KİŞİSEL VERİLERİN KORUNMASI KANUNU (KVKK) AYDINLATMA METNİ

BaroBase / SBVirtus Teknoloji A.Ş.

Son Güncelleme: 15.09.2026
Yürürlük Tarihi: 15.09.2026

1) Veri Sorumlusunun Kimliği

6698 sayılı KVKK uyarınca veri sorumlusu:

SBVirtus Teknoloji A.Ş.
YEŞİLKÖY MAH. ATATÜRK CAD. EGS BUSİNESS PARK NO: 12 İÇ KAPI NO: 1 BAKIRKÖY/ İSTANBUL 34149
MERSİS: 0757108284200001
KEP: sbvirtusteknoloji@hs01.kep.tr
İletişim (KVKK): privacy@barobase.com
Telefon: 0532 260 63 98

0) Terimler Sözlüğü (Tanımlar)

• BaroBase / Hizmetler: SBVirtus Teknoloji A.Ş. tarafından sunulan BaroBase platformu ve platform kapsamındaki yazılım modülleri/özellikler.
• Üye: BaroBase Hizmetleri'ne erişen ve Hizmetler'i Bireysel Profesyonel Hesap veya Firma Çalışanı Hesabı kapsamında kullanan gerçek kişi kullanıcı.
• Uygun Kullanıcı: BaroBase'i mesleki amaçlarla kullanması öngörülen kullanıcı. Bireysel Profesyonel Hesap ve Deneme Erişimi bakımından Uygun Kullanıcı, yalnızca Türkiye'de bir baro levhasına kayıtlı, mesleğini icraya yetkili avukatlardır. Stajyer avukatlar, hukuk öğrencileri ve avukat olmayan kişiler bireysel hesap açamaz ve Deneme Erişimi'nden yararlanamaz; bu kişiler BaroBase'i yalnızca bir Kurumsal Müşteri tarafından kendilerine tahsis edilen Firma Çalışanı Hesabı kapsamında, ilgili Kurumsal Müşteri'nin sorumluluğu ve gözetimi altında kullanabilir. Kurumsal hesap kapsamında hukuk müşavirleri, kurum içi hukukçular, hukuk departmanı çalışanları ile bu kişilerin gözetimi altında çalışan yetkilendirilmiş personel de Uygun Kullanıcı kapsamındadır. Bu tanıma dâhil olmayan meslek mensuplarının hesap açması, yalnızca BaroBase'in ilgili hesap tipi için ayrıca yayımladığı ve duyurduğu özel şartlar kapsamında ve bu şartların kabulü ile mümkündür (Platform Hizmet Sözleşmesi m.3.1).
• Kurumsal Müşteri: BaroBase'i kurumsal hesap üzerinden kullanan hukuk bürosu/kurum (ve bu kuruma bağlı kullanıcılar).
• Bireysel Üyelik (B2P-Profesyonel): Hizmetlerin, Türkiye'de bir baro levhasına kayıtlı ve mesleğini icraya yetkili bir avukat tarafından kendi mesleki faaliyetleri kapsamında, bireysel abonelik ile kullanımı.
• Bireysel Profesyonel Hesap: Kendi adına kayıt olan, ad-soyad ve mesleki sicil/baro bilgileri veya BaroBase tarafından talep edilen benzeri mesleki doğrulama bilgileriyle doğrulanan, tek kişilik profesyonel kullanıcı hesabı. Faturanın bir şirket, hukuk bürosu, kurum veya üçüncü kişi adına düzenlenmesi, hesabın B2B/kurumsal ortak kullanım hesabına dönüştüğü anlamına gelmez.
• Firma / Organizasyon Hesabı: Bir hukuk bürosu, şirket, kurum içi hukuk departmanı veya benzeri yapı adına oluşturulan; lisans/koltuk, kullanıcı daveti, rol, çalışma alanı ve faturalama süreçlerinin yönetildiği kurumsal hesap.
• Firma Çalışanı Hesabı: Firma / Organizasyon Hesabı altında belirli bir gerçek kişiye tahsis edilen ve yalnızca o kişi tarafından kullanılabilen kullanıcı hesabı.
• Fatura Profili: Fatura/e-arşiv/e-fatura düzenlenmesi ve tahsilat için kullanılan kişi veya kurum bilgileri. Fatura Profili, tek başına kullanıcı hakkı, yönetici yetkisi veya hesap paylaşımı hakkı doğurmaz.
• Hesap Bütünlüğü ve Lisans Koruma Verileri: Hesap paylaşımı, lisans/koltuk ihlali, deneme suistimali, yetkisiz erişim, olağan dışı oturum davranışı ve yüksek maliyetli özelliklerin sözleşmeye aykırı kullanımının tespiti için işlenen oturum, cihaz, IP/ağ, tarayıcı, kullanım yoğunluğu, eşzamanlı erişim ve gelişmiş cihaz tutarlılığı sinyalleri.
• Kurumsal Kullanım (B2B): Hizmetlerin kurumsal üyelik üzerinden kullanımı.
• Kullanıcı İçeriği: Üye/Kurumsal Müşteri tarafından BaroBase'e yüklenen veya BaroBase üzerinde oluşturulan içerikler (dosya, dilekçe, dava evrakı, sohbet içerikleri, LLM'e gönderilen talep ve üretilen yanıtlar, müvekkil/üçüncü kişi verileri vb.).
• Veri Sorumlusu / Veri İşleyen: KVKK kapsamında kişisel verilerin işleme amaç ve vasıtalarını belirleyen taraf Veri Sorumlusu; veri sorumlusunun talimatları doğrultusunda kişisel verileri işleyen taraf Veri İşleyendir.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• Kişisel Veri / Özel Nitelikli Kişisel Veri: KVKK'da tanımlanan kapsamda, kimliği belirli/belirlenebilir gerçek kişiye ilişkin her türlü bilgi / KVKK m.6 kapsamındaki özel nitelikli kişisel veriler.
• LLM (Büyük Dil Modeli): Metin üretimi/analiz gibi amaçlarla kullanılan büyük dil modeli tabanlı yapay zekâ hizmetleri.
• Prompt / Yanıt: LLM'e gönderilen talep (prompt) ve LLM tarafından üretilen çıktı (yanıt).
• Anonim Hâle Getirme (Anonimleştirme) / Anonim Veri: Kişisel verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi (KVKK m.3/1-b ve m.7) ve bu işlem sonucunda elde edilen, kişisel veri niteliği taşımayan veri. Anonim veriler Kanun kapsamı dışındadır.
• Anonim Türev: Kullanıcı İçeriği'nden anonim hâle getirme yoluyla elde edilen ve 7 nci bölümde açıklanan amaçlarla kullanılabilen veri kümesi.
• Teknik Kayıtlar (Log): Güvenlik, hata giderme, performans ölçümü ve işlem takibi gibi amaçlarla oluşan teknik kayıtlar.
• Gecikme (Latency): Bir işlemin/isteğin sonuçlanma süresi (performans metriği).
• Oran Sınırlama (Rate-limit): Suistimal önleme amacıyla istek/sorgu sayısının belirli sınırlarla kısıtlanması.
• Dolandırıcılık/Suistimal (Fraud): Hesap ele geçirme, kötüye kullanım, yetkisiz erişim gibi suistimal türleri.
• OTP (Tek Kullanımlık Şifre): Hesap güvenliği amacıyla SMS/e-posta ile iletilen tek kullanımlık doğrulama kodu.
• MFA (Çok Faktörlü Kimlik Doğrulama) / SSO (Tek Oturum Açma): Hesap güvenliğini artırmaya yönelik kimlik doğrulama yöntemleri.
• TLS: Veri aktarımı sırasında şifreli iletişimi sağlayan güvenlik protokolü.
• Tokenizasyon: Kart verisi gibi hassas verilerin ödeme sağlayıcısı tarafından "token"a dönüştürülmesi (BaroBase sistemlerinde kart verisi tutulmaması).
• KEP: Kayıtlı Elektronik Posta.
• ETK / İYS: Ticari elektronik iletilere ilişkin mevzuat (Elektronik Ticaretin Düzenlenmesi Hakkında Kanun) ve İleti Yönetim Sistemi.
• Standart Sözleşme-2 / Standart Sözleşme-3: KVKK m.9 kapsamında yurt dışına aktarımda Kurum tarafından yayımlanan standart sözleşme tipleri (Veri Sorumlusundan Veri İşleyene / Veri İşleyenden Veri İşleyene).

