GİZLİLİK VE KİŞİSEL VERİ GÜVENLİĞİ POLİTİKASI

Sürüm: 1.0

Yürürlük: 04/10/2026

Bu politikada Online Ders Atölyem hizmetinin sağlayıcısı ve veri sorumlusu SERKAN ATEŞ / MANGETSU TEKNOLOJİ VE YAZILIM kısaca “ODA” olarak anılır.

9.1. Politikanın kapsamı

Bu politika; Online Ders Atölyem web sitesi, ODA mobil uygulaması, veli, öğretmen ve çocuk panelleri, destek kanalları, satın alma, bildirim ve öğretmen doğrulama süreçlerinde kişisel verilerinizin nasıl işlendiğini açıklar.

Faaliyetlere özel aydınlatma bilgileri (KVKK m.10) 11. ve 12. bölümlerde yer alır.

Bu politika bir açık rıza metni değildir. Açık rızanızın gerektiği bir işlem varsa, bu işlem için ayrı bir onay istenir; onay vermemeniz, o onaya bağlı olmayan hizmetleri kullanmanızı engellemez. Çocuk profili verilerinin işlenmesine ilişkin veli açık rızası, çocuk profilinin oluşturulabilmesi için gereklidir; bu rıza verilmezse çocuk profili oluşturulamaz, geri çekilirse profil kapatılır ve verileri silinir. Çerez ve ölçüm tercihleri de ayrı seçeneklerle yönetilir.

9.2. Veri sorumlusu ve iletişim

Veri sorumlusu: SERKAN ATEŞ / MANGETSU TEKNOLOJİ VE YAZILIM. Adres: SAHİLKENT MAH. 51 SK. NO: 66 FİNİKE/ANTALYA. E-posta: destek@onlinedersatolyem.com. Telefon: +90 537 238 15 08.

9.3. Temel ilkeler

ODA kişisel verileri:

• Hukuka ve dürüstlük kurallarına uygun, şeffaf ve güvenli biçimde işler.
• Doğru ve gerektiğinde güncel tutar.
• Belirli, açık ve meşru amaçlar için toplar.
• Amaçla bağlantılı, sınırlı ve ölçülü kullanır.
• Mevzuat veya amaç için gerekli süreden uzun saklamaz.
• Çocuğun üstün yararını, güvenliğini ve gelişim hakkını gözetir.
• Rol bazlı yetki, en az ayrıcalık ve kayıtlı yönetici işlemleri uygular.
• Hizmetin sunulması için gerekli olmayan bir işlemeye ilişkin rızayı hizmetin zorunlu şartı yapmaz; ret veya geri alma nedeniyle temel ücretsiz hizmeti cezalandırmaz.

9.4. Hangi verileri işleriz?

9.4.1. Veli ve genel kullanıcı hesabı

• Ad soyad, e-posta, telefon numarası.
• Parolanın geri döndürülemeyen özeti; e-posta doğrulama ve parola sıfırlama kayıtları.
• Rol, hesap durumu, oluşturma/güncelleme ve son giriş zamanı.
• Google ile giriş seçilirse Google kimlik sağlayıcısı kullanıcı kimliği, ad ve e-posta.
• Hesap tercihleri, sözleşme/onay sürümü ve işlem kayıtları.

9.4.2. Çocuk/öğrenci profili

• Veli tarafından girilen ad, sınıf seviyesi ve profil bağlantı kodu.
• Mevcut üründe zorunlu alınan ve profil ayarlarından değiştirilemeyen kız/erkek cinsiyet bilgisi; avatar/mağaza görünümü için kullanılır.
• Sınıfa bağlanırsa sınıf kimliği, sınıf içi numara/takma ad ve veli onay kaydı.
• Çözülen sorular, doğru/yanlış/atlama bilgisi, cevap süresi, ipucu/tekrar kullanımı, oyun oturumu bilgileri, oyun skoru, oturuma ait konu/kazanım bilgisi, ilerleme ve son etkinlik.
• Toplam/özet istatistikler, başarı düzeyi sinyalleri, öneriler, rozet, coin, kıyafet gibi sanal öğeler.

Çocuğun kişisel e-posta/telefonu, açık adresi, gerçek profil fotoğrafı ve temel profil için okul adı istenmez.

9.4.3. Öğretmen ve sınıf

• Ad soyad, e-posta adresi, telefon numarası ve isteğe bağlı okul, şehir adı.
• Diploma veya çalışma belgesi; dosya adı, türü, boyutu ve başvuru durumu.
• İnceleme kararı, gerekçe, inceleyen yetkili ve zaman kaydı.
• Oluşturulan okul/sınıf adı, sınıf seviyesi/şube, sınıf kodu ve bağlantılar.
• Öğretmenin kendi oyun oturumları ve paket kullanım verileri.

