Bu ek, KVKK m.12 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ile Kurul'un veri güvenliğine ilişkin düzenlemeleri uyarınca, veri sorumlusu ile veri işleyen arasında yazılı sözleşme bulunması gereğini karşılamak üzere düzenlenmiştir.
1. Rollerin belirlenmesi
1.1. Kullanıcı'nın Platform'a yüklediği veya girdiği müvekkil, karşı taraf, dosya, dava, icra, sözleşme ve finans verileri bakımından işleme amaç ve vasıtalarını belirleyen Kullanıcı, veri sorumlusudur. AyLex, bu verileri yalnızca Kullanıcı'nın talimatı ve Platform'un işlevleri çerçevesinde işleyen veri işleyendir.
1.2. Hesap bilgileri, iletişim bilgileri, ödeme ve fatura verileri, oturum ve kullanım kayıtları bakımından AyLex veri sorumlusudur.
1.3. Kullanıcı; veri sorumlusu sıfatıyla aydınlatma yükümlülüğünü yerine getirmek, işleme şartlarının varlığını sağlamak, VERBİS kaydı gerekiyorsa yapmak ve ilgili kişi başvurularını yanıtlamakla münhasıran yükümlüdür.
1.5. Vatandaş hesap tipinde paylaşılan içerik, niteliği gereği özel nitelikli kişisel veri içerebilir. Bu veriler, yalnızca Kullanıcı'nın kendi talebiyle başlattığı işlemin ifası için ve KVKK m.6 uyarınca gereken hukukî sebebe dayanılarak işlenir; yurt dışına aktarım bakımından 6 ncı maddedeki esaslar geçerlidir. Kullanıcı, işlem için gerekli olmayan özel nitelikli verileri paylaşmamaya özen gösterir.
2. İşlemenin konusu, süresi ve kapsamı
| Konu | Platform üzerinden sunulan yazılım hizmetinin ifası |
|---|---|
| Süre | Kullanıcı'nın hesabı aktif olduğu sürece; sona ermede madde 8 uygulanır |
| Amaç | Dosya ve dava yönetimi, belge saklama ve dönüştürme, yapay zekâ destekli analiz ve üretim, hatırlatma ve bildirim, arama ve raporlama |
| Veri kategorileri | Kimlik, iletişim, hukukî işlem, müşteri işlem, finans, görsel/işitsel kayıt; Kullanıcı'nın yüklediği belgelerin içeriğine göre özel nitelikli veriler de bulunabilir |
| İlgili kişi grupları | Kullanıcı'nın müvekkilleri, karşı taraflar, vekiller, tanıklar, çalışanlar ve belgelerde adı geçen diğer kişiler |
3. Veri işleyenin yükümlülükleri
AyLex; (a) kişisel verileri yalnızca Kullanıcı'nın talimatı ve hizmetin ifası kapsamında işler, kendi amaçları için kullanmaz; (b) verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlar; (c) KVKK m.12 uyarınca uygun teknik ve idarî tedbirleri alır; (ç) Kullanıcı'nın ilgili kişi başvurularını yanıtlamasına makul destek verir; (d) hizmetin sona ermesinde madde 8'e göre hareket eder.
4. Teknik ve idarî tedbirler
- Aktarımda TLS, saklamada AES-256 sınıfı şifreleme;
- Veri tabanı düzeyinde satır bazlı erişim denetimi (RLS) ve yetki ayrıştırması;
- Hesap tipine göre zorunlu iki adımlı doğrulama ve tek kullanımlık kod ile kimlik doğrulama;
- Erişim ve işlem kayıtlarının (log) tutulması ve saklama süresi politikası;
- Yedekleme ve felaket kurtarma düzeni;
- Personel için gizlilik taahhütnamesi ve yetki matrisi.
5. Alt veri işleyenler
5.1. Kullanıcı; hizmetin sunulabilmesi için aşağıdaki kategorilerde alt veri işleyenlerin kullanılmasına onay verir. AyLex, bu kategoriler içinde hizmet sağlayıcılarını kalite, maliyet, erişilebilirlik veya mevzuat gerekçeleriyle değiştirebilir; kategorilerde veya aktarım ülkelerinde esaslı bir değişiklik olduğunda Kullanıcı bilgilendirilir.
| Hizmet kategorisi | İşlev | Yerleşim / aktarım |
|---|---|---|
| Bulut altyapı ve veri tabanı | Veri tabanı, kimlik doğrulama, dosya depolama | Avrupa Birliği |
| Uygulama barındırma | Platformun sunulması ve dağıtımı | Yurt dışı — yurt dışı aktarım |
| Yapay zekâ hizmet sağlayıcıları | Yapay zekâ bileşeni içeren modüllerin çalıştırılması | Yurt dışı — yurt dışı aktarım |
| E-posta ve mesajlaşma hizmetleri | Sistem e-postaları, doğrulama kodları ve isteğe bağlı bildirim/bot hizmetleri | Yurt dışı — yurt dışı aktarım |
| SMS sağlayıcısı | Doğrulama ve bildirim SMS'leri | Türkiye |
| Ödeme kuruluşu (PayTR) | Ödeme işlemleri | Türkiye |
5.2. Hizmet sağlayıcılarının kimliği AyLex bakımından ticarî sır niteliğindedir ve bu nedenle burada tek tek sayılmamıştır. Kullanıcı'nın veri sorumlusu sıfatıyla yürüteceği işlemler ya da bir ilgili kişi başvurusu için gerekli olduğu hâllerde, güncel sağlayıcı kimlikleri info@aylex.ai adresine yapılacak yazılı talep üzerine, makul bir gizlilik taahhüdü karşılığında bildirilir.
6. Yurt dışına aktarım
6.2. AyLex, yapay zekâ modüllerinde yalnızca ilgili işlem için gereken içeriği aktarır; aktarımın kapsamı işlemle sınırlıdır.
6.3. Kullanıcı, veri sorumlusu sıfatıyla, bu aktarım zincirinin kendi ilgili kişilerine yönelik aydınlatma metinlerinde yer almasını sağlamakla yükümlüdür.
7. Veri ihlali bildirimi
AyLex, Kullanıcı'ya ait kişisel verileri etkileyen bir ihlali öğrendiğinde, Kullanıcı'yı gecikmeksizin ve her hâlde kırk sekiz (48) saat içinde bilgilendirir; ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi verir. Kurul'a ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Kullanıcı'ya aittir.
8. İade ve imha
Hesabın kapatılması hâlinde Kullanıcı, verilerini dışa aktarma araçlarıyla indirebilir. Bu süreden sonra veriler, mevzuatın öngördüğü saklama süreleri ile hukukî uyuşmazlıkların gerektirdiği hâller saklı kalmak üzere silinir veya anonim hâle getirilir. Yedeklerdeki kayıtlar, yedekleme döngüsü içinde imha edilir.
9. Denetim
Kullanıcı, veri sorumlusu sıfatıyla makul aralıklarla ve makul kapsamda bilgi talep edebilir. AyLex, güvenlik ve ticarî sır sınırları içinde bu taleplere yanıt verir; yerinde denetim, tarafların birlikte belirleyeceği koşullarla ve Kullanıcı'nın masrafıyla yapılır.
10. Sorumluluk
AyLex'in bu ek kapsamındaki sorumluluğu, Kullanıcı Sözleşmesi m.14'teki sınırlara tâbidir. Kullanıcı'nın veri sorumlusu sıfatıyla yükümlülüklerini ihlali nedeniyle AyLex aleyhine doğacak idarî yaptırım ve taleplerde m.15 uyarınca rücu hakkı saklıdır.