KVKK Aydınlatma Metni

1) Veri Sorumlusu

Kişisel verileriniz, veri sorumlusu sıfatıyla Pepechura Yazılım (Hippotenus) tarafından KVKK’ya uygun olarak işlenmektedir.

Adres: Maden Mah. Sarıyer 34450 İstanbul, Türkiye
E-posta: contact@hippotenus.com
İletişim: hippotenus.com/iletisim

2) İşlenen Kişisel Veri Kategorileri

3) Kişisel Verilerin İşlenme Amaçları

• Üyelik, kimlik doğrulama, yetkilendirme ve hesap güvenliğinin sağlanması,
• Eğitim hizmetlerinin sunulması: ders planlama, ödev/sınav yönetimi, ölçme-değerlendirme ve analiz,
• Yapay Zekâ Kullanım İzni vermeniz halinde yapay zekâ destekli kişiselleştirilmiş çalışma planı, koç önerisi, soru çözümü ve gelişim raporu üretilmesi,
• Öğrenci-veli-eğitmen-kurum iletişiminin yürütülmesi, bildirim ve duyuruların iletilmesi,
• Canlı ders, takvim, katılım takibi ve eğitim operasyon süreçlerinin yönetimi,
• Ödeme, faturalama, abonelik ve finansal raporlama süreçlerinin yürütülmesi,
• Onay vermeniz halinde kampanya, duyuru ve bülten gibi ticari elektronik iletilerin gönderilmesi,
• Açık rıza ve ticari elektronik ileti onay/ret kayıtlarının tutulması ve ispatı,
• Mevzuattan doğan saklama, raporlama ve denetim yükümlülüklerinin yerine getirilmesi,
• Talep/şikayet yönetimi, destek hizmetleri, ürün geliştirme ve hizmet kalitesinin artırılması,
• Bilgi güvenliği, suistimalin önlenmesi, sistem güvenilirliği ve iş sürekliliğinin sağlanması.

3.1) Zorunlu ve İsteğe Bağlı Alanlar

Platformda bazı kişisel veriler, hizmetin kurulması ve sürdürülebilmesi için zorunlu olarak işlenir (ör. hesap oluşturma ve kimlik doğrulama için gerekli temel bilgiler). Bunun dışındaki birçok profil, eğitim, not ve açıklama alanı ise kullanıcının veya kurum yetkilisinin tercihine bağlı olarak doldurulur.

Zorunlu olmayan alanların doldurulup doldurulmaması, kapsamı ve güncelliği; ilgili kullanıcıların, özel eğitim kurumlarının veya özel ders öğretmenlerinin kendi tasarrufundadır.

3.2) Kurum ve Eğitmen Tarafından Girilen Verilerde Sorumluluk

Özel eğitim kurumları veya özel ders öğretmenleri tarafından platforma girilen; öğrenci, veli ve eğitmen bilgileri bakımından veri girişinin doğruluğu, güncelliği, hukuki dayanağı ve gerekli aydınlatma/açık rıza süreçlerinin yürütülmesi ilgili veri girişini yapan tarafın sorumluluğundadır. Bu veriler bakımından ilgili kurum veya öğretmen de ayrıca veri sorumlusu olabilir.

Pepechura Yazılım / Hippotenus, kullanıcılar tarafından sisteme eklenen zorunlu olmayan verilerin içerik doğruluğundan veya veri girişini yapan tarafın kendi mevzuat yükümlülüklerini yerine getirmemesinden doğan sonuçlardan sorumlu değildir. Bununla birlikte, kendisine usulüne uygun şekilde bildirilen aykırılıklar için teknik ve idari imkanlar ölçüsünde gerekli aksiyonları alır.

4) Hukuki Sebepler

Kişisel verileriniz KVKK m.5 ve m.6 kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenir:

• Sözleşmenin kurulması ve ifası (m.5/2-c): hesabın açılması, eğitim hizmetinin sunulması, canlı ders, mesajlaşma, ödeme ve abonelik süreçleri,
• Hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç): fatura ve muhasebe kayıtları, mevzuattan doğan saklama yükümlülükleri, yetkili kurumların talepleri,
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): uyuşmazlıkların çözümü, onay ve ret kayıtlarının ispatı,
• Veri sorumlusunun meşru menfaati (m.5/2-f): bilgi güvenliği, kötüye kullanımın önlenmesi, hizmetin iyileştirilmesi,
• Açık rıza (m.5/1): uygun güvence bulunmayan hallerde arızi yurt dışı aktarım (Açık Rıza Metni), yapay zekâ destekli analiz ve kişiselleştirme ile bu amaçla yurt dışı aktarım (Yapay Zekâ Kullanım İzni) ve pazarlama amaçlı işleme (Ticari Elektronik İleti Onay Metni).

