Gizlilik ve Kişisel Verilerin Korunması Protokolü

İşbu Gizlilik ve Kişisel Veriler Protokolü (“Protokol”); Lawaiter Yazılım Teknolojileri Anonim Şirketi (“Lawaiter”, “Şirket”, “Biz”, bağlama göre “Veri Sorumlusu” veya “Veri İşleyen”) ile Lawaiter Hizmetleri’ni kullanan gerçek veya tüzel kişi (“Üye”, “Kullanıcı”, bağlama göre “Veri Sorumlusu”) arasında akdedilmiştir.

Bu Protokol; Lawaiter Hizmet ve Abonelik Şartları (“Ana Şartlar”) ile Ek Protokol’ün ayrılmaz bir parçasını oluşturur. Protokol, Lawaiter tarafından yürütülen kişisel veri işleme faaliyetlerine ilişkin süreçler hakkında bilgilendirme sağlamak ve Hizmetler kapsamında kişisel verilerin işlenmesine dair esasları düzenlemek amacıyla hazırlanmıştır.

Protokol, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) ve ilgili sair veri koruma mevzuatı (“Veri Koruma Mevzuatı”) ile uyumlu şekilde düzenlenmiştir.

1. AMAÇ, KAPSAM VE HUKUKİ ÇERÇEVE

1.1. Amaç: İşbu Protokol’ün amacı; Lawaiter tarafından sunulan hizmetler (örneğin yapay zekâ destekli dilekçe taslağı oluşturma, evrak ve içtihat arama gibi) kapsamında işlenen kişisel verilerin, KVKK, GDPR ve ilgili mevzuata uygun, güvenli ve şeffaf şekilde işlenmesini temin etmektir.

1.2. Kapsam: Bu Protokol; Lawaiter’a ait internet siteleri, mobil ve web uygulamaları, abonelik sistemleri, destek hizmetleri ve bu mecralara bağlı tüm faaliyetleri kapsar.

1.3. Hukuki Dayanak: İşbu Protokol; KVKK, GDPR, ilgili ikincil mevzuat, Kişisel Verileri Koruma Kurulu kararları ve bağlayıcı rehberler esas alınarak hazırlanmıştır.

2. TANIMLAR VE KAVRAMSAL ÇERÇEVE

İşbu Protokol kapsamında aşağıdaki terimler karşılarında belirtilen anlamları ifade eder:

• Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanan rızayı,
• Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,
• Alt İşleyen: Lawaiter adına veri işleyen üçüncü tarafları (örneğin Google Cloud, ödeme altyapısı sağlayıcıları),
• Lawaiter: Lawaiter Yazılım Teknolojileri Anonim Şirketi’ni,
• Hizmet Sağlayıcı: Lawaiter ile sözleşmesel ilişki çerçevesinde hizmet sunan gerçek veya tüzel kişiyi,
• İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi (örneğin Üye, Üye’nin müvekkilleri, ziyaretçiler),
• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,
• İşleme: Kişisel veriler üzerinde gerçekleştirilen her türlü faaliyeti (toplama, kaydetme, saklama, değiştirme, aktarma, silme vb.),
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi (örneğin isim, e-posta, hesap ve fatura bilgileri),
• KVKK Kanunu (KVKK): 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu,
• Müşteri/Üye: Lawaiter ile iş ilişkisi bulunan veya hizmetlerinden yararlanan gerçek kişileri,
• Özel Nitelikli Kişisel Veri: KVKK kapsamında sayılan; ırk, etnik köken, siyasi düşünce, dini inanç, sağlık, ceza mahkûmiyeti, biyometrik ve genetik veriler dahil olmak üzere hassas verileri,
• Talimatlar: Üye tarafından Lawaiter’a verilen yazılı komut ve yönlendirmeleri,
• Uluslararası Veri Aktarımı: KVKK m.9 kapsamında kişisel verilerin yurt dışına aktarılmasını,
• Veri İhlali: KVKK m.12 kapsamında kişisel verilerin hukuka aykırı şekilde elde edilmesi, değiştirilmesi veya yok edilmesini,
• Veri İşleyen: Veri Sorumlusunun talimatı ile onun adına veri işleyen gerçek veya tüzel kişiyi (bu Protokol’de belirli hallerde Lawaiter),
• Veri Sorumlusu: Veri işleme amaç ve vasıtalarını belirleyen gerçek veya tüzel kişiyi (bu Protokol’de bağlama göre Üye veya Lawaiter) ifade eder.

