Veri Aktarımı Protokolü
Bu protokol; Kızılelma AI'da kişisel verilerin yurt içinde nasıl saklandığını, maskeleme yoluyla nasıl kimliksizleştirildiğini ve yurt dışındaki altyapıya yalnızca maskeli verinin hangi güvencelerle aktarıldığını açıklar.
1. Amaç ve Kapsam
Veri sorumlusu Kızılelma AI Software (Anıl Talha BULDUKLU), hukuk verilerinin yüksek hassasiyetini gözeterek, KVKK m.9 ve ilgili mevzuata uygun bir veri aktarım modeli uygular. Bu belge, söz konusu modelin esaslarını ortaya koyar ve KVKK Politikası ile Aydınlatma Metni'ni tamamlar.
2. Temel İlke: Kimliklendirilebilir Veri Yurt İçinde Kalır
Orijinal belgeler, gerçek ad/T.C. kimlik no/iletişim bilgileri, dosya adları, kayıtlar ve yapay zeka sohbet içerikleri Türkiye'de, LUKS2 / AES-256 ile şifrelenmiş bir kasada saklanır. Bu veriler yurt dışına aktarılmaz. Şifre çözme anahtarları Türkiye'de tutulur.
3. Maskeleme Geçidi (Gizlilik Geçidi)
Yapay zeka modeline veya yurt dışındaki işleme altyapısına gönderilmesi gereken her metin, önce Türkiye'deki maskeleme geçidinden geçer. Bu geçitte; ad, T.C. kimlik no, telefon, adres, dosya/dava numarası gibi tanımlayıcılar tespit edilerek [KİŞİ_1], [TCKN_1], [ADRES_1] gibi yalnızca Türkiye'deki kasada geri çözülebilen token'larla değiştirilir.
- Yapay zeka ve yurt dışı altyapı yalnızca maskeli (kimliksizleştirilmiş) metni görür.
- Token ↔ gerçek değer eşlemesi (kasa) Türkiye'de, şifreli olarak saklanır.
- Çıktı kullanıcıya döndürülürken token'lar yalnızca yetkili kullanıcının oturumunda gerçek değerlerle değiştirilir.
4. Veri Akışı (Özet)
- Kullanıcı belge/metin yükler → Türkiye'deki şifreli kasaya kaydedilir.
- İşleme gereken metin → Türkiye'deki maskeleme geçidinden geçer (kimlikler token'lanır).
- Maskeli metin → şifreli kanal (TLS 1.3) üzerinden yurt dışı işleme/AI altyapısına iletilir.
- Maskeli çıktı → Türkiye'ye döner; token'lar yalnızca yetkili kullanıcı için çözülür.
5. Alıcılar ve İşleme Konumları
| Alıcı / Veri İşleyen | İşleme Amacı | İşlenen Veri | Konum |
|---|---|---|---|
| Türkiye şifreli kasa & maskeleme geçidi | Kimliklendirilebilir verinin saklanması, maskeleme/çözme; üyelik doğrulama kodlarının (OTP) üretilmesi ve saklanması | Orijinal belge, kimlik, token eşlemesi, telefon/e-posta, doğrulama kodu | Türkiye |
| SMS doğrulama sağlayıcısı (İnteraktif İletişim / 1SMS) | Üyelik/hesap doğrulaması için tek kullanımlık kod (OTP) SMS gönderimi | Telefon numarası, doğrulama kodu | Türkiye |
| E-posta gönderim sağlayıcısı (TurkTicaret.net) | Doğrulama ve işlem e-postası (OTP) gönderimi | E-posta adresi, doğrulama kodu | Türkiye |
| Barındırma / işleme altyapısı | Uygulama çalıştırma, arama/indeksleme (maskeli) | Yalnızca maskeli metin + sistem kayıtları | AB (AEA) |
| Yapay zeka modeli (Microsoft Azure OpenAI) | Maskeli metin üzerinde analiz/üretim | Yalnızca maskeli metin | AB bölgesi |
| Yapay zeka modeli (Anthropic — Claude) | Maskeli metin üzerinde analiz/üretim | Yalnızca maskeli metin | ABD |
| Yapay zeka görüntü okuyucu (Anthropic — Claude) yalnızca açık rıza ile | Taranmış (görüntü biçimindeki) belge sayfalarının yazıya dökülmesi (OCR) | Yalnızca taranmış sayfaların görüntüsü — maskelenmemiş. Dijital belgeler (UDF, Word, metin katmanlı PDF) aktarılmaz; bilgisayarınızda okunur. Açık rıza olmadan aktarılmaz. | ABD |
| Yapay zeka modeli (Google — Gemini) | Maskeli metin üzerinde analiz/üretim | Yalnızca maskeli metin | ABD |
| Ödeme kuruluşu (PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.) | Ödeme tahsilatı, iade ve mutabakat (kart verisi doğrudan PayTR'de işlenir) | Ad-soyad, e-posta, telefon, sipariş/tutar bilgisi | Türkiye |
6. Hukuki Güvenceler (KVKK m.9 / GDPR)
Maskeli verinin işlenmesinde dahi, gerekli hâllerde uygun güvenceler sağlanır:
- Veri işleyenlerle veri işleme sözleşmeleri (DPA) akdedilir.