Özel nitelikli kişisel veriler yalnızca KVKK m.6’da sayılan şartlar mevcutsa veya açık rıza alınmışsa işlenir. Onaylarınızı dilediğiniz zaman geri alabilirsiniz (bkz. 13. bölüm).

5) Veri Toplama Yöntemleri

• Web sitesi formları, kayıt ve profil ekranları,
• Web ve mobil uygulama kullanım akışları ve kullanıcı işlemleri,
• Mesajlaşma, dosya yükleme, sınav/ödev etkileşimleri,
• Yapay zekâ asistanı ve analiz modülleri,
• Canlı ders, takvim ve katılım modülleri ile bağlanan üçüncü taraf entegrasyonları (Zoom, Google),
• Mobil uygulama bildirim kaydı,
• Ödeme sağlayıcı entegrasyonları ve finansal işlem kayıtları,
• Destek talepleri, geri bildirimler ve sistem logları.

Veriler bu kanallar aracılığıyla otomatik veya kısmen otomatik yollarla toplanır.

6) Verilerin Saklandığı Yer ve Aktarım

Platform verileri (veritabanı, yüklenen dosyalar ve yedekler) Türkiye'deki veri merkezlerinde saklanır. Yedekler şifrelenerek yine Türkiye'de, ayrı bir sağlayıcıda tutulur.

Kişisel veriler, yukarıdaki amaçların gerçekleştirilmesi için gerekli olduğu ölçüde aşağıdaki alıcı gruplarına aktarılabilir:

• Hizmetin doğası gereği platform içinde: bağlı olduğunuz eğitim kurumu, özel ders öğretmeni, koç ve veli (öğrenci verileri bakımından),
• Türkiye'de yerleşik barındırma, veritabanı, dosya depolama ve yedekleme sağlayıcıları,
• Yurt içindeki iletişim ve ödeme sağlayıcıları: SMS (NetGSM), ödeme kuruluşu (iyzico),
• Yurt dışındaki hizmet sağlayıcıları (ayrıntısı 7. bölümde),
• Hukuken yetkili kamu kurum ve kuruluşları, İleti Yönetim Sistemi A.Ş., denetim ve hukuk danışmanları.

Ödeme süreçlerinde kartın tamamı ve güvenlik kodu (CVV) gibi hassas kart verileri tarafımızca tutulmaz; ödeme kuruluşları tarafından işlenir. Tarafımızda işlem sonucu, yöntem tipi, tutar, durum ve referans kayıtları tutulabilir.

7) Yurt Dışına Aktarım

Aşağıdaki hizmetlerin sunucuları başta Amerika Birleşik Devletleri ve Avrupa Birliği ülkeleri olmak üzere yurt dışında bulunur. Her hizmet için yalnız belirtilen veriler, belirtilen durumda aktarılır. Bu aktarımlarda ilgili sağlayıcıların veri işleme ve gizlilik şartları geçerlidir. KVKK m.9 uyarınca uygun güvencenin bulunmadığı ve aktarımın arızi nitelik taşıdığı hallerde aktarım, Açık Rıza Metni ile (yapay zekâ için Yapay Zekâ Kullanım İzni ile) verdiğiniz açık rızaya dayanır.

