Veri İşleme Eki

1. Taraflar, konu ve dayanak

Bu Veri İşleme Eki ("Ek"), İşletme ile Kurum arasındaki Kurum Sözleşmesinin ("Sözleşme") ayrılmaz parçasıdır ve Platform'un Kurum'a sunulması sırasında işlenen kişisel veriler bakımından tarafların rollerini, hak ve yükümlülüklerini düzenler.

İşletme: Yiğit Gümüş (gerçek kişi, şahıs işletmesi; tescilli ticaret unvanı yoktur; Axion Learn markasıyla platformu işletir; bu metinlerde "İşletme")Vergi dairesi: Kartal Vergi DairesiVergi kimlik numarası (VKN): 4240557194Adres: Cevizli Mah. Zuhal Cad. A Blok No:46 İç Kapı No:50 Maltepe/İstanbulTelefon: +90 552 354 85 03E-posta: contact@axion-learn.com

Kurum: Sözleşmede tanımlanan koç veya okul (kurum).

Dayanak: 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") madde 3 (veri sorumlusu ve veri işleyen tanımları), madde 12 (veri güvenliğine ilişkin yükümlülükler; madde 12/2 uyarınca veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması hususunda bu kişiyle birlikte müştereken sorumludur), madde 9 (yurt dışına aktarım) ve ilgili ikincil mevzuat ile Kişisel Verileri Koruma Kurulu ("Kurul") karar ve rehberleri.

2. Tanımlar

• Kurum Verisi: İşletme'nin, 3.1 maddesi kapsamında Kurum adına ve Kurum'un talimatıyla işlediği kişisel veriler
• İlgili kişi: Kişisel verisi işlenen gerçek kişi
• Alt işleyen: İşletme'nin Kurum Verisini işlerken yararlandığı üçüncü kişi hizmet sağlayıcısı
• Veri ihlali: Kurum Verisinin hukuka aykırı olarak başkaları tarafından elde edilmesi, açıklanması, değiştirilmesi, yok edilmesi veya erişilemez hâle gelmesi
• Bu Ek'te tanımlanmayan terimler KVKK'daki ve Sözleşmedeki anlamlarıyla kullanılır.

3. Rollerin dağılımı

3.1. Kurum veri sorumlusu, İşletme veri işleyen

Aşağıdaki işlemelerde Kurum veri sorumlusu, İşletme veri işleyendir:

• Kurum'un Platform'a eklediği ve kendi hesabı bulunmayan öğrencilerin profil ve öğrenme verileri
• Kurum kapsamında oluşan veriler: öğrencilerin kurum ve grup üyelikleri, koç ve koltuk atamaları, Kurum'un atadığı görevler, soru setleri ve kurum denemeleri ile bunların sonuçları, koçların öğrenci hakkında aldığı notlar
• Kurum kullanıcılarının öğrencilerle ve velilerle Platform içinde yaptığı yazışmalar
• Kurum'un davet ettiği öğretmen ve koçların kurum içindeki rol ve atama bilgileri ile okul yöneticisine gösterilen kurum işlem kaydı
• Yalnızca 11. maddedeki kurum yolu kurulmuşsa, Kurum öğrencilerinin yapay zekâ özelliklerinde işlenen verileri

3.2. İşletme veri sorumlusu

Aşağıdaki işlemelerde İşletme kendi amaçlarıyla ve kendi veri sorumlusu sıfatıyla hareket eder; bu işlemeler İşletme'nin Aydınlatma Metnine tabidir:

