Veri İşleme Eki

Veri işleyen: LionnSoftware B.V. ("Themis") Adres: Nieuwe Gracht 56, 2011 NH Haarlem, Hollanda (Netherlands) KVK (Hollanda Ticaret Sicili) No: 96694009 Türkiye temsilcisi ve irtibat adresi: Bilal ASLANLI - Themis AI Yazılım — Gap Mah. 2513 Sk. Babil Plaza No:1/27 Merkez/Batman · Vergi No: 0900297863 E-posta / Başvuru: kvkk@themisai.com.tr Web: https://themisai.com.tr

Yayın Tarihi: 15 Ekim 2026 Son güncelleme: 23 Ekim 2026 — kapsam UYAP dosya ayrıntılarını, ihale günlerini, UETS e-tebligat kayıtlarını ve tebligat, süre ve görev kayıtlarını içerecek biçimde genişletildi; e-imza kartıyla girişe ve UETS içerik indirme talimatına ilişkin hükümler ile bu sürümün yürürlük usulü eklendi (md. 1, 2, 3, 5, 13). Önceki: 19 Ekim 2026 — Türkiye temsilcisinin ticaret unvanı düzeltildi (Bilal ASLANLI - Themis AI Yazılım). Daha önce: 15 Ekim 2026 — ilk yayın.

Bu Ek, avukat, stajyer avukat ve kurumsal hesaplarda Kullanım Koşulları'nın (Kullanım Koşulları §3.6) ve kurumsal alımlarda Kurumsal Hizmet Sözleşmesi'nin ayrılmaz parçasıdır. AB Genel Veri Koruma Tüzüğü (GDPR) md. 28/3 ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 12 kapsamında, veri sorumlusu olarak Müşteri ile veri işleyen olarak Themis arasındaki ilişkiyi düzenler.

1. Taraflar, Roller ve Kapsam

Müşteri: Hizmeti kullanan avukat ya da stajyer avukat ya da kurumsal hesapta Kurum. Müşteri, aşağıdaki veriler bakımından veri sorumlusudur.
Themis: bu verileri Müşteri adına ve talimatıyla işleyen veri işleyendir.
Alt işleyenler: Gizlilik Politikası §5'te listelenen sağlayıcılar.
Kapsam: Müşterinin Hizmet'e yüklediği belgeler; UYAP Portal'dan aktardığı dosya, dosya ayrıntısı, ihale ve evrak verileri; UETS'ten aktardığı tebligat kayıtları ve içerikleri; bunlardan oluşturulan tebligat, süre ve görev kayıtları ve sohbet içeriklerinde yer alan üçüncü kişilere ait kişisel veriler.
Kapsam dışı: Müşterinin kendi hesap, iletişim, kullanım ve ödeme verileri; bunlar bakımından veri sorumlusu Themis'tir ve Gizlilik Politikası uygulanır.

2. İşlemenin Konusu, Süresi, Niteliği ve Amacı

Konu ve amaç: Hizmetin sunulması — araştırma, analiz, dilekçe ve sözleşme taslağı hazırlama, belgelerin metne çevrilmesi (OCR), dosya içi arama dizini ve sayısal temsil (embedding) oluşturulması, UYAP dosya verisinin senkronu ve evrak işleme, UETS tebligat kayıtlarının saklanması ve Müşterinin tercihi hâlinde içeriklerinin indirilip metne çevrilmesi, tebligat ve süre takibi, hatırlatma ve görev kayıtları.
Süre: Müşterinin hesabı ve aboneliği süresince; saklama süreleri Gizlilik Politikası §7, §7A, §7C ve §7D'dedir.
Nitelik: kaydetme, depolama, metne çevirme, dizinleme, sayısal temsil oluşturma, süre ve tebliğ tarihi hesaplama, dil modeline iletme, görüntüleme, dışa aktarma ve silme.
Veri kategorileri: kimlik, iletişim, dava ve dosya bilgileri, tebligat bilgileri, hukuki işlem, mali bilgiler; belgelerde, dosya ayrıntılarında ve tebligatlarda bulunması hâlinde sağlık, ceza mahkûmiyeti ve güvenlik tedbirleri gibi özel nitelikli kişisel veriler.
İlgili kişi grupları: müvekkiller, karşı taraflar ve vekilleri, tanıklar, bilirkişiler, tebligatların ilgilileri, yargı ve idare personeli, Kurum çalışanları ve Kurum'un müşterileri.

