1. Taraflar ve Roller
Bu sözleşme, [Şirket Unvanı Buraya Gelecek] (“Evrakia”) ile Evrakia hizmetini kullanan firma (“Müşteri”) arasındadır.
KVKK kapsamında roller işlenen veriye göre ayrışır ve bu ayrım bu sözleşmenin temelidir:
- Müşterinin sisteme yüklediği belgeler ve içerikleri için Müşteri veri sorumlusu, Evrakia veri işleyendir. Bu belgelerin neden ve hangi amaçla işleneceğine Müşteri karar verir; Evrakia yalnızca Müşterinin talimatı doğrultusunda okur ve doğrular.
- Müşterinin kendi hesap bilgileri (kullanıcı adı, e-posta, firma unvanı, oturum kayıtları, destek talepleri) için Evrakia veri sorumlusudur. Bunlar hizmetin kurulması ve sürdürülmesi için Evrakia’nın kendi amacıyla işlediği verilerdir ve Gizlilik Politikası kapsamındadır.
2. İşlemenin Konusu, Amacı ve Süresi
Konu: Müşterinin yüklediği ticari belgelerin (fatura, çeki listesi, konşimento, CMR, menşe şahadetnamesi, sigorta poliçesi, dolaşım belgesi) alan alan okunması ve deterministik kurallarla tutarlılığının denetlenmesi.
Amaç: Yalnızca Müşterinin talep ettiği okuma ve doğrulama işleminin yerine getirilmesi. Belgeler yapay zekâ modeli eğitiminde kullanılmaz, başka müşterilere gösterilmez ve pazarlama amacıyla işlenmez.
Süre: Hizmet ilişkisi boyunca. İlişki sona erdiğinde bölüm 8’deki silme/iade hükmü uygulanır.
Veri kategorileri: Belgelerde yer alabilecek taraf adları, adresler, iletişim kişisi adı, VKN veya TC kimlik numarası, IBAN, tutarlar ve mal bilgileri. İlgili kişi grupları: Müşterinin kendi müşterileri, tedarikçileri ve bunların çalışanları.
3. Evrakia’nın Yükümlülükleri
- Kişisel verileri yalnızca Müşterinin talimatları ve bu sözleşme doğrultusunda işlemek; kendi amaçları için kullanmamak.
- Verilere erişimi, işin gerektirdiği kişilerle sınırlamak ve bu kişileri gizlilik yükümlülüğü altına almak.
- Bölüm 4’te sayılan teknik ve idari tedbirleri almak.
- Müşteriye, veri sahiplerinden gelen talepleri (bilgi, düzeltme, silme) karşılamasında makul ölçüde yardımcı olmak.
- Alt işleyen listesindeki bir değişikliği Müşteriye önceden bildirmek (Ek-1).
4. Teknik ve İdari Tedbirler
Aşağıdakiler ürünün bugün fiilen uyguladığı tedbirlerdir; ileride alınması planlanan önlemler buraya yazılmamıştır.
- Firma bazlı izolasyon: her kayıt bir firma kimliğine bağlıdır; bir firma başka bir firmanın belgesine erişemez. Bu izolasyon otomatik testlerle sınanır.
- Şifre saklama: şifreler tersine çevrilemez biçimde (bcrypt) saklanır, düz metin olarak hiçbir yerde tutulmaz.
- Erişim anahtarları: üçüncü taraf entegrasyonlarının (örn. Google Sheets) anahtarları veritabanına şifrelenmiş (AES-256-GCM) yazılır.
- Dosya erişimi: belge dosyaları herkese açık bir adreste tutulmaz; her erişim oturum ve firma kontrolünden geçer.
- Denetim izi: bir alanı kimin ne zaman değiştirdiği ve belgeyi kimin onayladığı kayıt altındadır.
- Yönetici erişiminin sınırı: Evrakia’nın yönetici paneli, belgelerin içeriğini gösteremez — yalnızca dosya adı, tarih, firma adı ve sayısal göstergeler görünür. Bu sınır kodda uygulanmıştır.
5. Veri İhlali Bildirimi
Evrakia, Müşteriye ait verileri etkileyen bir güvenlik ihlalini öğrendiğinde Müşteriyi gecikmeksizin bilgilendirir ve bilinen kapsamı, etkilenen veri türlerini ve alınan önlemleri paylaşır. Kuruma ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu sıfatıyla Müşteriye aittir; Evrakia bu bildirimin hazırlanmasına yardımcı olur.
