Veri İşleme Sözleşmesi

1. Taraflar ve Sıfatları

• Kullanıcı (Veri Sorumlusu): YMMNET'e üye olan ve platforma kendi müşterilerine, mükelleflerine veya bunların çalışanlarına ait verileri yükleyen gerçek ya da tüzel kişi. Kullanıcı, bu veriler bakımından işleme amaçlarını ve vasıtalarını belirleyen veri sorumlusudur.
• YMMNET (Veri İşleyen): YMMNET platformunu işleten gerçek kişi Eser Sevinç — Merkez Mah. Kocamansur Sok. No:95/13, Şişli / İstanbul · esersevinc@gmail.com · +90 533 690 74 36. Bu sözleşmede "YMMNET" ifadesi veri işleyeni anlatır. YMMNET, bu verileri yalnızca kullanıcı adına ve kullanıcının talimatıyla işleyen veri işleyendir.

YMMNET'in kullanıcının kendi üyelik ve iletişim verileri bakımından veri sorumlusu sıfatı bu sözleşmenin konusu değildir; bunun için Aydınlatma Metni geçerlidir.

2. Konu ve Amaç

Bu sözleşmenin konusu, kullanıcının YMMNET panellerinde (YMM Çalışma Kağıtları, Bağımsız Denetim, Vergi İncelemesi, KDV İadesi, Hile Denetimi, E-Defter Analizi, Müşteri Portalı) ve veri yükleme araçlarında yürüttüğü çalışmalar için platforma yüklediği kişisel verilerin, yalnızca bu hizmetin sunulması amacıyla (depolama, okuma/ayrıştırma, hesaplama, çalışma kâğıdı, tablo ve rapor üretimi, kullanıcının yetkilendirdiği ekip üyeleri ve müşterileriyle paylaşım) işlenmesine ilişkin koşulların KVKK m.12'ye uygun biçimde belirlenmesidir.

3. İşlenen Veri Kategorileri ve İlgili Kişi Grupları

a) Veri kategorileri

• E-defter (yevmiye, büyük defter, berat), Kebir, mizan ve yevmiye kayıtları ile muhasebe programı aktarımları,
• Gelir, kurumlar, KDV, muhtasar ve diğer beyannameler ile bunların ekleri,
• Bunlardan üretilen çalışma kâğıtları, finansal tablolar, notlar, bulgular, kanıt dosyaları ve raporlar,
• Kıdem tazminatı çalışmalarında çalışan kısa kodları ve ücret bilgileri,
• Belge istemi ve müşteri portalı üzerinden müşterinin yüklediği belgeler ile davet edilen kişinin ad ve e-posta adresi,
• Bu kayıtlarda yer alan kimlik (ad-soyad/unvan, T.C. kimlik veya vergi kimlik numarası), iletişim ve mali bilgiler.

b) İlgili kişi grupları

Kullanıcının müşterileri ve mükellefleri (gerçek kişi mükellefler, şirketlerin yetkilileri); bu mükelleflerin çalışanları, ortakları, tedarikçileri ve müşterileri ile kayıtlarda adı geçen diğer gerçek kişiler.

4. Süre

Sözleşme, kullanıcının onayıyla yürürlüğe girer ve hesap açık kaldığı sürece devam eder. Kullanıcının hesabını silmesi (üyelikten ayrılma) ya da hesabın Kullanım Koşulları uyarınca kapatılmasıyla sona erer. Sona ermeden sonra verilerin akıbeti 13. maddeye göre belirlenir.

5. Talimata Bağlılık ve Amaçla Sınırlılık

• YMMNET verileri yalnızca kullanıcının talimatıyla ve hizmetin sunulması amacıyla işler. Kullanıcının platformda dosya açması, veri yüklemesi, çalışma ve rapor üretmesi, ekip üyesi ya da müşteri davet etmesi, kayıt silmesi bu sözleşme bakımından talimat sayılır.
• YMMNET verileri kendi amaçları için kullanmaz; satmaz, kiralamaz, reklam veya pazarlama amacıyla kullanmaz, yapay zekâ modeli eğitiminde kullanmaz, bir kullanıcının verisini başka kullanıcıların verisiyle karşılaştırmaz veya birleştirmez.
• YMMNET, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse bunu kullanıcıya bildirir.
• Mevzuat gereği yetkili kamu kurum ve kuruluşlarınca veri talep edilmesi hâlinde YMMNET, hukuken yasaklanmadıkça kullanıcıyı bilgilendirir ve yalnızca talebin gerektirdiği ölçüde paylaşım yapar.

