KVKK Aydınlatma Metni

Sürüm 1.2 · Yürürlük tarihi: 28 Temmuz 2026

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında, veri sorumlusu sıfatıyla, kişisel verilerinizin işlenmesine ilişkin olarak sizi bilgilendirmek isteriz. Bu metin hem web sitesi ziyaretçileri hem de Muin Müşavir masaüstü uygulaması kullanıcıları için düzenlenmiştir.

Metin, KVKK'nın 10. maddesi ve "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" (10.03.2018 tarihli ve 30356 sayılı Resmî Gazete) uyarınca hazırlanmıştır.

1. Veri Sorumlusunun Kimliği

2. İşlenen Kişisel Veriler ve Kaynağı

Ürünün mimarisi gereği işlenen kişisel veri asgari düzeydedir:

2.1. Masaüstü uygulamasının yerel kullanımı

• Mükellef mali verileri (firma unvanı, VKN, mizan, hesaplamalar) yalnızca sizin bilgisayarınızda işlenir; bize herhangi bir aktarım içermez ve bu verilere erişemeyiz.
• Uygulama; ad, e-posta veya oturum bilgisi toplamaz. Kayıt/üyelik zorunluluğu yoktur.
• Yerel veritabanı uygulama düzeyinde şifrelenmez; cihaz/disk şifrelemesi (ör. FileVault, BitLocker) ve yedeklerin güvenliği kullanıcının sorumluluğundadır.

2.2. Lisans doğrulama

• Lisans doğrulaması sırasında lisans anahtarı, rastgele oluşturulan cihaz kimliği (UUID) ve sizin verdiğiniz cihaz adı Supabase Edge Function altyapısına iletilir. Bu veriler; lisansın ifası, cihaz sınırının uygulanması ve hizmet güvenliği amacıyla (KVKK md. 5/2-c) işlenir.
• Aynı istekle sözleşme kabul kaydınızın özeti de iletilir: kabul ettiğiniz belgenin adı ve sürümü, kabul zamanı, kabul ettiğiniz metnin özeti (SHA-256) ve cihaz kimliği. Amaç, uygulama içinde verdiğiniz açık onayın (kullanım koşulları/aydınlatma metni) ispatıdır; hukuki sebep md. 5/2-c (sözleşmenin ifası) ve md. 5/2-f (bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olmasına ilişkin meşru menfaat). Belgelerin metni değil, yalnızca özet (hash) değeri gönderilir.
• Lisans anahtarı girmediğiniz sürece (deneme kullanımı) uygulama lisans sunucusuna hiçbir istek göndermez; bu hâlde kabul kaydı yalnızca cihazınızda kalır.
• Bu işlem sırasında hiçbir mükellef mali verisi gönderilmez.

2.3. İsteğe bağlı bulut senkron ("ofis kodu") — yalnızca siz açarsanız

• Bulut senkron, isteğe bağlı ve ücretli bir özelliktir. Açtığınızda verileriniz cihazınızda AES-256-GCM ile uçtan uca şifrelenir ve buluta yalnızca şifreli blok (blob) olarak yüklenir. Anahtar yalnızca sizin cihazlarınızdadır; sunucu ve biz blobların içeriğini çözemeyiz ("sıfır bilgi" barındırma).
• Görülebilen içerik: yalnızca anlamsız/şifreli veri ve teknik meta veriler (blok boyutu, yükleme zamanı gibi). Mali içeriğe erişimimiz yoktur.

2.4. İletişim

• Bize e-posta ile ulaştığınızda paylaştığınız e-posta adresi ve mesaj içeriği işlenir.

