lexsas EN
GÜVENLİK VE VERİ

Güvenlik ve veri işleme

Bu sayfa iki ayrı şeyi anlatıyor. Birincisi bu sitenin kendisi, ki orada verilecek kesin bir söz var. İkincisi kurduğum iş akışları, ki orada kesin bir söz vermek dürüst olmaz; verilecek olan, her çalışmada aynı soruların aynı sırayla sorulup yazıya geçirileceğidir. Aşağıda ayrıldılar. İkinci yarı, herkese önceden söz vermek yerine her kurumla ayrı kararlaştırılan şeyler konusunda açık: çünkü herkese önceden verilen söz, genellikle sonradan şarta bağlı çıkan sözdür.

Son gözden geçirme: 18 Ekim 2026.

Bu site

  1. 1.1Bu site çerez kullanmıyor. Analitik, etiket yöneticisi ve izleme pikseli çalıştırmıyor.
  2. 1.2Yazı tipleri dahil hiçbir şeyi üçüncü taraftan yüklemiyor; sayfada dışarıya giden tek şey, sizin tıkladığınız bağlantılar. Bir içerik güvenlik politikası, sayfaların neyi yükleyebileceğini sınırlıyor ve sınırlanacak bir üçüncü taraf da yok.
  3. 1.3Veri sorumlusu. Bu site üzerinden bana ulaşan kişisel veriler için veri sorumlusu Asım Serdar Yılmaz’dır. LEXSAS, İstanbul’da kişisel olarak yürüttüğüm girişimin adıdır; ayrı bir şirket değildir. İletişim: serdar@lexsas.com.
  4. 1.4Hangi veri, hangi amaçla. Sitede form yok, dolayısıyla hiçbir yere bir şey gönderilmiyor; kişisel veri bana yalnızca sizin göndermeyi seçtiğiniz bir e-postayla ulaşır. Bana e-posta yazarsanız adınızı, e-posta adresinizi, mesajınızın içeriğini ve içinde ne varsa onu, mesajınızı okuyup yanıtlamak ve birlikte çalışmaya karar verirsek işin kapsamını çıkarmak için işlerim. Hukuki sebep, mesaj bir sözleşmenin kurulmasıyla doğrudan ilgiliyse KVKK m. 5/2-c, diğer hâllerde yazışmayı yanıtlamaktaki meşru menfaatimdir (m. 5/2-f); GDPR’ın uygulandığı hâllerde dayanak m. 6(1)(b) ve 6(1)(f)’dir. Adresiniz bir listeye eklenmez, çünkü liste yok; pazarlama için kullanılmaz.
  5. 1.5Kimler işler, nerede. lexsas.com adresine gelen e-postayı Google (Google Workspace) iletir ve saklar. Site GitHub Pages’te barınır; GitHub, ziyaretçilerin IP adreslerini kendi gizlilik bildirimi kapsamında sunucu kayıtlarında tutar, bu kayıtlara benim erişimim yoktur ve onlardan profil çıkarmam. İki sağlayıcı da veriyi Türkiye dışındaki sunucularda işleyebilir; bu aktarım KVKK m. 9’a uygun olarak yapılır; hangi m. 9 yoluna dayandığını isterseniz e-postayla bildiririm. Mesajınızı bunların dışında kimseyle paylaşmam.
  6. 1.6Ne kadar süre. Bir işe dönüşmeyen yazışma, son mesajdan itibaren on iki ay içinde silinir. İşe dönüşen yazışma, o işin kaydıyla birlikte, işte kararlaştırılan süre boyunca saklanır.
  7. 1.7Haklarınız. KVKK m. 11 uyarınca verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluşmuşsa silinmesini ve bunların aktarılan kişilere bildirilmesini isteme, yalnızca otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğradıysanız tazminat isteme hakkınız vardır. GDPR’ın uygulandığı hâllerde m. 15 ila 21’deki haklara da sahipsiniz ve kendi denetim makamınıza şikâyet edebilirsiniz. Başvuru için bana daha önce yazdığınız e-posta adresinden serdar@lexsas.com adresine yazın. Yazılı başvurmayı tercih ederseniz ya da o adrese artık erişiminiz yoksa yine yazın; yazılı başvuru için bir posta adresi bildiririm. Başvurunuzu en geç otuz gün içinde ve ücretsiz olarak sonuçlandırırım. Yanıtı yetersiz bulursanız Kişisel Verileri Koruma Kurulu’na şikâyet edebilirsiniz.
  8. 1.8Sınır. Çerez, analitik ve üçüncü taraf yükleme hakkında yazılanları sayfanın kaynak kodunu açıp doğrulayabilirsiniz; sağlayıcıların sunucu kayıtları ve e-posta saklaması kaynak kodda görünmez. Politika sayfanın içinde geldiği için başka bir sitenin bu sayfaları çerçeve içine almasını engelleyemez; burada hiçbir girdi alınmadığından, çerçeveye alınan sayfa siteyi gösterebilir ama sizin adınıza bir işlem yapamaz.

