BAROBASE BİREYSEL PROFESYONEL VERİ İŞLEME EKİ

Son Güncelleme: 15.09.2026

Yürürlük Tarihi: 15.09.2026

Hizmet Sağlayıcı / Veri İşleyen: SBVİRTUS TEKNOLOJİ ANONİM ŞİRKETİ (“BaroBase”)

Telefon: 0532 260 63 98

Kapsam: Bireysel Profesyonel Hesap kullanıcıları

1. Amaç ve kapsam

Bu Bireysel Profesyonel Veri İşleme Eki (“Ek”), BaroBase’i Bireysel Profesyonel Hesap kapsamında kullanan, Türkiye’de bir baro levhasına kayıtlı ve mesleğini icraya yetkili avukatların BaroBase’e yüklediği veya BaroBase üzerinde oluşturduğu kullanıcı içeriği bakımından tarafların veri koruma rollerini ve temel veri işleme şartlarını düzenler.

Bireysel Profesyonel Hesap yalnızca Türkiye’de bir baro levhasına kayıtlı, mesleğini icraya yetkili avukatlara açıktır. Mesleğini icraya yetkili avukat sıfatını taşımayan kişiler — stajyer avukatlar, hukuk öğrencileri, hukuk müşavirleri, kurum içi hukukçular, hukuk departmanı çalışanları ve avukat olmayan diğer kişiler dâhil — BaroBase’i yalnızca bir Kurumsal Müşteri tarafından tahsis edilen Firma Çalışanı Hesabı üzerinden ve ilgili Kurumsal Müşteri’nin sorumluluğu ile gözetimi altında kullanabilir; bu kullanımlar bakımından işbu Ek değil, Kurumsal Abonelik Sözleşmesi ile Kurumsal Veri İşleme Sözleşmesi uygulanır.

Bu Ek; Platform Hizmet Sözleşmesi, KVKK Aydınlatma Metni, Çerez Politikası, BaroBase Hesap Bütünlüğü ve Lisans Koruma Bildirimi, Abonelik & Faturalandırma Bilgilendirme Metni ve uygulanabildiği ölçüde diğer BaroBase hukuki metinleri ile birlikte uygulanır.

2. Tarafların rolleri

Bireysel Profesyonel Hesap kapsamında BaroBase’e yüklenen veya BaroBase üzerinde oluşturulan müvekkil, karşı taraf, üçüncü kişi, dava, dosya, belge, prompt, çıktı, taslak, delil, evrak ve benzeri kullanıcı içeriği bakımından, kural olarak ilgili Bireysel Profesyonel Hesap sahibi veri sorumlusu sıfatıyla hareket eder.

BaroBase, bu kullanıcı içeriği bakımından kural olarak veri işleyen sıfatıyla hareket eder ve kişisel verileri kullanıcının talimatları, Platform Hizmet Sözleşmesi, bu Ek ve ilgili hizmet akışları kapsamında işler.

BaroBase’in üyelik, hesap yönetimi, mesleki doğrulama, faturalama, ödeme, bilgi güvenliği, hesap bütünlüğü, lisans koruma, suistimal önleme, destek, yasal yükümlülükler ve bir hakkın tesisi, kullanılması veya korunması için yürüttüğü sınırlı işleme faaliyetleri bakımından ayrı bir veri sorumlusu rolü bulunabilir. Bu süreçler KVKK Aydınlatma Metni’nde açıklanır.

3. Kullanıcının sorumlulukları

Bireysel Profesyonel Hesap sahibi;

a) BaroBase’e aktardığı kullanıcı içeriği bakımından geçerli hukuki sebebi belirlemekten,

b) müvekkil, karşı taraf, tanık, çalışan, üçüncü kişi ve diğer ilgili kişiler bakımından gerekli aydınlatma ve izin/yetkilendirme süreçlerini yürütmekten,

c) özel nitelikli kişisel verileri yalnızca gerekli ve ölçülü olduğu hâllerde Platform’a aktarmaktan ve bu veriler bakımından 6698 sayılı Kanun’un 6 ncı maddesinin üçüncü fıkrasında sayılan işleme şartlarından en az birinin — özellikle m.6/3-b (kanunlarda açıkça öngörülme) veya m.6/3-d (bir hakkın tesisi, kullanılması veya korunması için zorunlu olma) — mevcut olduğunu tespit etmek ve talep hâlinde beyan etmekten,

d) BaroBase’e aktardığı kişisel verilerin hukuka uygun elde edilmiş olmasından,

e) ilgili kişi taleplerinin esas muhatabı olmaktan,

f) mesleki sır, müvekkil gizliliği ve mesleki yükümlülüklerini yerine getirmekten

sorumludur.