• Kurum kullanıcıları dâhil tüm kullanıcıların hesap, kimlik doğrulama, oturum ve güvenlik verileri
• Kendi hesabıyla Platform'u kullanan öğrencinin ve velisinin İşletme ile kurduğu üyelik ilişkisi kapsamındaki veriler: bireysel üyelik ve ödemeler, veli bağlantısı, veli onayı ve açık rıza kayıtları ile öğrencinin kendi hesabındaki çalışma geçmişi
• Koltuk alımlarına ilişkin ödeme ve fatura kayıtları
• Yasal metin onay kayıtları, denetim kayıtları, hata kayıtları ve diğer teknik kayıtlar, destek yazışmaları, mesaj bildirimleri ve kötüye kullanım incelemeleri
• Veli onayı ve açık rızayla açılan yapay zekâ özelliklerinde işlenen veriler
• Hizmetin güvenliği ve iyileştirilmesi için tutulan ürün kullanım olayları ve toplu istatistikler (Aydınlatma Metninde açıklanan amaç ve sürelerle)

3.3. Kurum'un ayrı veri sorumluluğu

Kurum; katılma bağlantısıyla kuruma katılan ve kendi hesabı bulunan öğrencinin verilerine eriştiği ve bunları kendi eğitim, koçluk veya rehberlik faaliyeti için kullandığı ölçüde, ayrıca Platform dışına aktardığı veriler (ör. çıktı, ekran görüntüsü, kendi sistemlerine kaydettiği bilgiler) bakımından kendi başına veri sorumlusudur.

4. İşlemenin konusu, niteliği, amacı ve süresi

• Konu: Platform'un Kurum'a ve Kurum'un öğrencilerine sunulması
• Nitelik: Kaydetme, saklama, düzenleme, görüntüleme, sınıflandırma, deterministik algoritmalarla raporlama ve analiz, Platform içi mesajlaşma, e-posta ve bildirim yoluyla iletme, yedekleme, silme ve anonim hâle getirme
• Amaç: Kurum'un öğrencilerine LGS hazırlık hizmetinin sunulması, öğrencilerin Kurum tarafından izlenmesi ve desteklenmesi, Kurum ile öğrenci ve veliler arasındaki iletişim, raporlama
• Süre: Sözleşme süresince ve 15. maddedeki iade ve silme işlemleri tamamlanana kadar

5. İlgili kişi grupları ve veri kategorileri

5.1. İlgili kişi grupları

• Öğrenciler: çoğunlukla 8. sınıf öğrencisi, genellikle 13 ile 15 yaş arasında, 18 yaşından küçük çocuklar
• Veliler
• Kurum yöneticileri, öğretmenler ve koçlar

5.2. Veri kategorileri

• Kimlik: ad ve soyad; öğrencinin kendi hesabı varsa e-posta adresi
• İletişim: velilerin ve Kurum kullanıcılarının e-posta adresi
• Eğitim ve öğrenme: sınıf düzeyi, LGS dönemi, hedefler, çözülen sorular, cevaplar ve süreler, deneme sonuçları, ustalık tahminleri, görevler ve hedefler, yanlış defteri, etkin çalışma süresi, kalem ve karalama tahtası çizimleri (öğrenciyi ve atanmış koçu görür, veli görmez)
• Kurum ilişkisi: kurum ve grup üyeliği, koç ve koltuk ataması, kurum işlem kaydı (Kurum kullanıcılarının giriş tarihleri ve girişin yeni bir cihazdan yapılıp yapılmadığı; açık IP adresi gösterilmez)
• Yazışma içerikleri: Platform içi mesajlar, mesajlara eklenen fotoğraflar, koç notları
• Yapay zekâ özelliklerinde işlenen veriler: yalnızca 11. madde kapsamında

Platform özel nitelikli kişisel veri talep etmez. Kurum bu tür verileri Platform'a girmemekle yükümlüdür.

