Güvenlik ve veri işleme

Son gözden geçirme: 5 Eylül 2026.

Bu başlık altında genellikle iki ayrı şey karışır: bir web sitesinin ne yaptığı ve bir iş akışının ne yaptığı. Aşağıda ayrıldılar.

İkinci yarı, herkese önceden söz vermek yerine her kurumla ayrı kararlaştırılan şeyler konusunda açık: çünkü herkese önceden verilen söz, genellikle sonradan şarta bağlı çıkan sözdür.

1Bu site

1. 1.1Bu site çerez kullanmıyor. Analitik, etiket yöneticisi ve izleme pikseli çalıştırmıyor.
2. 1.2Yazı tipleri dahil hiçbir şeyi üçüncü taraftan yüklemiyor; sayfada dışarıya giden tek şey, sizin tıkladığınız bağlantılar. Bir içerik güvenlik politikası başlığı, sayfaların neyi yükleyebileceğini sınırlıyor ve sınırlanacak bir üçüncü taraf da yok.
3. 1.3Sitede form yok, dolayısıyla hiçbir yere bir şey gönderilmiyor. İletişim sayfasındaki adrese yazarsanız adresiniz yalnızca size dönmek için kullanılır; bir listeye eklenmez, çünkü liste yok.
4. 1.4Sunucu kayıtları barındırma sağlayıcısı tarafından olağan akışında tutulur. Bunlardan bir profil çıkarmıyorum ve başka hiçbir veriyle birleştirmiyorum. Bu bölümde yazan her şey doğrulanabilir: sayfanın kaynak kodunu açıp bakabilirsiniz.

2İş akışı nerede çalışır

1. 2.1İş akışları kurumun kendi ortamında ya da kurumun seçtiği bir bölgede çalışacak şekilde tasarlanır. Bu, hiçbir şey kurulmadan önce tasarım şartnamesine yazılan bir kısıttır ve kapsam görüşmesinin ilk sorularından biridir.
2. 2.2Verinin Türkiye’de kalması bir gereklilikse bu kapsam yazısına yazılır ve seçilen sağlayıcının bunu karşıladığı birlikte kontrol edilir. Türkiye’de kalacağını genel olarak taahhüt etmiyorum, çünkü bunu belirleyen kurumun kendi sağlayıcı sözleşmesidir. Bu küresel bir vaat değil, çalışma başına bir karardır.

3Kaynaklar

1. 3.1Ajanın okuyabileceği kaynaklar önceden, adıyla sabitlenir ve bir talimatla değil yapılandırmayla uygulanır. Her çalıştırma gerçekte ne okuduğunu kayda yazar.
2. 3.2Liste bir belgedir, bir ayar değil: sürümü ve onaylayanı vardır. Listesinin dışına uzanan bir ajan, bir özellik değil, kalmış bir çalıştırmadır.

4Kayıtlar ve saklama

1. 4.1Neyin kaydedildiği, kimin okuyabileceği, ne kadar saklanacağı ve nasıl silineceği kurumla birlikte kararlaştırılır ve tasarım şartnamesine yazılır. Savunduğum varsayılan, komutların tamamı yerine üst veri ile inceleme izidir; yanında yazılı bir saklama süresi ve bir silme kuralı olur.
2. 4.2Çalıştırma kayıtları, ara çıktılar ve komut geçmişi ayrı sürelere tabidir. Üçünü tek bir süreye bağlamak kolaydır ve genellikle yanlıştır.
3. 4.3Bu sitedeki her kayıt yerinde kalır ifadesi, kurumla kararlaştırılan süre boyunca kurumun kendi sistemlerinde kalır demektir. Sonsuza kadar saklama sözü değildir; saklama kuralı iyi veri işlemenin parçasıdır, karşıtı değil.

5Model eğitimi

1. 5.1Kurumun içeriğini model eğitiminin dışında tutan sağlayıcı şartları ve hesap ayarları tasarım şartnamesine adıyla yazılır: hangi ayarın açık, hangisinin kapalı olduğuna kadar. Bunlar yerine oturmadan ve kurumun tarafından biri okumadan pilot başlamaz.
2. 5.2Gerekliliği ben yazarım ve ayarı birlikte kontrol ederiz. Sözleşmesel taahhüdü size verecek olan sağlayıcıdır ve öyle okunmalıdır.

6Alt işleyenler

1. 6.1Bir çalışmada kullanılan model ve altyapı sağlayıcıları, veri hareket etmeden önce, o çalışmanın belgesinde adıyla listelenir ve değiştiğinde kuruma bildirilir.
2. 6.2Bu sayfada genel bir alt işleyen listesi yok, çünkü kullanılan yığın kurumdan kuruma değişir ve sizin çalışmanız için doğru olmayan bir liste, listesizlikten kötüdür. Temel model sağlayıcısı da bir alt işleyen olarak ele alınır ve diğerleri gibi adlandırılır.

