OFİSLEX - Alt İşleyenler ve Yurt Dışı Aktarım Listesi
OfisLex hizmetlerinin sunulması sırasında, aşağıdaki tabloda belirtilen alt işleyen/hizmet sağlayıcılardan yararlanılmaktadır. Bu liste güncel tutulur; her güncellemede sürüm numarası ve yürürlük tarihi kaydedilir. Kullanıcının sözleşme/aydınlatma onay kayıtlarında, onay anında yürürlükte olan liste sürümü saklanır.
| Alt İşleyen / Hizmet Sağlayıcı | Hizmet Türü | Ülke / Bölge | İşlenen Veri Kategorileri | Aktarım Amacı / Açıklama | Hukuki Mekanizma |
| Aysima (aysima.com) | Ana uygulama sunucusu — barındırma, veri saklama, sistem güvenliği | Türkiye | Hesap verileri, müvekkil/dava verileri, işlem güvenliği verileri, kullanıcı içeriği, teknik loglar | Hizmetin barındırılması, veri saklama, güvenlik, yedekleme | KVKK m.5/2-c ve m.5/2-ç — veriler Türkiye’de barındırılır; bu hizmet bakımından yurt dışı aktarım yapılmaz. |
| Hetzner Online GmbH | Yapay zekâ / RAG altyapı sunucusu ve sistem yedekleri (Object Storage) | Almanya / Finlandiya (AB) | Belge/içerik vektör gömüleri, sistem yedekleri (veritabanı dökümü dâhil), teknik loglar | Yapay zekâ arama altyapısı, felaket kurtarma ve yedekleme | KVKK m.9 kapsamında uygun güvence / standart sözleşme; yedekler AB veri merkezlerinde (Almanya ve Finlandiya) tutulur. Yedekler AES-256 ile şifrelenir (29.08.2026’dan itibaren; her alımda geri açılabildiği sınanır). |
| PayTR Ödeme Hizmetleri | Ödeme, tahsilat, kart saklama/token, fatura süreçleri | Türkiye | Kimlik, iletişim, ödeme, fatura, işlem verileri | Ödeme alınması, abonelik tahsilatı, muhasebe | KVKK m.5/2-c ve m.5/2-ç — yurt içinde işlenir. |
| OpenAI, Inc. | GPT dil modelleri | ABD | Kullanıcının sorusu/komutu ve o işlem için asistana verilen içerik | Cevabın, analizin veya taslağın üretilmesi | Yurt dışı aktarımdır. Aktarım yalnızca kullanıcı bir işlem başlattığında ve o işlemin gerektirdiği içerikle sınırlı olarak yapılır. |
| OpenAI, Inc. | Metin gömme (text-embedding-3-large) | ABD | Aranabilir hâle getirilen metin parçaları ve kullanıcının arama sorusu; asistana klasör eklendiğinde klasördeki belgelerin metin parçaları | Anlam araması için sayısal karşılık (vektör) üretilmesi | Yurt dışı aktarımdır. Klasör metni sohbete doğrudan sığıyorsa bu aktarım hiç yapılmaz. Üretilen vektörler AB’deki (Almanya) veri tabanında saklanır. |
| Anthropic, PBC | Claude dil modelleri | ABD | Kullanıcının sorusu/komutu ve o işlem için asistana verilen içerik | Cevabın, analizin veya taslağın üretilmesi | Yurt dışı aktarımdır. Aktarım yalnızca kullanıcı bir işlem başlattığında ve o işlemin gerektirdiği içerikle sınırlı olarak yapılır. |
| Google LLC | Gemini dil modelleri | ABD / AB (sağlayıcı altyapısı) | Kullanıcının sorusu/komutu ve o işlem için asistana verilen içerik | Cevabın, analizin veya taslağın üretilmesi. Ayrıca: model seçimi Otomatik iken (varsayılan ayar) sorunun kişisel veri içerip içermediğini sınıflandırmak için soru metni önce bu sağlayıcıya gönderilir — cevabı başka bir sağlayıcı üretecek olsa bile bu sınıflandırma çağrısı yapılır. | Yurt dışı aktarımdır. Aktarım yalnızca kullanıcı bir işlem başlattığında ve o işlemin gerektirdiği içerikle sınırlı olarak yapılır. |
| Google LLC | Taranmış belge okuma (Gemini görüntü okuma / OCR) | ABD / AB (sağlayıcı altyapısı) | Belgenin görüntüsünün kendisi — müvekkile ait bir evrak olabilir | Metin katmanı bulunmayan (taranmış/fotoğraflanmış) belgenin okunabilir metne çevrilmesi | Yurt dışı aktarımdır. Yalnızca yüklenen belge metin katmanı içermediğinde yapılır; metin katmanı varsa belge dışarı gönderilmez. |