2) Kapsam ve Roller: "Veri Sorumlusu" ve "Veri İşleyen" Ayrımı

BaroBase, Hizmetler'in niteliğine göre iki farklı rolde hareket eder:

2.1. BaroBase'in Veri Sorumlusu olduğu veriler (Hesap & ilişki verileri)

Aşağıdaki süreçlerde BaroBase veri sorumlusudur:

• Üyelik/kayıt, hesap yönetimi, kullanıcı yetkilendirme
• Faturalama, ödeme ve muhasebe süreçleri
• Bilgi güvenliği, log kayıtları, suistimal/ihlal tespiti
• Destek/iletişim taleplerinin yönetimi

2.2. BaroBase'in Veri İşleyen olduğu veriler (Kullanıcı İçeriği – Kurumsal Kullanım (B2B) ve Bireysel Üyelik (B2P-Profesyonel))

Üyelerin veya kurumsal müşterilerin BaroBase'e yüklediği ya da BaroBase üzerinde oluşturduğu kullanıcı içeriği (dosya, dilekçe, dava evrakı, prompt/yanıt, müvekkil ve üçüncü kişi verileri vb.) bakımından BaroBase, ilgili hizmet akışı ve sözleşmesel ilişkiye göre kural olarak veri işleyen sıfatıyla hareket eder. Ancak güvenlik ve suistimal/ihlal incelemesi, yasal taleplere cevap verilmesi ile BaroBase'in bir hakkının tesisi, kullanılması veya korunması amacıyla yürütülen sınırlı işleme faaliyetleri bakımından BaroBase veri sorumlusu sıfatıyla hareket eder. Bu sınırlı faaliyetler kapsamında kullanıcı içeriğinde yer alan özel nitelikli kişisel verilere (sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri vb.) erişilmesi hâlinde işleme, KVKK m.6/3-d (bir hakkın tesisi, kullanılması veya korunması için zorunlu olması) şartına; mahkeme veya yetkili idari makam kararlarının yerine getirilmesi hâlinde ise ayrıca KVKK m.6/3-b (kanunlarda açıkça öngörülmesi) şartına dayanır. Bu verilerin işlenmesinde KVKK m.6/4 uyarınca Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında öngörülen yeterli önlemler uygulanır.

Kurumsal kullanımda (B2B), kullanıcı içeriği bakımından veri sorumlusu kural olarak kurumsal müşteridir. Bireysel profesyonel kullanımda (B2P), içeriği sisteme yükleyen veya oluşturan uygun kullanıcı, ilgili içerik üzerindeki hukuki dayanağın kurulması ve gerekli aydınlatma/yetkilendirme süreçlerinden sorumludur. Bireysel Profesyonel Hesaplarda faturanın bir şirket, hukuk bürosu, kurum veya üçüncü kişi adına düzenlenmesi, Kullanıcı İçeriği bakımından veri sorumluluğu rolünü kendiliğinden değiştirmez ve hesabı Firma / Organizasyon Hesabı haline getirmez. Bu durumda hesap, kayıtlı Hesap Sahibi tarafından kullanılan B2P hesabı olarak kalır; kullanıcı içeriği bakımından gerekli hukuki dayanak, aydınlatma ve yetkilendirme süreçlerinden kural olarak ilgili Bireysel Profesyonel Hesap Sahibi sorumludur. Kurumsal çalışma alanı, çoklu kullanıcı yönetimi, çalışan hesabı ve organizasyonel görünürlük süreçleri yalnızca Firma / Organizasyon Hesabı kapsamında uygulanır.

Kullanıcı İçeriği bakımından "veri sorumlusu":

(i) Bireysel üyeliklerde: İçeriği BaroBase'e giren/yükleyen Üye (Uygun Kullanıcı),
(ii) Kurumsal üyeliklerde: İçeriği BaroBase'e giren/yükleyen kullanıcıların bağlı olduğu kurumsal müşteri (hukuk bürosu/kurum) veri sorumlusudur.

Bu kapsamda, ilgili içerik üzerinde hukuki sebebin kurulması, aydınlatma yükümlülüğünün yerine getirilmesi ve gerekli yetkilendirmelerin temini veri sorumlusunun sorumluluğundadır.

Bilgi güvenliği, suistimal/ihlal tespiti, hukuki zorunluluk hallerinde… içerik üzerinde sınırlı inceleme yapılabilir; bu işlemler güvenlik ve uyum amaçlıdır. Bu istisnai hallerde gerçekleştirilen sınırlı incelemeler, yalnızca bilgi güvenliği ve hukuki uyum amaçlarıyla ve ölçülülük ilkesine uygun biçimde yapılır.

Bireysel Profesyonel Hesap sahipleri bakımından kullanıcı içeriğine ilişkin veri işleme ilişkisi, ayrıca Bireysel Profesyonel Veri İşleme Eki kapsamında düzenlenebilir. Bu Ek, aydınlatma metninin yerine geçmez; B2P kullanıcının veri sorumlusu olarak BaroBase'e verdiği veri işleme talimatlarını ve BaroBase'in veri işleyen sıfatıyla hareket ettiği kullanıcı içeriği süreçlerini sözleşmesel olarak düzenler.