4. BaroBase’in işleme talimatı

Kullanıcı, BaroBase’e kullanıcı içeriğini aşağıdaki amaçlarla işleme talimatı verir:

a) talep edilen BaroBase hizmetlerinin sunulması,

b) belge analizi, özetleme, taslak üretimi, arama, sınıflandırma, metin düzenleme ve ilgili yazılım fonksiyonlarının çalıştırılması,

c) LLM tabanlı özelliklerin kullanılması halinde ilgili talebin işlenmesi ve çıktının üretilmesi,

d) teknik destek, hata giderme ve hizmet sürekliliği,

e) bilgi güvenliği, hesap bütünlüğü, lisans koruma, suistimal önleme ve sistem bütünlüğü,

f) saklama, silme, dışa aktarma ve yedekleme süreçlerinin yürütülmesi,

g) mevzuattan doğan yükümlülüklerin yerine getirilmesi ve hakların korunması.

5. Alt işleyenler ve yurt dışı aktarım

BaroBase, hizmetlerin sunulması için altyapı, barındırma, LLM, kimlik doğrulama, SMS/OTP, ödeme, faturalama, e-posta, destek, güvenlik, hata izleme veya benzeri hizmet sağlayıcılarından yararlanabilir.

Kullanıcı, işbu Ek’i kabul etmekle, kullanıcı içeriğinin aşağıda belirtilen alt işleyenlere aktarılmasına ve bu alt işleyenler tarafından BaroBase adına işlenmesine genel yetkilendirme niteliğinde açık talimat verir:

a) Google Cloud EMEA Limited (70 Sir John Rogerson’s Quay, Dublin 2, İrlanda) — bulut altyapısı, depolama ve Vertex AI üzerinden sunulan büyük dil modelleri ile işleme. Kullanıcı içeriği (promptlar, yüklenen dosyalar, OCR metinleri ve çıktılar) Vertex AI’ın global uç noktası üzerinden işlenir; işleme, altyapı işleyişi, hizmet sürekliliği, performans, güvenlik veya teknik gereklilikler nedeniyle Google Cloud’un farklı bölgelerinde gerçekleşebilir. Saklama, Frankfurt (Almanya) bölgesinde yapılır: Google Cloud Storage (dosyalar, OCR metinleri, çıktılar), MongoDB Atlas (ürün verileri; BaroBase’in Google Cloud hesabı üzerinden temin edilir) ve oturum kayıtları (en geç 7 gün) ile modelin kısa süreli hafızası (30 dakikalık yaşam süresi) yönetilen Redis önbellek hizmetinde tutulur. Bu bileşenlerde tutulan kullanıcı içeriği ve kişisel veriler, 7 nci maddede açıklandığı üzere uygulama seviyesinde şifrelenmiş olarak saklanır.

b) OpenAI, L.L.C. (ABD) — büyük dil modeli işleme. Bu sağlayıcıya yalnızca (i) kişisel veri niteliği taşımayacak biçimde anonim hâle getirilmiş istem türevleri ve (ii) istem içermeyen, yayımlanmış içtihat metinlerinin zenginleştirilmesine ilişkin veriler iletilir. Bu sağlayıcıya kişisel veri, ham kullanıcı içeriği, yüklenen belgeler, dava evrakı, delil, çıktı veya kullanıcıyı tanımlayan üstveri iletilmez; iletilen veriler sözleşme gereği OpenAI tarafından model eğitiminde kullanılmaz. Bu sağlayıcı bakımından işleme bölgesi, aldığı veri kategorileri ve aktarım mekanizması ile güvence durumu barobase.com/alt-isleyenler adresinde gösterilir.

c) Web uygulamasının ve yapay zekâ hizmetlerinin barındırılması bakımından SH Online İletişim A.Ş. (Sadece Hosting; Defterdar Mah. Otakçılar Cad. Sinpaş Flat Ofis No: 78 Eyüpsultan/İstanbul, Türkiye). Bu sağlayıcı yurt içinde yerleşiktir; bu kapsamda yurt dışı aktarım gerçekleşmez.

ç) İşlem e-postaları (doğrulama, fatura ve bildirim e-postaları), BaroBase’in kendi işlettiği e-posta gönderim altyapısı üzerinden gönderilir; bu amaçla üçüncü taraf bir e-posta gönderim sağlayıcısı kullanılmaz ve bu kapsamda yurt dışı aktarım gerçekleşmez.

