KVKK AYDINLATMA METNİ VE GİZLİLİK BİLGİLENDİRMESİ

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca veri sorumlusu sıfatıyla işbu metni hazırlayan gerçek kişi (şahıs işletmesi):

Unvanı	Hukuk Defterim — Alptuğ Aybars Üçer
Adres	Sümer Mah. 932 Sk. Kapı No: 11, Nazilli / Aydın
MERSİS	Şahıs işletmesi — MERSİS bulunmaz
Vergi Dairesi / No	Nazilli / 9041018735
KEP	—
E-posta	destek@hukukdefterim.com · KVKK başvuruları: destek@hukukdefterim.com

2. İşlenen Kişisel Veri Kategorileri

2.1. Üye (Avukat) Verileri:

• Kimlik: Ad, soyad, doğum tarihi; baro kimlik belgesi üzerinden belge okuma ile doğrulama süresince T.C. Kimlik No (kalıcı saklanmaz).
• İletişim: E-posta, telefon, adres.
• Mesleki: Baro, baro sicil no, TBB sicil no, TBB belge no, baro kart no, uzmanlık alanları.
• Hesap: Kullanıcı adı, ASP.NET Core Identity tarafından tek yönlü özetlenmiş parola, 2FA meta verisi, biyometrik tercih bayrağı (biyometrik doğrulama verisi cihazın güvenli alanında kalır).
• İşlem Güvenliği: IP adresi, giriş zamanı, cihaz/tarayıcı bilgisi, oturum ve korelasyon kimliği.
• Finansal: Abonelik planı, fatura kayıtları, PayTR sipariş/işlem numarası, kart bin/last4, tevkil görev ödemesi, komisyon, net hakediş, iade ve transfer durumları. Direct API kart formunda tam kart verisi yalnız ödeme isteğinin PayTR'ye iletilmesi sırasında geçici olarak işlenir; uygulama veritabanına, dosyaya veya uygulama loguna kaydedilmez.
• Tevkil ödeme hesabı: IBAN, banka adı, hesap sahibi beyanı, banka sahiplik belgesi, belge SHA-256 bütünlük özeti, yükleme/inceleme tarihi, karar ve karar notu.
• Tevkil görev ve delil verileri: İlan, başvuru, taraf/görev kimlikleri, ücret/masraf, konum giriş-çıkış kayıtları, tutanak/karar dosyası, dosya özeti ve uyuşmazlık yazışmaları.
• Pazarlama tercihi (opsiyonel): E-bülten, tebrik ve ürün duyurusu izni durumu ile izin verme/geri çekme zamanları.
• Bildirim verisi: Kullanıcının cihaz bildirimi özelliğini etkinleştirmesi hâlinde FCM/APNs cihaz tokenı ve teslimat durumu.
• Doğum tarihi (opsiyonel): Üye'nin profilinde gönüllü olarak girdiği doğum günü; doğum günü ve üyelik yıldönümü tebriği yalnızca ayrı pazarlama tercihi açıksa gönderilir. Eksik bırakılabilir ve pazarlama tercihi kapalıyken ileti gönderilmez; diğer hizmetler etkilenmez.
• Davet (Referral) verileri: Üye'nin oluşturduğu davet kodu, kodu kullanan diğer Üye'nin kimliği, ödeme yaptığında kazanılan ödül ayı sayısı.
• Yaşam döngüsü maili (drip) durumu: Pazarlama tercihi açık Üyeye kayıt tarihinden itibaren D3 / D7 / D14 / D30 günlerinde planlanan rehber e-postaların son gönderim günü ve drip opt-out bayrağı.
• Tercih ve kabul kaydı: Sözleşme kabulleri, pazarlama/kart saklama/otomatik yenileme tercihleri ve KVKK aydınlatma metninin görüldüğüne ilişkin bilgi; sürüm, tarih, IP adresi, User-Agent ve kaynak platformla birlikte KvkkConsents tablosunda olay bazlı saklanır. Aydınlatma kaydı "Acknowledged" olup açık rıza veya sözleşme kabulü değildir.

2.2. Müvekkil ve Karşı Taraf Verileri (Üye tarafından girilen): Kimlik, iletişim, dava/dosya numarası, notlar, belgeler, finansal kayıtlar, hukuki belgeler. Bu veriler için Üye veri sorumlusu, HukukDefterim veri işleyen konumundadır (KVKK m. 12).

