Gizlilik Politikası

Genel Veri Koruma Tüzüğü (DSGVO) anlamında veri sorumlusu:

Veri korumaya ilişkin tüm sorularınız için bize info@myrobotax.de adresinden ulaşabilirsiniz.

MyRobotax, işletmelerin ve mali müşavirlik/vergi danışmanlığı bürolarının belgeleri kaydetmesi, okuması ve muhasebeleştirmesi için geliştirilmiş bir platformdur. Bu kapsamda iki farklı rol üstleniyoruz:

• Veri sorumlusu sıfatıyla web sitemizin ziyaretçilerine ait verileri ve müşterilerimiz ile onların kullanıcılarına ait hesap, sözleşme ve faturalandırma verilerini işliyoruz.
• Veri işleyen sıfatıyla (Art. 28 DSGVO) müşterilerimizin platforma yüklediği veya platformda oluşturduğu içerikleri – özellikle faturaları, makbuzları, banka hesap özetlerini, Z raporlarını ve bunlardan türetilen muhasebe kayıt verilerini – işliyoruz. Bu belgeler genellikle üçüncü kişilere (ör. müşterilerimizin tedarikçileri, müşterileri veya çalışanları) ait kişisel veriler içerir. Bu verilerin veri sorumlusu ilgili müşterimizdir; verileri yalnızca onun talimatı doğrultusunda ve bir veri işleme sözleşmesi (Auftragsverarbeitungsvertrag) temelinde işliyoruz.

Web sitemiz ve uygulamamız, Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (“Cloudflare”) ağı üzerinden sunulmaktadır (Cloudflare Workers). Erişim sırasında Cloudflare, teknik olarak gerekli bağlantı verilerini işler:

• İstekte bulunan cihazın IP adresi
• Erişim tarihi ve saati
• Çağrılan URL, HTTP yöntemi ve durum kodu
• Tarayıcı türü ve sürümü ile işletim sistemi (User-Agent)

Hata analizi ve güvenli işletim amacıyla ayrıca yapılandırılmış uygulama olaylarını (istek kimliği/Request-ID, rota, durum kodu ve – oturum açmış kullanıcılarda – dahili kullanıcı ve firma tanımlayıcıları) kaydediyoruz. Bu sırada istek başlıkları (request header) ve isteklerin içerikleri kaydedilmez.

Hukuki dayanak Art. 6 Abs. 1 lit. f DSGVO hükmüdür. Meşru menfaatimiz, hizmetimizin istikrarlı, güvenli ve yüksek performanslı biçimde sunulması ve saldırıların önlenmesidir. Günlük verileri şu sürenin sonunda silinir: 7 Tage. Cloudflare, EU-US Data Privacy Framework kapsamında sertifikalıdır; buna ek olarak Cloudflare ile Standart Sözleşme Maddeleri (SCC) dahil bir veri işleme sözleşmesi imzaladık.

Veritabanını, kullanıcı kimlik doğrulamasını ve yüklenen dosyaların depolanmasını Supabase, Inc. (“Supabase”) altyapısında işletiyoruz. Veriler yalnızca Frankfurt am Main şehrindeki bir veri merkezinde (Amazon Web Services, eu-central-1 bölgesi) saklanır.

Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO (sözleşmenin ifası) veya – müşteri içerikleri bakımından – müşterimizle yapılan veri işleme sözleşmesidir. ABD'den destek ve bakım amaçlı erişim tamamen dışlanamadığından, Supabase ile Standart Sözleşme Maddeleri (SCC) dahil bir veri işleme sözleşmesi mevcuttur.

