Veri İşleme Sözleşmesi
Taraflar ve roller
Bu Veri İşleme Sözleşmesi, Kerteriz eğitim takip programına abone olan kurum ile hizmet sağlayıcı arasında kurulur ve Kullanım ve Abonelik Sözleşmesi'nin ayrılmaz parçasıdır. Veri işleyen: Kerteriz (tüzel kişi unvanı Künye sayfasında yayımlanır); adres Künye sayfasında yayımlanır; bu metinde «Kerteriz» olarak anılır. Veri sorumlusu: aboneliği başlatan ve programı öğrenci takibi için kullanan kurum veya koç; bu metinde «kurum» olarak anılır. 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3 ve Kişisel Verileri Koruma Kurulu'nun (Kurul) 2020/71 sayılı kararındaki ölçütlere göre öğrenci ve veli verilerinin hangi amaçla ve hangi araçlarla işleneceğine kurum karar verir; Kerteriz bu verileri yalnız kurum adına ve kurumun talimatıyla işler. Hesap sahiplerinin kimlik, fatura, kullanım ve güvenlik kayıtları bu sözleşmenin kapsamı dışındadır; bu kayıtlar bakımından veri sorumlusu Kerteriz'dir ve Aydınlatma Metni uygulanır. Ödeme kuruluşu PayTR, kart hamiline karşı ayrı bir veri sorumlusudur ve Kerteriz'in alt işleyeni değildir.
Konu, süre ve amaç
Kerteriz, kurumun öğrenci takibi için programa girdiği veya programın kurum adına ürettiği kişisel verileri yalnız hizmeti sunmak amacıyla işler: çalışma programı, deneme ve konu takibi, etüt ve canlı ders, yazışma, anket, raporlama, veli bilgilendirmesi ile koç ve kurum yönetimine sunulan yapay zekâ destekli analiz işlevlerinin çalıştırılması. İşleme, abonelik süresince ve aboneliğin sona ermesini izleyen salt okunur arşiv süresince devam eder; arşiv ve imha koşulları «Sona erme» bölümündedir. Bu amaçların dışında bir işleme yapılmaz; veriler satılmaz, reklam amacıyla işlenmez ve kurumun talimatı olmadan başka bir amaca yönlendirilmez.
İlgili kişi grupları ve veri kategorileri
İlgili kişiler: kurumun öğrencileri (18 yaşından küçük olabilirler), öğrencilerin velileri ve kurumun koç, öğretmen ve yönetici personeli. Veri kategorileri: kimlik ve iletişim bilgileri (ad-soyad, e-posta); eğitim süreç verileri (plan ve görev kayıtları, deneme sonuçları, günlük soru sayıları, konu durumları, çalışma ve odak oturumu kayıtları, kaynak ve test ilerlemesi, video izlenme ölçümü, etüt ve canlı ders katılımı); yazışma içerikleri; anket yanıtları; yüklenen dosyalar; veliye sunulan dondurulmuş rapor özetleri. Küçüklerin verisi için gereken veli açık rızasını kurum, Kerteriz'in sunduğu Veli Açık Rıza Formu ile kâğıt üzerinde alır ve alındığını programda kaydeder; rıza ehliyeti olmayan çocuk için rızayı yasal temsilci açıklar ve Kerteriz bu rızaya dayanan işlemeyi kurumun talimatıyla yürütür. Program, özel nitelikli kişisel veri (sağlık, din, biyometri gibi) işlemek için tasarlanmamıştır; kurum bu tür veriyi programa girmez.
Talimatla işleme
Kerteriz, kişisel verileri yalnız kurumun belgelenmiş talimatıyla işler. Kurumun talimatı bu sözleşme ile programın kurum tarafından kullanılan işlevleridir; kurum bir öğrenciyi davet ettiğinde, bir veriyi girdiğinde, bir rapor paylaştığında veya bir kaydı sildiğinde o işlem için talimat vermiş olur. Kerteriz, verileri kendi amaçları için işlemez, satmaz ve reklam amacıyla kullanmaz. Bu sözleşmenin veya mevzuatın dışına çıkan bir talimatı Kerteriz yerine getirmez ve bunu gerekçesiyle birlikte gecikmeksizin kuruma bildirir; taraflar talimatı bu bildirime göre düzeltir. Kurum, programa girdiği verilerin hukuka uygun toplanmasından ve ilgili kişilerin aydınlatılmasından sorumludur.
