Her bölgenin, üretimde LLM kullanan bir SaaS'ın verileri nasıl işlemesi gerektiğine ilişkin farklı kuralları vardır. Bu rehber, pratik bir yol haritasıdır — her düzenleyicinin gerçekte ne istediği, Kunavo'nun ne sağladığı ve sağlamadığı ve sizin tarafınızda hâlâ ne yapmanız gerektiği. Bu hukuki danışmanlık değildir (bunun için bir avukata danışın), ancak çoğu mühendislik ekibinin gerçekten ihtiyaç duyduğu operasyonel kontrol listesidir.
Evrensel dört madde — her yerde geçerlidir
- LLM upstream'lerine göndermeden önce PII'yi takma adlandırın — ham adları, e-posta adreslerini, telefon numaralarını ve hesap numaralarını asla üçüncü bir tarafa göndermeyin. Sabit token'larla maskeleyin, yerel olarak geri yükleyin
- Kişisel verileri işleyen her işlemciyle bir DPA / veri işleme sözleşmesi imzalayın. Kunavo böyle bir sözleşme sunmaz — istekler ABD'de işlenir ve üst sağlayıcılara iletilir — bu nedenle LLM çağrılarını kapsayan bir DPA için doğrudan model sağlayıcısıyla (Anthropic, OpenAI veya Google kurumsal şartları) sözleşme yapın
- Bir denetim izi tutun — istek kimliği, kullanılan model, istem özeti, token sayıları, zaman damgası. Günlükler, silme hakkı talepleri için silinebilir olmalıdır
- Gizlilik politikanızı güncelleyin — AI işlemeyi açıkça belirtin, alt işleyenleri (Kunavo + upstream sağlayıcılar) listeleyin
Bölgeye özgü gereklilikler
🇪🇺 Avrupa Birliği — GDPR (genel)
- Her işlemciyle Madde 28 DPA — Kunavo böyle bir sözleşme sunmaz; LLM çağrıları için doğrudan model sağlayıcısıyla (Anthropic, OpenAI veya Google kurumsal şartları) sözleşme yapın
- ABD merkezli üst sağlayıcılara (Anthropic, OpenAI) aktarımlar için Standart Sözleşme Maddeleri (SCC) — sağlayıcının kendi DPA'sıyla birlikte gelir; Kunavo'nun AB bölgesi yoktur ve istekleri ABD'de işler
- LLM'ye özgü amaçlar da dahil olmak üzere işleme faaliyetleri kayıtları (Madde 30)
- Tasarımdan itibaren gizlilik — takma adlandırma, veri minimizasyonu, amaçla sınırlama
- Bir güvenlik olayı AB'deki kişileri etkilerse 72 saatlik ihlal bildirim süresi
🇩🇪 Almanya — DSGVO + Impressum + DDG
Almanya, GDPR'ın üzerine ek gereklilikler getirir:
- Impressum (§ 5 DDG / § 18 MStV) — işletmeci kimliğini, adresini, iletişim bilgilerini ve denetim makamını yayımlayın. Almanya'yı hedefleyen siteler için zorunludur. Kunavo'nun kendi Impressum'u /legal/impressum adresindedir
- “Zorunlu olmayan” veri işleme için daha sıkı rıza (çerez rızası, analiz)
- B2B satışlarda: AB içindeki işlemlerde tersine ücretlendirme kuralları geçerlidir. Kunavo'nun standart ödeme sayfası KDV'yi göstermez ve KDV numarası toplamaz; muhasebe belgesi için contact@kunavo.com adresine yazın
DSGVO-konformer LLM-Einsatz, PII maskeleme kodu içeren Almanca kapsamlı incelemedir.
🇫🇷 Fransa — RGPD + AI egemenliği endişeleri
- RGPD, GDPR'dır; aynı Madde 28 DPA'sı geçerlidir
- CNIL, yaptırım makamıdır; sağlık ve finans alanlarında daha yakından inceleme bekleyin
- Hassas sektörler için (kamu, sağlık, savunma) yalnızca AB yönlendirmesini değerlendirin — örneğin doğrudan sözleşme yapılan Mistral; Kunavo'nun AB bölgesi yoktur ve yalnızca AB yönlendirmesi sunmaz
- Fransız tüketicilere hizmet veriliyorsa gizlilik politikası Fransızca olmalıdır
Fransızca kapsamlı inceleme için Conformité RGPD pour LLM en France.