9.4.4. Ödeme ve abonelik

• Paket, hedef öğrenci/öğretmen, fiyat, para birimi, vergi, tarih, durum, başlangıç/bitiş ve otomatik yenileme bilgisi.
• ODA sipariş numarası, PayTR referansı veya mağaza product ID/base plan/purchase token özeti, işlem/orijinal işlem kimliği.
• Satın alma niyeti ve sunucu tarafı doğrulama sonuçları; mağaza webhook/RTDN olayları.
• İade, iptal, ödeme hatası ve abonelik yaşam döngüsü kayıtları.
• Fatura için zorunlu kimlik/iletişim/adres veya vergi bilgileri.

9.4.5. Bildirim ve cihaz

• Rastgele kurulum kimliği, Firebase kayıt tokenı, platform, cihaz modeli, uygulama sürümü.
• Dil, saat dilimi, işletim sistemi bildirim izni ve aktif/pasif durumu.
• Bildirim kategorisi, gönderim denemesi, teslim sonucu, hata, açılma ve okunma zamanı.
• Kullanıcının kategori ve kanal tercihleri.

9.4.6. Teknik, güvenlik ve yönetim

• IP adresi veya güvenlik/analitik için üretilen tek yönlü IP özeti.
• Tarayıcı/cihaz user-agent bilgisi, oturum zamanı, istek ve hata kayıtları.
• Yetkisiz giriş, hız sınırı, güvenlik olayı ve yönetici işlem kayıtları.
• Hesap silme, yedek temizleme ve silinmiş hesabı geri getirmeyi önleyen işaretler.

9.4.7. Destek ve iletişim

• Ziyaretçiye ait e-posta, mesaj, kaynak sayfa, konuşma kimliği.
• Spam ve kötüye kullanımı önlemek için IP özeti.
• Yanıtlar, şikâyetler, KVKK/tüketici talepleri ve doğrulama bilgileri.

9.4.8. Toplu web ölçümü ve yerel depolama

• Landing sayfasında gün, sayfa türü, genel trafik/referrer kategorisi, cihaz sınıfı ve olay türü bazında yalnız toplam sayaç tutulur.
• Ziyaretçi veya oturum kimliği, ham IP, IP özeti, tam referrer URL’si, ayrıntılı UTM değeri ya da kişi bazlı olay geçmişi veritabanına kaydedilmez. IP yalnız kötüye kullanım hız sınırında geçici bellek anahtarı olarak kullanılabilir.
• Giriş tokenı, geçici veli-çocuk geçiş verisi ve onboarding/işlevsel tercih gibi localStorage/sessionStorage değerleri hizmetin çalışması için kullanıcı cihazında tutulabilir.

ODA mevcut sürümde Google Analytics, Meta Pixel veya davranışsal reklam SDK’sı kullanmaz. Landing sayacı tarayıcı depolaması kullanmadan ve kullanıcıyı tekilleştirmeden toplu istatistik üretir; reklam hedeflemesi veya kullanıcı profillemesi yapılmaz.

9.5. Verileri neden kullanırız?

• Hesabı kurmak, doğrulamak, oturum ve rol güvenliğini sağlamak.
• Veliye bağlı çocuk profilini ve kontrollü çocuk oturumunu işletmek.
• Eğitim oyunlarını, soru akışını, skor/coin/rozet ve ilerlemeyi sunmak.
• Performans özetleri ve eğitim desteği sinyalleri üretmek; veli ve izinli öğretmene göstermek.
• Öğretmenin mesleki niteliğini incelemek, sınıf ve bağlantı yetkilerini yönetmek.
• Ücretsiz kota ve ücretli hakları hesaplamak.
• PayTR/Havale/EFT/Mağaza satın almalarını doğrulamak, aboneliği, iadeyi ve muhasebeyi yürütmek.
• Güvenlik, dolandırıcılık önleme, hata çözümü, yedekleme ve iş sürekliliği.
• Hizmet, güvenlik ve öğrenme bildirimlerini göndermek.
• Destek, şikâyet, KVKK ve tüketici başvurularını cevaplamak.
• Kimliksiz günlük toplamlardan hizmet kullanımını ve hizmet kanallarının genel kullanımını ölçmek.
• Hukuki yükümlülüklere uymak ve bir hakkı tesis, kullanma veya korumak.