3. VERİ İŞLEME İLKELERİ VE HUKUKİ ŞARTLAR

Lawaiter, kişisel verilerin işlenmesinde aşağıdaki temel ilkelere uygun hareket edeceğini taahhüt eder:

• Hukuka ve dürüstlük kurallarına uygunluk
• Doğruluk ve güncellik
• Belirli, açık ve meşru amaçlara bağlılık
• Amaçla bağlantılı, sınırlı ve ölçülü olma
• Mevzuatta öngörülen veya işleme amacı için gerekli süre kadar muhafaza edilme

Kişisel veriler, aşağıdaki hukuki sebeplerden en az birine dayanılarak işlenir:

• İlgili kişinin açık rızasının bulunması
• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• Sözleşmenin kurulması veya ifası için zorunluluk
• Hukuki yükümlülüğün yerine getirilmesi
• Verinin ilgili kişi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk
• Veri sorumlusunun meşru menfaatleri (temel haklara zarar vermemek kaydıyla)

4. VERİ İŞLEME ROLLERİ, SIFATLAR VE AMAÇSAL AYRIM

İşbu Protokol kapsamında tarafların veri işleme süreçlerindeki rol ve sıfatları, işlenen kişisel verinin niteliğine göre farklılık göstermektedir ve aşağıda ayrıntılı olarak düzenlenmiştir:

4.1. Lawaiter’ın Veri İşleyen (Data Processor) Sıfatıyla Hareket Ettiği Durumlar

• Rollerin Belirlenmesi: Üye (Kullanıcı), “İçerik ve Hukuki Veriler” bakımından Veri Sorumlusu sıfatını haizdir. Lawaiter ise bu veri kategorileri bakımından yalnızca Veri İşleyen olarak hareket etmekte olup, kişisel verileri münhasıran Üye tarafından verilen talimatlar doğrultusunda işlemektedir.
• İşleme Amaçları: Bu kapsamda işlenen kişisel veriler, sadece Hizmetler’in sunulabilmesi amacıyla işlenmektedir. Bu amaçlara; yapay zekâ destekli dilekçe taslağı oluşturulması, içtihat arama, evrak arama, belge analizi ve not alma gibi fonksiyonların yerine getirilmesi dahildir.
• Kullanım Sınırları ve Taahhüt: Lawaiter, “İçerik ve Hukuki Veriler” kapsamında işlenen kişisel verileri hiçbir surette; model eğitimi, pazarlama faaliyetleri veya başka bir kullanıcıya hizmet sağlanması amacıyla kullanmayacağını açıkça taahhüt eder.

4.2. Lawaiter’ın Veri Sorumlusu (Data Controller) Sıfatıyla Hareket Ettiği Durumlar

• Rollerin Belirlenmesi: Lawaiter; Hizmetler’in sunulabilmesi için gerekli olan “Hesap ve Kullanıcı Verileri”, “Fatura ve İşlem Verileri” ile “Kullanım Verileri” bakımından Veri Sorumlusu sıfatını taşımaktadır.
• İşleme Amaçları: Bu kapsamda kişisel veriler aşağıdaki amaçlarla işlenmektedir:
• Hizmetler’in sunulması, sürdürülmesi, teknik olarak işletilmesi ve geliştirilmesi ile abonelik ve hesap süreçlerinin yönetilmesi,
• Teknik destek sağlanması, sistem hatalarının giderilmesi ve kullanıcı talepleri, şikâyetleri ile önerilerinin değerlendirilmesi ve sonuçlandırılması,
• Faturalandırma işlemlerinin yürütülmesi, ödeme süreçlerinin yönetilmesi ve mali yükümlülüklerin yerine getirilmesi,
• Mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi ve yetkili kurum ve kuruluşlara karşı sorumlulukların ifası,
• Hizmetler ve kullanıcı ilgi alanları doğrultusunda hedefli reklam, kampanya, promosyon ve bilgilendirme içeriklerinin sunulması,
• Araştırma ve geliştirme (Ar-Ge) faaliyetleri kapsamında yeni ürün ve hizmetlerin geliştirilmesi, test edilmesi ve pazarlanması,
• Pazarlama analizlerinin yapılması, istatistiki veri üretimi ve raporlama faaliyetlerinin gerçekleştirilmesi,
• Model eğitimi hariç olmak üzere anonimleştirilmiş kullanım verilerinin analiz edilmesi ve hizmet kalitesinin artırılması.