🇯🇵 Japonya — APPI + tokutei-shoutorihiki
- 特定商取引法 (Belirli Ticari İşlemler Yasası): satıcı bilgilerini, iade politikasını ve ödeme yöntemlerini yayımlayın. Japonya'daki B2C için zorunludur. Kunavo'nun sayfası: /legal/tokutei-shoutorihiki
- APPI (Kişisel Bilgilerin Korunması Yasası) — Kunavo veri işleme sözleşmesi imzalamaz; LLM işleme süreçlerini kapsayan bir sözleşme için doğrudan model sağlayıcısına başvurun
- ABD/AB upstream'lerine sınır ötesi aktarım için rıza veya sözleşme gerekir
🇰🇷 Güney Kore — PIPA
- Kore Kişisel Bilgilerin Korunması Yasası — dünya genelindeki en sıkı yasalardan biri
- Toplama ve sınır ötesi aktarım için açık rıza
- Koreli kullanıcılara hizmet veriliyorsa Korece gizlilik bildirimi
🇧🇷 Brezilya — LGPD + fintech için BACEN
- LGPD (Lei Geral de Proteção de Dados) yapısal olarak GDPR'ı yansıtır
- PIX / ödeme kullanım senaryoları için operasyonel riskle ilgili BACEN Genelgeleri 4.018 + 3.978 geçerlidir — model kararlarını belgeleyin, itiraz olanağı sağlayın
- Direito ao esquecimento (Madde 17) — günlükleriniz silinebilir olmalıdır
Claude para análise de risco PIX no Brasil, özellikle LGPD + BACEN'i ele alır.
🇹🇷 Türkiye — KVKK
- Kişisel Verilerin Korunması Kanunu (KVKK) — DPA yapısı GDPR'a benzer
- Yabancı veri aktarımı için açık rıza veya KVKK tarafından onaylanmış güvenlik önlemleri gerekir
- Veri sorumlusu, işleme eşikleri aşılırsa KVKK'ya kaydolmalıdır
Sıfır Veri Saklama (ZDR) — ne zaman ihtiyacınız olur?
Varsayılan olarak Anthropic, kötüye kullanım izleme amacıyla istemleri 30 gün; Google ise 60 gün boyunca kaydeder. Yüksek hassasiyetli iş yükleri için (sağlık, finans, kamu, AB kamu sektörü) model sağlayıcıları kendi kurumsal şartları kapsamında ZDR sunar. Kunavo ZDR sunmaz; bu nedenle bunların her biri sağlayıcıyla doğrudan yapılacak bir sözleşmedir:
- Anthropic ZDR: Anthropic kurumsal müşterileri için. Anthropic istemleri tamamlandıktan sonraki 30 saniye içinde siler; eğitim yapılmaz ve sözleşmeye dayalı taahhüt vardır
- Google Vertex AI ZDR + AB bölgesi: europe-west1 (Belçika) veya europe-west4 (Hollanda) yönlendirmesi, veriler AB'de kalır, ZDR kullanılabilir
- OpenAI ZDR: yalnızca Enterprise katmanı
Kunavo üzerinden gönderilen istekler ABD'de işlenir ve kendi veri saklama politikaları geçerli olan üst sağlayıcılara iletilir; Kunavo onlar için ZDR'yi veya AB bölgesi yönlendirmesini etkinleştiremez. Bu seçeneklerden birine ihtiyaç duyan bir iş yükü, model sağlayıcısıyla doğrudan yapılmış bir sözleşme kapsamında olmalıdır.
Kunavo'nun sağladıkları ve sizin tarafınızda kalanlar
| Sorumluluk | Kunavo | Siz |
|---|---|---|
| Model sağlayıcısıyla DPA | Sunulmuyor | ✓ (sağlayıcıyla doğrudan sözleşme) |
| İstemlerde PII takma adlandırma | ✓ | |
| İstek düzeyinde denetim günlükleri | ✓ (Kunavo tarafı) | ✓ (sizin tarafınız) |
| ZDR veya AB bölgesi yönlendirmesi | Sunulmuyor | ✓ (sağlayıcının kurumsal şartları) |
| Alt işleyenlerden bahseden gizlilik politikası | ✓ | |
| Verilerinizde silme hakkı | ✓ | |
| Yükleme için muhasebe belgesi | contact@kunavo.com adresine yazın |
30 dakikalık denetim kontrol listesi
- LLM çağrıları için DPA'ya mı ihtiyacınız var? Kunavo böyle bir sözleşme imzalamaz — doğrudan model sağlayıcısıyla (Anthropic, OpenAI veya Google kurumsal şartları) sözleşme yapın
- Her LLM çağrısından önce PII takma adlandırma adımı ekleyin (şablon kodu bölgeye özgü kapsamlı incelemelerde)
- Denetim günlüğünüzün request_id, prompt_hash, model, tokens, timestamp alanlarını kaydettiğini ve silinebilir olduğunu doğrulayın
- Gizlilik politikasını güncelleyin: "Kunavo" + upstream sağlayıcıları alt işleyenler olarak listeleyin, amaçlardan (sınıflandırma, üretim vb.) bahsedin
- Bölgeye özgü bildirimleri yayımlayın: Impressum (DE), tokutei-shoutorihiki (JP) — Kunavo'nun /legal adresindeki kendi bildirimleri formatı gösterir
- Hassas bir sektör söz konusuysa: ZDR'yi doğrudan model sağlayıcısıyla düzenleyin (Kunavo bunu sunmaz)
- Aylık inceleme sıklığı belirleyin — düzenlemeler ve tedarikçiler değişir; denetim günlüğünüzün saklama süresinin ayarlanması gerekebilir
Panik yapmayın ama atlamayın
Özel kategori verileri olmayan çoğu B2C SaaS için evrensel dört unsur ve güncel bir gizlilik politikası sizi işin %95'ine ulaştırır. Kalan %5 — sektöre özgü bildirimler, ZDR ve egemen üst sağlayıcılar — ölçek büyüttüğünüzde veya düzenlemeye tabi sektörlere girdiğinizde devreye girer.
