KVKK Aydınlatma Metni

1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca kişisel veriler, veri sorumlusu sıfatıyla EXERT Bilgisayar Teknolojileri Yazılım Limited Şirketi (TAN İş Merkezi, Arabacıalanı Mah. Çark Cad. Papatya Sk. No:107, 54050 Serdivan / Sakarya; Merkezi Sicil Kayıt Sistemi numarası [[EKSİK: MERSİS numarası]]; e-posta [email protected]; telefon +90 264 502 01 41) tarafından aşağıda açıklanan kapsamda işlenir.

Bu metin, KVKK’nın 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır. hedefspl.com ve bağlı uygulamalarda sunulan Hedef SPL hizmetinin (“Hizmet”) kullanıcıları (“Kullanıcı”) için geçerlidir.

2. İşlenen kişisel veriler

Hizmet kapsamında aşağıdaki veri kategorileri işlenir:

• Kimlik ve iletişim: ad, e-posta adresi; isteğe bağlı olarak hedef sınav ve sınav tarihi.
• Hesap güvenliği: parolanın tek yönlü özeti (parolanın kendisi saklanmaz), oturum ve yenileme belirteçleri, e-posta doğrulama ve parola sıfırlama belirteçleri.
• Google ile giriş seçilirse: Google’ın ilettiği hesap kimliği, ad ve doğrulanmış e-posta adresi. Google parolası Hedef SPL’ye ulaşmaz.
• Öğrenme verileri: verilen cevaplar ve doğruluğu, yanıt süreleri, tamamlanan ders ve üniteler, kazanım ustalık düzeyleri, tekrar takvimi, deneyim puanı (XP), seviye, seri (art arda çalışılan günler), günlük ve haftalık hedefler, deneme sınavı sonuçları, rozetler.
• Arkadaş özelliği: istek gönderilen kişinin e-posta adresi; istek kabul edilince arkadaşlar karşılıklı olarak birbirinin adını, serisini ve haftalık XP’sini görür. Özellik yalnız Kullanıcı başlatırsa işler.
• Ödeme ve fatura: fatura adı ya da unvanı, isteğe bağlı Türkiye Cumhuriyeti Kimlik Numarası (TCKN) ya da Vergi Kimlik Numarası (VKN), fatura adresi, fatura e-postası, seçilen plan, tutar, sipariş numarası, ödeme durumu ve bankanın ilettiği işlem referansı. Kart numarası, son kullanma tarihi ve güvenlik kodu bankanın sayfasında girilir; Hedef SPL bu bilgileri almaz ve saklamaz.
• İşlem ve güvenlik kayıtları: internet bağlantı (IP) adresi, tarayıcı ve cihaz türü, giriş ve işlem zamanları, hata kayıtları.
• Onay kayıtları: kabul edilen hukuki metnin türü ve sürümü, onay zamanı, IP adresi ve bağlam (kayıt ya da ödeme).
• Tercihler: tema, ses ve titreşim gibi görünüm tercihleri yalnız cihazda (tarayıcı depolamasında) tutulur, sunucuya gönderilmez. Sesli anlatım ve haftalık hedef gibi hesaba bağlı tercihler sunucuda saklanır.
• Destek yazışmaları: [email protected] adresine gönderilen iletiler ve ekleri.

Sağlık, din, biyometri gibi özel nitelikli kişisel veriler istenmez ve işlenmez.

3. İşleme amaçları

Kişisel veriler şu amaçlarla işlenir:

• Hesabın açılması, kimliğin doğrulanması ve oturumun yönetilmesi.
• Derslerin, tekrarların, pratiklerin ve denemelerin sunulması; ilerlemenin kaydedilmesi; tekrar takviminin, ustalığın ve XP’nin hesaplanması (kişiye uyarlanmış öğrenme deneyimi).
• Ücretsiz katman sınırlarının ve Premium üyelik yetkisinin uygulanması.
• Ödemelerin alınması, faturanın düzenlenip e-posta ile iletilmesi, iade ve itirazların yönetilmesi.
• Hizmet e-postaları: e-posta doğrulama, parola sıfırlama, ödeme onayı, üyelik bitişine 7 ve 1 gün kala hatırlatma.
• Arkadaş özelliğinin çalıştırılması (Kullanıcı başlatırsa).
• Güvenlik: hesabın korunması, hile ve kötüye kullanımın önlenmesi, hataların bulunup giderilmesi.
• Yasal yükümlülükler: vergi ve ticaret mevzuatı gereği kayıt saklama; 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamındaki trafik kayıtları; yetkili makam taleplerinin yerine getirilmesi.
• Hizmetin geliştirilmesi: kullanım istatistiklerinin toplu ve kimliksizleştirilmiş biçimde değerlendirilmesi (örneğin hangi soruların zor bulunduğu).
• Destek taleplerinin yanıtlanması.
• Tanıtım amaçlı ticari elektronik ileti gönderimi; yalnız 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca ayrıca onay verilirse.

