KVKK Aydınlatma Metni

Sürüm 1.4 · Yürürlük: 16.10.2026 · Bu metin güncellenebilir; yürürlükteki sürüm bu sayfada yayımlanır.

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca kişisel verileriniz, veri sorumlusu sıfatıyla Merkez Grup Teknoloji ve Enerji Limited Şirketi (“Patronomi”, “Şirket”) tarafından aşağıda açıklanan kapsamda işlenmektedir.

• Unvan: Merkez Grup Teknoloji ve Enerji Limited Şirketi

• Adres: Özgürlük Mah. 210. Sk. No: 16/B Çayırova / Kocaeli

• Vergi Dairesi / VKN: İlyasbey / 6170901958

• İletişim: info@patronomi.com

2. İşlenen Kişisel Veri Kategorileri

Patronomi yapay zekâ destekli ön muhasebe ve finans yönetimi yazılım hizmetinin sunulabilmesi için aşağıdaki kişisel veriler işlenmektedir:

• Kimlik Bilgileri: ad ve soyadı, şirket unvanı, T.C. kimlik numarası, vergi kimlik numarası.

• İletişim Bilgileri: e-posta, telefon, adres, vergi dairesi, firma internet sitesi.

• Hesap ve İşlem Güvenliği Bilgileri: kullanıcı hesabı, oturum açma bilgileri, IP adresi, günlük (log) kayıtları, uygulama içi hareket kayıtları.

• Müşteri İşlem Bilgileri: kullanılan hizmet/abonelik bilgisi, talep ve şikâyet kayıtları, hizmet kullanım verileri (işlem adedi, kategori, etiket vb.).

• Finans / Mali Bilgiler: fatura ve fiş kayıtları, cari hesap bilgileri, banka hesap hareketleri ve ekstreleri, çek bilgileri, ödeme ve tahsilat kayıtları, stok kayıtları, vergi levhası ve mali müşavirlik bilgileri.

• Görsel Kayıtlar: uygulamaya yüklediğiniz belge görüntüleri (fatura, fiş, çek fotoğrafları) ve dilerseniz profil fotoğrafınız.

2.1. Özel nitelikli kişisel veriler (KVKK m.6)

Patronomi, kullanıcılarına ait özel nitelikli kişisel veri (sağlık, biyometrik veri, din, üyelik, ceza mahkûmiyeti vb.) işlemek üzere tasarlanmamıştır ve veri yapısında bu veriler için hiçbir alan bulunmamaktadır.

Ancak sistemde serbest metin alanları (fatura kalemi açıklaması, not alanları, destek mesajları, belge içerikleri) mevcuttur ve bu alanlara ne yazılacağı kullanıcının tercihindedir. Bu alanlara özel nitelikli kişisel veri girilmemesi gerekir; girilmesi hâlinde sorumluluk kullanıcıya aittir ve Şirketimiz bu veriler için ayrı/ek bir güvenlik tedbiri taahhüt etmez. Ayrıntı için Kullanım Şartları'na bakınız.

3. Kişisel Verilerin İşlenme Amaçları

• Üyelik ve hesap oluşturma, kimlik doğrulama, hesap yönetimi,

• Ön muhasebe ve finans yönetimi yazılım hizmetlerinin sunulması,

• Yüklenen belgelerin optik karakter tanıma (OCR) ile dijitalleştirilmesi ve işlenmesi,

• Banka hareketlerinin mutabakatı, finansal analiz, raporlama ve içgörü sunulması,

• Yapay zekâ destekli anomali tespiti, özet ve değerlendirme üretilmesi,

• Hizmet kullanım limitlerinin (kota) kontrolü ve limit aşımında bilgilendirme,

• Hizmet güvenliğinin sağlanması, hata/sorun tespiti ve giderilmesi, kötüye kullanımın önlenmesi,

• Talep, şikâyet ve destek süreçlerinin yürütülmesi,

• Yasal yükümlülüklerin (vergi ve ticaret mevzuatı) yerine getirilmesi,

• Abonelik ve ödeme süreçlerinin yürütülmesi (ödeme özelliği etkinleştirildiğinde).

4. İşlemenin Hukuki Sebepleri (KVKK md. 5)

• Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (hizmet sunumu),

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (vergi/ticaret mevzuatı),

• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (güvenlik, hata tespiti, kötüye kullanımın önlenmesi),

• Hizmetin sunulabilmesi için kullanılan bulut ve yapay zekâ hizmet sağlayıcılarına (barındırma, e-posta iletimi, hata izleme ve yapay zekâ sağlayıcıları) sistemsel aktarım bakımından açık rıza. Güncel sağlayıcı listesi, Hizmet’in /yasal sayfasında yayımlanan Veri İşleme Sözleşmesi’nin EK-1 bölümünde yer alır.

