Kişisel Veriler Politikası
Kişisel verileri yönetme ilkelerimiz, güvenlik ve imha düzenimiz.
Son güncelleme: 11 Ekim 2026 · Sürüm 2026-10-11
1. Amaç ve Kapsam
İşbu Politika, AVLEX YAPAY ZEKA VE YAZILIM TEKNOLOJİLERİ LİMİTED ŞİRKETİ tarafından yürütülen kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuata uygun biçimde yönetilmesi için benimsenen ilke, süreç ve tedbirleri belirler.
Politika; Platform üyeleri, üyelerin Platform'a yüklediği dosyalarda yer alan üçüncü kişiler, internet sitesi ziyaretçileri, iş ortakları ve çalışan adayları dâhil olmak üzere kişisel verisi işlenen tüm gerçek kişileri kapsar.
Politika, Aydınlatma Metni, Veri İşleme Ek Sözleşmesi, Yurt Dışına Veri Aktarımı Eki ve Çerez Politikası ile birlikte bütün oluşturur. Çelişki hâlinde ilgili özel metin önce uygulanır.
2. Temel İlkeler (KVKK m.4)
- Hukuka ve dürüstlük kurallarına uygun işleme: her işleme faaliyetinin dayandığı hukuki sebep önceden belirlenir.
- Doğruluk ve güncellik: profil verilerinizi kendiniz güncelleyebilirsiniz; hatalı veri bildirimi üzerine düzeltilir.
- Belirli, açık ve meşru amaç: veriler yalnızca ilan edilen amaçlarla işlenir; amaç dışı ikincil kullanım yapılmaz.
- Veri minimizasyonu: hizmetin gerektirmediği veri istenmez; T.C. kimlik ve vergi bilgileri yalnızca fatura/kimlik doğrulama ihtiyacı doğduğunda talep edilir.
- Sınırlı süreyle saklama: her veri kategorisi için azami saklama süresi tanımlanmıştır; süre sonunda imha edilir.
Avlex, yapay zekâ modellerini kullanıcıların dosya içerikleri, sohbetleri veya ürettiği belgelerle eğitmez. Model geliştirme, yalnızca kamuya açık yargı kararları ve mevzuat verisi ile Üye'nin ayrıca ve açıkça izin verdiği veriler üzerinden yapılır.
3. Özel Nitelikli Kişisel Veriler
Platform, Üye'den özel nitelikli kişisel veri (sağlık, ceza mahkûmiyeti, din, sendika üyeliği, biyometrik veri vb.) talep etmez. Ancak Üye'nin yüklediği dava dosyalarında bu tür veriler yer alabilir.
Bu durumda söz konusu veriler bakımından veri sorumlusu, dosyayı yükleyen Üye'dir; Avlex yalnızca Üye'nin talimatı doğrultusunda işlem yapan veri işleyendir. Avlex, bu verilere ilişkin olarak KVKK m.6 ve Kurul'un yeterli önlemler kararı ile uyumlu ek tedbirleri (şifreli saklama, erişim kısıtı, erişim kaydı) uygular.
Üye, yüklediği dosyalarda yer alan özel nitelikli veriler için aydınlatma ve gereken hâllerde açık rıza yükümlülüğünü yerine getirmiş olmalıdır. Avlex, hizmetin gerektirdiği asgari veri ile çalışılmasını tavsiye eder.
4. Teknik ve İdari Tedbirler (KVKK m.12)
Uygulanan teknik tedbirler:
- Tüm istemci-sunucu iletişimi TLS ile şifrelenir; yalnızca HTTPS üzerinden hizmet verilir ve tarayıcıya katı güvenlik başlıkları gönderilir.
- Parolalar geri döndürülemez biçimde argon2id algoritmasıyla özetlenir; düz parola hiçbir yerde saklanmaz ve log'a yazılmaz.
- Hassas kişisel veriler (T.C. kimlik, telefon, sicil numaraları, adres, vergi numarası, müvekkil notları) veritabanında pgcrypto ile şifrelenmiş kolonlarda tutulur.
- Tekillik gerektiren şifreli alanlarda düz özet değil anahtarlı özet (HMAC-SHA256) kullanılır; şifreleme anahtarı veritabanında değil ayrı ortam değişkeninde tutulur.
- Dilekçe, araştırma ve analiz için yüklenen kaynak belgeler yalnızca işlem süresince tutulur; işlem tamamlandığında sunucudan otomatik olarak silinir ve kalıcı bir belge deposu oluşturulmaz.
- Oturum yönetiminde kısa ömürlü erişim jetonu ile opak yenileme jetonu kullanılır; yenileme jetonunun yalnızca özeti saklanır, her kullanımda döndürülür ve tekrar kullanım tespitinde oturum zinciri iptal edilir.
- Girişte e-posta ile iki adımlı doğrulama uygulanır; doğrulama kodları özetlenerek, kısa süreli ve deneme sınırlı biçimde saklanır.
- Kimlik doğrulama, kod gönderimi ve kötüye kullanılabilir uçlar istek sınırlamasına tabidir; hesap listeleme ve kullanıcı varlığını açığa çıkaran yanıtlar engellenir.