Platformun kullanımı için bir kullanıcı hesabı gereklidir. Bu kapsamda şu verileri işliyoruz:

• Ad, e-posta adresi ve parola (yalnızca kriptografik özet/hash olarak saklanır)
• isteğe bağlı olarak telefon numarası ve profil fotoğrafı
• Firma bağlantısı ve rol (ör. yönetici, çalışan, mali müşavir, müşteri portalı)
• mali müşavirlik/vergi danışmanlığı bürolarında: DATEV danışman numarası (Beraternummer)
• Son oturum açma zamanı ile dil ayarları ve diğer tercihler

Bir müşteri – örneğin işvereniniz veya mali müşavirlik/vergi danışmanlığı büronuz – tarafından davet edilmeniz ya da müşteri portalına erişiminizin açılması hâlinde adınızı ve e-posta adresinizi bu müşteriden alırız. Müşteri portalına ait erişim bilgileri şifrelenmiş olarak (AES-256-GCM) saklanır.

Google ile giriş: “Google ile giriş yap” seçeneğini kullanırsanız Google'a (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda) yönlendirilirsiniz. Onayınızdan sonra Google, kimlik doğrulama hizmetimiz Supabase aracılığıyla bize adınızı ve e-posta adresinizi iletir; Google parolanızı almayız. Google'daki işleme için Google'ın kendi gizlilik politikası geçerlidir. Kullanımı isteğe bağlıdır; e-posta adresi ve parola ile giriş her zaman mümkündür.

Oturum açılan cihazlar: Her girişte oturuma ait tarayıcı ve cihaz türünü (User-Agent) ve Cloudflare'ın bağlantıdan çıkardığı şehir ve ülke bilgisini kaydederiz; ayrıca bir IP konum servisi kullanılmaz. Bu oturumları hesap ayarlarınızda görebilir ve sonlandırabilirsiniz. Daha önce bilinmeyen bir cihazdan giriş yapıldığında sizi e-postayla bilgilendiririz. Kayıtlar hesabınızla birlikte silinir. Hukuki dayanak Art. 6 Abs. 1 lit. f DSGVO hükmüdür; meşru menfaatimiz hesabınızı yetkisiz erişime karşı korumaktır.

Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO hükmüdür. Bu bilgiler sözleşmenin kurulması ve ifası için gereklidir; bunlar olmadan platform kullanılamaz.

E-postaları Hostinger International Ltd.'nin (Larnaka, Kıbrıs) e-posta API'si aracılığıyla gönderiyoruz. Bu hizmet kesintiye uğrarsa gönderim yedek olarak Google'ın Gmail API hizmeti üzerinden yapılabilir (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, İrlanda; verilerin ABD'de Google LLC tarafından işlenmesi mümkündür). Gönderdiğimiz e-postalar:

• e-posta adresinizin doğrulanması ve parolanızın sıfırlanması
• güvenlik bildirimleri, ör. yeni bir cihazdan giriş yapıldığında (cihaz türü, konum ve zaman ile)
• platform bildirimleri, ör. yeni veya incelenmesi gereken belgeler, periyodik özetler ve kredi bakiyesi düştüğünde uyarılar – bildirim ayarlarınıza göre
• isteğe bağlı olarak, sizin eklediğiniz ve doğrulanmış ek alıcı adreslerine

Bu sırada alıcıların adı ve e-posta adresi ile mesajın içeriği işlenir.

Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO hükmüdür. Hostinger verileri Avrupa Birliği'nde işler; Google LLC, EU-US Data Privacy Framework kapsamında sertifikalıdır. Reklam amaçlı e-posta göndermiyoruz.

Mobil uygulamanın anlık bildirimleri (push): Mobil uygulamamızda bildirimlere izin verirseniz bir cihaz kimliği (push token), platform (iOS veya Android), cihaz adı ve uygulama sürümünü saklarız. Bildirimler 650 Industries, Inc.'nin (ABD) Expo hizmeti üzerinden, oradan da Apple Push Notification Service (Apple Inc.) veya Firebase Cloud Messaging (Google) aracılığıyla cihazınıza iletilir. Bildirimin başlığı ve metni iletilir; ör. firma adı ve yeni belge sayısı, kredi bakiyesinin azaldığına dair uyarılar ya da güvenlik bildirimleri. Anlık bildirimler dosya adı ve belge açıklaması içermez. Cihazınızın ayarına göre kilit ekranında görüntülenebilir.

Hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO hükmüdür. Anlık bildirimleri istediğiniz zaman cihazınızın ayarlarından kapatabilirsiniz. Cihaz kimliği; uygulamadan çıkış yaptığınızda, cihazı hesap ayarlarınızdan kaldırdığınızda, iletim kalıcı olarak başarısız olduğunda ya da hesabınız silindiğinde silinir.

Hizmetimizin özünü, müşterilerimizin yüklediği veya girdiği belgelerin ve verilerin işlenmesi oluşturur; bunlar özellikle şunlardır:

• Dosya olarak faturalar, alacak dekontları (Gutschrift), makbuzlar, banka hesap özetleri ve Z raporları
• bunlardan okunan içerikler (metin tanıma) ve yapılandırılmış belge verileri
• Firmaların ve iş ortaklarının ana verileri (ör. ad, adres, vergi numarası, KDV kimlik numarası, IBAN)
• Muhasebe kayıtları, ödemeler, hesap eşleştirmeleri ve yorumlar
• Harcanan krediler için kullanım ve faturalandırma olayları

Bu işleme, müşterimiz adına ve onun talimatları doğrultusunda gerçekleştirilir (Art. 28 DSGVO). İşlemenin hukuki dayanağı, müşterimiz ile ilgili kişiler arasındaki ilişkiden doğar; bu genellikle Art. 6 Abs. 1 lit. b, c veya f DSGVO hükmüdür.

Belgeleri otomatik olarak okumak ve muhasebe kaydı önerileri oluşturmak için uzmanlaşmış alt veri işleyenlerden yararlanıyoruz:

• Datalab (datalab.to, ABD): Metin tanıma (OCR). Bu amaçla yüklenen dosya iletilir ve tanınan sonuç geri gönderilir.
• Google Gemini API (Google Ireland Limited veya Google LLC, ABD): Tanınan metinlerin yapılandırılması, belgelerin sınıflandırılması ve hesap atama (Kontierung) önerilerinin oluşturulması. Bu amaçla belgenin tanınan metni ile bunun için gerekli firma ve iş ortağı verileri iletilir; orijinal dosya ise iletilmez. Belgeyi düzenleyen ne metinden ne de vergi numarasından belirlenebiliyorsa, ek olarak belgenin başlık kısmından küçük bir görsel kesit (genellikle logo, en fazla 50 KB) iletilir.

Sağlayıcılar verileri yalnızca ilgili hizmeti bize sunmak amacıyla işler, kendi modellerini eğitmek için kullanmaz. Dayanak, veri işleme sözleşmeleridir; ABD'ye aktarımın güvence altına alınması için bkz. Bölüm 14.

Otomatik bireysel karar yok: Yapay zekânın sonuçları öneri niteliğindedir. İlgili kişiler bakımından Art. 22 DSGVO anlamında hukuki sonuç doğuran bir karar alınmaz; muhasebe kayıtları müşterilerimiz tarafından kontrol edilir veya onların belirlediği kurallara göre onaylanır.

Bir müşterinin açık talimatı üzerine muhasebe kayıt paketlerini (Buchungsstapel), belgeleri ve müşteri (mükellef) ana verilerini DATEV eG'ye (Paumgartnerstraße 6–14, 90429 Nürnberg) veya Haufe-Lexware GmbH & Co. KG'nin (Munzinger Straße 9, 79111 Freiburg) Lexware Office hizmetine aktarıyoruz. Aktarım yalnızca müşterinin talimatıyla gerçekleşir; sonraki işlemelerden ilgili alıcı kendi veri koruma hükümlerine göre sorumludur.

Bunun için gerekli erişim belirteçlerini (token) şifrelenmiş olarak (AES-256-GCM) saklıyoruz. DATEV ile oturum açma sırasında kısa süreliğine teknik olarak zorunlu bir çerez yerleştiriyoruz (bkz. Çerez Politikası).

