Veri İşleme Sözleşmesi (DPA)

Sürüm 1.4 · Yürürlük: 16.10.2026 · Bu metin güncellenebilir; yürürlükteki sürüm bu sayfada yayımlanır.

Kiracı = Veri Sorumlusu · Patronomi = Veri İşleyen

Bu sözleşme, Kiracı’nın Patronomi hizmetine girdiği KENDİ müşteri, cari, tedarikçi, çalışan ve üçüncü kişi verileri bakımından tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki ilişkisini düzenler. Kullanım Şartları’nın ayrılmaz ekidir.

TARAFLAR

VERİ İŞLEYEN (kısaca “Patronomi”)

VERİ SORUMLUSU (kısaca “Kiracı”)

Kiracı, Patronomi hizmetinde bir Hesap (kiracı/tenant) açan gerçek veya tüzel kişidir. Kiracı’nın unvanı, adresi, vergi dairesi/VKN’si ve iletişim bilgileri, Kiracı’nın Hesap’ındaki firma profilinde beyan ettiği bilgilerdir ve bu sözleşmenin ayrılmaz parçası sayılır. Bu bilgilerin doğruluğu ve güncelliği Kiracı’ya aittir (bkz. §18.1–18.2).

1. AMAÇ, KONU VE ROL TANIMI

1.1. Bu sözleşmenin konusu; Kiracı’nın Patronomi hizmetini kullanması sırasında sisteme girdiği, yüklediği veya sistemde oluşturduğu kişisel verilerin Patronomi tarafından Kiracı adına ve Kiracı’nın talimatı doğrultusunda işlenmesine ilişkin karşılıklı hak ve yükümlülüklerin belirlenmesidir.

1.2. Rol ayrımı (bu sözleşmenin en kritik hükmüdür). Taraflar arasında iki ayrı kişisel veri ilişkisi bulunur ve bunlar karıştırılamaz:

1.3. Bu sözleşme yalnızca (A) kümesini düzenler. (B) kümesi bakımından Patronomi kendi başına veri sorumlusudur ve yükümlülüklerini ayrı Aydınlatma Metni ile yerine getirir.

1.4. Öncelik ve çelişki. Patronomi’nin uygulama içi metinlerinde, rıza metinlerinde, tanıtım materyallerinde veya yardım içeriğinde bu sözleşmeyle çelişen bir ifade bulunması hâlinde, (A) kümesi bakımından bu sözleşme esas alınır. Bu tür ifadeler, 1.2'deki rol ayrımını değiştirmez.

1.5. Patronomi’nin sunduğu hizmet ön muhasebe yazılımıdır; mali müşavirlik, muhasebe, vergi danışmanlığı veya yasal defter tutma hizmeti değildir. Üretilen muhasebe fişi, vergi projeksiyonu, mali müşavir paketi ve benzeri çıktılar taslak/yardımcı niteliktedir; nihai kontrol, beyan ve sorumluluk Kiracı ile Kiracı’nın mali müşavirindedir. Bu husus, hizmetin niteliğinin belirlenmesi bakımından bu sözleşmenin esaslı unsurudur.

2. TALİMATLA İŞLEME

2.1. Patronomi, (A) kümesindeki kişisel verileri yalnızca Kiracı’nın belgelenmiş talimatları doğrultusunda işler. Bu sözleşme anlamında “belgelenmiş talimat” şunlardır:

• (a) İşbu sözleşme ve ekleri;

• (b) Kiracı’nın hizmeti kullanma fiili: veri girişi, belge yükleme, banka ekstresi içe aktarma, e-posta gönderimi ve benzeri işlemler;

• (c) Kiracı’nın uygulamadaki yapılandırma tercihleri; özellikle:

• yapay zekâ işleme açık rızasının verilmesi/geri alınması,

• Otonomi Eşiği (yapay zekâ önerilerinin otomatik uygulanma eşiği; varsayılan değer tam manuel),

• Otomatik Onay Kuralları (otomasyon kuralları),

• mali müşavir e-posta adresi ve dönemsel otomatik gönderim tercihi,

• fatura/teklif e-postası gönderimi ve fatura paylaşım bağlantısı oluşturulması,

• kullanıcı davetleri ve rol atamaları;

• (d) Kiracı’nın hesap sahibi veya yöneticisi tarafından destek kanalı üzerinden iletilen yazılı talepler.

2.2. Patronomi, bir talimatın KVKK’ya veya diğer mevzuata aykırı olduğu kanaatine varırsa, bu talimatı yerine getirmeden önce durumu Kiracı’ya bildirir ve Kiracı yazılı olarak ısrar etmedikçe talimatı uygulamaz.

2.3. Patronomi, (A) kümesindeki verileri kendi amaçları için işlemez; özellikle:

• kendi ürün veya pazarlama amaçlarıyla kullanmaz,

• üçüncü kişilere satmaz, kiralamaz veya ticari amaçla devretmez,

• Kiracı’nın carileri hakkında üretilen skor/segment bilgisini (bkz. §9) Patronomi genelinde bir kara liste, risk havuzu veya benzeri bir yapı oluşturmak için kullanmaz.

2.4. İstisna — hukuki yükümlülük. Patronomi’nin mevzuattan doğan bir yükümlülüğü nedeniyle talimat dışında işleme yapması gerekirse, hukuken yasaklanmadıkça bu durumu işlemeden önce Kiracı’ya bildirir.

