Veri İşleyen Sözleşmesi (KVKK)

Son güncelleme: 8 Kasım 2026

Sürüm 1.1 · Yürürlük tarihi: 8 Kasım 2026

Bu Veri İşleyen Sözleşmesi ("DPA"), Üyelik / Kullanım Sözleşmesi'nin eki olup, 6698 sayılı KVKK md. 12 ve Kişisel Verileri Koruma Kurulu kararları uyarınca, Müşteri'nin Platform'a girdiği kişisel verilerin TAMAMLA YAZILIM BİLİŞİM LTD. ŞTİ. ("tamam.la") tarafından işlenmesinin koşullarını düzenler. Kişisel verilere ilişkin konularda bu DPA, Üyelik / Kullanım Sözleşmesi'ne göre öncelikle uygulanır.

1. Roller

Müşteri – veri sorumlusu: Platform'a girdiği müşteri, tedarikçi, bayi, personel, mağaza ziyaretçisi ve son kullanıcı verilerinin işleme amaç ve vasıtalarını Müşteri belirler.
tamam.la – veri işleyen: bu verileri yalnızca Müşteri'nin talimatıyla, Müşteri adına ve hizmetin gerektirdiği ölçüde işler. Platform'un olağan kullanımı (kayıt oluşturma, e-belge gönderme, ileti gönderme, yedekleme) belgelenmiş talimat sayılır.
tamam.la, Müşteri'nin yetkili ve kullanıcılarına ait hesap, fatura ve iletişim verileri bakımından ayrıca veri sorumlusudur.

2. İşlemenin kapsamı

Konu	Bulut tabanlı muhasebe, e-belge, e-ticaret ve B2B hizmetinin sunulması
Süre	Üyelik / Kullanım Sözleşmesi süresi + 90 günlük silme dönemi
İlgili kişi grupları	Müşteri'nin müşterileri, tedarikçileri, bayileri ve bayi kullanıcıları, personeli, mağaza ziyaretçi ve alıcıları
Veri kategorileri	Kimlik, iletişim, adres, vergi kimliği, finansal (bakiye, ödeme, fatura), sipariş ve teslimat, işlem güvenliği (IP, oturum), personel dönem ve çalışma bilgileri; Müşteri'nin yüklediği belge ve görseller
Özel nitelikli veri	Platform özel nitelikli veri işlemek için tasarlanmamıştır; Müşteri bu tür veri girmemeyi taahhüt eder

3. tamam.la'nın yükümlülükleri

Verileri yalnızca talimatla işlemek; talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi bilgilendirmek.
Veriye erişen personelin gizlilik taahhüdü vermesini ve yalnızca görevin gerektirdiği veriye erişmesini sağlamak.
Kurul'un Kişisel Veri Güvenliği Rehberi'ne uygun teknik ve idari tedbirleri almak: aktarımda ve diskte şifreleme, rol bazlı yetki, erişim ve işlem kayıtları, firmalar arası mantıksal izolasyon, güvenlik duvarı ve bot koruması, günlük şifreli yedek, düzenli güvenlik güncellemeleri.
Müşteri'nin KVKK md. 11 kapsamındaki ilgili kişi başvurularını 30 gün içinde yanıtlayabilmesi için gereken dışa aktarma, düzeltme ve silme araçlarını panelde sunmak; doğrudan tamam.la'ya ulaşan başvuruları 5 iş günü içinde Müşteri'ye yönlendirmek.
Müşteri'nin yükümlülüklerini yerine getirmesine (veri envanteri, güvenlik değerlendirmesi, Kurul incelemesi) makul ölçüde yardımcı olmak.

4. Alt işleyenler

Müşteri, tamam.la'nın aşağıdaki alt işleyenleri kullanmasına genel onay verir. tamam.la, alt işleyenlere bu DPA'dakine eşdeğer yükümlülükler yükler ve alt işleyenin fiilinden Müşteri'ye karşı sorumlu kalır. Alt işleyen eklenmesi veya değiştirilmesi en az 15 gün önce e-posta ile bildirilir; Müşteri haklı gerekçeyle itiraz ederse taraflar çözüm arar, çözüm bulunamazsa Müşteri ilgili özelliği kullanmayı bırakabilir veya Sözleşme'yi feshedip kalan dönem bedelinin orantılı iadesini alabilir.

