1. Kimlik ve Roller
Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) madde 10 uyarınca, [Şirket Unvanı Buraya Gelecek] (“Evrakia” markası altında hizmet veren, “Evrakia” veya “biz”) tarafından hazırlanmıştır. Şirket adresi, MERSİS numarası ve iletişim bilgileri bu bölümde tam olarak belirtilecektir.
Rolümüz, hangi veriden söz ettiğimize göre değişir. Bu ayrımı baştan yapıyoruz, çünkü ikisini tek bir başlık altında toplamak yanıltıcı olurdu:
- Hesap bilgileriniz için veri sorumlusuyuz. Adınız, e-posta adresiniz, firma unvanınız, oturum kayıtlarınız ve destek talepleriniz — bunları hizmeti kurmak ve sürdürmek için kendi amacımızla işleriz.
- Yüklediğiniz belgelerin içeriği için veri işleyeniz. O belgelerin neden ve hangi amaçla işleneceğine siz karar verirsiniz; biz yalnızca sizin talimatınızla okur ve doğrularız. Belgelerde adı geçen kişiler açısından veri sorumlusu sizsiniz. Bu ilişkinin şartları Veri İşleme Sözleşmesi ile düzenlenir.
2. İşlenen Kişisel Veriler ve İşleme Amaçları
Evrakia’yı kullanırken aşağıdaki kişisel veri kategorileri işlenir:
- Kimlik ve iletişim bilgileri: ad soyad, e-posta adresi, firma unvanı — hesap oluşturma, kimlik doğrulama ve firma bazlı erişim izolasyonunun sağlanması amacıyla.
- İşlem güvenliği bilgileri: giriş zaman damgaları, oturum kaydı — hesap güvenliğinin sağlanması ve kötüye kullanımın (örn. brute-force giriş denemeleri) önlenmesi amacıyla.
- Yüklenen belgelerdeki veriler: tarafınızca sisteme yüklenen belgelerde (fatura, çeki listesi, konşimento, CMR, menşe şahadetnamesi, sigorta poliçesi, A.TR / EUR.1 dolaşım belgesi, sağlık / gıda güvenliği sertifikası, üretim / son kullanma sertifikası) yer alabilecek VKN/TC kimlik numarası, tedarikçi/alıcı adı, iletişim kişisi, IBAN gibi bilgiler — belgenin AI ile okunup yapılandırılmış tabloya dönüştürülmesi ve doğrulama kontrollerinin (tutarlılık, olağan dışı değer tespiti vb.) yapılması amacıyla.
- Düzenleme/onay kayıtları: inceleme ekranında yaptığınız düzeltmeler ve onay zaman damgası — denetim izi (kim, ne zaman, hangi alanı değiştirdi) tutulması ve olası uyuşmazlıklarda kanıt sağlanması amacıyla.
- Destek talepleri ve ürün geri bildirimleri: uygulama içindeki “Yardım → Geri bildirim gönder” kutusuna yazdığınız mesaj, mesajı yazdığınız sayfanın adresi, gönderim zamanı ve talebin türü (hata / öneri / yanlış okuma) — talebinizin yanıtlanması, bildirdiğiniz hatanın giderilmesi ve hizmetin iyileştirilmesi amacıyla. Bu kayıt, size geri dönüş yapılabilmesi için adınız, e-posta adresiniz ve firma unvanınızla birlikte saklanır ve Evrakia destek ekibi tarafından görülebilir. Mesaj alanı serbest metindir; buraya kendiniz yazmadığınız sürece belge içeriğiniz bu kayda dahil edilmez — bu nedenle mesaja gerekmedikçe müşteri, tedarikçi veya tutar bilgisi yazmamanızı öneririz.
- Sözleşme onay kayıtları: kayıt olurken Kullanım Şartları ve Gizlilik Politikası’nı kabul ettiğinize dair kayıt — hangi metnin hangi sürümünü ne zaman kabul ettiğiniz ve hesabın hangi yoldan açıldığı (kendi kaydınız, Google ile kayıt, davet kabulü ya da firma yöneticinizin sizin adınıza açması) saklanır. Hesabınızı firma yöneticiniz açtıysa metinleri kabul eden taraf firmadır; kayıt bunu ayırt edilebilir biçimde tutar. Bu kayıt, kabulün kanıtı olduğu için hesabınız durduğu sürece tutulur. IP adresiniz bu amaçla toplanmaz.
Bu veriler, KVKK madde 5’te sayılan sözleşmenin kurulması/ifası için gerekli olma ve meşru menfaat hukuki sebeplerine dayanılarak işlenir.
3. Kişisel Verilerin Aktarılması — Yurt Dışına Aktarım Dahil
Belge okuma (yapay zeka ile alan çıkarma) işlemi için belgenin tamamı — metni ve görüntüsü — hizmet sağlayıcımız Anthropic’in (Claude API) altyapısına iletilir. Belgede yazan her şey, taraf adları ve iletişim kişisi dahil, bu aktarıma dahildir. Veritabanı ve dosya depolaması Supabase’de, uygulamanın kendisi Vercel üzerinde çalışır; e-posta gönderimi Resend, e-postayla belge alımı Mailgun üzerinden yapılır; Google ile giriş ve Google Sheets’e aktarım isteğe bağlıdır.
Bu sağlayıcıların her biri, hangi verinin gittiği ve hangi bölgede işlendiğiyle birlikte Alt İşleyenler sayfasında tek tek listelenmiştir. Sunucuların bir kısmı Türkiye sınırları dışındadır.
