Veri İşleme Sözleşmesi

Bu sözleşme, KursPusulam hizmet sözleşmesinin ("Hizmet Sözleşmesi") ekidir ve onun ayrılmaz parçasıdır. İki sözleşme arasında kişisel verilerle ilgili bir çelişki olursa bu sözleşme uygulanır.

Taraflar

Veri işleyen ("Hizmet Sağlayıcı"): Aydın TUNCER Bireysel Şahıs Şirketi · Kosova Mh. Veysel Karani Cd. No: 130 Selçuklu/Konya · Selçuk Vergi Dairesi, VKN 8640043718 · [email protected]

Veri sorumlusu ("Kurum"): Hizmet Sözleşmesi'nde unvanı, adresi ve vergi bilgileri yazılı eğitim kurumu.

1. Tanımlar

Bu sözleşmede "Kanun" 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu, "Kurul" Kişisel Verileri Koruma Kurulu'nu, "Hizmet" Hizmet Sözleşmesi kapsamında sunulan KursPusulam yazılım, barındırma ve destek hizmetlerini, "Kurum Verisi" Hizmet'in kullanımı sırasında Kurum adına işlenen kişisel verileri, "Alt İşleyen" Hizmet Sağlayıcı'nın Hizmet'i sunmak için kullandığı ve Kurum Verisi'ne erişebilen üçüncü kişileri, "İhlal" Kurum Verisi'nin kanuni olmayan yollarla başkalarınca elde edilmesini ya da güvenliğinin bozulmasını ifade eder. Diğer terimler Kanun'daki anlamıyla kullanılır.

2. Konu ve roller

2.1. Kurum, Hizmet'te işlenen öğrenci, veli, personel ve diğer kişilere ait verilerin veri sorumlusudur. Hizmet Sağlayıcı bu verileri Kanun'un 3. ve 12. maddeleri anlamında veri işleyen sıfatıyla, yalnız Kurum adına ve Kurum'un talimatıyla işler.

2.2. İşlemenin konusu, süresi, niteliği, amacı, veri kategorileri ve ilgili kişi grupları Ek-1'de yazılıdır.

2.3. Hizmet Sağlayıcı'nın kendi müşteri ilişkisi için işlediği veriler (Kurum yetkililerinin iletişim ve fatura bilgileri, destek yazışmaları, internet sitesi ziyaretçileri) ile platform güvenliği için tuttuğu merkezi kayıtlar bu sözleşmenin kapsamında değildir; bunlarda Hizmet Sağlayıcı veri sorumlusudur ve kurspusulam.com.tr/kvkk/ adresindeki aydınlatma metni geçerlidir.

3. Süre

Bu sözleşme Hizmet Sözleşmesi'yle birlikte yürürlüğe girer ve Kurum Verisi'nin 12. maddeye göre iadesi ve silinmesi tamamlanana kadar sürer. Gizlilik yükümlülükleri sözleşme bittikten sonra da devam eder.

4. Talimatla işleme

4.1. Hizmet Sağlayıcı Kurum Verisi'ni yalnız Hizmet'i sunmak, Kurum'un Hizmet içindeki ayar ve işlemleriyle verdiği talimatları ve Kurum'un yazılı talimatlarını yerine getirmek için işler. Kurum'un Hizmet'te açtığı modüller, yaptığı ayarlar ve kullanıcılarının işlemleri talimat sayılır.

4.2. Hizmet Sağlayıcı Kurum Verisi'ni kendi amaçları için kullanmaz; satmaz, kiralamaz, reklam ya da pazarlama için kullanmaz, profil çıkarmaz, başka kurumların verisiyle birleştirmez.

4.3. Hizmet Sağlayıcı, bir talimatın Kanun'a aykırı olduğunu düşünürse bunu Kurum'a gecikmeksizin bildirir ve aykırılık giderilene kadar o talimatı uygulamayabilir.

4.4. Kanun gereği yetkili bir kamu kurumu Kurum Verisi isterse Hizmet Sağlayıcı, yasal olarak engellenmedikçe bunu Kurum'a önceden bildirir ve yalnız zorunlu olan kadar veri verir.