Gizlilik ve personel
Kerteriz'in verilere erişen çalışan ve yetkilileri gizlilik yükümlülüğü altındadır; öğrendikleri kişisel verileri açıklamaları ve amaç dışı kullanmaları yasaktır ve bu yasak, 6698 sayılı Kişisel Verilerin Korunması Kanunu m.12 gereği görev sona erdikten sonra da sürer. Erişim, hizmetin işletilmesi ve desteği için gerekli kişilerle sınırlı tutulur.
Güvenlik tedbirleri
Taraflar, 6698 sayılı Kişisel Verilerin Korunması Kanunu m.12 uyarınca hukuka aykırı işlemeyi ve erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri alır; Kerteriz'in kendi payına düşen tedbirler şunlardır. Veriler, veritabanı sağlayıcısında durağan hâlde AES-256 ile, aktarım sırasında TLS ile şifrelenir; canlı ders akışı taşıma sırasında şifrelenir (SRTP), uçtan uca şifreleme varsayılan olarak açık değildir ve akış saklanmaz; bildirim içeriği uçtan uca şifreli iletilir. Erişim role bağlıdır: her kurumun verisi kendi kurum kaydına bağlı tutulur ve başka bir kurumun kullanıcısına gösterilmez; öğrenciye açık bir yapay zekâ yüzeyi yoktur; kurum yöneticisi öğrenci–öğretmen yazışmalarını denetim amacıyla görebilir, veli–öğretmen yazışmalarını göremez; liderlik tablosu takma adlıdır. Yazışmalar değiştirilemez biçimde saklanır; kart verisi Kerteriz'e hiç ulaşmaz; canlı derste kayıt yapılmaz; hesap sahiplerinin kullanım ve güvenlik kayıtları tutulur. Kerteriz'in kendisi bir güvenlik sertifikası taşımaz; bu metinde anılan SOC 2 raporları ve ISO 27001 sertifikaları alt işleyenlere aittir ve onların beyanlarına dayanır.
Alt işleyenler
Kerteriz, hizmeti sunmak için aşağıdaki alt işleyenleri kullanır ve kurum bu listeyi bu sözleşmeyle kabul eder: Convex, Inc. veritabanı ve sunucu işlevleri için (Avrupa Birliği, İrlanda; standart sözleşme hükümleri içeren veri işleme sözleşmesi; SOC 2 raporu; durağan hâlde AES-256, aktarımda TLS şifreleme); Clerk, Inc. kimlik doğrulama ve oturum yönetimi için (ABD; veri işleme sözleşmesi Avrupa Birliği–ABD Veri Gizliliği Çerçevesi'ne ve standart sözleşme hükümlerine dayanır; SOC 2 raporu); LiveKit, Inc. canlı ders sırasında ses ve görüntü akışı için (katılımcı kendisine en yakın sunucuya bağlanır, Avrupa'da Fransa ve Almanya sunucuları vardır; akış saklanmaz; hesap ve günlük kayıtlarını işleyen alt sağlayıcıları ABD'dedir; veri işleme sözleşmesi Veri Gizliliği Çerçevesi'ne ve standart sözleşme hükümlerine dayanır; SOC 2 raporu); Anthropic, PBC yapay zekâ üretimi ve analizi için (veriler ABD'de saklanır, çıkarım ABD, Avrupa, Asya ve Avustralya'daki seçili ülkelerde çalışabilir; girdi ve çıktılar model eğitiminde kullanılmaz ve sağlayıcı tarafından 30 gün içinde silinir; standart sözleşme hükümleri içeren veri işleme sözleşmesi; SOC 2 raporu ve ISO 27001 sertifikası); Vercel, Inc. uygulamanın barındırılması ve dağıtımı için (sunucu işlevleri Almanya'da, Frankfurt'ta çalışır; içerik dağıtım ağı küreseldir ve veri ABD'deki sağlayıcılara aktarılabilir; standart sözleşme hükümleri içeren veri işleme sözleşmesi; SOC 2 raporu ve ISO 27001 sertifikası). Bildirimlerin teslimi için Apple, Google ve Mozilla'nın tarayıcı bildirim servisleri kullanılır; bildirim içeriği uçtan uca şifreli iletilir ve servis içeriği okuyamaz. Ödeme kuruluşu PayTR (Türkiye) alt işleyen değildir; kart hamiline karşı ayrı bir veri sorumlusudur ve kart verisi Kerteriz'e ulaşmaz. Alt işleyen listesindeki bir değişiklik yürürlüğe girmeden önce bu sayfada duyurulur; kurum değişikliği kabul etmiyorsa aboneliğini yenilemeyerek sözleşmeden çekilebilir. Kerteriz, her alt işleyenle bir veri işleme sözleşmesi yapar.