Sık sorulan sorular
Kunavo bir DPA (veri işleme sözleşmesi) imzalıyor mu?
Hayır. Kunavo, GDPR Madde 28 veri işleme sözleşmesi, Standart Sözleşme Maddeleri veya AB'de veri yerleşimi sunmaz. İstekler ABD'de işlenir ve içeriğe ne yaptıklarını kendi gizlilik ve veri saklama politikaları belirleyen üst model sağlayıcılarına iletilir. DPA'ya ihtiyaç duyan bir ekip, Anthropic, OpenAI veya Google kurumsal şartları kapsamında doğrudan model sağlayıcısıyla sözleşme yapmalıdır.
LLM sağlayıcıları istemleri varsayılan olarak ne kadar süre saklar?
Varsayılan olarak Anthropic, kötüye kullanım izleme amacıyla istemleri 30 gün; Google ise 60 gün boyunca kaydeder. Sıfır Veri Saklama bu süreyi ortadan kaldırır, ancak doğrudan her model sağlayıcısıyla düzenlenmesi gerekir; Kunavo bunu sunmaz.
LLM API çağrıları için Sıfır Veri Saklama'yı (ZDR) nasıl edinirim?
Doğrudan model sağlayıcısıyla sözleşme yapın: Kunavo, üzerinden gönderilen istekler ABD'de işlenip kendi saklama politikaları kapsamında üst sağlayıcılara iletildiği için Sıfır Veri Saklama sunmaz. Anthropic, kurumsal müşterilerine ZDR sunar ve ardından istemleri tamamlanmadan sonraki 30 saniye içinde siler; eğitim yapılmaz ve sözleşmeye dayalı taahhüt vardır. Google Vertex AI, europe-west1 (Belçika) veya europe-west4'e (Hollanda) AB bölgesi yönlendirmesiyle ZDR sunar. OpenAI ZDR yalnızca Enterprise katmanında kullanılabilir.
Bir LLM özelliğini kullanıma sunmak için gereken asgari uyumluluk çalışması nedir?
Her bölgede dört şey geçerlidir: PII'yi bir LLM upstream'ine ulaşmadan önce takma adlandırın, bir veri işleme sözleşmesi imzalayın, silme hakkı talepleri için silinebilecek bir denetim izi (istek kimliği, model, istem özeti, token sayıları, zaman damgası) tutun ve gizlilik politikasını AI işleme faaliyetlerini belirtecek ve alt işleyenleri listeleyecek şekilde güncelleyin. Özel kategori verisi olmayan çoğu B2C SaaS için bu dört unsur ve bir DPA, gerekliliklerin yaklaşık %95'ini karşılar.
Bir AI ürünü için hangi ülkeler GDPR'ın ötesinde bildirimler gerektirir?
Almanya, § 5 DDG / § 18 MStV uyarınca bir Impressum gerektirir. Japonya, B2C için satıcı kimliğini, iade politikasını ve ödeme yöntemlerini yayımlayan bir 特定商取引法 bildirimi gerektirir. Güney Kore'nin PIPA'sı, Korece bir gizlilik bildirimi ve sınır ötesi aktarım için açık rıza gerektirir. Brezilya'nın LGPD'si, PIX ve ödeme kullanım senaryoları için BACEN 4.018 ve 3.978 Genelgelerini ekler. Türkiye'nin KVKK'sı, yurt dışına veri aktarımı için açık rıza veya KVKK tarafından onaylanmış güvenceler gerektirir.