2.5. Web sitesi

• Web sitesi tarayıcınıza çerez yerleştirmez; reklam veya izleme çerezi ile kişi bazlı takip teknolojisi kullanılmaz.
• Sitede, çerezsiz ve ziyaretçiyi kimliklendirmeyen bir sayfa görüntüleme ölçümü (Vercel Web Analytics) yapılır. Bu kapsamda sayfa görüntüleme sayısı, ziyaret edilen sayfa yolu, yönlendiren adres (referrer), varsa kampanya (UTM) parametreleri, IP adresinden türetilen yaklaşık konum (ülke/bölge), cihaz türü, işletim sistemi ve tarayıcı bilgisi işlenir. Kalıcı ziyaretçi tanımlayıcısı kullanılmaz; tekil ziyaret sayımı günlük değişen ve geri döndürülemez bir karma değerle yapılır. Kişi bazlı profil çıkarılmaz, veriler reklam amacıyla kullanılmaz (bkz. bölüm 6.4).
• Web sitesinin yazı tipleri kendi sunucumuzdan sunulur; sayfa açılırken üçüncü taraf bir yazı tipi sağlayıcısına istek gönderilmez ve bu yolla dışarıya veri iletilmez.
• Web sitesi Vercel (Vercel Inc.) altyapısında barındırılır; lisans doğrulama ve senkron altyapısı Supabase ve AWS üzerinde çalışır. Bu sağlayıcıların kendi altyapı düzeyinde teknik erişim/işlem kayıtları (log) tutması mümkündür (siteyi ziyaret ettiğinizde isteğinizin IP adresi, tarayıcı bilgisi/user-agent ve zamanı gibi). Bu kayıtlar, yukarıda anlatılan çerezsiz ziyaret ölçümünden ayrı olarak, sağlayıcının güvenlik/işletim amaçlarıyla oluşur (bkz. bölüm 6.4).

3. Kişisel Verilerin İşlenme Amaçları

• Uygulamanın cihazınızda çalışması ve vergi hesaplama işlevlerinin yerine getirilmesi,
• Lisansın doğrulanması, cihaz sınırının uygulanması ve hizmet güvenliğinin sağlanması,
• Kullanım koşulları ve aydınlatma metnine ilişkin açık onayınızın kayda geçirilmesi ve ispatı,
• İsteğe bağlı bulut senkronu açtığınızda şifreli yedeğin saklanması ve geri yüklenmesi,
• İletişim taleplerinizin (destek, satın alma, KVKK başvurusu) yanıtlanması,
• Web sitesinin kullanımının çerezsiz biçimde ölçülmesi, içeriğin ve site performansının geliştirilmesi,
• İlgili mevzuattan doğan yükümlülüklerin yerine getirilmesi.

4. Kişisel Veri Toplamanın Yöntemi ve Hukuki Sebebi

KVKK md. 10 uyarınca, her veri kategorisi için toplama yöntemi ve dayanılan md. 5 işleme şartı aşağıdadır:

5. Kişisel Verilerin Saklama Süresi

• Yerel veriler: bilgisayarınızda, sizin kontrolünüzdedir; süreyi siz belirlersiniz ve dilediğinizde silebilirsiniz.
• Lisans doğrulama kayıtları (sözleşme kabul kaydı özeti dâhil): lisans ilişkisi süresince ve ilgili hukuki zamanaşımı süreleri boyunca saklanır; sürenin sonunda silinir veya anonimleştirilir. Kabul kaydının cihazınızdaki kopyası, siz silmediğiniz sürece cihazınızda kalır.
• Şifreli senkron blokları: senkron açık kaldığı sürece barındırılır; kapattığınızda veya silme talebinde makul sürede silinir.
• İletişim kayıtları: amaç için gerekli süre ve olası zamanaşımı gözetilerek saklanır, ardından silinir veya anonimleştirilir.
• Web sitesi ziyaret ölçümü: sonuçlar toplulaştırılmış (istatistiksel) biçimde görüntülenir; tarafımızca kişi bazlı ham kayıt tutulmaz. Sunucu erişim kayıtları ise barındırma sağlayıcısının kendi güvenlik/işletim politikaları çerçevesinde sağlayıcı nezdinde oluşur ve saklanır.