Yurt dışına aktarım
Yukarıdaki alt işleyenler nedeniyle kişisel veriler yurt dışına aktarılır: veritabanı Avrupa Birliği'nde (İrlanda) tutulur, kimlik doğrulama verisi ABD'de tutulur, yapay zekâ verisi ABD'de saklanır, uygulamanın sunucu işlevleri Almanya'da (Frankfurt) çalışır; canlı derste katılımcı en yakın sunucuya bağlanır ve yapay zekâ çıkarımı ABD, Avrupa, Asya ve Avustralya'daki seçili ülkelerde çalışabilir. Aktarımın güvencesi, her alt işleyenle imzalanmış ve standart sözleşme hükümleri içeren veri işleme sözleşmeleridir; kurum bu aktarımlar hakkında ilgili kişileri aydınlatır ve Kerteriz aynı bilgiyi Aydınlatma Metni ile Gizlilik Politikası'nda açıkça yazar. Taraflar, 6698 sayılı Kişisel Verilerin Korunması Kanunu m.9 uyarınca gerekli olduğu hâllerde Kurul'un ilan ettiği standart sözleşmeyi imzalamayı üstlenir; Kerteriz, kendi taraf olduğu standart sözleşmeyi, imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirir ve kurumun kendi bildirimi için gereken bilgileri sağlar. Yapay zekâ işlevlerinde sağlayıcıya öğrencinin adı ve çalışma ölçümleri iletilir; e-posta adresi, iletişim bilgisi ve kimlik numarası iletilmez.
İlgili kişi başvurularında yardım
Öğrenci ve veliler haklarını kuruma başvurarak kullanır; kurum, başvuruyu 6698 sayılı Kişisel Verilerin Korunması Kanunu m.13 uyarınca en geç 30 gün içinde ücretsiz sonuçlandırır. Kerteriz'e doğrudan ulaşan öğrenci veya veli başvurusu ilgili kuruma yönlendirilir ve kurum bilgilendirilir. Kerteriz, kurumun bu süreye uyabilmesi için gereken bilgiyi ve yardımı sağlar. Silme talebi kurumun talimatı üzerine uygulanır: ilgili kişinin kimliği kayıtlarda «Silinmiş Kullanıcı» olarak anonimleştirilir, yazışma içerikleri «silme talebi üzerine kaldırıldı» notuyla değiştirilir, anketlerdeki serbest yanıtları kaldırılır, rapor bağlantıları iptal edilir ve veliyle paylaşılmış dondurulmuş raporlardaki adı karartılır. Kurumun kendi arşivi niteliğindeki eğitim kayıtları kimlikten koparılmış hâlde yerinde kalır; ödeme ve fatura kayıtları yasal saklamaya tabidir.
