6698 Sayılı Kişisel Verilerin Korunması Kanunu Kapsamında Aydınlatma Yükümlülüğü
İşbu Aydınlatma Metni, Kreshim mobil uygulaması ("Uygulama") aracılığıyla işlenen kişisel verilerinize ilişkin olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında sizleri bilgilendirmek amacıyla hazırlanmıştır.
Kreshim, kreşler ve anaokulları için geliştirilmiş kapalı devre bir dijital yönetim platformudur. Uygulama; günlük eğitim akışı, beslenme takibi, uyku düzeni izleme, medya galeri paylaşımı, duyuru yönetimi ve veli-kurum iletişimi gibi hizmetleri sunmaktadır.
Önemli: Kreshim uygulaması, kurumların (kreş ve anaokulları) veli, öğrenci ve öğretmen verilerini yönetebilmeleri için bir yazılım altyapısı sağlamaktadır. Bu kapsamda:
Uygulamayı kullanarak kişisel verileri toplayan, işleme amacını ve vasıtalarını belirleyen eğitim kurumu (kreş/anaokulu), KVKK'nın 3. maddesi uyarınca "Veri Sorumlusu" sıfatını taşımaktadır. Her kurum, kendi bünyesinde işlenen kişisel veriler bakımından münferiden Veri Sorumlusudur.
Karsh Soft (Ankara, Türkiye), uygulamanın geliştiricisi ve teknik altyapı sağlayıcısı olarak, eğitim kurumlarının talimatları doğrultusunda kişisel verileri barındırmak ve işlemek üzere "Veri İşleyen" statüsündedir. Karsh Soft, sisteme yüklenen kişisel verileri kendi ticari amaçları (hedefli reklamcılık, veri madenciliği, profil çıkarma veya üçüncü taraflara veri satışı) için kesinlikle kullanmaz.
Uygulamayı kullanan veliler ve öğretmenler açısından kişisel verilerin işlenmesine ilişkin muhatap, yazılım şirketi değil, doğrudan kayıtlı olunan eğitim kurumudur. Uygulama, yalnızca teknik bir altyapı sağlayıcısı ("köprü") hükmündedir.
Uygulama kapsamında aşağıdaki kişisel veri kategorileri işlenmektedir:
| Veri Kategorisi | İşlenen Veriler | Veri Sahibi |
|---|---|---|
| Kimlik Verileri | Ad, soyad, doğum tarihi, cinsiyet | Veli, Öğrenci, Öğretmen |
| Kimlik Doğrulama Verileri | E-posta adresi; Google veya Apple kimlik doğrulama profili (OAuth ile giriş tercih edildiğinde) | Tüm Kullanıcılar |
| İletişim Verileri | E-posta adresi, telefon numarası | Veli, Öğretmen |
| Eğitim ve Gelişim Verileri | Sınıf bilgisi, giriş-çıkış saatleri, uyku süreleri, beslenme durumu, ruh hali, öğretmen notları | Öğrenci |
| Görsel ve İşitsel Veriler | Fotoğraf ve video içerikleri | Öğrenci, Öğretmen |
| Aile Yapısı Verileri | Yakınlık derecesi (anne, baba, vasi vb.) | Veli |
| İşlem Güvenliği Verileri | Kimlik doğrulama tanımlayıcısı, bildirim tokenı, giriş tarihleri, sistem logları | Tüm Kullanıcılar |
Kişisel verileriniz, KVKK'nın 5. ve 6. maddeleri kapsamında aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:
| Veri / Koleksiyon | Veri Kategorisi | KVKK Hukuki Dayanağı | Arayüz Aksiyonu |
|---|---|---|---|
| E-posta, Ad-Soyad | Kimlik, İletişim | Madde 5/2-c — Sözleşmenin İfası | Sadece Aydınlatma |
| Google / Apple OAuth ile giriş | Kimlik Doğrulama | Madde 5/2-c — Sözleşmenin İfası | Kullanıcı tercihiyle (OAuth) |
| Öğrenci (Ad, Doğum Tarihi) | Kimlik | Madde 5/2-c — Sözleşmenin İfası | Sadece Aydınlatma |
| Bildirim Tokenı | İşlem Güvenliği | Madde 5/2-f — Meşru Menfaat | Sadece Aydınlatma |
| Telefon, Yakınlık Derecesi | İletişim, Aile Durumu | Madde 5/2-c — Sözleşmenin İfası | Sadece Aydınlatma |
| Fotoğraf ve Video | Görsel Veriler | Madde 6 — Açık Rıza Gerekli | Uygulama dışında kurumca alınır |
Uygulama üzerinden kaydedilen günlük eğitim akışı verileri (giriş-çıkış saatleri, beslenme durumu, uyku süreleri, ruh hali ve öğretmen notları), KVKK kapsamında "sağlık verisi" olarak nitelendirilmez. Bu veriler, eğitim bilimleri literatüründe "gelişim gözlem formu" veya "günlük eğitim akışı kayıtları" olarak değerlendirilmektedir.