2.3. Sistem ve Kullanım Verileri: Cihaz kimliği (FCM/APNs token), uygulama sürümü, işletim sistemi, kullanım logları, hata raporları.

3. İşleme Amaçları ve Hukuki Sebepleri (KVKK m. 5)

Hesap silmede Tevkil güvencesi: Devam eden görev, emanet, tahsilat, iade, transfer valörü veya banka sonucu bulunduğunda talep; para ve karşı taraf hakkı kesinleşene kadar tamamlanmaz. Kapanmış işlemlerde normal giriş hesabı silinir; zorunlu mali/ispat kayıtları benzersiz, giriş yapılamayan ve ad/e-posta/telefon içermeyen bir kayıt anahtarına bağlanır. Saklama süresi bitince ilgili içerik retention süreciyle silinir veya daha ileri anonimleştirilir.

3/A. Kişisel Verilerin Toplanma Yöntemi

Veriler; web ve mobil üyelik/profil formları, kullanıcının yüklediği belge ve kayıtlar, baro kartı doğrulama akışı, UYAP eklentisinde kullanıcının başlattığı aktarım, ödeme ve abonelik işlemleri, destek talepleri ile uygulamanın oluşturduğu güvenlik/erişim kayıtları üzerinden elektronik ortamda elde edilir. Her veri, yalnız ilgili işleme amacı ve hukuki sebep kapsamında işlenir.

4. Kart Bilgilerinin Saklanması ve Otomatik Yenileme

HukukDefterim, ALICI'nın açık rızası ile başlattığı otomatik yenileme aboneliği için ödeme sayfasında ayrı onay kutusu ile aşağıdaki rızayı alır:

• Kart bilgilerinin (bin/last4 ve PayTR token'ı), otomatik yenileme tahsilatları için PayTR nezdinde tokenize edilerek saklanması.
• Direct API ödeme formunda tam kart numarası ve güvenlik kodunun, ödeme isteğini PayTR'ye iletmek için sunucu belleğinde geçici olarak işlendiği; veritabanına, dosyaya veya uygulama loglarına kaydedilmediği. Kayıtlı kart/yenileme işlemlerinde uygulama yalnız PayTR token'ı ve maskeli kart bilgileriyle çalışır.
• Üye'nin rızasını her zaman kullanıcı panelinden "Kayıtlı Kartı Sil" seçeneği veya destek@hukukdefterim.com başvurusu ile geri çekebileceği.
• Rıza geri çekildiğinde otomatik yenilemenin durduğu ve abonelik içinde bulunulan dönemin sonunda Free plana indiği.

Bu rıza KVKK m. 5/1 ve m. 9 kapsamındadır; özgür iradeyle, belirli bir konuya ilişkin, bilgilendirmeye dayalı olarak alınır.

5. Kişisel Verilerin Aktarımı

5.1. Yurt İçi Aktarım:

• Hosting / barındırma sağlayıcı: Uygulama, veritabanı, yedekleme ve dosya barındırma.
• PayTR: Abonelik ve tevkil görevi tahsilatı, iade ve alıcı transferi için gerekli veri (ad-soyad, e-posta, ödeme tutarı, sipariş/görev işlem kimliği, alıcı IBAN/ad bilgisi ve işlem türüne göre kart/token verisi). Direct API kart verisi ödeme isteği sırasında uygulama sunucusundan PayTR'ye iletilir ancak kalıcı saklanmaz.
• E-arşiv fatura sağlayıcı: Fatura düzenleme.
• SMTP sağlayıcı: İşlemsel e-postalar.
• Resmî merciler: Yetkili kamu kurumlarının yazılı talebi üzerine, mevzuatın gerektirdiği ölçüde.

5.2. Yurt Dışı Aktarım — Uygun Güvenceler ve Açık Rıza ile (KVKK m. 9):

• Google LLC (Gemini API): AI özellikleri için Üye'nin sohbet girdisi, belge içeriği ve emsal arama sorgusu. Detay: Google Cloud DPA.
• Google LLC (Firebase Cloud Messaging — FCM): Android push bildirimleri için cihaz token'ı ve bildirim metni (içerik duyarlı müvekkil verisi gönderilmez).
• Apple Inc. (APNs): iOS push bildirimleri için cihaz token'ı ve bildirim metni.
• Cloudflare: Turnstile bot koruması ve CDN — IP adresi ve tarayıcı parmak izi.
• Functional Software, Inc. (Sentry): Uygulama hata ve çökme kayıtları (hata ayıklama amaçlı; kişisel veriler gönderim öncesi ayıklanır — SendDefaultPii kapalı, içerik/ekran görüntüsü gönderilmez).