6. Talimatla işleme

• İşletme Kurum Verisini yalnızca Kurum'un talimatları doğrultusunda işler. Talimatlar; Sözleşme, bu Ek, Kurum'un Platform'daki ayarları ve işlemleri (öğrenci ekleme, atama, kurumdan çıkarma gibi) ve Kurum'un contact@axion-learn.com adresine yazılı olarak ilettiği talimatlardır.
• İşletme bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse bunu Kurum'a gecikmeksizin bildirir ve aykırılık giderilene kadar talimatı yerine getirmeyebilir.
• İşletme Kurum Verisini kendi amaçları için kullanmaz, satmaz, kiralamaz ve reklam amacıyla kullanmaz; 3.2 maddesindeki işlemeler bu hükmün dışındadır.
• Kanun veya yetkili makam kararı gereği Kurum Verisinin açıklanması zorunlu olursa İşletme, hukuken engel bulunmadıkça bunu Kurum'a önceden bildirir ve yalnızca gereken ölçüde açıklama yapar.

7. Gizlilik

İşletme, Kurum Verisine erişebilen çalışanlarını ve yardımcılarını gizlilik yükümlülüğüne tabi tutar ve erişimi görevin gerektirdiği kişilerle sınırlar. KVKK madde 12/4 uyarınca İşletme ve bu kişiler, öğrendikleri kişisel verileri KVKK hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrılmalarından ve Sözleşmenin sona ermesinden sonra da devam eder.

8. Teknik ve idari tedbirler

İşletme, KVKK madde 12/1 uyarınca ve Kurul'un kişisel veri güvenliğine ilişkin rehberini dikkate alarak başlıca şu tedbirleri uygular:

• Şifrelerin Argon2id algoritmasıyla tek yönlü özet olarak saklanması; şifrenin kendisinin saklanmaması
• Tüm bağlantıların TLS ile şifrelenmesi ve ağ seviyesinde saldırı engelleme
• Rol ve izin tabanlı erişim denetimi: yetki kararlarının merkezi bir yetki katmanında verilmesi; Kurum kullanıcısının yalnızca kendi kurumuna kayıtlı ve kendisine atanmış öğrencinin verisine erişebilmesi
• IP adreslerinin tek yönlü özet olarak saklanması; yüklenen fotoğraflardan konum ve cihaz bilgilerinin (EXIF) silinmesi
• Platform yöneticisi işlemlerinin, destek modunun, velinin salt okunur görüntülemelerinin ve kurum işlemlerinin denetim kaydına yazılması
• Destek modu kısıtları: Platform yöneticisi bir hesabı yalnızca yeniden kimlik doğrulaması yapıp gerekçe yazarak, en çok 60 dakikalık ayrı bir oturumla görüntüleyebilir; bu oturumda hesap silinemez, veriler dışa aktarılamaz, Sözleşme ve bu Ek Kurum adına kabul edilemez ve başka bir Platform yöneticisinin hesabı açılamaz
• Platform yöneticisi girişinde e-postaya gönderilen ikinci adım kodu ve hassas yönetici işlemlerinde yakın zamanda yeniden şifre doğrulaması
• Oturumların iptal edilebilmesi ve yeni bir cihazdan veya ağdan yapılan girişlerde hesap sahibine uyarı e-postası
• Giriş denemelerinde ve hassas işlemlerde hız sınırlama ve kötüye kullanım tespiti
• Tam veritabanının her gece şifrelenerek yedeklenmesi; çözme anahtarının sunucuda bulunmaması; yedeklerin Türkiye'de tutulması ve en fazla 30 gün saklanması
• Şifre, oturum anahtarı ve diğer sırların günlüklere yazılmaması; hata kayıtlarında kişisel bilgilerin maskelenmesi ve kullanıcı kimliği ile IP adresinin yazılmaması
• Yapay zekâ sağlayıcısına gönderilen içerikte öğrencinin adı, e-posta adresi ve iletişim bilgisinin bulunmaması
• Toplu soru çıktılarında kişiye özel filigran ve iz kodu; çevrim dışı paketlerin cihazda şifreli saklanması
• Saklama sürelerinin sunucuda her gün çalışan bakım işiyle uygulanması
• Erişim yetkilerinin görev gereğiyle sınırlanması ve yetkisi biten kişilerin erişiminin kaldırılması

İşletme tedbirleri teknolojik gelişmelere göre güncelleyebilir; güncelleme koruma düzeyini düşüremez.