Milli Eğitim Bakanlığı ve Aile ve Sosyal Hizmetler Bakanlığı'nın Özel Kreş ve Gündüz Bakımevleri Yönetmeliği uyarınca, kurumların çocuklara verilen yemeklerin, günlük etkinliklerin ve gelişim düzeylerinin kayıtlarını tutması ve denetimlerde ibraz etmek üzere saklaması kanuni bir zorunluluktur.
| Günlük Akış Alanı | Verinin Hukuki Niteliği | Dayanak ve İşleme Şartı | Onay Gereksinimi |
|---|---|---|---|
| Giriş-Çıkış (Yoklama) | İşlem Bilgisi / Devam | Mevzuat Zorunluluğu (Md. 5/2-a) | Rıza gerekmez |
| Beslenme (Öğün Takibi) | Gelişim / Gözlem Verisi | Kurum Yükümlülüğü (Md. 5/2-ç) | Rıza gerekmez |
| Uyku (Süre Takibi) | Gelişim / Gözlem Verisi | Kurum Yükümlülüğü (Md. 5/2-ç) | Rıza gerekmez |
| Ruh Hali ve Not | Gelişim / Gözlem Verisi | Eğitim Sözleşmesi İfası (Md. 5/2-c) | Rıza gerekmez |
Bu nedenle, günlük eğitim akışı verilerinin sisteme girilmesi için velilerden ayrı bir açık rıza alınmamaktadır. Verilerin işleneceği bilgisi işbu Aydınlatma Metni ile bildirilmektedir.
Çocuğun fotoğrafı veya videosu, doğrudan kimliğini açığa çıkaran spesifik bir kişisel veridir. Kapalı devre bir uygulama olsa dahi, diğer velilerin erişimine açık şekilde paylaşılması çocuğun özel hayatının gizliliğine müdahale potansiyeli taşımaktadır.
Açık Rıza Zorunluluğu: KVKK Madde 6 uyarınca, çocuklara ait görsel içeriklerin (fotoğraf ve video) sınıf galerisinde paylaşılması için, velayet hakkına sahip ebeveynin açık rızası zorunludur. Bu rıza, "sözleşmenin ifası" veya "meşru menfaat" istisnalarına dayandırılamaz. Bu açık rıza, uygulama üzerinden değil; eğitim kurumu ile veli arasında, uygulama dışında alınır. Açık rızanın alınması, belgelenmesi ve saklanması yalnızca veri sorumlusu sıfatıyla eğitim kurumunun sorumluluğundadır; teknik altyapı sağlayıcısının (Veri İşleyen) bu kapsamda herhangi bir sorumluluğu bulunmamaktadır.
Tüm görsel ve işitsel medya içerikleri, yükleme tarihinden itibaren 30 gün sonra otomatik olarak hem veri tabanından hem de bulut depolama alanından kalıcı biçimde silinir. Bu süreç, insan müdahalesi gerektirmeksizin otomatik bir bulut fonksiyonu ile yürütülür ve KVKK'nın "veri minimizasyonu" ilkesiyle birebir örtüşmektedir.