7Veri koruma sorumlulukları

1. 7.1Veri sorumlusu kurumdur ve uyum kararını kurum verir. LEXSAS o karara göre tasarlar, kararı kaydeder ve bir tasarımın kararı savunmayı zorlaştırdığı yeri açıkça söyler.
2. 7.2Hukuki sebep, veri minimizasyonu, saklama, kayıt tutma ve varsa yurt dışına aktarım, pilot başlamadan tasarım şartnamesinde çözülür. Aktarım yöntemi adıyla yazılır, bildirim sorumluluğu ve süresi kime aitse ona verilir.
3. 7.3Kişisel veri işlenen akışlarda aydınlatma metni ve açık rıza metni ayrı belgelerdir. Her biri ayrı başlık ve ayrı onay kutusu taşır; Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli 2026/347 sayılı ilke kararı bunu gerektiriyor. KVKK ile GDPR’ın soruları ayrıntıda farklıdır, disiplini aynıdır: kararı yazılı olarak, çalıştırmadan önce ver.

8Şartları o amaç için okunmamış bir sisteme girmeyenler

1. 8.1Özel nitelikli kişisel veri. Delil ve icra dosyası içeriği. Müzakere stratejisi. Mesleki sır kapsamındaki her şey.
2. 8.2Bu sınırı avukatlar için Türkiye Barolar Birliğinin 28 Ağustos 2026 tarihli tavsiye rehberi çiziyor, ve şirket içi bir ekip için de makul bir sınır.

9Olay müdahalesi

1. 9.1Müdahale planı olaydan önce yazılır. Önce koru: komut, çıktı, model sürümü ve kayıtlar; geri alma, oturum temizleme ya da anahtar yenilemeden önce alınır, çünkü bu üç hamle sonradan gerekecek kanıtı yok eder.
2. 9.2Sonra sınırla. Plan, bir akışı kimin kapatabileceğini ve işi kime haber vereceğini yazar; iki ad da olaydan önce bellidir.
3. 9.3Bildirim yükümlülükleri veri sorumlusu olarak kurumdadır. Kaydın işlevi, bildirimin kanunun verdiği süre içinde yapılabilmesini sağlamaktır.

10Bugün gösterebildiklerim ve gösteremediklerim

1. 10.1LEXSAS 2026’da kuruldu ve tek kurucusu var. Bugün SOC 2 Type II raporum, ISO 27001 belgem ya da bağımsız sızma testi raporum yok, ve bunları ima eden bir ifade sitede bulamazsınız.
2. 10.2Bunu ayrı bir başlık yapıyorum, çünkü bir güvenlik ekibinin ilk sorduğu şey bu ve cevabın sayfanın içinde saklanması güveni azaltır. Sorulacaksa, ve sorulmalı, cevabım bugün yok olur.
3. 10.3Bunun yerine gösterebildiklerim: çalışma standardının kendisi, yetki çerçevesi şablonu, kayıt alanlarının listesi, örnek bir çalıştırma kaydı, pilotun çıkış şartları ve bu sayfa. Kurumunuzun kendi tedarikçi inceleme listesi varsa doldurulmuş hâlini kapsam görüşmesinden önce gönderebilirim.
4. 10.4Belgelendirme sizin satın alma süreciniz için zorunluysa, dürüst cevap bende olmadığıdır; tasarım da belgeli bileşenleri belgesi olan sağlayıcılara bırakır.
5. 10.5Bu sitede müşteri adı, logo, referans ya da başarı verisi yok. Mesleki nedeni şu: Türkiye Barolar Birliği reklam yasağı kuralları avukatların referans, müvekkil bilgisi ve başarı verisi yayımlamasını sınırlıyor, ve bir hukuk bürosundan referans istemek o bürodan kendi kuralını zorlamasını istemek olur.
6. 10.6İlkesel nedeni de var: bu işin ürünü kayıt tutmaktır ve kayıt tutan bir işin, kendi müşterisinin adını pazarlama malzemesi yapması tuhaf olur. Yerine koyduğum şey, adı geçmeyen yöntem notları ve örnek bir kayıt.

Bu sayfadaki kararların yöntem içindeki yeri çalışma standardının 9 ve 10. bölümlerinde. Terimler sözlükte. Bir tedarikçi inceleme listeniz varsa yazın, doldurulmuş hâlini görüşmeden önce göndereyim.