KVKK madde 9 (2024 değişikliği sonrası) uyarınca, kişisel verilerin yurt dışına aktarımı; Kişisel Verileri Koruma Kurulu tarafından yeterli korumaya sahip olduğu ilan edilen bir ülkeye yapılıyorsa, veya veri sorumlusu ile alıcı arasında yeterli korumayı taahhüt eden bir sözleşme/taahhütname bulunuyor ve Kurul’a bildirim yapılıyorsa, ya da açık rızanız alınmışsa mümkündür. Bu aktarımın hangi hukuki mekanizmaya dayandığı (açık rıza / taahhütname / yeterlilik kararı) henüz kesinleştirilmemiştir — bu, yayın öncesi avukat onayı gereken en kritik noktadır.
Belgeleriniz, yapay zeka model eğitimi amacıyla kullanılmaz; yalnızca sizin talebinizi (belge okuma/doğrulama) yerine getirmek amacıyla işlenir.
4. Kişisel Veri Toplamanın Yöntemi
Verileriniz, web sitesi üzerinden doğrudan sizin tarafınızdan girilerek (kayıt formu, belge yükleme) veya firmanıza tanımlı adrese e-posta ile belge göndermeniz yoluyla, elektronik ortamda toplanır.
5. Veri Sahibi Olarak Haklarınız (KVKK m. 11)
KVKK’nın 11. maddesi uyarınca aşağıdaki haklara sahipsiniz:
- Kişisel verinizin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik/yanlış işlenmişse düzeltilmesini isteme,
- KVKK’da öngörülen şartlarda silinmesini/yok edilmesini isteme,
- Düzeltme/silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Otomatik sistemlerle analiz sonucu aleyhinize bir sonuç ortaya çıkmasına itiraz etme,
- Zarara uğramanız halinde tazminat talep etme.
Bu haklarınızı kullanmak için destek@evrakia.com adresine yazılı olarak başvurabilirsiniz.
6. Veri Güvenliği
Firma verileri, çok kiracılı (multi-tenant) mimaride firma kimliğine (companyId) göre izole edilir — bir firma başka bir firmanın belgesine erişemez. Şifreler tersine çevrilemez biçimde (bcrypt) saklanır, düz metin olarak hiçbir yerde tutulmaz. Üçüncü taraf entegrasyonları için saklanan erişim anahtarları (örn. Google Sheets bağlantısı) şifrelenmiş olarak tutulur.
Yönetici panelimiz belgelerinizin içeriğini gösteremez. Bu bir vaat değil, koda yazılmış bir sınırdır: panelin veri sorgusu tutar, tedarikçi adı, kalem bilgisi gibi hiçbir alan değerini seçmez. Ekibimizin panelde gördüğü şey dosya adı, tarih, firma adı, sayısal göstergeler (örneğin kaç belgede kaç alandan emin olunamadığı) ve okuma başarısız olduysa teknik hata mesajıdır.
İkinci ve tek diğer erişim noktası, 2. bölümde açıklanan destek talepleridir: bir talebi yanıtlayabilmek için talebi gönderen kişinin adı, e-posta adresi ve firma unvanı destek ekibine görünür. Bu erişim de gönderdiğiniz mesajla sınırlıdır ve belgelerinizin içeriğine erişim sağlamaz.
7. Saklama ve İmha
Bu bölüm daha önce eksikti; Kullanım Şartları buraya atıf yaptığı hâlde karşılığı yoktu. Artık şöyle:
- Deneme (pilot) kullanımında: yüklediğiniz belgeler ve bunlardan çıkarılan veriler deneme süresi biter bitmez silinir. Ayrıca istediğiniz an, beklemeden kendiniz silebilirsiniz — panelde belgeleri seçip “Sil” demeniz yeterli. Silme işlemi hem veritabanı kaydını hem de dosyanın kendisini kaldırır.
- Hesabınızı kapatırsanız: belgeleriniz ve çıkarılan veriler silinir. Silinmeden önce verilerinizi Excel veya Google Sheets olarak dışa aktarabilirsiniz.
- Okunamayan yüklemeler: bir belge teknik bir nedenle okunamazsa (bozuk dosya, okuma servisinin geçici kesintisi) dosyanın kendisi, siz yeniden deneyebilesiniz diye en fazla 7 gün saklanır, sonra otomatik olarak silinir. Bu süre dolmadan da panelden kendiniz silebilirsiniz.
- Sözleşme onay kayıtları (bölüm 2) hesabınız durduğu sürece saklanır: neyi ne zaman kabul ettiğinizin kanıtı olduğu için, belgelerle birlikte silinmez.
İşlenmiş belgelerinizin silme işlemini biz yaparız; onlar için şu an zamanlanmış otomatik bir silme mekanizması yoktur (tek istisna yukarıdaki okunamayan yükleme dosyalarıdır: onları zamanlanmış bir görev siler). Bunu açıkça yazıyoruz, çünkü “sistem otomatik siler” demek doğru olmazdı. Ücretli kullanımda geçerli olacak saklama süreleri, gümrük mevzuatının belge saklama yükümlülükleriyle birlikte değerlendirilerek belirlenecek ve bu bölüm güncellenecektir.
8. Çerezler
Evrakia'da üçüncü taraf izleme veya analitik çerezi yoktur — Google Analytics, Meta pikseli ya da benzeri bir araç kullanılmıyor. Kullanılan tek çerez türü, giriş yaptığınızda oturumunuzu açık tutan zorunlu oturum çerezidir; bu çerez olmadan giriş yapılamaz.
Zorunlu çerezler için ayrıca onay alınması gerekmediğinden sitede bir çerez onay bandı bulunmaz. İleride izleme amaçlı bir araç eklenirse bu bölüm güncellenir ve gerekli onay mekanizması kurulur.
9. Değişiklikler
Bu metin güncellenebilir; önemli değişikliklerde kayıtlı e-posta adresiniz üzerinden bilgilendirilirsiniz.