Veri İşleme ve Gizlilik Eki

1. Taraflar, kapsam ve kabul

1.1. Bu Ek, Lex Bilişim Teknolojileri A.Ş. (“LEX”) ile LEX Hizmet ve Yazılım Kullanım Sözleşmesi’nin (“Ana Sözleşme”) tarafı olan Kullanıcı arasında, LEX’in Kullanıcı adına işlediği kişisel veriler ile hizmet nedeniyle öğrendiği gizli bilgilerin korunmasını düzenler. LEX’in MERSİS numarası 0608177986300001; adresi Yıldırım Beyazıt Mahallesi Aşık Veysel Bulvarı Tekno 1 No: 61 İç Kapı No: 27 Melikgazi / Kayseri’dir.

1.2. Ek, Kullanıcı’ya inceleme ve saklama olanağı sağlanarak sunulduğu ve elektronik ortamda kabul edildiği tarihte Ana Sözleşme’nin parçası olur. Henüz sunulmamış bir ek, yalnız Ana Sözleşme’nin kabulüyle kabul edilmiş sayılmaz. Kabul edilen sürüm ve kabul işlemi kayıt altına alınır.

1.3. Bu Ek’in kabulü, ilgili kişiler adına açık rıza, pazarlama izni veya yurt dışı aktarım güvencesi oluşturmaz. Ana Sözleşme’deki tanımlar burada da geçerlidir. Gizli bilgi, kişisel veri içermese de 5. maddedeki korumadan yararlanır.

2. Tarafların veri işleme rolleri

2.1. Kullanıcı’nın mesleki faaliyeti kapsamında işleme amaçlarını belirlediği ve LEX’in yalnız onun adına ve talimatıyla işlediği dosya ve müvekkil verilerinde Kullanıcı veri sorumlusu, LEX veri işleyendir. Hesabı kullanan kişinin bir başka veri sorumlusu adına hareket etmesi halinde, talimat ve temsil yetkisi o ilişkiye göre değerlendirilir. Sözleşmedeki adlandırmalar fiilî işleme faaliyetinin hukuki niteliğini değiştirmez.

2.2. LEX; hesap yönetimi, kimlik ve iletişim doğrulaması, ödeme, faturalama, kendi destek süreçleri, güvenlik ve hukuki yükümlülükleri için amaç ve vasıtaları belirlediği işlemlerde ayrıca veri sorumlusudur. Bu işlemler LEX Gizlilik Politikası’nda açıklanır. Bu rol, dosya içeriklerini bağımsız amaçlarla kullanma yetkisi vermez.

2.3. Kullanıcı, veri sorumlusu olduğu işlemlerde hukuki işleme şartlarını, gerekli aydınlatmayı, erişim ve aktarım yetkisini sağlar. LEX kendi gizlilik, güvenlik, talimata uygun işleme ve yardım yükümlülüklerini yerine getirir. Kullanıcı’ya yüklenen yükümlülükler LEX’in kanuni sorumluluğunu ortadan kaldırmaz.

3. İşlemenin konusu ve sınırları

3.1. İşleme, Kullanıcı’nın kullanıma açılmış özellikler üzerinden talep ettiği hizmetlerle sınırlıdır: içeriklerin alınması, saklanması, düzenlenmesi, görüntülenmesi, aranması, metne dönüştürülmesi, özetlenmesi, araştırmada veya belge üretiminde kullanılması, Kullanıcı’ya sunulması ve talimata uygun silinmesi. Bir işlemin burada sayılması, her özellik veya pakette sunulduğu anlamına gelmez.

3.2. İlgili kişiler; somut içeriğe göre müvekkiller, temsilciler, çalışanlar, karşı taraflar, tanıklar, bilirkişiler ve dosyada bilgisi bulunan diğer gerçek kişiler olabilir. İşlenen veriler kimlik, iletişim, mesleki ve mali bilgiler, dosya ve yargılama bilgileri, tebligatlar, yazışmalar, belgeler ve bu içeriklerden üretilen kişisel verileri kapsayabilir. Bu sayım gereksiz veri toplanması için talimat değildir.