6. Gizlilik

• YMMNET, kendisi adına verilere erişebilecek kişilerin (varsa yardımcıları ve çalışanları), görev sürelerince ve sonrasında süresiz olarak gizlilik yükümlülüğü altında olmasını sağlar; erişimi görevin gerektirdiği kişilerle sınırlar.
• Sistem yöneticisi kullanıcı dosyalarına yalnızca kullanıcının talep ettiği teknik destek için ya da mevzuat gereği zorunlu hâllerde, salt okunur olarak erişebilir; bu erişim değişiklik yapma yetkisi içermez.
• KVKK m.12/4 uyarınca öğrenilen kişisel veriler başkasına açıklanamaz ve işleme amacı dışında kullanılamaz; bu yükümlülük sözleşme sona erdikten sonra da devam eder.

7. Güvenlik Tedbirleri (KVKK m.12)

KVKK m.12/2 uyarınca taraflar, verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirlerin alınmasından müştereken sorumludur. YMMNET'in platform tarafında uyguladığı tedbirler şunlardır (ayrıntı: Güven Merkezi):

• Tüm trafiğin HTTPS/TLS ile şifrelenmesi ve kalıcı güvenli bağlantı talimatı (HSTS),
• İçerik Güvenliği Politikası (CSP), çerçeveleme engeli, MIME tipi zorlaması ve diğer güvenlik başlıkları,
• Form gönderimlerinde siteler arası istek sahteciliğine (CSRF) karşı jeton doğrulaması,
• ASP.NET Core Identity ile kimlik doğrulama; şifrelerin geri döndürülemez biçimde saklanması; iki adımlı doğrulama imkânı,
• Kullanıcı bazlı erişim izolasyonu ve rol tabanlı yetkilendirme: kullanıcı yalnızca kendi verisine ve kendisinin yetkilendirdiği ekip üyesi/müşteri yalnızca ilgili dosyaya erişir,
• Yüklenen dosyaların web'den doğrudan erişilemeyen korumalı bir alanda tutulması,
• Uygulama kaynak kodunun özel bir depoda tutulması; müşteri verisinin kod deposuna dahil edilmemesi,
• Raporların ve hesaplamaların yalnızca YMMNET sunucusunda üretilmesi; verinin işleme için platform dışındaki bulut hizmetlerine veya üçüncü taraf API'lerine gönderilmemesi,
• Veritabanı ve sunucudaki dosyaların her gün otomatik olarak, şifreli bağlantı üzerinden barındırma sunucusundan ayrı bir ortama yedeklenmesi; yedeklerin 30 gün saklanıp bu sürenin sonunda silinmesi.

Kullanıcı da kendi tarafında güçlü ve kendine özel şifre kullanmak, iki adımlı doğrulamayı açmak, hesap bilgilerini paylaşmamak, ekip üyesi ve müşteri yetkilendirmelerini güncel tutmak ve platformdan indirdiği çıktıları kendi ortamında korumakla yükümlüdür. YMMNET bağımsız bir güvenlik sertifikasına (ör. ISO 27001) sahip değildir ve bunu iddia etmez.

8. Alt Veri İşleyenler

Kullanıcı, hizmetin sunulması için aşağıdaki alt veri işleyenlerin kullanılmasını kabul eder:

YMMNET, alt veri işleyen eklemeden veya değiştirmeden önce kullanıcıları e-posta ve/veya platform üzerinden bilgilendirir. Kullanıcı değişikliği kabul etmezse sözleşmeyi sona erdirip verilerini silebilir (13. madde). YMMNET, alt veri işleyenlerin bu sözleşmedeki yükümlülüklere uygun davranması için gerekli özeni gösterir.

9. Yurt Dışına Aktarım

Yüklenen çalışma verileri (e-defter, mizan, beyanname, çalışma kâğıdı vb.) Türkiye'de barındırılır ve yurt dışına aktarılmaz. Yurt dışı aktarım yalnızca e-posta iletimiyle sınırlıdır: Google e-posta altyapısı üzerinden gönderilen e-postalardaki alıcı ad-soyadı, e-posta adresi ve e-posta içeriği yurt dışındaki sunuculardan geçebilir.

Bu aktarım, 7499 sayılı Kanunla değişik KVKK m.9'da öngörülen dayanaklardan uygun olanına dayandırılır: aktarımın yapıldığı ülke veya sektör için Kurulca verilmiş bir yeterlilik kararı; bulunmuyorsa Kanun'da sayılan uygun güvencelerden biri (özellikle Kurulca ilan edilen standart sözleşme — standart sözleşme imzalandığı tarihten itibaren beş iş günü içinde Kurula bildirilir); bunlar da bulunmuyorsa ve yalnızca arızi nitelikteki aktarımlar için m.9/6'da sayılan istisnai hâllerden biri.