Aktarımın hukuki zemini: Süreklilik gösteren yurt dışı aktarımlar, KVKK m. 9'da öngörülen yeterlilik kararı veya uygun güvencelerden geçerli olanı tesis edilmeden gerçekleştirilmez. Kurul tarafından ilan edilen standart sözleşme kullanılıyorsa, imzadan sonraki bildirim yükümlülüğü ayrıca yerine getirilir. Arızi aktarım hâlleri, düzenli ve sürekli hizmetlerin genel dayanağı olarak kullanılmaz. Uygulanan aktarım dayanağı ve alıcı grubu, ilgili özellik bazındaki bilgilendirmede gösterilir.

5.3. Aktarılmayan Veriler: Müvekkil kimlik verisi, dava numarası ve belge içeriği hiçbir üçüncü kişiye pazarlama amacıyla aktarılmaz; Üye verileri satılmaz.

6. Saklama Süreleri

6/A. Pazarlama İletişimi, E-Bülten ve Yaşam Döngüsü Mailleri (Drip)

6/A.1. Açık Rıza: Üye'ye yalnızca açık rıza verdiği durumda; D3 / D7 / D14 / D30 yaşam döngüsü rehberleri, doğum günü ve üyelik yıldönümü tebriği, ürün duyurusu, bayram tebriği, e-bülten ve kampanya gibi ticari elektronik ileti (TEİ) gönderilir. Rıza, kayıt sırasında veya Hesap Ayarları → Pazarlama E-postaları bölümünde ayrı bir onay kutusu ile alınır; varsayılan olarak kapalıdır.

6/A.2. Hukuki Dayanak: 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ve KVKK kapsamındaki geçerli işleme şartı. Onay ve ret kayıtları sistemde tutulur; uygulanabilir İYS yükümlülükleri ayrıca yerine getirilir.

6/A.3. Onay Aranmayan İletiler (ETK m. 6/3): Aşağıdaki iletiler ticari elektronik ileti sayılmaz veya istisna kapsamındadır; pazarlama izninden bağımsız olarak gönderilir:

• Üyelik kaydı sonrası hoş geldin maili,
• Şifre sıfırlama ve e-posta doğrulama linkleri,
• Ödeme makbuzu, fatura, başarısız tahsilat uyarısı, yenileme bildirimi,
• Hesap güvenlik uyarıları (yeni cihaz girişi, yetkisiz erişim denemesi),
• Sözleşme veya politika değişikliği bildirimleri.

6/A.4. Drip Campaign (Yaşam Döngüsü): Üye'nin kayıt tarihinden itibaren planlanan D3, D7, D14 ürün kullanım rehberleri ile D30 Pro plana geçiş daveti pazarlama / ticari elektronik ileti niteliğindedir. Dört ileti de yalnızca pazarlama tercihi açık Üyeye gönderilir; rıza yoksa veya geri alınmışsa akış atlanır. Üye'nin drip durumu UserDripStates tablosunda tutulur; "Abonelikten Çık" ile akış durdurulur.

6/A.5. Tek-Tıkla Abonelikten Çıkma (ETK m. 6/2): Her pazarlama mailinin alt kısmında, HMAC-SHA256 imzalı opak token içeren "Aboneliğimi İptal Et" bağlantısı bulunur. Bağlantıya tıklandığında 1 yıl geçerli token doğrulanır, izin "Withdrawn" olarak append-only log'a yazılır, bekleyen tüm pazarlama maili kuyruğu durdurulur, drip akışı sonlandırılır. Üye, giriş yapmadan da bu işlemi gerçekleştirebilir.

6/A.6. Saklama: Pazarlama gönderim kayıtları (EmailAnnouncementRecipients) İYS şikâyeti olması ihtimaline karşı 2 yıl saklanır. Bunlar; alıcı e-posta snapshot'ı, gönderim durumu (Pending/Sent/Failed/Bounced/Unsubscribed/Skipped), gönderim/açılma/iptal zamanları ve hata mesajından ibarettir.