5. Kişisel Veri Toplama Yöntemi

Kişisel verileriniz; uygulama ve internet sitesi üzerinden (kayıt formu, hizmet kullanımı, belge yükleme), e-posta ve elektronik iletişim kanalları, destek talepleri ve sair elektronik ortamlar aracılığıyla, tamamen veya kısmen otomatik yollarla toplanmaktadır.

6. Kullanıcının Kendi Müşterilerine Ait Veriler (Veri İşleyen İlişkisi)

Patronomi hizmetini kullanarak kendi müşterilerinize veya üçüncü kişilere ait kişisel verileri (cari hesap, fatura vb.) sisteme kaydetmeniz ya da işlemeniz hâlinde, bu veriler bakımından veri sorumlusu sizsiniz; Şirketimiz veri işleyen konumundadır. Söz konusu üçüncü kişileri KVKK kapsamında aydınlatmak ve gerektiğinde açık rızalarını almak sizin sorumluluğunuzdadır. Şirketimizin bu kişilere karşı veri sorumlusu yükümlülüklerinden doğan bir sorumluluğu bulunmamaktadır.

7. Kişisel verilerin aktarıldığı taraflar (KVKK m.8)

Kişisel verileriniz, aşağıdaki alıcılarla ve yalnızca ilgili amaçla sınırlı olarak paylaşılır. Sağlayıcı adları, metnin yürürlük tarihi itibarıyla fiilen kullanılan hizmet sağlayıcılarıdır.

7.1. Mali müşavire otomatik gönderim

Ayarlar bölümünden "aylık paketi mali müşavirime otomatik gönder" seçeneğini açmanız hâlinde, her ay önceki döneme ait muhasebe paketi üretilir ve sizin girdiğiniz mali müşavir e-posta adresine otomatik olarak gönderilir. Bu seçenek varsayılan olarak kapalıdır; aktarımın alıcısını ve zamanlamasını siz belirlersiniz. Aktarımı istediğiniz zaman kapatabilirsiniz.

7.2. Alıcı listesinin güncelliği

Sağlayıcı eklenmesi veya değiştirilmesi hâlinde bu metin güncellenir ve güncel sürüm app.patronomi.com/yasal adresinde yayımlanır; esaslı değişiklikler uygulama içi bildirim ve/veya e-posta yoluyla önceden duyurulur.

Resmî belge gönderim entegrasyonları, bu metnin yürürlük tarihi itibarıyla üründe kapalıdır ve bu kapsamda hiçbir veri aktarımı yapılmamaktadır. Bu entegrasyonlar etkinleştirildiğinde alıcı listesi güncellenecek ve önceden duyurulacaktır.

8. Yurt dışına aktarım (KVKK m.9)

8.1. Verileriniz nerede saklanıyor

Patronomi'nin veritabanı, dosya kasası, kimlik doğrulama altyapısı ve yedekleri Avrupa Birliği / Frankfurt bölgesinde barındırılmaktadır. Uygulamanın sunucu fonksiyonları da Frankfurt bölgesinde çalışmaktadır.

Bunlara ek olarak, hizmetin felaket hâlinde geri getirilebilmesi amacıyla belge kasasının ve yedeklerin haftalık bir kurtarma kopyası, Patronomi'nin Türkiye'de bulunan kurumsal cihazında ve bu cihazla eşlenen Microsoft OneDrive bulut depolama hizmetinde tutulur. Bu kopya yalnızca kurtarma amacıyla saklanır; görüntüleme, analiz veya başka bir işleme amacıyla kullanılmaz.

Bunun yanında; e-posta iletimi (Resend), hata izleme ve uygulama günlükleri (Sentry) ve — rıza vermeniz hâlinde — yapay zekâ işleme hizmetleri (Anthropic, Google, OpenRouter, DeepSeek) ABD ve Çin dahil yurt dışında yerleşik sağlayıcılar üzerinden yürütülmektedir.

8.2. Aktarımın hukuki dayanağı

Yurt dışına aktarım, hesap açılışı sırasında verdiğiniz açık rızaya dayanmaktadır. Bu rıza:

• kayıt sırasında ayrı bir onay kutusu ile alınır,
• onaylanan metin sürümü, tarih, IP adresi ve tarayıcı bilgisiyle birlikte değiştirilemez biçimde kayıt altına alınır,
• yapay zekâ işlemeye ilişkin açık rızadan ayrı tutulur (tek bir onayda paketlenmez).

