Veri İşleyen Sözleşmesi
6698 Sayılı KVKK Kapsamında Veri İşleyen Taahhütnamesi
Son güncelleme: 27 Mayıs 2026 — Sürüm 1.0
Bu DPA, "Avukat Bürosu" ve "Kurumsal" planlarımıza abone olan kurumsal müşterilerimiz için geçerlidir. Bireysel "Ücretsiz" veya "Profesyonel" plan kullanıcıları için bu DPA uygulanmaz; bu kullanıcılar KVKK Aydınlatma Metni ve Gizlilik Politikası'na tâbidir.
1. Taraflar
Bu Veri İşleyen Sözleşmesi ("Sözleşme"), aşağıdaki taraflar arasında akdedilmiştir:
- Veri Sorumlusu: hukukanaliz.ai Platform'una "Avukat Bürosu" veya "Kurumsal" plan ile abone olan, müvekkil veya çalışan verilerini Platform'a yükleyen hukuk bürosu / şirket / kurum ("Müşteri")
- Veri İşleyen: EKER BİLGİSAYAR SİSTEMLERİ ve GIDA SAN. A.Ş., "hukukanaliz.ai" markası altında faaliyet gösteren ("hukukanaliz.ai")
Müşteri, kurumsal plana abone olarak ve hizmeti kullanarak bu Sözleşme'nin koşullarını kabul etmiş sayılır.
2. Tanımlar
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- Özel Nitelikli Kişisel Veri: KVKK m.6'da tanımlanan hassas veriler (sağlık, biyometrik, ceza mahkûmiyeti vb.).
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi.
- Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak kişisel verileri işleyen gerçek veya tüzel kişi.
- Platform: hukukanaliz.ai yazılım hizmeti.
- İlgili Kişi: Kişisel verisi işlenen gerçek kişi (Müşteri'nin müvekkili, çalışanı veya ilgilisi).
3. İşleme Kapsamı
hukukanaliz.ai, Müşteri adına aşağıdaki kişisel verileri işlemektedir:
| Veri Kategorisi | İşleme Amacı | Saklama Süresi |
|---|---|---|
| Kullanıcı (büro mensubu) bilgileri | Hizmet sunumu, hesap yönetimi | Plan aktif + 30 gün |
| Yüklenen müvekkil/dava belgeleri | AI analizi, RAG araması, sohbet yanıtları | 2 yıl (kullanıcı silebilir) |
| Sohbet geçmişi ve sorular | Hukuki sorgu hizmeti | 2 yıl |
| Neural memory özetleri | Tutarlı yanıt ve sürekli hizmet | 2 yıl |
| Fatura bilgileri | Faturalandırma | 10 yıl (VUK m.253) |
| Erişim logları | Güvenlik, audit | 2 yıl |
4. hukukanaliz.ai'nin Yükümlülükleri (Veri İşleyen)
hukukanaliz.ai, veri işleyen sıfatıyla aşağıdaki yükümlülükleri kabul eder:
- Kişisel verileri yalnızca Müşteri'nin talimatları doğrultusunda ve bu Sözleşme kapsamında işlemek;
- İşleme faaliyetlerine ilişkin gizliliği sağlamak ve yetkili personeli gizlilik taahhütnamesi (Personel NDA) ile bağlamak;
- KVKK m.12 uyarınca gerekli teknik ve idari güvenlik önlemlerini almak (TLS 1.3, RLS, Argon2id, audit log, IDS, vb.);
- Özel nitelikli kişisel veriler için Kurul kararları doğrultusunda ek güvenlik önlemleri uygulamak (Fernet/AES-256 at-rest şifreleme);
- Alt veri işleyenlerle (OpenAI, Anthropic, Google, LlamaCloud, Voyage AI, Twilio/SendGrid, DigitalOcean, PayTR) çalışırken Müşteri'yi bilgilendirmek; alt-işleyen listesine yeni bir sağlayıcı eklenmesi halinde Müşteri'ye en az 30 gün önceden bildirim yapılır;
- İşleme faaliyeti sona erdiğinde, Müşteri'nin talimatına göre verileri silmek veya iade etmek;
- Müşteri'nin denetim taleplerini makul sürede karşılamak;
- Veri ihlali durumunda Müşteri'yi en kısa sürede (azami 24 saat içinde) bilgilendirmek; ayrıca Breach Playbook'a göre KVK Kurulu'na 72 saat içinde bildirim yapmak.