6/B. Push Notification Yayını (Web + Mobile)

6/B.1. Push bildirimi için tarayıcı/işletim sistemi izni gerekir. Cihaz izni yalnız teknik teslimata izin verir; pazarlama içerikli bildirimler için gereken ileti tercihi ayrıca aranır. Cihaz izni geri alındığında bildirim teslimatı durur.

6/B.2. İşlemsel Push: Duruşma hatırlatması, ödeme bildirimi, yeni tevkil görevi, sistem güvenlik uyarıları gibi hizmet kapsamındaki bildirimler — pazarlama izninden bağımsız gönderilir.

6/B.3. Yayın (Broadcast) Push: Kritik kesinti gibi hizmet/güvenlik bildirimleri işlemsel amaçla gönderilebilir. Bayram tebriği veya ürün duyurusu gibi pazarlama içerikleri için cihaz iznine ek olarak pazarlama iletişimi tercihi de açık olmalıdır. Yayın içeriği müvekkil verisi içermez. Yayın frekansı haftada en fazla 1 mesaj ile sınırlandırılmıştır (operasyonel disiplin).

6/B.4. Cihaz Token'ı: FCM (Android) ve APNs (iOS) cihaz token'ları, kullanıcı uygulamayı sildiğinde veya 6 ay aktif olmadığında "inactive" işaretlenir; bir sonraki dispatch'te listeden düşülür.

6/C. Davet (Referral) Programı

6/C.1. Veriler: Üye sistemde benzersiz bir davet kodu oluşturduğunda, kodu kullanan ikinci Üye'nin kimliği (UserId) ve ilk Pro ödemesini yaptığı tarih UserActiveSubscriptions.ReferralCodeUsed ve ReferredByUserId alanlarında tutulur. Davet eden ile davet edilen arasında başka bir kişisel veri paylaşımı yapılmaz — davet eden, davet edilenin e-postasını, telefonunu veya kimliğini göremez; yalnızca "X kişi kodumu kullandı, Y kişi ödeme yaptı" istatistiğini görür.

6/C.2. Ödül: Davet edilenin ilk Pro ödemesi yapılır yapılmaz davet edenin aktif aboneliği +1 ay uzar; lifetime/sınırsız üyelerde ödül kredi sayacına eklenir. İdempotent SQL guard ile çift ödül engellenir.

6/C.3. Kötüye Kullanım: Kendi kendine davet, çoklu hesap, sahte e-posta veya bot ile yapılan davetler tespit edildiğinde davet kodu iptal edilir, kazanılmış ödüller geri alınır. Üye, davet edilenin doğrudan tanıdığı / iletişimde bulunduğu bir avukat olduğunu beyan eder.

6/C.4. Bilgilendirme: Davet edilen Üye, kayıt esnasında kullandığı davet kodunun davet eden Üye'ye ödül kazandıracağını /Subscription sayfasında görür; bu sözleşmenin tarafı olduğunu kabul etmiş sayılır.

7. Yapay Zekâ Kullanımı (Gemini)

• AI özellikleri ayrı bir veri işleme tercihiyle etkinleştirilir; bu tercih KVKK m. 9 uygun güvencesinin yerine geçmez. CRM, dava takibi ve finans modülleri AI'sız da çalışır.
• Tevkil uyuşmazlığı Gemini değerlendirmesi iki tarafın da append-only tercih zincirindeki son olay Granted ise çalışır; taraflardan biri geri çekmişse dosya insan incelemesinde kalır ve Gemini'ye gönderilmez.
• Tevkil değerlendirmesine gönderilen metin kopyasında TC, IBAN, telefon, e-posta ve yakalanabilen ad/adres gibi alanlar anahtarlı takma kimliklere dönüştürülür. Aynı değer aynı, farklı değer farklı token aldığı için tutarsızlık/sahtecilik sinyali genel bir maske altında birleştirilmez. Özgün belge özel kasada, bütünlük özetiyle korunur.
• İstekler Google'a üye kimliği eklenmeden (takma kimlik/pseudonym ile) iletilir; ancak gönderilen belge içeriği kimlik bilgisi barındırıyorsa o içerik aktarılmış olur — bu içerik KVKK anlamında "anonim" değildir. Bu sebeple müvekkil adı, T.C. kimliği gibi tanımlayıcı verilerin AI'ya göndermeden önce çıkarılması/maskelenmesi önemle önerilir; üye, AI'ya gönderdiği üçüncü kişi (müvekkil/karşı taraf) verisi bakımından veri sorumlusu sıfatıyla aktarım yetkisine sahip olduğunu beyan eder.
• Çıktılar yardımcı niteliktedir; profesyonel hukuki değerlendirmenin yerine geçmez.
• AI istekleri Google Gemini API üzerinden işlenir. Google'ın veri kullanımı, çağrının bağlı olduğu projenin ücretli/ücretsiz planına ve güncel hizmet şartlarına göre değişir. HukukDefterim, kullanıcı içeriğini Google'a model geliştirme amacıyla gönüllü veri paylaşımı olarak işaretlemez; ancak sağlayıcının sözleşmesel saklama ve kötüye kullanım denetimi süreçleri uygulanabilir.
• Rıza her zaman hesap ayarlarından geri alınabilir.