Belgeler, muhasebe kayıtları ve yetkiler üzerindeki değişikliklerin izlenebilirliğini sağlamak ve kötüye kullanımı tespit etmek amacıyla platform içindeki güvenlik açısından önemli işlemleri kayıt altına alıyoruz. Kaydedilen bilgiler şunlardır: işlemi yapan kişi, zaman, işlem türü, ilgili firma, değiştirilen değerler ile IP adresi ve User-Agent.

Hukuki dayanak Art. 6 Abs. 1 lit. f DSGVO hükmü ve – belgelerdeki ve kayıtlardaki değişikliklerin izlenebilir kalması gerektiği ölçüde – § 146 Abs. 4 ve § 147 AO ile birlikte Art. 6 Abs. 1 lit. c DSGVO hükmüdür. Bizim ve müşterilerimizin meşru menfaati, muhasebenin denetime elverişliliği (revizyon güvenliği) ve platformun güvenliğidir. IP adresi ve tarayıcı bilgisi (User-Agent) şu sürenin sonunda kaldırılır: 12 Monate. Diğer bilgiler, ilgili belgelerin yasal saklama süresi boyunca (en fazla on yıl) saklanır.

Otomatik saldırılara (ör. parola tahmin denemeleri) karşı korunmak için oturum açma ve benzeri isteklerin sayısını sınırlandırıyoruz. Bu amaçla yalnızca IP adresi ve istek türünden oluşturulan kriptografik bir özet (hash) saklarız; IP adresini hiçbir zaman açık metin olarak saklamayız. Bu kayıtlar en geç iki saat sonra silinir. Hukuki dayanak Art. 6 Abs. 1 lit. f DSGVO hükmüdür.

Yalnızca teknik olarak zorunlu çerezler ile tarayıcınızın yerel depolama alanındaki (Local Storage) kayıtları kullanıyoruz; ör. oturum açma, seçilen dil ve renk teması için. Analiz, pazarlama veya izleme teknolojileri kullanmıyoruz. Hukuki dayanak, Art. 6 Abs. 1 lit. b veya f DSGVO ile bağlantılı olarak § 25 Abs. 2 Nr. 2 TDDDG hükmüdür.

Eksiksiz bir genel bakışı Çerez Politikası metnimizde bulabilirsiniz.

Bizimle e-posta yoluyla (ör. info@myrobotax.de adresine yazarak) iletişime geçtiğinizde, bilgilerinizi talebinizin işleme alınması için işliyoruz. Talebiniz bir sözleşmeyle bağlantılıysa hukuki dayanak Art. 6 Abs. 1 lit. b DSGVO, aksi hâlde Art. 6 Abs. 1 lit. f DSGVO hükmüdür. Talep nihai olarak sonuçlandırıldığında ve yasal saklama yükümlülükleri buna engel olmadığında verileri sileriz.

Aşağıdaki hizmet sağlayıcılardan veri işleyen (Art. 28 DSGVO) olarak yararlanıyoruz:

ABD'ye yapılan aktarımlarda, alıcının sertifikalı olduğu ölçüde AB Komisyonu'nun EU-US Data Privacy Framework hakkındaki yeterlilik kararına (Art. 45 DSGVO), diğer durumlarda ise AB Komisyonu tarafından kabul edilen Standart Sözleşme Maddeleri (SCC) hükümlerine (Art. 46 Abs. 2 lit. c DSGVO) dayanırız. Güvencelerin bir kopyasını yukarıda belirtilen iletişim bilgileri üzerinden talep edebilirsiniz.

Bunun dışında verileri yalnızca siz veya müşterimiz bunu talep ettiğinde (ör. DATEV'e dışa aktarım), yasal olarak yükümlü olduğumuzda ya da haklarımızın takibi için gerekli olduğunda paylaşırız. Döviz kurlarını Avrupa Merkez Bankası'ndan alıyoruz; bu sırada kişisel veri aktarılmaz.