5. Gizlilik

Hizmet Sağlayıcı, Kurum Verisi'ne yalnız görevi gereği erişmesi gereken çalışanlarının ve yardımcılarının erişmesini sağlar; bu kişilerin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Destek için Kurum hesabına girilmesi gerekirse Kurum panelinde "Destek oturumu açık" uyarısı görünür ve oturumdaki her işlem denetim kaydına destek adıyla yazılır.

6. Teknik ve idari tedbirler

Hizmet Sağlayıcı, Kanun'un 12. maddesi ve Kurul'un rehberleri doğrultusunda, Kurum Verisi'nin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için Ek-2'deki tedbirleri alır. Tedbirler teknolojik gelişmelere göre güncellenebilir; güncelleme güvenlik düzeyini düşüremez.

7. Alt işleyenler

7.1. Kurum, Ek-3'te listelenen Alt İşleyenlerin kullanılmasına genel yazılı izin verir.

7.2. Hizmet Sağlayıcı yeni bir Alt İşleyen eklemeden ya da birini değiştirmeden en az 30 gün önce Kurum'a e-postayla bildirir ve güncel listeyi kurspusulam.com.tr/veri-isleme/ adresinde yayımlar. Kurum, makul ve kişisel verilerin korunmasına dayalı bir gerekçeyle bildirimden itibaren 30 gün içinde itiraz edebilir. Taraflar çözüm bulamazsa Kurum, etkilenen Hizmet bölümünü ya da Hizmet Sözleşmesi'ni ceza ödemeden feshedebilir; peşin ödenmiş kullanılmayan dönemin ücreti iade edilir.

7.3. Hizmet Sağlayıcı her Alt İşleyenle, bu sözleşmedekilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren yazılı bir sözleşme yapar ve Alt İşleyenin yükümlülüklerinden Kurum'a karşı sorumludur.

8. Yurt dışına aktarım

8.1. Kurum Verisi'nin bulunduğu kurum veritabanları Türkiye'deki sunucularda çalışır. Ek-3'te "yurt dışı" olarak işaretli Alt İşleyenler nedeniyle Kurum Verisi'nin bir kısmı yurt dışına aktarılır.

8.2. Bu aktarımlar Kanun'un 9. maddesine uygun olarak yapılır: aktarılan ülke için Kurul'un yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşme ilgili Alt İşleyenle imzalanır ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilir. Standart sözleşme imzalanamayan bir aktarım yapılmaz; yalnız Kanun'un 9. maddesinde sayılan arızi hâllerde, o hâlin şartları sağlanarak aktarım yapılabilir.

8.3. Hizmet Sağlayıcı, Kurum'un talebi üzerine imzalanan standart sözleşmelerin ve Kurul'a yapılan bildirimlerin bir özetini Kurum'a verir. Kurum, aydınlatma metninde yurt dışına aktarımı Ek-3'e uygun biçimde açıklar.

9. İhlal bildirimi

9.1. Hizmet Sağlayıcı bir İhlal'i öğrendiğinde Kurum'a gecikmeksizin ve en geç 24 saat içinde e-postayla ve Kurum panelindeki iletişim kişisine bildirir.

9.2. Bildirimde, o an bilinebildiği ölçüde ihlalin zamanı ve niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları, alınan ve önerilen tedbirler ve irtibat kişisi yer alır; bilinmeyen bilgiler öğrenildikçe tamamlanır.

9.3. Kurum'un, veri sorumlusu olarak ihlali Kurul'a en kısa sürede ve Kurul'un belirlediği süre içinde (bugünkü uygulamada en geç 72 saat) bildirmesi ve ilgili kişilere bildirim yapması için Hizmet Sağlayıcı gereken bilgi ve belgeyi verir ve Kurul'un ihlal bildirim formunun doldurulmasına yardım eder. Hizmet Sağlayıcı, Kurum'un yazılı onayı olmadan ilgili kişilere ya da kamuya Kurum adına bildirim yapmaz; yasal zorunluluk saklıdır.

