Kişisel Verilerin Korunması ve İşlenmesi Hakkında Aydınlatma Metni

1. Giriş ve Veri Sorumlusunun Kimliği

İşbu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 10 ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, MD Okul Eğitim Teknolojileri ("MD Okul" veya "Şirket") tarafından işletilen bulut tabanlı Okul Yönetim Platformu ("Platform"), mobil uygulamalar ve web sitesi (mdokul.com) kullanıcılarının kişisel verilerinin işlenmesine ilişkin usul ve esasları açıklamak amacıyla hazırlanmıştır.

2. Veri Sorumlusu ve Veri İşleyen Rollerinin Ayrımı (SaaS Mimarisi)

MD Okul, özel okullara, kolejlere, kurslara ve eğitim kurumlarına Hizmet Olarak Yazılım (SaaS - Software as a Service) modeliyle altyapı hizmeti sağlamaktadır. Bu doğrultuda veri sorumluluğu statüsü iki ana başlıkta değerlendirilir:

• Okul / Kurum Tarafından Yüklenen Veriler Açısından (Veri İşleyen Sıfatı): Sisteme kaydolan eğitim kurumu; öğrenci, veli, öğretmen ve idari personeline ait kişisel veriler bakımından asıl Veri Sorumlusu'dur. MD Okul, söz konusu verileri eğitim kurumu ile imzalanan kurumsal hizmet sözleşmesi çerçevesinde, yalnızca kurumun belirlediği talimatlar doğrultusunda işleyen Veri İşleyen sıfatını haizdir.
• Doğrudan Web Sitesi ve Demo Başvuruları Açısından (Veri Sorumlusu Sıfatı): mdokul.com web sitesini ziyaret eden, kurumsal demo talebinde bulunan veya Şirketimiz ile doğrudan ticari ilişki kuran kurum yetkililerinin kişisel verileri bakımından MD Okul doğrudan Veri Sorumlusu konumundadır.

3. İşlenen Kişisel Veri Kategorileri

Eğitim kurumunun seçtiği modüllere ve kullanıcının sistemdeki rolüne (Yönetici, Müdür, Öğretmen, Veli, Öğrenci) bağlı olarak aşağıdaki kişisel veri kategorileri işlenmektedir:

• Kimlik Verileri: Ad, soyad, T.C. kimlik numarası (varsa ve kurumca girilmişse), doğum tarihi, cinsiyet, unvan, kullanıcı türü.
• İletişim Verileri: Kurumsal/bireysel cep telefonu numarası, e-posta adresi, kurum adresi, ev/tebligat adresi.
• Eğitim ve Akademik Veriler: Okul numarası, sınıf, şube, devam-devamsızlık/yoklama durumu, haftalık ders programı, sınav notları, karne bilgileri, etüt ve rehberlik görüşme özetleri, öğretmen değerlendirme notları.
• Veli ve Aile Verileri: Anne/baba adı-soyadı, velayet durumu, acil durum irtibat bilgisi, meslek bilgisi (kurum talep etmişse).
• Finansal Veriler: Okul kayıt ücreti, taksit planları, ödeme takvimleri, gecikme durumları ve makbuz kayıtları. (Önemli Not: Kredi kartı numarası, son kullanma tarihi ve CVV gibi hassas ödeme verileri sistemlerimizde ASLA saklanmaz; bu işlemler BDDK lisanslı bankacılık ve ödeme altyapıları üzerinden yürütülür.)
• Lojistik ve Servis Verileri: Servis araç plakası, şoför/rehber personel iletişim bilgisi, öğrenci servis biniş-iniş durak bilgisi ve güzergah saatleri.
• İşlem Güvenliği ve Sistem Logları: IP adresi, port bilgileri, oturum token'ları, sisteme giriş-çıkış zaman damgaları, parola hash'leri (bcrypt ile tuzlanmış tek yönlü özetler), cihaz modeli, işletim sistemi sürümü ve 5651 sayılı Kanun gereği tutulması zorunlu erişim logları.

4. Kişisel Verilerin İşlenme Amaçları

Toplanan kişisel veriler aşağıdaki meşru ve yasal amaçlar doğrultusunda işlenmektedir:

1. Okul yönetim süreçlerinin (öğrenci kaydı, sınıf ve şube atamaları, haftalık ders programı dağıtımı) hatasız yürütülmesi,
2. Öğretmenlerin ders yoklamalarını dijital ortamda alması ve devamsızlık durumunun veliye anlık push bildirimi veya SMS ile iletilmesi,
3. Sınav sonuçlarının, karne analizlerinin ve etüt planlamalarının öğrenci ve veli portallarına güvenli biçimde aktarılması,
4. Eğitim kurumunun muhasebe ve mali süreçlerinin (taksit takibi, kayıt sözleşmeleri) yönetilmesi,
5. Milli Eğitim Bakanlığı (MEB) ve Özel Öğretim Kurumları mevzuatına ilişkin yasal yükümlülüklerin yerine getirilmesi,
6. Platformun siber güvenliğinin sağlanması, yetkisiz erişimlerin engellenmesi ve hata kayıtlarının incelenmesi,
7. Kurumsal demo, teklif ve teknik destek süreçlerinin yürütülmesi.

