KVKK Aydınlatma Metni

1. Veri sorumlusu ve veri işleyen

Atolyo, internet üzerinden sunulan bir bulut yazılım hizmetidir (SaaS); veriler Atolyo'nun barındırdığı sunucu ve veritabanında tutulur. KVKK anlamındaki roller şöyledir:

• Müşteri firma veri sorumlusudur: Atolyo'yu kullanan firma, sisteme girdiği kendi çalışanlarına, müşterilerine ve tedarikçilerine ait kişisel veriler (ör. kullanıcı hesapları, cari kartlardaki ad, telefon ve adres bilgileri) için veri sorumlusudur; bu verilerin hangi amaçla ve hangi vasıtalarla işleneceğini o belirler.
• Atolyo veri işleyendir: Atolyo bu verileri yalnızca müşteri firma adına, onun talimatları doğrultusunda ve hizmetin sunulması amacıyla saklar ve işler; kendi amaçları için kullanmaz.
• Atolyo'nun kendi verileri: Müşteri firmayla kurulan hizmet ilişkisine ait veriler (firma yetkilisinin adı, e-posta ve iletişim bilgileri, abonelik ve tahsilat kayıtları, destek yazışmaları) için veri sorumlusu Atolyo'dur.

Firmanızın girdiği verilerle ilgili başvurularınızı hesabınızın bağlı olduğu firmaya; Atolyo'nun veri sorumlusu olduğu konulardaki başvurularınızı İletişim sayfasındaki kanallardan Atolyo'ya iletebilirsiniz.

2. Hangi veriler işlenir?

• Hesap verileri: ad soyad, e-posta adresi, şifrenin geri döndürülemez özeti (hash) ve rol bilgisi.
• Firma verileri: firmanızın girdiği malzeme, stok, reçete, üretim ve satış kayıtları. Bu kayıtlar firmanıza aittir; sistem yalnızca saklar.
• Kullanım kayıtları: hangi kullanıcının hangi kaydı ne zaman girdiği (denetim izi) ve kullanım şartlarını kabul tarihiniz ile kabul ettiğiniz sürüm.

3. Verileriniz nerede tutulur, kiminle paylaşılır?

Tüm veriler, Atolyo'nun hizmet aldığı bulut altyapı sağlayıcılarının sunucularındaki uygulama ve veritabanında tutulur. Bu sağlayıcılar Atolyo adına yalnızca barındırma hizmeti verir. Uygulama ve veritabanı sunucuları şu an yurt dışında (ABD) bulunan veri merkezlerindedir; yurt dışına aktarıma ilişkin KVKK md. 9 kapsamındaki hususlar hizmet sözleşmesiyle düzenlenir.

Yapay zekâ asistanı dahil tüm özellikler Atolyo uygulamasının içinde çalışır. Verileriniz satılmaz ve reklam amacıyla işlenmez. Uygulama dışarıya yalnız döviz kuru bülteni için bağlanır:

• Döviz kurları: T.C. Merkez Bankası'nın herkese açık kur bülteni okunur; bu sırada kişisel veri ya da firma verisi gönderilmez.

Barındırma hizmeti dışında verileriniz üçüncü kişilerle paylaşılmaz. Yasal zorunluluk (mahkeme kararı vb.) saklıdır.

4. İşleme amaçları ve hukuki sebep

Veriler; hizmetin sunulması, hesabınızın yönetilmesi, yedekleme ve destek taleplerinizin karşılanması amacıyla, KVKK md. 5/2-c (sözleşmenin kurulması ve ifası) hukuki sebebine dayanılarak işlenir. Atolyo'nun veri işleyen sıfatıyla işlediği veriler, müşteri firmanın talimatlarıyla ve hizmetin sunulmasıyla sınırlıdır.

5. Saklama süreleri ve imha politikası

Kişisel veriler; hizmet ilişkisi ve ilgili mevzuattaki (ör. vergi, ticaret mevzuatı) saklama yükümlülükleri devam ettiği sürece saklanır. Saklama süresi sona eren veya işleme amacı ortadan kalkan veriler silinir, yok edilir veya anonim hâle getirilir.

• Firma ve hesap verileri: hizmet ilişkisi sürdüğü sürece saklanır; ilişki sona erdiğinde talebiniz üzerine dışa aktarılır ve makul süre içinde veritabanından kalıcı olarak silinir.
• Sistem yedekleri: sınırlı bir süre saklanır ve bu sürenin sonunda silinir.
• İmha yöntemi: silme (veritabanı kaydının kalıcı olarak kaldırılması) ve gerektiğinde yok etme veya anonimleştirme. Saklama ve imha süreçleri, veri sorumlusunun belirlediği saklama ve imha politikasına göre yürütülür.

6. Veri güvenliği ve ihlal bildirimi

KVKK md. 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür; veri işleyen olarak Atolyo da bu tedbirlerin alınmasından veri sorumlusuyla birlikte sorumludur. Atolyo bu kapsamda şifreleri geri döndürülemez biçimde (bcrypt) saklar, her firmanın verisini firma kimliğiyle izole eder ve denetim izi tutar.

Atolyo, barındırdığı sistemde bir veri ihlali fark ederse bunu gecikmeksizin ilgili müşteri firmaya bildirir. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirir (KVKK md. 12). Kurul’un konuya ilişkin kararları uyarınca bu bildirimin, ihlalin öğrenilmesinden itibaren en kısa sürede (Kurul kararlarında 72 saat olarak belirtilmiştir) yapılması beklenir.

7. VERBİS kaydı

Kişisel verileri işleyen veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmakla yükümlü olabilir. Bu yükümlülük her veri sorumlusu için geçerli değildir; Kurul tarafından belirlenen kriterlere (ör. yıllık çalışan sayısı, yıllık mali bilanço, ana faaliyet) ve istisnalara bağlıdır. Atolyo'yu kullanan firma, kendi durumunun VERBİS kayıt yükümlülüğü kapsamına girip girmediğini değerlendirmeli ve gerekiyorsa kaydını yaptırmalıdır.

8. Haklarınız

KVKK md. 11 uyarınca; verilerinize erişme, düzeltme, silme, işlemeye itiraz etme ve verilerinizin taşınmasını isteme hakkına sahipsiniz. Ayarlar sayfasındaki “Yedeği İndir” özelliğiyle tüm firma verinizi istediğiniz an tek dosya olarak alabilirsiniz. Talepleriniz için veri sorumlusuna başvurabilirsiniz.