4.3. Rol Ayrımına İlişkin Açık Güvence ve Sınırlandırma

Veri İşleyen sıfatıyla Lawaiter tarafından işlenen kişisel veriler (örneğin dava verileri ve kullanıcı tarafından yüklenen içerikler), hiçbir surette model eğitimi, pazarlama faaliyetleri veya üçüncü kişiler adına hizmet sunumu amacıyla kullanılmaz.

Veri Sorumlusu sıfatıyla işlenen kişisel veriler (örneğin hesap bilgileri, iletişim verileri, fatura ve kullanım kayıtları) ise yalnızca açık rıza bulunması veya ilgili mevzuatta öngörülen hukuki sebeplerin mevcut olması halinde; ürün güncellemeleri, güvenlik bildirimleri, sözleşmesel bilgilendirmeler ve açık rıza verilmiş olması halinde ticari ileti gönderimi amacıyla kullanılmaktadır. Bu ayrım, pazarlama faaliyetleri kapsamında gerçekleştirilen veri işleme faaliyetlerinin hiçbir şekilde Üye’ye ait içerik ve hukuki verileri kapsamadığını açıkça teminat altına almaktadır.

5. VERİ TOPLAMA YÖNTEMLERİ VE İŞLENEN VERİ TÜRLERİ

5.1. Veri Toplama Yöntemleri: Kişisel verileriniz; sözlü, yazılı veya elektronik ortamlar aracılığıyla, otomatik ya da otomatik olmayan yöntemler kullanılarak toplanabilmektedir. Bu kapsamda www.lawaiter.com internet sitesi, sosyal medya hesapları, çeşitli başvuru ve iletişim formları, e-posta yazışmaları, sözleşmeler ve çağrı merkezi kayıtları veri toplama araçları arasında yer almaktadır.

5.2. Veri Kategorileri ve Veri Sahipleri: Veri sahipleri; Üye’nin kendisi, Üye’nin müvekkilleri, karşı taraflar, kullanıcılar, ziyaretçiler ve sisteme yüklenen dosyalarda yer alan gerçek kişilerden oluşmaktadır.

İşlenen veri kategorileri aşağıdaki gibidir:

• Hesap ve Kullanıcı Verileri: Ad, soyad, e-posta adresi, iletişim bilgileri, mesleki bilgiler (örneğin sicil numarası ve baro bilgisi), kullanıcı adı, parola ipuçları, şifre hash verileri, dil tercihleri, profil bilgileri ile kullanıcı yorumları ve geri bildirimler.
• Fatura ve İşlem Verileri: Ödeme bilgileri (kredi kartı veya banka kartı numarası), abonelik bilgileri, işlem geçmişi, banka hesap numarası, IBAN bilgisi, T.C. Kimlik Numarası (isteğe bağlı olarak), Vergi Kimlik Numarası ve faturalama kayıtlar.
• Kullanım Verileri (Çerez Verileri Dahil): Erişim logları (IP adresi ve log kayıtları), kullanıcı etkileşim metrikleri (kullanılan özellikler, yapılan arama sayıları, ziyaret edilen sayfalar vb.), cihaz bilgileri (tarayıcı türü ve işletim sistemi) ile konum bilgileri (bölge ve şehir).
• İçerik ve Hukuki Veriler: Hukuki belgeler, dilekçe taslakları, hukuki işlem verileri, sözleşme içerikleri, ihtarnameler ve dava dosyalarına ilişkin bilgiler ile benzeri içerikler.

6. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN ESASLAR

“İçerik ve Hukuki Veriler” niteliği itibarıyla özel nitelikli kişisel veri (örneğin ceza mahkûmiyeti bilgileri veya sağlık verileri) içerebilmektedir.

• Özel nitelikli kişisel veriler, yalnızca ilgili kişinin açık rızasının bulunması halinde veya KVKK m.6/3 kapsamında kanunlarda açıkça öngörülen durumlarda (sağlık ve cinsel hayat dışındaki veriler bakımından) işlenebilmektedir.
• Sağlık ve cinsel hayata ilişkin veriler ise ancak kamu sağlığının korunması, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla ve sır saklama yükümlülüğü altında bulunan kişiler ya da yetkili kurum ve kuruluşlar tarafından işlenebilir.
• Üye, Veri Sorumlusu sıfatıyla, bu tür özel nitelikli verileri Lawaiter sistemlerine yüklerken Veri Koruma Mevzuatı kapsamında gerekli hukuki dayanağı (örneğin müvekkilden alınmış açık rıza) temin etmekle münhasıran sorumludur.

