1. Giriş ve kapsam
Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun" veya "KVKK") m.10 ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (R.G. 10.03.2018, S. 30356) hükümleri uyarınca, veri sorumlusu sıfatıyla bufis.net ("Şirket", "biz") tarafından hazırlanmıştır.
İşbu metin; bufis.net alan adı üzerinden sunulan fiş ve gider yönetimi hizmetinin ("Hizmet") kullanıcıları ile Hizmet'e bağlı olarak kişisel verisi işlenen ilgili kişileri kapsar. Metin, ilgili kişileri KVKK kapsamındaki hakları ve veri işleme faaliyetlerimiz hususunda bilgilendirme amacını taşır ve başkaca bir sözleşme veya taahhüt hükmü teşkil etmez.
Bu metin, Şirket'in Gizlilik Politikası, Çerez Politikası ve Kullanım Koşulları ile birlikte değerlendirilir. Yurt dışına veri aktarımına ilişkin açık rızanızın alındığı hallerde ayrıca Açık Rıza Metni esas alınır.
2. Tanımlar
- Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- Özel nitelikli kişisel veri: KVKK m.6'da sayılan; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.
- İşleme: Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafazası, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, sınıflandırılması veya kullanılmasının engellenmesi gibi her türlü işlem.
- İlgili kişi: Kişisel verisi işlenen gerçek kişi.
- Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi.
- Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak, veri sorumlusu adına kişisel veri işleyen gerçek veya tüzel kişi.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
3. İşlenen kişisel veriler
Hizmet kapsamında, veri sorumlusu sıfatıyla aşağıdaki kişisel veri kategorileri işlenebilmektedir. İşleme, hizmetin niteliği ve ilgili kişinin Hizmet'i kullanım biçimine göre değişiklik gösterebilir:
3.1. Kimlik ve iletişim verileri
Ad, soyad, e-posta adresi, isteğe bağlı olarak telefon numarası ve hesap tercihleri (dil, saat dilimi).
3.2. Müşteri işlem verileri
Kullanıcının yüklediği fiş görselleri ve bu görsellerden çıkartılan kayıtlar (satıcı/işletme adı, fiş tarihi, toplam tutar, KDV, ödeme yöntemi, ürün/hizmet kalemleri), gider kategorileri ve Hizmet üzerinde oluşturulan raporlar.
3.3. İşlem güvenliği verileri
IP adresi, oturum ve erişim kayıtları, cihaz/tarayıcı bilgileri, hata ve güvenlik kayıtları; 5651 sayılı Kanun kapsamında tutulması zorunlu erişim kayıtları.
3.4. Finansal veriler (ücretli plan kullanılması hâlinde)
Ücretli plan satın alınması durumunda; abonelik ve fatura bilgileri ile ödeme işlemine ilişkin veriler, ödeme kuruluşu PayTR (ödeme hizmet sağlayıcısı) nezdinde işlenir. Kamuya açık alanda kullanılan kart numarası gibi veriler tarafımızca saklanmaz; bu veriler ilgili ödeme kuruluşu tarafından kendi mevzuatı çerçevesinde işlenir.
3.5. Çerez ve analitik verileri
Hizmet'in kullanımına ilişkin çerez tabanlı veriler; bu kapsamda Google LLC tarafından sağlanan Google Analytics (kullanım analizi), Google reCAPTCHA (güvenlik/doğrulama) ve Google AdSense (reklam gösterimi) hizmetlerine bağlı olarak oluşan veriler. Ayrıntılar için Çerez Politikası incelenmelidir.
Özel nitelikli kişisel veri: Hizmet, KVKK m.6 kapsamındaki özel nitelikli kişisel verilerin işlenmesini gerektirmez ve bu veriler özel nitelikli olarak işlenmez. Kullanıcı, yüklediği içeriklere üçüncü kişilere ait veriler dâhil etmemekle yükümlüdür.
4. Kişisel veri işleme amaçları
Kişisel verileriniz, KVKK m.5 ve m.6'da öngörülen işleme şartlarına uygun olarak aşağıdaki amaçlarla işlenir:
- Üyelik ilişkisinin kurulması, hesap oluşturulması, kimlik doğrulama ve hesap yönetimi.
- Fişlerin dijitalleştirilmesi, gider kayıtlarının oluşturulması, kategorilendirilmesi, raporlanması ve dışa aktarılması.
- Ekip hesaplarının, üyelik rollerinin ve erişim yetkilerinin yönetilmesi.
