1. Giriş ve kapsam
Bu Gizlilik Politikası ("Politika"), bufis.net ("Şirket", "biz") tarafından sunulan fiş ve gider yönetimi hizmetine ("Hizmet") ilişkin olarak, kişisel verilerinizin nasıl toplandığını, kullanıldığını, aktarıldığını, saklandığını ve korunduğunu açıklar.
Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Türk Ticaret Kanunu, Vergi Usul Kanunu ve ilgili sair mevzuata uygun olarak hazırlanmıştır.
Bu Politika; KVKK Aydınlatma Metni, Çerez Politikası ve Kullanım Koşulları ile birlikte değerlendirilir. Metinler arasında çelişki bulunması hâlinde, kişisel verilerin işlenmesine ilişkin olarak KVKK mevzuatı öncelikli uygulanır.
2. Tanımlar
- Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- İşleme: Verilerin elde edilmesi, kaydedilmesi, depolanması, muhafazası, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması ve kullanılmasının engellenmesi dâhil her türlü işlem.
- Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi.
- Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
- Çerez: Web sitesinin tarayıcıda sakladığı küçük metin dosyası.
3. Topladığımız kişisel veriler
Hizmet'in sunulması amacıyla, aşağıdaki kişisel veri kategorileri işlenebilir:
3.1. Kimlik ve iletişim verileri
Ad, soyad, e-posta adresi, isteğe bağlı telefon numarası, dil ve saat dilimi tercihleri.
3.2. Müşteri işlem verileri
Yüklediğiniz fiş görselleri ve bunlardan çıkartılan kayıtlar (satıcı/işletme adı, fiş tarihi, toplam tutar, KDV, ödeme yöntemi, ürün/hizmet kalemleri), oluşturduğunuz gider kategorileri ve raporlar; ekip hesabı kullanımında ekip üyeliği ve rol bilgileri.
3.3. İşlem güvenliği ve teknik veriler
IP adresi, oturum ve erişim kayıtları, cihaz/tarayıcı bilgileri, hata kayıtları ve 5651 sayılı Kanun kapsamında tutulması zorunlu erişim kayıtları.
3.4. Finansal veriler
Ücretli plan satın almanız hâlinde; abonelik ve fatura bilgileri ile ödeme işlemine ilişkin veriler, ödeme kuruluşu PayTR nezdinde işlenir. Kart numarası gibi hassas ödeme verileri Şirket sistemlerinde saklanmaz.
3.5. Pazarlama ve analitik verileri
Çerezler ve benzeri teknolojiler yoluyla toplanan; Hizmet kullanımına, ziyaret istatistiklerine ve reklam gösterimine ilişkin veriler.
Özel nitelikli kişisel veri: Hizmet, KVKK m.6 kapsamındaki özel nitelikli kişisel verilerin işlenmesini gerektirmez. Kullanıcı, yüklediği fiş ve içeriklere üçüncü kişilere ait kişisel verileri dâhil etmemekle ve bu içeriklerin hukuka uygunluğundan bizzat sorumludur.
4. Kişisel verilerin toplanma yöntemi
Kişisel verileriniz, otomatik veya otomatik olmayan yollarla, aşağıdaki kanallar üzerinden toplanır:
- Kayıt, giriş ve hesap formları,
- Hizmet içi kullanım ve yüklediğiniz fiş görselleri,
- Destek, iletişim ve geri bildirim kanalları,
- Çerezler ve benzeri teknolojiler aracılığıyla tarayıcı/cihaz üzerinden otomatik toplama.
5. Kişisel verileri işleme amaçları
Kişisel verileriniz aşağıdaki amaçlarla işlenir:
- Üyelik, hesap oluşturma, kimlik doğrulama ve hesap yönetimi.
- Fişlerin dijitalleştirilmesi, gider kayıtlarının oluşturulması, raporlanması ve dışa aktarılması.
- Ekip hesapları, üyelik rolleri ve erişim yetkilerinin yönetimi.