3) İşlenen Kişisel Veri Kategorileri

Hizmetleri kullanımınıza göre aşağıdaki veriler işlenebilir:

3.1. Hesap/üyelik verileri

• Ad-soyad, e-posta, telefon, kullanıcı rolü/yetki bilgileri
• Kurumsal hesaplarda: firma/büro adı, kullanıcı yönetimi bilgileri
• Kullanıcı rolü/yetki bilgileri ve mesleki doğrulama bilgileri: T.C. kimlik numarası, Türkiye Barolar Birliği sicil numarası, baro bilgisi ve baro sicil numarası. Bu bilgiler kayıt sırasında alınır ve biçimsel/algoritmik kontrollere (ör. T.C. kimlik numarası algoritma kontrolü) ile tekillik kontrollerine tabi tutulur; hesabın gerçekten Türkiye'de bir baro levhasına kayıtlı ve mesleğini icraya yetkili bir avukata ait olduğunun doğrulanması, hesap paylaşımının ve sahte kaydın önlenmesi amacıyla Kanun'un 5/2-c ve 5/2-f maddelerine dayanılarak işlenir; doğrulama, ileride baro ve meslek kuruluşlarının kamuya açık levha/sicil sorgularıyla manuel veya otomatik olarak da yapılabilir ve bu bilgiler hesap süresince yeniden doğrulama amacıyla saklanır.
• Bireysel Profesyonel Hesap ve Deneme Erişimi yalnızca Türkiye'de bir baro levhasına kayıtlı, mesleğini icraya yetkili avukatlara açık olduğundan, mesleki doğrulama bilgileri bu hesap türlerinde kayıt için zorunludur. Stajyer avukatlar, hukuk öğrencileri ve avukat olmayan kişiler bakımından bireysel kayıt yapılmadığından bu kapsamda mesleki doğrulama bilgisi işlenmez; bu kişiler yalnızca bir Kurumsal Müşteri tarafından tahsis edilen Firma Çalışanı Hesabı kapsamında kullanıcı olarak tanımlanır ve bu hâlde ad-soyad, iş iletişim bilgileri, davet, rol ve kurum ilişkisi kayıtları işlenir.

3.2. Finans ve faturalama verileri

• Fatura bilgileri, vergi kimlik numarası (VKN) ve mevzuat gereği gerekli olması halinde T.C. kimlik numarası (TCKN) gibi bilgiler
• Ödeme süreçlerinde kart verileri BaroBase sistemlerinde tutulmaz; ödeme hizmet sağlayıcısı tarafından işlenir/tokenize edilir.

3.3. İşlem güvenliği verileri

• IP adresi, IP adresinden türetilen yaklaşık konum (ülke/şehir/bölge) bilgisi, ASN/ISP, VPN/proxy/Tor veya veri merkezi kaynaklı ağ risk göstergeleri
• Kullanıcı aracısı (user agent) ve istemci ipuçları (client hints), platform bilgisi, tarayıcı ve işletim sistemi bilgisi, dil tercihleri, zaman dilimi, yuvarlanmış ekran boyutu, renk derinliği, piksel oranı, dokunmatik destek bilgisi, işlemci çekirdek sayısı, cihaz belleği ve WebGL vendor/renderer bilgisi
• Tarayıcıda üretilen kurulum kimliği (install ID) ile bu sinyallerden türetilen anahtarlı özet (hash) değeri, cihaz risk puanı ve güven durumu bilgisi
• Oturum açma, oturum yenileme, oturum sonlandırma, başarısız giriş denemeleri, oturum/cihaz ilişkilendirme kayıtları, cihaz sınırının uygulanmasına ilişkin kayıtlar, güvenlik logları, hata kayıtları, oran sınırlama ve anomali tespit kayıtları

Bu veriler; hesap paylaşımının ve lisans ihlallerinin tespiti, her pakette uygulanan cihaz sınırının (2 masaüstü + 1 mobil cihaz) ve oturum süresinin (7 gün) uygulanması ile güvenlik olaylarının incelenmesi amacıyla işlenir.

3.4. Kullanım, Performans, Hesap Bütünlüğü ve Lisans Koruma Verileri

Hizmetlerin güvenliğini, sürekliliğini, maliyet dengesini ve sözleşmeye uygun kullanımını sağlamak amacıyla; hangi özelliğin ne sıklıkla kullanıldığı, arama/işlem sayıları, başarı oranları, token/kota kullanımı, sayfa/belge analiz limitlerine ilişkin veriler, gecikme (latency), hata oranları, yüksek maliyetli özellik kullanım yoğunluğu, eşzamanlı kullanım kayıtları, cihaz/oturum ilişkisi, deneme üyeliği kullanım paternleri ve benzeri kullanım ve performans metrikleri işlenebilir.

BaroBase ayrıca hesap paylaşımı, tek hesapla çok kişi kullanımı, lisans/koltuk sınırı ihlali, deneme üyeliği suistimali, yetkisiz erişim, hesap ele geçirme, bot/otomasyon kullanımı ve olağan dışı oturum davranışlarının tespiti amacıyla cihaz ve tarayıcı tutarlılığı sinyallerini işleyebilir. Bu kapsamda, gerekli ve ölçülü olduğu hallerde Canvas render karakteristikleri, WebGL vendor/renderer/grafik işleme karakteristikleri, AudioContext veya benzeri ses işleme karakteristikleri, font render/ölçüm farklılıkları ve tarayıcı-cihaz konfigürasyonundan türetilen teknik tutarlılık göstergileri kullanılabilir.

Bu sinyallerden türetilen cihaz/oturum tanımlayıcıları anonim veri olarak değil, ilgili hesap veya oturumla ilişkilendirilebildikleri ölçüde kişisel veri olarak değerlendirilir. BaroBase, cihaz eşleştirmesi için anahtarlı özet (hash) değerleri ile birlikte ham sinyallerin şifrelenmiş bir anlık görüntüsünü, bir risk puanını ve güven durumu bilgisini cihaz kaydı üzerinde tutar; bu kayıtların saklama süreleri 8.3 üncü bölümde gösterilmiştir. Bu veriler reklamcılık veya davranışsal pazarlama amacıyla kullanılmaz.

3.5. Kullanıcı içeriği (dosya/prompt/çıktı)

• Yüklenen/oluşturulan metinler, evraklar, dava dosyası içerikleri, LLM'e gönderilen talep (prompt) ve üretilen yanıtlar
• Bu içerikler niteliği gereği özel nitelikli kişisel veri içerebilir (sağlık, ceza mahkûmiyeti vb.). Bu içeriklerin hukuki dayanağının kurulması ve minimizasyonu, veri sorumlusu olan müşterinin sorumluluğundadır.
• Kullanıcı içeriği bakımından veri sorumlusu, içeriği sisteme yükleyen/oluşturan Üye (Bireysel Profesyonel Hesap sahibi) veya kurumsal müşteridir. Veri sorumlusu; zorunlu olmadıkça özel nitelikli verileri sisteme yüklememeli, yüklemek zorundaysa asgari veri ilkesiyle hareket etmeli ve ilgili içerik için gerekli hukuki zemini kurmalıdır. BaroBase, bu içerikleri veri işleyen sıfatıyla; hizmetin sunulması, güvenlik, destek, hata giderme ve hukuki yükümlülüklerin yerine getirilmesi amaçlarıyla işler; 2.2 nci bölümde sayılan sınırlı güvenlik, yasal talep ve hakkın korunması hâllerinde ise BaroBase veri sorumlusu sıfatıyla hareket eder.