- Talep ve destek başvurularının karşılanması, hizmet iletişiminin sağlanması.
- Hizmet güvenliğinin, bilgi güvenliğinin sağlanması; yetkisiz erişimin ve sahteciliğin önlenmesi (ör. reCAPTCHA).
- Hizmet kullanımının analiz edilmesi, performansın ölçülmesi ve Hizmet'in geliştirilmesi.
- Ödeme ve faturalandırma süreçlerinin yürütülmesi, finans ve muhasebe işlemleri.
- Reklam ve tanıtım faaliyetlerinin yürütülmesi (açık rıza verilmesi hâlinde).
- Yasal yükümlülüklerin yerine getirilmesi, yetkili kurum ve kuruluşlara bilgi verilmesi.
- Uyuşmazlıkların yönetimi ve hukuki süreçlerin yürütülmesi.
5. Kişisel veri işlemenin hukuki sebepleri
Kişisel verileriniz, aşağıda belirtilen hukuki sebeplere dayanılarak işlenir:
- KVKK m.5/2-a (Kanunlarda açıkça öngörülmesi) ve m.5/2-ç (Hukuki yükümlülüğün yerine getirilmesi): 5651 sayılı Kanun kapsamında erişim kayıtlarının tutulması, mevzuat gereği saklama ve bildirim yükümlülükleri.
- KVKK m.5/2-ç (Sözleşmenin kurulması veya ifası): Üyelik sözleşmesinin kurulması ve Hizmet'in sunulması kapsamındaki işlemeler.
- KVKK m.5/2-f (Meşru menfaat): Hizmet güvenliği, sahteciliğin önlenmesi, hizmet kalitesinin ve performansın ölçülmesi; meşru menfaatimizin ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi kaydıyla.
- KVKK m.5/1 (Açık rıza): Yurt dışına veri aktarımı, reklam/pazarlama amacıyla çerez kullanımı ve kişiselleştirilmiş reklam faaliyetleri gibi, yukarıdaki şartların kapsamına girmeyen işleme faaliyetleri.
6. Kişisel verilerin aktarılması
Kişisel verileriniz, KVKK m.8 ve m.9 ile yürürlükteki mevzuata uygun olarak ve yalnızca aşağıdaki amaçlarla sınırlı olmak üzere aktarılabilir:
- Altyapı ve hizmet sağlayıcıları: Barındırma (hosting), e-posta gönderimi, hata izleme ve benzeri teknik hizmetlerin sağlanması amacıyla, sözleşmesel gizlilik ve veri güvenliği yükümlülükleri altında.
- Ödeme kuruluşu: Ücretli plan ödemesinin işlenmesi amacıyla PayTR'ye aktarılır.
- Google LLC (yurt dışı): Kullanım analizi (Analytics), güvenlik ve doğrulama (reCAPTCHA) ve reklam (AdSense) hizmetleri kapsamında; bu aktarım için BKZ. Madde 7 ve alınan açık rıza.
- Yetkili kamu kurum ve kuruluşları, mahkemeler: Yasal yükümlülükler çerçevesinde ve talep hâlinde.
- Hukuk, mali müşavir ve denetim hizmetleri: Uyuşmazlık yönetimi ve yasal yükümlülükler kapsamında.
Kişisel verileriniz, ticari amaçla üçüncü kişilere satılmaz veya kiralanmaz.
7. Kişisel verilerin yurt dışına aktarılması ve açık rıza
Hizmet'in barındırma altyapısı ile Google (reCAPTCHA, Analytics, AdSense) gibi hizmet sağlayıcıları, sunucularının yurt dışında bulunması nedeniyle kişisel verileriniz yurt dışına aktarılabilmektedir. Bu aktarım, KVKK m.9 ile Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik hükümlerine uygun olarak gerçekleştirilir.
Yurt dışına aktarım için mevzuatta öngörülen uygun güvencelerden birinin sağlanamadığı hâllerde, ilgili kişinin açık rızası alınır. Açık rızanızı dilediğiniz zaman geri çekebilirsiniz; ancak bu geri çekme, Hizmet'in bir kısmının veya tamamının sunulamaması sonucunu doğurabilir. Açık rıza metni işbu Aydınlatma Metni'nden ayrı olarak sunulur.