9. Alt işleyenler ve yurt dışına aktarım

Kurum, İşletme'nin aşağıdaki alt işleyenlerden yararlanmasına genel izin verir:

• Barındırma ve yedekleme hizmet sağlayıcısı: sunucular ve yedekler Türkiye'dedir; Kurum Verisinin tamamı
• Cloudflare, Inc. (ABD): ağ güvenliği ve içerik iletimi; Platform'a gelen ve Platform'dan giden trafik (IP adresi, tarayıcı bilgisi ve istek içeriği)
• Google LLC (ABD), Gmail: davet, bildirim, hatırlatma ve özet e-postalarının gönderimi; alıcının e-posta adresi ve e-postanın içeriği
• Google LLC (ABD), Gemini API: yalnızca yapay zekâ özellikleri açık olan öğrencilerde ve Yapay Zekâ ile Veri İşleme metnindeki sınırlarla; öğrencinin adı ve iletişim bilgisi gönderilmez
• Apple Inc. (ABD, Apple Push Notification service) ve Google LLC (ABD, Firebase Cloud Messaging): yalnızca bildirim izni veren kullanıcılarda anlık bildirim; cihaz belirteci, bildirim başlığı ve kısa bildirim metni

Ödeme kuruluşu PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (koltuk ödemeleri) ve Gelir İdaresi Başkanlığı e-Arşiv Portalı (fatura), İşletme'nin kendi veri sorumluluğundaki ödeme ve fatura işlemleri için kullanılır; Kurum Verisi bakımından alt işleyen değildir. Kurum Verisi hiçbir koşulda reklam ölçümü veya hedefleme hizmeti sağlayıcılarına aktarılmaz.

• İşletme her alt işleyenle, bu Ek'tekilerden daha az koruyucu olmayan veri koruma yükümlülükleri içeren bir sözleşme (sağlayıcının standart veri işleme koşulları dâhil) kurar ve alt işleyenin bu yükümlülükleri yerine getirmemesinden Kurum'a karşı sorumludur.
• Yurt dışına aktarım KVKK madde 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olarak; yeterlilik kararı ya da standart sözleşme gibi uygun güvencelerle, bunların bulunmadığı arızi hâllerde ise KVKK madde 9/6'daki istisnalara dayanılarak yapılır. İşletme imzaladığı standart sözleşmeleri mevzuattaki süre içinde Kişisel Verileri Koruma Kurumu'na bildirir. Yapay zekâ özellikleri için arızi aktarımın dayanağı olan açık rıza 11. maddeye göre alınır.

10. Alt işleyen değişiklikleri

• İşletme yeni bir alt işleyen eklemeden veya bir alt işleyeni değiştirmeden en az 15 gün önce Kurum'a e-posta ile veya kurum panelinde bildirim yapar.
• Kurum, bildirimden itibaren 15 gün içinde veri korumaya ilişkin makul gerekçesini belirterek itiraz edebilir. Taraflar uzlaşamazsa Kurum, Sözleşmeyi değişiklik yürürlüğe girmeden önce bildirimle feshedebilir; bu durumda ödemesi alınmış ancak kullanılmamış döneme ilişkin bedel oranlı olarak iade edilir.
• Hizmetin güvenliği veya sürekliliği için acil değişiklik gerekirse İşletme değişikliği hemen yapabilir ve Kurum'a gecikmeksizin bildirir; Kurum'un itiraz ve fesih hakkı saklıdır.