2.5. İstisna — hizmetin işletilmesi. Patronomi’nin, hizmeti sunmak, güvenliğini sağlamak, hataları gidermek, kötüye kullanımı önlemek ve yedeklemek amacıyla yaptığı teknik işlemeler, bu sözleşme kapsamındaki talimatın parçası sayılır.

3. İŞLEMENİN KONUSU, NİTELİĞİ, AMACI VE SÜRESİ

3.1. İşlemenin konusu ve niteliği: Kiracı’ya bulut tabanlı ön muhasebe yazılımı sunulması; kayıtların saklanması, görüntülenmesi, düzenlenmesi, hesaplanması, raporlanması, belgelerin depolanması, e-posta ile iletilmesi, yedeklenmesi ve (Kiracı’nın açık rızası varsa) yapay zekâ ile okunması/analiz edilmesi.

3.2. İşlemenin amacı: Kiracı’nın ticari faaliyetine ilişkin ön muhasebe süreçlerinin yürütülmesi.

3.3. İşleme faaliyetleri (sınırlayıcı olmayan liste):

3.4. İşlemenin süresi: Kiracı ile Patronomi arasındaki hizmet ilişkisi süresince; sona ermesinden sonra ise §14'te düzenlenen iade/imha rejimi ve §14.6'daki kalan (residual) veri kuralları çerçevesinde.

3.5. Beta statüsü. Taraflar, hizmetin bu sürümün yürürlük tarihinde beta (davet ile erişim) aşamasında olduğunu; hizmet seviyesi (SLA), kesintisizlik veya kurtarma süresi taahhüdü verilmediğini kabul eder.

4. VERİ KATEGORİLERİ VE İLGİLİ KİŞİ GRUPLARI

4.1. İlgili kişi grupları:

• Kiracı’nın gerçek kişi müşteri, tedarikçi ve carileri (şahıs firması, serbest meslek erbabı dâhil);

• Kiracı’nın tüzel kişi carilerinin yetkili/irtibat kişileri;

• Kiracı’nın çalışanları;

• Çek keşidecileri ve çek üzerinde adı geçen kişiler;

• Kiracı’nın mali müşaviri (paket gönderiminin alıcısı);

• Kiracı’nın yüklediği belgelerde adı, imzası veya iletişim bilgisi geçen diğer üçüncü kişiler.

4.2. İşlenen kişisel veri kategorileri:

4.3. Özel nitelikli kişisel veriler (KVKK m. 6).

(a) Patronomi hizmeti, özel nitelikli kişisel veri işlemek üzere tasarlanmamıştır. Veri modelinde sağlık, biyometri, din, ırk, sendika üyeliği ve benzeri veriler için tanımlı bir alan bulunmamaktadır.

(b) Ancak fatura kalemi açıklaması, not alanları, destek mesajları ve yüklenen belgeler serbest metin/serbest dosya niteliğindedir. Kiracı’nın bu alanlara özel nitelikli kişisel veri girmesi teknik olarak mümkündür; sistem bu tür veriyi tespit edecek, engelleyecek veya ayrı bir korumaya tabi tutacak biçimde tasarlanmamıştır.

(c) Kiracı, bu alanlara özel nitelikli kişisel veri (özellikle sağlık verisi), kimlik belgesi fotokopisi veya benzeri belgeleri girmemeyi/yüklememeyi taahhüt eder. Buna rağmen girilmesi hâlinde, bu veri kategorisi bakımından hukuki zeminin sağlanması ve gerekli ek tedbirlerin alınması veri sorumlusu sıfatıyla Kiracı’ya aittir; Patronomi bu veri kategorisi için EK-2'de sayılanların ötesinde ek teknik tedbir taahhüt etmez. Patronomi’nin KVKK’dan doğan veri güvenliği yükümlülükleri saklıdır.

5. KİRACI’NIN (VERİ SORUMLUSU) YÜKÜMLÜLÜKLERİ

5.1. Hukuki zemin. Kiracı, sisteme girdiği her kişisel veri bakımından KVKK m. 5 ve gerekiyorsa m. 6 uyarınca geçerli bir işleme şartına sahip olduğunu beyan ve taahhüt eder.

5.2. Aydınlatma. Kiracı, kendi müşterilerini, carilerini, çalışanlarını ve diğer ilgili kişilerini KVKK m. 10 uyarınca aydınlatmakla yükümlüdür. Patronomi bu kişilerle doğrudan temas etmediğinden aydınlatma yükümlülüğünü onlar adına yerine getiremez.

5.3. Açık rıza — özellikle yurt dışına aktarım ve yapay zekâ. Kiracı, verilerin yurt dışında (Almanya/Frankfurt ve alt işleyenlerin bulunduğu ülkelerde) barındırılması ve — açtığı takdirde — yapay zekâ sağlayıcılarına aktarılması bakımından, kendi ilgili kişileri yönünden gerekli hukuki zemini (aydınlatma ve gerekiyorsa açık rıza) sağlamakla yükümlüdür.

Şeffaflık notu: Uygulamada alınan “yurt dışı” ve “yapay zekâ” açık rızaları, Kiracı’nın hesap sahibi tarafından, Kiracı adına verilmektedir. Bu rızalar, verisi işlenen üçüncü kişilerin (Kiracı’nın müşterisi/çalışanı) kendi rızasının yerine geçmez.