- AB/EEA dışı aktarım söz konusu olduğunda, AB Komisyonu'nun Standart Sözleşme Hükümleri (SCC, 2021/914) esas alınır. Bkz. Standard Contractual Clauses.
- Hizmet sağlayıcıların verileri kendi amaçları için kullanması sözleşmeyle yasaklanır.
7. Ek Teknik ve İdari Tedbirler
- Uçtan uca şifreleme ve anahtar egemenliği (anahtarlar Türkiye'de),
- Ağ izolasyonu (VPN tüneli), rol bazlı erişim, hesap izolasyonu,
- Veri minimizasyonu: yalnızca işleme için gerekli (maskeli) veri aktarılır,
- Loglama ve erişim denetimi.
8. İstisna: El Yazması Sayfa Okuma (Açık Rızaya Bağlı)
Kural, yurt dışına yalnızca maskeli metnin gitmesidir. Tek istisna şudur: el yazması veya çok bozuk taranmış sayfalar. Bu sayfalarda bilgisayarınızdaki yerel okuyucu (OCR) metin çıkaramaz; metin çıkmadığı için maskeleme de yapılamaz. Bu durumda, yalnızca sizin belge başına vereceğiniz açık rıza ile, o sayfaların görüntüsü yazıya dökülmek üzere yapay zeka görüntü okuyucusuna iletilir.
Bu aktarımın sınırları:
- Kapsam: Yalnız okunamayan sayfalar gönderilir — belgenin tamamı değil, okunabilen sayfalar değil, diğer belgeleriniz hiç değil.
- Açık rıza şartı (fail-closed): Rıza işaretlenmediği sürece hiçbir görüntü bilgisayarınızdan çıkmaz. Rıza verilmezse belge yine kasanıza kaydedilir, yalnız o sayfaların metni olmaz. Rıza tek bir yükleme işlemi içindir; işlem bitince kendiliğinden düşer, sonraki yüklemelere taşınmaz ve dilediğiniz zaman vermemekte serbestsiniz.
- Tek seferlik ve kalıcı saklama yok: Görüntü gidip gelen bir veridir. Ne Türkiye’deki geçidimizde ne de Avrupa’daki sunucumuzda diske yazılmaz; yalnızca aktarım süresince bellekte tutulur ve yazıya dökülür dökülmez düşer. Bizim sistemlerimizde görüntünün kopyası, önbelleği veya yedeği kalmaz. Kasanıza yalnız metin işlenir; orijinal sayfa görüntüsü her zaman olduğu gibi şifreli olarak sizde/kasada kalır.
- Alıcı tarafta: Görüntü ve metin, hizmet sağlayıcı tarafından model eğitiminde kullanılmaz. Sağlayıcının kötüye kullanım denetimi amacıyla uyguladığı sınırlı süreli geçici kayıt politikası saklıdır; bu politika sözleşme ile sınırlandırılmıştır ve verinin başka bir amaçla kullanılması yasaktır.
- Denetim izi: Her aktarım kayda geçer — kim, hangi belge, kaç sayfa, ne zaman. Kayıtlarda görüntünün kendisi tutulmaz.
- Doğrudan bağlantı yok: Bilgisayarınız yurt dışındaki servise doğrudan bağlanmaz; aktarım Türkiye’deki geçidimiz üzerinden yapılır, erişim anahtarı Türkiye’de kalır.
Bu işleme, KVKK m.9 uyarınca açık rızaya dayanır. Rızanızı vermemeniz hizmetin geri kalanını etkilemez.
9. Model Eğitimi Yasağı
Kullanıcı verileri (maskeli olsa dahi) hiçbir yapay zeka modelinin eğitiminde kullanılmaz. Bu husus, hizmet sağlayıcılarla yapılan sözleşmelerde de güvence altına alınır.
10. Haklar ve Talepler
Aktarıma ilişkin sorular ve KVKK m.11 talepleri için: info@kizilelmahukuk.ai. Kurumsal kullanıcılar için veri işleyen ilişkisi Ek Protokol (Veri İşleme) ile düzenlenir.