Hizmet	Sağlayıcı	Ülke	Aktarılan veri
Sunucu ve veri barındırma, yedekleme, e-posta sunucuları	Hetzner Online GmbH	Almanya (AB)	Platformdaki tüm veriler (şifreli disk, erişim yalnız tamam.la)
İçerik dağıtım ağı, güvenlik duvarı, bot koruması (Turnstile), dosya depolama (R2)	Cloudflare, Inc.	ABD (küresel ağ)	IP adresi, trafik verisi, yüklenen dosyalar
Online ödeme (3D Secure sanal POS)	PayTR, QNBpay, Param	Türkiye	Ad soyad, e-posta, tutar; kart verisi doğrudan ödeme kuruluşuna gider
e-Fatura / e-Arşiv / e-İrsaliye özel entegratörü	Taxten · Gelir İdaresi Başkanlığı	Türkiye	Belge içeriği (unvan, VKN/TCKN, adres, kalemler)
SMS gönderimi	NetGSM	Türkiye	Telefon numarası, ileti içeriği
WhatsApp Business iletileri	Meta Platforms Ireland Ltd.	İrlanda / ABD	Telefon numarası, ileti içeriği
Yapay zekâ asistanları (yalnızca asistan kullanıldığında)	Anthropic PBC · Google LLC	ABD	Asistana yazılan mesajlar ve işlem için gereken kayıtlar; model eğitiminde kullanılmaz
Online görüşme randevusu (takvim ve toplantı bağlantısı)	Google LLC	ABD	Ad soyad, e-posta, randevu saati
Site kullanım ölçümü (yalnızca çerez onayı verilirse)	Google LLC (Analytics, Tag Manager)	ABD	Çerez kimliği, sayfa görüntüleme ve dönüşüm olayları
Isı haritası ve oturum kaydı (yalnızca çerez onayı verilirse)	Microsoft Corporation (Clarity)	ABD	Tıklama ve kaydırma davranışı, maskelenmiş ekran kaydı
Reklam dönüşüm ölçümü ve yeniden pazarlama (yalnızca çerez onayı verilirse)	Google LLC (Ads), Meta Platforms (Pixel), LinkedIn Corporation (Insight Tag)	ABD / İrlanda	Çerez kimliği, ziyaret edilen sayfa, form gönderimi olayı
Ürün kullanım analitiği (uygulama paneli; metin ve girdiler maskelenir)	PostHog Inc. (AB bölgesi) veya tamam.la sunucusu	AB	Kullanıcı kimlik numarası, firma kodu, tıklanan ekran ve özellik
Hata ve performans izleme	Functional Software Inc. (Sentry)	AB / ABD	Hata mesajı, istek yolu, tarayıcı bilgisi; kişisel veri gönderimi kapalı

Türkiye dışındaki sağlayıcılara aktarım, KVKK md. 9 kapsamında Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşme veya eşdeğer uygun güvenceler çerçevesinde yapılır; sağlayıcılarla veri işleme sözleşmeleri akdedilmiştir. Liste değiştiğinde bu sayfa güncellenir ve müşterilere e-posta ile bildirilir.

5. Yurt dışına aktarım

Barındırma Almanya'da (AB) yapıldığından ve bazı alt işleyenler Türkiye dışında yerleşik olduğundan, Müşteri Verisi KVKK md. 9 kapsamında yurt dışına aktarılmaktadır. tamam.la, bu aktarımlar için Kurul'ca ilan edilen standart sözleşmeleri veya eşdeğer uygun güvenceleri sağlar ve standart sözleşmelerin Kurum'a bildirimini (5 iş günü) kendi adına yapar. Müşteri, kendi ilgili kişilerini aydınlatırken verilerin Türkiye dışında barındırıldığını belirtmekle yükümlüdür; tamam.la bunun için örnek aydınlatma cümleleri sağlar.

6. Veri ihlali bildirimi

tamam.la, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrendiğinde gecikmeksizin ve en geç 24 saat içinde Müşteri'nin kayıtlı e-posta adresine bildirir; bildirimde ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçlar ve alınan tedbirler yer alır. Müşteri'nin Kurul'a 72 saat içinde yapması gereken bildirim için gereken bilgileri sağlar. Müşteri'nin kendi kullanıcılarından kaynaklanan ihlallerde (zayıf şifre, paylaşılan giriş) bildirim yükümlülüğü Müşteri'ye aittir; tamam.la tespit ederse haber verir.

7. Denetim

Müşteri, yılda en fazla bir kez, 15 gün önceden yazılı bildirimle ve gizlilik taahhüdü vererek, bu DPA'ya uyumu iş saatlerinde ve diğer müşterilerin verilerine erişmeden denetleyebilir veya tamam.la'nın sunduğu güvenlik raporu ve belgelerle yetinebilir. Denetim masrafları Müşteri'ye aittir.

8. Sona erme, iade ve silme

Sözleşme sona erdiğinde Müşteri 30 gün boyunca verilerini dışa aktarabilir. 90. günün sonunda Müşteri Verisi, yedekler dahil, silinir veya anonim hale getirilir; yedek rotasyonundaki kopyalar en geç 30 gün içinde döngüden çıkar. Mevzuatın saklanmasını zorunlu kıldığı kayıtlar süre sonuna kadar yalnızca bu amaçla saklanır. Müşteri talep ederse silme tutanağı verilir.

9. Müşteri'nin yükümlülükleri

Platform'a girdiği veriler için hukuki sebep bulunmasını, ilgili kişilerin aydınlatılmasını ve gerekiyorsa açık rıza alınmasını sağlamak.
Kullanıcı yetkilerini ihtiyaçla sınırlı tutmak, ayrılan personelin hesabını kapatmak, güçlü şifre ve iki aşamalı doğrulama kullanmak.
e-Ticaret mağazası ve bayi portalı için kendi KVKK, çerez ve mesafeli satış metinlerini yayınlamak.
Veri sorumluları siciline (VERBİS) kayıt yükümlülüğü varsa yerine getirmek.

10. Sorumluluk

Taraflar, KVKK md. 12/2 uyarınca veri güvenliğinden müştereken sorumludur. İç ilişkide her taraf kendi kusurundan doğan idari para cezası ve tazminattan sorumludur; bir tarafın kusuru nedeniyle diğer tarafın ödediği tutar kusurlu tarafa rücu edilir. tamam.la'nın sorumluluğu, kast ve ağır ihmal hariç, Üyelik / Kullanım Sözleşmesi'ndeki sınırlara tabidir.

11. Diğer

Bu DPA, Üyelik / Kullanım Sözleşmesi ile birlikte yürürlüğe girer ve onunla birlikte sona erer. Uyuşmazlıklarda Gaziantep Mahkemeleri ve İcra Daireleri yetkilidir.