Bu politika, İnnovator Bilişim Teknolojileri Sanayi ve Ticaret Limited Şirketi ("Şirket") tarafından Avarsis platformunda kişisel verilerin korunması ve işlenmesine ilişkin ilke ve prosedürleri belirler.
Bu politika, Platform üzerinden toplanan, işlenen ve saklanan tüm kişisel verileri kapsar. Platform, avukatlar, arabulucular ve danışanlar arasında iletişim aracılığı sağladığından, özel nitelikli kişisel veriler dahil hassas bilgiler işlenmektedir. Platform yalnızca teknik altyapı sağlamakta olup, kullanıcı içeriğinden kullanıcılar bizzat sorumludur.
Veri Sorumlusu: İnnovator Bilişim Teknolojileri Sanayi ve Ticaret Limited Şirketi — Platform operasyonu kapsamında topladığı veriler (üyelik, iletişim, ödeme, teknik veriler) için veri sorumlusudur.
Veri İşleyen Rolü: Kullanıcıların kendi aralarında paylaştığı belgeler, mesajlar ve hukuki dokümanlar için Platform, yalnızca güvenli saklama ve iletim hizmeti sunan veri işleyen konumundadır. Bu verilerin içeriğine erişmez, analiz etmez veya başka amaçlarla kullanmaz.
Platform üzerinden iletilen belgeler KVKK m.6 kapsamında özel nitelikli kişisel veri içerebilir:
• Ceza mahkûmiyeti ve güvenlik tedbirleri
• Sağlık verileri
• Biyometrik veriler
• Dernek/vakıf/sendika üyeliği
• Irk, etnik köken, siyasi düşünce, dini inanç
Bu veriler için alınan ek tedbirler:
• Belge depolama alanları şifreli dosya sistemiyle korunur
• Erişim yalnızca ilgili avukat/arabulucu ve danışanla sınırlıdır
• Platform çalışanları belge içeriğine erişim yetkisine sahip değildir
• Kullanıcı silme talebi halinde belgeler kalıcı olarak yok edilir
• SSL/TLS Şifreleme: Tüm veri iletimi 256-bit şifreleme ile korunur
• IP Anonimleştirme: Çerez onay loglarında IP adresleri anonimleştirilir
• Şifreli Saklama: Kullanıcı şifreleri bcrypt algoritması ile hash'lenir
• CSRF Koruması: Tüm form ve API işlemlerinde Cross-Site Request Forgery koruması
• Rate Limiting: Brute-force ve flood saldırılarına karşı istek sınırlaması
• İki Faktörlü Doğrulama (2FA): Avukat ve arabulucu hesaplarında ek güvenlik katmanı
• Oturum Güvenliği: Otomatik oturum sonlandırma, güvenli cookie politikası (SameSite=Lax, Secure, HttpOnly)
• Erişim Kontrolü: Rol tabanlı yetkilendirme (admin/avukat/arabulucu/ekip/danışan)
• Upload Güvenliği: MIME türü doğrulama (finfo), yasaklı uzantı kara listesi, dizin bazlı PHP execution kapatma
• Düzenli Güvenlik Testleri: Guardian sistem izleme modülü ile periyodik kontroller
• Veri işleme envanteri tutulur
• Çalışanlar kişisel veri koruma konusunda bilgilendirilir ve gizlilik taahhütnamesi imzalanır
• Üçüncü taraf hizmet sağlayıcılarla veri işleme sözleşmeleri yapılır
• Periyodik güvenlik değerlendirmeleri gerçekleştirilir
• Veri minimizasyonu ilkesi uygulanır — yalnızca gerekli veriler toplanır
• Erişim yetkileri ihtiyaç prensibi ile sınırlanır
Kişisel veriler, işleme amacının gerektirdiği süre boyunca saklanır:
• Hesap bilgileri: Üyelik süresince + silme sonrası 30 gün
• Hukuki belgeler: Kullanıcı silene kadar + hesap silme sonrası 90 gün
• Ödeme/fatura kayıtları: 10 yıl (213 sayılı VUK)
• Çerez onay kayıtları: 2 yıl
• AI sohbet kayıtları: Kullanıcı silene kadar + 30 gün
• Güvenlik logları: 6 ay (5651 sayılı Kanun)
İmha yöntemleri: Elektronik ortamdaki veriler geri dönüşümsüz olarak silinir. Yedekleme sistemlerindeki veriler yedekleme döngüsü sonunda otomatik olarak yok edilir.