3. Talimatlar

Themis kişisel verileri yalnız Müşterinin belgelenmiş talimatıyla işler. Müşterinin Hizmeti kullanması, ayarları seçmesi ve Hizmet içinde verdiği komutlar belgelenmiş talimattır. UYAP Portal'a bağlanması, UETS bağlantısını onaylaması ve UETS içerik indirme tercihini açık tutması da belgelenmiş talimattır; Müşteri, bir tebligat içeriğinin indirilmesinin UETS'te okundu ve erişim kaydı oluşturduğunu bilerek bu talimatı verir.
Themis bir talimatın hukuka aykırı olduğu kanaatine varırsa Müşteriyi gecikmeksizin bilgilendirir.

4. Gizlilik

Themis, kişisel verilere erişen personelinin gizlilik yükümlülüğü altında olmasını sağlar ve erişimi görevin gerektirdiği ölçüyle sınırlar.

5. Teknik ve İdari Tedbirler

Themis, işlemenin risklerine uygun teknik ve idari tedbirleri alır. Bunlar en az şunlardır:

satır düzeyinde erişim kontrolü (verilere yalnız ilgili hesap, büro planında büro alanındaki UYAP verilerine ise ekibin aktif üyeleri erişebilir);
iletimde TLS şifrelemesi ve barındırma sağlayıcısının bekleyen veri şifrelemesi;
yönetim erişiminin sınırlandırılması ve erişim kayıtları;
dış web aramalarında kişi-tanımlayıcı bilgilerin otomatik süzülmesi;
verilerin yapay zekâ modellerinin eğitiminde kullanılmaması;
UYAP ve UETS oturumlarının Müşterinin cihazında kalması; UYAP ve UETS kimlik bilgileri, e-imza PIN'i, sertifika ve mobil imza onayının Themis sunucularına iletilmemesi; e-imza PIN'inin yalnız imza anında kullanılıp saklanmaması;
UYAP yanıtlarındaki kamu görevlisi ve ödeme yapan kişi adları ile makbuz numaraları gibi hizmet için gerekmeyen alanların alınmaması ve UYAP'tan alınan taraf listesindeki vekil adlarının dil modeline giden dosya özetine konmaması;
Gizlilik Politikası §7, §7A, §7C ve §7D'deki saklama süreleri ve otomatik silme.

6. Alt İşleyenler

Müşteri, Gizlilik Politikası §5'te listelenen alt işleyenlerin kullanılmasına genel yetki verir.
Themis yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 15 gün önce Müşteriyi e-posta ve uygulama içi bildirimle bilgilendirir. Müşteri haklı bir gerekçeyle itiraz eder ve itiraz giderilemezse, değişiklik yürürlüğe girmeden aboneliğini cezasız feshedebilir; ödenmiş bedelin kullanılmayan kısmı iade edilir.
Themis, alt işleyenlerine bu Ek'tekilerle esasen aynı veri koruma yükümlülüklerini sözleşmeyle yükler ve onların yükümlülüklerini yerine getirmemesinden Müşteriye karşı sorumludur.

7. İlgili Kişi Taleplerine Yardım

Hizmet, verilerin dışa aktarılması ve silinmesi için Müşteriye self-servis araçlar sunar (Hesap → Gizlilik → Verilerimi indir; UYAP Portal'daki "UYAP bağlantısını ve tüm verileri kaldır").
Bir ilgili kişi Themis'e doğrudan başvurursa Themis başvuruyu Müşteriye yönlendirir ve Müşterinin talebi üzerine yanıt için makul yardımı sağlar.

