KVKK Aydınlatma Metni

Son güncelleme: [DOLDURULACAK: Son güncelleme tarihi]

Bu metin, kişisel verilerinizin kooza Muhasebe kapsamında kim tarafından, hangi amaçlarla ve hangi hukuki sebeplere dayanılarak işlendiğini, kimlere aktarıldığını ve haklarınızı açıklar. Aydınlatma bir bilgilendirmedir; sizden onay veya açık rıza istemez.

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) md.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, kooza Muhasebe hizmeti (“Hizmet”) kapsamında kişisel verileriniz, veri sorumlusu sıfatıyla aşağıda bilgileri yer alan şirket (“Şirket”) tarafından işlenmektedir.

Unvan: [DOLDURULACAK: Şirket unvanı]
MERSİS no: [DOLDURULACAK: MERSİS numarası]
Vergi dairesi / VKN: [DOLDURULACAK: Vergi dairesi ve vergi kimlik numarası]
Adres: [DOLDURULACAK: Şirket merkez adresi]
KEP adresi: [DOLDURULACAK: KEP adresi]
E-posta: [DOLDURULACAK: KVKK başvuru ve iletişim e-posta adresi]
Telefon: [DOLDURULACAK: İletişim telefonu]
VERBİS: [DOLDURULACAK: VERBİS kayıt durumu (kayıtlı / muaf ve gerekçesi)]
Hizmet adresi: muhasebe.kooza.app

2. Bu metnin kapsamı ve rollerimiz

Bu metin; Hizmete kaydolan veya Hizmeti kullanan işletme yetkilileri ve kullanıcıları ile tanıtım, kayıt ve giriş sayfalarımızı ziyaret eden kişilerin kişisel verilerini kapsar.

İşletmelerin Hizmete girdiği veriler

Hizmeti kullanan işletmeler kendi müşterileri, tedarikçileri, çalışanları ve diğer kişiler hakkında kayıt oluşturabilir (ör. cari kartlar, faturalar, bordro ve özlük bilgileri). Bu veriler bakımından veri sorumlusu ilgili işletmedir; Şirket bu verileri yalnızca Hizmetin sunulması amacıyla ve işletmenin talimatları doğrultusunda veri işleyen sıfatıyla işler.

Bu kişilerin aydınlatılması, gerektiğinde açık rızalarının alınması ve başvurularının yanıtlanması ilgili işletmenin yükümlülüğüdür; bu kişiler başvurularını öncelikle ilgili işletmeye yöneltmelidir. Özel nitelikli kişisel veriler (ör. bordro / İK kayıtlarındaki kan grubu veya sağlık raporu bilgisi) bakımından KVKK md.6 şartlarının sağlanması da ilgili işletmenin sorumluluğundadır.

3. İşlenen kişisel veri kategorileri

Kategori	Veriler
Kimlik	Ad soyad. Şahıs işletmelerinde işletme adı ile vergi kimlik / T.C. kimlik numarası da kişisel veri niteliği taşıyabilir.
İletişim	E-posta adresi; kayıt sırasında isteğe bağlı verilen telefon numarası; işletme ayarlarına girilen adres, telefon, e-posta ve web sitesi.
Müşteri işlem	Kullanıcı rolü ve yetkileri, deneme / abonelik planı ve bitiş tarihi, işletme ayarları, Hizmet içinde oluşturduğunuz kayıtlar ve yorumlar, destek ve başvuru yazışmaları.
İşlem güvenliği	Şifrenizin geri döndürülemez özeti (şifrenin kendisi saklanmaz); iki adımlı doğrulama anahtarı ve yedek kodların özetleri; oturum yenileme anahtarının özeti; son giriş zamanı, başarısız giriş sayısı ve geçici hesap kilidi; e-posta doğrulama ve şifre sıfırlama bağlantılarının özetleri; denetim kayıtlarında IP adresi, tarayıcı bilgisi (user-agent), işlemi yapan kullanıcı, işlem zamanı ve değişen kaydın önceki / sonraki hâli.
Görsel	Yüklemeniz hâlinde profil fotoğrafı ve işletme logosu.
Teknik / hata kayıtları	Hata türü ve hatanın kod içindeki konumu, tarayıcı ve işletim sistemi bilgisi, kimlik bilgileri maskelenmiş sayfa adresi.

Şirket, kendi kullanıcıları bakımından özel nitelikli kişisel veri işlemeyi amaçlamaz. Hizmet kapsamında pazarlama amaçlı kişisel veri işlenmez; analitik, reklam veya takip çerezi kullanılmaz. Çerez ve tarayıcı depolaması ayrıntıları Gizlilik Politikası’nda yer alır.