- Talep ve destek başvurularının karşılanması.
- Hizmet ve bilgi güvenliğinin sağlanması, sahteciliğin ve kötüye kullanımın önlenmesi.
- Hizmet kullanımının analiz edilmesi, performans ölçümü ve Hizmet'in geliştirilmesi.
- Ödeme, faturalandırma ve finans-muhasebe süreçlerinin yürütülmesi.
- Reklam ve tanıtım faaliyetlerinin yürütülmesi (açık rıza verilmesi hâlinde).
- Yasal yükümlülüklerin yerine getirilmesi ve yetkili kurumlara bilgi verilmesi.
- Uyuşmazlık ve hukuki süreçlerin yönetimi.
6. İşlemenin hukuki sebepleri
Kişisel verileriniz, KVKK m.5 ve m.6'da öngörülen şartlara dayanılarak işlenir:
- KVKK m.5/2-a ve m.5/2-ç: Kanunlarda açıkça öngörülmesi ve hukuki yükümlülüğün yerine getirilmesi (ör. erişim kayıtlarının saklanması).
- KVKK m.5/2-ç: Sözleşmenin kurulması veya ifası için gerekli olması.
- KVKK m.5/2-f: Hizmet güvenliği, sahteciliğin önlenmesi ve hizmet kalitesinin ölçülmesi bakımından meşru menfaat.
- KVKK m.5/1 ve m.9: Yurt dışına aktarım, reklam/pazarlama çerezleri ve kişiselleştirilmiş reklam faaliyetleri için açık rıza.
7. Çerezler ve benzeri teknolojiler
Hizmet'te, oturum yönetimi, güvenlik, tercihlerin hatırlanması, kullanım analizi ve reklam gösterimi amacıyla çerezler ve benzeri teknolojiler kullanılır. Bunlar; zorunlu çerezler, tercih/performans çerezleri ve pazarlama çerezlerinden oluşur.
Zorunlu çerezler dışındaki çerezler, açık rızanıza bağlı olarak çalıştırılır. Çerezlerin türleri, amaçları, saklama süreleri ve tercihlerinizi nasıl yönetebileceğiniz konusunda ayrıntılı bilgi Çerez Politikası'nda yer alır.
8. Üçüncü taraf hizmet sağlayıcılar
Hizmet'in sunulması amacıyla aşağıdaki üçüncü taraf hizmetlerden yararlanılmakta olup, bu hizmetler kendi gizlilik politikalarına da tabidir:
- Google LLC — Google Analytics: Hizmet kullanımının ölçümlenmesi ve analiz edilmesi amacıyla.
- Google LLC — Google reCAPTCHA: Robot/kötüye kullanım tespiti ve güvenlik doğrulaması amacıyla.
- Google LLC — Google AdSense: Hizmet içinde reklam gösterimi amacıyla (açık rıza verilmesi hâlinde).
- PayTR: Ücretli plan ödemelerinin işlenmesi amacıyla.
- Barındırma (hosting) ve e-posta altyapısı sağlayıcıları: Hizmet'in çalıştırılması ve iletişimin sağlanması amacıyla.
Bu sağlayıcılar, verileri kendi gizlilik politikaları çerçevesinde ve çoğunlukla yurt dışındaki sunucularda işleyebilir. Bu durum Madde 10 kapsamında değerlendirilir.
9. Kişisel verilerin aktarılması
Kişisel verileriniz; yukarıda sayılan hizmet sağlayıcılarıyla, yasal yükümlülükler çerçevesinde yetkili kamu kurum ve kuruluşlarıyla, uyuşmazlık hâlinde mahkemeler ve yetkili mercilerle ve gerektiğinde hukuk/mali müşavir ve denetim hizmetleriyle, KVKK m.8 ve m.9'a uygun olarak paylaşılabilir. Kişisel verileriniz ticari amaçla üçüncü kişilere satılmaz veya kiralanmaz.