11. Yapay zekâ özellikleri ve kurum yolu

• Bu Ek'in ve Sözleşmenin Platform'da çevrim içi kabulü, Kurum'un veri işleyen ilişkisine ilişkin taahhüdüdür. Bu kabul, öğrencilerin yapay zekâ özellikleri için gereken veli onayının ve açık rızanın Kurum tarafından alındığı anlamına gelmez ve yapay zekâ özelliklerini tek başına açmaz.
• Kurum öğrencilerinde yapay zekâ özellikleri için gerekli onay ve açık rızanın Kurum tarafından alınması ("kurum yolu"), ancak Kurum ile İşletme arasında ayrıca yazılı olarak kurulan bir veri işleme sözleşmesiyle ve İşletme'nin bu sözleşmeyi Platform'da Kurum için işaretlemesiyle geçerli olur. Velinin görünmez aile kurumu bu kapsamda kurum sayılmaz.
• Bu yazılı sözleşme kurulana kadar Kurum öğrencilerinde yapay zekâ özellikleri yalnızca velinin Platform üzerinden verdiği veli onayı ve açık rızayla açılır (Veli/Vasi Bilgilendirme ve Onay Metni, Açık Rıza Metni).
• Kurum yolu kurulduğunda Kurum; velileri Yapay Zekâ ile Veri İşleme metninde açıklanan işleme ve yurt dışına aktarım konusunda aydınlatır, gerekli onay ve açık rızayı alır, bunların kaydını saklar ve İşletme talep ettiğinde sunar; bir onay veya rıza geri alındığında bunu İşletme'ye gecikmeksizin bildirir.
• Öğrenci adına verilmiş açık rıza Platform'da geri alınmışsa kurum yolu da o öğrenci için yapay zekâ özelliklerini açmaz.

12. İlgili kişi başvurularına yardım

• Kurum Verisine ilişkin KVKK madde 11 kapsamındaki başvuruları veri sorumlusu olarak Kurum yanıtlar.
• İşletme'ye ulaşan ve Kurum Verisine ilişkin bir başvuruyu İşletme, en geç 5 iş günü içinde Kurum'a iletir ve başvuru sahibine başvurusunun Kurum'a iletildiğini bildirir. Başvuru İşletme'nin veri sorumlusu olduğu verilere ilişkinse İşletme başvuruyu kendisi yanıtlar.
• Kurum'un KVKK madde 13'teki 30 günlük cevap süresine uyabilmesi için İşletme, Platform araçlarıyla karşılanamayan bilgi, düzeltme, silme ve dışa aktarma taleplerinde makul teknik desteği gecikmeksizin sağlar.

13. Veri ihlali bildirimi

• İşletme, Kurum Verisini etkileyen bir veri ihlalini öğrendiğinde Kurum'a gecikmeksizin ve en geç 24 saat içinde e-posta ile bildirim yapar. Bildirimde, o anda bilinen ölçüde ihlalin niteliği, etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı, olası sonuçları, alınan ve önerilen tedbirler ile irtibat kişisi yer alır; bilgiler öğrenildikçe tamamlanır.
• KVKK madde 12/5 uyarınca Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusu olarak Kurum'a aittir. Kurul'un uygulamasına göre Kurul'a bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. İşletme, Kurum'un bu yükümlülüğü yerine getirmesi için gereken bilgi ve belgeleri sağlar.
• İhlal İşletme'nin veri sorumlusu olduğu verileri etkiliyorsa Kurul'a ve ilgili kişilere bildirimi İşletme yapar.
• İşletme ihlali gidermek ve etkilerini azaltmak için gerekli tedbirleri gecikmeksizin alır ve ihlale ilişkin kayıtları saklar.

14. Bilgi verme ve denetim

• İşletme, Kurum'un yazılı talebi üzerine bu Ek'e uyumu gösteren bilgi ve belgeleri (uygulanan tedbirlerin açıklaması, güncel alt işleyen listesi, Kurum Verisine ilişkin denetim kayıtları) en geç 30 gün içinde sağlar.
• Bu bilgilerin yetersiz kalması veya bir veri ihlali hâlinde Kurum, en az 30 gün önceden yazılı bildirim yaparak, yılda en çok bir kez, mesai saatleri içinde, gizlilik taahhüdüyle ve İşletme'nin diğer kullanıcılarının verilerine ve Platform'un güvenliğine zarar vermeyecek şekilde denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Denetimin maliyeti Kurum'a aittir.
• Kurul'un ve diğer yetkili makamların denetim yetkileri saklıdır.

