KVKK aydınlatma metni

AYDINLATMA METNİ (6698 sayılı Kişisel Verilerin Korunması Kanunu m.10)

Veri sorumlusu

Bu aydınlatma metni, Direksyo markalı sürücü kursu yönetim yazılımını (bundan sonra “Hizmet”) sunan Ayasofya Bilişim (“veri sorumlusu”, “biz”) tarafından hazırlanmıştır. Açık adresimiz: İstanbul Fatih Molla Gürani Mah. Gureba Hastanesi Cad. No:13/A. Elektronik posta: info@ayasofyabilisim.com. Çalışma saatleri: hafta içi 09:00–18:00.

Direksyo, sürücü kursu işletmelerine öğrenci kaydı, ders ve takvim, tahsilat, evrak, sınav ve benzeri operasyonu tek panelden yürütme imkânı veren bir abonelik yazılımıdır. Hizmet, her kurum için ayrı veritabanı (çok kiracılı / tenancy) modeli ile sunulur.

İki ayrı veri işleme düzlemi

1) Platform kayıtları. Kurumun Direksyo’ya kaydı, abonelik, fatura, ödeme, destek yazışması ve tanıtım sitesi iletişim formu Ayasofya Bilişim’in merkezi sisteminde tutulur. Bu düzlemde veri sorumlusu Ayasofya Bilişim’dir.

2) Kurum operasyon kayıtları. Öğrenci, veli/iletişim kişisi, eğitmen, personel, araç, ders, sınav, tahsilat ve evrak verileri ilgili kurumun kendi veritabanında tutulur; diğer kurumlarla paylaşılmaz. Bu düzlemde kural olarak veri sorumlusu, öğrencisiyle sözleşme kuran sürücü kursu işletmesidir. Ayasofya Bilişim, bu veriler bakımından Hizmet’i sunmak üzere veri işleyen (KVKK m.12 çerçevesinde teknik tedbirleri alan hizmet sağlayıcı) konumundadır. Kurum, kendi öğrencisine karşı ayrıca aydınlatma ve —gerektiğinde— açık rıza yükümlülüğünü yerine getirmekle yükümlüdür.

İşlenen kişisel veri kategorileri (platform)

Kimlik ve iletişim: yetkili adı soyadı, kurum unvanı, e-posta, telefon, kayıtta verilen alt alan adı.
Kurum ve fatura: vergi dairesi ve numarası, adres, e-fatura / e-arşiv için gereken ticari bilgiler.
Abonelik ve ödeme: seçilen paket, deneme ve fatura dönemleri, tahsilat durumu, sağlayıcı (PayTR / iyzico) tarafından dönen maskeli kart ve saklama belirteci. Kart numarası ve CVV saklanmaz.
Destek: talep konusu, yazışma metni, ekler, teknik tanı için iletilen günlük özeti.
Tanıtım iletişim formu: ad, e-posta, telefon, konu, mesaj ve gönderim IP’si.
Güvenlik ve kullanım: giriş denemeleri, IP, tarayıcı özeti, denetim izi, çerez ve oturum kimlikleri.
İş başvurusu veya demo talebi gibi formlarda ayrıca belirttiğiniz serbest metin.

Öğrenci ve eğitmen verisi (kurum veritabanı)

Kurum panelinde işlenen örnek kategoriler: T.C. kimlik / yabancı kimlik, ad soyad, doğum, ehliyet sınıfı, sağlık raporu ve sözleşme evrakı, ders ve sınav kaydı, yoklama, not / deneme sınavı sonucu, tahsilat ve taksit, SMS-e-posta içeriği, sistem içi mesaj. MEBBİS aktarımı için hazırlanan alanlar, kurumun Milli Eğitim mevzuatındaki beyanına göre doldurulur; aktarım kararı ve doğruluğu kuruma aittir.

İşleme amaçları

Hesabı açmak, kimliği doğrulamak ve Hizmet’i sözleşmeye uygun sunmak.
Aboneliği yönetmek, faturalandırmak, tahsilat ve (açıksa) e-fatura / e-arşiv göndermek.
Güvenlik, kötüye kullanımın önlenmesi, hız sınırı, denetim izi ve hukuki uyuşmazlık.
Destek taleplerini yanıtlamak ve ürünü iyileştirmek (kişiselleştirilmemiş, mümkün olduğunca toplulaştırılmış).
Yasal saklama, vergi ve ticari defter yükümlülükleri.
Açık rızanız varsa bilgilendirme ve pazarlama iletisi. Rıza yoksa ticari elektronik ileti gönderilmez.
Tanıtım sitesi iletişim formunu yanıtlamak.

Hukuki sebepler (KVKK m.5 ve m.6)

Sözleşmenin kurulması ve ifası (abonelik ve Hizmet sunumu).
Veri sorumlusunun hukuki yükümlülüğü (vergi, e-belge, saklama).
Meşru menfaat (bilgi güvenliği, sahtecilik önleme, ürün kararlılığı) — temel hak ve özgürlüklerinizi zedelemeyecek ölçüde.
Açık rıza: yalnızca rıza gerektiren işlemler (pazarlama iletisi, zorunlu olmayan çerez) için.
Özel nitelikli kişisel veri (ör. sağlık raporu) kurum veritabanında, kursun yasal yükümlülüğü ve/veya açık rıza çerçevesinde işlenir; platform bu evrakı kurum adına barındırır.