8. Kişisel verilerin toplanma yöntemi
Kişisel verileriniz; kayıt ve giriş formları, Hizmet içi kullanım, yüklediğiniz fiş görselleri, destek talep kanalları ve Hizmet'in sunulması sırasında tarayıcı/cihaz üzerinden otomatik yollarla (çerezler ve benzeri teknolojiler dâhil) elektronik ortamda toplanır.
9. Saklama süreleri ve imha
Kişisel verileriniz, işleme amacının gerektirdiği süre ve ilgili mevzuatta öngörülen azami süre boyunca saklanır. Saklama süresinin sona ermesi hâlinde veriler, KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir. Esas alınan süreler aşağıdaki gibidir:
- Hesap ve kimlik verileri: Üyelik devam ettiği sürece; üyeliğin sona ermesini takiben, ilgili mevzuattaki saklama yükümlülükleri saklı kalmak kaydıyla makul süre.
- Fiş ve gider verileri: Kullanıcının veriyi silmesine veya hesabını kapatmasına kadar; silme talebi hâlinde derhâl.
- Erişim ve trafik kayıtları: 5651 sayılı Kanun ve ilgili yönetmelik gereği 2 (iki) yıl.
- Fatura ve ticari defterlere ilişkin veriler: 6102 sayılı Türk Ticaret Kanunu ve 213 sayılı Vergi Usul Kanunu gereği 10 (on) yıl.
- Çerez ve analitik verileri: Çerez Politikası'nda belirtilen süreler; azami 24 (yirmi dört) ay.
10. Kişisel veri güvenliğine ilişkin tedbirler
Şirket, KVKK m.12 uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alır. Bu kapsamda uygulanan başlıca tedbirler:
- Verilerin iletiminde ve saklanmasında şifreleme (SSL/TLS ve sunucu tarafı şifreleme).
- Erişim yetkilerinin rol bazlı sınırlandırılması, yetki matrisi ve erişim günlükleri.
- Düzenli yedekleme, sızma testleri ve güvenlik güncellemeleri.
- Kişisel verilere erişen personel için gizlilik taahhüdü ve farkındalık eğitimleri.
- Veri işleyen hizmet sağlayıcılarıyla gizlilik ve veri güvenliği yükümlülüğü içeren sözleşmeler.
11. İlgili kişinin KVKK m.11 kapsamındaki hakları
Kişisel verileri işlenen ilgili kişi olarak, KVKK m.11 uyarınca aşağıdaki haklara sahipsiniz:
- Kişisel verilerinizin işlenip işlenmediğini öğrenme.
- Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme.
- Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
- Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme.
- Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
- KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme.
- Düzeltme, silme ve yok etme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
- İşlenen verilerin münhasıran otomatik sistemler ile analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
- Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
Yukarıda sayılan haklarınıza ilişkin talepler, KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak tarafımıza iletilmelidir.
12. Başvuru yöntemi
İlgili kişiler, KVKK m.11 kapsamındaki taleplerini; yazılı olarak Şirket'e, Kayıtlı Elektronik Posta (KEP) sistemine veya [email protected] e-posta adresine iletebilir. Başvuruda;
- Ad, soyad ve başvuru yazılı ise imza,
- Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruk ve varsa pasaport numarası,
- Tebligata esas yerleşim yeri veya iş yeri adresi,
- Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
- Talep konusu
bilgilerine yer vermelidir. Talepler, niteliğine göre en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılır. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen tarife üzerinden ücret talep edilebilir.
13. Kişisel veri ihlali bildirimi
Şirket, işlediği kişisel verilerin hukuka aykırı olarak öğrenildiğini, paylaşıldığını veya ele geçirildiğini öğrendiği hâllerde, Veri İhlali Bildirimine İlişkin Usul ve Esaslar Hakkında Tebliğ uyarınca ihlali en kısa sürede ve her hâlükârda 72 (yetmiş iki) saat içinde Kişisel Verileri Koruma Kurulu'na bildirir; ilgili kişilere de en kısa sürede bilgi verir.
14. Değişiklikler ve yürürlük
Şirket, mevzuat değişiklikleri veya veri işleme faaliyetlerindeki değişiklikler doğrultusunda işbu Aydınlatma Metni'ni güncelleyebilir. Güncel sürüm ve yürürlük tarihi bu sayfada yayımlanır. Önemli değişikliklerde ilgili kişiler, uygun kanallar üzerinden ayrıca bilgilendirilir.
İşbu Aydınlatma Metni, yayımı tarihinde yürürlüğe girer.