8.3. Bu rızanın geri alınması

Yurt dışında işlemeye ilişkin açık rıza, hizmetin teknik olarak sunulabilmesinin ön koşuludur: veriler Frankfurt'ta saklandığından, bu rıza olmadan hizmet sunulamaz. Bu nedenle söz konusu rızanın geri alınması, uygulamada hesabın kapatılması anlamına gelir; ürün içinde bu rızayı hizmeti sürdürerek geri alma imkânı bulunmamaktadır.

Buna karşılık yapay zekâ işlemeye ilişkin açık rıza her zaman ve tek başına geri alınabilir (bkz. §9.3).

9. Yapay zekâ özellikleri ve açık rıza

9.1. Varsayılan olarak kapalıdır

Yapay zekâ özellikleri varsayılan olarak kapalıdır. Ayrı ve açık bir rıza verilmedikçe hiçbir veri yapay zekâ sağlayıcılarına gönderilmez; bu kısıt yazılımın kendisinde teknik olarak zorunlu tutulmuştur (rıza yoksa yapay zekâ çağrısı hiç başlatılmaz).

9.2. Rızayı kim verir?

Yapay zekâ rızası, hesap düzeyinde bir tercihtir ve yalnızca hesap sahibi tarafından verilebilir veya geri alınabilir. Hesaba davet edilen kullanıcılardan bu konuda ayrıca rıza alınmaz; yapay zekâ özelliklerinin açık veya kapalı olması hesap sahibinin yetkisindedir.

Davet edilen kullanıcılar için bilgilendirme: Hesap sahibi yapay zekâ özelliklerini açtığında, bu özellikleri kullanan her kullanıcının uygulamaya girdiği içerik — asistan mesajları, yüklediği belgeler ve analiz metinleri dahil — §9.4'te açıklandığı biçimde yapay zekâ sağlayıcılarına aktarılır. Bu özellikleri kullanmak istemiyorsanız ilgili ekranları kullanmamanız veya hesap sahibinden özelliğin kapatılmasını talep etmeniz gerekir.

Hesabınıza girdiğiniz üçüncü kişilere ait verilerin yapay zekâ sağlayıcılarına aktarılması bakımından, bu kişilerin aydınlatılması ve gerekiyorsa rızalarının alınması veri sorumlusu olarak size aittir (bkz. §14).

9.3. Geri alma

Yapay zekâ rızasını Ayarlar → KVKK ve Veri bölümünden dilediğiniz an geri alabilirsiniz. Geri aldığınızda yeni hiçbir veri yapay zekâ sağlayıcılarına aktarılmaz ve yapay zekâ özellikleri devre dışı kalır. Programın diğer tüm temel özellikleri çalışmaya devam eder. Rıza kaydınız, ispat yükümlülüğü nedeniyle silinmez; yalnızca "geri alındı" olarak işaretlenir.

9.4. Yapay zekâya ne gönderilir?

• Belge okuma (OCR), çek okuma ve banka ekstresi içe aktarma özelliklerinde, yüklediğiniz belgenin/dosyanın tamamı ilgili sağlayıcıya iletilir. Belgede yer alan her şey (ad-soyad, kimlik ve vergi numaraları, IBAN, adres, imza, kaşe dahil) aktarılır.
• Asistan/sohbet özelliğinde, mesajınız ve asistanın sizin için çalıştırdığı sorguların sonuçları (cari kayıtları, fatura satırları, bakiyeler) sağlayıcıya iletilir.
• Analiz amaçlı özelliklerde (mutabakat, anomali radarı, denetleyici, yardım asistanı) gönderilen serbest metinlerde T.C. kimlik numarası, IBAN, e-posta adresi ve cep telefonu numarası maskelenir. Buna karşılık kişi/firma adları, unvanlar, vergi kimlik numarası, tutarlar, tarihler ve belge numaraları maskelenmez ve açık olarak aktarılır.

Bu nedenle verilerin yapay zekâ sağlayıcılarına tümüyle anonimleştirilerek veya maskelenerek gönderildiği yönünde bir beyanda bulunulmamaktadır.

9.5. Sağlayıcılar

Kullanılan yapay zekâ sağlayıcıları platform düzeyinde Şirketimiz tarafından belirlenir; kullanıcılar sağlayıcı seçemez. Metnin yürürlük tarihi itibarıyla kullanılan sağlayıcılar: Anthropic ve Google (doğrudan) ile ABD'de yerleşik OpenRouter aracı sağlayıcısı üzerinden erişilen DeepSeek (Çin Halk Cumhuriyeti), Google ve Anthropic modelleridir; bu sağlayıcıların altyapısı ABD ve Çin dâhil Türkiye dışındadır. Sağlayıcı değişikliği hâlinde §7.2 uyarınca bu metin güncellenir ve app.patronomi.com/yasal adresinde yayımlanır.