9.4. Hizmet Sağlayıcı ihlalin etkisini azaltmak ve tekrarını önlemek için gereken tedbirleri gecikmeksizin alır ve olay kaydını tutar.

10. İlgili kişi başvurularına destek

10.1. İlgili kişi başvurularını Kurum sonuçlandırır. Hizmet Sağlayıcı'ya doğrudan ulaşan başvuruları, içeriğine karar vermeden en geç 2 iş günü içinde Kurum'a iletir ve başvurana Kurum'a yönlendirildiğini bildirir.

10.2. Hizmet, başvuruların Kanun'daki 30 günlük süre içinde sonuçlandırılabilmesi için şu araçları sağlar: uygulamada kişinin kendi verilerinin kopyasını indirme ve hesap silme talebi; panelde KVKK talepleri ekranı (onay, ret, gerekçe); onaylanan silme talebinin verileri silmesi ya da anonim hâle getirmesi. Kurum karar vermezse silme talebi 30. günde kendiliğinden onaylanır.

10.3. Araçların yetmediği bir talep için Hizmet Sağlayıcı makul ölçüde teknik destek verir.

11. Denetim

11.1. Hizmet Sağlayıcı, bu sözleşmeye uyduğunu gösteren bilgileri (güncel tedbirler, Alt İşleyen listesi, ihlal kayıtları özeti) Kurum'un yazılı talebi üzerine 30 gün içinde verir.

11.2. Kurum ya da Kurum'un gizlilik yükümlülüğü altındaki bağımsız denetçisi, yılda en çok bir kez ve en az 30 gün önceden bildirerek, mesai saatlerinde ve diğer kurumların verisine ve Hizmet'in güvenliğine zarar vermeden denetim yapabilir. Bir İhlal'den sonra ya da Kurul'un talebi üzerine yapılan denetim bu sınıra tabi değildir. Denetimin maliyetini Kurum karşılar; denetim bu sözleşmeye önemli bir aykırılık ortaya çıkarırsa makul maliyeti Hizmet Sağlayıcı karşılar.

12. Sona erme: iade ve silme

12.1. Hizmet Sözleşmesi herhangi bir nedenle sona erdiğinde Kurum, sona erme tarihinden itibaren 30 gün boyunca panelin dışa aktarma araçlarını kullanabilir ve Kurum Verisi'nin yaygın kullanılan, makinece okunabilir bir biçimde (CSV ya da veritabanı dökümü ve dosyalar) toplu olarak teslim edilmesini isteyebilir.

12.2. Bu süre bittikten sonra en geç 30 gün içinde Hizmet Sağlayıcı Kurum'un veritabanını, dosya deposunu, uygulama yığınını, alan adı kayıtlarını, erişim anahtarlarını ve merkez dizindeki kayıtlarını siler. Silme işlemi Hizmet Sağlayıcı'nın yönetim uygulamasında ayrıca kimlik doğrulamayla onaylanır ve denetim kaydına yazılır. Yedeklerdeki kopyalar yedek saklama süresi (14 gün) sonunda kendiliğinden silinir; bu süre içinde yedeklerden geri yükleme yalnız Kurum'un yazılı talebiyle yapılır.

12.3. Hizmet Sağlayıcı silmenin tamamlandığını Kurum'a yazılı olarak bildirir. Kanun gereği saklanması zorunlu kayıtlar varsa yalnız o süre kadar ve yalnız o amaçla saklanır.

12.4. Kurum, sözleşme sürerken de belirli bir şubenin, kişinin ya da veri kategorisinin silinmesini isteyebilir.

13. Kurum'un yükümlülükleri

Kurum; kişisel verileri hukuka uygun bir sebebe dayanarak işlemekten, ilgili kişilere aydınlatma yapmaktan (Hizmet'in sunduğu aydınlatma metni şablonlarını kendi bilgileriyle kullanabilir), gerekiyorsa açık rıza almaktan, VERBİS yükümlülüğünü değerlendirmekten, Hizmet'e girilen verilerin doğruluğundan, kullanıcı hesaplarını ve yetkilerini doğru yönetmekten ve verdiği talimatların hukuka uygunluğundan sorumludur. Kurum, Hizmet'e işlemek için gerekenden fazla veri (özellikle özel nitelikli kişisel veri) girmez.