4. İşleme amaçları ve hukuki sebepler

Kişisel verileriniz aşağıdaki amaçlarla ve KVKK md.5/2’de sayılan hukuki sebeplere dayanılarak işlenir:

Amaç	Hukuki sebep (KVKK)
Üyelik hesabının açılması, kimlik doğrulama ve oturum yönetimi	md.5/2-c (sözleşmenin kurulması ve ifası)
Ön muhasebe hizmetinin sunulması; işletme hesabı içindeki kullanıcı ve yetki yönetimi	md.5/2-c
E-posta doğrulama, şifre sıfırlama ve hizmetle ilgili zorunlu bildirimler	md.5/2-c
Deneme süresi, abonelik ve ücretlendirme süreçleri; Şirket’in kendi fatura ve muhasebe kayıtları	md.5/2-c; md.5/2-ç (hukuki yükümlülük — VUK, TTK)
Bilgi güvenliği: yetkisiz erişimin önlenmesi, hatalı giriş denemelerinde hesap kilidi, iki adımlı doğrulama, denetim kayıtları	md.5/2-ç (md.12 veri güvenliği yükümlülüğü); md.5/2-f (meşru menfaat)
Hataların tespiti ve giderilmesi, hizmetin sürekliliği ve geliştirilmesi	md.5/2-f
Talep, şikâyet ve KVKK başvurularının yanıtlanması	md.5/2-ç
Yetkili kurum ve yargı mercilerinin bilgi taleplerinin karşılanması	md.5/2-a (kanunlarda açıkça öngörülme); md.5/2-ç
Uyuşmazlıklarda hakların tesisi, kullanılması ve korunması	md.5/2-e

Yukarıdaki işlemeler açık rızaya dayanmaz. İleride açık rıza gerektiren bir işleme (ör. ticari elektronik ileti gönderimi) yapılması hâlinde, açık rızanız ayrı bir onayla istenir ve Hizmetin kullanılması bu onaya bağlanmaz.

5. Kişisel verilerin aktarılması

Yurt içi

Hesabınızın bağlı olduğu işletmenin yetkili kullanıcılarına, rolleri ölçüsünde.
İşletmenizin paylaşım bağlantısı oluşturduğu kişilere (ör. mali müşavir portalı, müşteri portalı): bağlantıya sahip kişi yalnızca bağlantının kapsadığı bilgileri görür.
Kanunen yetkili kamu kurum ve kuruluşları ile yargı mercilerine, talep hâlinde.
Hizmet alınan hukuk, mali müşavirlik ve denetim danışmanlarına, gerekli olduğu ölçüde.
Barındırma ve altyapı sağlayıcılarına: [DOLDURULACAK: Barındırma / veritabanı sağlayıcısı ve sunucu ülkesi]

Yurt dışı

Hizmetin teknik işleyişi gereği aşağıdaki sağlayıcılara yurt dışına veri aktarımı gerçekleşir:

Hizmet	Aktarılan veri	Sağlayıcı / ülke
Hata izleme (Sentry)	Kişisel veri içermeyecek şekilde sadeleştirilmiş teknik hata kaydı: kullanıcı bilgisi, istek içeriği ve hata mesajı gönderilmeden önce çıkarılır; sayfa adresindeki kimlikler maskelenir.	Functional Software, Inc. — [DOLDURULACAK: Sentry veri bölgesi (ABD / AB)]
Yazı tipi dağıtımı (Google Fonts)	Sayfa açılırken tarayıcınız yazı tipi dosyalarını doğrudan Google sunucularından indirir; bu sırada IP adresiniz ve tarayıcı bilgileriniz iletilir.	Google LLC — ABD
İçerik dağıtım ağları	Görüntüden metin okuma (OCR) ve fatura yazdırma ekranları, program ve dil dosyalarını üçüncü taraf içerik dağıtım ağlarından yükler; bu sırada IP adresi ve tarayıcı bilgisi iletilir. OCR’de görüntünün kendisi tarayıcınızda işlenir.	jsDelivr, Tailwind CSS CDN — yurt dışı
İki adımlı doğrulama QR kodu	Kurulum sırasında QR kod görseli üçüncü taraf bir hizmetten alınır; bu sırada doğrulama anahtarı ve hesap e-postanızı içeren kurulum bağlantısı bu hizmete iletilir.	api.qrserver.com — yurt dışı
Sistem e-postaları (doğrulama, şifre sıfırlama)	Ad soyad, e-posta adresi ve e-posta içeriği.	[DOLDURULACAK: E-posta (SMTP) sağlayıcısı ve ülkesi]

İşletmenizin Ayarlar ekranından kendi hesap bilgileriyle bağladığı hizmetler (ör. işletmenin kendi SMTP e-posta sunucusu, Meta WhatsApp Business Cloud API) üzerinden yapılan gönderimler işletmenin talimatıyla yapılır; bu gönderimlerde veri sorumlusu ilgili işletmedir. Döviz kurları Türkiye Cumhuriyet Merkez Bankası’ndan alınır; bu işlemde kişisel veri aktarılmaz.