| Cohere Inc. | Arama sonuçlarının yeniden sıralanması (rerank-v3.5) | ABD | Arama sorgusu ile aday sonuçların başlık ve metin parçaları | Sonuçların soruya uygunluğa göre sıralanması | Yurt dışı aktarımdır. Yalnızca bir arama işlemi sırasında ve o aramanın aday sonuçlarıyla sınırlı olarak yapılır. |
| Tavily Inc. | İnternet araması | ABD | Yalnızca kullanıcının onay kartında görüp onayladığı arama metni | İnternette güncel kaynak aranması | Yurt dışı aktarımdır. Her arama için kullanıcının ayrı onayı alınır; onay verilmezse hiçbir istek gönderilmez. Arama metni gönderilmeden önce T.C. kimlik numarası, telefon, e-posta ve IBAN bakımından taranıp maskelenir. |
| Brave Software, Inc. | İnternet araması | ABD | Yalnızca kullanıcının onay kartında görüp onayladığı arama metni | İnternette güncel kaynak aranması | Yurt dışı aktarımdır. Her arama için kullanıcının ayrı onayı alınır; onay verilmezse hiçbir istek gönderilmez. Aynı arama metni her iki arama sağlayıcısına birden gidebilir; hangi sonucun hangisinden geldiği cevapta gösterilir. |
| Staan (Qwant altyapısı) | İnternet araması | Avrupa Birliği | Yalnızca kullanıcının onay kartında görüp onayladığı arama metni | İnternet araması yapılması. Arama sağlayıcıları sırayla denenir; aynı arama metni birden fazla sağlayıcıya gidebilir. | Aktarım Avrupa Birliği’ne yapılır. Her arama için kullanıcının ayrı onayı alınır; onay verilmezse hiçbir istek gönderilmez. Arama metni gönderilmeden önce T.C. kimlik numarası, telefon, e-posta ve IBAN bakımından taranıp maskelenir. |
| DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.) | DeepSeek dil modelleri | Çin Halk Cumhuriyeti | Kullanıcının sorusu/komutu ve o işlem için asistana verilen içerik | Cevabın üretilmesi. Model seçiminin varsayılanı “Otomatik”tir. Otomatik seçiliyken bir soru; dosya/belge/müvekkil bağlamı taşımıyorsa, ekli dosya yoksa, içinde T.C. kimlik numarası, telefon, e-posta veya IBAN bulunmuyorsa ve sınıflandırıcı “kişisel veri yok” diyorsa, kullanıcı bu sağlayıcıyı ayrıca seçmemiş olsa bile soru buraya gönderilir. Kullanıcı model listesinden DeepSeek’i doğrudan da seçebilir. Dosya/belge bağlamı taşıyan sorular ve “Derin Çalışma” ile sorulan sorular bu yola girmez. | Yurt dışı aktarımdır. Aktarım yalnızca kullanıcı bir işlem başlattığında ve o işlemin gerektirdiği içerikle sınırlı olarak yapılır. |
| OpenAI, Inc. | Kişisel veri maskeleme denetimi (gpt-4o-mini) | ABD | Maskelenecek ham metnin kendisi | Metindeki T.C. kimlik numarası, telefon, e-posta ve benzeri alanların bulunup maskelenmesi. Not: maskeleme işleminin kendisi bir aktarımdır — metin, maskelenmek için sağlayıcıya gönderilir, yani maskelenmeden önceki hâliyle sağlayıcıya ulaşır. | Yurt dışı aktarımdır. Yalnızca maskeleme katmanı çalıştığında ve maskelenecek metinle sınırlı olarak yapılır. |
| Telegram (Telegram Messenger) | Destek talebi iletimi, giriş doğrulama kodu (OTP), kullanıcı hatırlatma bildirimleri ve sistem/durum bildirimleri | Yurt dışı (sağlayıcının küresel altyapısı) | İletişim verileri, destek talebi içeriği, giriş doğrulama kodu, hatırlatma/bildirim metninin içeriği (randevu, duruşma, iş notu gibi dosya bilgisi içerebilir), sistem/operasyon bildirimleri | Destek talebinin yöneticiye iletilmesi ve yanıtlanması; kullanıcının Telegram kanalını seçmesi hâlinde giriş kodunun ve hatırlatmalarının iletilmesi; sistemin izlenmesi. | Yurt dışı aktarımdır. Telegram’a çıkış yalnızca büro Telegram kanalını kendisi açtığında yapılır; kanal kapalıyken bu sağlayıcıya kullanıcı verisi gönderilmez. |
QR kod servisi (api.qrserver.com) | Belge altbilgisindeki QR kod görüntüsünün üretilmesi | Yurt dışı | UYAP evrak doğrulama kodu ve bu koddan üretilen doğrulama adresi. Belgenin metni ve müvekkil bilgileri gönderilmez. | UYAP’tan gelen bir belge görüntülenmek üzere PDF’e çevrilirken, belgenin altbilgisindeki QR kodun çizdirilmesi | Yurt dışı aktarımdır. Yalnızca bir UYAP belgesi PDF’e çevrildiğinde ve yalnızca o belgenin doğrulama koduyla sınırlı olarak yapılır. |