3.3. Veriler Kullanıcı’nın yazdığı veya yüklediği içeriklerden ve yetkilendirdiği entegrasyonlardan alınır. UYAP/UETS’den LEX’e aktarılan kayıtlar ve bunlardan üretilen içerikler bu Ek kapsamındadır. Resmî sistemlerdeki asıl kayıtların yönetimi veya silinmesi LEX’in bu Ek kapsamındaki yetkisi değildir.

3.4. İşleme süresi, ilgili hizmet ve hukuka uygun talimatın devam ettiği süreyle sınırlıdır; sona erme, iade ve saklama istisnalarında 9. madde uygulanır. Ücretli paketin bitmesi tek başına hesabı veya içeriği silme talimatı değildir. Hesap ücretsiz kapsamda devam eder; erişim sınırları Ana Sözleşme ve Kullanıcı’ya açıklanan paket koşullarına tabidir.

4. Talimatlar ve özel nitelikli veriler

4.1. Kullanıcı’nın özellik seçimi, içerik yüklemesi, entegrasyon yetkilendirmesi, sorgusu ve doğrulanabilir destek talebi, ilgili işlemin kapsamıyla sınırlı talimat oluşturur. LEX, belirsiz veya yetki sınırını aşan talimatı açıklığa kavuşturur; açıkça hukuka aykırı talimatı yerine getirmez ve gerekçesini Kullanıcı’ya bildirir. İlave hizmet veya kapsam değişikliği ayrıca kararlaştırılır.

4.2. Kullanıcı yalnız işlem için gerekli ve işlemeye yetkili olduğu kişisel verileri paylaşır. Uygun olduğunda gereksiz kimlik ve dosya ayrıntılarını çıkarır veya maskeler. Maskeleme, verinin her durumda anonim olduğu anlamına gelmez. Bir kişinin dosyada yer alması, bütün bilgilerinin her amaçla işlenmesine izin vermez.

4.3. Sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri gibi özel nitelikli veriler için 6698 sayılı Kanun’un 6. maddesindeki uygun işleme şartı ayrıca bulunmalıdır. Bir hakkın tesisi, kullanılması veya korunması için zorunluluk, somut işlemin bu koşulu karşılaması halinde uygulanır. Kullanıcı’nın Ek’i kabul etmesi dosyadaki kişiler adına açık rıza oluşturmaz. LEX, bu verilere yönelik Kurulun belirlediği yeterli önlemleri uygular.

5. Gizlilik ve erişim

5.1. Taraflar hizmet nedeniyle öğrendikleri aleni olmayan dosya bilgilerini, meslek sırlarını, ticari bilgileri ve erişim bilgilerini gizli tutar. Bu bilgiler yalnız hizmetin ve hukuka uygun yükümlülüklerin gerektirdiği amaçlarla kullanılır. Gizlilik yükümlülüğü, hizmet veya görev ilişkisi sona erdikten sonra da sürer.

5.2. LEX, içeriklere erişimi görev gereği ihtiyaç duyan, yetkilendirilmiş ve gizlilik yükümlülüğü altındaki kişilerle sınırlar. Destek amacıyla insan erişimi gerekli kapsamı aşmaz. LEX personelinin destek amacıyla Kullanıcı’nın hesabına uzaktan erişmesi gerekiyorsa amaç ve kapsam önceden açıklanır, Kullanıcı’nın işlem bazında izni alınır ve Kullanıcı erişimi sonlandırabilir. Yapay zekâ hizmeti sağlayıcıları bünyesindeki insan erişimi bakımından 6.3. madde uygulanır.

5.3. Bilginin hukuka uygun biçimde aleni olması, gizlilik yükümlülüğü olmadan önceden bilinmesi veya bağımsız geliştirilmesi ilgili bilgi bakımından değerlendirilir; kişisel verilerin korunmasına ilişkin yükümlülükler devam eder. Kanunen zorunlu açıklamalarda yalnız gerekli bilgi paylaşılır; hukuki bildirim yasağı yoksa ilgili taraf bilgilendirilir.