9.6. Yapmadıklarımız

• Kullanıcılara pazarlama veya tanıtım amacıyla e-posta, SMS ya da push bildirimi göndermeyiz.
• Öğrenci performansını davranışsal reklam, veri satışı, kredi/işe alım veya sigorta değerlendirmesi için kullanmayız.
• Reklam kimliği, hassas konum, rehber, mikrofon veya kamera verisini temel hizmet için istemeyiz.
• Çocuk profilini herkese açık yapmayız; kullanıcılar arası açık mesajlaşma/yorum sunmayız.
• Tam kart numarası veya CVV saklamayız.
• Kişiyi hukuki veya benzeri önemli biçimde etkileyen yalnızca otomatik karar vermeyiz.
• Mevcut sürümde kişisel veriyi üçüncü taraf üretken yapay zekâ hizmetine göndermeyiz.

9.7. Otomatik analiz ve bildirimler

Sistem, belirli bir dönemdeki asgari soru sayısı, doğruluk oranı veya etkinlik zamanından hareketle veli/öğretmene başarı, destek ihtiyacı veya hareketsizlik bildirimi üretebilir. Bu eşikler operasyonel olarak değişebilir. Bildirim yalnızca destekleyici bilgi sağlar; öğretmen/veli kendi değerlendirmesini yapar.

Kullanıcı öğrenme bildirimlerini ayarlardan kapatabilir. Güvenlik veya sözleşmenin ifası için zorunlu hizmet bildirimleri pazarlama sayılmaz.

9.8. Verileri kimlerle paylaşırız?

Veri yalnızca amaçla sınırlı ve gerekli ölçüde aşağıdaki alıcı/işleyen gruplarıyla paylaşılabilir. Veli onaylı öğretmen bağlantıları da bir üçüncü kişiye çocuk verisi erişimi sağlar.

Hizmet sağlayıcıların yalnızca talimatla ve uygun güvenlikle hareket etmesi; veriyi kendi reklam amacıyla kullanmaması ve en az bu politikaya eşdeğer koruma sağlaması sözleşmesel olarak güvence altına alınır.

9.9. Yurt dışına aktarım

Ana sunucu, veritabanı, CDN, yedek ve e-posta Türkiye'de tutulur. Google ile giriş, Firebase Cloud Messaging, Google Play ve ileride Apple kullanıldığında gerekli kimlik, cihaz, token veya mağaza işlem verileri yurt dışına aktarılabilir ya da yurt dışından erişilebilir hâle gelebilir. Bu aktarım, KVKK m.9 uyarınca şu sırayla yürütülür:

1) Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu'nun yeterlilik kararı varsa bu karara dayanılır.

2) Yeterlilik kararı yoksa, ilgili kişinin aktarım yapılan ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi koşuluyla, taraflarca sağlanan uygun güvencelerden biri kullanılır: Kurulca ilan edilen standart sözleşme, Kurulca onaylanmış bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname. Standart sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

3) Uygun güvence de sağlanamıyorsa, yalnızca arızi olmak kaydıyla, kanunda sayılan istisnai hâllerden biri uygulanır.

Birinci ve ikinci kademelerde aktarım ayrıca KVKK m.5 veya m.6'da sayılan bir işleme şartına dayanır. Açık rıza, düzenli ve sürekli aktarımlar için genel bir dayanak olarak kullanılmaz.

9.10. Güvenlik

ODA, riskle orantılı olarak aşağıdaki tedbirleri uygular ve geliştirir:

• Aktarım sırasında TLS/HTTPS kullanımı ve parolaların güçlü yöntemlerle özetlenerek saklanması.
• Sunucu tarafında rol ve yetki kontrolleri ile en az ayrıcalık ilkesi.
• Öğretmen belgeleri ve mali kayıtlara kısıtlı erişim.
• Yönetici işlemlerinin kaydı; şüpheli girişlerin tespiti, istek sınırlama ve gerektiğinde oturum sonlandırma.
• Gizli anahtarların kaynak kodundan ayrı, erişimi sınırlı alanda saklanması.
• Güncelleme ve yama yönetimi, güvenli yapılandırma, yedekleme ve geri yükleme testleri.
• Yedeklerin şifreli ve ayrı erişim bilgileriyle saklanması.
• Kişisel verinin test ve geliştirme ortamlarına gereksiz yere kopyalanmaması.
• İhlal müdahale ve tedarikçi yönetimi süreçleri.

Kişisel veri ihlali tespit edildiğinde olay kaydı açılır. İhlal, mevzuatın gerektirdiği hallerde Kişisel Verileri Koruma Kurulu'na en kısa sürede ve tespitten itibaren 72 saat içinde bildirilir; bu süre aşılırsa gecikmenin nedeni bildirimle birlikte açıklanır. İlgili kişilere bildirim, risk düzeyi ve Kurul'un belirlediği usul doğrultusunda en kısa makul sürede yapılır.

Hiçbir çevrim içi sistem mutlak güvenlik garanti edemez. Kullanıcı şüpheli bir olayı destek@onlinedersatolyem.com adresine bildirmelidir.