15. Sözleşmenin sona ermesi: iade ve silme

• Sözleşme sona erdiğinde Kurum'un kurum paneline ve Kurum Verisine erişimi kapanır.
• Kurum, Sözleşmenin sona ermesinden önce veya sona ermesinden itibaren 30 gün içinde, Kurum Verisinin yaygın kullanılan bir elektronik biçimde teslimini contact@axion-learn.com adresine yazılı olarak isteyebilir.
• İşletme, Sözleşmenin sona ermesinden itibaren en geç 90 gün içinde Kurum Verisini siler, yok eder veya anonim hâle getirir ve Kurum'un talebi üzerine bunu yazılı olarak teyit eder. Silinen veriler yedeklerden de en geç 30 gün içinde çıkar.
• Kendi hesabıyla Platform'u kullanan öğrencinin kendi hesabındaki çalışma geçmişi, öğrenci ve velisiyle İşletme arasındaki ilişki sürdüğü sürece öğrencinin hesabında kalır; bu veriler Kurum'a iade edilmez ve Kurum'un talebiyle silinmez. Öğrencinin kurum kaydı sona erdiğinde Kurum'un bu öğrencinin verilerine erişimi de sona erer.
• İşletme'nin veri sorumlusu olduğu veriler (3.2 maddesi) Aydınlatma Metnindeki sürelerle saklanır: ödeme, koltuk ve fatura kayıtları vergi ve ticaret mevzuatında öngörülen süre boyunca (genel olarak 10 yıl), yasal metin onay kayıtları ilgili hak ve yükümlülüklerin zamanaşımı süresi boyunca, denetim kayıtları en fazla 10 yıl.
• Kanunen saklanması zorunlu olan veriler, yalnızca bu zorunluluk süresince ve yalnızca bu amaçla saklanır.

16. Sorumluluk

• KVKK madde 12/2'deki müşterek sorumluluk ve tarafların ilgili kişilere ve yetkili makamlara karşı mevzuattan doğan sorumlulukları saklıdır.
• Taraflar arasındaki iç ilişkide her taraf, bu Ek'ten ve veri koruma mevzuatından doğan kendi yükümlülüklerinin ihlalinden doğan zarardan kusuru oranında sorumludur.
• Sözleşmenin 12. maddesindeki sorumluluk sınırı bu Ek bakımından da uygulanır; ancak kast, ağır ihmal ve emredici hükümlerin izin vermediği hâller bu sınırın dışındadır.

17. Süre, öncelik ve değişiklik

• Bu Ek Sözleşmeyle birlikte yürürlüğe girer ve Sözleşmeyle birlikte sona erer. 7., 13. ve 15. maddelerdeki yükümlülükler, Kurum Verisinin silinmesi veya iadesi tamamlanana kadar devam eder.
• Kişisel verilerin işlenmesi konusunda bu Ek, Sözleşmeden ve Kullanım Koşullarından önce uygulanır. 11. maddedeki ayrı yazılı veri işleme sözleşmesi kurulmuşsa, o sözleşmenin düzenlediği konularda o sözleşme önce uygulanır.
• Bu Ek, Sözleşmenin 14. maddesindeki usulle değiştirilir. Mevzuattaki değişiklikler veya Kurul kararları nedeniyle gereken değişiklikler bu Ek'e yansıtılır.

18. İletişim

Kişisel verilere ilişkin bildirimler ve talepler İşletme için contact@axion-learn.com adresine, Kurum için kurum hesabındaki yöneticinin e-posta adresine yapılır.