Kişisel verileri yalnızca ilgili amaç için gerekli olduğu süre boyunca saklarız:

• Hesap verileri: sözleşme ilişkisi süresince; sözleşmenin sona ermesinden sonra, saklama yükümlülüğü bulunmadığı ölçüde silinir.
• Müşteriler tarafından arşivlenen (ayıklanan) veya silinen belgeler: Dosya ve kayıt, arşivlemeden 30 gün sonra kalıcı olarak silinir. Onaylanmış veya DATEV ya da Lexware Office'e aktarılmış belgeler (muhasebe belgeleri) bunun dışındadır: görünümden kaldırılır, ancak yasal saklama süresi boyunca saklanır (§ 147 AO, § 257 HGB). Aktarılmış belgelerdeki değişiklikler önceki hâliyle birlikte kaydedilir ve aynı süre boyunca saklanır.
• Toplu yüklemelerden kalan ara dosyalar: 30 gün sonra silinir.
• Diğer müşteri içerikleri: sözleşme süresince veya müşteri tarafından silinene kadar; sözleşmenin sona ermesinden sonra veri işleme sözleşmesine göre.
• Denetim günlüğü: IP adresi ve User-Agent 12 Monate, diğer bilgiler yasal saklama süresi boyunca (en fazla on yıl). İstek günlükleri (request log): 7 Tage. Kötüye kullanıma karşı koruma: en fazla iki saat.
• Kendi hizmetlerimize ilişkin belgeler: faturalar ve diğer muhasebe belgeleri sekiz yıl, ticari defterler ve yıllık mali tablolar on yıl, ticari yazışmalar altı yıl (§ 147 AO, § 257 HGB); süre; deftere son kaydın yapıldığı, yıllık mali tabloların hazırlandığı, yazışmanın alındığı ya da gönderildiği veya muhasebe belgesinin oluştuğu takvim yılının sonunda başlar (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB).

Bize karşı aşağıdaki haklara sahipsiniz:

• Hakkınızda saklanan veriler hakkında bilgi alma (Art. 15 DSGVO)
• Yanlış verilerin düzeltilmesi (Art. 16 DSGVO)
• Silme (Art. 17 DSGVO) ve işlemenin kısıtlanması (Art. 18 DSGVO)
• Veri taşınabilirliği (Art. 20 DSGVO)
• Verilmiş bir onayın ileriye dönük olarak geri alınması (Art. 7 Abs. 3 DSGVO)
• Bir veri koruma denetim makamına şikâyette bulunma (Art. 77 DSGVO), ör. bizim için yetkili makama: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin

Haklarınızı kullanmak için info@myrobotax.de adresine gönderilecek, herhangi bir şekle bağlı olmayan bir mesaj yeterlidir. Hesabınızın silinmesine veya verilerinizin size teslim edilmesine ilişkin talepleri bir aylık yasal süre içinde sonuçlandırırız. Veri silme talebinin nasıl yapılacağı Veri Silme sayfasında açıklanmıştır.

Zorunlu olarak işaretlenmiş verilerin sağlanması, sözleşmenin kurulması ve platformun kullanımı için gereklidir. Bu veriler olmadan sizin için bir kullanıcı hesabı oluşturamayız. Hizmetimiz çocuklara değil, işletmelere yöneliktir.

Verilerinizi korumak için teknik ve organizasyonel tedbirler alıyoruz; bunlar özellikle şunlardır:

• uçtan uca aktarım şifrelemesi (TLS)
• farklı müşterilerin verilerinin veritabanı düzeyinde kesin olarak ayrılması (Row Level Security)
• süreyle sınırlı, imzalı erişim bağlantılarıyla herkese açık olmayan dosya depolama
• özellikle hassas erişim bilgilerinin şifrelenmesi (AES-256-GCM)
• rol tabanlı yetkilendirme, oturum açma denemelerinin sınırlandırılması ve güvenlik açısından önemli işlemlerin kayıt altına alınması

Hizmetimiz veya hukuki durum değiştiğinde bu Gizlilik Politikasını güncelleriz. Her zaman bu sayfada yayımlanan güncel sürüm geçerlidir; son güncelleme tarihini yukarıda bulabilirsiniz.