Güven Merkezi
Müvekkil verisinin nerede ve nasıl işlendiğini, Türkiye Barolar Birliği'nin 'Avukatlar İçin Yapay Zekâ Kullanımı Tavsiye Rehberi' (28/08/2026) tedarikçi inceleme sorularına paralel olarak yanıtlıyoruz.
TASLAK – hukuk onayı bekliyor. Bu metin yayımlanmadan önce hukuk onayından geçmelidir; çift süslü ayraç içindeki alanlar doldurulacak şirket bilgileridir.
Sürüm taslak-1 · Yürürlük {{YURURLUK_TARIHI}}
Özet
Veri Türkiye'de
Veritabanı, evrak ve yedekler Türkiye'deki kurumsal veri merkezinde saklanır.
Maskeleme ve veri sınıfı kapısı
Yapay zekâya giden istemdeki kişisel veriler maskelenir (takma adlaştırma). Maskelenmiş veri de kişisel veri sayılır; bu yüzden istemler yalnız veri sınıfına izin verilen sağlayıcıya gider.
Eğitimde kullanılmaz
Müşteri verisi model eğitiminde kullanılmaz; müvekkil verisi işleyen sağlayıcılarda eğitimde kullanım ve insan incelemesi bulunmamalıdır ve saklama süresi sınırlıdır (kapı kuralı).
İçerik erişimi yok
Uygulama ve panel üzerinden içerik erişimi yoktur; kök erişimi iki kişiyle sınırlıdır ve oturumları kayıtlıdır.
Tedarikçi soruları
Veriler hangi ülkede ve hangi altyapıda işleniyor?
Veritabanı, evrak (şifreli), arama dizinleri ve yedekler Türkiye'deki kurumsal veri merkezinde ({{VERI_MERKEZI_SAGLAYICISI}}) tutulur. Yapay zekâ özellikleri kullanıldığında istemler, veri sınıfına göre maskelenerek sağlayıcılara gönderilir: müvekkil verisi (Müvekkil işi ve Dosya sınıfları) yalnız veri sınıfı kapısından geçerek ve yalnız o sınıfa izin verilmiş AB veya TR sağlayıcısına gider; izinli sağlayıcı yoksa o sınıfta yapay zekâ kapalıdır. Kamuya açık içerik işleri için kullanılan sağlayıcı ve ülkesi §6.5 listesindedir.
Girdiler, belgeler ve çıktılar model eğitiminde kullanılıyor mu?
Hayır. E.D.A. müşteri verisini model eğitiminde kullanmaz. Müvekkil verisi işleyen sağlayıcılar için kapı kuralı: eğitimde kullanım yok, insan incelemesi yok, saklama süresi en çok 30 gün; bu koşulları sağlamayan sağlayıcıya müvekkil verisi gönderilmez. Kalite paylaşımı yalnız sizin seçtiğiniz tek mesaj için, maskeli önizleme gösterilerek ve açık onayınızla yapılır; büro yöneticisi bu özelliği kapatabilir.
Alt işleyenler kimlerdir ve değişiklikler nasıl bildirilir?
Güncel liste §6.5'tedir. Müvekkil verisinin gönderileceği yeni bir sağlayıcı sınıfı açılmadan en az 30 gün önce büro yöneticilerine uygulama içi bildirim ve e-posta gönderilir; büro itiraz edip ilgili sınıfı kapatabilir.
Silme, dışa aktarma, kayıt ve denetim izi nasıl işliyor?
Silinen içerik uygulama ve veritabanından kaldırılır. Yedeklerde en çok 35 gün kalır; yedekten tekil kayıt silinemez. Geri yüklenen veride silme kayıtları yeniden uygulanır. Evrak dosyaları büroya özgü anahtarla şifrelenir; büro kapatıldığında anahtar imha edilir. Yapay zekâ sağlayıcılarında saklama süresi sözleşmeyle en çok 30 gündür; E.D.A. sağlayıcıda içerik saklatmaz. Verilerinizi Ayarlar → Veri bölümünden dışa aktarabilirsiniz. İçeriksiz denetim kaydı 5 yıl saklanır ve dakikalık mühürle bütünlüğü korunur; her dosya için hangi görevde hangi modelin ve ülkenin kullanıldığını gösteren Dosya AI İşlem Kaydı alınabilir.
Veri ihlali durumunda bildirim süresi nedir?
Veri işleyen olarak E.D.A., ihlali öğrendiğinde büroya gecikmeksizin ve en geç 24 saat içinde bildirir (Veri İşleme Sözleşmesi; başlangıç taahhüdü). Büro, Kurul'a bildirimi mevzuat uyarınca ihlali öğrendiği tarihten itibaren en geç 72 saat içinde yapmakla yükümlüdür.