İş akışı nerede çalışır

  1. 2.1İş akışları kurumun kendi ortamında ya da kurumun seçtiği bir bölgede çalışacak şekilde tasarlanır. Bu, hiçbir şey kurulmadan önce tasarım şartnamesine yazılan bir kısıttır ve kapsam görüşmesinin ilk sorularından biridir.
  2. 2.2Verinin Türkiye’de kalması bir gereklilikse bu kapsam yazısına yazılır ve seçilen sağlayıcının bunu karşıladığı birlikte kontrol edilir. Türkiye’de kalacağını genel olarak taahhüt etmiyorum, çünkü bunu belirleyen kurumun kendi sağlayıcı sözleşmesidir. Bu küresel bir vaat değil, çalışma başına bir karardır.
  3. 2.3Bir model çağrısı yapılıyorsa sağlayıcı ve bölge, geçerli hesap ayarlarıyla birlikte tasarım şartnamesinde adıyla belirtilir.

Kaynaklar

  1. 3.1Ajanın okuyabileceği kaynaklar önceden, adıyla sabitlenir ve bir talimatla değil yapılandırmayla uygulanır. Her çalıştırma gerçekte ne okuduğunu kayda yazar.
  2. 3.2Liste bir belgedir, bir ayar değil: sürümü ve onaylayanı vardır. Listesinin dışına uzanan bir ajan, bir özellik değil, başarısız bir çalıştırmadır.

Kayıtlar ve saklama

  1. 4.1Neyin kaydedildiği, kimin okuyabileceği, ne kadar saklanacağı ve nasıl silineceği kurumla birlikte kararlaştırılır ve tasarım şartnamesine yazılır. Savunduğum varsayılan, komutların tamamı yerine üst veri ile inceleme izidir; yanında yazılı bir saklama süresi ve bir silme kuralı olur.
  2. 4.2Çalıştırma kayıtları, ara çıktılar ve komut geçmişi ayrı sürelere tabidir. Üçünü tek bir süreye bağlamak kolaydır ve genellikle yanlıştır.
  3. 4.3Bu sitedeki her kayıt yerinde kalır ifadesi, kurumla kararlaştırılan süre boyunca kurumun kendi sistemlerinde kalır demektir. Sonsuza kadar saklama sözü değildir; saklama kuralı iyi veri işlemenin parçasıdır, karşıtı değil.

Model eğitimi

  1. 5.1Kurumun içeriğini model eğitiminin dışında tutan sağlayıcı şartları ve hesap ayarları tasarım şartnamesine adıyla yazılır: hangi ayarın açık, hangisinin kapalı olduğuna kadar. Bunlar yerine oturmadan ve kurum tarafında biri okumadan pilot başlamaz.
  2. 5.2Gerekliliği ben yazarım ve ayarı birlikte kontrol ederiz. Sözleşmesel taahhüdü size verecek olan sağlayıcıdır ve öyle okunmalıdır.

Alt işleyenler

  1. 6.1Bir çalışmada kullanılan model ve altyapı sağlayıcıları, veri hareket etmeden önce, o çalışmanın belgesinde adıyla listelenir ve değiştiğinde kuruma bildirilir.
  2. 6.2Bu sayfada genel bir alt işleyen listesi yok, çünkü kullanılan yığın kurumdan kuruma değişir ve sizin çalışmanız için doğru olmayan bir liste, listesizlikten kötüdür. Temel model sağlayıcısı da bir alt işleyen olarak ele alınır ve diğerleri gibi adlandırılır.