9.6. Model eğitimi ve saklama hakkında

Sağlayıcı seçiminde ve hesap yapılandırmalarında, verilerin saklanmaması ve model eğitiminde kullanılmaması yönündeki seçenekler tercih edilir. Bununla birlikte Şirketimiz, üçüncü taraf sağlayıcıların kendi altyapılarındaki saklama ve kullanım uygulamaları bakımından mutlak bir taahhütte bulunmamaktadır.

10. Çerezler, oturum yönetimi ve hata izleme

10.1. Çerezler

Uygulamada yalnızca hizmetin çalışması için zorunlu olan oturum çerezleri kullanılır. Bu çerezler oturumunuzu tanır ve güvenli tutar. Uygulamada pazarlama, reklam, profilleme veya üçüncü taraf analitik/izleme çerezi kullanılmamaktadır.

Çerez özellikleri:

• Yalnızca uygulama alan adına özgüdür (başka alan adlarına genişletilmez),
• Üretim ortamında yalnızca güvenli (HTTPS) bağlantı üzerinden iletilir,
• Hizmetin sunulabilmesi için zorunludur; uygulamada zorunlu olmayan çerez bulunmadığından ayrı bir çerez tercih paneli sunulmamaktadır.

10.2. Oturum güvenliği

• 60 dakika hareketsizlik sonunda oturumunuz otomatik olarak sonlandırılır (öncesinde uyarı gösterilir).
• Kimlik doğrulama altyapısı tarafında da bir hareketsizlik süresi uygulanır.
• Şifre yenilemeniz gereken durumlarda oturumunuz uygulamanın geri kalanından yalıtılır.

Bilgilendirme: Kullanılan kimlik doğrulama kütüphanesinin çalışma biçimi gereği oturum bilgisi tarayıcı betiklerinden okunabilir niteliktedir; oturum bilgilerinizin tarayıcı betiklerinden erişilemez olduğu yönünde bir taahhüt verilmemektedir.

10.3. Hata izleme ve uygulama günlükleri

Yazılım hatalarının teşhis edilmesi amacıyla üçüncü taraf bir hata izleme hizmeti (Sentry) kullanılmaktadır. Bu hizmete, hata kayıtlarının yanı sıra uygulama günlükleri de iletilmektedir. Bu kapsamda:

• IP adresi, çerez ve kullanıcı bilgilerinin otomatik gönderimi kapatılmıştır,
• ekran kaydı / oturum tekrarı (session replay) özelliği kullanılmamaktadır,
• performans izleme örneklemesi düşük bir oranda uygulanmaktadır.

Bilgilendirme: Buna rağmen, bir hata anında oluşan teknik günlük ve hata bağlamı içerisinde kişisel veri yer alabilir. Bu nedenle hata izleme sistemine hiçbir kişisel veri gönderilmediği yönünde mutlak bir beyanda bulunulmamakta; kişisel veri gönderiminin asgariye indirildiği ifade edilmektedir.

11. Otomatik sistemlerle analiz ve otomatik kararlar

11.1. Yapay zekâ önerileri: varsayılan olarak her zaman onayınıza sunulur

Yapay zekânın ürettiği tüm öneriler (fatura oluşturma, tahsilat kaydı, cari açma, belge okuma sonucu vb.) varsayılan olarak bir onay kuyruğuna düşer ve siz onaylamadan uygulanmaz. Belge okuma (OCR) sonuçları her koşulda onayınıza sunulur; bu yol otomatikleştirilemez.

11.2. Otomatik onay: siz açarsanız çalışır

Hesap sahibi veya yönetici, "otonomi eşiği" ayarını düşürerek veya otomasyon kuralları tanımlayarak belirli işlemlerin insan onayı olmadan uygulanmasını sağlayabilir. Bu ayar varsayılan olarak tamamen kapalıdır ve açılması tamamen sizin tercihinizdir.

Otomatik onay açıldığında, insan onayı olmaksızın gerçekleşebilecek işlemler arasında fatura oluşturma, kasa/banka hareketi kaydetme, çek kaydı, cari kartı açma ve müşterinize e-posta gönderilmesi bulunur. Tanımladığınız kurallar, işlemlerin otomatik reddedilmesine veya yapay zekânın önerdiği bir alanın kural tarafından değiştirilerek uygulanmasına da yol açabilir.

Bu nedenle otomatik onayı açmadan önce riskleri değerlendirmeniz ve otomatik üretilen kayıtları düzenli olarak kontrol etmeniz gerekir.