- Her sorgu, veriyi talep eden kullanıcının kimliği ile kapsamlandırılır; belgeler tahmin edilemez kimliklerle ve sahiplik kaydı doğrulanarak sunulur.
- Veritabanı erişimi özel ağ üzerinden ve parametreli sorgularla yapılır; yönetim uçları yetki denetimine bağlıdır ve işlemler denetim kaydına yazılır.
Uygulanan idari tedbirler:
- Erişim yetkileri görev tanımıyla sınırlıdır; üretim verisine erişim yalnızca zorunlu hâllerde ve kayıt altında gerçekleşir.
- Şirket adına veri işleyen tüm kişiler gizlilik yükümlülüğü altındadır; ihlâl hâlinde disiplin süreci uygulanır.
- Hizmet alınan tedarikçilerle veri işleme şartlarını içeren sözleşmeler kurulur; sağlayıcının güvenlik seviyesi hizmet alınmadan önce değerlendirilir.
- Kişisel veri envanteri güncel tutulur; yeni bir veri kategorisi veya alıcı eklendiğinde aydınlatma metni gözden geçirilir.
- Yedekler şifreli ortamda tutulur ve geri yükleme testleri yapılır.
5. Saklama ve İmha Düzeni
Her veri kategorisi için saklama süresi Aydınlatma Metni'nde ilan edilmiştir. Saklamayı gerektiren sebep ortadan kalktığında veri; silinir, yok edilir veya anonim hâle getirilir.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca periyodik imha süresi altı ay olarak belirlenmiştir; imha işlemleri her yıl Haziran ve Aralık aylarında yürütülür.
- Üretilen içerikler (dilekçe, analiz, araştırma, sohbet) Üye silene kadar hesabında kalır; Üye tarafından silinen içerik derhâl erişime kapatılır ve en geç izleyen periyodik imha döneminde kalıcı olarak kaldırılır.
- Yüklenen kaynak belgeler işlem tamamlandığında otomatik olarak silinir.
- Hesap silme talebinde müvekkil kayıtları, sohbetler, arama geçmişi ve oturumlar derhâl silinir; ad, soyad, e-posta, telefon, baro ve sicil bilgisi Aydınlatma Metni'nde belirtilen süre boyunca şifreli olarak saklanır; e-posta adresi ve telefon yeniden kayıt için serbest kalır.
- Mali ve muhasebesel kayıtlar, vergi ve ticaret mevzuatındaki süre boyunca saklanır; bu kayıtlarda içerik değil işlem tutarı ve tarih bulunur.
- Yedeklerdeki kopyalar, yedek rotasyon süresi tamamlandığında ortadan kalkar.
6. Veri İhlali Yönetimi
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğinin tespiti hâlinde, Kurul'un 24.01.2019 tarihli kararı doğrultusunda en kısa sürede ve her hâlde 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılır.
İhlalden etkilenen ilgili kişiler, tespit edilebildikleri ölçüde makul en kısa sürede e-posta yoluyla bilgilendirilir; bildirimde ihlalin kapsamı, olası sonuçları ve alınan tedbirler açıklanır. Üye'nin veri sorumlusu olduğu içeriklere ilişkin bir ihlalde Avlex, Üye'yi gecikmeksizin bilgilendirir ve Üye'nin bildirim yükümlülüğünü yerine getirebilmesi için gereken bilgileri sağlar.
7. Sicile Kayıt (VERBİS)
Veri Sorumluları Sicili'ne kayıt yükümlülüğü, Kurul tarafından belirlenen istisna ve eşik kriterlerine göre değerlendirilir. Yükümlülüğün doğduğu hâlde kayıt yapılır ve sicil bilgileri güncel tutulur; kayıt bilgileri bu sayfada yayımlanır.
8. Tarayıcıda Saklanan Veriler
Oturumun sürdürülmesi ve arayüz tercihlerinizin (tema, dil, panel düzeni) hatırlanması için tarayıcınızın yerel depolama alanı ve zorunlu çerezler kullanılır. avlex.ai tanıtım sitesinde yalnızca açık rızanızla Google Analytics 4 ölçüm çerezleri kullanılır. Reklam ölçümü için Meta pikseli tanıtım sitesinde yalnızca açık rızanızla, kayıt ve giriş sayfalarında ise varsayılan olarak çalışır ve kapatılabilir. Giriş yaptıktan sonraki uygulama ekranlarında üçüncü taraf ölçüm veya reklam çerezi kullanılmaz. Ayrıntı için Çerez Politikası'na bakınız.
9. Başvuru ve İletişim
Kişisel verilerinize ilişkin talepleriniz için info@avlex.ai adresine başvurabilirsiniz. Başvurularda kimliğinizi tevsik edici bilgilerin bulunması, talebin konusunun açıkça belirtilmesi ve varsa dayanak belgelerin eklenmesi gerekir. Başvurular en geç otuz gün içinde ücretsiz olarak yanıtlanır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarifesindeki ücret talep edilebilir.
Platform'un veri işleyen olarak hareket ettiği içeriklere ilişkin talepler, ilgili verinin sorumlusu olan Üye'ye yönlendirilir; Avlex bu taleplerde Üye'ye destek verir.
Yürürlük tarihi: 11 Ekim 2026 — Sürüm: 2026-10-11