Kullanıcı içeriğinde yer alan üçüncü kişiler (müvekkil, karşı taraf, tanık vb.) bakımından KVKK m.10 aydınlatma yükümlülüğü, içeriği yükleyen ve veri sorumlusu sıfatını taşıyan Üye veya kurumsal müşteriye aittir. BaroBase'in bu içerik üzerinde 2.2'de sayılan sınırlı hâllerde veri sorumlusu sıfatıyla hareket ettiği durumlarda, BaroBase'in bu kişilerle doğrudan bir iletişim veya sözleşme ilişkisi bulunmaması nedeniyle kendilerine doğrudan bilgi verilmesi mümkün olmadığından, aydınlatma bu metin aracılığıyla kamuya açık şekilde yapılmaktadır. Bu kişiler, KVKK m.11 kapsamındaki taleplerini 11'inci bölümde belirtilen kanallardan BaroBase'e iletebilir; talep, niteliğine göre doğrudan sonuçlandırılır veya ilgili veri sorumlusuna yönlendirilir.

4) Veri İşleme Amaçları ve Hukuki Sebepler

Kişisel verileriniz aşağıdaki amaçlarla işlenir:

• Sözleşmenin kurulması/ifası (KVKK m.5/2-c): üyelik oluşturma, hizmetin sunulması, abonelik/erişim yönetimi, destek sağlanması
• Hukuki yükümlülük (m.5/2-ç) ve kanunda öngörülme (m.5/2-a): faturalama, muhasebe, yasal saklama yükümlülükleri
• Meşru menfaat (m.5/2-f): bilgi güvenliği, kötüye kullanımın önlenmesi, ürün güvenilirliğinin sağlanması ve geliştirilmesi (ölçülülük ilkesine uygun)
• Bir hakkın tesisi/kullanılması/korunması (m.5/2-e): uyuşmazlık ve denetim süreçleri

Ticari elektronik ileti/pazarlama yalnızca açık rızanıza dayanılarak ve ETK/İYS mevzuatına uygun olarak yürütülür. Şirketimiz İleti Yönetim Sistemi'ne (İYS) kayıtlıdır; onay ve ret bildirimleriniz, alındıkları tarihten itibaren üç iş günü içinde kanal bazında İYS'ye kaydedilir ve İYS'ye kaydedilmemiş bir onaya dayanılarak ticari elektronik ileti gönderilmez. Onayınız; e-posta, SMS, telefon araması, WhatsApp ve benzeri anlık mesajlaşma uygulamaları ile pazarlama amaçlı uygulama içi bildirimleri kapsar ve iletiler yalnızca onay verdiğiniz kanallar üzerinden gönderilir. Onayın elektronik ortamda alınması hâlinde, onayın alındığına ilişkin teyit iletisi, ret imkânı da tanınarak aynı gün içinde tarafınıza iletilir. Onayınızı; e-postadaki ret bağlantısı, SMS ile "RED", aynı WhatsApp yazışması, arama sırasında sözlü bildirim veya doğrudan İYS üzerinden dilediğiniz zaman geri alabilirsiniz. Ayrıntılar Ticari Elektronik İleti Onay Metni'nde yer alır.

Amaçlar ve Hukuki Sebepler:

Özel nitelikli kişisel veriler: BaroBase, kullanıcı içeriğinde yer alan özel nitelikli kişisel verileri kural olarak veri işleyen sıfatıyla ve veri sorumlusunun talimatı doğrultusunda işler; bu veriler bakımından KVKK m.6/3'teki işleme şartını sağlamak ve aydınlatma yükümlülüğünü yerine getirmek veri sorumlusuna aittir. BaroBase'in 2.2. bölümde açıklanan sınırlı faaliyetleri bakımından işleme, KVKK m.6/3-d ve gerektiğinde m.6/3-b şartlarına dayanır. Her hâlde KVKK m.6/4 uyarınca Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında öngörülen yeterli önlemler uygulanır. Özel nitelikli kişisel veriler, anonim hâle getirilmedikçe model geliştirme, ince ayar veya test amacıyla kullanılmaz.

5) Kişisel Verilerin Toplanma Yöntemi

Kişisel veriler; kayıt formları, platform içi kullanım, destek kanalları, güvenlik logları, çerez/benzeri teknolojiler ve entegrasyonlar aracılığıyla otomatik veya kısmen otomatik yöntemlerle toplanabilir.

Çerezlerin kullanımına ilişkin detaylar Çerez Politikası'nda yer almaktadır.

6) Kişisel Verilerin Aktarılması (Yurt içi / Yurt dışı)

6.1. Yurt içi alıcı grupları

• Ödeme hizmet sağlayıcıları: iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (ödeme işlemleri, kart tokenizasyonu ve tahsilat; kullanıcı içeriği aktarılmaz)
• E-fatura/e-arşiv entegratörleri: Paraşüt Yazılım Teknolojileri A.Ş. (fatura alanları; kullanıcı içeriği aktarılmaz)
• SMS/OTP sağlayıcısı: tek kullanımlık doğrulama kodu ve SMS gönderimi için Turatel Mobil Medya İletişim ve Bilişim Sistemleri Elektronik Sanayi Ticaret A.Ş. (telefon numarası ve doğrulama kodu); bu sağlayıcıya kullanıcı içeriği aktarılmaz. İşlem e-postaları, BaroBase'in kendi işlettiği e-posta gönderim altyapısı üzerinden gönderilir; bu amaçla üçüncü taraf bir e-posta gönderim sağlayıcısı kullanılmaz.
• Barındırma: web uygulamasının ve yapay zekâ hizmetlerinin barındırılması SH Online İletişim A.Ş. (Sadece Hosting; Defterdar Mah. Otakçılar Cad. Sinpaş Flat Ofis No: 78 Eyüpsultan/İstanbul, Türkiye) üzerinden yürütülür; bu kapsamda yurt dışına aktarım gerçekleşmez
• Bilgi teknolojileri / siber güvenlik tedarikçileri (altyapı, izleme, log yönetimi, güvenlik hizmetleri); bu kapsamda görevlendirilen tedarikçiler, görevlendirilmeden önce 6.2.3'te belirtilen alt işleyen sayfasında gösterilir. Bulut altyapısı ve büyük dil modeli hizmetleri yurt dışında yerleşik sağlayıcılardan alınmakta olup bu aktarımlar 6.2'de açıklanmıştır.
• Hukuki, mali ve vergisel danışmanlar ile bağımsız denetçiler (sır saklama ve/veya gizlilik yükümlülüğü altında)

Bu aktarımlar;
(i) ödeme tahsilatı/iadeler ve finansal mutabakatın yürütülmesi,
(ii) e-fatura/e-arşiv süreçlerinin mevzuata uygun yürütülmesi ve saklama yükümlülüklerinin yerine getirilmesi,
(iii) hesap güvenliği (OTP) ve hizmet bildirimlerinin iletilmesi,
(iv) web uygulamasının ve yapay zekâ hizmetlerinin barındırılması
amaçlarıyla sınırlı olarak yapılır.

