Veri Aktarımı Protokolü (DTA)
4. VERİ AKTARIMI PROTOKOLÜ (DTA)
Madde 1 — Giriş ve Kapsam
İşbu Veri Aktarımı Protokolü ('Protokol'), Leksor Bilişim Teknolojileri TİC. LTD. ŞTİ. tarafından işletilen İhaleAi platformu kapsamında uygulanır ve B2B Hizmet ve Kullanım Sözleşmesi'nin ayrılmaz bir eki niteliğindedir.
Bu Protokol; Platform'un "Akıllı Sorgu", "Gelişmiş Karar Arama" ve "Emsal Karar Kütüphanesi" vb. fonksiyonlarının işletilebilmesi için zorunlu olan veri akışlarını, KVKK Madde 9 uyarınca yurtdışına aktarım koşullarını ve tarafların hak ile yükümlülüklerini düzenler.
Madde 2 — Alt-İşleyen Yetkilendirmesi ve Altyapı
İhale.AI platformunun "Akıllı Sorgu" (RAG) mimarisi ve veri depolama hizmetleri; ISO 27001 ve SOC 2 Type II güvenlik standartlarına sahip aşağıdaki bulut altyapıları üzerinde çalışmaktadır:
- Google Cloud Platform (GCP): Veritabanı ve ana uygulama katmanı, münhasıran kendi yönettiğimiz GCP projemizde "self-hosted" (kendi barındırmamız) olarak çalışmaktadır. Üçüncü taraf veritabanı (DBaaS) veya harici depolama servislerine veri aktarımı yapılmamaktadır.
- Google AI / Gemini API: Gelişmiş arama ve RAG mimarisi için doğal dil işleme (LLM) servisi olarak kullanılmaktadır.
Kullanıcı İçeriği'nin işlenmesi amacıyla yukarıdaki altyapılara yapılacak yurtdışı aktarım, KVKK Madde 9/2-b uyarınca Kişisel Verileri Koruma Kurulu tarafından belirlenen "Standart Sözleşme" mekanizması çerçevesinde gerçekleştirilmektedir. Bu aktarım, kullanıcıdan alınan tekil onaya dayanmamakta; İhale.AI tarafından altyapı sağlayıcısı (Google) ile akdedilen ve Kurul'a bildirilen standart sözleşme güvencesine dayanmaktadır.
İhale.AI, hizmetin sunumu için ileride farklı veya ek bir alt-işleyen (yurtdışı bulut sağlayıcı) kullanmak isterse bu değişikliği Kullanıcı'ya makul bir süre öncesinde yazılı veya elektronik yolla bildirir.
Madde 3 — KVKK Madde 9 Uyumu ve Standart Sözleşmeler (SCC)
Platform altyapısında kullanılan Google servislerinin veri merkezleri yurtdışında (Avrupa Birliği / Amerika Birleşik Devletleri) bulunmaktadır. Bu kapsamda İhaleAi:
Standart Sözleşme Beyanı: İhaleAi, KVKK Madde 9/2-b uyarınca Kişisel Verileri Koruma Kurulu'nun belirlediği "Standart Sözleşme" metnini Google ile akdetmiş olup söz konusu sözleşmeyi akdettiği tarihten itibaren 5 (beş) iş günü içinde Kurul'a bildirmiştir / bildirecektir.
Teknik Güvence: Aktarım münhasıran platformun temel işlevlerinin (AI destekli ihale araştırması) yerine getirilmesi amacıyla, şifrelenmiş (AES-256 / TLS 1.2+) bağlantılar üzerinden gerçekleştirilmektedir.
Model Eğitimi Yasağı: Google Cloud ve Google AI altyapılarında "Data Sharing / Use My Data for Product Improvement" seçeneği kapalı tutulmaktadır.
Madde 4 — Kullanıcı'nın (Veri Sorumlusunun) Beyan ve Taahhütleri
Kullanıcı, "Akıllı Sorgu" arayüzüne girdiği metinlerde, ihale parametrelerinde veya arama terimlerinde üçüncü şahıslara ait kişisel veriler (isim, TCKN vb.) veya özel nitelikli kişisel veriler (ceza mahkûmiyeti, sağlık verisi vb.) bulunması hâlinde:
- Bu verileri İhaleAi sistemine girmeden önce KVKK Madde 5 ve 6'da sayılan hukuki işleme şartlarından en az birine sahip olduğunu (açık rıza, sözleşme ifası, meşru menfaat vb.) ve söz konusu kişisel verilerin sisteme girilmesinin hukuka uygun olduğunu,
- İhaleAi'ın bu veriler bakımından yalnızca teknik altyapıyı işleten konumda olduğunu ve söz konusu verilerin Google Cloud/AI sunucularına aktarımından doğabilecek üçüncü taraf taleplerine ilişkin hukuki sorumluluğun münhasıran kendisine ait olduğunu,
- Üçüncü taraflara ait verilerin sisteme girilmesinden doğacak KVKK idari para cezaları ve tazminat taleplerinden İhaleAi'ı beri kılmayı,
kabul ve taahhüt eder.
Madde 5 — Model Eğitimi Yasağı ve Veri Gizliliği
İhaleAi, Kullanıcı İçeriği'nin ve sisteme girilen ihale sorgularının gizliliğini en üst düzeyde korur. Kullanıcı verileri ve sistem içi sorgular hiçbir surette Google AI veya diğer yapay zeka modellerinin genel eğitimi (model training) ya da iyileştirilmesi amacıyla kullanılamaz. İhaleAi, altyapı sağlayıcısı (Google) nezdinde bu yöndeki veri paylaşım izinlerini kapalı tutmayı taahhüt eder ve bu durumu periyodik olarak denetler.
Madde 6 — Protokol'ün Sona Ermesi
Bu Protokol, B2B Hizmet ve Kullanım Sözleşmesi'nin sona ermesiyle birlikte kendiliğinden sona erer. Sözleşme'nin sona ermesi hâlinde İhaleAi, Kullanıcı'ya ait verileri aktif sistemlerden derhal kaldırır ve yedekleme sistemlerinden 90 gün içinde temizler; yasal saklama süreleri saklıdır.