6. Yapay zekâ ile işleme

6.1. Kullanıcı’nın seçtiği yapay zekâ işlemi için gerekli talep, içerik ve bağlam, hizmette kullanılan yapay zekâ aracı ve model sağlayıcılarınca işlenebilir. İletilen kapsam talep edilen işlemin gereğiyle sınırlıdır. Bir dosyanın yüklenmiş olması, bütün dosyaların her sorguda dış sağlayıcılara gönderilmesi için genel talimat değildir.

6.2. LEX, Kullanıcı’nın dosya, belge, sorgu ve sohbet içerikleri ile bunlardan üretilen çıktıları genel amaçlı yapay zekâ modellerinin eğitimi, bağımsız veri kümesi oluşturulması veya reklam amacıyla kullanmaz; hizmet aldığı sağlayıcılara da bu amaçlarla kullanım yetkisi vermez. Sağlayıcı seçimini, sözleşme koşullarını ve kullanılabilir hizmet ayarlarını bu yükümlülüğe uygun olarak düzenler. Kullanıcı içeriği, yalnız hizmetin sunulması ve bu Ek’te açıklanan sınırlı güvenlik, destek ve hukuki yükümlülük amaçlarıyla işlenir.

6.3. Yapay zekâ işlemlerindeki insan erişimi; gerekli teknik destek, somut güvenlik veya kötüye kullanım incelemesi ve hukuki yükümlülüklerin gerektirdiği kapsamla sınırlıdır. Erişim, görev gereği yetkilendirilmiş ve gizlilik yükümlülüğü altındaki kişilerle sınırlandırılır. İşlem kayıtları ve içerik kopyaları da bu Ek’teki amaç, erişim ve saklama sınırlarına tabidir.

6.4. Güvenlik ve kötüye kullanım kayıtlarının saklanması, kullanılan hizmetin niteliğine ve uygulanabilir hukuki yükümlülüklere göre farklılaşabilir. LEX, gerekli veri kapsamını ve süreyi sınırlandıran hizmet koşullarını esas alır; belirli bir güvenlik incelemesi veya kanuni zorunluluk nedeniyle istisnai saklama gerekiyorsa bunu ilgili kayıt ve amaçla sınırlar. Hata giderme veya güvenlik ihtiyacı, tüm içeriklerin süresiz saklanmasına ya da genel model eğitiminde kullanılmasına izin vermez.

7. Alt veri işleyenler ve yurt dışı aktarım

7.1. Kullanıcı, bu Ek’teki sınırlar içinde hizmetin sunulması için barındırma, depolama, yedekleme, bilişim desteği ve yapay zekâ aracı/model hizmetlerinden yararlanılmasına izin verir. Bir sağlayıcı, yalnız LEX’in Kullanıcı adına yürüttüğü işleme katıldığı ölçüde alt veri işleyen olarak değerlendirilir. Hesap, ödeme veya pazarlama hizmetinde yer alması, sağlayıcıya dosya içeriklerinin aktarılmasına izin vermez.

7.2. LEX, alt veri işleyenlerle görevlerine uygun gizlilik, güvenlik, amaç sınırlaması, ihlal bildirimi ve iade/silme yükümlülüklerini düzenler; hizmetin dışarıdan alınması LEX’in üstlendiği sorumlulukları kaldırmaz. Alt veri işleyenlerin kimliği, sundukları hizmet ve veri işleme konumları hakkında güncel bilgi Kullanıcı’nın talebi üzerine sağlanır.

