Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

1. Veri sorumlusu

Kişisel verileriniz, veri sorumlusu sıfatıyla [belirlenecek] ("Kodbox") tarafından işlenmektedir.

• Adres: [belirlenecek]
• E-posta: [belirlenecek]

Platform; eğitmenlerin ders açtığı, duyuru ve materyal paylaştığı, ödev verdiği; öğrencilerin ödevlerini Google Drive bağlantısıyla teslim ettiği bir hizmettir. Platform dosya saklamaz; teslim edilen dosyalar öğrencinin kendi Google Drive hesabında kalır.

2. İşlenen kişisel veriler

• Kategori

  Kimlik

  Veriler

  Öğrenci numarası. Eğitmen ve yöneticiler için görünen ad ve unvan. Ders listesine eğitmen tarafından eklenmişse öğrencinin adı soyadı

  Kimden

  Öğrenci, eğitmen, yönetici

• Kategori

  İletişim

  Veriler

  Okul e-posta adresi

  Kimden

  Öğrenci, eğitmen, yönetici

• Kategori

  Müşteri işlem / eğitim

  Veriler

  Kayıtlı olunan dersler, ödev teslim bağlantıları ve teslim zamanları, teslim geçmişi, puanlar, eğitmen geri bildirimleri, platform içi bildirimler

  Kimden

  Öğrenci, eğitmen

• Kategori

  İşlem güvenliği

  Veriler

  Şifrenin geri döndürülemez özeti (argon2id), oturum kayıtları ve tarayıcı bilgisi (user-agent), IP adresi, giriş denemesi sayaçları, robot doğrulaması sonucu, yönetici işlemlerine ait denetim kayıtları

  Kimden

  Otomatik

• Kategori

  Bağlantılı hesap (isteğe bağlı)

  Veriler

  Google hesabı bağlanırsa Google hesap kimliği

  Kimden

  Öğrenci, eğitmen

• Kategori

  Cihaz bildirimi (isteğe bağlı)

  Veriler

  Bildirimlere izin verilirse tarayıcının bildirim abonelik adresi ve anahtarları

  Kimden

  Öğrenci

• Kategori

  Tercih ve onay

  Veriler

  Tema tercihi, bu aydınlatma metninin okunduğu tarih

  Kimden

  Öğrenci, eğitmen

Öğrenciden ad soyad istenmez. Öğrenci numarası ve e-posta adresi veritabanında şifrelenerek (AES-256-GCM) saklanır. Özel nitelikli kişisel veri (sağlık, din, biyometrik vb.) işlenmez; ödev açıklamalarına veya teslim bağlantılarına bu tür veri eklenmemesini rica ederiz.

3. İşleme amaçları ve hukuki sebepler

• Amaç

  Hesap oluşturma, okul e-postasının doğrulanması, giriş ve şifre sıfırlama

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin kurulması ve ifası için gerekli olması

• Amaç

  Öğrencinin derslere eşleştirilmesi, duyuru, materyal ve ödevlerin sunulması

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin ifası

• Amaç

  Ödev teslimi, teslim zamanının ve geçmişinin kaydı, puanlama ve geri bildirim

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin ifası

• Amaç

  Platform içi bildirimler ve son teslim hatırlatmaları

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin ifası

• Amaç

  Telefona/tarayıcıya anlık bildirim (push) gönderilmesi

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin ifası. Yalnızca cihazda izin verildiğinde çalışır, istenildiğinde hesap ayarlarından kapatılabilir.

• Amaç

  Google hesabıyla giriş

  Hukuki sebep (Kanun m.5/2)

  (c) Sözleşmenin ifası. Yalnızca kullanıcı bağlarsa.

• Amaç

  Hesap güvenliği, kötüye kullanım ve otomatik saldırıların önlenmesi (robot doğrulaması, giriş denemesi sınırı, oturum yönetimi)

  Hukuki sebep (Kanun m.5/2)

  (f) Temel hak ve özgürlüklere zarar vermemek kaydıyla veri sorumlusunun meşru menfaati

• Amaç

  Yönetici işlemlerinin denetim kaydı

  Hukuki sebep (Kanun m.5/2)

  (f) Meşru menfaat. (ç) Hukuki yükümlülük: 5651 sayılı Kanun ve ilgili mevzuat kapsamındaki yükümlülükler

• Amaç

  Yetkili kurum ve kuruluşların bilgi taleplerinin karşılanması, hukuki uyuşmazlıklarda delil

  Hukuki sebep (Kanun m.5/2)

  (ç) Hukuki yükümlülük. (e) Bir hakkın tesisi, kullanılması veya korunması

Platformda açık rızaya dayanan bir işleme faaliyeti yoktur. Bu metnin okunduğunun işaretlenmesi bilgilendirildiğinizi gösterir, açık rıza anlamına gelmez.

4. Toplama yöntemi

Kişisel verileriniz:

• kayıt, giriş, ödev teslimi ve hesap formlarına girdiğiniz bilgilerden,
• eğitmeninizin ders listesine eklediği öğrenci numarası (ve varsa ad soyad) bilgisinden,
• Platformu kullanırken sunucularımızca otomatik olarak oluşturulan kayıtlardan (oturum, güvenlik ve işlem kayıtları),

elektronik ortamda, kısmen otomatik yollarla toplanır.

5. Kişisel verilerin kimlere aktarılabileceği

Kişisel verileriniz satılmaz ve reklam amacıyla paylaşılmaz. Yalnızca aşağıdaki alıcı gruplarına, belirtilen amaçla sınırlı olarak aktarılabilir.