6. Müşterinin Yükümlülükleri
- Sisteme yüklediği belgeleri işlemek için gerekli hukuki dayanağa sahip olmak.
- Kendi aydınlatma metnini güncellemek. Müşteri, veri sorumlusu sıfatıyla kendi müşterilerine sunduğu aydınlatma metninde, verilerin Evrakia aracılığıyla işlendiğini ve Ek-2’de belirtilen şekilde yurt dışına aktarıldığını belirtmelidir. Bu, Müşterinin kendi yükümlülüğüdür ve Evrakia onun yerine yerine getiremez.
- Hesap erişim bilgilerinin gizliliğini korumak.
7. Denetim
Müşteri, bu sözleşmedeki yükümlülüklere uyulduğunu makul sıklıkta ve önceden haber vererek denetleyebilir; Evrakia bu amaçla gerekli bilgiyi sağlar. Denetim, diğer müşterilerin verilerine erişim içeremez.
8. Silme ve İade
Hizmet ilişkisi sona erdiğinde veya Müşteri talep ettiğinde, Müşteriye ait belgeler ve bunlardan çıkarılan veriler silinir. Müşteri, talep etmesi hâlinde silmeden önce verilerini dışa aktarabilir (Excel veya Google Sheets).
Saklama süreleri Gizlilik Politikası içindeki “Saklama ve İmha” bölümünde belirtilmiştir.
9. Sorumluluk Sınırı
Evrakia’nın bu sözleşmeden doğan toplam sorumluluğu, ihlalin gerçekleştiği tarihten önceki on iki ayda Müşteri tarafından ödenen hizmet bedeliyle sınırlıdır. Hizmetin ücretsiz kullanıldığı dönemlerde bu tutar sıfırdır; bu durum Evrakia’nın bölüm 3 ve 4’teki yükümlülüklerini ortadan kaldırmaz.
Ek-1: Alt İşleyenler
Evrakia hizmeti sunarken aşağıdaki alt işleyenleri kullanır. Güncel liste, her birine hangi verinin gittiği ve hangi bölgede işlendiğiyle birlikte Alt İşleyenler sayfasında yayımlanır.
- Anthropic — Belgedeki alanların okunması (yapay zekâ ile çıkarım). (Amerika Birleşik Devletleri)
- Supabase — Veritabanı ve belge dosyalarının depolanması. (Avrupa Birliği (Frankfurt, eu-central-1))
- Vercel — Uygulamanın barındırılması ve çalıştırılması. (Küresel altyapı (bölge sağlayıcı tarafından belirlenir))
- Resend — Ürünün gönderdiği e-postalar (hesap bildirimleri, davet, şifre sıfırlama). (Amerika Birleşik Devletleri (Avrupa'da saklama seçeneği yok))
- Mailgun — E-posta ile belge gönderimi (gelen e-postaların karşılanması). (Avrupa Birliği (Almanya) — MX kayıtlarından doğrulandı)
- Google — Google ile giriş (isteğe bağlı) ve Google Sheets'e aktarım (yalnızca bağlarsanız). (Küresel altyapı)
Bu listeye yeni bir sağlayıcı eklenmesi hâlinde Müşteri önceden bilgilendirilir.
Ek-2: Yurt Dışına Aktarım
Belgelerin okunması işlemi, Türkiye dışında bulunan bir yapay zekâ sağlayıcısının altyapısında gerçekleşir; barındırma, depolama ve e-posta hizmetleri de yurt dışı altyapılar üzerinde çalışır (Ek-1). Bu nedenle hizmetin kullanımı yurt dışına kişisel veri aktarımı içerir.
KVKK madde 9 uyarınca bu aktarımın; Kurul tarafından ilan edilmiş bir yeterlilik kararına, Kurul’un yayımladığı Standart Sözleşme’ye, bağlayıcı şirket kurallarına, bir taahhütnameye ya da ilgili kişinin açık rızasına dayanması gerekir. Bu aktarımın hangi mekanizmaya dayandığı henüz kesinleştirilmemiştir ve hukuki değerlendirme sürmektedir. Mekanizma belirlendiğinde bu ek güncellenecek ve Müşteri bilgilendirilecektir.
Standart Sözleşme yolunun seçilmesi hâlinde, sözleşme imzalandıktan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirim yapılması gerektiği taraflarca bilinmektedir.