EK-1: VERİ İŞLEME SÖZLEŞMESİ (DPA)
Sürüm: 1.0 · Yürürlük: 07.11.2026
1. Taraflar ve Roller
1.1. Bu Veri İşleme Sözleşmesi ("DPA"), Mihsap Kullanıcı ve Abonelik Sözleşmesi'nin ("Ana Sözleşme") ayrılmaz ekidir.
1.2. Müşteri Verisi içinde yer alan kişisel veriler bakımından Müşteri veri sorumlusu, Mihsap veri işleyen sıfatını taşır (6698 sayılı KVKK m.3 ve m.12).
1.3. Mihsap'ın kendi müşteri ilişkisi kapsamında işlediği hesap, faturalama ve kullanım verileri bu DPA'nın kapsamı dışındadır; bu veriler bakımından Mihsap veri sorumlusudur.
2. İşlemenin Konusu ve Kapsamı
| Başlık | Açıklama |
|---|---|
| İşleme konusu | Belge okuma, sınıflandırma, muhasebe kaydı hazırlama/aktarma, arşivleme, raporlama |
| İlgili kişi grupları | Müşteri'nin mükellefleri (gerçek kişi/şahıs şirketi), mükelleflerin çalışanları, tedarikçi ve müşteri yetkilileri, fatura ve belgelerde adı geçen kişiler |
| Veri kategorileri | Kimlik (ad-soyad, TCKN/VKN), iletişim, finansal (fatura, banka hareketi, cari bakiye, ödeme bilgisi), müşteri işlem, çalışan/bordro verileri (Müşteri yüklerse), belge görüntüleri |
| Özel nitelikli veri | Hizmet bunu işlemek için tasarlanmamıştır. Müşteri, zorunlu olmadıkça özel nitelikli veri (sağlık raporu, sendika aidatı vb.) içeren belge yüklememeyi; yüklemesi halinde gerekli işleme şartını sağladığını kabul eder |
| Süre | Ana Sözleşme süresi + md. 10'daki iade/silme süreleri |
3. Talimatlar
3.1. Mihsap, kişisel verileri yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Ana Sözleşme, bu DPA ve Müşteri'nin Platform'da yaptığı ayar ve işlemler talimat sayılır.
3.2. Mihsap, bir talimatın mevzuata aykırı olduğunu düşünürse Müşteri'yi derhal bilgilendirir.
3.3. Mihsap kişisel verileri kendi amaçları için kullanmaz, satmaz ve Müşteri'nin ayrıca yazılı onayı olmadan yapay zekâ model eğitiminde kullanmaz. Anonimleştirilmiş ve toplulaştırılmış istatistikler kişisel veri sayılmaz.
4. Gizlilik
Mihsap, kişisel verilere erişen çalışanlarının ve alt işleyenlerinin gizlilik yükümlülüğü altında olmasını sağlar; erişimi "bilmesi gereken" ilkesiyle sınırlar.
5. Teknik ve İdari Tedbirler
Mihsap, KVKK m.12 ve Kurul'un Kişisel Veri Güvenliği Rehberi'ne uygun olarak en az şu tedbirleri alır:
- Aktarımda TLS 1.2+, saklamada AES-256 şifreleme; Entegrasyon Bilgileri için ayrı anahtar yönetimi
- Rol tabanlı yetkilendirme, yönetici erişimlerinde iki adımlı doğrulama
- Erişim ve işlem loglarının en az 2 yıl saklanması
- Müşteri verilerinin müşteri bazında mantıksal ayrıştırılması
- Düzenli yedekleme ve geri dönüş testleri
- Yılda en az bir kez sızma testi ve zafiyet taraması
- Çalışanlara yıllık KVKK ve bilgi güvenliği eğitimi
6. Alt İşleyenler
6.1. Müşteri, Mihsap'ın aşağıdaki alt işleyenleri kullanmasına genel izin verir:
| Alt işleyen | Hizmet | Veri konumu | Aktarım dayanağı |
|---|---|---|---|
| Yurt içinde ve yurt dışında yerleşik bulut altyapı sağlayıcıları | Barındırma, depolama, işlem gücü, yedekleme | Yurt içi ve yurt dışı | Yurt dışındaki sağlayıcıyla KVKK m.9 standart sözleşme imzalanmış ve Kurul'a bildirilmiştir |
| Mihsap'ın iş ortağı olan bağlı şirket (yapay zekâ analiz hizmetleri) | Müşteri Verisi üzerinde yapay zekâ destekli analiz, raporlama, sorgulama ve asistan işlevleri | Mihsap'ın bulut altyapısı | Bu DPA ile aynı koruma düzeyinde alt işleyen sözleşmesi; yurt dışı bulut kullanımında aynı standart sözleşme |
| E-posta, SMS ve destek hizmeti sağlayıcıları | Bildirim e-postaları ve SMS'leri, destek talepleri | Yurt içi veya yurt dışı | KVKK m.8 ve m.9'a uygun dayanak |
6.2. Mihsap, yeni bir alt işleyen eklemeden en az 15 gün önce bu listeyi günceller ve Müşteri'ye e-posta ile bildirir. Müşteri, makul ve belgelenmiş veri koruma gerekçesiyle bu süre içinde itiraz edebilir; uzlaşılamazsa Müşteri ilgili Hizmet'i feshederek kullanılmayan dönem ücretinin orantılı iadesini talep edebilir.