7.3. LEX, hizmetin sunulması için yararlandığı sağlayıcıları, modelleri, ürünleri ve teknik hizmet yollarını değiştirebilir; bu değişiklikler Kullanıcı’nın bu Ek kapsamındaki gizlilik ve veri koruma güvencelerini azaltamaz veya verilerin kullanım amacını kendiliğinden genişletemez. Kullanıcı içeriğini işleyecek yeni bir alt veri işleyen şirketin hizmete katılması, ilgili işleme başlamadan en az 15 takvim günü önce Kullanıcı’ya bildirilir. Bildirim, yeni alt veri işleyenin sunduğu hizmeti ve değişikliğin değerlendirilmesi için gerekli temel bilgileri içerir. Kullanıcı, bildirim süresi içinde veri koruma veya mesleki gizliliğe dayanan gerekçeli itirazını iletebilir. LEX itirazı değerlendirir ve sonucu ilgili işleme başlamadan önce Kullanıcı’ya bildirir. İtiraz giderilemez ve etkilenen hizmet tarafların kabul edebileceği bir alternatifle sürdürülemezse Kullanıcı ilgili hizmeti cezasız sona erdirebilir; sona erme tarihinden sonraki kullanılmayan döneme isabet eden peşin bedel oransal olarak iade edilir. Bu özel iade hakkı Ana Sözleşme’deki genel iade sınırlamalarına tabi değildir. Aynı şirket veya aynı şirket grubu bünyesindeki ürün, model, hizmet veya teknik uç nokta değişiklikleri ayrıca ön bildirim gerektirmez. Bu değişiklikler de bu Ek kapsamındaki yükümlülük ve güvenceleri azaltamaz. Kanunen ayrıca bilgilendirme, onay veya yurt dışına aktarım şartı gereken haller saklıdır.

7.4. LEX, yurt dışına kişisel veri aktarımından önce Kanun’un 9. maddesindeki uygulanabilir aktarım şartlarını ve gerekli güvenceleri sağlamakla yükümlüdür. Aktarım zincirindeki sonraki alıcılar ve onların işleme faaliyetleri de bu değerlendirmeye dahildir. Bu Ek’in kabulü tek başına yurt dışı aktarım izni oluşturmaz ve mevzuatın aradığı aktarım belgelerinin yerine geçmez.

8. Güvenlik, ihlal ve ilgili kişi talepleri

8.1. LEX, işlenen verilerin niteliğine ve risklere uygun teknik ve idari tedbirleri alır; hukuka aykırı işlemeyi ve yetkisiz erişimi önlemek, verilerin korunmasını sağlamak için gerekli güvenlik düzeyini temin eder. Erişim yetkileri görev ihtiyacına göre sınırlandırılır. Alınan tedbirler, değişen riskler ve işleme faaliyetleri dikkate alınarak gözden geçirilir.

8.2. LEX, Kullanıcı adına işlediği verilerle ilgili bir kişisel veri ihlalini öğrendiğinde Kullanıcı’ya gecikmeksizin bildirim yapar. İlk bildirim bütün incelemenin tamamlanmasına bırakılmaz. Eldeki bilgilere göre olayın niteliği, etkilenen veri ve kişiler, muhtemel etkiler, alınan önlemler ve iletişim noktası açıklanır; bilgiler geliştikçe tamamlanır.

8.3. Kullanıcı’nın veri sorumlusu olduğu işlemlerde Kurula ve ilgili kişilere yönelik bildirim yükümlülüklerine LEX gerekli desteği sağlar. LEX’in kendi veri sorumluluğu kapsamındaki bildirimleri ayrıca yerine getirilir. Veri sorumlusunun Kurula bildirim süresi, LEX’in Kullanıcı’ya bildirimini bekletmek için kullanılamaz.

8.4. LEX’e ulaşan ve Kullanıcı’nın veri sorumluluğundaki verileri ilgilendiren başvurular gecikmeksizin Kullanıcı’ya iletilir. LEX, yetkisi ve elindeki bilgiler kapsamında arama, erişim, düzeltme, silme ve aktarım alıcılarına bildirim işlemlerinde yardımcı olur. Bir başvuru nedeniyle diğer kullanıcıların verileri açıklanmaz; kimlik ve yetki doğrulaması ölçülü yapılır. Kanunen doğrudan yerine getirmesi gereken yükümlülükler saklıdır.

8.5. Veri koruma talepleri ve bildirimler için kvkk@lexasistan.com, destek işlemleri için destek@lexasistan.com kullanılır. Kanunen geçerli diğer başvuru yolları korunur. Kullanıcı, LEX’in bildirimleri ulaştırabilmesi için hesap iletişim bilgilerini güncel tutar.