11.3. "Güven skoru" hakkında uyarı

Otomatik onay eşiğinde kullanılan güven yüzdesi, yapay zekânın kendi beyan ettiği bir göstergedir; ölçülmüş veya kalibre edilmiş bir doğruluk oranı değildir ve çıktının doğru olduğunu göstermez.

11.4. Otomatik işlemlerin izlenmesi ve geri alınması

Otomatik olarak onaylanan, reddedilen veya değiştirilen her işlem için gerekçe kaydedilir, size bildirim gönderilir ve denetim kaydı oluşturulur. Onay ekranından işlemleri inceleyebilir, düzelterek onaylayabilir veya reddedebilirsiniz.

Bilgilendirme: Halihazırda uygulanmış bir işlemi tek tuşla geri alan bir mekanizma bulunmamaktadır; hatalı bir kaydın düzeltilmesi ilgili kaydın elle düzenlenmesini veya iptal edilmesini gerektirir.

11.5. Hakkınızda doğrudan sonuç doğuran otomatik işlem

Hesabınızın abonelik süresinin dolması, askıya alınması veya kapatılması hâlinde, hizmete erişiminiz insan müdahalesi olmaksızın, tarih ve durum bilgisine dayalı olarak otomatik biçimde kısıtlanır. Bu, hakkınızda sonuç doğuran otomatik bir işlemdir ve KVKK m.11 kapsamındaki itiraz hakkınız saklıdır. Erişimin kısıtlandığı durumlarda dahi verilerinizi dışa aktarma hakkınız açık tutulmaktadır (bkz. §13.2).

11.6. Kullanıcı hakkında profil çıkarılması

Şirketimiz, kullanıcılarını (sizi) ticari amaçla profillemek, segmentlemek veya puanlamak üzere bir analiz yürütmemektedir.

Buna karşılık üründe, sizin kendi müşterilerinize yönelik bir değerlendirme özelliği bulunmaktadır: müşterilerinizin ödeme davranışına göre kural tabanlı bir puan ve segment (ör. "riskli", "VIP") üretilir. Bu işleme sizin ticari değerlendirmeniz olup, veri sorumlusu sizsiniz; Patronomi bu puanla kimseyi kara listeye almaz ve bu puanı başka bir amaçla kullanmaz. Ayrıntı için bkz. §14.

11.7. Kural tabanlı analiz yapay zekâ rızasına bağlı değildir

Müşteri puanlaması ve anomali tespiti gibi kural tabanlı/istatistiksel analizler yapay zekâ kullanmaz ve hizmetin ifası kapsamında, yapay zekâ rızasından bağımsız olarak çalışır. Yapay zekâ rızası yalnızca verilerin yapay zekâ sağlayıcılarına aktarılmasını kapsar.

12. Saklama süreleri, silme ve anonimleştirme (KVKK m.7)

12.1. Genel kural

Kişisel verileriniz, hesabınız açık olduğu sürece ve sonrasında mevzuatta öngörülen saklama ile zamanaşımı süreleri boyunca saklanır. Veri kategorileri bazındaki saklama süreleri, Şirketimizin Kişisel Veri Saklama ve İmha Politikasında belirlenir; bu politikanın yürürlükteki hâli app.patronomi.com/yasal adresinde yayımlanır.

12.2. Ürün içinde uygulanan somut süreler

Aşağıdaki kalemler, zamanlanmış görevlerle ve talebiniz olmaksızın silinir:

Diğer verileriniz nasıl silinir? Yukarıdaki beş kalem dışındaki veriler, sizin talebinizle veya hesabınızı kapatmanızla imha edilir:

• Talebiniz üzerine: §13'teki yollarla başvurduğunuzda, saklama süresi dolmuş verileriniz en geç otuz gün içinde imha edilir. Saklama süresi dolmadan yapılan talepler, mevzuattan doğan saklama yükümlülüğü bulunan kayıtlar bakımından karşılanamaz; bu durumda size gerekçe ve imha tarihi bildirilir.
• Hesap kapatmayla: §12.4'te sayılan alanlar, kapatma işlemi içinde tek seferde temizlenir.
• Kendi elinizle: Sildiğiniz kayıtlar çöp kutusuna taşınır ve 90 gün sonra hesap sahibi tarafından kalıcı olarak silinebilir (bkz. §12.3).