• Yapay zekâ (Google Gemini, Google LLC): Yapay zekâ asistanına yazdığınız mesajlar ve asistanın yanıt için yetkiniz dahilinde okuduğu platform verileri (ör. ödev, sınav, devam ve ödeme bilgileri ile ilgili kişilerin adı ve iletişim bilgileri); "Yapay zekâya sor" ile gönderdiğiniz soru metni ve görseli ile soru üzerindeki yazışma ve katılımcı adları; çalışma programı oluştururken hedef ve başarı verileriniz; haftalık gelişim raporu için öğrencinin adı ve haftalık performans özeti; optik form okumada form fotoğrafı ve öğrenci/optik numarası. Asistan, soru çözümü ve çalışma programı siz başlattığınızda çalışır; haftalık rapor ve optik okuma kurum veya öğretmen tarafından yürütülür.
• E-posta gönderimi (Google Workspace, Google LLC): Ad, e-posta adresi ve e-postanın içeriği (hesap doğrulama, şifre sıfırlama, hesap ve veli davetleri, bildirimler, haftalık veli raporu). Hesap e-postaları zorunludur; bildirim e-postaları ayarlardan kapatılabilir; tanıtım e-postaları yalnız onayınızla gönderilir.
• Sosyal hesapla giriş (Google Firebase, Google LLC): Google, Apple, Facebook veya X ile giriş yapmayı seçerseniz ad, e-posta adresi ve sağlayıcı hesap kimliği. E-posta ve şifreyle kayıt olarak bu aktarımı tamamen önleyebilirsiniz.
• Google Takvim ve Google Meet (Google LLC): Eğitmen veya koç Google hesabını bağladığında ders/görüşme başlığı, açıklaması ve zamanı ile davet edilen öğrenci ve velilerin adı ve e-posta adresi (koçluk görüşmelerinde öğrenci adı başlıkta yer alır). Öğrenci ve veliler isterse kendi takvimlerini bağlayabilir. Bu entegrasyon isteğe bağlıdır.
• Zoom (Zoom Communications, Inc.): Eğitmen Zoom hesabını bağladığında ders başlığı, açıklaması, zamanı ve süresi; katılımcıların adı veya e-postası gönderilmez. Zoom ile yapılan bir canlı derse katıldığınızda görüntü ve sesiniz Zoom üzerinden iletilir. Bu entegrasyon isteğe bağlıdır.
• WhatsApp bildirimleri (Meta Platforms): Telefon numarası ve bildirim metni (ör. öğrenci adı, devamsızlık, sınav sonucu, ödeme tutarı, haftalık rapor özeti) ile telefon numaranızı doğrularken gönderilen doğrulama kodu. WhatsApp bildirimleri varsayılan olarak kapalıdır ve ayarlardan açılıp kapatılabilir.
• Mobil bildirimler (Expo; Apple ve Google bildirim servisleri): Mobil uygulamada bildirimlere izin verdiğinizde cihaz bildirim anahtarı ile bildirim başlığı ve metni (ör. sınav sonucu). Telefonunuzun ayarlarından kapatılabilir.
• Müşteri ilişkileri sistemi (Pepechura CRM; şu an Railway Corp. altyapısında, yurt dışında):Kayıt sırasında ad, e-posta, telefon ve kullanıcı rolü; iletişim ve demo formlarında ve destek taleplerinde ilettiğiniz bilgiler. Amaç başvuru, satış ve destek süreçlerinin yürütülmesidir.
• Web sitesi ve uygulama arayüzü: Web sitesinde Google Analytics yalnız çerez onayınızla çalışır; tanıtım videoları oynatıldığında Cloudflare Stream'e, uygulama arayüzünün yazı tipi ve formül gösterimi yüklenirken Google Fonts ve jsDelivr'a IP adresiniz ve tarayıcı bilginiz ulaşır.

8) Saklama Süresi ve İmha

Veriler, işleme amacının gerektirdiği süre boyunca ve ilgili mevzuattaki zorunlu saklama süreleri kadar muhafaza edilir. Süre sonunda veriler silinir, yok edilir veya anonim hale getirilir.

• Hesap ve profil verileri: üyelik süresince ve mevzuatın öngördüğü ek süre kadar,
• Eğitim ve ölçme-değerlendirme kayıtları: eğitim hizmetinin sürdürülmesi ve raporlama ihtiyacı süresince,
• Yapay zekâ etkileşim verileri: hesabınız açık olduğu ve Yapay Zekâ Kullanım İzniniz devam ettiği sürece,
• Finansal kayıtlar ve fatura verileri: ilgili vergi/ticaret mevzuatı kapsamındaki süreler boyunca,
• Açık rıza ve ticari elektronik ileti onay/ret kayıtları: onayın geçerliliğinin sona ermesinden itibaren en az üç yıl ve yasal zamanaşımı süresince,
• Log ve güvenlik kayıtları: bilgi güvenliği ve denetim ihtiyaçlarına uygun makul süre boyunca,
• Yedekler: silinen veriler şifreli yedeklerde en fazla yaklaşık 3 ay daha kalır ve yalnız veri kaybı hâlinde geri yükleme için kullanılır; bu süre sonunda yedeklerin dönüşümlü silinmesiyle kendiliğinden ortadan kalkar.