9. Verilerin alınması, saklama ve silme

9.1. Kullanıcı, içeriklerini Uygulama’da mevcut indirme olanaklarıyla edinebilir ve destek üzerinden veri talebinde bulunabilir. Ayrıca kullanıma açılmamış bir toplu dışa aktarma özelliği taahhüt edilmez. Hesap silmeden önce erişimin kapanmasının ve içeriğin silinmesinin sonuçları açıklanır. Mevzuattan doğan veri koruma talepleri ücretli paket veya özel aktarım hizmeti satın alma şartına bağlanmaz.

9.2. Hesap silme talebini izleyen 7 takvim günü içinde Kullanıcı talebinden vazgeçebilir. Talep geri alınmazsa bu sürenin sona ermesinden itibaren en geç 2 takvim günü içinde hesap kapatılır ve ayrıca geçerli bir saklama gerekçesi bulunmayan hesap bilgileri ile kullanıcı içeriklerinin LEX’in aktif sistemlerinden silinmesi tamamlanır. Hukuken saklanması gereken sınırlı kayıtlar, dış hizmetler ve yedekler hakkında aşağıdaki hükümler uygulanır. Bu takvim kanuni başvuruların sonuçlandırılma sürelerini uzatmaz.

9.3. Hesap silme talebi alındığında, 7 günlük süre beklenmeden LEX adına UYAP/UETS veri alımı ve senkronizasyon durdurulur; LEX’in mevcut bağlantılarla yeniden erişimi sona erdirilir. Talep geri alınırsa bağlantılar kendiliğinden açılmaz; Kullanıcı yeniden bağlantı kurar. Bu sonuç talep öncesinde açıklanır. UYAP/UETS’deki asıl kayıtlar ve Kullanıcı’nın LEX dışındaki bağımsız oturumları bu kapsamda değildir.

9.4. Silme kapsamına hesapla ilişkili dosyalar, belgeler, sohbetler, üretilen içerikler, LEX’e alınan UYAP/UETS verileri ve bunların kopyaları; kişisel arama geçmişi, ajanda, bildirim, klasör ve senkronizasyon kayıtları dahildir. İçeriğin LEX hizmetini oluşturan farklı sistemlerde tutulması bu kapsamı değiştirmez. Hesaba ve bağlı hizmetlere erişim sağlayan kullanıcıya özgü kimlik doğrulama bilgileri de silinir veya yeniden kullanılamaz hale getirilir. Silinen kişisel veriler ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale getirilir. Tamamlanamayan silme işlemleri takip edilir ve tamamlanmış gibi bildirilmez.

9.5. LEX’in veri sorumlusu olduğu mali belge, müşteri iletişimi, destek, bağımsız pazarlama izni ve hukuki yükümlülük kayıtları, Gizlilik Politikası’ndaki ayrı kapsam ve sürelerle saklanır. LEX ekibiyle gerçekleştirilen destek dışı müşteri görüşmeleri, randevular ve gerekli görüşme notları bu kapsamdadır; Kullanıcı’nın uygulamadaki kişisel ajandasından ayrı değerlendirilir. Düzenlenmiş mali belgelerde bulunması gereken bilgiler korunurken kullanıcı profilindeki kopyaları silinir. Somut uyuşmazlık veya güvenlik olayı için gereken kayıtlar gerekçesi ve süresiyle sınırlıdır. Bu istisnalar Kullanıcı adına işlenen bütün dosya veya müvekkil verilerinin saklanmasına izin vermez. Silmenin ispatı ve yedekten dönüşte uygulanması için tutulan asgari kayıtlar silinen içeriğin kopyasını içermez.

9.6. Kullanıcı ile LEX çalışanları arasındaki destek mesajlarının içerikleri, destek talebinin kapanışından itibaren 24 ay veya hesabın silinmesinden itibaren 12 ay sürelerinden hangisi önce dolarsa o sürenin sonuna kadar saklanır. LEX ekibiyle destek niteliğindeki görüşmelerin içerikleri de aynı kurala tabidir. Destek dışı müşteri görüşmeleri ve randevular hakkında 9.5. madde uygulanır. Daha erken silmeyi gerektiren kanuni haller saklıdır. Somut ve belgelenmiş saklama istisnaları yalnız gerekli kapsam ve süreyle sınırlıdır; asgari operasyon kayıtları ayrıca değerlendirilir.