5.4. Doğruluk ve güncellik. Sisteme girilen verilerin doğruluğu, güncelliği ve ilgili kişinin talebi üzerine düzeltilmesi Kiracı’nın sorumluluğundadır.

5.5. Veri minimizasyonu. Kiracı, hizmetin amacı için gerekli olmayan kişisel verileri sisteme girmemekle yükümlüdür.

5.6. Yapılandırma sorumluluğu. Kiracı; Otonomi Eşiği’ni düşürmesi, otomatik onay kuralı tanımlaması, mali müşavir otomatik gönderimini açması, fatura paylaşım bağlantısı üretmesi ve kullanıcı/rol ataması yapmasının sonuçlarından sorumludur (bkz. §9 ve §10).

5.7. Kullanıcı yönetimi. Kiracı, kendi kullanıcılarına verdiği rollerin uygunluğundan, ayrılan personelin erişiminin kaldırılmasından ve giriş bilgilerinin gizliliğinden sorumludur.

5.8. İlgili kişi başvuruları. Kiracı’nın müşteri/çalışanlarından gelen KVKK m. 11 başvurularını Kiracı karşılar. Patronomi §12'de düzenlenen makul teknik desteği sağlar.

5.9. Kayıt sınıflandırma tercihleri. Kiracı’nın, kayıtlarını uygulamadaki sınıflandırma ve etiketleme seçeneklerine göre ayırması bir raporlama ve iç yönetim tercihidir; bu sözleşme anlamında Patronomi’ye verilmiş bir kişisel veri işleme talimatı oluşturmaz ve işlemenin hukuki zeminini değiştirmez. Hangi kayıtların resmî defter, beyan ve mali müşavir paketlerine yansıtılacağı ile bu tercihlerin vergi ve ticaret mevzuatına uygunluğu münhasıran veri sorumlusu sıfatındaki Kiracı ile Kiracı’nın mali müşavirinin sorumluluğundadır. Patronomi bu tercihin içeriğini denetlemez, doğrulamaz ve mevzuata uygunluğu hakkında beyanda bulunmaz.

6. PATRONOMİ’NİN (VERİ İŞLEYEN) YÜKÜMLÜLÜKLERİ

6.1. Patronomi, verileri yalnızca §2'deki talimatlar doğrultusunda işler.

6.2. Patronomi, KVKK m. 12 uyarınca kendisine düşen veri güvenliği yükümlülüklerini yerine getirir. Taraflar, veri işleyenin bu kanuni yükümlülüğünün sözleşme ile tamamen kaldırılamayacağını kabul eder.

6.3. Patronomi, EK-2'de sayılan teknik ve idari tedbirleri uygular ve bunları hizmetin gelişimine paralel olarak sürdürür. Patronomi, EK-2'de açıkça sayılmayan bir güvenlik kontrolünü taahhüt etmiş sayılmaz.

6.4. Patronomi, verilere erişen personelinin gizlilik yükümlülüğü altında olmasını sağlar (bkz. §7).

6.5. Patronomi, alt işleyenleri §11'deki kurallara uygun olarak kullanır.

6.6. Patronomi, ihlal hâlinde §13'e uygun bildirimde bulunur.

6.7. Patronomi, Kiracı’nın KVKK m. 11 taleplerini ve veri koruma etki değerlendirmesi ile yetkili mercilere yapılacak bildirimlere ilişkin yükümlülüklerini yerine getirmesinde, sahip olduğu bilgi ve teknik imkânlar ölçüsünde makul destek sağlar.

6.8. Patronomi, sözleşmenin sona ermesi hâlinde §14'e uygun davranır.

7. GİZLİLİK VE PERSONEL ERİŞİMİ

7.1. Patronomi, (A) kümesindeki verileri gizli tutar; hizmetin ifası dışında hiçbir amaçla kullanmaz ve üçüncü kişilere açıklamaz. Bu yükümlülük sözleşmenin sona ermesinden sonra da devam eder.

7.2. Verilere yalnızca görevi gereği ihtiyaç duyan personel erişebilir. Patronomi, bu personelin ve varsa dış hizmet sağlayıcılarının yazılı gizlilik yükümlülüğü altında olmasını sağlar.

7.3. Platform yöneticisi (süper-admin) erişimi — şeffaflık beyanı. Kiracı, Patronomi’nin platform yöneticisinin aşağıdaki teknik imkânlara sahip olduğunu bilerek kabul eder:

• (a) Kiracı hesaplarındaki kullanıcı e-posta adreslerini görüntüleyebilir ve listeleyebilir (bu veri, (B) kümesine aittir);

• (b) Destek ve denetim amacıyla kiracılar arası denetim kayıtlarını görüntüleyebilir; bu görüntülemede anahtar/sır/IBAN benzeri hassas alanlar maskelenerek gösterilir;

• (c) Kiracı’nın destek talebi kapsamında ilettiği ekleri ve kayıtları inceleyebilir;

• (d) Platform yöneticisi, kullanıcı kimliğiyle kiracı hesabına giriş yapamaz — kullanıcı adına oturum açma (impersonation) özelliği üründe bulunmamaktadır.