9) Veri Güvenliği Tedbirleri

• Rol bazlı erişim kontrolü ve kurum (tenant) bazında veri ayrımı,
• Parolaların güvenli özetleme yöntemleriyle saklanması,
• Veri iletiminde HTTPS/TLS şifrelemesi,
• Verilerin Türkiye'deki veri merkezlerinde saklanması; yedeklerin şifrelenerek ayrı bir sağlayıcıda tutulması,
• Üçüncü taraf entegrasyon erişim anahtarlarının korumalı saklanması,
• Kayıt/işlem izlerinin tutulması ve düzenli denetlenmesi,
• Uygulama ve altyapı seviyesinde teknik güvenlik önlemleri,
• Veri minimizasyonu ve amaçla sınırlı işleme prensibi.

10) KVKK Kapsamındaki Haklarınız

KVKK m.11 kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
• KVKK m.7 çerçevesinde verilerin silinmesini/yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz sonucu aleyhe bir sonuca itiraz etme,
• Kanuna aykırı işleme nedeniyle zarara uğranması halinde zararın giderilmesini talep etme.

11) Başvuru Yöntemi

Haklarınıza ilişkin başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca;

• Islak imzalı dilekçe ile yukarıdaki adresimize yazılı olarak,
• Kayıtlı elektronik posta (KEP), güvenli elektronik imza veya mobil imza ile,
• Platforma kayıtlı e-posta adresinizden contact@hippotenus.com adresine

iletebilirsiniz. Başvuruda ad-soyad, T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası), tebligata esas adres, varsa e-posta ve telefon ile talep konusunun yer alması gerekir. Başvurular, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi halinde Kurul’un belirlediği tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.

12) Çocuklara İlişkin Veriler

Platformun eğitim odaklı yapısı gereği öğrenci verileri işlenmektedir. Reşit olmayan kullanıcılara ait veriler, eğitim hizmetinin sunulması amacıyla, veli/yasal temsilci ilişkilendirmesi ve gerekli hukuki dayanaklar çerçevesinde işlenir. 18 yaşından küçük kullanıcıların açık rıza ve ticari elektronik ileti onaylarını veli veya vasilerinin bilgisi ve izniyle vermesi gerekir.

13) Açık Rıza, Yapay Zekâ ve Ticari Elektronik İleti Onayları

Kayıt sırasında üç ayrı metin sunulur: Açık Rıza Metni (zorunlu), Yapay Zekâ Kullanım İzni (isteğe bağlı) ve Ticari Elektronik İleti Onay Metni (isteğe bağlı). İsteğe bağlı onaylar varsayılan olarak kapalıdır. Verdiğiniz onaylar, onaylanan metnin sürümü, onay zamanı, IP adresi ve tarayıcı bilgisiyle birlikte kayıt altına alınır. Metinler kapsamı genişletecek şekilde güncellendiğinde uygulama güncel sürüm için onayınızı yeniden ister.

Verdiğiniz onayları uygulamada Ayarlar > Hesap & Güvenlik bölümünden her zaman yeniden okuyabilirsiniz. Yapay Zekâ Kullanım İzni'ni ve ticari elektronik ileti onayınızı aynı yerden dilediğiniz zaman açıp kapatabilirsiniz; ticari elektronik ileti onayınızı ayrıca e-postalardaki “abonelikten çık” bağlantısıyla veya İleti Yönetim Sistemi (iys.org.tr) üzerinden de geri alabilirsiniz.

Açık Rıza Metni'ndeki işlemler platformun sunulması için gerekli olduğundan, bu rızanın geri alınması hesabınızın kapatılması olarak işleme alınır: Ayarlar > Hesap & Güvenlik > Hesabı sil adımını kullanabilir ya da contact@hippotenus.com adresine yazabilirsiniz. Geri alma ileriye dönük sonuç doğurur.

14) Metin Güncellemeleri

Bu metin; mevzuat değişiklikleri, ürün kapsamı veya süreç güncellemeleri doğrultusunda revize edilebilir. Güncel metin her zaman bu sayfada yayımlanır.