KVKK Aydınlatma Metni

KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ
(edonusum.dopigo.com – E-Dönüşüm Hizmetleri)

1. Veri Sorumlusu

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun” veya “KVKK”) 10’uncu maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında, veri sorumlusu sıfatıyla EMA Bilgi Teknoloji ve Yazılım A.Ş. (“Şirket”, “Dopigo” veya “edonusum.dopigo.com”) tarafından hazırlanmıştır.

edonusum.dopigo.com (“Platform”), mali müşavirler ile mükelleflerin e-fatura ve e-imza başvurularını yapabildiği, e-fatura kontör kullanımlarını takip edebildiği ve kontör satın alabildiği bir e-dönüşüm hizmet platformudur.

2. Veri Sorumlusu / Veri İşleyen Rolüne İlişkin Önemli Açıklama

Platform üzerinde işlenen kişisel veriler bakımından Şirket, somut işleme faaliyetine göre iki farklı rolde bulunabilir:

• Şirketin veri sorumlusu olduğu haller: Platforma üye olan kullanıcıların (mali müşavir veya mükellef) kendilerine ait hesap, kimlik, iletişim, işlem güvenliği ve fatura/ödeme bilgileri ile Şirketin kendi ticari faaliyetleri kapsamında işlediği veriler bakımından Şirket veri sorumlusudur. İşbu Aydınlatma Metni esas olarak bu işleme faaliyetlerini kapsar.
  
  
• Şirketin veri işleyen olduğu haller: Bir mali müşavir kullanıcının (veya bir mükellef kullanıcının), kendi müşterilerine / mükelleflerine ya da bu kişilerin müşterilerine ait kişisel verileri (örneğin e-fatura düzenlenen alıcıların ad-soyad, T.C. Kimlik / Vergi Kimlik Numarası, adres ve fatura bilgileri) Platforma girmesi veya yüklemesi halinde, bu üçüncü kişi verileri bakımından veri sorumlusu ilgili Kullanıcının (mali müşavir/mükellef) kendisidir; Şirket bu verileri yalnızca Kullanıcının talimatları ve hizmetin ifası ile sınırlı olarak işleyen veri işleyen konumundadır.

Bu kapsamda Kullanıcı; Platforma girdiği üçüncü kişi verileri için kendi aydınlatma yükümlülüğünü yerine getirmek, gerekli hukuki sebebi/açık rızayı sağlamak ve veri sorumlusu sıfatından doğan tüm yükümlülükleri karşılamakla bizzat sorumludur. Şirket ile veri sorumlusu Kullanıcı arasındaki veri işleme ilişkisinin ayrıntıları bu sözleşme ile düzenlenip iş bu sözleşme Kullanıcı Sözleşmesi’nin ayrılmaz parçasıdır.

3. İşlenen Kişisel Veri Kategorileri

Platformun sunduğu hizmetler kapsamında, aşağıdaki kişisel veri kategorileri işlenebilmektedir:

• Kimlik Bilgisi: ad, soyad, T.C. Kimlik Numarası / Vergi Kimlik Numarası (VKN), vergi dairesi, doğum tarihi, unvan, imza sirküleri/yetki bilgileri.
• İletişim Bilgisi: telefon, e-posta adresi, adres/işyeri adresi, KEP adresi.
• Müşteri/Mükellef İşlem Bilgisi: mükellefiyet bilgileri, mali müşavir–mükellef ilişkisine dair bilgiler, başvuru kayıtları, hizmet kullanım geçmişi.
• E-İmza Başvuru Bilgisi: elektronik sertifika başvurusu için gerekli kimlik doğrulama bilgileri ve başvuru formu/belgeleri (kimlik belgesi bilgileri, başvuru sahibinin beyan ettiği bilgiler).
• Finans Bilgisi: fatura bilgileri, e-fatura/e-arşiv belge içerikleri, kontör satın alım ve kullanım kayıtları, ödeme bilgileri (banka/kart işlem referansları).
• İşlem Güvenliği Bilgisi: kullanıcı adı, parola (özetlenmiş/şifreli), oturum ve giriş kayıtları, IP adresi, log kayıtları.
• Pazarlama Bilgisi: (yalnızca açık rıza vermeniz halinde) tercihler, bildirim ve kampanya hedefleme bilgileri, çerez kayıtları.