7.4. Platform yönetici yetkisi, kiracı içindeki “Sahip” rolünden ayrı ve bağımsız bir yetki setidir; kiracı rolleri üzerinden bu yetkiye yükselmek mümkün değildir.

8. YAPAY ZEKÂ İLE İŞLEME

8.1. Varsayılan kapalı, açık rızaya bağlı. Yapay zekâ özellikleri varsayılan olarak kapalıdır. Kiracı hesabı için aktif bir “yapay zekâ işleme” açık rızası bulunmadığı sürece, veriler yapay zekâ sağlayıcısına aktarılmaz. Bu kısıt, uygulamanın yapay zekâ çıkış noktalarında teknik olarak zorunlu kılınmıştır: rıza yoksa çağrı yapılmaz.

8.2. Rızayı kim verir. Rıza yalnızca Kiracı’nın hesap sahibi tarafından verilebilir ve dilediği zaman geri alınabilir. Geri alındığı andan itibaren yeni aktarım yapılmaz. Rıza kaydı (metin sürümü, tarih, IP ve tarayıcı bilgisi ile birlikte) ispat amacıyla saklanmaya devam eder.

8.3. Aktarılan verinin kapsamı. Kiracı, yapay zekâ özelliklerini açtığında aşağıdaki hususları bilerek kabul eder:

• (a) Belgeden çıkarım ve içerik üretimi yollarında veri ham olarak aktarılır. Fatura/fiş OCR’ı, çek OCR’ı, banka ekstresi içe aktarımı ve sohbet asistanı yollarında belgenin/içeriğin tamamı sağlayıcıya iletilir. Bu yollarda maskeleme uygulanmaz; maskeleme, modelin çıkarması gereken veriyi bozacağı için bilinçli olarak devre dışıdır.

• (b) Analiz yollarında sınırlı maskeleme uygulanır. Mutabakat, anomali (Radar) yorumu, denetleyici ve yardım botu çağrılarında; serbest metinlerdeki T.C. kimlik numarası, IBAN, e-posta adresi ve cep telefonu maskelenir.

• (c) Maskeleme kapsamı dışındakiler. Vergi kimlik numarası (VKN), kişi/firma adı ve unvanı, adres, tutar, tarih ve belge numarası maskelenmez ve açık olarak aktarılır.

Taraflar, bu nedenle “kişisel veriler yapay zekâya anonimleştirilerek/maskelenerek gönderilir” şeklinde bir taahhüdün verilmediğini açıkça kabul eder.

8.4. Sağlayıcı seçimi. Hangi yapay zekâ sağlayıcısının hangi görevde kullanılacağı Patronomi tarafından platform genelinde belirlenir; Kiracı bazında seçilemez. Sağlayıcı değişikliği alt işleyen değişikliği sayılır ve §11.3'teki bildirim usulüne tabidir.

8.5. Eğitimde kullanım ve saklama. Patronomi, sağlayıcıların verileri model eğitiminde kullanmaması ve saklamaması (“sıfır veri tutma”) yönündeki yapılandırmaları tercih etmek için makul çaba gösterir. Bu husus sağlayıcıların hesap düzeyindeki politikalarına bağlı olduğundan, Patronomi bu konuda kesin bir taahhüt vermez.

8.6. Yapay zekâ rızası, tüm otomatik analizi kapsamaz. Kiracı; cari skorlama, anomali tespiti, mükerrer kayıt uyarısı ve kredi limiti uyarısı gibi kural/istatistik tabanlı (yapay zekâ modeli kullanmayan) analizlerin, yapay zekâ rızasından bağımsız olarak, sözleşmenin ifası kapsamında çalıştığını kabul eder (bkz. §9).

9. OTOMATİK İŞLEME, PROFİLLEME VE OTOMATİK ONAY

9.1. Cari skorlama = profilleme. Sistem, Kiracı’nın müşteri carileri için gecelik olarak 0–100 arası bir skor ve bir segment üretir. Hesaplama kural tabanlıdır (ödeme gecikmesi ortalaması, geciken fatura sayısı, açık vadesi geçmiş kayıt sayısı, dönem hacmi, son hareket tarihi). Gerçek kişi cariler bakımından bu işleme profilleme niteliğindedir.

9.2. Bu skor Kiracı’nın kendi ticari değerlendirmesidir. Patronomi bu skoru kendi adına kullanmaz, başka kiracılarla paylaşmaz ve hiçbir kişiyi bu skora dayanarak kısıtlamaz.

9.3. Skorun kiracı dışına çıkabildiği hâl. Riskli segmentteki cariler, Kiracı’nın bildirim ayarlarına göre gün sonu Radar raporu e-postasında ad ile birlikte yer alabilir. Bu e-posta, Kiracı’nın belirlediği alıcılara, EK-1'de sayılan e-posta iletim sağlayıcısı üzerinden gönderilir.

9.4. Otomatik onay — varsayılan tam manuel. Yapay zekâ önerileri varsayılan olarak onay kuyruğuna düşer ve insan onayı olmadan uygulanmaz (Otonomi Eşiği varsayılanı tam manuel; ikinci denetleyici varsayılan olarak kapalı).

