Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, RepressEdu eğitim yönetim platformu (“RepressEdu” veya “Hizmet”) kapsamında işlenen kişisel veriler hakkında ilgili kişileri bilgilendirmek amacıyla hazırlanmıştır.

1. Veri Sorumlusu

1.1. RepressEdu, Taha Yasin Aktaş tarafından geliştirilmekte ve sunulmaktadır. İletişim adresi: represstudio@gmail.com.

1.2. Hizmet’i kullanan eğitim kurumunun (“Kurum”) öğrencilerine, velilerine, öğretmen ve çalışanlarına ait kişisel veriler bakımından veri sorumlusu ilgili Kurum’dur. RepressEdu bu verileri Kurum adına ve Kurum’un talimatları doğrultusunda işleyen veri işleyen sıfatını taşır. Bu verilere ilişkin taleplerin öncelikle Kurum’a iletilmesi gerekir.

1.3. Kurum hesabını açan kişinin bilgileri, abonelik kayıtları ve internet sitesindeki demo talep formu ile toplanan veriler bakımından veri sorumlusu RepressEdu’dur.

2. İşlenen Kişisel Veriler

2.1. Kimlik ve hesap bilgileri: ad, soyad, Kurum tarafından girilmesi hâlinde öğrenci numarası, kullanıcı adı, şifrenin geri döndürülemez özeti, rol bilgisi, bağlı olunan kurum ve sınıf, veli ile öğrenci arasındaki bağ. Kullanıcı hesaplarında e-posta adresi ve telefon numarası tutulmaz.

2.2. Eğitim verileri: sınav ve deneme sonuçları, işaretlenen cevaplar, ödev teslimleri, yoklama ve devamsızlık kayıtları, işlenen konu kayıtları, kazanım analizleri, karneler, ders programı, duyurular ve bildirimler.

2.3. Muhasebe verileri: öğrenci ödeme planları, taksit tutarları ve ödeme durumları, personel ücret tanımları ve maaş ödemeleri, kurum giderleri. Bu veriler yalnızca Kurum yöneticisinin erişimine açıktır.

2.4. Kurum bilgileri: kurum adı, il ve ilçe, iletişim e-posta adresi ve telefon numarası, logo, Kullanım Şartları’nın kabul tarihi ile Kurum’un ayrıca vermesi hâlinde internet sitesinde referans olarak gösterilme izni.

2.5. Yüklenen içerik: kütüphane kaynakları, ödev ekleri ve benzeri dosyalar.

2.6. Optik form görüntüleri: öğretmenin cevap okuma amacıyla yüklediği doldurulmuş optik form fotoğrafları.

2.7. Bildirim bilgisi: kullanıcının cihazında bildirim izni vermesi hâlinde cihazın bildirim kimliği.

2.8. Abonelik bilgisi: uygulama mağazasının oluşturduğu satın alma kimliği ve abonelik durumu. Kart ve ödeme bilgileri RepressEdu’ya iletilmez; ödemeler doğrudan Apple veya Google tarafından işlenir.

2.9. İşlem ve güvenlik kayıtları: hangi hesabın hangi işlemi hangi tarihte gerçekleştirdiğine ilişkin kayıtlar, sunucu erişim kayıtları (IP adresi, tarayıcı ve uygulama bilgisi) ve yapay zekâ kullanım miktarı.

2.10. Demo talep formu: ad soyad, kurum adı, e-posta adresi, telefon numarası, il, öğrenci sayısı aralığı ve ileti içeriği.

2.11. RepressEdu, özel nitelikli kişisel veri (sağlık, biyometrik veri, din, etnik köken ve benzerleri) toplamaz. Kullanıcıların dosya ve iletilerde bu tür verilere yer vermemesi gerekir.

3. İşleme Amaçları ve Hukuki Sebepler

3.1. Hizmet’in sunulması (giriş, sınav, ödev, yoklama, karne, analiz, duyuru, muhasebe ve kurum yönetimi): Kanun’un 5/2-c maddesi uyarınca bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ve 5/2-f maddesi uyarınca veri sorumlusunun meşru menfaati.

