Veri Aktarımı Protokolü
Bu protokol; Kızılelma AI'da kişisel verilerin yurt içinde nasıl saklandığını, maskeleme yoluyla nasıl kimliksizleştirildiğini ve yurt dışındaki altyapıya yalnızca maskeli verinin hangi güvencelerle aktarıldığını açıklar.
1. Amaç ve Kapsam
Veri sorumlusu Kızılelma AI Software (Anıl Talha BULDUKLU), hukuk verilerinin yüksek hassasiyetini gözeterek, KVKK m.9 ve ilgili mevzuata uygun bir veri aktarım modeli uygular. Bu belge, söz konusu modelin esaslarını ortaya koyar ve KVKK Politikası ile Aydınlatma Metni'ni tamamlar.
2. Temel İlke: Kimliklendirilebilir Veri Yurt İçinde Kalır
Orijinal belgeler, gerçek ad/T.C. kimlik no/iletişim bilgileri, dosya adları, kayıtlar ve yapay zeka sohbet içerikleri Türkiye'de, LUKS2 / AES-256 ile şifrelenmiş bir kasada saklanır. Bu veriler yurt dışına aktarılmaz. Şifre çözme anahtarları Türkiye'de tutulur.
3. Maskeleme Geçidi (Gizlilik Geçidi)
Yapay zeka modeline veya yurt dışındaki işleme altyapısına gönderilmesi gereken her metin, önce Türkiye'deki maskeleme geçidinden geçer. Bu geçitte; ad, T.C. kimlik no, telefon, adres, dosya/dava numarası gibi tanımlayıcılar tespit edilerek [KİŞİ_1], [TCKN_1], [ADRES_1] gibi yalnızca Türkiye'deki kasada geri çözülebilen token'larla değiştirilir.
- Yapay zeka ve yurt dışı altyapı yalnızca maskeli (kimliksizleştirilmiş) metni görür.
- Token ↔ gerçek değer eşlemesi (kasa) Türkiye'de, şifreli olarak saklanır.
- Çıktı kullanıcıya döndürülürken token'lar yalnızca yetkili kullanıcının oturumunda gerçek değerlerle değiştirilir.
4. Veri Akışı (Özet)
- Kullanıcı belge/metin yükler → Türkiye'deki şifreli kasaya kaydedilir.
- İşleme gereken metin → Türkiye'deki maskeleme geçidinden geçer (kimlikler token'lanır).
- Maskeli metin → şifreli kanal (TLS 1.3) üzerinden yurt dışı işleme/AI altyapısına iletilir.
- Maskeli çıktı → Türkiye'ye döner; token'lar yalnızca yetkili kullanıcı için çözülür.
5. Alıcılar ve İşleme Konumları
| Alıcı / Veri İşleyen | İşleme Amacı | İşlenen Veri | Konum |
|---|---|---|---|
| Türkiye şifreli kasa & maskeleme geçidi | Kimliklendirilebilir verinin saklanması, maskeleme/çözme; üyelik doğrulama kodlarının (OTP) üretilmesi ve saklanması | Orijinal belge, kimlik, token eşlemesi, telefon/e-posta, doğrulama kodu | Türkiye |
| SMS doğrulama sağlayıcısı (İnteraktif İletişim / 1SMS) | Üyelik/hesap doğrulaması için tek kullanımlık kod (OTP) SMS gönderimi | Telefon numarası, doğrulama kodu | Türkiye |
| E-posta gönderim sağlayıcısı (TurkTicaret.net) | Doğrulama ve işlem e-postası (OTP) gönderimi | E-posta adresi, doğrulama kodu | Türkiye |
| Barındırma / işleme altyapısı | Uygulama çalıştırma, arama/indeksleme (maskeli) | Yalnızca maskeli metin + sistem kayıtları | AB (AEA) |
| Yapay zeka modeli (Microsoft Azure OpenAI) | Maskeli metin üzerinde analiz/üretim | Yalnızca maskeli metin | AB bölgesi |
6. Hukuki Güvenceler (KVKK m.9 / GDPR)
Maskeli verinin işlenmesinde dahi, gerekli hâllerde uygun güvenceler sağlanır:
- Veri işleyenlerle veri işleme sözleşmeleri (DPA) akdedilir.
- AB/EEA dışı aktarım söz konusu olduğunda, AB Komisyonu'nun Standart Sözleşme Hükümleri (SCC, 2021/914) esas alınır. Bkz. Standard Contractual Clauses.
- Hizmet sağlayıcıların verileri kendi amaçları için kullanması sözleşmeyle yasaklanır.
7. Ek Teknik ve İdari Tedbirler
- Uçtan uca şifreleme ve anahtar egemenliği (anahtarlar Türkiye'de),
- Ağ izolasyonu (VPN tüneli), rol bazlı erişim, hesap izolasyonu,
- Veri minimizasyonu: yalnızca işleme için gerekli (maskeli) veri aktarılır,
- Loglama ve erişim denetimi.
8. Model Eğitimi Yasağı
Kullanıcı verileri (maskeli olsa dahi) hiçbir yapay zeka modelinin eğitiminde kullanılmaz. Bu husus, hizmet sağlayıcılarla yapılan sözleşmelerde de güvence altına alınır.
9. Haklar ve Talepler
Aktarıma ilişkin sorular ve KVKK m.11 talepleri için: info@kizilelmaai.com.tr. Kurumsal kullanıcılar için veri işleyen ilişkisi Ek Protokol (Veri İşleme) ile düzenlenir.