Yurt içi aktarımlar, KVKK m.5/2-c (sözleşmenin kurulması/ifası) ve gerekli hallerde KVKK m.5/2-ç ve m.5/2-a (hukuki yükümlülük/kanunda öngörülme) hukuki sebeplerine dayanır.

6.2. Yurt dışına aktarım

6.2.1. Bulut altyapısı ve büyük dil modeli işlemleri. Hesap ve ilişki verileriniz ile Hizmetler'i kullanırken oluşturduğunuz veya yüklediğiniz kullanıcı içeriği (özel nitelikli kişisel veri içerebilen dava dosyaları ve belgeler dâhil), Hizmetler'in sunulması, güvenliği ve büyük dil modeli tabanlı işlevlerin çalıştırılması amacıyla Google Cloud EMEA Limited'e (70 Sir John Rogerson's Quay, Dublin 2, İrlanda) aktarılır. Büyük dil modeli çağrıları Vertex AI'ın küresel (global) uç noktası üzerinden yapılır; bu nedenle işleme Google Cloud'un farklı bölgelerinde gerçekleşebilir. Saklama Frankfurt (Almanya) bölgesinde yapılır: yüklenen dosyalar, optik karakter tanıma (OCR) metinleri, görseller ve çıktılar Google Cloud Storage'da; ürün verileri, BaroBase'in Google Cloud hesabı üzerinden temin edilen MongoDB Atlas veri tabanında; oturum kayıtları (en geç 7 gün) ile modelin kısa süreli hafızası (30 dakikalık yaşam süresi) yönetilen Redis önbellek hizmetinde tutulur. Bu verilerin tamamı, ilgili sistemlere yazılmadan önce uygulama seviyesinde şifrelenir. Vertex AI üzerinden sunulan büyük dil modelleri, kendilerine iletilen içeriği kendi modellerinin eğitiminde kullanmaz.

Büyük dil modeli tabanlı işlevlerin bir bölümünde OpenAI, L.L.C. (ABD) hizmetlerinden yararlanılır. OpenAI'a yalnızca (i) kişisel veri niteliği taşımayacak biçimde anonim hâle getirilmiş istem (prompt) türevleri ile (ii) kullanıcı sorgusu içermeyen, yayımlanmış içtihat metinlerinin zenginleştirilmesine ilişkin veriler iletilir; bu kapsamda kişisel veri ve kullanıcıyı tanımlayan üstveri iletilmez. İletilen veriler, sözleşme gereği OpenAI tarafından model eğitiminde kullanılmaz.

6.2.2. Hukuki mekanizma. Bu aktarımlar, 6698 sayılı Kanun'un 9 uncu maddesinin dördüncü fıkrasının (c) bendi uyarınca, Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşmelere dayanır. BaroBase'in veri sorumlusu sıfatıyla aktardığı hesap ve ilişki verileri için "Standart Sözleşme – 2 (Veri Sorumlusundan Veri İşleyene)", veri işleyen sıfatıyla aktardığı kullanıcı içeriği için "Standart Sözleşme – 3 (Veri İşleyenden Veri İşleyene)" Google Cloud EMEA Limited ile akdedilmiş ve Kanun'un 9 uncu maddesinin beşinci fıkrası uyarınca Kişisel Verileri Koruma Kurumu'na bildirilmiştir. Standart sözleşmelerin ilgili kişiye tanıdığı haklar saklıdır; sözleşmelerin bir örneği, ticari sır niteliğindeki bölümler çıkarılarak talep üzerine verilir.

6.2.3. Diğer alıcılar, destek kanalları ve alt işleyen listesi. Ödeme, faturalama, tek kullanımlık kod gönderimi ve barındırma hizmetleri Türkiye'de yerleşik sağlayıcılardan alınır ve 6.1 inci bölümde gösterilmiştir; işlem e-postaları BaroBase'in kendi altyapısından gönderilir; bu hizmetler bakımından yurt dışına aktarım yapılmaz. Yayımlanmış mahkeme kararlarına ilişkin anlamsal arama işlevinde, yalnızca yayımlanmış kararların vektör temsillerinin tutulduğu ve yurt dışında yerleşik bir sağlayıcıdan alınan arama bileşeninden yararlanılır; bu bileşene kişisel veri aktarılmaz, sorgular arama öncesinde adlardan arındırılır. Destek kanalı olarak WhatsApp Business'ı kullanmayı tercih etmeniz hâlinde, bu kanaldaki yazışmalarınız WhatsApp LLC (Amerika Birleşik Devletleri) altyapısı üzerinden iletilir; bu aktarım, kanalı bu bilgilendirme ışığında kendi tercihinizle seçmeniz üzerine Kanun'un 9 uncu maddesinin altıncı fıkrasının (a) bendi uyarınca açık rızanıza dayanır ve destek talebinizin karşılanması amacıyla sınırlıdır. Her sağlayıcı için işleme bölgesi, aldığı veri kategorileri ve uygulanan aktarım mekanizması barobase.com/alt-isleyenler adresinde yayımlanır; ekleme ve değişiklikler bu sayfada duyurulur ve alt işleyen kullanımı bakımından genel yetkilendirme esası uygulanır.

6.2.4. Çerezler, analitik ve reklam ölçümü. Web sitemizde analitik ve reklam ölçümü amacıyla Google Analytics 4 (ölçüm kimliği G-RQQQLT28GJ) ve Meta Pixel (kimlik 925567293925764) kullanılır. Bu teknolojiler varsayılan olarak çalışmaz; yalnızca çerez bandında Kanun'un 5 inci maddesinin birinci fıkrası kapsamında verdiğiniz açık rıza ile çalışır ve rızanızı dilediğiniz zaman geri alabilirsiniz. Reklam/pazarlama çerezlerine rıza vermeniz hâlinde, satın alma işlemlerinize ilişkin olarak sunucu taraflı Meta Dönüşüm API'si (Conversions API) üzerinden Meta Platforms, Inc.'e "Purchase" olayı kapsamında özetlenmiş (hash'lenmiş) e-posta adresi, özetlenmiş kullanıcı kimliği, IP adresi, kullanıcı aracısı bilgisi ve işlem tutarı iletilir. Bu teknolojilerin çalışması sonucunda yurt dışında yerleşik sağlayıcılara (Google LLC/ABD, Meta Platforms, Inc./ABD) gerçekleşen aktarım yalnızca açık rızanıza dayanır; rızanızı geri almanız hâlinde aktarım ileriye etkili olarak durur. BaroBase ayrıca, kendi altyapısında barındırılan ve yurt dışına veri aktarmayan bir site analitiği aracı kullanabilir; bu aracın çerez veya benzeri tanımlayıcı kullanması hâlinde bunlar da analitik kategorisinde ve açık rızaya tabi olarak çalışır. Çerez adları, süreleri ve aktarım detayları Çerez Politikası'nda ve alt işleyen sayfasında yer alır.