14. Sorumluluk

14.1. Her taraf, bu sözleşmeye ya da Kanun'a kendi aykırılığından doğan zarardan sorumludur. Hizmet Sağlayıcı, talimata aykırı işlemeden, Ek-2'deki tedbirleri almamaktan ve Alt İşleyenlerinin aykırılıklarından doğan zarardan Kurum'a karşı sorumludur.

14.2. Hizmet Sözleşmesi'ndeki sorumluluk sınırları bu sözleşme için de uygulanır; ancak kasıt ve ağır kusur hâlinde ve Hizmet Sağlayıcı'nın bu sözleşmeye aykırılığı nedeniyle Kurum'a verilen idari para cezalarında sınır uygulanmaz.

15. Diğer hükümler

15.1. Bu sözleşmenin değiştirilmesi yazılı olur. Mevzuattaki ya da Kurul kararlarındaki değişiklikler nedeniyle gereken güncellemeleri Hizmet Sağlayıcı yürürlükten en az 30 gün önce bildirir.

15.2. Bildirimler Hizmet Sözleşmesi'ndeki adreslere ve e-posta adreslerine yapılır. Hizmet Sağlayıcı'nın KVKK iletişim adresi: [email protected].

15.3. Bu sözleşmeye Türk hukuku uygulanır. Uyuşmazlıklarda Hizmet Sözleşmesi'ndeki yetki hükmü geçerlidir.

Ek-1 — İşlemenin ayrıntıları

Konu ve amaç: Kurum'un eğitim ve yönetim işlerinin KursPusulam üzerinde yürütülmesi: öğrenci, veli ve personel hesapları; ders programı, yoklama, ödev, deneme ve optik okuma, koçluk ve mesajlaşma, duyuru ve bildirim, finans ve tahsilat, sözleşme ve belge üretimi, kantin, kitap ve kitaplık, Kurum tabletlerinin yönetimi, akıllı tahta ve ders kaydı, zil ve anons; bunlar için barındırma, yedekleme, güvenlik, bakım ve destek. Hangi modüllerin işlendiği Kurum'un açtığı modüllere bağlıdır.

Süre: Hizmet Sözleşmesi süresi ve 12. maddedeki iade ve silme süresi.

İşlemenin niteliği: kaydetme, saklama, düzenleme, görüntüleme, sınıflandırma, raporlama, aktarma (Kurum'un talimatıyla SMS, bildirim, ödeme ve fatura sağlayıcılarına), yedekleme, silme ve anonim hâle getirme.

İlgili kişi grupları: öğrenciler (çoğu 18 yaşından küçük), veliler ve kanuni temsilciler, Kurum personeli (öğretmen, koç, yönetici, diğer çalışanlar), ön kayıt ve bilgi talebinde bulunan adaylar, Kurum'un cihazlarını kullanan diğer kişiler.

Veri kategorileri:

Özel nitelikli kişisel veri: Hizmet bunlar için alan içermez ve Kurum'un bunları Hizmet'e girmemesi beklenir. İzin talebinde "hastalık" gerekçesi seçilebilir; belge yüklenmez.

Ek-2 — Teknik ve idari tedbirler

Kurumların birbirinden ayrılması

• Her kurumun kendi uygulama sunucusu (container), kendi veritabanı ve kendi dosya deposu (Cloudflare R2 kovası) vardır. Kurum veritabanında her tabloda kurum kimliği bulunur ve satır düzeyi güvenlik (RLS) zorunlu kipte açıktır; kurum kimliği ortamla ve oturum belirteciyle doğrulanır, uyuşmazsa istek reddedilir.