10. Veri İhlali Bildirimi

• YMMNET, kullanıcının verilerini etkileyen bir veri ihlalini öğrendiğinde kullanıcıyı gecikmeksizin ve en geç 72 saat içinde, hesabında kayıtlı e-posta adresine bildirir. Bildirimde, o an bilinebildiği ölçüde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kayıt sayısı, olası sonuçları ve alınan/önerilen tedbirler yer alır; henüz bilinmeyen bilgiler öğrenildikçe tamamlanır.
• KVKK m.12/5 uyarınca ihlali ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na bildirme yükümlülüğü veri sorumlusu olan kullanıcıya aittir. Kurul kararına göre bu bildirim, veri sorumlusunun ihlali öğrenmesinden itibaren en kısa sürede ve en geç 72 saat içinde yapılmalıdır. YMMNET, kullanıcının bu bildirimi hazırlaması için ihtiyaç duyduğu bilgileri sağlar.
• YMMNET, ihlalin etkilerini sınırlamak ve tekrarını önlemek için gerekli tedbirleri gecikmeksizin alır.

11. İlgili Kişi Başvurularında Destek

İlgili kişilerin (ör. bir mükellefin çalışanı) KVKK m.11 kapsamındaki başvurularını cevaplamak kullanıcıya aittir. YMMNET'e doğrudan böyle bir başvuru gelirse YMMNET, başvuruyu gecikmeksizin ilgili kullanıcıya yönlendirir ve kullanıcının 30 günlük cevap süresine uyabilmesi için gerekli teknik desteği (ör. ilgili kaydın bulunması, düzeltilmesi veya silinmesi) sağlar. Kullanıcı, platformdaki düzenleme ve silme işlevleriyle bu talepleri büyük ölçüde kendisi de karşılayabilir.

12. Bilgi ve Denetim Talebi

• Kullanıcı, YMMNET'in bu sözleşmeye uyumunu göstermek için makul ölçüde bilgi ve belge talep edebilir. Talepler öncelikle yazılı açıklama, belge ve rapor sunulmasıyla karşılanır.
• Yazılı bilgi yeterli olmazsa denetim, makul bir süre önceden yazılı bildirimle, çalışma saatleri içinde, işleyişi aksatmayacak ve diğer kullanıcıların verilerinin gizliliğini tehlikeye atmayacak biçimde yapılabilir; denetim masrafları talep eden kullanıcıya aittir.
• Kurul veya diğer yetkili mercilerin denetim yetkileri saklıdır.

13. Sözleşmenin Sona Ermesi ve Verilerin Silinmesi

• Kullanıcı, sözleşme sona ermeden veya hesabını silmeden önce verilerini panellerdeki rapor, çıktı ve indirme işlevleriyle indirebilir; bu konuda destek için e-posta ile başvurabilir.
• Kullanıcı hesabını sildiğinde (üyelikten ayrılma) hesabı ve platformdaki çalışma verileri (panellerdeki kayıtlar ve sunucudaki dosyalar) kalıcı olarak silinir. Kullanıcı dosyaları ve kayıtları hesap açıkken de dilediği zaman silebilir.
• Silinen veriler yedeklerden, yedekleme döngüsünün sonunda — yedekler 30 gün saklandığından en geç 30 gün içinde — silinir. Bu süre içinde yedekler yalnızca felaket kurtarma amacıyla kullanılır.
• Mevzuat gereği saklanması zorunlu kayıtlar ile hesabın silinmesine ilişkin işlem kayıtları, Aydınlatma Metni'nde belirtilen süreler boyunca saklanır.

14. Sorumluluk

• Her taraf, bu sözleşmeden ve KVKK'dan doğan kendi yükümlülüklerini ihlal etmesinden sorumludur.
• Kullanıcı, platforma yüklediği verileri işleme ve YMMNET'e işletme yetkisine sahip olduğunu, ilgili kişileri aydınlattığını ve gerekli hukuki dayanağı sağladığını kabul eder; bu konudaki eksiklikten doğan taleplerden kullanıcı sorumludur.
• Platform şu an ücretsiz sunulduğundan, YMMNET'in sorumluluğu kanunun izin verdiği ölçüde doğrudan ve öngörülebilir zararlarla sınırlıdır; dolaylı zararlar ve kâr kaybından sorumluluk kabul edilmez. Kast ve ağır ihmal ile kanunen sınırlandırılamayan sorumluluk hâlleri saklıdır.

15. Uygulanacak Hukuk ve Yetki

Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda İstanbul (Merkez) Mahkemeleri ve İcra Daireleri yetkilidir. Kullanıcının tüketici sayıldığı hâllerde 6502 sayılı Tüketicinin Korunması Hakkında Kanun'un tüketici hakem heyetleri ve tüketici mahkemelerine ilişkin hükümleri saklıdır.

16. Değişiklik ve Yeniden Onay

YMMNET bu sözleşmeyi mevzuat değişikliği, hizmetteki değişiklik veya alt işleyen değişikliği gibi nedenlerle güncelleyebilir. Her güncelleme yeni bir sürüm numarası ve yürürlük tarihiyle yayımlanır; yeni sürüm, kullanıcı tarafından onaylanmadıkça panellerde ve veri yükleme araçlarında işlem yapılamaz. Kullanıcı yeni sürümü kabul etmezse hesabını silerek sözleşmeyi sona erdirebilir.