4. Hukuki sebepler

Veriler, KVKK’nın 5. maddesindeki şu hukuki sebeplere dayanılarak işlenir:

• Bir sözleşmenin kurulması ya da ifası için gerekli olması (m.5/2-c): hesap, öğrenme verileri, Premium üyelik, ödeme ve fatura, hizmet e-postaları, arkadaş özelliği.
• Hukuki yükümlülüğün yerine getirilmesi (m.5/2-ç): fatura ve ödeme kayıtlarının saklanması, trafik kayıtları, onay kayıtları, yetkili makam talepleri.
• Bir hakkın tesisi, kullanılması ya da korunması (m.5/2-e): uyuşmazlık halinde onay ve işlem kayıtları.
• Meşru menfaat (m.5/2-f): güvenlik, hile önleme, hata giderme ve kimliksizleştirilmiş istatistik; Kullanıcı’nın temel hak ve özgürlüklerine zarar vermemek kaydıyla.
• Açık rıza (m.5/1): tanıtım iletileri ve, gerekli olduğu ölçüde, yurt dışına aktarım (6. bölüm). Açık rıza her zaman geri alınabilir; geri alma, önceki işlemlerin hukuka uygunluğunu etkilemez.

5. Toplama yöntemi

Veriler; kayıt, profil, ödeme ve arkadaş formları aracılığıyla doğrudan Kullanıcı’dan; Hizmetin kullanımı sırasında otomatik olarak (cevaplar, süreler, işlem kayıtları); Google ile giriş seçilirse Google’dan; ödeme sonucunu bildiren banka mesajlarından elektronik ortamda toplanır.

6. Aktarım

Kişisel veriler, amaçla sınırlı olarak ve yalnız gerektiği ölçüde aşağıdaki alıcı gruplarına aktarılır:

• Barındırma: Hizmetin sunucusu ve veri tabanı, Contabo GmbH’den kiralanan ve Avrupa Birliği içinde (Fransa) bulunan tek bir sunucuda çalışır. Sunucuyu yalnız Satıcı yönetir; barındırma sağlayıcısı veri işleyen sıfatıyla yalnız altyapı sunar. Bu nedenle hesap, öğrenme ve ödeme kayıtları dâhil kişisel veriler yurt dışında saklanır. [LEGAL-REVIEW: KVKK m.9 uyarınca yurt dışına aktarımın dayanağı (standart sözleşme ve Kişisel Verileri Koruma Kurumu’na bildirim ya da sunucunun Türkiye’ye taşınması) hukukçu tarafından belirlenecek.]
• Cloudflare: hedefspl.com alan adı, içerik dağıtımı ve saldırı koruması için Cloudflare, Inc. hizmetlerini kullanır. Trafik Cloudflare’in dünya genelindeki sunucularından geçer; bu nedenle IP adresi ve bağlantı bilgilerinin yurt dışına aktarımı söz konusu olabilir. [LEGAL-REVIEW: Aktarımın KVKK m.9 kapsamındaki dayanağı (yeterlilik kararı, standart sözleşme ya da açık rıza) hukukçu tarafından belirlenecek; gerekiyorsa Kişisel Verileri Koruma Kurumu’na bildirim yapılacak.]
• Garanti BBVA: ödeme, Türkiye Garanti Bankası A.Ş. (Garanti BBVA) Sanal POS ve 3D Secure altyapısıyla bankanın sayfasında alınır. Kart bilgileri doğrudan bankaya verilir; Hedef SPL bankaya sipariş numarası ve tutarı iletir, bankadan işlem sonucunu ve referansını alır. Banka, kart verileri bakımından ayrı bir veri sorumlusudur.
• E-posta gönderimi: hizmet e-postaları Satıcı’nın kendi posta sunucusu (barındırma ile aynı altyapı) üzerinden gönderilir; sağlayıcı alıcı adresini ve ileti içeriğini yalnız iletim amacıyla işler.
• Google: yalnız “Google ile giriş” seçilirse, kimlik doğrulama amacıyla Google LLC ile veri alışverişi olur; Google’ın kendi gizlilik politikası geçerlidir. Google betiği sayfa açılırken değil, Kullanıcı düğmeye tıklayınca yüklenir.
• Mali müşavir ve denetçiler: fatura ve muhasebe kayıtları yasal yükümlülükler için paylaşılır.
• Yetkili kurum ve kuruluşlar: mahkemeler, savcılıklar, vergi idaresi ve diğer kamu makamlarına yalnız yasal talep halinde.
• Arkadaşlar: Kullanıcı’nın kabul ettiği arkadaşları, Kullanıcı’nın adını, serisini ve haftalık XP’sini görür.