9.5. Kiracı otomasyonu açarsa. Kiracı’nın Sahip/Yönetici rolündeki kullanıcısı eşiği düşürdüğünde veya bir otomatik onay kuralı tanımladığında, aşağıdaki işlemler insan görmeden uygulanabilir:

• fatura ve gider belgesi oluşturma, kasa/banka hareketi kaydetme, çek ekleme, cari kartı oluşturma, teklifi faturaya dönüştürme,

• fatura veya teklifin müşteriye e-posta ile gönderilmesi (üçüncü kişiye veri aktarımı doğurur),

• kural tanımına göre bir önerinin otomatik reddedilmesi veya bir alanının kuralla değiştirilerek uygulanması.

9.6. Güven skoru hakkında uyarı. Otomatik onayda kullanılan “güven yüzdesi”, yapay zekânın kendi beyan ettiği bir göstergedir; kalibre edilmiş bir doğruluk ölçüsü değildir ve doğruluk garantisi taşımaz.

9.7. Uyarı üretir, kilitlemez. Kredi limiti aşımı ve mükerrer kayıt tespiti uyarı niteliğindedir; işlemi engellemez. Kullanıcı bilinçli olarak uyarıyı geçebilir. Bu nedenle Patronomi, mükerrer kayıt veya limit aşımının önleneceğine dair garanti vermez.

9.8. Çek üzerinde tahrifat gözlemi. Yapay zekâ, çek görüntüsünde kazıntı/üzerine yazım gibi gözlem üretebilir; ancak “sahte/tahrif edilmiş” şeklinde hüküm kurmaz. Nihai değerlendirme insanındır ve tespitin doğruluğu garanti edilmez.

9.9. İzlenebilirlik ve insan müdahalesi. Otomatik olarak uygulanan, reddedilen veya düzeltilen işlemler; gerekçesiyle birlikte kaydedilir, Kiracı’ya bildirim üretir ve denetim kaydına yazılır. Kiracı bu kayıtları uygulama içinden inceleyebilir.

9.10. Geri alma sınırı. Otomatik olarak uygulanmış bir işlemi tek tuşla geri alan bir mekanizma bulunmamaktadır; hatalı kayıtların düzeltilmesi manuel düzenleme/iptal gerektirir. Kiracı, otomatik onayı açması hâlinde çıktıları düzenli olarak kontrol etmekle yükümlüdür.

9.11. Kiracı, kendi ilgili kişilerine karşı KVKK m. 11 kapsamındaki (otomatik işleme sonucu aleyhe sonuç doğmasına itiraz dâhil) yükümlülüklerin kendisine ait olduğunu kabul eder.

10. KİRACI’NIN TALİMATIYLA ÜÇÜNCÜ KİŞİLERE AKTARIM

10.1. Aşağıdaki aktarımlar Kiracı’nın kendi talimatıyla, Kiracı’nın belirlediği alıcılara yapılır. Alıcının doğruluğu, aktarımın hukuka uygunluğu ve ilgili kişilere karşı aydınlatma/rıza yükümlülüğü Kiracı’ya aittir:

10.2. Fatura paylaşım bağlantısı hakkında uyarı. Bu bağlantı oturum açmayı gerektirmez; süreye bağlıdır ve iptal edilebilir, ancak süresi dolana veya iptal edilene kadar bağlantıya sahip olan herkes içeriği görüntüleyebilir. Bağlantının paylaşılması kararı ve sonuçları Kiracı’ya aittir.

10.3. Bu aktarımların teknik olarak gerçekleştirilmesinde kullanılan e-posta iletim sağlayıcısı bir alt işleyendir ve EK-1'de sayılmıştır.

11. ALT İŞLEYENLER

11.1. Genel yazılı izin. Kiracı, Patronomi’nin hizmeti sunmak için EK-1'de sayılan alt işleyenleri kullanmasına genel olarak izin verir.

11.2. Alt işleyen seçimi ve sorumluluk. Patronomi, alt işleyenleri özenle seçer; her alt işleyen ile KVKK’nın gerektirdiği yazılı veri işleme düzenlemesinin yapılmasını sağlar ve bu düzenlemelerde, bu sözleşmedeki koruma düzeyinden daha düşük olmayan yükümlülüklerin öngörülmesi için gerekli adımları atar. Alt işleyenin bu sözleşmeye aykırı fiillerinden doğan sorumluluk, Kullanım Şartları’nda belirlenen sorumluluk sınırları dâhilindedir (bkz. §17.4).

11.3. Değişiklik ve bildirim.

• (a) Patronomi, bir alt işleyeni değiştirmek veya listeye yeni bir alt işleyen eklemek istediğinde, değişiklikten en az 30 gün önce Kiracı’ya bildirir. Bildirim, hesap sahibinin e-posta adresine ve/veya uygulama içi duyuru ile yapılır.

• (b) Yapay zekâ sağlayıcısının değiştirilmesi de bu madde kapsamında bir alt işleyen değişikliğidir ve aynı bildirim usulüne tabidir.

• (c) Kiracı, bildirimden itibaren 15 gün içinde haklı gerekçe göstererek itiraz edebilir. Taraflar makul bir çözüm üzerinde anlaşamazsa Kiracı, hizmet sözleşmesini tazminat ödemeksizin feshedebilir ve §14'teki veri dışa aktarım hakkını kullanabilir.

• (d) Güncel alt işleyen listesi bu sözleşmenin EK-1 bölümünde yer alır; liste değiştiğinde güncellenmiş sürüm bu sayfada yayımlanır.