7) Anonimleştirme ve Model Geliştirme

7.1. BaroBase, kullanıcı içeriğini (prompt, yanıt, yüklenen belgeler, dava dosyası, delil ve benzeri içerikler) kural olarak talep edilen işlemi gerçekleştirmek, ilgili çıktıyı üretmek ve Hizmetler'i sunmak amacıyla işler. BaroBase, ham kullanıcı içeriğini, müvekkil dosyalarını, dava evrakını, delilleri, promptları, çıktıları veya yüklenen belgeleri üçüncü taraf modellerin genel eğitimi amacıyla paylaşmaz veya kullandırmaz; Vertex AI üzerinden sunulan büyük dil modelleri, kendilerine iletilen içeriği kendi modellerinin eğitiminde kullanmaz; OpenAI'a yalnızca kişisel veri niteliği taşımayacak biçimde anonim hâle getirilmiş istem türevleri ile kullanıcı sorgusu içermeyen, yayımlanmış içtihat metinlerine ilişkin veriler iletilir ve bunlar da sözleşme gereği model eğitiminde kullanılmaz.

7.2. BaroBase; BAR model ailesini, arama ve sıralama altyapısını, ürün işlevlerini ve hizmet kalitesini geliştirmek amacıyla kullanıcı içeriğinin yalnızca anonim hâle getirilmiş türevlerini kullanabilir. Anonim hâle getirme; içeriğin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir (6698 sayılı Kanun m.3/1-b). Bu kapsamda ad-soyad, takma adlar, T.C. kimlik ve sicil numaraları, telefon, e-posta, IBAN, plaka, özel dosya/esas numaraları ve benzeri uzun sayısal tanımlayıcılar ile kişiyi tek başına veya diğer bilgilerle birlikte belirlenebilir kılan adresler, işletme adları, özel iş tanımlayıcıları ve nadir olgular kaldırılır veya genelleştirilir; tarih ve tutarlar ile yayımlanmış içtihat atıfları hukuki değerlendirme için korunur. İşlem geri döndürülemez niteliktedir ve Kişisel Verileri Koruma Kurumu'nun anonimleştirme rehberindeki ilkelere göre belgelenmiş bir yöntemle yürütülür.

7.3. Anonim hâle getirme işlemi, içeriği bize emanet eden veri sorumlusunun (Üye veya Kurumsal Müşteri) Bireysel Profesyonel Veri İşleme Eki veya Kurumsal Veri İşleme Sözleşmesi ile verdiği talimat çerçevesinde ve 6698 sayılı Kanun'un 7 nci ve 28/1-b maddeleri kapsamında araştırma, geliştirme ve istatistik amacıyla gerçekleştirilir. Anonim türevler kişisel veri değildir; bunlar üzerindeki tüm haklar BaroBase'e aittir. Anonim hâle getirilmiş veriler üzerinde Kanun'un 11 inci maddesindeki haklar kullanılamaz ve bu verilerin kullanımı yurt dışına aktarım hükümlerine tabi değildir. Anonim hâle getirme işlemi, BaroBase'in Türkiye'de barındırılan kendi altyapısında yürütülür; bu işlem kapsamında yapılan model çağrıları Vertex AI üzerinden Google Cloud EMEA Limited altyapısında ve 6 ncı bölümde açıklanan standart sözleşme güvenceleri altında gerçekleşir.

7.4. Ham kullanıcı içeriği, kişisel veriler ve özel nitelikli kişisel veriler, anonim hâle getirilmedikçe model geliştirme amacıyla kullanılmaz; yalnızca 7.2'de tanımlanan anonim türevler kullanılabilir. Anonim hâle getirilemeyen içerik geliştirme sürecine alınmaz.

7.5. Kullanıcı içeriğinin niteliği gereği üçüncü kişilere (müvekkil, karşı taraf, tanık vb.) ait olabileceği dikkate alınarak, bu kişilere karşı aydınlatma yükümlülüğü ve gerekli hukuki dayanağın temini, içeriği yükleyen veri sorumlusuna aittir; BaroBase bu kişilerle doğrudan ilişki kurmaz.

7.6. Hizmet kalitesi, güvenlik, hata giderme, performans ve suistimal önleme amaçlarıyla kullanım metrikleri, teknik kayıtlar, hata oranları, gecikme, kota kullanımı, özellik bazlı kullanım yoğunluğu ve benzeri operasyonel veriler ayrıca işlenebilir; bu işleme 4 üncü bölümde belirtilen hukuki sebeplere dayanır.

7.7. İşbu bölümdeki işleme faaliyetlerinin hiçbiri Üye'ye veya Kurumsal Müşteri'ye sunulan opsiyonel bir tercihe bağlı değildir; BaroBase bu kapsamda ayrı bir tercih mekanizması sunmaz.

8) Saklama Süreleri

Veriler, ilgili mevzuatta öngörülen veya işleme amacı için gerekli süre kadar saklanır; süre sonunda silme/yok etme/anonimleştirme yapılır. İmha işlemleri, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak yürütülür.

8.1. Kullanıcı içeriği (chat/prompt/yanıt/dosya/taslak)

Kullanıcı içeriği, hesabınız aktif olduğu sürece ve ilgili hizmet özelliği kapsamında kullanıcı hesabına bağlı olarak saklanır. Kullanıcı tarafından içerik silindiğinde, içeriğe hesap üzerinden erişim derhal kaldırılır. Silme talebinin alınması veya hesabın kapatılmasından itibaren en geç 30 (otuz) gün içinde üretim sistemlerindeki kullanıcı içeriği, en geç 90 (doksan) gün içinde varsa yedek kopyaları silinir veya yok edilir; bu süreler aynı başlangıçtan hesaplanır, birbirine eklenmez. Mevzuat gereği saklanması zorunlu kayıtlar ile devam eden uyuşmazlık, güvenlik olayı veya tahsilat süreçlerine ilişkin kayıtlar saklıdır. Varsa yedekleme ortamlarında bulunan kopyalar, imha edilinceye kadar sistem yöneticisi dışındaki erişime kapatılır. Hesabın kapatılması hâlinde kullanıcı içeriği aynı esaslara tabidir. Devam eden bir güvenlik olayı incelemesi, uyuşmazlık, tahsilat süreci, denetim veya mevzuattan doğan bir saklama yükümlülüğü bulunması hâlinde yalnızca ilgili kayıtlar, yalnızca ilgili amaçla sınırlı olarak ve amaç ortadan kalkıncaya kadar tutulur; ardından silinir, yok edilir veya anonim hâle getirilir. Bu süreler, Bireysel Profesyonel Veri İşleme Eki'nin 9 uncu maddesi ile Kurumsal Veri İşleme Sözleşmesi'nin 11 inci maddesinde öngörülen sürelerle aynıdır. Kişisel verilerin saklama, silme ve anonimleştirme süreçleri; işleme amacı, mevzuat ve teknik gereklilikler çerçevesinde yürütülür.