Erişim denetimi

• Yetkiler rol adıyla değil izin ve kapsamla (şube, sınıf, kendi öğrencileri) denetlenir.
• Yönetim paneline girişte iki aşamalı doğrulama (doğrulama uygulaması ya da SMS) zorunludur; art arda hatalı denemeler girişi geçici olarak kilitler. Oturum yenileme ve cihaz güveni çerezleri sayfa betiklerince okunamaz (HttpOnly) ve yalnız ilgili kurumun yoluna gönderilir.
• Hizmet Sağlayıcı'nın yönetim uygulamasına giriş iki aşamalıdır; kurum kapatma, veri silme ve toplu güncelleme gibi kritik işlemler ayrıca cihazda kimlik doğrulaması (Touch ID ya da PIN) ister ve denetim kaydına yazılır.
• Sunuculara yönetim erişimi yalnız şifreli özel ağ (WireGuard) ve anahtarla yapılır; parola ve root girişi kapalıdır. Web trafiği yalnız Cloudflare üzerinden kabul edilir; güvenlik duvarı, saldırı engelleme (fail2ban) ve sistem denetim kaydı (auditd) açıktır.
• "Öğrenci olarak gir" yalnız yetkili yöneticiye açıktır, 30 dakikayla sınırlıdır, şifre değiştirme, ödeme ve KVKK talebine izin vermez ve yöneticinin adıyla denetlenir.

Şifreleme ve sırlar

• Bütün trafik HTTPS ile şifrelidir.
• T.C. kimlik numarası ve entegrasyon sırları (banka, SMS, e-fatura anahtarları) uygulama düzeyinde AES-256-GCM ile şifreli saklanır; merkezi sırlar zarf şifrelemeli kasada durur. Kod deposunda sır bulunmaz.
• Kart numarası, son kullanma tarihi ve güvenlik kodu yalnız işlem anında bellekte tutulup bankanın 3D Secure akışına iletilir; saklanmaz ve kayıtlara yazılmaz. Kayıtta yalnız maskeli numara ve kart markası kalır.
• Merkez dizinde telefon numarası değil, anahtarlı ve geri çevrilemeyen özeti tutulur; kantin kartı QR kodu da özetiyle tutulur.

Kayıtlar ve veri en aza indirme

• Sistem kayıtlarına, bildirim metinlerine ve hata mesajlarına telefon, şifre, doğrulama kodu, QR, oturum anahtarı ve kart bilgisi yazılmaz; kayıt katmanı bu alanları maskeler.
• Kişisel veriler üzerinde işlem yapan kullanıcı eylemleri denetim kaydına yazılır.
• Yüklenen fotoğraflardan konum bilgisi silinir. Uzaktan tanılama raporları kişi adı, ekran görüntüsü ve oturum anahtarı içermez; istemcide ve sunucuda iki kez maskelenir ve 30 gün sonra silinir.
• Kullanılmayan teknik kayıtlar gece çalışan işlerle silinir (giriş denemeleri ve oturum kayıtları 90 gün, doğrulama kodları 1 gün, veri indirme dosyaları 7 gün).

Süreklilik

• Veritabanlarının yedeği her gün alınır ve ayrı bir depoda (Cloudflare R2) 14 gün saklanır; eski yedekler yalnız yeni yedekler başarılıysa silinir. Yedekten geri dönme düzenli olarak denenir.
• Sunucu güvenlik güncellemeleri otomatik uygulanır.

İdari tedbirler

• Kurum Verisi'ne erişen çalışanlar ve yardımcılar gizlilik taahhüdü verir ve yalnız görev gereği erişir.
• Destek oturumları Kurum panelinde görünür ve denetlenir.
• İhlal hâlinde 9. maddedeki süreç uygulanır ve olay kaydı tutulur.

Ek-3 — Alt işleyenler

Güncel liste: kurspusulam.com.tr/veri-isleme/

Kurum'un kendi sözleşmesiyle kullandığı hizmetler Alt İşleyen değildir; bunlarda Kurum ile o sağlayıcı arasındaki sözleşme geçerlidir: Kurum'un sanal POS'unu sağlayan banka ya da ödeme kuruluşu (kart verisi Hizmet'ten yalnız işlem anında bu bankaya iletilir), Kurum'un kendi e-fatura hesabı (örneğin Paraşüt), Kurum'un kendi SMS hesabı, Kurum'un kendi kitap mağazası ve video görevlerinde açılan YouTube.