Not: E-imza ve e-fatura başvuru süreçlerinde, kural olarak Kanun’un 6’ncı maddesi anlamında özel nitelikli kişisel veri işlenmesi amaçlanmamaktadır. Başvuru türüne göre özel nitelikli veri işlenmesinin gerekmesi halinde, bu veriler yalnızca Kanun’un 6’ncı maddesindeki şartlar (açık rıza veya kanunda öngörülme) çerçevesinde ve ek güvenlik tedbirleri ile işlenir.

4. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Platforma üyelik kaydının oluşturulması, kimlik doğrulama ve hesap yönetiminin yürütülmesi,
• E-fatura / e-arşiv başvurularının alınması, Gelir İdaresi Başkanlığı (GİB) ve/veya özel entegratörler nezdinde gerekli işlemlerin yürütülmesi,
• E-imza (elektronik sertifika) başvurularının alınması ve Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) nezdinde başvuru sürecinin yürütülmesi,
• E-fatura kontör kullanımının takibi, raporlanması ve kontör satın alım işlemlerinin gerçekleştirilmesi,
• Mali müşavir–mükellef yetkilendirme ilişkisinin yönetilmesi,
• Ödeme, faturalandırma ve finans/muhasebe süreçlerinin yürütülmesi,
• Vergi mevzuatı (213 sayılı Vergi Usul Kanunu, e-Belge düzenlemeleri), 5070 sayılı Elektronik İmza Kanunu ve diğer mevzuattan doğan hukuki yükümlülüklerin yerine getirilmesi,
• Bilgi güvenliği, dolandırıcılık/suistimalin önlenmesi ve sistem güvenliğinin sağlanması,
• Müşteri destek, talep/şikâyet yönetimi ve iletişim faaliyetlerinin yürütülmesi,
• Hizmetlerin iyileştirilmesi, istatistiksel analiz ve iş geliştirme faaliyetleri,
• Yalnızca açık rızanız bulunması halinde: tanıtım, kampanya ve ticari elektronik ileti gönderimi.

Pazarlama ve Ticari Elektronik İleti Bilgilendirmesi: Açık rıza vermeniz hâlinde, kimlik ve iletişim bilgileriniz (özellikle e-posta adresiniz ve telefon numaranız), size tanıtım/kampanya içerikli ticari elektronik ileti (e-posta, SMS, arama) gönderilmesi amacıyla işlenir ve bu kapsamda alınan onaylarınız İleti Yönetim Sistemi’ne (İYS) kaydedilerek yönetilir. Bu kişisel verilerin pazarlama amacıyla işlenmesine/aktarılmasına ilişkin KVKK açık rızası ile 6563 sayılı Kanun kapsamındaki ticari elektronik ileti onayı (İYS) birbirinden bağımsızdır; her biri ayrıca ve açıkça alınır, dilediğiniz zaman ayrı ayrı geri alınabilir. Ticari elektronik ileti almayı reddetme (çıkış) hakkınızı her zaman ücretsiz olarak İYS (iys.org.tr, İYS mobil uygulaması, e-Devlet) üzerinden veya iletilerde sunulan kanallardan kullanabilirsiniz; ret bildiriminiz en geç 3 iş günü içinde uygulanır.

5. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri

Kişisel verileriniz, Kanun’un 5’inci maddesinde öngörülen aşağıdaki hukuki sebeplere dayanılarak işlenir:

• m.5/2-c (Sözleşmenin kurulması/ifası): üyelik ve hizmet sözleşmesinin kurulması, e-fatura/e-imza/kontör hizmetlerinin sunulması ile doğrudan ilgili olması nedeniyle,
• m.5/2-ç (Hukuki yükümlülük): vergi mevzuatı, e-belge ve e-imza mevzuatı ile saklama/raporlama yükümlülüklerinin yerine getirilmesi amacıyla,
• m.5/2-e (Bir hakkın tesisi, kullanılması veya korunması): olası uyuşmazlıklarda delil ve savunma amacıyla,
• m.5/2-f (Meşru menfaat): ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla bilgi güvenliği, hizmet kalitesi ve iş geliştirme amaçlarıyla,
• m.5/1 (Açık rıza): yalnızca ticari elektronik ileti/pazarlama gibi diğer bir hukuki sebebe dayanmayan işleme faaliyetleri ile gerektiğinde yurt dışına aktarım bakımından.

6. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz; Platform üzerindeki kayıt ve başvuru formları, hesap üzerinden gerçekleştirdiğiniz işlemler, yüklediğiniz belge ve bilgiler, çağrı merkezi/e-posta/destek kanalları ile çerez ve benzeri teknolojiler aracılığıyla; tamamen veya kısmen otomatik ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle toplanır.7. Kişisel Verilerin Aktarılması

Kişisel verileriniz, yukarıdaki amaçlarla sınırlı olarak ve Kanun’un 8’inci maddesine uygun şekilde, gerekli güvenlik ve gizlilik tedbirleri alınmak kaydıyla aşağıdaki taraflara aktarılabilir:

• Gelir İdaresi Başkanlığı (GİB) ve ilgili kamu kurum/kuruluşları – e-fatura/e-arşiv/e-belge ve mevzuat yükümlülükleri kapsamında,
• Özel entegratörler / e-fatura ve e-belge hizmet sağlayıcıları – e-belge süreçlerinin yürütülmesi amacıyla,
• Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) – e-imza başvurularının gerçekleştirilmesi amacıyla,
• Bankalar ve ödeme kuruluşları – ödeme ve kontör satın alım işlemleri kapsamında,
• Bilişim altyapısı, barındırma (hosting), bulut, yazılım ve destek hizmeti sağlayıcıları – hizmetin teknik olarak sunulması amacıyla,
• Hukuk, mali müşavirlik ve denetim danışmanları – hukuki ve mali yükümlülüklerin yerine getirilmesi amacıyla,
• Yetkili kamu kurum ve kuruluşları ile adli/idari merciler – kanunen yetkili olmaları halinde.

7.1. Yurt Dışına Aktarım

Kişisel verileriniz kural olarak Türkiye’de barındırılır ve işlenir. Hizmetin gerektirdiği ölçüde yurt dışına aktarım söz konusu olduğunda, aktarım Kanun’un 01.06.2024 tarihinde yürürlüğe giren değişik 9’uncu maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik çerçevesinde gerçekleştirilir. Buna göre aktarım;

1. Aktarımın yapılacağı ülke/sektör/kuruluş hakkında Kurul tarafından verilmiş bir yeterlilik kararının bulunması,
2. Yeterlilik kararı yoksa, tarafların uygun güvencelerden birini (standart sözleşme, bağlayıcı şirket kuralları vb.) sağlaması,
3. Bunların da bulunmadığı hallerde, Kanun’un 9’uncu maddesindeki arızi (istisnai) hallerin varlığı

şartlarından birine dayanılarak yapılır.

8. Kişisel Verilerin Saklanma Süresi

Kişisel verileriniz, işleme amaçlarının gerektirdiği süre boyunca ve her hâlde:

• Vergi Usul Kanunu, e-belge ve ilgili mali mevzuat uyarınca öngörülen saklama süreleri (kural olarak 5 yıl),
• Türk Ticaret Kanunu uyarınca ticari defter ve belgeler için öngörülen 10 yıllık saklama süresi,
• İlgili kanunlarda öngörülen zamanaşımı süreleri ve olası uyuşmazlıklarda savunma hakkının kullanılması için gerekli süreler

boyunca saklanır. Süre sonunda kişisel verileriniz silinir, yok edilir veya anonim hâle getirilir.

9. İlgili Kişinin Kanun’un 11’inci Maddesindeki Hakları

Kişisel veri sahibi olarak Kanun’un 11’inci maddesi uyarınca;

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik/yanlış işlenmişse düzeltilmesini isteme,
• Kanun’daki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme/silme/yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç doğmasına itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz.

Bu haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca yazılı olarak veya kayıtlı e-posta ile yukarıdaki iletişim bilgileri üzerinden Şirkete iletebilirsiniz. Talepleriniz, niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret alınabilir.

10. Veri Güvenliği

Şirket, Kanun’un 12’nci maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek ile verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirleri alır ve gerekli denetimleri yapar/yaptırır.

11. Değişiklikler

İşbu Aydınlatma Metni, mevzuattaki değişiklikler ve hizmetlerdeki gelişmeler doğrultusunda güncellenebilir. Güncel metin her zaman edonusum.dopigo.com üzerinde yayımlanır.

12. Çerez Politikası

Bu bölüm, Platformda kullanılan çerezlere ilişkin olarak Kişisel Verileri Koruma Kurumu’nun Çerez Uygulamaları Hakkında Rehber’i ve KVKK çerçevesinde hazırlanmış olup Aydınlatma Metni’nin ayrılmaz parçasıdır.