7. VERİ GÜVENLİĞİNE İLİŞKİN TEKNİK VE İDARİ TEDBİRLER

Lawaiter, KVKK m.12 ve GDPR m.32 hükümleri uyarınca, işlenen kişisel verilerin güvenliğini sağlamak amacıyla, risk düzeyine uygun teknik ve idari tedbirleri almaktadır:

• Şifreleme: Veriler Google Cloud altyapısında AES-256 standardı ile şifrelenmiş olarak saklanmakta ve HTTPS/TLS 1.2+ protokolleri ile güvenli şekilde aktarılmaktadır.
• Erişim Kontrolleri: Veri erişimi rol bazlı olarak sınırlandırılmış olup “need-to-know” prensibi uygulanmakta, erişim kayıtları tutulmakta ve düzenli olarak denetlenmektedir.
• Fiziksel Güvenlik: Google Cloud veri merkezleri (AB lokasyonlu sunucular) fiziksel erişim kontrol sistemleri, CCTV ve güvenlik personeli ile korunmaktadır.
• Mantıksal Güvenlik: Firewall sistemleri, intrusion detection system (IDS), anti-malware çözümleri uygulanmakta; cihaz güvenliği otomatik kilitleme mekanizmaları ile desteklenmektedir.
• Yedekleme ve Kurtarma: Veriler günlük olarak yedeklenmekte, felaket kurtarma planları uygulanmakta ve yedekler ayrı sunucularda saklanmaktadır.
• Eğitim: Şirket çalışanları düzenli olarak veri koruma eğitimine tabi tutulmakta ve gizlilik sözleşmeleri imzalamaktadır.

8. ALT İŞLEYENLERİN KULLANIMI

8.1. Lawaiter, veri işleme faaliyetlerinde Alt İşleyenler’i (örneğin Google Cloud ve ödeme altyapısı sağlayıcıları) yalnızca KVKK ve GDPR hükümlerine uygun şekilde kullanmaktadır.

8.2. Google Cloud Özel Hükümleri: Veriler, Google Cloud altyapısı üzerinde ve Avrupa Birliği sınırları içerisindeki sunucularda saklanmaktadır. Lawaiter, Google ile Standart Sözleşme Maddeleri (SCC) imzalamış olup gerekli bildirimleri yetkili kuruma gerçekleştirmiştir.

8.3. Ödeme Altyapısı Sağlayıcıları: Fatura ve işlem verileri bakımından kullanılan ödeme hizmeti sağlayıcıları (örneğin İyzico), gizlilik ve veri koruma yükümlülükleri kapsamında faaliyet göstermektedir.

9. KİŞİSEL VERİLERİN AKTARILMASI

Lawaiter, kişisel verileri, hukuka uygun veri işleme amaçları doğrultusunda ve gerekli güvenlik tedbirlerini alarak üçüncü kişilere aktarabilmektedir:

• Yurt İçi Aktarım: Veriler; KVKK’da öngörülen veri işleme şartlarından en az birinin mevcut olması halinde, iş ortaklarına, hizmet alınan üçüncü kişilere, ticari faaliyetlerin yürütülmesi amacıyla iş birliği yapılan taraflara, yetkili kamu kurum ve kuruluşlarına ve yetkili özel hukuk tüzel kişilerine aktarılabilir.
• Yurt Dışı Aktarım: Kişisel veriler (özellikle içerik verileri), KVKK m.9 kapsamında yurtdışına aktarılabilir. Bu aktarım; KVKK Kurulu tarafından yeterli koruma sağlandığı ilan edilen ülkelere veya yeterli korumanın bulunmadığı durumlarda tarafların yeterli korumayı yazılı olarak taahhüt ettiği ve Kurul izninin bulunduğu ülkelere (örneğin Google ile imzalanan SCC kapsamında) gerçekleştirilmektedir. Üye, kişisel verilerinin Lawaiter’in bağlı kuruluşları ve hizmet sağlayıcılarının Avrupa Birliği ülkeleri dahil olmak üzere farklı ülkelerde bulunan sunucularında saklanabileceğini ve/veya işlenebileceğini kabul etmektedir.

10. VERİ İHLALİ DURUMLARINDA BİLDİRİM YÜKÜMLÜLÜĞÜ

10.1. Herhangi bir veri ihlalinin tespit edilmesi halinde, KVKK m.12 uyarınca ihlal en geç 72 saat içerisinde Üye’ye bildirilir. Bildirim kapsamında ihlalin niteliği, etkilenen veri kategorileri ve alınan önlemler hakkında bilgi verilir.