3.2. Yapay zekâ özelliklerinin çalıştırılması (analiz, rapor, çalışma önerisi, veli mesajı taslağı, dosyadan ders programı aktarma): Kurum’un bu özellikleri kullanıma açması ve kullanıcının ilgili işlemi başlatması üzerine, Hizmet sözleşmesinin ifası kapsamında.

3.3. Bildirim gönderilmesi (duyuru, ödev, sonuç ve devamsızlık bildirimleri): kullanıcının cihazında verdiği izne dayanılarak. İzin, cihaz ayarlarından her zaman geri alınabilir.

3.4. Aboneliğin doğrulanması ve kurum erişiminin yönetimi: Kanun’un 5/2-c ve 5/2-ç maddeleri.

3.5. Bilgi güvenliğinin sağlanması ve kötüye kullanımın önlenmesi: Kanun’un 5/2-ç ve 5/2-f maddeleri.

3.6. Demo talebine dönüş yapılması: formda verilen onay ve talebin karşılanması amacıyla Kanun’un 5/2-c maddesi.

3.7. Kişisel veriler satılmaz, reklam amacıyla kullanılmaz ve reklam amacıyla üçüncü kişilerle paylaşılmaz.

4. Yapay Zekâ Özellikleri

4.1. Yapay zekâ özellikleri Kurum’un abonelik paketine bağlıdır ve yalnızca bir kullanıcı ilgili işlemi başlattığında çalışır. Bu sırada işlem için gerekli eğitim verileri (deneme soruları, işaretlenen cevaplar, kazanım sonuçları gibi) analiz amacıyla yapay zekâ hizmet sağlayıcısına iletilir.

4.2. Öğrenci yalnızca kendi sonuçlarına, veli yalnızca kendi çocuğunun sonuçlarına, öğretmen yetkili olduğu sınıf ve öğrencilere, yönetici ise kurumun geneline ilişkin yapay zekâ değerlendirmesi alabilir. Değerlendirmeler ilgili kullanıcıya doğrudan gösterilir.

4.3. Veliye gönderilecek mesaj taslakları yapay zekâ tarafından hazırlanır; öğretmen veya yönetici tarafından okunup gönderilir. Yapay zekâ veliye kendiliğinden ileti göndermez. Devamsızlık ve sonuç gibi uygulama bildirimleri yapay zekâ ile ilgili değildir.

4.4. Yapay zekâ çıktıları bilgilendirme amaçlıdır; not, karne puanı veya disiplin gibi kararların yerine geçmez ve bu kararlar otomatik olarak verilmez. İletilen veriler hizmet sağlayıcının model eğitiminde kullanılmaz.

4.5. Yapay zekâ hizmet sağlayıcısı Anthropic’tir (Claude API, Amerika Birleşik Devletleri). Her istek yalnızca ilgili kurumun verisiyle sınırlıdır.

5. Optik Form Okuma

5.1. Yüklenen optik form görüntüleri yalnızca RepressEdu’ya ait optik okuma servisinde işlenir; yapay zekâ hizmet sağlayıcısına veya başka üçüncü kişilere iletilmez.

5.2. Görüntüden cevaplar çıkarıldıktan sonra görüntü saklanmaz; yalnızca okunan cevaplar ilgili öğrencinin sınav sonucuna işlenir.

6. Kişisel Verilerin Aktarılması

6.1. Kişisel veriler, Hizmet’in sunulabilmesi için aşağıdaki hizmet sağlayıcılara, yalnızca ilgili hizmetin gerektirdiği ölçüde aktarılır:

• Supabase: veritabanı ve dosya depolama hizmeti, sunucular Almanya’dadır.
• Railway: uygulama sunucusu hizmeti, sunucular Hollanda’dadır.
• Anthropic: yapay zekâ hizmeti, Amerika Birleşik Devletleri.
• Google Firebase Cloud Messaging: bildirim gönderim hizmeti.
• Apple App Store ve Google Play: abonelik ödemeleri.
• Google Fonts ve jsDelivr: yalnızca internet sitesinde yazı tipi ve simge dosyalarının sunulması. Site ziyaret edildiğinde tarayıcı bu hizmetlere IP adresini iletir.

