Gizlilik Politikası

1. Veri Sorumlusu ve Kapsam

Bu Gizlilik Politikası ("Politika"), ogrencirotasi.com alan adı üzerinden ve ilişkili mobil/masaüstü uygulamalar üzerinden sunulan Öğrenci Rotası hizmetini ("Platform") kullanan tüm kullanıcılar (öğrenci, veli, öğretmen, eğitim koçu ve admin) için 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuat uyarınca, veri sorumlusu sıfatıyla işlediğimiz kişisel verileri, işleme amaçlarını, hukuki sebeplerini, kimlerle paylaşıldığını ve ilgili kişi haklarını açıklar.

[Veri sorumlusunun ticaret unvanı, MERSİS/vergi numarası ve açık adresi burada yer almalıdır — işletme bilgilerinizle güncelleyin.]

Gizlilik ile ilgili sorularınız için İletişim sayfamızdan bize ulaşabilirsiniz.

2. Hangi Verileri, Nasıl Topluyoruz

Platform'u kullanırken aşağıdaki veriler toplanır:

• Kimlik bilgileri: ad, soyad.
• İletişim bilgileri: e-posta adresi, cep telefonu numarası.
• Hesap bilgileri: kullanıcı adı, şifre (tek yönlü şifrelenmiş/hashlenmiş olarak saklanır, bizim tarafımızca dahi okunamaz), rol (öğrenci/veli/öğretmen/koç/admin), profil fotoğrafı, sınıf seviyesi, koç↔veli↔öğrenci↔öğretmen arasındaki ilişki kayıtları.
• Eğitim/kullanım verileri: atanan görev ve ödevler, tamamlanma durumu, deneme sınavı sonuçları, sınav/quiz cevapları ve puanları, kazanılan puan/rozet/ödül kayıtları, "Hayal Kasası" hedef ve ilerleme kayıtları, koç/veli/ öğretmen tarafından yazılan değerlendirme notları, kullanıcılar arası mesajlar.
• Finansal veriler (yalnızca koç↔platform ilişkisi): hizmet anlaşması bilgileri, seans/tahakkuk kayıtları, ödeme dekontu görselleri. Öğrenci/veliden Platform üzerinden kredi kartı bilgisi alınmaz.
• Kimlik doğrulama verileri: SMS ile girişte Twilio aracılığıyla gönderilen tek kullanımlık doğrulama kodu ve gönderim kaydı; Google ile girişte Google'dan alınan ad, e-posta ve profil fotoğrafı (bkz. madde 3).
• Teknik/günlük verileri: IP adresi, oturum çerezleri, cihaz/tarayıcı bilgisi, giriş zaman damgaları, hata/işlem günlükleri.

Veriler, (a) kullanıcının veya veli/koç/öğretmen/admin'in doğrudan form üzerinden girmesi, (b) Platform kullanımı sırasında otomatik olarak (görev tamamlama, giriş kayıtları gibi) üretilmesi, (c) SMS doğrulayıcı (Twilio) ve Google OAuth gibi üçüncü taraf kimlik doğrulama hizmetlerinden alınması yoluyla toplanır.

3. Google Hesabıyla Giriş ve Google Kullanıcı Verileri

Platform'da "Google ile giriş yap" seçeneğini kullandığınızda, Google'ın OAuth 2.0 kimlik doğrulama protokolü üzerinden Google hesabınızdaki ad, e-posta adresi ve profil fotoğrafınız bize iletilir. Bu veriler yalnızca kimliğinizi doğrulamak ve admin/koç tarafından önceden aynı e-posta ile oluşturulmuş hesabınızla eşleştirmek amacıyla kullanılır. Platform kendiliğinden yeni kayıt kabul etmez (bkz. madde 7); Google ile giriş yapan ve eşleşen bir hesabı bulunmayan kullanıcının oturumu derhal sonlandırılır ve profili oluşturulmaz.

Google'dan alınan bu veriler; reklam amacıyla kullanılmaz, satılmaz, kiralanmaz, Platform'un sunduğu hizmet dışında başka bir amaçla işlenmez ve madde 5'te sayılanlar dışında üçüncü kişilerle paylaşılmaz. Öğrenci Rotası'nın Google kullanıcı verilerine ilişkin uygulamaları, Google API Hizmetleri Kullanıcı Verileri Politikası'na (Google API Services User Data Policy), Sınırlı Kullanım (Limited Use) gereksinimleri dahil, uygundur.

4. İşleme Amaçları ve Hukuki Sebep

Verileriniz şu amaçlarla işlenir:

• Hesap oluşturma, kimlik doğrulama ve oturum güvenliğinin sağlanması,
• Eğitim koçluğu hizmetinin (görev atama/takip, onay, raporlama) sunulması,
• Puan/rozet/ödül tabanlı motivasyon (oyunlaştırma) sisteminin işletilmesi,
• Koç↔veli↔öğrenci↔öğretmen arasındaki iletişimin ve bildirimlerin yürütülmesi,
• Koç↔platform arasındaki hizmet/ödeme ilişkisinin takibi,
• Hizmet kalitesinin ölçülmesi, hata ayıklama ve güvenlik denetimi,
• Yasal yükümlülüklerin (örn. muhasebe/vergi kayıtları) yerine getirilmesi.