10.2. Lawaiter, ihlalin etkilerini gidermek amacıyla gerekli makul tedbirleri alır ve Üye’ye ilgili süreçlerde (örneğin Kurum’a yapılacak bildirimlerde) destek sağlar.

11. VERİ SAKLAMA, MUHAFAZA VE İMHA POLİTİKASI

11.1. Kişisel veriler; hizmetlerin sunulması, yasal yükümlülüklerin yerine getirilmesi (ticari ve mali kayıtlar dahil), uyuşmazlıkların çözümü ve güvenliğin sağlanması gibi amaçlar doğrultusunda gerekli olan süre boyunca saklanmaktadır.

11.2. İçerik ve Hukuki Veriler, Ana Şartlar m.5.5 uyarınca işlenmekte olup; anlık işlemlerde imha edilmekte, kalıcı saklama gereken durumlarda ise şifreli bulut ortamında muhafaza edilmektedir. Hesap ve Fatura Verileri ise abonelik süresi boyunca ve ilgili mevzuatın öngördüğü süreler dahilinde saklanır.

11.3. Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, ilgili veriler silinir, yok edilir veya anonim hale getirilir; ileride kullanılma ihtimali gerekçe gösterilerek saklanmaz.

11.4. Sözleşmenin sona ermesi veya Üye’nin talebi halinde, veriler yasal saklama yükümlülükleri saklı kalmak kaydıyla 30 gün içerisinde silinir ve silme işlemi Üye’ye bildirilir.

12. VERİ İŞLEYEN OLARAK DESTEK VE DENETİM YÜKÜMLÜLÜKLERİ

12.1. Lawaiter, Veri İşleyen sıfatıyla Üye’ye aşağıdaki konularda makul ölçüde destek sağlar:

• Veri sahibi taleplerinin karşılanması (erişim, düzeltme, silme, kısıtlama, taşınabilirlik)
• Denetim ve resmi taleplerin karşılanması

12.2. Lawaiter, veri sahibi başvurularını doğrudan yanıtlamaz (yasal zorunluluk halleri hariç) ve bu talepleri Üye’ye yönlendirir.

13. VERİ SORUMLUSU SIFATIYLA İLGİLİ KİŞİ HAKLARI VE BAŞVURU USULÜ

13.1. Hesap Yönetimi: Kullanıcılar, hesapları üzerinden kişisel bilgilerini güncelleyebilir. Bilgilerin güncel tutulması kullanıcının sorumluluğundadır. Hesabın kapatılması veya silinmesi için sistem üzerinden işlem yapılabilir veya Lawaiter ile iletişime geçilebilir.

13.2. Başvuru: KVKK m.11 kapsamında sahip olunan hakların kullanılması için www.lawaiter.com, info@lawaiter.com veya şirket adresi üzerinden başvuru yapılabilir. Başvurular en geç 30 gün içinde sonuçlandırılır.

14. ÇEREZLER VE DİJİTAL TAKİP TEKNOLOJİLERİ

Lawaiter, internet sitesi kapsamında çerezler kullanmaktadır. Bu çerezler; kullanıcı tercihlerini hatırlamak, oturum yönetimi sağlamak, hedefli reklam sunmak ve site kullanımını analiz etmek amacıyla kullanılmaktadır.

Açık rıza verilmesi halinde kişisel veriler çerezler aracılığıyla işlenebilir. Çerezler üzerinden IP adresi, log kayıtları, kullanım verileri, tarayıcı bilgileri ve konum verileri toplanabilmektedir. Kullanıcılar tarayıcı ayarları üzerinden çerezleri silebilir; ancak bu durumda hizmetlerin bazı fonksiyonlarından tam olarak yararlanılamayabilir.

Çerezlere ilişkin detaylı bilgi için Çerez Politikasına göz atılabilir.

15. VERİTABANLARI VE ÜYE BEYANLARI

Lawaiter Hizmetleri kapsamında sunulan içtihat, mevzuat, makale, analiz ve benzeri içerikler kişisel veri içerebilir. Bu veriler, ilgili kamu kurumları veya içerik sağlayıcılar tarafından oluşturulmuş olup, Lawaiter bu veriler üzerinde herhangi bir kontrol veya sorumluluk üstlenmemektedir.

Üye, Lawaiter’e sağladığı kişisel veriler bakımından gerekli hukuki yetki ve rızaları (örneğin müvekkil rızası) temin ettiğini kabul ve taahhüt eder.

16. YÜRÜRLÜK:

İşbu Protokol, Üye’nin Hizmetleri kullanırken elektronik ortamda verdiği onay ile yürürlüğe girer.