8. Alınan Teknik ve İdari Tedbirler (KVKK m. 12)

Teknik: ASP.NET Core Identity parola özetleme; JWT + refresh token rotasyonu; 2FA; mobilde SQLCipher tabanlı yerel şifreleme; TLS; anti-CSRF, XSS ve hız sınırlama kontrolleri; korelasyon kimliği ile denetim kaydı; Cloudflare Turnstile bot koruması.

İdari: Personel ile gizlilik sözleşmesi, en az yetki prensibi, veri ihlali müdahale planı (kendi veri sorumlusu olduğumuz Üye verilerine ilişkin ihlallerde KVKK Kurul'a 72 saat içinde bildirim), periyodik güvenlik denetimi, tedarikçi KVKK uyum değerlendirmesi.

Müvekkil verisi ihlallerinde: Üye'nin veri sorumlusu olduğu müvekkil/karşı taraf verilerini etkileyen bir ihlalde HukukDefterim, veri işleyen sıfatıyla Üye'yi gecikmeksizin ve en geç 24 saat içinde bilgilendirir; böylece Üye, Kurul'a karşı 72 saatlik bildirim yükümlülüğünü zamanında yerine getirebilir. Ayrıntı: Veri İşleme (Veri İşleyen) Sözleşmesi.

9. Veri Sahibi Hakları (KVKK m. 11)

Veri sahibi olarak aşağıdaki haklara sahipsiniz:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. İşlenmişse bilgi talep etme,
3. İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içi/dışı aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme,
6. Şartları varsa silinmesini veya yok edilmesini isteme,
7. Düzeltme / silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. Otomatik analiz nedeniyle aleyhe sonuca itiraz etme,
9. Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme.

Başvuru Yolu: Bu hakları kullanmak için destek@hukukdefterim.com e-posta adresine veya — KEP adresine, kimliğinizi ispat edici belgeyle başvurabilirsiniz. Sonuç en geç 30 gün içinde ücretsiz olarak iletilir (10 sayfayı aşan yazılı cevaplarda sayfa başı maliyet alınabilir). Başvuru tatmin edici bulunmazsa Kişisel Verileri Koruma Kurulu'na şikâyet hakkı saklıdır.

10. Çerezler ve Yerel Depolama (localStorage)

localStorage anahtarları yalnızca tarayıcınızda kalır; girişli kullanıcının Analytics kabul/ret olayı ise rıza kanıtı olarak sunucuya ayrıca kaydedilir. Alt bilgideki Çerez Tercihleri ile kararınızı her zaman değiştirebilir; tarayıcı ayarlarından tüm çerezleri ve site verilerini silebilir veya engelleyebilirsiniz. Detay için Çerez Politikası metnine bakınız.

11. Reşit Olmayanlar

Platform yalnızca avukatlık ruhsatı sahibi 18 yaşından büyük kişilere yöneliktir; çocuklara ait kişisel veri bilerek işlenmez.

12. Değişiklikler

Bu metin mevzuat ve platform gelişmelerine göre güncellenebilir. Önemli değişiklikler en az 30 gün önce Üye'ye e-posta ile bildirilir. Güncel versiyon her zaman /privacy adresinde yayınlanır.

---

İlgili belgeler:

• Veri İşleme (Veri İşleyen) Sözleşmesi ve Alt İşleyen Listesi
• Abonelik (Hizmet) Sözleşmesi
• Abonelik Ön Bilgilendirmesi
• Kullanım Koşulları
• Çerez Politikası
• İade ve İptal Politikası