10. Kişisel verilerin yurt dışına aktarılması
Barındırma altyapısı ve Google (Analytics, reCAPTCHA, AdSense) gibi hizmet sağlayıcılarının sunucularının yurt dışında bulunması nedeniyle kişisel verileriniz yurt dışına aktarılabilmektedir. Bu aktarım, KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik hükümlerine uygun olarak yapılır.
Mevzuatta öngörülen uygun güvencelerden birinin sağlanamadığı hâllerde aktarım, ilgili kişinin açık rızası ile gerçekleştirilir. Açık rızanızı dilediğiniz zaman geri çekebilirsiniz; ancak bu, istisnai hâllerde Hizmet'in bazı işlevlerinin sunulamaması sonucunu doğurabilir.
11. Veri güvenliği
Şirket, KVKK m.12 uyarınca; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alır. Başlıca tedbirler:
- İletim ve saklama sırasında şifreleme (SSL/TLS, sunucu tarafı şifreleme).
- Rol bazlı erişim yetkilendirmesi ve erişim günlükleri.
- Düzenli yedekleme, güvenlik güncellemeleri ve sızma testleri.
- Personel için gizlilik taahhüdü ve farkındalık eğitimleri.
- Hizmet sağlayıcılarıyla gizlilik ve veri güvenliği sözleşmeleri.
Hiçbir sistem mutlak surette güvenli olmadığından, hesap şifrenizi güçlü tutmanızı ve kimseyle paylaşmamanızı öneririz.
12. Saklama süreleri ve imha
Kişisel verileriniz, işleme amacının gerektirdiği süre ve mevzuatta öngörülen azami süre boyunca saklanır. Süre sonunda veriler, ilgili Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir. Esas alınan süreler:
- Hesap ve kimlik verileri: Üyelik süresince ve üyeliğin sona ermesini takiben yasal saklama yükümlülükleri ölçüsünde.
- Fiş ve gider verileri: Kullanıcının silme talebine veya hesabın kapanmasına kadar.
- Erişim/trafik kayıtları: 5651 sayılı Kanun gereği 2 (iki) yıl.
- Fatura ve ticari kayıtlar: TTK ve VUK gereği 10 (on) yıl.
- Çerez/analitik verileri: Çerez Politikası'ndaki süreler; azami 24 (yirmi dört) ay.
13. Çocukların gizliliği
Hizmet, 18 yaşını doldurmamış kişilere yönelik değildir ve bu kişilerden bilerek kişisel veri toplanmaz. Bu kapsamda veri işlendiğinin tespiti hâlinde, ilgili veriler mevzuata uygun olarak silinir.
14. Üçüncü taraf bağlantılar
Hizmet, üçüncü taraf web sitelerine veya hizmetlere bağlantı içerebilir. Bu sitelerin gizlilik uygulamalarından ilgili üçüncü taraflar sorumludur; söz konusu sitelerin gizlilik politikalarının incelenmesini öneririz.
15. Haklarınız ve başvuru
KVKK m.11 kapsamındaki haklarınız ve başvuru yöntemi hakkında ayrıntılı bilgi KVKK Aydınlatma Metni'nde yer alır. Taleplerinizi [email protected] adresine veya Şirket'in resmî iletişim kanallarına iletebilirsiniz. Talepleriniz, niteliğine göre en geç 30 (otuz) gün içinde sonuçlandırılır.
16. Değişiklikler
Şirket, mevzuat veya Hizmet'teki değişiklikler doğrultusunda bu Politikayı güncelleyebilir. Güncel sürüm ve yürürlük tarihi bu sayfada yayımlanır. Önemli değişikliklerde kullanıcılar uygun kanallar üzerinden bilgilendirilir.
17. İletişim
Bu Politika ve kişisel verilerinizin işlenmesiyle ilgili sorularınız için [email protected] adresinden veya Şirket'in resmî iletişim kanallarından bize ulaşabilirsiniz.