6. Kişisel Verilerin Aktarımı ve Yurt Dışına Aktarım

Salt yerel kullanımda mali verilerinizin hiçbir aktarımı yapılmaz. Aktarım yalnızca şu sınırlı hallerde gündeme gelir:

6.1. Lisans doğrulama (yurt dışı — sınırlı teknik veri)

• Lisans anahtarı, cihaz kimliği (UUID), cihaz adı, kayıt tarihi ve son görülme zamanı ile lisansa bağlı ünvan bilgisi; Supabase (Supabase Pte. Ltd.) altyapısındaki Edge Function'a iletilir ve AWS eu-central-1 / Frankfurt (Almanya) bölgesinde işlenir.
• Aynı istekle sözleşme kabul kaydı özeti (kabul edilen belgenin adı ve sürümü, kabul zamanı, metnin SHA-256 özeti, cihaz kimliği) de aynı altyapıya iletilir ve aynı bölgede işlenir.

6.2. Bulut senkron açıldığında (yurt dışı — yalnızca şifreli)

• Şifreli bloklar, Supabase (Supabase Pte. Ltd.) altyapısı üzerinden AWS eu-central-1 / Frankfurt (Almanya) bölgesinde barındırılır.
• Aktarılan içerik yalnızca uçtan uca şifreli bloktur; anahtar sizde olduğundan sağlayıcılar ve biz içeriği çözemeyiz.

6.3. Yurt dışı aktarım rejimi

• 7499 sayılı Kanun ile değişik KVKK md. 9 (yürürlük 01.06.2024) uyarınca yurt dışı aktarım; yeterlilik kararı, uygun güvenceler (Kurul'un 04.06.2024 tarihli ve 2024/959 sayılı kararıyla kabul edilen standart sözleşme vb.) veya arızi hâllerdeki mekanizmalara dayanır.
• Yukarıdaki aktarımlar, KVKK md. 9 uyarınca uygulanabilir mekanizma (standart sözleşme vb.) tamamlanarak yapılır; standart sözleşmelerin kurulması ve Kurul'a bildirim yükümlülükleri ayrıca yerine getirilecektir. Senkron içeriğinin uçtan uca şifreli ve alıcı tarafından çözülemez olması, ilave bir teknik güvencedir.

6.4. Web sitesi altyapısı ve e-posta altyapısı

• Vercel (Vercel Inc., ABD merkezli) — barındırma ve çerezsiz ziyaret ölçümü: Web sitesi bu sağlayıcının altyapısında barındırılır; sayfa görüntüleme ölçümü de aynı sağlayıcının çerezsiz hizmetiyle (Vercel Web Analytics) yapılır. Bu kapsamda sağlayıcıya, siteyi ziyaret ettiğinizde oluşan teknik sunucu kayıtları (IP adresi, tarayıcı bilgisi/user-agent, istek zamanı) ile ölçüm verileri (sayfa yolu, yönlendiren adres/UTM, IP'den türetilen yaklaşık konum, cihaz türü, işletim sistemi, tarayıcı) iletilir. Amaç, sitenin güvenli biçimde sunulması ve kullanımının ölçülerek geliştirilmesidir; kişi bazlı profil çıkarılmaz, veriler reklam amacıyla kullanılmaz. Mükellef mali verilerinizin bu sağlayıcıya hiçbir aktarımı yoktur.
• Alan adı, DNS ve e-posta yönlendirme — Squarespace (Squarespace Ireland Limited, İrlanda merkezli): Alan adımız (muinmusavir.com) bu sağlayıcıdan alınmıştır ve alan adının yetkili DNS hizmeti de bu sağlayıcıdadır; bu nedenle sağlayıcı, alan adımıza yönelik DNS sorgularına ilişkin teknik meta veriyi (sorgulanan ad, sorguyu yapan çözümleyicinin IP adresi, zaman damgası) ve alan adı kayıt bilgilerini işler. Alan adımıza gelen e-postalar ise aynı sağlayıcının alan adı paketine dâhil olan hizmetiyle yalnızca yönlendirilir: ileti, taşınma amacıyla sağlayıcının altyapısından geçer, posta kutusu tutulmaz. Sağlayıcı bu yönlendirme hizmetini kendi alt işleyeni olan Mailgun (Mailgun Technologies, Inc., ABD merkezli) altyapısı üzerinden sunmaktadır; iletiler bu nedenle ABD'de işlenmektedir. İşleme, hizmetin sunulması için gerekli ölçüde ve veri işleyen sıfatıyla gerçekleşir. Mükellef mali verilerinizin bu sağlayıcıya hiçbir aktarımı yoktur.
• Bu iki sağlayıcıya yapılan aktarımlar bakımından da 6.3'te açıklanan KVKK md. 9 çerçevesi geçerlidir.