8.2. LLM teknik kayıtları / işlem kayıtları

LLM çağrıları ve hizmet kullanımıyla ilişkili teknik kayıtlar; güvenlik, hata giderme, performans izleme, suistimal önleme ve hizmet sürekliliği amaçlarıyla gerekli süre boyunca saklanabilir. Ürün içi silme işlemi, kullanıcı erişiminin kaldırılması sonucunu doğurabilir; ancak güvenlik, denetim ve sistem bütünlüğü gerekçeleriyle bazı teknik kayıtlar daha uzun süre saklanabilir. LLM çağrılarına ilişkin işlem üstverileri (istem ve yanıt içeriği hariç), bu fıkrada sayılan amaçlarla gerekli olan süre boyunca; 5651 sayılı Kanun ve ilgili mevzuat uyarınca tutulması zorunlu trafik bilgileri ise mevzuatta öngörülen süre boyunca saklanır.

8.3. İşlem güvenliği, hesap bütünlüğü ve lisans koruma kayıtları

IP, oturum, cihaz, tarayıcı, eşzamanlı erişim, cihaz/hesap ilişkilendirme, takma adlı ve özetlenmiş cihaz/oturum tanımlayıcıları, güvenlik logları, anomali tespit kayıtları ve benzeri hesap bütünlüğü kayıtları; bilgi güvenliğinin sağlanması, hesap paylaşımı ve lisans ihlallerinin önlenmesi, olay incelemesi, sistem bütünlüğünün korunması, deneme suistimalinin önlenmesi ve gerektiğinde bir hakkın tesisi, kullanılması veya korunması amaçlarıyla saklanır.

Genel uygulama olarak:

(a) oturum çerezleri ve oturum kayıtları, oturumun sona ermesine kadar (oturumlar en geç 7 (yedi) gün sonra sona erer),
(b) cihaz kaydı üzerinde tutulan eşleştirme amaçlı anahtarlı özet değeri, ham sinyallerin şifrelenmiş anlık görüntüsü, risk puanı ve güven durumu bilgisi ile şifrelenmiş IP adresi ve bundan türetilen özet değerler, hesap mevcut olduğu sürece,
(c) güvenlik olayı kayıtları (yalnızca özet/hash değerleriyle) hesap mevcut olduğu sürece,
(d) istek bazlı teknik erişim kayıtları (şifrelenmiş IP adresi ve kullanıcı aracısı bilgisi dâhil) 90 (doksan) gün boyunca,
(e) yönetim paneli işlem/denetim kayıtları 2 (iki) yıl boyunca,
(f) teyit edilmiş ihlal, suistimal, ödeme uyuşmazlığı, lisans ihlali veya hukuki süreç kayıtları ise ilgili uyuşmazlık, yasal saklama veya hakkın korunması için gerekli süre boyunca

saklanır.

Hesabın kapatılması ve kalıcı silme işleminin uygulanması hâlinde, (b) ve (c) bentlerindeki cihaz ve güvenlik kayıtları hesapla birlikte silinir; (f) bendi kapsamındaki kayıtlar ile mevzuat gereği saklanması zorunlu kayıtlar saklıdır.

8.4. Destek kayıtları

Destek taleplerine ilişkin e-posta, canlı destek ve benzeri kayıtlar; talebin sonuçlandırılması, hizmet kalitesinin takibi, uyuşmazlık yönetimi ve denetim ihtiyaçları kapsamında, ilgili mevzuatta öngörülen veya bu amaçlar için gerekli olan azami süre boyunca saklanabilir.

8.5. Finans ve faturalama

Fatura, muhasebe ve ödeme süreçlerine ilişkin kayıtlar, ilgili mali ve ticari mevzuatta öngörülen saklama süreleri boyunca saklanır. Fatura ve ticari defter kayıtları bakımından bu süre, ilgili mevzuat uyarınca 10 (on) yıldır.

8.6. Hesap verileri (üyelik/kayıt)

Hesabın kapatılması veya sözleşme ilişkisinin sona ermesi halinde, üyelik ve hesap verileri; ilgili mevzuat, güvenlik gereklilikleri, teknik gereklilikler ve olası uyuşmazlık süreçleri dikkate alınarak gerekli olduğu ölçüde sınırlı bir süre daha saklanabilir; ardından silme, yok etme veya anonimleştirme süreçleri uygulanır. Her hâlde hesap verileri, silme talebinin alınması veya hesabın kapatılmasından itibaren en geç 30 (otuz) gün içinde üretim sistemlerinden, en geç 90 (doksan) gün içinde varsa yedek kopyalarından silinir veya yok edilir; bu süreler aynı başlangıçtan hesaplanır. Mevzuat gereği saklanması zorunlu kayıtlar ile devam eden uyuşmazlık ve güvenlik süreçlerine ilişkin kayıtlar saklıdır.

8.7. Anonim hâle getirilmiş türevler

7 nci bölüm kapsamında anonim hâle getirilmiş türevler kişisel veri niteliği taşımadığından bu bölümdeki saklama ve imha süreleri bu veriler bakımından uygulanmaz; anonim türevler süresiz olarak saklanabilir ve kullanılabilir.

8.8. Ticari elektronik ileti onay ve ret kayıtları

Ticari elektronik iletilere ilişkin onay kayıtları, onayın geçerliliğinin sona erdiği tarihten itibaren 1 (bir) yıl; ticari elektronik iletiye ilişkin diğer kayıtlar ise kayıt tarihinden itibaren 1 (bir) yıl boyunca saklanır (Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.13). Bu sürelerin sonunda kayıtlar silinir, yok edilir veya anonim hâle getirilir; uyuşmazlık hâlinde ilgili kayıtlar uyuşmazlık sonuçlanıncaya kadar saklanabilir.

9) Veri Güvenliği

BaroBase; erişim kontrolü, şifreleme, kayıt ve izleme, yetki yönetimi, zafiyet yönetimi ve idari/teknik tedbirlerle kişisel verilerin güvenliğini sağlar.