Hesap, kimlik doğrulama, ödeme ve faturalama süreçlerinde BaroBase’in veri sorumlusu sıfatıyla yararlandığı hizmet sağlayıcılar — OTP/SMS doğrulama bakımından Turatel Mobil Medya İletişim ve Bilişim Sistemleri Elektronik Sanayi Ticaret A.Ş., ödeme hizmeti bakımından iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş., e-Fatura/e-Arşiv süreçleri bakımından Paraşüt Yazılım Teknolojileri A.Ş. — yurt içinde yerleşiktir ve bu süreçler KVKK Aydınlatma Metni’nde açıklanır; bu sağlayıcılara kullanıcı içeriği aktarılmaz.

Büyük dil modeli tabanlı işlemler kullanıcı içeriğinin yurt dışına aktarılmasını gerektirir. Bu aktarım, 6698 sayılı Kanun’un 9 uncu maddesinin dördüncü fıkrasının (c) bendi uyarınca Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmelere (Standart Sözleşme – 2, Veri Sorumlusundan Veri İşleyene ve Standart Sözleşme – 3, Veri İşleyenden Veri İşleyene) dayanılarak yapılır. Söz konusu standart sözleşmeler Google Cloud EMEA Limited ile akdedilmiş ve Kanun’un 9 uncu maddesinin beşinci fıkrası uyarınca Kişisel Verileri Koruma Kurumu’na bildirilmiştir. Sözleşmenin bir örneği, ticari sır niteliğindeki bölümler çıkarılarak Kullanıcı’nın talebi üzerine verilir.

Alt işleyenler ve yurt dışı aktarım süreçleri ayrıca KVKK Aydınlatma Metni, Çerez Politikası, BaroBase Hesap Bütünlüğü ve Lisans Koruma Bildirimi ile barobase.com/alt-isleyenler adresinde yayımlanan Alt İşleyenler ve Yurt Dışı Aktarım Bilgilendirmesi kapsamında açıklanır.

Kullanıcı, BaroBase’in ilgili hizmetleri sunabilmesi için kullanıcı içeriğinin bu dokümanlarda açıklanan alt işleyenler ve aktarım mekanizmaları kapsamında işlenebileceğini kabul eder.

Güncel alt işleyen listesi ile her bir alt işleyenin ülkesi, işleme bölgesi, aldığı veri kategorileri ve aktarım mekanizması barobase.com/alt-isleyenler adresinde yayımlanır; ekleme ve değişiklikler bu sayfada duyurulur. Bu liste işbu Ek’in parçasıdır. Kullanıcı, işbu belgeyi kabul etmekle alt işleyen kullanımına genel yetki vermiş sayılır.

6. LLM ve model geliştirme

BaroBase, kullanıcı içeriğini kural olarak kullanıcının talep ettiği işlemi gerçekleştirmek ve ilgili çıktıyı üretmek amacıyla işler.

BaroBase, ham kullanıcı içeriğini, müvekkil dosyalarını, dava evrakını, delilleri, promptları, çıktıları veya yüklenen belgeleri üçüncü taraf modellerin genel eğitimi amacıyla paylaşmaz veya kullandırmaz.

BaroBase’in kendi hizmet kalitesini, güvenliğini, performansını, hata giderme süreçlerini ve arama/yazılım altyapısını geliştirmeye yönelik iyileştirme analizleri ham kullanıcı içeriğini kapsamaz; bu analizler, hizmet kullanımına ilişkin teknik ve istatistiksel kayıtlar (hata oranları, gecikme süreleri, özellik kullanım sayaçları, kota kullanımı) ile aşağıdaki 6.A maddesi kapsamında elde edilen anonim türevler üzerinde yürütülür. BaroBase, bu analizler kapsamında işlenen teknik ve istatistiksel kayıtlar bakımından veri sorumlusu sıfatıyla hareket eder ve dayandığı hukuki sebep KVKK Aydınlatma Metni’nde açıklanır; 6.A maddesi kapsamında elde edilen anonim türevler ise 6698 sayılı Kanun’un 3/1-b maddesi uyarınca kişisel veri niteliği taşımadığından ve aynı Kanun’un 28 inci maddesinin birinci fıkrasının (b) bendi kapsamında bulunduğundan, bunlar bakımından ayrıca bir işleme şartı aranmaz.

