu nedenle ödemek zorunda kaldığı tutarlar, kusur oranında Şirket'ten talep edilebilir.
• (c) Bildirim. Rücu talep edecek taraf, idari veya yargısal süreci öğrenmesinden itibaren makul sürede diğer tarafa bildirimde bulunur ve savunmaya katılım imkânı tanır. Bildirimin yapılmaması rücu hakkını yalnızca bundan doğan zarar ölçüsünde etkiler.

Şirket'in kast ve ağır ihmali ile tüketicilerin emredici hakları saklıdır.

11.3. Şirket; işbu Protokol'deki yükümlülüklerini ihlal etmesi nedeniyle Kullanıcı'nın uğrayacağı doğrudan zararlardan sorumludur. Şirket; dolaylı zararlardan, kâr kaybından, itibar kaybından ve iş kesintisinden doğan zararlardan sorumlu değildir; 11.2 uyarınca kusur oranında rücu edilen idari para cezası, tazminat ve masraflar bu dışlamanın kapsamında değildir. Şirket'in bu Protokol kapsamındaki toplam sorumluluğu, 11.2 uyarınca yapılan rücu talepleri dâhil, Üyelik ve Hizmet Kullanım Sözleşmesi m.7.2 ve m.7.7'de belirlenen sorumluluk üst sınırına tabidir. Kullanıcı'nın 11.2(a) uyarınca rücu borcu da aynı tutarla sınırlıdır; bu kural Şirket ve Kullanıcı bakımından aynı şekilde uygulanır. Üst sınır ve bu maddedeki sorumsuzluk hâlleri, kast veya ağır ihmalden doğan sorumlulukta uygulanmaz (6098 sayılı Türk Borçlar Kanunu m.115).

11.4. İdari para cezalarının nihai olarak hangi tarafa ait olacağı, ihlalin hangi tarafın yükümlülük alanında gerçekleştiğine göre belirlenir.

---

12. Süre, Değişiklik ve Çeşitli Hükümler#

12.1. Süre. İşbu Protokol, taraflar arasındaki abonelik ilişkisi süresince yürürlükte kalır. Abonelik sona erse dahi; gizlilik, imha ve sorumluluğa ilişkin hükümler süresiz olarak yürürlükte kalmaya devam eder.

12.2. Değişiklik. Şirket, işbu Protokol'de Kullanıcı aleyhine esaslı değişiklik yapması hâlinde bunu yürürlüğe girmesinden en az 30 (otuz) gün önce bildirir; Kullanıcı kabul etmediği takdirde aboneliğini feshedebilir. Mevzuat uyumu, güvenlik gereği ve koruma seviyesini artıran değişiklikler bu kuralın dışındadır ve derhal yürürlüğe girer.

12.3. Bölünebilirlik. Bir hükmün geçersizliği diğer hükümleri etkilemez.

12.4. Öncelik. Kişisel verilerin korunmasına ilişkin konularda işbu Protokol, diğer sözleşme metinlerine göre önceliklidir.

12.5. Uygulanacak hukuk ve yetki. İşbu Protokol Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıkların çözümünde Üyelik ve Hizmet Kullanım Sözleşmesi m.10.3'teki kademeli düzenleme aynen uygulanır: tacir ve kamu tüzel kişisi Kullanıcılar bakımından İstanbul (Bakırköy) Mahkemeleri ve İcra Daireleri yetkili; tacir sıfatını haiz olmayan mesleki Kullanıcılar (avukat, avukatlık ortaklığı, serbest meslek erbabı) bakımından İstanbul Tahkim Merkezi (ISTAC) tahkimi uygulanır. Parasal talepler bakımından dava şartı arabuluculuğa ilişkin hükümler ve Kullanıcı'nın tüketici sıfatını haiz olduğu hâllerde emredici yetki kuralları saklıdır.

12.6. Yürürlük. İşbu Protokol, Kullanıcı'nın Üyelik ve Hizmet Kullanım Sözleşmesi'ni onayladığı ve mesleki sıfatını beyan ettiği an itibarıyla yürürlüğe girer.

Veri işleyen: HF YARATICI PROJE GELİŞTİRME VE DANIŞMANLIK LTD. ŞTİ. ("Yargı PRO")