Bilgilendirme: Fatura, çek ve irsaliye görüntüleri, saklama ve zamanaşımı süreleri sona erene kadar sistemde kalmaya devam eder; "yüklediğiniz belgeler 30 gün sonra silinir" şeklindeki bir genelleme doğru değildir. Ayrıca bir kaydı silmeniz, o kayda bağlı belge dosyasının depodan kaldırılmasını kendiliğinden sağlamaz; dosyanın imhası talebiniz üzerine yapılır. Veri kategorileri bazındaki saklama süreleri, imha yöntemleri ve her kategorinin hangi olayla imha edildiği Kişisel Veri Saklama ve İmha Politikasında tablo hâlinde gösterilmiştir.

12.3. Çöp kutusu

Sildiğiniz kayıtlar çöp kutusuna taşınır. 90 günden eski kayıtlar hesap sahibi tarafından kalıcı olarak silinebilir. Bu, otomatik bir silme değildir: kalıcı silme işlemi yapılmadıkça kayıt çöp kutusunda kalmaya devam eder.

12.4. Hesabın kapatılması ve anonimleştirme

Ayarlar → KVKK ve Veri bölümünden hesabınızı kapatabilirsiniz. Bu işlem geri alınamaz. Kapatma sırasında:

• Cari kartlarındaki, çalışan kayıtlarındaki, firma ayarlarındaki ve çek kayıtlarındaki kişisel veri alanları maskelenir,
• Serbest metin notları, konuşma kayıtları ve asistan hafızası temizlenir,
• Bildirimler, cari IBAN ve yetkili kişi kayıtları, fatura paylaşım bağlantıları ve destek talepleri silinir,
• Davet kayıtlarındaki ad ve e-posta bilgileri boşaltılır.

Kapatma sonrasında saklanmaya devam eden veriler:

1. Mali kayıtların tutarları ve muhasebe kayıtları — mevzuattaki saklama yükümlülüğü gereği,
2. Yüklenmiş belge görüntüleri — mevzuattaki saklama yükümlülüğü gereği,
3. Denetim kayıtları — hesap verebilirlik ve hakkın korunması amacıyla; bu kayıtların içeriği değiştirilmez ve kayıtların geçmiş hâlleri, düzeltilmiş/silinmiş verilerin önceki değerlerini içerebilir,
4. Açık rıza kayıtları — ispat yükümlülüğü gereği (IP ve tarayıcı bilgisi dahil),
5. E-posta gönderim kayıtları, işletme yapılandırma notları ve bazı teknik kayıtlar,
6. Giriş/kimlik hesabınız — hesap kapatıldığında giriş engellenir; ancak kimlik doğrulama altyapısındaki kullanıcı kaydınız (giriş e-posta adresiniz) hukuki yükümlülük ve zamanaşımı süresi boyunca saklanır.

Bu nedenle "talebiniz üzerine tüm kişisel verileriniz silinir/imha edilir" şeklinde bir beyanda bulunulmamaktadır. Doğru ifade şudur: kişisel veri alanları anonimleştirilir/maskelenir; mali kayıtlar, belge görüntüleri ile denetim ve rıza izleri hukuki yükümlülük gereği saklanmaya devam eder.

12.5. Yedekler

Silme ve anonimleştirme işlemi canlı sistemde derhal uygulanır. Ancak veriler, işlemin yapıldığı tarihten önce alınmış yedek kopyalarda yedek saklama süresi (30 güne kadar) boyunca kalmaya devam eder ve bu süre dolduğunda kendiliğinden ortadan kalkar. Barındırma sağlayıcısının kendi yedekleme uygulaması ayrıca geçerlidir; kapsamı ve süresi sağlayıcının koşullarına tabidir.

12.6. "Tüm verimi sıfırla" işlemi hakkında

Ürün içindeki "tüm verimi sıfırla" işlemi bir kullanım kolaylığı özelliğidir ve KVKK anlamında bir imha talebi değildir; firma profili, vergi ayarları, denetim ve rıza kayıtları ile lisans/üyelik bilgileri bu işlemde korunur.

13. İlgili kişinin hakları (KVKK m. 11) ve başvuru yolu

KVKK md. 11 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluştuğunda silinmesini veya yok edilmesini ve bunun aktarılan taraflara bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhinize bir sonuç çıkmasına itiraz etme ve verilerin kanuna aykırı işlenmesi nedeniyle uğradığınız zararın giderilmesini talep etme haklarına sahipsiniz.

Hizmette yapay zekâ öneri ve analiz üretir; finansal kayıtlara etki eden işlemler varsayılan olarak Yetkili Kullanıcı onayıyla gerçekleştirilir. Hesap sahibinin ürün içindeki otomasyon ayarlarını değiştirmesi hâlinde bu davranış değişebilir; bu tercihin sonuçları Kullanım Şartları’nın 10.5 maddesinde düzenlenmiştir.

Taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak yazılı veya elektronik yollarla iletebilirsiniz; başvuru kanalları ve usul aşağıda §13.3'te gösterilmiştir.