Veri ihlali
Kerteriz, kurumun verilerinin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğinde bunu kuruma gecikmeksizin bildirir; amaç, kurumun 6698 sayılı Kişisel Verilerin Korunması Kanunu m.12/5 ve Kurul'un 2019/10 sayılı kararı uyarınca Kurul'a en geç 72 saat içinde, ilgili kişilere de en kısa sürede bildirim yapabilmesidir. Bildirim, o an bilinen olguları, etkilenen veri ve kişi gruplarını ve alınan önlemleri içerir; sonradan öğrenilenler eklenerek iletilir. Kurul'a ve ilgili kişilere bildirimi veri sorumlusu olarak kurum yapar; Kerteriz'in veri sorumlusu olduğu hesap kayıtları için bildirimi Kerteriz kendisi yapar. Kerteriz, alt işleyenlerinden aldığı ihlal bildirimlerini de aynı usulle kuruma iletir.
Denetim ve bilgi
Kerteriz, kurumun yazılı talebi üzerine bu sözleşmedeki yükümlülüklerine uyumu göstermek için gereken bilgiyi verir: uygulanan tedbirlerin açıklaması, güncel alt işleyen listesi ve alt işleyenlerin Kerteriz'e sunduğu denetim raporlarının (SOC 2 gibi) özetleri. Alt işleyenlerin altyapısında yerinde denetim mümkün olmadığından denetim bu belgeler üzerinden yürütülür; kurum, mevzuatın zorunlu kıldığı bir denetimde Kerteriz'den makul yardım isteyebilir. Talepler Künye sayfasındaki başvuru adresi adresine yapılır.
Sona erme
Abonelik sona erdiğinde kurum hesabı salt okunur arşive dönüşür ve 12 ay bu hâlde kalır; kurum bu sürede verilerine okuma amacıyla erişebilir ve aboneliği yeniden başlatarak tam erişime dönebilir. Arşiv süresi dolmadan 30 gün önce kuruma bildirim yapılır; süre sonunda veriler silinir veya kimlikten koparılır ve imha kuruma bildirilir. Ödeme ve fatura kayıtları, 6102 sayılı Türk Ticaret Kanunu m.82 uyarınca 10 yıl saklanır ve bu imhanın dışındadır. Kurum, arşiv süresini beklemeden imha isteyebilir; talep Künye sayfasındaki başvuru adresi adresine yazılı olarak yapılır ve yasal saklama yükümlülüğüne tabi kayıtlar hariç yerine getirilir.
Sorumluluk
Her taraf, bu sözleşmeden ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndan doğan kendi yükümlülüklerini ihlal etmesinden sorumludur; güvenlik tedbirleri bakımından taraflar Kanun'un m.12'si gereği birlikte sorumludur ve aralarındaki paylaşımda kusur esas alınır. Kerteriz'in kuruma karşı bu sözleşmeden doğan toplam sorumluluğu, Kullanım ve Abonelik Sözleşmesi'ndeki sınıra, yani kurumun son 12 ayda ödediği ücrete tabidir; kurumun kendi talimatından, kullanıcılarının davranışından veya programa hukuka aykırı veri girilmesinden doğan zararlar kurumun sorumluluğundadır. Mücbir sebep hâlleri, sürdüğü süre boyunca her iki tarafı ifa yükümlülüğünden kurtarır. Uyuşmazlıklarda Türk hukuku uygulanır; taraflar tacir olduğundan 6100 sayılı Hukuk Muhakemeleri Kanunu m.17 uyarınca hizmet sağlayıcının merkezinin bulunduğu yer mahkemeleri ve icra daireleri yetkilidir.
Değişiklikler
Bu metin sürümlüdür; değiştiğinde yeni sürüm bu sayfada yayımlanır ve onaya bağlı metinlerde ilgili kişilere yeniden sunulur. Alt işleyen listesindeki değişiklikler de yürürlükten önce bu sayfada duyurulur. Kurumun aleyhine bir değişiklik önceden bildirilir, bir sonraki abonelik döneminden itibaren uygulanır ve kurum bu değişikliği kabul etmiyorsa aboneliğini yenilememe hakkına sahiptir; yürürlükteki dönem, dönem başında geçerli olan metne göre yürütülür.
Künye
Sürüm dpa-v1 · Yürürlük: 19.09.2026