6.5. Diğer

• Kanunen yetkili kamu kurum/kuruluşlarına, talep hâlinde ve mevzuat çerçevesinde aktarım yapılabilir.
• Bunlar dışında verileriniz üçüncü kişilerle paylaşılmaz, satılmaz, pazarlama amacıyla aktarılmaz.

7. İlgili Kişinin Hakları (KVKK md. 11)

KVKK md. 11 uyarınca; işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltilmesini, silinmesini/yok edilmesini ve bunların üçüncü kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhe çıkan sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahipsiniz.

8. Başvuru Yolu (İlgili Kişi Başvurusu)

KVKK md. 11 kapsamındaki haklarınıza ilişkin taleplerinizi, veri sorumlusu Opsida Teknoloji Yazılım Bilgisayar ve Danışmanlık Ltd. Şti.'ye iletebilirsiniz; Muin Müşavir bu şirketin ürünüdür. Başvurunun usulü, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" (10.03.2018 tarihli ve 30356 sayılı Resmî Gazete) md. 5'te düzenlenmiştir.

8.1. Hazır başvuru formu (isteğe bağlı)

Başvurunuzu kolaylaştırmak için bir form yayımlıyoruz: KVKK Başvuru Formu — www.opsida.com.tr/tr/kvkk-basvuru-formu

Form doğrudan tarayıcınızda doldurulur ve PDF olarak indirilir; form verileri sunucuya gönderilmez, yazdıklarınız siz iletmedikçe bize ulaşmaz. İndirdiğiniz PDF'i aşağıdaki kanallardan biriyle bize göndermeniz gerekir.

Formun kullanılması zorunlu değildir: aşağıdaki kanallardan herhangi biriyle, Tebliğ'de aranan bilgileri içeren serbest metinle de başvurabilirsiniz.

8.2. Kabul edilen başvuru kanalları (Tebliğ md. 5)

1. Islak imzalı yazılı başvuru — ıslak imzalı başvurunuzu posta yoluyla gönderebilir veya elden teslim edebilirsiniz: Opsida Teknoloji Yazılım Bilgisayar ve Danışmanlık Ltd. Şti., Adalet Mah., Manas Bulvarı, Folkart Towers B Kule, No:39, Kat:34/3408, 35530 Bayraklı/İzmir.
2. Güvenli elektronik imza veya mobil imza ile e-posta — başvurunuzu güvenli elektronik imza ya da mobil imza ile imzalayarak info@muinmusavir.com adresine gönderebilirsiniz.
3. Sistemimizde kayıtlı e-posta adresinizden e-posta — daha önce bize bildirdiğiniz ve sistemimizde kayıtlı bulunan e-posta adresinizi kullanarak info@muinmusavir.com adresine gönderebilirsiniz.

8.3. Başvurunuzda bulunması gerekenler ve sonuçlandırma

Tebliğ md. 5 uyarınca başvurunuzda; ad-soyad ve başvuru yazılı ise imza, T.C. kimlik numarası (yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta adresi, telefon ve faks numarası ile talep konusu bulunmalıdır; konuya ilişkin bilgi ve belgeler başvuruya eklenir. Bu bilgiler kimliğinizin tevsiki için gereklidir; kimliği doğrulanamayan başvurular sonuçlandırılamaz.

Başvurularınız, KVKK md. 13 uyarınca talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi veya cevabı yetersiz bulmanız hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.

GDPR notu: AB'de bulunan kişiler bakımından, GDPR uygulanabilir olduğu ölçüde erişim, düzeltme, silme, işlemenin kısıtlanması, veri taşınabilirliği ve itiraz gibi haklar geçerli olabilir. Ürünün yerel-öncelikli mimarisi gereği kişisel veri işleme asgari düzeydedir.