Yurt dışına aktarım hangi güvenceyle yapılıyor?
Yurt dışına yapılan aktarımlar KVKK m.9 kapsamındadır; yeterlilik kararı bulunan bir ülke yoktur ve sürekli aktarım arızi aktarım sayılmaz. Bu yüzden müvekkil verisi yalnız KVKK standart sözleşmesi imzalanmış ve Kurum'a bildirilmiş AB sağlayıcısına veya Türkiye'deki yerel modele gönderilir. Bildirim tamamlanmadan ilgili sınıfta yapay zekâ açılmaz. Maskeleme ek bir korumadır; aktarım kurallarını ortadan kaldırmaz.
Hukuki veri kaynağı ne kadar güncel?
Karar ve mevzuat resmî kaynaklardan gelir (Adalet Bakanlığı Bedesten, Anayasa Mahkemesi, Uyuşmazlık Mahkemesi, mevzuat). Her sonuçta kaynak türü (Yerel korpus veya Canlı) ve erişim tarihi görünür; kaynağa ulaşılamadığında 'kaynak erişilemedi' ile 'sonuç yok' ayrı gösterilir. Kapsamda olmayan kurumlar 'Kapsamda değil' olarak işaretlenir. Mevzuatta MVP'de güncel metin ve son değişiklik tarihi gösterilir.
Hatalı çıktı, sızıntı veya kesinti halinde sorumluluk nasıl dağılıyor?
Yapay zekâ çıktısı öneridir; her çıktıyı denetlemek ve nihai hukuki değerlendirmeyi yapmak avukatın sorumluluğundadır. Hatalı atıfı azaltmak için künyeler resmî kaynakta doğrulanır ve doğrulanamayan künye dışa aktarımı engeller. Hizmet seviyesi, sorumluluk sınırları ve kesinti bildirimleri Kullanım Koşulları ve Veri İşleme Sözleşmesi'nde düzenlenir.
Veri yolu
Metniniz önce Türkiye'deki E.D.A. sunucusuna gelir. Orada veri sınıfı belirlenir ve kişisel veriler maskelenir. Maskeli istem, yalnız bu sınıfa izin verilmiş sağlayıcıya gider. Yanıt geri geldiğinde maskeler yalnız sizin ekranınızda çözülür.
Alt işleyenler
| Ad | Rol | İşlem yeri | İşlenen veri | Durum |
|---|---|---|---|---|
| {{VERI_MERKEZI_SAGLAYICISI}} | Barındırma (sunucu, depolama, yedek) | Türkiye | Tüm veri (evrak ve yedek şifreli) | Etkin |
| Microsoft Azure (AB bölgesi) | Yapay zekâ modeli barındırma (müvekkil verisi sınıfları için) | Avrupa Birliği | Maskeli istemler (Müvekkil işi, Dosya) | Pilot; KVKK standart sözleşmesi bildirimi tamamlanana kadar müvekkil verisi gönderilmez |
| DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.) | Yapay zekâ modeli (yalnız kamuya açık içerik işleri) | Çin Halk Cumhuriyeti | Yalnız sistem/korpus kökenli girdiler (ör. kamuya açık karar özetleri); müşteri verisi içermez | Etkin |
| {{EPOSTA_SAGLAYICISI}} | İşlemsel e-posta gönderimi | {{EPOSTA_BOLGESI}} | Alıcı adresi, görünen ad, işlemsel metin | Etkin |
| iyzico | Ödeme kuruluşu (abonelik ödemesi) | Türkiye | Ödeme işlemi; kart bilgisi E.D.A. sistemlerinden geçmez | Etkin |
| Tarayıcı bildirim servisleri (Google, Mozilla, Apple, Microsoft) | Web Push iletimi | Servise göre | Şifreli bildirim yükü (kilit ekranına taraf adı düşmez) | Yalnız bildirime kendiniz abone olursanız |
| Türkiye'deki yedek hedefi ({{VERI_MERKEZI_SAGLAYICISI}} veya ayrı sağlayıcı) | Şifreli yedeklerin uzak kopyası | Türkiye | Şifreli yedek | Etkin |
- Sağlayıcı kimlikleri ve işlem yerleri uygulamada her yanıtın rozetinde de gösterilir.
- Kamuya açık içerik işleri: genel araştırma modu ve müşteri verisi içermeyen toplu işlemler. Müvekkil verisi hiçbir koşulda bu sağlayıcıya gönderilmez.