Uygulanan başlıca tedbirler:

• Şifreleme: Veri aktarımında TLS (şifreli iletişim) uygulanır; her dış bağlantı TLS ile korunur. Kullanıcıya ait veriler (sohbet mesajları ve başlıkları, kimlik, faturalama, takvim/görev kayıtları, dosya adları, cihaz verileri, özel talimatlar ve organizasyon adı ile Google Cloud Storage'daki dosyalar ve OCR metinleri, önbellekteki oturum ve kısa süreli hafıza dâhil) herhangi bir sisteme yazılmadan önce uygulama seviyesinde AES-256-GCM ile şifrelenir. Şifreleme anahtarları, BaroBase'in kendi anahtar yönetim altyapısında tutulan bir ana anahtardan organizasyon bazında türetilir; ana anahtar iki yetkili arasında bölünmüştür ve tek bir kişi tarafından tek başına kullanılamaz. Arama/eşleştirme amacıyla kullanılan alanlar yalnızca HMAC-SHA256 özet değerleri olarak tutulur. Sağlayıcı tarafından uygulanan depolama şifrelemesi bu katmana ek olarak uygulanır.
• Erişim ve yetkilendirme: Rol tabanlı yetki, en az ayrıcalık ilkesi, yönetim paneli işlemlerine ilişkin denetim kayıtlarının tutulması; uygun hallerde MFA (çok faktörlü kimlik doğrulama)/SSO (tek oturum açma). Üretim veri tabanı ve depolama alanına erişim, çok faktörlü kimlik doğrulama zorunluluğu ile sınırlı sayıda yetkiliye tanınmıştır.
• İzleme/olay yönetimi: Güvenlik izleme, uyarı ve anomali tespiti mekanizmaları ile yazılı bir ihlal müdahale planı uygulanır.
• Zafiyet ve yama yönetimi: Zafiyet taramaları, güvenlik güncellemeleri/patch (yama) süreçleri.
• Yedekleme/iş sürekliliği: Bulut altyapısının sunduğu replikasyon, erişilebilirlik ve iş sürekliliği mekanizmalarından yararlanılabilir. Yedekleme ve kurtarma süreçlerinin kapsamı, teknik mimari, güvenlik gereklilikleri ve hizmetin niteliğine göre belirlenir.
• Personel erişimi (kural/istisna): BaroBase personelinin kullanıcı sohbetlerini, istemlerini, çıktılarını veya dosyalarını görüntülemesine yarayan bir iç yönetim aracı bulunmaz ve BaroBase personeli kullanıcı içeriğini görüntülemez. Destek hizmeti yalnızca hesap, ödeme ve abonelik konularıyla sınırlıdır; destek ekibi hiçbir hâlde kullanıcı içeriğini görüntülemez. Kullanıcı içeriğine insan erişimi yalnızca bir güvenlik olayının incelenmesi veya bağlayıcı bir hukuki yükümlülüğün yerine getirilmesi amacıyla, anahtar yönetimi prosedürü çerçevesinde ve yetkili yönetici tarafından mümkündür; erişim, amaçla sınırlı ve ölçülü biçimde gerçekleştirilir.
• Kurumsal çalışma alanları: Kurumsal çalışma alanlarında, çalışma alanı yöneticileri o çalışma alanındaki tüm sohbetleri, istemleri, yanıtları ve belgeleri görüntüleyebilir; bir sohbetin bir meslektaşla paylaşılmamış olması, yöneticinin görüntüleme yetkisini ortadan kaldırmaz.
• Özel nitelikli kişisel veriler: KVKK m.6/4 uyarınca Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında öngörülen yeterli önlemler uygulanır.

10) İlgili Kişi Hakları (KVKK m.11)

KVKK m.11 kapsamındaki haklarınızı (erişim, düzeltme, silme, aktarılan üçüncü kişileri öğrenme, itiraz vb.) kullanabilirsiniz.

Rol ayrımı gereği (Kullanıcı İçeriği): BaroBase'in veri işleyen olduğu kullanıcı içeriği kapsamında KVKK m.11 taleplerinin asıl muhatabı, kullanıcı içeriği bakımından veri sorumlusu olan Üye (Bireysel Profesyonel Hesap sahibi) veya kurumsal müşteridir. BaroBase'e bu kapsamda gelen talepler, uygun olduğu ölçüde veri sorumlusuna yönlendirilebilir.

BaroBase'in veri sorumlusu olarak hareket ettiği hesap, üyelik, faturalama, güvenlik, log ve destek süreçlerine ilişkin talepler bakımından başvurular doğrudan BaroBase tarafından değerlendirilir. Kullanıcı içeriği bakımından BaroBase'in veri işleyen olarak hareket ettiği hallerde ise, talebin niteliğine göre ilgili veri sorumlusuna yönlendirme yapılabilir veya veri sorumlusu ile koordineli hareket edilebilir.

10.1.A. Anonim hâle getirilmiş türevler: 7 nci bölüm uyarınca anonim hâle getirilmiş veriler, KVKK m.3/1-b anlamında kişisel veri niteliği taşımadığından Kanun kapsamı dışındadır; bu veriler üzerinde KVKK m.11'de sayılan haklar kullanılamaz ve bu veriler bakımından erişim, düzeltme, silme veya aktarımın bildirilmesi talepleri yerine getirilemez.

11) Başvuru

Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in 5'inci maddesi uyarınca;

• yazılı olarak yukarıda 1'inci bölümde belirtilen adrese (şahsen, noter aracılığıyla veya iadeli taahhütlü posta ile),
• sbvirtusteknoloji@hs01.kep.tr KEP adresine,
• güvenli elektronik imza veya mobil imza ile imzalayarak yukarıdaki KEP adresine ya da privacy@barobase.com adresine,
• BaroBase sisteminde kayıtlı e-posta adresinizi kullanmak suretiyle privacy@barobase.com adresine

iletebilirsiniz.

Genel iletişim için telefon: 0532 260 63 98. Tebliğ uyarınca başvurular yukarıda sayılan yazılı ve elektronik kanallardan yapılır; telefon hattı yalnızca genel iletişim amacıyla kullanılır ve KVKK başvurusu için geçerli bir kanal değildir.

Başvurunuzda, Tebliğ'in 5'inci maddesinin ikinci fıkrasında sayılan bilgilere (ad-soyad ve yazılı başvuruda imza, T.C. kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi ve telefon numarası, talep konusu) yer verilmesi zorunludur.

Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir.

Kurula Şikâyet Hakkı: Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, KVKK m.14 uyarınca, veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

12) Metnin Niteliği

Bu Aydınlatma Metni, 6698 sayılı Kanun'un 10'uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca yalnızca bilgilendirme amacıyla düzenlenmiştir; onay, kabul veya açık rıza beyanı niteliği taşımaz.