GDPR ve Faturalandırma: Her Serbest Çalışanın Bilmesi Gerekenler
GDPR her faturanıza uygulanır. Hangi verilerin kişisel sayıldığını, saklama sürelerini ve yasal dayanağı öğrenin.
Genel Veri Koruma Yönetmeliği (GDPR), yalnızca büyük teknoloji şirketleri için geçerli değildir. AB'deki müşterilere fatura kesen — ya da dünyanın herhangi bir yerinden AB merkezli müşterilere fatura kesen — her serbest çalışan veya küçük işletme kişisel veri işlemektedir; bu da GDPR'nin size uygulandığı anlamına gelir.
Bu rehber, GDPR'nin faturalandırma açısından tam olarak ne anlama geldiğini açıklar: Faturada hangi bilgiler kişisel veri sayılır, işlemek için yasal dayanağınız nedir, fatura kayıtlarını ne kadar süre tutabilirsiniz ve müşterilerinizin verileri üzerindeki hakları nelerdir.
Önemli not: Türkiye, AB üyesi olmadığından GDPR'ye doğrudan tabi değildir. Ancak AB'deki müşterilere (bireyler veya şirketler) hizmet sunuyorsanız GDPR size uygulanır. Türkiye'deki faaliyetleriniz için ise KVKK (Kişisel Verilerin Korunması Kanunu) geçerlidir.
Faturalar Kişisel Veri İçeriyor mu?
Evet. Bir fatura genellikle şunları içerir:
- Müşterinin tam adı veya şirketteki ilgili kişinin adı
- Müşterinin adresi (iş yeri veya ev)
- E-posta adresi
- Telefon numarası
- Vergi kimlik numarası (şahıs işletmeleri için bu numara kişisel bilgi içerebilir)
Bir gerçek kişiyi doğrudan ya da dolaylı olarak tanımlayabilen her bilgi, GDPR kapsamında kişisel veri sayılır. Serbest çalışanın adı ve adresi kişisel veridir. Şirket adı tek başına değildir — ama o şirketteki adı geçen bir ilgili kişi kişisel veridir.
Fatura Verilerini İşlemek İçin Yasal Dayanağınız
GDPR Madde 6, kişisel veri işlemek için bir yasal dayanak gerektirir. Faturalandırma için iki dayanak geçerlidir:
1. Sözleşmenin İfası (Madde 6(1)(b))
İşleme, ilgili kişiyle bir sözleşmenin ifası için zorunludur. Müşteriye fatura kesmek bu koşulu doğrudan karşılar — geçerli bir fatura için müşterinin adına ve adresine ihtiyaç duyarsınız.
2. Hukuki Yükümlülük (Madde 6(1)(c))
İşleme, hukuki bir yükümlülüğün yerine getirilmesi için zorunludur. Pratik olarak tüm AB üyesi ülkelerdeki vergi mevzuatı, fatura kayıtlarını belirli bir süre saklamanızı zorunlu kılar. Vergi dairesinin gerekliliklerini karşılamak amacıyla fatura saklamak açıkça bu kapsama girer.
Fatura kesmek veya vergi amacıyla saklamak için rızaya ihtiyacınız yoktur. Burada rıza istemek hatalı olur — rıza serbestçe geri alınabilir olmalıdır ve bir müşteri rızasını geri aldığı için zorunlu bir vergi belgesini silemezsiniz.
Fatura Kayıtlarını Ne Kadar Süre Saklayabilirsiniz?
GDPR'nin veri minimizasyonu ve depolama sınırlama ilkeleri, kişisel verileri yalnızca gerekli olduğu kadar saklamanızı gerektirir. Faturalar için "gerekli" olan süreyi GDPR değil, ulusal vergi mevzuatı belirler. Yaygın saklama süreleri:
| Ülke | Asgari Saklama Süresi |
|---|---|
| Almanya | 10 yıl |
| Fransa | 10 yıl |
| Hollanda | 7 yıl |
| İspanya | 5 yıl (genel), 4 yıl (vergi) |
| İtalya | 10 yıl |
| Birleşik Krallık | 6 yıl |
| Türkiye (KVKK) | 5 yıl (VUK kapsamında) |
Saklama süresi dolduğunda, kayıtları silmeniz veya anonimleştirmeniz gerekir. Faturaları "her ihtimale karşı" süresiz saklamak GDPR'ye uygun değildir.
Müşteri Hakları ve Faturalar
Erişim Hakkı (Madde 15)
Bir müşteri, hakkında tuttuğunuz kişisel verilerin bir kopyasını talep edebilir. Bir ay içinde yanıt vermeniz gerekir. Faturalar için bu, verilerini içeren faturaların kopyalarını sağlamak anlamına gelir.