Bunların dışında kişisel veriler satılmaz, kiralanmaz ya da reklam amacıyla üçüncü kişilerle paylaşılmaz. Kullanıcı verileri Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşu (SPL), Sermaye Piyasası Kurulu (SPK) ya da başka bir kurumla paylaşılmaz.

7. Saklama süreleri

• Hesap ve öğrenme verileri: hesap açık kaldığı sürece. Hesap kapatma talebinden sonra en geç 30 gün içinde silinir ya da kimliksizleştirilir; yasal saklama yükümlülüğü bulunan kayıtlar istisnadır.
• Fatura, ödeme ve abonelik kayıtları: 213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu uyarınca 10 yıl.
• Onay kayıtları ve onaylanan sözleşme sürümleri: sözleşme ilişkisinin sona ermesinden itibaren 10 yıl (6098 sayılı Türk Borçlar Kanunu’ndaki genel zamanaşımı süresi).
• Trafik ve işlem kayıtları (IP adresi, zaman): 5651 sayılı Kanun ve ilgili yönetmelik uyarınca en az 1, en fazla 2 yıl.
• E-posta doğrulama ve parola sıfırlama belirteçleri: kullanılınca ya da süresi dolunca silinir. Yenileme belirteçleri çıkış yapılınca ya da en geç 30 gün sonra geçersiz olur.
• Destek yazışmaları: talebin kapanmasından itibaren 2 yıl.
• Süre sonunda veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak silinir, yok edilir ya da anonim hale getirilir.

8. İlgili kişinin hakları

Kullanıcı, KVKK’nın 11. maddesi uyarınca veri sorumlusuna başvurarak:

• kişisel verilerinin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik ya da yanlış işlenmişse düzeltilmesini isteme,
• KVKK’nın 7. maddesindeki şartlar çerçevesinde silinmesini ya da yok edilmesini isteme,
• düzeltme, silme ve yok etme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• yalnız otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• kanuna aykırı işleme nedeniyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak kayıtlı e-posta adresinden [email protected] adresine ya da yazılı olarak TAN İş Merkezi, Arabacıalanı Mah. Çark Cad. Papatya Sk. No:107, 54050 Serdivan / Sakarya adresine yapılabilir. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır; işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarifesi uygulanır.

Başvuru reddedilir, yanıt yetersiz bulunur ya da süresinde yanıt verilmezse Kullanıcı, yanıtı öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir.

Tekrar takvimi, ustalık ve XP hesapları otomatik yapılır; ancak bu hesaplar Kullanıcı aleyhine hukuki sonuç doğuran bir karar içermez.

9. Veri güvenliği

Parolalar tek yönlü özet olarak saklanır; iletişim Taşıma Katmanı Güvenliği (TLS) ile şifrelenir; yenileme belirteci yalnız tarayıcı betiklerinin okuyamadığı bir çerezde tutulur; sunucuya erişim yetkili kişilerle sınırlıdır ve kayıt altındadır; düzenli yedekleme yapılır.

Bir veri ihlali halinde KVKK’nın 12. maddesi uyarınca Kişisel Verileri Koruma Kurulu’na ve etkilenen Kullanıcılara en kısa sürede (Kurul kararı uyarınca 72 saat içinde) bildirim yapılır.

10. Çocuklar

Hizmet 18 yaşını doldurmuş kişilere yöneliktir. 18 yaşından küçük bir kişinin veli ya da yasal temsilci onayı olmadan kayıt olduğu anlaşılırsa hesap kapatılır ve veriler silinir.

11. Çerezler

Hedef SPL yalnız oturum için zorunlu bir çerez ve cihazda tutulan tercih kayıtları kullanır; reklam ya da izleme çerezi yoktur. Ayrıntılar Çerez Politikası’nda açıklanır.

12. Değişiklikler

Bu metin güncellenebilir. Her sürüm bir sürüm numarası ve güncelleme tarihi taşır; güncel metin hedefspl.com/hukuk adresinde yayımlanır. İşlenen veri kategorilerini ya da amaçları genişleten değişiklikler Kullanıcılara e-posta ile ya da uygulama içinde duyurulur.

13. Bağımsızlık notu

Hedef SPL bağımsız bir çalışma uygulamasıdır; Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşu (SPL) ile bağlantısı yoktur ve sınav başarısı garantisi vermez.