Uygulama, teknik altyapı olarak bulut tabanlı hizmetler (veri tabanı, bulut depolama, kimlik doğrulama, bulut fonksiyonları) kullanmaktadır. Bu hizmetler, küresel altyapıları gereği verileri Avrupa Birliği veya Amerika Birleşik Devletleri bünyesindeki sunucularda barındırabilmektedir.
Yurt dışına veri aktarımı, 7499 sayılı Kanun ile değişik KVKK'nın 9. maddesi kapsamında yürütülmektedir. 1 Haziran 2024 tarihinde yürürlüğe giren bu düzenleme uyarınca yurt dışı aktarımlar; Kişisel Verileri Koruma Kurulu tarafından ilan edilen yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara ya da yeterlilik kararı bulunmaması hâlinde KVKK md. 9/4'te sayılan uygun güvencelerden birine dayanılarak gerçekleştirilebilmektedir.
Kreshim altyapısında yurt dışı aktarım, KVKK md. 9/4-ç kapsamında, Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşme güvencesine ve bulut altyapı sağlayıcısının taahhüt ettiği sözleşmesel veri koruma yükümlülüklerine (veri işleme ek koşulları, Standard Contractual Clauses) dayanılarak yürütülür. Standart sözleşmenin imzalanmasını takiben beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirim yükümlülüğü ilgili veri sorumlusu/veri işleyen tarafından yerine getirilir.
Aktarıma konu veriler; aktarım sırasında TLS/SSL, depolama sırasında AES-256 şifreleme ile korunur. Kayıt sırasında kullanıcılara işbu Aydınlatma Metni aracılığıyla, kişisel verilerin yurt dışındaki bulut altyapısında barındırıldığı bilgisi açıkça sunulmaktadır.
Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmektedir:
| Veri Kategorisi | İlgili Mevzuat | Saklama Süresi | Süre Sonrası İşlem |
|---|---|---|---|
| Günlük Akış Kayıtları (giriş-çıkış, yoklama, beslenme, uyku, gözlem notu) | KVKK Veri Minimizasyonu İlkesi | Kayıt tarihinden itibaren 1 yıl | Otomatik kalıcı silme |
| Sistem Log (Erişim) Kayıtları | 5651 Sayılı Kanun, KVKK Teknik Tedbirleri | İşlem tarihinden itibaren 2 yıl | Otomatik imha |
| Görsel/Medya İçerikleri | KVKK Veri Minimizasyonu İlkesi | Yükleme tarihinden itibaren 30 gün | Otomatik kalıcı silme |
| Yemek Menüleri | Özel Kreş ve Gündüz Bakımevleri Yönetmeliği | İşlem yılından itibaren 2 yıl | Otomatik silme |
KVKK'nın 11. maddesi uyarınca, kişisel verilerinize ilişkin aşağıdaki haklara sahipsiniz:
Başvuru Yönlendirmesi: Yukarıdaki haklarınıza ilişkin taleplerinizi, KVKK'nın "Veri Sorumlusu" olarak tanımladığı kayıtlı olduğunuz eğitim kurumuna (kreş/anaokulu) yöneltmeniz gerekmektedir. Teknik altyapı sağlayıcısı olarak Karsh Soft, kurumun talebi doğrultusunda gerekli teknik desteği sağlayacaktır.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvurular; yazılı olarak, kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da veri sorumlusuna daha önce bildirilen ve sistemde kayıtlı bulunan elektronik posta adresi üzerinden iletilebilir. Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret talep edilebilir.
KVKK'nın 13. ve 14. maddeleri uyarınca; başvurunuzun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde, cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır.
Teknik altyapı sağlayıcısı (Veri İşleyen) iletişim bilgileri:
Kişisel verilerinizin işlenmesine ilişkin Veri Sorumlusu başvuruları için lütfen kayıtlı olduğunuz eğitim kurumu ile iletişime geçiniz.