9.11. Saklama ve silme özeti

Veriler, 15. bölümdeki kayıt türüne özgü saklama sürelerine göre saklanır. Kullanıcı hesabı silindiğinde ürün verisi en geç 30 gün içinde silinir; yedek kopyalar, en geç 30 gün içinde olağan yedek döngüsüyle sona erer. Hukuki yükümlülük gereği tutulması zorunlu olan asgari kayıtlar, ilgili mevzuattaki süreler boyunca kısıtlı erişimli arşivde saklanır ve başka amaçla kullanılmaz. Bu süreler kayıt türüne göre değişir: ticari defter ve belgelerde TTK m.82 uyarınca on yıl, vergi mevzuatı kapsamındaki defter ve belgelerde VUK m.253 uyarınca beş yıl, mesafeli satışa ilişkin bilgi ve belgelerde Mesafeli Sözleşmeler Yönetmeliği m.20 uyarınca üç yıl. TTK ve VUK sürelerinin başlangıcı, ilgili kaydın ait olduğu takvim yılına göre belirlenir. Bu süreler bütün kullanıcı verileri için geçerli değildir. Bir uyuşmazlık veya yasal süreç söz konusuysa, ilgili kayıtlar hakkın tesisi, kullanılması veya korunması için gerekli olduğu ölçüde süre dolsa bile saklanabilir.

9.12. Tercihler ve haklar

Kullanıcı:

• Push bildirimi iznini cihazının işletim sistemi ayarlarından değiştirebilir.
• Veli ve öğretmen, mobil uygulama içindeki bildirim ayarlarından bildirim kategorilerini ayrı ayrı yönetebilir.
• Uygulama bildirimi (push) onayını, verdiği kadar kolay biçimde, uygulama ayarlarından veya destek@onlinedersatolyem.com adresinden geri alabilir; geri alma 3 gün içinde uygulanır.
• Zorunlu olmayan çerezler ve kişi bazlı analitik, yalnızca kullanıcının açık rızasıyla kullanılır; rıza dilediği zaman geri çekilebilir. Mevcut kimliksiz günlük sayaç için cihazda analitik tanımlayıcısı tutulmaz.
• Hesap ayarlarından hesap silme talebi başlatabilir; saklama ve silme süreleri 9.11. maddede düzenlenmiştir.
• KVKK m.11 kapsamındaki haklarını 16. bölümdeki yöntemlerle kullanabilir. Çocuğa ait veriler bakımından bu haklar veli veya yasal temsilci tarafından kullanılabilir. Başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya süresinde cevap verilmemesi halinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkı saklıdır.

9.13. Çocukların gizliliği

Çocuk profili yalnızca veli veya yasal temsilci tarafından oluşturulur; çocuk kendi başına hesap açamaz. Çocuğa ait ad veya takma ad, sınıf seviyesi, uygun oyun içi ürünler sunulması için cinsiyet bilgisi, oyun ve performans verileri ile bunlardan üretilen gelişim analizleri yalnızca eğitim hizmetinin sunulması, ilerlemenin takip edilmesi ve hesap güvenliğinin sağlanması amaçlarıyla ve bu amaçlar için gerekli olan en az kapsamda işlenir. Çocuk verisi reklam, pazarlama veya profilleme amacıyla kullanılmaz.

Çocuğun verilerine veli ve veli onayı verdiği öğretmen erişebilir. Öğretmen erişimi yalnızca veli onayıyla açılır; veli, onayı dilediği zaman geri çekebilir ve bu durumda öğretmenin ilgili öğrenciye ilişkin erişimi sona erer. Veli, çocuğa ait verileri görüntüleme, düzeltme ve silme taleplerini 16. bölümdeki yöntemlerle iletebilir; hesap veya profil silindiğinde veriler 9.11. maddedeki ilkelere göre silinir.

Çocuk panelinde üçüncü taraf reklam veya analitik SDK'sı kullanılmaz ve üçüncü taraf yazı tipi gibi harici kaynaklar yüklenmez. Kilit ekranı bildiriminde çocuğun ayrıntılı performansı varsayılan olarak gösterilmez.

9.14. Değişiklikler

Bu politika değiştiğinde yayın tarihi ve sürüm numarası güncellenir. Veri işleme amaçlarını, alıcı gruplarını, işlenen veri türlerini veya kullanıcı haklarını önemli ölçüde etkileyen değişiklikler, yürürlüğe girmeden en az 15 gün önce e-posta veya uygulama içi bildirimle kullanıcıya, çocuk profilleri bakımından ise veliye duyurulur. Değişiklikler geriye yürümez; yeni bir rıza gerektiren işlemeler, rıza alınmadan başlatılmaz. Politikanın önceki sürümleri ispat ve şeffaflık amacıyla arşivlenir ve talep üzerine sunulur.