11.4. Bugün kullanılmayan entegrasyonlar. Bu sürümün yürürlük tarihi itibarıyla resmî belge gönderim hizmet sağlayıcılarına kişisel veri aktarımı yapılmamaktadır (ilgili modül devre dışıdır). Bu entegrasyonlar etkinleştirilmeden önce §11.3'e uygun bildirim yapılır.

11.5. Ödeme hizmeti sağlayıcısı. Ücretli plana geçilmesi hâlinde ödeme sürecinde Türkiye’de yerleşik bir ödeme hizmeti sağlayıcısı kullanılır. Bu süreçte işlenen veriler (B) kümesine aittir (Kiracı’nın kullanıcısına ilişkindir), bu sözleşmenin konusu dışındadır ve kart bilgileri Patronomi’ye iletilmez ve tarafımızca saklanmaz.

12. İLGİLİ KİŞİ TALEPLERİNDE DESTEK

12.1. Patronomi, Kiracı’nın ilgili kişilerinden doğrudan bir talep alırsa, bu talebe kendisi cevap vermez; talebi gecikmeksizin Kiracı’ya yönlendirir ve talep sahibine yönlendirme yapıldığını bildirir.

12.2. Patronomi, Kiracı’nın KVKK m. 11 taleplerini karşılaması için aşağıdaki teknik imkânları sağlar:

12.3. Patronomi, ürün içi araçlarla karşılanamayan taleplerde makul teknik desteği sağlar. Olağandışı kapsamdaki veya sık tekrarlanan talepler bakımından taraflar, desteğin kapsamı ve koşulları üzerinde ayrıca anlaşır.

12.4. Silme talepleri hakkında dürüst beyan. Patronomi, “talep üzerine tüm kişisel verilerin sistemden ve tüm kopyalardan derhal silineceği” yönünde bir taahhüt vermez. Uygulanan rejim §14'te ayrıntılı olarak düzenlenmiştir.

13. VERİ İHLALİ BİLDİRİMİ

13.1. Patronomi, işlenen kişisel verilerin hukuka aykırı olarak elde edildiğini, ifşa edildiğini, değiştirildiğini veya bunlara yetkisiz erişildiğini öğrendiği anda, gecikmeksizin Kiracı’ya bildirir.

13.2. Bildirim kanalı. Bildirim, Kiracı’nın hesap sahibi e-posta adresine ve uygulama içi bildirim ile yapılır. Kiracı’nın Patronomi’ye ihlal bildirimi yapabileceği adres: info@patronomi.com.

13.3. Bildirim içeriği (mevcut bilgi ölçüsünde; bilgi kademeli olarak tamamlanabilir):

• ihlalin niteliği ve nasıl gerçekleştiği,

• etkilenen kişisel veri kategorileri ve yaklaşık ilgili kişi/kayıt sayısı,

• muhtemel sonuçlar,

• alınan ve alınması önerilen tedbirler,

• Patronomi tarafında irtibat kişisi.

13.4. Kurul’a ve ilgili kişilere bildirim yükümlülüğü Kiracı’dadır. İhlalin Kiracı’nın veri sorumlusu olduğu (A) kümesini etkilemesi hâlinde, Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Kiracı’ya aittir. Patronomi’nin bu kapsamdaki yükümlülüğü, ihlali gecikmeksizin Kiracı’ya bildirmek ve bildirimin hazırlanması için sahip olduğu bilgi ölçüsünde makul destek sağlamaktır.

13.5. Süre. Patronomi, saat cinsinden sabit bir bildirim süresi taahhüt etmez; yükümlülüğü, ihlali öğrendiği anda gecikmeksizin bildirimdir. Kiracı’nın veri sorumlusu sıfatıyla mevzuattan doğan kendi bildirim süreleri saklıdır.

13.6. Patronomi, ihlale ilişkin kendi tespit, müdahale ve giderim kayıtlarını tutar ve Kiracı’nın talebi üzerine ilgili kısımlarını paylaşır.

14. SÖZLEŞMENİN SONA ERMESİ — VERİ İADESİ VE İMHASI

14.1. Çıkış hakkı engellenmez. Kiracı, hizmet ilişkisi devam ederken olduğu gibi, hesabı askıya alınmış veya süresi dolmuş olsa dahi, verilerini ZIP paket olarak dışa aktarabilir.

14.2. Dışa aktarım penceresi. Hizmet ilişkisinin sona ermesinden itibaren 30 gün boyunca Kiracı’nın dışa aktarım hakkı açık tutulur.

14.3. İmha / anonimleştirme. Kiracı’nın talebi veya sürenin dolması üzerine Patronomi, hesabı kapatır ve tek atomik işlemde kişisel veri alanlarını anonimleştirir. Anonimleştirme kapsamı:

• Maskelenen: cari kartları, çalışan kartları, firma ayarları, çek keşideci ve hesap bilgileri; fatura notları, işlem açıklamaları, fiş notları, teklif metinleri, sohbet başlık/içerikleri ve yapay zekâ hafıza kayıtları.

• Silinen: bildirimler, cari ek IBAN kayıtları, cari yetkili kişi kayıtları, fatura paylaşım bağlantıları, destek talepleri ve mesajları; davet kayıtlarındaki kişisel veriler.