5. Müşteri'nin Yükümlülükleri (Veri Sorumlusu)
Müşteri, veri sorumlusu sıfatıyla aşağıdaki yükümlülükleri kabul eder:
- İlgili kişileri Platform'u kullanmadan önce KVKK m.10 uyarınca bilgilendirmek (aydınlatma yükümlülüğü);
- Açık rıza gerektiren işlemler için ilgili kişilerden gerekli onayları almak (özellikle müvekkil belgelerinin AI ile analiz edilmesi için);
- Yurt dışı veri aktarımı için ilgili kişilerin açık rızasını temin etmek (OpenAI/Anthropic/LlamaCloud için);
- Platform'a yüklediği kişisel verilerin hukuka uygun şekilde elde edilmiş ve avukat-müvekkil ilişkisi kapsamında müvekkilin izniyle paylaşıldığını sağlamak;
- İlgili kişilerin KVKK m.11 kapsamındaki haklarını kullanabilmeleri için gerekli mekanizmaları sağlamak.
6. Alt Veri İşleyenler
hukukanaliz.ai, hizmet sunumu için aşağıdaki alt veri işleyenlerle çalışmaktadır:
| Alt Veri İşleyen | Ülke | İşleme Amacı |
|---|---|---|
| OpenAI, Inc. | ABD | AI sohbet, belge analizi, embedding (zero data retention etkin) |
| Anthropic, PBC | ABD | AI sohbet, belge analizi (Claude — zero retention) |
| Google LLC | ABD/AB | OAuth giriş |
| LinkedIn Corp. (Microsoft) | ABD | OAuth giriş |
| LlamaCloud, Inc. | ABD | PDF OCR / yapılandırılmış belge çıkarma |
| Voyage AI, Inc. | ABD | Embedding (yedek sağlayıcı) |
| Twilio, Inc. / SendGrid | ABD | İşlemsel e-posta + teslim olay kayıtları |
| DigitalOcean, LLC | ABD/AB | Bulut altyapı — sunucu, veritabanı, şifreli yedek |
| PayTR Ödeme ve Elektronik Para Hizmetleri A.Ş. | Türkiye | Ödeme işlemleri |
Alt veri işleyen listesi tek doğruluk kaynağı olarak tutulur ve Müşteri panelinden DPA / Privacy / Terms arşiv kopyaları indirilebilir. Listede değişiklik yapılması halinde Müşteri en az 30 gün önceden e-posta ile bilgilendirilir; Müşteri'nin bu süre içinde gerekçeli itirazı halinde taraflar makul bir alternatif arar.
7. Veri Güvenliği Önlemleri
hukukanaliz.ai aşağıdaki teknik ve idari güvenlik önlemlerini uygulamaktadır:
- SSL/TLS 1.3 ile veri aktarımı, HSTS preload;
- Şifrelenmiş veritabanı bağlantıları;
- PostgreSQL Row-Level Security (RLS) ile tenant izolasyonu;
- Argon2id parola hash algoritması;
- Fernet/AES-256 at-rest şifreleme (özel nitelikli veriler için);
- Audit log + fail2ban + Crowdsec IDS;
- Yıllık 3. parti sızma testi;
- Personel NDA + Disiplin Düzenlemesi;
- Günlük şifreli yedekleme + ayrı coğrafyada saklama + haftalık restore testi.
8. Veri İhlali Bildirimi
Veri ihlali halinde:
- hukukanaliz.ai, ihlali öğrendiği andan itibaren 24 saat içinde Müşteri'yi bilgilendirir;
- Müşteri ile koordineli olarak, KVKK m.12/5 kapsamında 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılır;
- Bildirim ve müdahale süreci için Veri İhlali Müdahale Playbook'u uygulanır.
9. Sözleşme Süresi ve Sona Erme
Bu Sözleşme, Müşteri'nin Platform'a abonelik başlangıcından itibaren yürürlüğe girer ve abonelik sona erene kadar devam eder. Sözleşme'nin sona ermesi halinde:
- hukukanaliz.ai, Müşteri'nin talebine göre verileri silinmiş veya iade edilmiş olarak teslim eder;
- Müşteri'nin aksine talimatı olmadıkça, abonelik sona erdikten 30 gün sonra tüm Müşteri verileri imha edilir (yasal saklama yükümlülüğü olanlar hariç);
- Yasal saklama yükümlülüğü olan veriler (fatura/ödeme — 10 yıl) için Müşteri'ye yazılı bilgi verilir.
10. Uygulanacak Hukuk
Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Bursa Mahkemeleri ve İcra Daireleri yetkilidir.
Bu metnin son sürümü daima https://hukukanaliz.ai/legal/dpa adresinden erişilebilir.