13.2. Haklarınızı ürün içinden nasıl kullanabilirsiniz?

Bazı haklarınız uygulama içinden doğrudan ve ücretsiz olarak kullanılabilir:

Notlar:

• Dışa aktarma ve hesap kapatma işlemleri hesap sahibi tarafından yürütülür.
• Hesabınız askıya alınmış veya süresi dolmuş olsa dahi verilerinizi dışa aktarabilirsiniz: bu durumda yönlendirildiğiniz erişim kısıtlaması sayfasında yer alan "Verilerimi İndir" bağlantısını kullanabilirsiniz. Bağlantıya erişemiyorsanız talebinizi info@patronomi.com adresine iletmeniz hâlinde paketiniz ücretsiz olarak sağlanır.
• Hesap sahibi olmayan kullanıcılar (yönetici, üye, izleyici), kendilerine ait kişisel veriler bakımından taleplerini info@patronomi.com adresine iletebilir; bu talepler §13.3'teki usule göre karşılanır. Hesap sahibine sunulan dışa aktarım paketi firmanın tamamının verisini içerdiğinden bu kullanıcılara verilemez; kendilerine ait veriler ayrıca derlenerek iletilir.
• Tek bir pakette en fazla 2.000 belge yer alabilir; belge sayınız bunu aşarsa paketin bölümlenerek iletilmesi için info@patronomi.com adresinden bizimle iletişime geçmeniz gerekir. Bu durumda talebiniz ücretsiz olarak karşılanır.
• Dışa aktarma paketi, denetim kayıtlarını ve platform/faturalandırma kayıtlarını içermez; bunlara ilişkin bilgi talebinizi yazılı başvuru yoluyla iletebilirsiniz.

13.3. Yazılı başvuru

Taleplerinizi aşağıdaki yollarla iletebilirsiniz:

• E-posta: info@patronomi.com
• Yazılı başvuru: Merkez Grup Teknoloji ve Enerji Limited Şirketi — Özgürlük Mah. 210. Sk. No: 16/B Çayırova / Kocaeli

Başvurunuz, talebin niteliğine göre en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

13.4. Kimlik doğrulama

Başvurunuzun sizin tarafınızdan yapıldığının doğrulanabilmesi amacıyla, başvurunuzda hesabınızda kayıtlı e-posta adresini kullanmanız veya kimliğinizi tevsik edici bilgi sunmanız gerekebilir. Bu doğrulama, verilerinizin yetkisiz kişilere açıklanmasını önlemek amacıyla yapılır.

14. Hesabınıza girdiğiniz üçüncü kişi verileri

Hizmeti kullanırken müşterilerinize, çalışanlarınıza, tedarikçilerinize ve diğer üçüncü kişilere ait kişisel veriler (ad-soyad, T.C. kimlik numarası, vergi kimlik numarası, IBAN, ücret, adres, iletişim bilgileri, belge görüntüleri vb.) girebilir veya yükleyebilirsiniz.

Bu veriler bakımından:

1. Veri sorumlusu sizsiniz. Bu kişilere karşı aydınlatma yükümlülüğü, gerektiğinde açık rıza alınması ve KVKK m.11 taleplerinin karşılanması size aittir.
2. Patronomi veri işleyendir ve verileri yalnızca hizmetin sunulması amacıyla, sizin talimatınız doğrultusunda işler.
3. Yapay zekâ özelliklerini açmanız, otomatik onay kuralları tanımlamanız, mali müşavirinize otomatik gönderim kurmanız veya bir faturayı bağlantı ile paylaşmanız sizin talimatınızdır ve bu tercihlerin sonuçları size aittir.
4. Şirketimizin veri güvenliğine ilişkin KVKK m.12 yükümlülükleri bu rol ayrımından etkilenmez ve devam eder.
5. Bu ilişkinin ayrıntıları (talimat, alt işleyenler, güvenlik, ihlal bildirimi, iade ve imha) Veri İşleme Sözleşmesi (DPA) ile düzenlenir.