- Kullanılan yapay zekâ model sağlayıcılarının listesi değiştiğinde bu sayfa güncellenir.
Güvenlik önlemleri
- Aktarım ve depolama
- Bağlantılar TLS ile şifrelenir; evrak ayrıca şifreli saklanır (dosya başına anahtar, büro anahtarı ve ana anahtar katmanları). Yedekler şifrelidir; ana anahtar yedek hedefinde tutulmaz.
- Kimlik
- Parolalar yalnız özet olarak saklanır. İki adımlı doğrulama (doğrulama uygulaması) ve geçiş anahtarı desteklenir; büro sahibi ve yöneticiler için zorunludur. Dışa aktarma, rol değişikliği ve güvenlik ayarı değişikliği gibi işlemler son dakikalar içinde yeniden doğrulama ister.
- Kiracı izolasyonu
- Her büronun verisi veritabanı düzeyinde diğer bürolardan ayrılır.
- Ağ
- Dosya işleme, veritabanı ve depolama servisleri internete çıkamaz; dışarı çıkış yalnız izin listeli vekillerle yapılır.
- Evrak güvenliği
- Yüklenen dosyalar virüs taramasından geçer ve yalıtılmış ortamda işlenir.
- Günlükler
- Günlükler istek/yanıt içeriği, sorgu metni veya belge içeriği taşımaz.
- Denetim
- İçeriksiz denetim kaydı dakikalık mühürle korunur; günlük mühür başı büro sahibine gösterilir.
- Bağımsız doğrulama
- Bağımsız sızma testi lansman öncesi planlanmıştır; özeti hazır olduğunda bu sayfaya eklenir. (Test yapılmadan 'yapıldı' ibaresi yazılmaz.)
Erişim ve mesleki sır
Uygulama ve panel üzerinden içerik erişimi yoktur; kök erişimi iki kişiyle sınırlıdır ve oturumları kayıtlıdır.
Platform destek ve yönetici hesapları yalnız içeriksiz toplu veriyi görür; sohbet, belge, evrak ve dava içeriği görüntülenemez. Bayi (satış ortağı) hesapları büroya üye olamaz ve içerik görmez.
Müvekkil verisi, Avukatlık Kanunu m. 36 kapsamındaki sır saklama yükümlülüğünüz dikkate alınarak tasarlanmıştır; yükümlülük sizdedir.
Silme ve saklama
| Veri | Saklama |
|---|---|
| Dava ve davaya bağlı içerik | Dava süresi + vekâletin sona ermesinden sonra en az 3 yıl (Avukatlık Kanunu m. 39); büro daha uzun belirleyebilir |
| Davasız sohbet | 24 ay hareketsizlikten sonra |
| Sohbet eki (dosyasız) | 30 gün |
| Düşünme süreci (reasoning) metni | 30 gün hareketsizlikten sonra silinir |
| Denetim kaydı | 5 yıl |
| Yedekten içeriğin çıkması | En çok 35 gün |
Süreler büro ayarı ve mevzuata göre değişebilir.
Mesleki kurallar eşlemesi
| Rehber başlığı | E.D.A. denetimi |
|---|---|
| Serbest yardımcı kullanım (genel mevzuat araştırması, kamuya açık metin) | Karar Arşivi ve Mevzuat (yapay zekâsız çekirdek). |
| Sınırlı ve kontrollü kullanım (taslak, belge özeti) | Öneri modeli, avukat onayı, künye doğrulama, dışa aktarım kontrol listesi. |
| Özel güvenceye bağlı kullanım (dava dosyası, sağlık, adli sicil, ticari sır) | Veri sınıfı kapısı, hassas dosyada varsayılan yalnız TR, "Dava dosyası YZ yetkilendirmesi", dosya bazında yapay zekâyı kapatma, Dosya AI İşlem Kaydı. |
| Yasak kullanımlar (sır ihlali, insan denetiminin kaldırılması, reklam yasağı, profilleme) | Sonuç tahmini ve hâkim profili yok; avukat eşleştirme ve vitrin yok; her çıktı öneridir. |
Bu tablo rehberin bir özeti değildir; rehberin kendisine TBB'nin yayınından ulaşabilirsiniz. E.D.A. Hukuk TBB tarafından onaylanmış veya tavsiye edilmiş bir ürün değildir.
İletişim ve son güncelleme
Güvenlik bildirimi ve sorularınız için: destek@{{ALAN}}. Kişisel veri başvuruları için KVKK Aydınlatma Metni'ne bakın.
Son güncelleme: {{GUNCELLEME_TARIHI}}