8. Veri İhlali Bildirimi

Themis, bu Ek kapsamındaki verileri etkileyen bir kişisel veri ihlalini öğrendiğinde Müşteriyi gecikmeksizin ve en geç 48 saat içinde bilgilendirir.
Bildirim, bilindiği ölçüde ihlalin niteliğini, etkilenen veri kategorilerini ve yaklaşık kayıt sayısını, olası sonuçlarını ve alınan ya da alınması önerilen tedbirleri içerir (GDPR md. 33/3). Bilgiler bir defada verilemiyorsa aşamalı olarak tamamlanır.
Themis, Müşterinin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere yapacağı bildirimlere makul ölçüde yardım eder.

9. Silme ve İade

Hizmetin sona ermesi ya da Müşterinin yazılı talebi üzerine Themis, bu Ek kapsamındaki verileri 30 gün içinde siler; Müşteri bu süre içinde verilerini dışa aktarabilir.
Silinen veriler yedeklerden en geç 7 gün içinde düşer. Kanunen saklanması zorunlu kayıtlar saklıdır.
Hesap silme talebinde veriler derhâl ve geri alınamaz biçimde silinir (Gizlilik Politikası §7).

10. Denetim ve Bilgi

Themis, bu Ek'teki yükümlülüklere uyulduğunu gösteren bilgileri Müşterinin yazılı talebi üzerine sağlar.
Bu bilgiler yetersiz kalırsa Müşteri, yılda en çok bir kez, en az 30 gün önceden yazılı bildirimle, gizlilik taahhüdü altında ve kendi masrafıyla makul bir denetim yaptırabilir. Denetim, Themis'in diğer müşterilerinin verilerine ve güvenliğine zarar vermeyecek biçimde yürütülür.

11. Yurt Dışına Aktarım

Themis Hollanda'da yerleşiktir; alt işleyenlerin bir kısmı Avrupa Birliği ve/veya ABD'dedir (Gizlilik Politikası §5). Müşterinin Hizmet'e ilettiği veriler bu nedenle yurt dışında işlenir; bu, KVKK md. 9 anlamında yurt dışına aktarım niteliği taşır.
Müşteri talep ederse Taraflar, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeyi (veri sorumlusundan veri işleyene aktarım) metnini değiştirmeden ve usulüne uygun imzayla imzalar. Kurul'a bildirim yükümlülüğü aktaran sıfatıyla Müşteriye aittir; Themis bildirim için gereken bilgi ve belgeleri sağlar.
Themis'ten alt işleyenlere yapılan sonraki aktarımlar, GDPR bakımından Standart Sözleşme Hükümleri (SCC) ve yeterlilik kararları temelinde yürütülür.

12. Sorumluluk

Bu Ek'ten doğan sorumluluk, ana sözleşmenin sorumluluk hükümlerine (Kullanım Koşulları §7; kurumsal alımlarda Kurumsal Hizmet Sözleşmesi md. 8) tabidir. KVKK md. 12/2 uyarınca veri sorumlusu ile veri işleyenin veri güvenliğine ilişkin müşterek sorumluluğu saklıdır.

13. Öncelik ve Yürürlük

Kişisel verilerin işlenmesine ilişkin konularda bu Ek ile ana sözleşme arasında çelişki varsa bu Ek önce gelir.
Bu Ek; yeni avukat ve stajyer avukat hesaplarında kayıt sırasında Kullanım Koşulları ile birlikte, kurumsal alımlarda ödeme ekranında, UYAP Portal'ı kullananlarda ayrıca UYAP Portal'a bağlanırken kabul edilir. Mevcut avukat ve stajyer avukat hesapları bakımından 15 Ekim 2026'da yürürlüğe girmiştir. 23 Ekim 2026 tarihli sürüm, UYAP Portal'ı kullanan Müşteriler bakımından UYAP Portal Ek Protokolü'nün aynı tarihli sürümüyle birlikte kabul edildiği anda, diğer Müşteriler bakımından yayım tarihinde yürürlüğe girer; bu sürümle eklenen UYAP ve UETS hükümleri yalnız UYAP Portal'ı kullanan Müşterilere uygulanır.