15. Veri güvenliği tedbirleri (KVKK m.12)

Aşağıda fiilen uygulanmakta olan tedbirler sayılmıştır:

• Kiracı yalıtımı: Her sorgu, oturumdan çözülen hesap kimliğiyle sınırlandırılır; hesap kimliği çözülemediğinde işlem reddedilir (hataya kapalı tasarım).
• Rol tabanlı erişim: Dört seviyeli yetki modeli (Sahip / Yönetici / Üye / İzleyici); yetkilendirme yalnızca arayüzde değil, sunucu tarafında zorunlu tutulur. Bilinmeyen rol hiçbir kapıdan geçemez.
• Belge kasası: Yüklenen belgeler herkese kapalı (private) depolamada, hesap bazlı yol yalıtımıyla saklanır; erişim yalnızca kısa ömürlü imzalı bağlantılarla mümkündür (kural olarak 15 dakika; mali müşavir paketi gibi büyük dosyalarda en çok 1 saat). Dosya türü ve boyutu sınırlandırılmıştır.
• Sırların şifrelenmesi: Entegrasyon ve sağlayıcı kimlik bilgileri AES-256-GCM ile şifrelenerek saklanır; şifreleme anahtarı veritabanında tutulmaz.
• Barındırma altyapısı düzeyinde şifreleme: Veritabanı ve dosya deposu, barındırma sağlayıcısının kendi disk düzeyi şifreleme uygulamalarına tabidir.
• Güvenli iletişim: Sizinle uygulama arasındaki iletişim HTTPS/TLS ile şifrelenir.
• Şifre politikası: Asgari uzunluk şartı uygulanır; parola sıfırlama akışı kullanıcı varlığını ele vermeyecek şekilde tasarlanmıştır.
• Kötüye kullanım koruması: İstek sınırlaması (rate limiting) uygulanır.
• Denetim kaydı: Veri üzerindeki değişiklikler ve dışa aktarma işlemleri kayıt altına alınır.
• Yetkili personel erişimi: Platform yönetici yetkisi, kiracı rollerinden ayrı bir yetki setidir ve kiracı rolleri üzerinden platform yöneticiliğine yükselmek mümkün değildir; bu erişim sınırlı ve kayıt altına alınmış biçimde yürütülür. Yetkili personel, teknik destek amacıyla kullanıcı e-posta adreslerini görüntüleyebilir. Personelin kullanıcı kimliğiyle hesabınıza giriş yapması (impersonation) özelliği üründe bulunmamaktadır. Buna karşılık, teknik destek amacıyla bir hesaba kullanıcı olarak eklenen platform personeli, o hesapta hesap sahibi düzeyinde yetkiye sahip olur.
• Güvenli geliştirme: Her kod değişikliği otomatik güvenlik denetimlerinden ve yalıtım/yarış-durumu testlerinden geçirilir; test ortamı üretim verisinden ayrıdır.
• İç güvenlik testleri: İç güvenlik testleri yapılır ve bulgular kalıcı otomatik denetimlere dönüştürülür.
• Yedekleme: Veriler günlük olarak yedeklenir ve yedekler 30 gün saklanır.

Taahhüt edilmeyenler:

• Bağımsız üçüncü taraf sızma testi yaptırılmamıştır; ISO 27001 / SOC 2 gibi bir sertifikasyon bulunmamaktadır.
• İki faktörlü kimlik doğrulama (2FA/MFA) özelliği bulunmamaktadır.
• Kurtarma süresi (RTO) veya azami veri kaybı (RPO) hedefi taahhüt edilmemektedir.
• Kullanıcıların salt-okuma erişimleri kayıt altına alınmamaktadır; denetim kaydı veri değişikliklerini ve dışa aktarmaları kapsar.
• Yüklediğiniz belge görüntüleri ile denetim kayıtları, uygulama yedeklemesinin kapsamı dışındadır; önemli belgelerin kendi kopyalarınızı da saklamanız önerilir.

Veri ihlali hâlinde: Şirketimizin veri sorumlusu sıfatıyla işlediği verileri (bu metnin konusu olan verileri) etkileyen bir ihlalin öğrenilmesi hâlinde, durum gecikmeksizin ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirilir.

Firmanızın sisteme girdiği üçüncü kişi verilerini etkileyen bir ihlalde ise Şirketimiz gecikmeksizin firmanızı bilgilendirir; bu verilere ilişkin olarak Kurul'a ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla firmanıza aittir (bkz. §14 ve Veri İşleme Sözleşmesi).

16. Metnin güncellenmesi ve yürürlük

1. Bu metin; mevzuattaki değişiklikler, hizmet kapsamının genişlemesi veya hizmet sağlayıcı değişiklikleri nedeniyle güncellenebilir. Yürürlükteki güncel metin her zaman app.patronomi.com/yasal adresinde yayımlanır.
2. Esaslı değişiklikler, yürürlüğe girmeden önce uygulama içi bildirim ve/veya e-posta yoluyla tarafınıza bildirilir.
3. Açık rızanızın kapsamını genişleten bir değişiklik yapılması hâlinde, değişiklik yürürlüğe girmeden önce tarafınıza bildirilir ve yeni kapsam için onayınız istenir.

17. Özet tablo