14.4. Hesap kapatma geri alınamaz bir işlemdir; kapatmadan önce Kiracı’nın verilerini indirmesi gerekir.

14.5. “Tüm verimi sıfırla” işlevi KVKK imhası değildir. Ürün içindeki “tüm verimi sıfırla” işlevi; firma profilini, vergi kurallarını, denetim ve rıza kayıtlarını, lisans/üyelik kayıtlarını ve depodaki dosyaları korur. Bu işlev bir KVKK imha talebinin yerine geçmez.

14.6. Kalan (residual) veri — kapsam beyanı. Taraflar, anonimleştirmeden sonra aşağıdaki verilerin sistemde kalmaya devam edeceğini açıkça kabul eder:

14.7. Patronomi, kalan verileri yalnızca saklama gerekçesinin gerektirdiği amaçla işler; başka amaçla kullanmaz.

14.8. Kiracı’nın kullanıcı hesapları hakkında not. Kiracı hesabının kapatılması, Kiracı’nın kullanıcılarına ait giriş (kimlik doğrulama) kayıtlarını ve üyelik kayıtlarını kendiliğinden silmez. Bu kayıtlar (B) kümesine aittir ve Patronomi’nin veri sorumlusu sıfatıyla belirlediği saklama rejimine tabidir; ilgili kişiler bu kayıtlar bakımından Patronomi’ye doğrudan başvurabilir.

15. YURT DIŞINA AKTARIM (KVKK m. 9)

15.1. Verinin bulunduğu yerler. Kiracı, aşağıdaki hususları bilerek kabul eder:

• Veritabanı, dosya deposu (belge kasası), kimlik doğrulama sistemi ve platform yedekleri Almanya / Frankfurt (Avrupa Birliği) bölgesinde barındırılmaktadır;

• Buna ek olarak, hizmetin felaket hâlinde geri getirilebilmesi amacıyla belge kasasının ve yedeklerin haftalık bir kurtarma kopyası, Patronomi’nin Türkiye’de bulunan kurumsal cihazında ve bu cihazla eşlenen Microsoft OneDrive bulut depolama hizmetinde tutulmaktadır. Bu kopya yalnızca kurtarma amacıyla saklanır; görüntüleme, analiz veya başka bir işleme amacıyla kullanılmaz;

• Uygulama sunucu fonksiyonları da Frankfurt bölgesinde çalışmakta, ancak barındırma sağlayıcısının platform katmanı (içerik dağıtım ağı, platform günlükleri) bu bölge taahhüdünün dışında olabilmektedir;

• Hata izleme, e-posta iletimi ve — açık rıza verilmişse — yapay zekâ işleme hizmetleri ABD ve Çin dâhil yurt dışında yerleşik sağlayıcılar üzerinden yürütülmektedir.

15.2. Aktarım kaydı. Yurt dışına aktarılan veriler, alıcılar, ülkeler ve aktarım amaçları EK-1 tablosunda gösterilmiştir. EK-1, alt işleyen listesi ile birlikte yurt dışı aktarım kaydı işlevi görür.

15.3. Aktarım şartları. Yurt dışına aktarım, KVKK m. 9'da öngörülen aktarım şartları çerçevesinde yapılır. Patronomi, kullandığı alt işleyenler bakımından mevzuatın gerektirdiği düzenlemelerin yapılması ve aktarım şartlarının sağlanması için gerekli adımları atmakla yükümlüdür. Uygulama, Kiracı’nın hesap sahibinden yurt dışında işlemeye ilişkin açık rıza alır; bu rıza Kiracı adına verilir ve §5.3 uyarınca Kiracı’nın kendi ilgili kişileri bakımından alması gereken rızanın yerine geçmez.

15.4. Kiracı’nın kendi ilgili kişileri bakımından yurt dışı aktarım için gerekli aydınlatma ve — gerekiyorsa — açık rızanın alınması Kiracı’nın yükümlülüğüdür (bkz. §5.3).

16. DENETİM HAKKI

16.1. Kiracı, Patronomi’nin bu sözleşmedeki yükümlülüklerine uyumunu denetleme hakkına sahiptir.

16.2. Usul ve makul sınırlar:

• (a) Denetim yılda en fazla bir kez yapılır (kanıtlanmış bir ihlal veya yetkili merci talebi hâlleri hariç);

• (b) En az 30 gün önceden yazılı bildirimle, mesai saatleri içinde ve Patronomi’nin faaliyetlerini makul olmayan biçimde aksatmayacak şekilde yapılır;

• (c) Denetim öncelikle belge incelemesi ve yazılı soru listesi (güvenlik anketi) yoluyla yürütülür; Patronomi bu talepleri makul sürede yanıtlar;

• (d) Yerinde denetim yapılacaksa denetçi, Patronomi’nin rakibi olmamalı ve yazılı gizlilik yükümlülüğü altına girmelidir;

• (e) Denetim, hiçbir koşulda diğer kiracılara ait verilere, sistemlere veya ticari sırlara erişimi kapsamaz;

• (f) Denetim masrafları Kiracı’ya aittir; denetimde Patronomi’nin esaslı bir uyumsuzluğu tespit edilirse masraflar Patronomi’ye ait olur.

16.3. Denetimin biçimi. Denetim hakkı, bağımsız üçüncü taraf sertifikası ibrazı yoluyla değil, §16.2'deki belge incelemesi ve soru-cevap usulüyle karşılanır (bkz. EK-2/B).