Kişisel veri ihlali tespit edilmesi halinde:
1. İhlal derhal tespit ve sınırlandırılır
2. 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirilir
3. İlgili kişiler en kısa sürede bilgilendirilir
4. İhlalin kapsamı, etkileri ve alınan tedbirler raporlanır
5. Tekrarlanmaması için gerekli önlemler alınır
Kişisel veriler aşağıdaki taraflarla ve yalnızca belirtilen amaçlarla paylaşılır:
a) Paraşüt Yazılım A.Ş. — Fatura düzenleme ve muhasebe entegrasyonu (ad/soyad, VKN/TCKN, fatura adresi, tutar). Sunucular Türkiye'dedir.
b) UPS Hızlı Kargo Taşımacılığı A.Ş. — Fiziksel gönderim halinde alıcı bilgileri (ad/soyad, adres, telefon).
c) Türkiye Barolar Birliği (TBB) — Avukat üyelerin baro sicil sorgulaması ve aktif kayıt durumu doğrulaması.
d) Adalet Bakanlığı Arabuluculuk Daire Başkanlığı (ADB) — Arabulucu üyelerin sicil sorgulaması ve aktif kayıt durumu doğrulaması.
e) Banka ve Ödeme Altyapısı
• Platform abonelik ödemeleri: PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (BDDK lisanslı ödeme kuruluşu) — Yalnızca abonelik ödeme işlemi için; kart bilgileri Platform'da saklanmaz, yalnızca ödeme kuruluşunun PCI-DSS uyumlu 3D Secure sayfasına girilir.
• Sanal POS Partner: Avukat/arabulucu üyenin Platform paneli üzerinden sanal POS başvurusu yapması halinde ad/soyad, TCKN, sicil bilgileri, iletişim ve IBAN bilgileri ödeme kuruluşuna aktarılır. Onay/red ödeme kuruluşunun bağımsız değerlendirmesindedir. Sanal POS hesabı avukatın kendi adına açılır; müvekkil ödemeleri doğrudan avukatın banka hesabına yatar. Avarsis ara hesap kullanmaz, parayı tutmaz, aggregator/marketplace rolünde değildir; 6493 sayılı Ödeme Hizmetleri Kanunu kapsamında ödeme kuruluşu sayılmaz.
f) Yapay Zekâ Hizmet Sağlayıcıları (Anthropic, OpenAI) — AvAi asistan sohbet mesajları, belge içerikleri ve bunların özetleme/metin çıkarımı adımları (yurt dışı aktarım — ABD, açık rıza ile). DeepSeek (Çin Halk Cumhuriyeti) yalnızca kamuya açık karar metinleri üzerinde iç kalite ölçümünde kullanılır; kullanıcı kişisel verisi aktarılmaz.
g) Google Analytics — Anonim ziyaretçi istatistikleri (çerez onayı ile, yurt dışı aktarım).
h) Sunucu/altyapı sağlayıcıları — Veri saklama ve teknik operasyon için.
i) Yetkili merciler — Mahkemeler, savcılıklar, kolluk birimleri, KVKK Kurumu, BTK, MASAK, vergi idaresi ve yasal olarak yetkili diğer kurumlardan usulüne uygun yazılı talep gelmesi halinde, ilgili mevzuat çerçevesinde.
Tüm üçüncü taraflarla veri işleme sözleşmeleri mevcuttur. Kişisel veriler bunlar dışında üçüncü taraflarla paylaşılmaz, satılmaz veya pazarlama amacıyla aktarılmaz.
Anthropic (ABD), OpenAI (ABD) ve Google Analytics (ABD/AB) hizmetleri yurt dışı veri aktarımı içermekte olup, ilgili aktarımlar kullanıcının açık rızasına dayanmaktadır. DeepSeek (Çin Halk Cumhuriyeti) yalnızca kamuya açık karar metinleri üzerinde iç kalite ölçümünde kullanılır ve bu kapsamda kullanıcı kişisel verisi aktarılmaz.
KVKK m.11 kapsamındaki haklarınızı (bilgi alma, düzeltme, silme, itiraz, vb.) kullanmak için [email protected] adresine, KEP ([email protected]) üzerinden veya Atatürk Mahallesi İrfan Sokak No:10/A Ümraniye / İstanbul adresine yazılı başvuru yapabilirsiniz. Başvurular 30 gün içinde cevaplanır.
Şikayet hakkı: Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya 30 gün içinde cevap verilmemesi halinde KVKK m.13-14 kapsamında Kişisel Verileri Koruma Kurulu'na şikayet hakkınız saklıdır (kvkk.gov.tr).
Son güncelleme: 03.09.2026 · Sürüm v3.0 (03.09.2026)