6.2. Kişisel veriler, kanunen yetkili kamu kurum ve kuruluşlarına yalnızca yasal bir talep bulunması hâlinde ve talep edilen ölçüde aktarılabilir.

6.3. Yukarıda sayılan hizmet sağlayıcıların sunucuları Türkiye dışında bulunduğundan, veri işleme faaliyeti Kanun’un 9. maddesi kapsamında yurt dışına aktarım niteliği taşır. Aktarımlar, hizmet sağlayıcıların sözleşmesel güvenlik taahhütleri ile şifreli bağlantı, erişim kısıtlaması ve kurum bazlı veri yalıtımı gibi teknik tedbirler altında ve yalnızca Hizmet’in gerektirdiği ölçüde gerçekleştirilir.

7. Saklama Süreleri

7.1. Hesap ve eğitim verileri, Kurum Hizmet’i kullandığı ve hesap açık olduğu sürece saklanır.

7.2. Hesabını silen öğrenci, öğretmen ve velinin adı, soyadı, öğrenci numarası ve kullanıcı adı derhâl silinir. Sınav, yoklama ve ödeme gibi kayıtlar kişiyle ilişkisi kesilerek anonim biçimde Kurum’un kaydında kalır.

7.3. Silinen kurum 30 gün süreyle geri açılabilir durumda tutulur; bu sürenin sonunda tüm verileri ve dosyalarıyla birlikte kalıcı olarak silinir.

7.4. Optik form görüntüleri saklanmaz. Demo talepleri, talep sonuçlanana kadar veya ilgili kişinin silme talebine kadar saklanır.

7.5. Mevzuat gereği daha uzun süre saklanması zorunlu olan kayıtlar yalnızca bu süre boyunca ve bu amaçla tutulur.

8. Güvenlik

8.1. Erişim oturum anahtarı ile rol ve kurum bazlı yetkilendirme üzerinden sağlanır; her kullanıcı yalnızca kendi kurumunun ve rolünün izin verdiği verilere erişebilir. Muhasebe verileri yalnızca Kurum yöneticisine açıktır.

8.2. Dosyalara yalnızca kısa süreli imzalı bağlantılar ile erişilir. Tüm bağlantılar şifreli (HTTPS) olarak kurulur.

9. Çocuklara Ait Veriler

9.1. Öğrenci hesapları eğitim kurumları tarafından açılır. Reşit olmayan öğrencilere ait veriler yalnızca eğitim amacıyla ve Kurum’un sorumluluğunda işlenir.

9.2. Veli ve öğrencilerin aydınlatılması ve gerekli hâllerde rızalarının alınması, veri sorumlusu sıfatıyla Kurum’un yükümlülüğündedir. RepressEdu, Kurum’a bu yükümlülüğü yerine getirmesi için gerekli bilgiyi sağlar. Veliler, çocuklarına ait verilerle ilgili taleplerini Kurum’a veya RepressEdu’ya iletebilir.

10. Çerezler

10.1. RepressEdu internet sitesinde reklam veya ziyaretçi takibi amacıyla çerez kullanılmaz. Yazı tipi ve simge dosyaları 6.1. maddede belirtilen hizmetlerden yüklenir.

11. İlgili Kişinin Hakları

11.1. Kanun’un 11. maddesi uyarınca ilgili kişiler; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, Kanun’un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

11.2. Başvurular, başvuru sahibinin adı soyadı, kurumu, kullanıcı adı ve talebi belirtilerek represstudio@gmail.com adresine iletilebilir. Başvurular, kimlik doğrulamasının ardından en geç 30 gün içinde ücretsiz olarak sonuçlandırılır. Kurum’un veri sorumlusu olduğu verilere ilişkin başvurular Kurum’a da yapılabilir.

11.3. Kullanıcılar hesaplarını uygulama içinden silebilir; ayrıntılar Hesap ve Veri Silme sayfasında yer almaktadır. Kurumlarla yapılan veri işleme sözleşmesi Kullanım Şartları ve Veri İşleme Sözleşmesi sayfasındadır.