17. SORUMLULUK

17.1. Taraflardan her biri, bu sözleşmeden ve KVKK’dan doğan kendi yükümlülüklerine aykırılıktan kendi kusuru oranında sorumludur.

17.2. Taraflar, veri işleyenin KVKK kapsamındaki veri güvenliği yükümlülüğünün kanuni olduğunu ve sözleşme ile tamamen ortadan kaldırılamayacağını kabul eder. Patronomi’nin sorumluluğunu tümüyle bertaraf etmeye yönelik bir hüküm bu sözleşmede yer almaz.

17.3. Kiracı’nın tazmin yükümlülüğü. Kiracı; (i) hukuka aykırı bir talimat vermesi, (ii) kendi ilgili kişilerini aydınlatmaması veya gerekli hukuki zemini sağlamaması, (iii) hizmete özel nitelikli kişisel veri veya amaç dışı veri girmesi, (iv) otomatik onay/otomasyon yapılandırmasının sonuçları, ya da (v) kendi belirlediği alıcılara yapılan aktarımlar nedeniyle Patronomi’ye yöneltilecek talep, ceza ve zararları kendi kusuru oranında karşılar.

17.4. Sorumluluk sınırı. Patronomi’nin bu sözleşmeden doğan sorumluluğunun parasal sınırı, taraflar arasındaki Kullanım Şartları'nda belirlenen sorumluluk sınırlaması hükümlerine tabidir. Kasıt ve ağır kusur hâlleri ile mevzuatın emredici hükümleri saklıdır; bu hâllerde sorumluluk sınırlaması uygulanmaz.

17.5. Kullanıcı yedeği. Kiracı, mali ve hukuki önem taşıyan verilerin kendi kopyasını düzenli olarak dışa aktarmakla yükümlüdür. Patronomi’nin yedekleme yükümlülüğünün kapsamı ve sınırları EK-2'de gösterilmiştir; özellikle belge görüntüleri uygulama yedeklerine dâhil değildir ve kurtarma süresi (RTO) / veri kaybı hedefi (RPO) taahhüdü verilmemektedir.

18. KABUL, SÜRE, DEĞİŞİKLİK VE YÜRÜRLÜK

18.1. Kabul ve yürürlük. Bu sözleşme, Kiracı’nın Kullanım Şartları’nı elektronik ortamda kabul etmesiyle birlikte, Kullanım Şartları’nın ayrılmaz eki olarak yürürlüğe girer. Ayrıca ıslak imza aranmaz.

18.2. Taraf künyeleri. Patronomi’nin künyesi bu metnin “TARAFLAR” bölümünde gösterilmiştir. Kiracı’nın künyesi, Kiracı’nın Hesap’ındaki firma profilinde beyan ettiği bilgilerdir; ilgili Hesap’ın kiracı (tenant) kimliği, tarafların bu sözleşme kapsamındaki ilişkisini belirler.

18.3. Süre. Bu sözleşme, taraflar arasındaki hizmet ilişkisi süresince yürürlüktedir.

18.4. Devam eden hükümler. Gizlilik (§7), kalan veri rejimi (§14.6) ve sorumluluk (§17) hükümleri, sözleşmenin sona ermesinden sonra da yürürlükte kalır.

18.5. Mevzuat değişikliği. Mevzuat değişikliği veya yetkili merci düzenlemeleri nedeniyle bu sözleşmede değişiklik gerekirse, taraflar iyi niyetle metni güncellemek üzere görüşür.

18.6. Metin sürümü. Bu sözleşme ve uygulama içindeki rıza metinleri sürüm numarası ile yönetilir. Metnin esaslı biçimde değişmesi hâlinde Kiracı’ya bildirim yapılır ve güncel sürüm bu sayfada yayımlanır.

18.7. Uygulanacak hukuk ve yetki. Türk hukuku uygulanır. Yetkili mahkeme ve icra daireleri bakımından Kullanım Şartları'ndaki hüküm geçerlidir.

18.8. Bütünlük. Bu sözleşme, EK-1 ve EK-2 ile birlikte bir bütündür.

EK-1 — ALT İŞLEYENLER VE YURT DIŞI AKTARIM KAYDI

Bu tablo aynı zamanda KVKK m. 9 yurt dışı aktarım kaydı işlevi görür. Değişiklik bildirimi: §11.3.

EK-1/A — Halen kullanılan alt işleyenler

EK-1/B — Koşullu / yapılandırmaya bağlı alıcılar

EK-1/C — Alt işleyen sayılmayanlar

EK-2 — TEKNİK VE İDARİ TEDBİRLER

Bu ek, fiilen uygulanmakta olan tedbirleri gösterir. Burada açıkça sayılmayan bir güvenlik kontrolü taahhüt edilmiş sayılmaz (bkz. §6.3).

EK-2/A — Uygulanan tedbirler

İdari tedbirler

Teknik tedbirler

EK-2/B — Taahhüt kapsamı dışında bırakılan hususlar

Aşağıdaki kontroller bu sözleşme kapsamında taahhüt edilmemektedir. Kiracı, veri sorumlusu sıfatıyla yapacağı risk değerlendirmesinde bu hususları dikkate alır.

EK-1 ve EK-2, hizmetteki değişikliklere göre güncellenir; güncel sürüm bu sayfada yayımlanır.