Platform içinde (rol bazlı erişim):

• Dersinizin eğitmeni: öğrenci numaranızı, (eklediyse) adınızı soyadınızı, teslimlerinizi, puan ve geri bildirimlerinizi görür. Başka derslerin eğitmenleri göremez.
• Platform yöneticisi: öğrenci numaralarını yalnızca maskelenmiş biçimde (ör. 26*******9) görür. Adınızı soyadınızı göremez.

Hizmet sağlayıcılar (veri işleyen):

• Alıcı

  Barındırma hizmeti: [belirlenecek]

  Aktarılan veri

  Platform veritabanı ve kayıtlar (şifreli alanlar şifreli olarak)

  Amaç

  Hizmetin çalıştırılması

  Konum

  [belirlenecek]

• Alıcı

  Resend, Inc. (e-posta gönderimi)

  Aktarılan veri

  Okul e-posta adresi, doğrulama/şifre sıfırlama e-postasının içeriği

  Amaç

  Doğrulama ve şifre sıfırlama e-postalarının iletilmesi

  Konum

  ABD

• Alıcı

  Cloudflare, Inc. (Turnstile robot doğrulaması)

  Aktarılan veri

  IP adresi, tarayıcı ve cihaz sinyalleri

  Amaç

  Otomatik saldırıların önlenmesi

  Konum

  ABD ve küresel ağ

• Alıcı

  Google LLC (yalnızca Google ile giriş kullanılırsa)

  Aktarılan veri

  Google hesap kimliği ve e-posta doğrulama bilgisi

  Amaç

  Google ile giriş

  Konum

  ABD

• Alıcı

  Tarayıcı bildirim servisleri: Google, Apple, Mozilla (yalnızca bildirime izin verilirse)

  Aktarılan veri

  Bildirim abonelik adresi ve uçtan uca şifrelenmiş bildirim içeriği

  Amaç

  Anlık bildirimin cihaza iletilmesi

  Konum

  ABD

Yurt dışına aktarım: Yukarıda konumu yurt dışı olan alıcılara aktarım, Kanun'un 9. maddesine uygun olarak yapılır. Bu alıcılarla Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmeler imzalanmış ve Kuruma bildirilmiştir. Bildirim içeriği bildirim servisi tarafından okunamayacak şekilde şifrelenir.

Yetkili kurumlar: Kanunen yetkili kamu kurum ve kuruluşlarına ve yargı mercilerine, talep halinde ve hukuki yükümlülük kapsamında.

6. Saklama süreleri

• Veri

  Hesap, ders kaydı, teslim ve puanlar

  Süre

  Hesabınız açık olduğu sürece. Hesap silindiğinde veya silme talebiniz kabul edildiğinde en geç 30 gün içinde silinir ya da anonim hale getirilir. Hukuki yükümlülük gerektiren kayıtlar ilgili süre boyunca saklanır.

• Veri

  "Beni hatırla" ile açılan oturum

  Süre

  Son kullanımdan itibaren 90 gün. İşaret kaldırılırsa tarayıcı kapanınca biter.

• Veri

  Okunmuş bildirimler

  Süre

  90 gün

• Veri

  Giriş denemesi ve istek sayaçları (IP içerir)

  Süre

  Sayaç süresi dolunca (en fazla birkaç saat) otomatik silinir.

• Veri

  Doğrulama ve şifre sıfırlama bağlantıları

  Süre

  Kullanıldığında veya süresi dolduğunda (24 saat / 1 saat) geçersiz olur.

• Veri

  Yönetici denetim kayıtları

  Süre

  2 yıl

• Veri

  Cihaz bildirim aboneliği

  Süre

  Bildirimi kapatana veya tarayıcı aboneliği geçersiz kılana kadar

Süresi dolan veriler periyodik imha işlemiyle silinir veya anonim hale getirilir.

7. Çerezler ve tarayıcı depolaması

Platform yalnızca zorunlu çerezler kullanır:

• Oturum çerezi: giriş yaptığınızı tanımak için (httpOnly, güvenli).
• "Beni hatırla" çerezi: oturumunuzun 90 gün açık kalması için.
• Google ile giriş sırasında kısa ömürlü güvenlik çerezleri.

Tarayıcınızın yerel depolamasında yalnızca arayüz tercihleri tutulur (ör. son kullanılan giriş sekmesi, bildirim kartının kapatıldığı bilgisi). Reklam, analitik veya takip çerezi kullanılmaz.

8. Haklarınız (Kanun m.11)

Kodbox'a başvurarak:

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmişse düzeltilmesini isteme,
• Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

9. Başvuru

Başvurunuzu, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak:

• [belirlenecek] adresine, Platformda kayıtlı okul e-posta adresinizden göndererek,
• [belirlenecek] adresine ıslak imzalı dilekçeyle

iletebilirsiniz. Başvuruda adınız soyadınız, (yazılı başvuruda) imzanız, T.C. kimlik numaranız (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas adresiniz, varsa e-posta adresiniz ve talep konunuz bulunmalıdır. Öğrenci başvurularında kimlik doğrulaması için öğrenci numarası da belirtilmelidir.

Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz.

10. Değişiklikler

Bu metin, işleme faaliyetlerinde değişiklik olduğunda güncellenir. Güncel metin her zaman /kvkk adresinde yayımlanır. Önemli değişiklikler Platform içi bildirimle duyurulur.