12.1. Çerez Nedir?

Çerezler (cookies), bir internet sitesini ziyaret ettiğinizde tarayıcınıza/cihazınıza kaydedilen küçük metin dosyalarıdır. Çerezler aracılığıyla işlenen bilgiler (örneğin IP adresi, cihaz/çevrim içi tanımlayıcılar, oturum bilgileri, gezinme davranışı) çoğu durumda kişisel veri niteliği taşır ve KVKK kapsamında değerlendirilir.

12.2. Kullandığımız Çerez Türleri

12.3. Çerez Yönetimi

Zorunlu olmayan çerezler, Platforma ilk girişinizde sunulan çerez yönetim panelinden (çerez banner’ı) verdiğiniz açık rızaya bağlı olarak çalıştırılır. Rızanızı dilediğiniz zaman çerez ayar panelinden veya tarayıcı ayarlarınızdan geri alabilirsiniz. Reddetme seçeneği, kabul seçeneği ile eşit kolaylıkta sunulur.

12.4. Pazarlama Platformlarına ve Yurt Dışına Aktarım Riski

Pazarlama, reklam ve dijital analiz faaliyetlerimiz kapsamında, çerezler ve benzeri izleme teknolojileri (piksel, SDK, etiket/tag, API entegrasyonları) aracılığıyla toplanan veriler (IP adresi, çevrim içi/cihaz tanımlayıcıları, davranışsal veriler, iletişim bilgileri), yurt dışı merkezli çok sayıda hizmet sağlayıcıya aktarılabilir. Bu sağlayıcılar, aşağıdakiler dâhil ancak bunlarla sınırlı olmamak üzere çeşitli kategorilerde olabilir:

• Reklam ve hedefleme ağları (ör. Meta/Facebook–Instagram, Google Ads, TikTok, LinkedIn, Microsoft/Bing Ads, X vb.),
• Web/uygulama analizi ve ölçümleme araçları (ör. Google Analytics, ısı haritası ve kullanıcı davranışı analiz araçları),
• E-posta ve SMS pazarlama / pazarlama otomasyonu platformları (ör. e-bülten ve kampanya gönderim araçları),
• CRM, müşteri veri platformu (CDP) ve müşteri iletişim/destek araçları,
• Etiket yönetimi, kişiselleştirme, push bildirim ve A/B test hizmetleri.

Bu sağlayıcıların önemli bir kısmı verileri Amerika Birleşik Devletleri başta olmak üzere yurt dışındaki sunucularda işlediğinden, söz konusu işlemler KVKK m.9 anlamında yurt dışına aktarım niteliğindedir. Bu kapsamda aşağıdaki hususlar geçerlidir:

• ABD ve birçok ülke için Kurul tarafından verilmiş bir yeterlilik kararı bulunmamaktadır. Bu nedenle aktarımın hukuka uygun olabilmesi için, ya ilgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi (KVKK m.9/6 arızi hâl) ya da taraflarca uygun güvence (standart sözleşme veya bağlayıcı şirket kuralları) sağlanması gerekir.
• Standart sözleşme yoluyla yapılan aktarımlarda, imzalanan sözleşmenin 5 iş günü içinde Kurula bildirilmesi zorunludur; bu bildirimin yapılmaması başlı başına idari para cezası sebebidir.
• Kurul, süreklilik arz eden (sistematik) aktarımlarda yalnızca açık rızaya dayanılmasının tek başına yeterli/sürdürülebilir bir yöntem olmadığını değerlendirmektedir. Bu nedenle düzenli olarak kullanılan pazarlama, reklam ve analiz araçları için uygun güvence (standart sözleşme) mekanizmalarının kurulması önerilir.

Pazarlama amaçlı bu aktarımlar yalnızca, bu konuda verdiğiniz açık rıza çerçevesinde ve/veya sağlanan uygun güvencelere dayanılarak gerçekleştirilir. Çerez yönetim panelinden ve/veya pazarlama izinlerinden onay vermemeniz ya da rızanızı geri almanız hâlinde, ilgili yurt dışı aktarımlar gerçekleştirilmez.

Kullanılan başlıca pazarlama/analiz sağlayıcılarının güncel listesi ve aktarım dayanakları, talebiniz hâlinde tarafınızla paylaşılır ve bu Politika ile çerez yönetim paneli üzerinden güncel tutulur.