6.A. Anonim hâle getirme ve model geliştirme talimatı

(a) Kullanıcı, veri sorumlusu sıfatıyla BaroBase’e; Platform’a yüklediği veya Platform üzerinde oluşturduğu her türlü kullanıcı içeriğini (prompt, çıktı, belge, dava dosyası, delil, not ve benzeri) 6698 sayılı Kanun’un 3/1-b, 7 ve 28/1-b maddeleri anlamında geri döndürülemez biçimde anonim hâle getirmesi konusunda talimat verir ve bunu kabul eder. BaroBase, bu şekilde elde edilen anonim hâle getirilmiş türevlerini araştırma, geliştirme, model eğitimi, arama altyapısının iyileştirilmesi, kalite ölçümü, istatistik ve ürün geliştirme amaçlarıyla kullanabilir; anonim türevler bu amaçlarla saklanabilir ve kullanılabilir.

(b) BaroBase, anonim hâle getirme işlemini KVKK Aydınlatma Metni’nin 7 nci bölümünde tanımlanan standarda göre (doğrudan ve dolaylı tanımlayıcıların kaldırılması veya genelleştirilmesi, belgelenmiş yöntem, geri döndürülemezlik) yürütür. Bu standart kapsamında ad-soyad, takma adlar, T.C. kimlik ve sicil numaraları, telefon, e-posta, IBAN, plaka, özel dosya/esas numaraları ve benzeri uzun sayısal tanımlayıcılar ile kişiyi tek başına veya diğer bilgilerle birlikte belirlenebilir kılan adresler, işletme adları, özel iş tanımlayıcıları ve nadir olgular kaldırılır veya genelleştirilir; tarih ve tutarlar ile yayımlanmış içtihat atıfları hukuki değerlendirme için korunur. BaroBase, ham içeriği ve kişisel verileri model geliştirmede kullanmaz; özel nitelikli kişisel veriler hiçbir hâlde kullanılmaz, bunlar yalnızca geri döndürülemez biçimde anonim hâle getirildikleri ölçüde anonim türevlerin içinde yer alabilir; anonim hâle getirilemeyen içerik geliştirme sürecine alınmaz. Anonim türevler kişisel veri değildir; bunlar üzerindeki tüm haklar BaroBase’e aittir.

(c) Kullanıcı, kendi müvekkilleri ve içerikte yer alan diğer üçüncü kişiler bakımından aydınlatma yükümlülüğünü yerine getirmekten ve içeriği Platform’a aktarmak için gerekli hukuki dayanağa sahip olmaktan sorumludur.

(ç) BaroBase, model geliştirme amacıyla yalnızca 6698 sayılı Kanun’un 3/1-b maddesi anlamında, başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde anonim hâle getirildiği teknik yöntemler ve nesnel ölçütlerle belgelenebilen verileri kullanır; bu belgeleme yapılamadığı sürece ilgili veriler kişisel veri olarak işlenmeye devam eder ve model geliştirme kapsamına alınmaz.

(d) Anonim hâle getirme işlemi, BaroBase’in Türkiye’de barındırılan kendi altyapısında yürütülür; bu işlem kapsamında yapılan model çağrıları Vertex AI üzerinden Google Cloud EMEA Limited altyapısında ve 5 inci maddede açıklanan standart sözleşme güvenceleri altında gerçekleşir.

(e) İşbu Ek ve bu madde, yalnızca Bireysel Profesyonel Hesap kapsamındaki kullanımlar bakımından uygulanır.

(f) İşbu maddedeki işleme faaliyetlerinin hiçbiri Kullanıcı’ya sunulan opsiyonel bir etkinleştirme veya devre dışı bırakma tercihine bağlı değildir; BaroBase bu kapsamda ayrı bir tercih mekanizması sunmaz.

7. Güvenlik

BaroBase, kullanıcı içeriği bakımından risk esaslı teknik ve idari güvenlik tedbirleri uygular. Bu tedbirler; erişim kontrolü, yetkilendirme, aktarım ve saklama sırasında kriptografik şifreleme, en az ayrıcalık ilkesi, sınırlı personel erişimi, olay yönetimi, yazılı ihlal müdahale planı ve alt işleyenlerle sözleşmesel güvenlik yükümlülüklerini içerir.

Kullanıcı içeriği ve kişisel veriler, herhangi bir saklama ortamına yazılmadan önce uygulama seviyesinde AES-256-GCM ile şifrelenir. Şifreleme anahtarları, BaroBase’in kendi anahtar yönetimi altyapısında tutulan bir ana anahtardan organizasyon bazında türetilir; ana anahtar iki yetkili arasında bölünmüştür ve tek bir kişi tarafından tek başına kullanılamaz. Sorgulanabilir alanlar yalnızca özet (hash) değerleri olarak tutulur. Tüm dış bağlantılarda TLS uygulanır. Alt işleyenlerin kendi altyapılarında uyguladığı saklama düzeyi şifreleme bu tedbirlere ek olarak geçerlidir.