Yurt dışına aktarımlar KVKK md.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik kapsamında; yeterlilik kararı, Kurulca ilan edilen standart sözleşme gibi uygun güvenceler veya md.9/6’daki arızi aktarım hâllerinden birine dayanılarak yapılır. Dayanılan mekanizma: [DOLDURULACAK: Her sağlayıcı için aktarım mekanizması (ör. standart sözleşme ve Kurul’a bildirim tarihi)]

6. Toplama yöntemi

Kayıt, giriş ve uygulama içi formlar aracılığıyla doğrudan sizden; işletmenizin hesap yöneticisi sizi kullanıcı olarak eklediğinde hesap yöneticisinden.
Hizmetin kullanımı sırasında sunucularımızda otomatik olarak oluşan denetim ve güvenlik kayıtlarından; tarayıcınızdaki zorunlu çerez ve yerel depolamadan.
Destek talepleri ve KVKK başvuruları kapsamındaki yazışmalardan.
Veriler elektronik ortamda, tamamen veya kısmen otomatik yollarla ve “İşleme amaçları ve hukuki sebepler” bölümünde belirtilen hukuki sebeplere dayanılarak toplanır.

7. KVKK md.11 kapsamındaki haklarınız

KVKK md.11 uyarınca Şirket’e başvurarak:

a) Kişisel verilerinizin işlenip işlenmediğini öğrenme,
b) İşlenmişse buna ilişkin bilgi talep etme,
c) İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
d) Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) KVKK md.7’de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Uygulama içinden

Hesap yöneticisi rolündeki kullanıcılar, giriş yaptıktan sonra “KVKK Veri Hakları” ekranından işletme verilerinin tamamını JSON biçiminde indirebilir (erişim ve taşınabilirlik) ve işletme hesabının kalıcı olarak silinmesini başlatabilir. Ad soyad ve profil bilgileri profil / ayarlar ekranlarından düzeltilebilir.

8. Başvuru yolu

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurunuzu Türkçe ve aşağıdaki yollardan biriyle iletebilirsiniz:

Islak imzalı dilekçe ile şahsen veya noter aracılığıyla: [DOLDURULACAK: Şirket merkez adresi]
Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza ile: [DOLDURULACAK: KEP adresi]
Daha önce Şirket’e bildirdiğiniz ve sistemimizde kayıtlı e-posta adresinizden: [DOLDURULACAK: KVKK başvuru ve iletişim e-posta adresi]

Başvuruda ad, soyad (yazılı başvuruda imza), T.C. kimlik numarası (yabancılar için uyruk ve pasaport ya da kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta adresi, telefon ve faks numarası ile talep konusunun bulunması zorunludur; konuya ilişkin bilgi ve belgeler başvuruya eklenir.

Başvurular, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir (KVKK md.13). Başvurunuzun reddedilmesi, verilen cevabı yetersiz bulmanız veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz (KVKK md.14).

9. Saklama süreleri ve imha

Hesap ve kullanıcı verileri: işletme hesabı açık olduğu sürece saklanır. Hesap yöneticisi işletme hesabını sildiğinde, işletmeye ait kayıtlar (kullanıcılar ve denetim kayıtları dâhil) veritabanından geri alınamaz biçimde silinir.
İşletme hesabından çıkarılan kullanıcılar: devre dışı bırakılır; ad ve e-posta bilgisi, işletme hesabı silinene kadar veya başvuru üzerine silinene kadar kayıtlarda kalır.
Yedekler: silinen veriler yedeklerden [DOLDURULACAK: Yedek saklama süresi] içinde temizlenir.
Sunucu ve güvenlik kayıtları: [DOLDURULACAK: Sunucu günlüklerinin saklama süresi]
Hata izleme kayıtları: [DOLDURULACAK: Sentry saklama süresi]
Şirket’in kendi muhasebe kayıtları (ör. abonelik faturaları): Vergi Usul Kanunu md.253 uyarınca ilgili oldukları yılı izleyen takvim yılından başlayarak 5 yıl, Türk Ticaret Kanunu md.82 uyarınca 10 yıl.

İşletmelerin Hizmete girdiği ticari defter ve belge niteliğindeki kayıtlar için VUK ve TTK’daki saklama yükümlülüğü ilgili işletmeye aittir. Bu nedenle işletme hesabını silmeden önce verilerin dışa aktarılması önerilir.

Saklama süresi sona eren veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinir, yok edilir veya anonim hâle getirilir. Ayrıntılar: [DOLDURULACAK: Kişisel Veri Saklama ve İmha Politikası bağlantısı]