9.7. LEX, silme yükümlülüğünü kendi servisleriyle birlikte Kullanıcı adına veri işleyen dış hizmetlerdeki ilgili içeriklere de uygular. Sağlayıcıya silme talebi iletilmesi gereken işlemler takip edilir. Sağlayıcının ayrıca saklamak zorunda olduğu güvenlik veya hukuki yükümlülük kayıtları, gerekli kapsam ve süreyle sınırlı olarak ayrı değerlendirilir; bu kayıtların hesapla aynı anda silindiği taahhüt edilmez. LEX, kalan kayıtların gerekçesi ve saklama süresi hakkında talep üzerine bilgi sağlar; sağlayıcı kullanılması LEX’in takip ve veri koruma yükümlülüklerini ortadan kaldırmaz.

9.8. Yedekler yaklaşık altı aylık rotasyon döngüsüyle yönetilir. Silinmiş verilerin yedek kopyaları normal kullanıma kapalı tutulur; erişim yalnız gerekli yedekleme ve kurtarma işlemleri için yetkili kişilerle sınırlanır. Geri yüklemede silme işlemleri, veriler yeniden kullanıma açılmadan uygulanır. Kopyalar ilgili yedekleme döngüsü sonunda temizlenir. Bu döngü, aktif sistemlerde verileri ayrıca saklama veya silinen içeriği yeniden kullanma gerekçesi değildir.

9.9. Hesap silme, belirli bir veriye yönelik silme talebi ve ücretli paketin sona ermesi ayrı değerlendirilir. İşleme gerekçesi ortadan kalkan kişisel veriler, başvuru beklenmeksizin mevzuata uygun şekilde silinir, yok edilir veya anonimleştirilir. Özellik kullanımı, dönüşüm ve kullanıcı kaybı ölçümlerinin korunması, silinen belge, sohbet ve arama içeriklerinin saklanmasına izin vermez. LEX’in kendi amaçlarıyla yürüttüğü analitik işlemlerin veri kapsamı, hukuki sebebi ve süresi Gizlilik Politikası’nda ayrıca açıklanır; bu Ek gizli içeriklerin bağımsız amaçlarla kullanımına yetki vermez.

10. Bilgilendirme, denetim ve sorumluluk

10.1. LEX, Kullanıcı’nın bu Ek kapsamındaki yükümlülükleri değerlendirmesi için gerekli ve makul bilgileri sağlar. Denetim ihtiyacı, işlenen veriler ve somut riskle orantılı olarak karşılanır; diğer kullanıcıların verileri ve hizmet güvenliği korunur. İncelemenin yöntemi ve kapsamı taraflarca koordine edilir. Kanuni denetim yetkileri bu hükümle sınırlandırılmaz.

10.2. Tarafların sorumluluğunda Ana Sözleşme ve emredici hükümler uygulanır. LEX’in veya hizmet aldığı kişilerin sorumluluğundaki veri koruma ve gizlilik ihlallerinin sonuçları, sırf veriyi Kullanıcı yüklediği için Kullanıcı’ya aktarılamaz. Kanunen sınırlandırılamayan sorumluluklar ile ilgili kişilerin hakları saklıdır.

10.3. Bu Ek, düzenlediği veri işleme ve gizlilik konularında Ana Sözleşme’yi tamamlar; aynı konuya ilişkin çelişkide bu Ek’in özel hükmü uygulanır. Gizlilik Politikası tek başına bu Ek’i veya kabul edilen talimatları değiştirmez. Tarafların ayrıca kabul ettiği özel veri koruma hükümleri ve emredici kurallar saklıdır.

10.4. Ek, kapsamındaki işleme devam ettiği sürece uygulanır. Hizmet sonrasında hukuken saklanan sınırlı kayıtlar bakımından koruma yükümlülükleri sürer. Güncellemeler Kullanıcı’ya sunulur; yeni işleme amacı veya gerekli bir onay, yalnız metnin yayımlanması ya da hizmetin kullanılmaya devam edilmesiyle oluşmuş sayılmaz.