Bu işlemler KVKK m. 5/2 ve m. 6/3'te sayılan "bir sözleşmenin kurulması/ifasıyla doğrudan ilgili olma", "veri sorumlusunun hukuki yükümlülüğü", "ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat" ve, özellikle çocuğa ait veriler ile Google/SMS ile kimlik doğrulama bakımından, açık rıza hukuki sebeplerine dayanılarak gerçekleştirilir.

5. Çerezler

Platform, yalnızca oturumunuzu açık tutmak için zorunlu kimlik doğrulama çerezleri (Supabase Auth oturum/yenileme çerezleri) kullanır. Reklam, profilleme veya üçüncü taraf izleme amaçlı çerez kullanılmaz.

6. Verilerin Paylaşıldığı Taraflar

Verileriniz, hizmetin sunulabilmesi için gerekli ölçüde, veri işleyen sıfatıyla aşağıdaki hizmet sağlayıcılarla paylaşılır; bunların dışında hiçbir üçüncü tarafla paylaşılmaz, satılmaz ya da pazarlama amacıyla kullanılmaz:

• Supabase (AB/Frankfurt bölgesi) — veritabanı, kimlik doğrulama altyapısı ve dosya depolama.
• Vercel — uygulamanın barındırılması ve içerik dağıtımı.
• Twilio — telefonla girişte tek kullanımlık SMS doğrulama kodunun iletilmesi.
• Google — "Google ile giriş yap" seçeneğinde kimlik doğrulama (bkz. madde 3).

Bu hizmet sağlayıcılarının bazı sunucuları Türkiye dışında (AB ve ABD) bulunabileceğinden, verileriniz KVKK m. 9 kapsamında yurt dışına aktarılabilir; bu aktarım yalnızca yukarıda sayılan hizmetin teknik olarak sunulması için gerekli ölçüde yapılır.

7. Çocuklara Ait Veriler ve Ebeveyn Onayı

Platform, ilkokul ve ortaokul seviyesindeki (yaklaşık 6-14 yaş) öğrencilere yönelik hizmetler de sunar. Platformda serbest/kendi kendine kayıt yoktur: öğrenci hesapları yalnızca (a) veli/okul ile ilişkili, onaylanmış bir eğitim koçu veya öğretmen tarafından doğrudan oluşturulur, ya da (b) veli tarafından doldurulan bir başvuru formu üzerinden alınıp yetkili bir koça eşleştirildikten sonra etkinleştirilir. Her iki durumda da hesabı açan/onaylayan taraf bir yetişkindir (veli, koç, öğretmen veya admin) ve öğrencinin verilerinin işlenmesine bu yetişkinin bilgisi dahilinde başlanır.

Veli, kendi çocuğuna ait tüm verileri (görevler, puanlar, mesajlar, değerlendirmeler) koç/öğretmen paneli üzerinden görüntüleyebilir. Öğrenciye ait veriler reklam/pazarlama amacıyla kullanılmaz, davranışsal profilleme yapılmaz ve üçüncü kişilere (madde 6'da sayılan teknik alt yükleniciler dışında) satılmaz veya paylaşılmaz. Bir velinin çocuğuna ait verilerin silinmesini talep etmesi halinde, madde 9'daki süreç işletilir.

8. Güvenlik Önlemleri

Şifreler tek yönlü hash algoritmasıyla saklanır. Puan, bakiye ve finansal işlemler gibi hassas veriler üzerindeki tüm yazma işlemleri yalnızca sunucu tarafında, satır bazlı erişim kontrolü (Row Level Security) ile korunan veritabanı fonksiyonları üzerinden gerçekleştirilir — istemci (tarayıcı) hiçbir zaman doğrudan bu verileri değiştiremez. Bir kullanıcı yalnızca kendi rolünün yetkili olduğu verilere erişebilir: veliler yalnızca kendi çocuklarının, koçlar yalnızca kendi öğrencilerinin verilerini görebilir. Erişim yetkisi olmayan bir admin işlemi (destek amaçlı "kullanıcı görünümü" dahil) salt-okunur şekilde sınırlandırılmıştır ve denetim kaydına (activity log) işlenir.

9. Saklama Süresi ve Silme

Kişisel verileriniz, hesabınız aktif olduğu sürece saklanır. Hesabınızın kapatılmasını (pasifleştirilmesini veya kalıcı silinmesini) veli/koç/admin üzerinden talep edebilirsiniz; bu durumda yasal saklama yükümlülüğü bulunmayan veriler (örn. finansal kayıtlar hariç) talep tarihinden itibaren en fazla 30 gün içinde silinir veya geri döndürülemez şekilde anonim hale getirilir. Finansal nitelikli kayıtlar (tahakkuk/ödeme), Türk vergi/muhasebe mevzuatının öngördüğü yasal süre (genel olarak 10 yıl) boyunca saklanır.

10. KVKK Kapsamındaki Haklarınız

KVKK'nın 11. maddesi uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içi/dışı üçüncü kişilere aktarılıp aktarılmadığını öğrenme, eksik/yanlış işlenmişse düzeltilmesini isteme, KVKK'da öngörülen şartlar dahilinde silinmesini/yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhe bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz.

Bu haklarınızı kullanmak için İletişim sayfamız üzerinden yazılı olarak başvurabilirsiniz. Başvurunuz en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

11. Değişiklikler

Bu Politika, hizmetlerimizdeki değişikliklere ya da mevzuat güncellemelerine paralel olarak zaman zaman güncellenebilir; önemli değişikliklerde kullanıcılar bilgilendirilir. Güncel sürüm her zaman bu sayfada, "son güncelleme" tarihiyle birlikte yayındadır.