5. Kişisel Veri İşlemenin Hukuki Sebepleri

Kişisel verileriniz, 6698 sayılı KVKK m. 5/2 uyarınca aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Kanunlarda Açıkça Öngörülmesi (m. 5/2-a): 1739 sayılı Millî Eğitim Temel Kanunu, 5580 sayılı Özel Öğretim Kurumları Kanunu ve 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun kapsamında veri tutulması.
• Bir Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgili Olması (m. 5/2-c): Eğitim kurumu ile MD Okul arasındaki SaaS Lisans Sözleşmesi'nin ve okul ile veli arasındaki eğitim hizmet sözleşmesinin ifası.
• Hukuki Yükümlülüğün Yerine Getirilmesi (m. 5/2-ç): Yasal tebligatlar, resmi makam denetimleri, vergi ve arşiv mevzuatına uyum sağlanması.
• Bir Hakkın Tesisi, Kullanılması veya Korunması (m. 5/2-e): Olası hukuki uyuşmazlıklarda delil oluşturulması ve hak taleplerinin korunması.
• Meşru Menfaat (m. 5/2-f): Kullanıcıların temel hak ve özgürlüklerine zarar vermemek kaydıyla; yazılımın performansının optimize edilmesi, siber güvenlik tedbirlerinin güçlendirilmesi.

6. Kişisel Verilerin Aktarımı ve Veri İkameti

MD Okul, işlediği kişisel verileri hiçbir koşulda üçüncü taraflara ticari veya pazarlama amacıyla satmaz, kiralamaz ve yetkisiz aktarmaz. Veriler yalnızca aşağıdaki alıcı gruplarına ve belirtilen çerçevede aktarılabilir:

• Yetkili Kamu Kurum ve Kuruluşları: MEB, adli ve idari makamlar, mahkemeler ve icra daireleri gibi kanunen bilgi talep etmeye yetkili mercilere kanuni zorunluluklar gereği,
• SMS ve İletişim Sağlayıcıları: Eğitim kurumunun kendi resmi başlığıyla anlaşmalı olduğu SMS sağlayıcılarına (NetGSM, İletiMerkezi vb.) yalnızca bildirim metni ve ilgili telefon numarası aktarılmaktadır,
• Altyapı Hizmet Sağlayıcıları: Veritabanı ve sunucu barındırma hizmeti alınan, ISO 27001 sertifikalı Tier-3 veri merkezi operatörleri.

7. Saklama Süreleri ve İmha Politikası

Kişisel veriler, ilgili mevzuatta öngörülen yasal süreler veya işleme amacının gerektirdiği makul süre boyunca saklanır. Eğitim kurumunun abonelik sözleşmesi sona erdiğinde:

• Eğitim kurumuna ait tüm veriler talep halinde güvenli şifreli formatta kuruma teslim edilir,
• Sözleşme bitimini takiben yasal zamanaşımı süreleri (Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca 10 yıl; log kayıtları için 5651 sayılı Kanun uyarınca 2 yıl) sona erdiğinde, veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak geri döndürülemez şekilde imha edilir.

8. Alınan Teknik ve İdari Güvenlik Tedbirleri

MD Okul, KVKK m. 12 hükmü ile Kişisel Veri Güvenliği Rehberi doğrultusunda aşağıdaki teknik ve idari tedbirleri eksiksiz uygulamaktadır:

• Aktarım Güvenliği: Web ve mobil iletişimde 256-bit TLS/SSL uçtan uca şifreleme protokolleri kullanılmaktadır.
• Veri Tabanı İzolasyonu (Multi-Tenancy): Her eğitim kurumunun verisi katı tenantId mantıksal mimarisiyle ayrılmıştır. Bir okulun kullanıcısı başka bir okulun verilerine kesinlikle erişemez.
• Yetkilendirme ve Erişim Kontrolü: Rol bazlı katı erişim yetkilendirmesi (RBAC) uygulanmakta; parola bilgileri bcrypt ile tek yönlü kriptografik özet olarak tutulmaktadır.
• Denetim İzi (Audit Logging): Kritik kayıtlar üzerinde yapılan oluşturma, güncelleme ve silme işlemleri işlem zamanı, yapan kullanıcı ve IP bilgisiyle birlikte denetim kütüklerinde (Audit Log) saklanmaktadır.
• Ağ ve Sistem Güvenliği: Güvenlik duvarı (WAF), DDoS önleme katmanları, düzenli sızma (pentest) testleri ve otomatik şifreli yedekleme prosedürleri uygulanmaktadır.

9. İlgili Kişinin Hakları (KVKK Madde 11)

Kişisel veri sahibi olan gerçek kişiler, KVKK m. 11 uyarınca Şirketimize başvurarak aşağıdaki haklara sahiptir:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK m. 7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

10. Başvuru Yöntemi ve İrtibat

Yukarıda sıralanan haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümlerine uygun olarak aşağıdaki kanallardan Şirketimize iletebilirsiniz:

• Yazılı Olarak: Islak imzalı başvuru dilekçenizi kimlik teyidi yapılabilecek belgelerle birlikte Buğdaycılar Plaza A/44 adresine şahsen veya noter kanalıyla ulaştırabilirsiniz.
• Elektronik Posta ile: Sistemimizde kayıtlı e-posta adresinizden info@mdsiber.com.tr adresine konu kısmına "KVKK Bilgi Edinme Talebi" yazarak iletebilirsiniz.

Talepleriniz, niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içerisinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.