Aktarım

Veriler, Hizmet’in sunulması için aşağıdaki alıcı gruplarına aktarılabilir:
Barındırma ve altyapı sağlayıcıları (sunucu, yedek, nesne depolama).
E-posta iletimi (platform SMTP ayarlarınız veya varsayılan posta hizmeti).
Ödeme kuruluşları: PayTR ve iyzico (saklı kart / çekim); kart verisi bu kuruluşların sisteminde işlenir.
e-Fatura / e-arşiv: Paraşüt entegrasyonu açıldığında fatura muhatabı ve tutar bilgisi.
SMS sağlayıcıları, kurum kendi anahtarını girdiğinde.
Yapay zeka sağlayıcısı: OpenAI, uç nokta api.openai.com (Amerika Birleşik Devletleri). Kurum veya platform yapay zekayı açtıysa ve bir istek yapıldığında sağlayıcıya maskelenmiş serbest metin ile toplam / özet sayılar gönderilir (sorduğunuz sorunun metni, ders ve tahsilat toplamları, deneme sınavının konu dökümü, seçilecek rapor fonksiyonunun adı). Öğrenciye ait kişisel veri yalnızca kurum, Ayarlar → Yapay Zeka bölümündeki “Kişisel veriler yapay zekaya gönderilebilsin” iznini ayrıca ve açıkça açtıysa gönderilir; bu izin varsayılan olarak kapalıdır, kapalıyken ilgili özellik çalışmaz ve iznin açılıp kapanması denetim kaydına yazılır. T.C. kimlik numarası, kart numarası, telefon ve e-posta değerleri modele gitmeden önce sunucuda maskelenir; adres maskelenmez, bu yüzden kurum serbest metin alanlarına adres yazmamakla yükümlüdür.

Yurt dışına aktarım. Yukarıdaki alıcı gruplarından yapay zeka uç noktası açıkça yurt dışındadır: OpenAI’ın api.openai.com uç noktası Amerika Birleşik Devletleri’nde bulunur. Bu aktarım için Kurul’un ilan ettiği bir yeterlilik kararına, onaylanmış bir bağlayıcı şirket kuralına veya herhangi bir güvenlik sertifikasına dayanmıyoruz; elimizde böyle bir karar ya da belge yoktur. Dayanak olarak KVKK m.9’daki açık rıza yolu esas alınmıştır: özellik kurum tarafından açılmadıkça hiçbir istek gönderilmez, öğrenciye ait veriler ise ek olarak “Kişisel veriler yapay zekaya gönderilebilsin” izni açılmadıkça gönderilmez ve bu izni açan kurum, öğrencisinden bu aktarım için açık rıza almakla yükümlüdür. Sağlayıcıyla akdedilecek taahhütname / standart sözleşme hükümleri bu güvenceyi tamamlamak üzere öngörülmüştür. Diğer alıcı gruplarında yurt dışına aktarım yalnızca ilgili mevzuattaki yeterli koruma (açık rıza, taahhütname, standart sözleşme veya Kurul’un kabul ettiği diğer güvenceler) ile yapılır. Öğrenci verisi diğer Direksyo kurumlarıyla paylaşılmaz.

Saklama

Platform hesap ve fatura kayıtları: abonelik süresi ve Türk ticari / vergi mevzuatındaki saklama süreleri (kural olarak 10 yıl) boyunca.
Destek yazışması: talebin kapanmasından sonra makul süre ve olası uyuşmazlık süresi.
İletişim formu: yanıt ve ispat için sınırlı süre; silme talebiniz ayrıca değerlendirilir.
Kurum veritabanı: kurum silinene veya sözleşmesi sona erip yedek saklama süresi dolana kadar. Kurum, kendi öğrencisine karşı silme / anonimleştirme taleplerini kendi süreçleriyle karşılar.
Güvenlik logları: orantılı, kısa süre.

Çerezler ve benzeri teknolojiler

Zorunlu çerezler: oturum, CSRF koruması, yük dengeleme. Bunlar olmadan giriş ve form güvenliği sağlanamaz.
Tercih: arayüz teması gibi ayarlar tarayıcı deposunda tutulabilir; zorunlu olmayan izleme ve reklam çerezi kullanılmaz.
Tanıtım sitesinde üçüncü taraf olarak Google Haritalar gömülü haritası yüklenirse Google’ın kendi çerez / istek politikası devreye girebilir; harita yalnızca iletişim sayfasındadır.

Haklarınız (KVKK m.11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde / dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK m.7 çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle aleyhinize bir sonucun çıkmasına itiraz, kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme.

Başvuru

Yazılı veya info@ayasofyabilisim.com üzerinden, kimliğinizi tespit edilebilir şekilde başvurabilirsiniz. Tanıtım sitesindeki iletişim formu da kayda geçer. Kurum öğrencisiyseniz talebinizi önce kursunuza iletmeniz gerekir; öğrenci verisinin veri sorumlusu kursunuzdur. Kişisel Verileri Koruma Kurulu’na şikâyet hakkınız saklıdır.

Güncelleme

Bu metin Hizmet kapsamı değiştikçe güncellenir. Yürürlükteki sürüm tanıtım sitesinde ve Yönetim → Ayarlar alanındaki KVKK metninde yayımlanır.