Veri koruma sorumlulukları

  1. 7.1Veri sorumlusu kurumdur ve uyum kararını kurum verir. LEXSAS o karara göre tasarlar, kararı kaydeder ve bir tasarımın kararı savunmayı zorlaştırdığı yeri açıkça söyler.
  2. 7.2Hukuki sebep, veri minimizasyonu, saklama, kayıt tutma ve varsa yurt dışına aktarım, pilot başlamadan tasarım şartnamesinde çözülür. Aktarım yöntemi adıyla yazılır, bildirim sorumluluğu ve süresi kime aitse ona verilir.
  3. 7.3Kişisel veri işlenmeden önce, hukuki sebepten bağımsız olarak aydınlatma yapılır. İşleme açık rızaya dayanıyorsa aydınlatma ve rıza metinleri ayrı başlıklar ve ayrı beyanlarla düzenlenir; aynı sayfada yer alabilirler. Aydınlatma için yalnızca okunduğuna ve bilgi edinildiğine ilişkin geri bildirim alınır, onay veya rıza istenmez. Başka bir işleme şartına dayanılıyorsa ayrıca açık rıza metni sunulmaz. Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli 2026/347 sayılı ilke kararı bu ayrımları gerektirir. KVKK ile GDPR’ın soruları ayrıntıda farklıdır, disiplini aynıdır: kararı yazılı olarak, çalıştırmadan önce ver.

Şartları o amaç için okunmamış bir sisteme girmeyenler

  1. 8.1Özel nitelikli kişisel veri. Delil ve icra dosyası içeriği. Müzakere stratejisi. Mesleki sır kapsamındaki her şey.
  2. 8.2Bu sınırı avukatlar için Türkiye Barolar Birliğinin 28 Ağustos 2026 tarihli tavsiye rehberi çiziyor; aynı sınır şirket içi bir ekip için de makul.

Olay müdahalesi

  1. 9.1Müdahale planı olaydan önce yazılır. Önce koru: komut, çıktı, model sürümü ve kayıtlar; bekleyebilecek her geri alma, oturum temizleme ya da anahtar yenilemeden önce alınır, çünkü bu hamlelerin her biri sonradan gerekecek kanıtı silebilir.
  2. 9.2Sonra sınırla. Zarar hâlâ sürüyorsa, örneğin bir erişim anahtarı kötüye kullanılıyor ya da veri dışarı çıkmaya devam ediyorsa, sınırlama beklemez: akış hemen durdurulur ve kanıt bununla birlikte alınır. Plan, bir akışı kimin kapatabileceğini ve işi kime haber vereceğini yazar; iki ad da olaydan önce bellidir.
  3. 9.3Bildirim yükümlülükleri veri sorumlusu olarak kurumdadır. Kaydın işlevi, bildirimin kanunun verdiği süre içinde yapılabilmesini sağlamaktır.

Bugün gösterebildiklerim ve gösteremediklerim

  1. 10.1LEXSAS 2026’da kuruldu ve tek kurucusu var. Bugün SOC 2 Type II raporum, ISO 27001 belgem ya da bağımsız sızma testi raporum yok; bunları ima eden bir ifade de sitede bulamazsınız.
  2. 10.2Bunu ayrı bir başlık yapıyorum, çünkü bir güvenlik ekibinin ilk sorduğu şey bu ve cevabın sayfanın içinde saklanması güveni azaltır. Sorulacaksa, ki sorulmalı, bugünkü cevabım yok.
  3. 10.3Bunun yerine gösterebildiklerim: çalışma standardının kendisi, yetki çerçevesi şablonu, kayıt alanlarının listesi, örnek bir çalıştırma kaydı, pilotun çıkış şartları ve bu sayfa. Kurumunuzun kendi tedarikçi inceleme listesi varsa doldurulmuş hâlini kapsam görüşmesinden önce gönderebilirim.
  4. 10.4Belgelendirme sizin satın alma süreciniz için zorunluysa, dürüst cevap bende olmadığıdır; tasarım da belgeli bileşenleri belgesi olan sağlayıcılara bırakır.
  5. 10.5Bu sitede müşteri adı, logo, referans ya da başarı verisi yok. Mesleki nedeni şu: TBB kuralları, avukatların internet sitelerinde referans veya başka bir ad altında müvekkil bilgisi paylaşmasını yasaklar; dava ve hukuki işlerin reklam niteliğinde öne çıkarılmasını sınırlar (m. 7(c), 7(d), 11). Kendi tercihim olarak hukuk bürolarından kamuya açık tavsiye beyanı istemiyorum.
  6. 10.6İlkesel nedeni de var: bu işin ürünü kayıt tutmaktır ve kayıt tutan bir işin, kendi müşterisinin adını pazarlama malzemesi yapması tuhaf olur. Yerine koyduğum şey, adı geçmeyen yöntem notları ve örnek bir kayıt.
  7. 10.7Bu sitedeki bir güvenlik açığını bildirmek için security.txt dosyasına bakınız.

Bu sayfadaki kararların yöntem içindeki yeri çalışma standardının 9 ve 10. bölümlerinde. Terimler sözlükte. Bir tedarikçi inceleme listeniz varsa yazın, doldurulmuş hâlini görüşmeden önce göndereyim. İletişime geçin