BaroBase personelinin kullanıcıların sohbetlerini veya dosyalarını açmasına imkân veren bir araç bulunmamaktadır; BaroBase personeli kullanıcı içeriğini görüntülemez. Destek hizmeti yalnızca hesap, ödeme ve abonelik konularını kapsar ve destek süreçlerinde kullanıcı içeriği görüntülenmez. Kullanıcı içeriğine insan erişimi yalnızca bir güvenlik olayının incelenmesi veya bağlayıcı bir hukuki yükümlülüğün yerine getirilmesi hâlinde, anahtar yönetimi prosedürü çerçevesinde ve yetkili yönetici tarafından mümkündür.

Kullanıcı içeriğinin özel nitelikli kişisel veri içermesi hâlinde BaroBase, Kişisel Verileri Koruma Kurulu’nun 31.01.2018 tarihli ve 2018/10 sayılı kararında öngörülen yeterli önlemleri de uygular.

7.A. Veri ihlali bildirimi

BaroBase, kullanıcı içeriğine ilişkin bir kişisel veri ihlalinden haberdar olması veya böyle bir olayı teyit etmesi hâlinde, 6698 sayılı Kanun’un 12 nci maddesi çerçevesinde Kullanıcı’nın hesapta kayıtlı e-posta adresine gecikmeksizin bildirimde bulunur. İlk bildirimde, mümkün olduğu ölçüde, olayın özeti ve öğrenilme zamanı, etkilenen kişisel veri kategorileri, etkilenen tahmini kayıt sayısı, olası etkiler ile alınan ve alınacak teknik ve idari tedbirlere yer verilir. Tüm bilgilerin ilk bildirimde mevcut olmaması hâlinde BaroBase, olay yönetimi süresince makul aralıklarla güncelleme sağlar.

Kullanıcı içeriği bakımından Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere yapılacak bildirimler, veri sorumlusu sıfatıyla Kullanıcı’ya aittir; BaroBase bu süreçte gerekli teknik ve fiilî desteği sağlar. BaroBase’in kendi veri sorumlusu sıfatıyla işlediği hesap, ödeme ve güvenlik verileri bakımından Kurul’a ve ilgili kişilere bildirim yükümlülüğü BaroBase’e aittir.

8. İlgili kişi talepleri

Kullanıcı içeriği bakımından ilgili kişi taleplerinin asıl muhatabı Bireysel Profesyonel Hesap sahibidir. BaroBase’e doğrudan iletilen talepler, talebin niteliğine göre kullanıcıya yönlendirilebilir veya BaroBase tarafından sınırlı teknik destek sağlanabilir.

9. Saklama, silme ve iade

Kullanıcı içeriği, ilgili hizmet özelliği ve hesap ayarları kapsamında saklanır. Kullanıcı tarafından silinen içerik hesap arayüzünden erişilemez hâle getirilir. Silme talebinin alınması veya hesabın kapatılmasından itibaren en geç 30 (otuz) gün içinde üretim sistemlerindeki kullanıcı içeriği, en geç 90 (doksan) gün içinde varsa yedek kopyaları silinir veya yok edilir; bu süreler aynı başlangıçtan hesaplanır, birbirine eklenmez. Hesabın kapatılması hâlinde kullanıcı içeriğinin tamamı aynı süreler içinde silinir.

Teknik, güvenlik, yedekleme, hata giderme, uyuşmazlık, mevzuat veya hakkın korunması gerekçeleriyle bazı kayıtlar sınırlı süreyle sistemlerde tutulabilir. Mevzuat gereği saklanması zorunlu kayıtlar ile devam eden uyuşmazlık, güvenlik olayı veya tahsilat süreçlerine ilişkin kayıtlar saklıdır; bu kayıtlar yalnızca ilgili amaçla sınırlı olarak ve amaç ortadan kalkıncaya kadar tutulur, ardından silinir, yok edilir veya anonim hâle getirilir.

Bu madde, 6.A maddesi uyarınca geri döndürülemez biçimde anonim hâle getirilmiş türevleri kapsamaz; anonim türevler kişisel veri niteliği taşımadığından silme yükümlülüğüne tabi değildir.

Hesap kapatma, içerik silme veya dışa aktarma süreçleri BaroBase’in ilgili saklama, silme ve dışa aktarma açıklamaları ile ürün içi fonksiyonlara tabidir.

10. Yürürlük

Bu Ek, Bireysel Profesyonel Hesap sahibinin Platform Hizmet Sözleşmesi’ni kabul etmesi, hesabını oluşturması veya BaroBase’i kullanması ile birlikte uygulanır.