| Google LLC (Google Fonts) | Yazı tipi stil dosyasının indirilmesi | ABD | Kullanıcı içeriği veya müvekkil verisi gönderilmez — sağlayıcıya yalnızca OfisLex sunucusunun isteği (sunucunun kendi IP adresi) ulaşır. | UYAP belgesi PDF’e çevrilirken sayfa düzeninin bozulmaması için yazı tipi tanımlarının alınması | İsteği kullanıcının tarayıcısı değil OfisLex sunucusu yapar; bu çağrıyla birlikte kişisel veri aktarılmaz. |
| Büronun kendi tanımladığı dış araç sunucu(lar)ı | Büronun Ayarlar → Dış Araçlar ekranından bağladığı harici araçlar | Büro beyanına göre (Türkiye/AB ya da yurt dışı) | Asistanın o araca gönderdiği sorgu | Büronun kendi seçtiği harici aracın çalıştırılması | Sağlayıcıyı OfisLex değil büro seçer; sözleşme ve KVKK sorumluluğu büroya aittir. Varsayılan olarak kapalıdır; açmak için ekrandaki kişisel veri uyarısının onaylanması gerekir ve bu onay zaman damgasıyla kaydedilir. Sorguda T.C. kimlik numarası, telefon ve ad-soyad gibi alanlar otomatik maskelenir. |
Verilerin barındırıldığı yer. Yukarıdaki tablo verinin bir işlem için nereye gönderildiğini gösterir; verinin nerede durduğu ise şöyledir: ana uygulama sunucusu ve veri tabanı Türkiye’de (İstanbul); yapay zekâ/arama altyapısı ile vektör veri tabanı Almanya’da (Nürnberg); yedekler Almanya ve Finlandiya’da; ikinci/sıcak yedek sunucu Türkiye’dedir. OfisLex, müşteri talebine bağlı olarak farklı bir barındırma ülkesi seçilebileceği yönünde bir taahhütte bulunmaz.
Model eğitimi ve saklama. OfisLex, kullanıcı içeriğini ve müvekkil verilerini genel bir yapay zekâ modelini eğitmek amacıyla kullanmaz. Aktarılan verinin sağlayıcının kendi sistemlerinde ne kadar tutulacağı, o sağlayıcının kendi sözleşme ve politikalarına tabidir; bu süre OfisLex tarafından belirlenmez.
Site kullanım istatistikleri. Web sitesinin kullanım istatistikleri, OfisLex’in kendi Türkiye’deki sunucusunda çalışan Matomo yazılımıyla ölçülür (istatistik.ofislex.com — ana site ile aynı sunucu). Ölçüm çerezsiz yapılır ve bu iş için veriler başka bir şirkete aktarılmaz; bu nedenle Matomo yukarıdaki tabloda ayrı bir alt işleyen olarak yer almaz.
Şu an kullanılmayan servisler: Google Analytics / Google Tag Manager, LinkedIn Insight, SMS gönderim servisi, harici hata-izleme (ör. Sentry) ve harici CRM servisleri kullanılmamaktadır. E-posta gönderimi OfisLex’in kendi sunucusu (mail.ofislex.com) üzerinden yapılır; harici bir e-posta gönderim servisi (Brevo) yapılandırmada tanımlı olmakla birlikte şu an kapalıdır ve kullanılmamaktadır — açıldığı takdirde bu liste güncellenecektir. Bürolar diledikleri takdirde kendi SMTP sağlayıcılarını tanımlayabilir (bu durumda ilgili sağlayıcı büronun kendi alt işleyenidir). Bu servislerden herhangi biri ileride kullanılırsa bu liste güncellenecek ve gerekli aydınlatma ile (gerekiyorsa) açık rıza sağlanacaktır.
Bu listenin kapsamı. Yukarıdaki tablo, OfisLex sunucularından çıkan aktarımları gösterir. Avukatın kendi oturumuyla eriştiği UYAP ve UETS gibi devlet sistemleri bu listeye dâhil değildir; oraya erişim kullanıcının kendi erişimidir, OfisLex tarafından yapılan bir aktarım değildir. Vektör veri tabanı (Qdrant) ayrı bir sağlayıcı değildir; OfisLex’in Almanya’daki kendi sunucusunda çalışır ve yukarıdaki Hetzner satırına dâhildir. Mevzuat, içtihat ve Resmî Gazete gibi kamuya açık kaynaklardan yapılan okumalar da bu listede yer almaz; bu okumalarda dışarıya kullanıcı ya da müvekkil verisi gönderilmez.
Sürüm 4 · Yürürlük/Güncelleme: 29.08.2026