6.3. Mihsap, alt işleyenlere bu DPA'dakinden daha az koruyucu olmayan yükümlülükler yükler ve onların eylemlerinden Müşteri'ye karşı sorumludur.
6.4. Müşteri, Ana Sözleşme'yi onaylamakla; Hizmet kapsamındaki yapay zekâ destekli analiz, raporlama ve sorgulama işlevlerinin Mihsap'ın iş ortağı olan bağlı şirket tarafından alt işleyen sıfatıyla sunulmasına ve Müşteri Verisi'nin yalnızca bu işlevlerin Müşteri'ye sunulması amacıyla bu şirket tarafından işlenmesine izin verir. Bu şirket Müşteri Verisi'ni kendi amaçları için kullanamaz, üçüncü kişilere aktaramaz ve Mihsap'la aynı güvenlik ve gizlilik yükümlülüklerine tabidir. Şirketin unvanı Müşteri'nin talebi halinde bildirilir.
7. Yurt Dışına Aktarım
7.1. Kişisel veriler yurt dışına yalnızca KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olarak aktarılır. Düzenli aktarımlar için Kurul'un ilan ettiği standart sözleşme kullanılır ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilir.
7.2. Mihsap'ın bulut altyapısı yurt içinde ve yurt dışında yerleşik sağlayıcılardan alınmaktadır. Yurt dışındaki sağlayıcıyla KVKK m.9 kapsamında standart sözleşme imzalanmış ve Kurul'a bildirilmiştir.
8. İlgili Kişi Başvuruları
8.1. Mihsap'a doğrudan bir mükellef veya başka bir ilgili kişi tarafından başvuru yapılırsa Mihsap, başvuruyu 3 iş günü içinde Müşteri'ye iletir ve Müşteri'nin talimatı olmadan yanıt vermez.
8.2. Mihsap, Müşteri'nin KVKK m.11 kapsamındaki başvuruları 30 gün içinde yanıtlayabilmesi için Platform üzerinden arama, dışa aktarma, düzeltme ve silme imkânı sağlar.
9. Kişisel Veri İhlali
9.1. Mihsap, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrenmesinden itibaren gecikmeksizin ve en geç 24 saat içinde Müşteri'ye bildirir.
9.2. Bildirimde, o an bilinen ölçüde: ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçlar, alınan ve önerilen tedbirler ile irtibat kişisi yer alır.
9.3. Mihsap, Müşteri'nin Kurul'a 72 saat içinde bildirim yapabilmesi ve ilgili kişileri bilgilendirebilmesi için makul işbirliğini sağlar.
10. Sözleşme Sonunda Veriler
Ana Sözleşme md. 10'daki dışa aktarma (30 gün), silme (60 gün) ve yedeklerden silme (en geç 90 gün) süreleri uygulanır. Müşteri talep ederse Mihsap silme işlemini yazılı olarak teyit eder.
11. Denetim
11.1. Mihsap, bu DPA'ya uyumu gösteren bilgi ve belgeleri (güvenlik politikası özeti, varsa sertifikalar, sızma testi özet raporu) Müşteri'nin yazılı talebi üzerine 30 gün içinde sunar.
11.2. Bunların yetersiz kalması veya bir ihlal ya da Kurul talebi bulunması halinde Müşteri, yılda en fazla bir kez, 30 gün önceden bildirmek, mesai saatlerinde yapılmak ve masraflarını kendisi karşılamak kaydıyla yerinde denetim talep edebilir.
12. Sorumluluk
Bu DPA kapsamındaki sorumluluk, Ana Sözleşme md. 13'e tabidir. Mihsap'ın güvenlik yükümlülüklerini ağır ihlali sonucu doğan kişisel veri ihlallerinde sorumluluk sınırı uygulanmaz.
13. Öncelik
Kişisel verilerin korunması bakımından bu DPA ile Ana Sözleşme arasında çelişki olursa bu DPA uygulanır.