Silme Hakkı (Madde 17)
"Unutulma hakkı", yasal yükümlülüklerin önüne geçmez. Vergi mevzuatı bir faturayı 10 yıl saklamanızı zorunlu kılıyorsa, silme talebini reddedebilirsiniz. Müşteriyi yasal yükümlülüklerin gereği olarak kaydı sakladığınız ve yükümlülük sona erince sileceğiniz konusunda bilgilendirin.
Düzeltme Hakkı (Madde 16)
Bir faturadaki müşteri bilgileri hatalıysa düzeltme talep edebilir. Düzenlenen faturalar için genellikle orijinal kaydı değiştirmek yerine düzeltilmiş bir fatura veya alacak dekontu düzenlenir.
Faturalama Yazılımı: Dikkat Edilmesi Gerekenler
Bulut tabanlı bir fatura platformu kullanıyorsanız, bu platform GDPR kapsamında bir veri işleyicisi haline gelir. Siz veri sorumlususunuz; onlar adınıza verileri işler. Bu şu anlama gelir:
- Platformla bir Veri İşleme Sözleşmesi (DPA) yapmanız gerekir — saygın platformlar bunu şartlarına dahil eder
- Müşteri verileri AB dışındaki sunucularda depolanabilir — verilerin nerede barındırıldığını ve yeterli güvencelerin mevcut olup olmadığını kontrol edin
- Platform verileri hatalı işlese bile GDPR uyumluluğundan siz sorumlu kalırsınız
invoicePrivate gibi tüm verileri yerel olarak depolayan tarayıcı tabanlı araçlar bu sorunu tamamen ortadan kaldırır. Sunucuya hiçbir veri gönderilmez, bu nedenle üçüncü taraf bir işleyici yoktur, DPA gerekmez ve platform ihlali riski yoktur.
GDPR Uyumlu Faturalandırma İçin Pratik Adımlar
- Yalnızca gerekli olanı toplayın. Ad, adres ve vergi numarası — bundan fazlası değil.
- Saklama sürenizi bilin. Fatura kayıtlarını yasal süre dolduğunda silmek için bir hatırlatıcı oluşturun.
- Gizlilik bildiriminizi güncelleyin. Bülten gönderiyorsanız veya iletişim bilgilerini pazarlama için kullanıyorsanız, gizlilik bildiriminiz bunu açıklamalıdır.
- Bulut araçlarıyla DPA imzalayın. GDPR Madde 28 uyarınca zorunludur.
- Erişim talepleri için bir süreç belirleyin. Müşteri hangi verileri tuttuğunuzu sorarsa, 30 gün içinde yanıt verebilmeniz gerekir.
Uyumsuzluk Durumunda Cezalar
GDPR cezaları kademeli olarak uygulanır:
- Alt kademe: 10 milyon Euro'ya veya küresel yıllık cironun %2'sine kadar
- Üst kademe: 20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar
Türkiye'deki KVKK ihlalleri için ise Kişisel Verileri Koruma Kurumu (KVKK) idari para cezası uygulayabilir.
FAQ
AB dışında olup AB müşterilerine fatura kesiyorsam GDPR beni etkiler mi?▼
Evet. GDPR, AB'deki kişilere mal veya hizmet sunan her işletmeye uygulanır — işletmenin nerede kurulu olduğundan bağımsız olarak. AB'de yerleşik bireylere (yalnızca şirketlere değil) fatura kesiyorsanız GDPR'ye tabi olursunuz.
Bir müşteri GDPR kapsamında beni bir faturayı silmeye zorlayabilir mi?▼
Hayır, yasal olarak saklamakla yükümlü olduğunuz sürece değil. Silme hakkı yasal yükümlülüklerin önüne geçmez. Talebi reddedebilir, yasal dayanağı açıklayabilir ve saklama süresi dolduğunda kaydı sileceğinizi taahhüt edebilirsiniz.
Türkiye'de faaliyet gösteren biri olarak hem GDPR hem KVKK'ya uyum sağlamam gerekiyor mu?▼
Eğer Türkiye'de yerleşikseniz ve yalnızca Türk müşterilere hizmet veriyorsanız, KVKK geçerlidir. AB'deki bireylere de hizmet sunuyorsanız, her iki düzenlemeye de uyum sağlamanız gerekir. Prensipler büyük ölçüde örtüşür; her ikisine de uymak genellikle her ikisine birden uyum sağlamak anlamına gelir.
Serbest çalışanın vergi kimlik numarası kişisel veri midir?▼
Türkiye'de şahıs işletmelerinin vergi numarası TC kimlik numarasından türetildiğinden doğrudan bir kişisel veridir. Bu, serbest çalışanların vergi numarasını içeren faturaları üçüncü taraflarla paylaşırken dikkatli olunması gerektiği anlamına gelir.
İlk Faturanız Üç Dakikadan Az Sürer
Sonsuza kadar ücretsiz. Kredi kartı yok, kayıt yok, filigran yok. Aracı açın ve başlayın.
Fatura Oluştur →