Veri İşleme Sözleşmesi

Veri Sorumlusu, öğrencilerinin, velilerinin ve çalışanlarının kişisel verilerini Sezar'a girer. Sezar bu verileri yalnız Veri Sorumlusu adına, onun talimatıyla ve hizmeti sunmak amacıyla işler.

Verilerin hangi amaçla ve hangi hukuki sebeple işleneceğine Veri Sorumlusu karar verir. Aydınlatma yükümlülüğü, gereken hâllerde açık rıza alınması ve ilgili kişi başvurularının cevaplanması Veri Sorumlusuna aittir; Sezar bu konularda teknik destek verir.

• Kimlik ve iletişim: öğrencinin, velinin/yakının ve çalışanların adı soyadı, telefonu, e-postası, adresi, doğum tarihi, okulu, acil durumda aranacak kişi.
• Eğitim süreci: kayıtlar, branş ve gruplar, ders programı, yoklama, ders notu ve ödevler, telafi hakları, deneme dersleri.
• Finans: ücretler, borç ve tahsilat hareketleri, makbuzlar, eğitmen hakedişleri ve IBAN, giderler.
• Özel nitelikli veri: işletme tarafından girilmesi hâlinde sağlık notu (şifreli saklanır, yalnız yetkili kullanıcılar görür).
• Belgeler: işletmenin yüklediği dosyalar (sözleşme, kimlik fotokopisi, sağlık raporu vb.).
• İletişim kayıtları: işletmenin gönderdiği SMS, e-posta ve uygulama bildirimlerinin içerik ve teslim günlüğü.
• Kullanım ve güvenlik kayıtları: kullanıcıların oturum, IP adresi, tarayıcı bilgisi ve kayıtlar üzerinde yaptıkları değişikliklerin denetim kaydı.
• İşletmenin kendi tanımladığı ek alanlara girdiği bilgiler.

• Öğrenciler ve aday öğrenciler (reşit olmayanlar dahil)
• Veliler ve diğer yakınlar
• Eğitmenler ve diğer çalışanlar
• Panel ve veli portalı kullanıcıları

• Verileri yalnız Veri Sorumlusunun belgelenmiş talimatları (panelde yapılan işlemler ve ayarlar dahil) doğrultusunda işlemek; kendi amaçları için kullanmamak.
• Verilere erişen personeline gizlilik yükümlülüğü getirmek ve erişimi işin gerektirdiği kişilerle sınırlamak.
• KVKK m. 12'de öngörülen teknik ve idari tedbirleri almak (5. madde).
• Bir veri ihlalini öğrendiğinde Veri Sorumlusuna gecikmeksizin ve en geç 24 saat içinde bildirmek; ihlalin kapsamı, etkilenen veri ve kişiler ile alınan önlemler hakkında bilgi vermek. Kurula 72 saat içinde bildirim Veri Sorumlusunun yükümlülüğüdür; Sezar bunun için gereken bilgileri sağlar.
• İlgili kişi başvurularında (KVKK m. 11) ve Kurul incelemelerinde Veri Sorumlusuna makul destek vermek; dışa aktarma araçlarını sunmak.
• Sözleşme sona erince 11. maddeye göre verileri iade etmek ve silmek.

• Veriler Türkiye'deki sunucuda tutulur; iletişim https ile şifrelenir.
• Her işletmenin verisi veritabanı düzeyinde ayrılmıştır (satır düzeyi güvenlik); bir işletmenin kullanıcısı başka işletmenin verisine erişemez.
• Rol ve yetki sistemi; şube ve kayıt bazında erişim sınırı; sağlık notu gibi hassas alanlar ayrıca yetkiye bağlıdır ve şifreli saklanır.
• Parola politikası, iki adımlı doğrulama, başarısız girişlerde kilitleme, istek sınırlama.
• Kayıtlar üzerindeki değişikliklerin ve hassas verinin görüntülenmesinin denetim kaydı; finans hareketleri silinemez, düzeltme kaydıyla değiştirilir.
• Günlük şifreli yedek ve yedeğin geri okunarak doğrulanması; yedekler 14 gün saklanır.
• Güvenlik olaylarının izlenmesi ve veri ihlali kayıt ekranı.
• Yazılım bağımlılıklarının düzenli güvenlik taraması.

Sezar hizmeti sunarken aşağıdaki hizmet sağlayıcılarından yararlanır. Yeni bir alt veri işleyen eklenmeden en az 15 gün önce Veri Sorumlusuna bildirilir; Veri Sorumlusu haklı bir gerekçeyle itiraz edebilir.

• Sunucu ve veri merkezi: BirSunucum İnternet ve Bilişim Hizmetleri, İstanbul (DataCasa) / Türkiye. Tüm veriler burada tutulur.
• Sistem e-postası: Google LLC (Gmail), ABD. Yalnız hesap e-postaları (parola sıfırlama, kayıt bağlantısı, hoş geldiniz) bu sağlayıcı üzerinden gönderilir; kapsamı alıcının e-posta adresi ve iletinin metnidir.
• Veri Sorumlusunun kendi bağladığı SMS, e-posta ve WhatsApp hesapları Sezar'ın alt işleyeni değildir; bunlar Veri Sorumlusunun kendi sağlayıcılarıdır (Hizmet Sözleşmesi m. 7).

Kişisel veriler Türkiye'deki sunucuda tutulur. Sistem e-postası sağlayıcısının yurt dışında bulunması hâlinde bu aktarım yalnız 6. maddedeki hesap e-postalarıyla sınırlıdır ve KVKK m. 9'a uygun güvencelerle yapılır. Sezar, bu sağlayıcıyı Türkiye'de yerleşik bir sağlayıcıyla değiştirme hakkını saklı tutar.

Sağlık notu gibi özel nitelikli verileri girmeye karar veren Veri Sorumlusudur; gereken açık rızayı almak ona aittir. Sezar bu alanı şifreli saklar, ayrıca yetkiye bağlar ve veli bilgi formunda açık rıza onayını kaydeden bir araç sunar.

Reşit olmayan öğrencilere ait veriler veli ya da vasi aracılığıyla toplanmalıdır.

Veri Sorumlusu, bu sözleşmeye uyumu belgelemek için makul aralıklarla yazılı bilgi isteyebilir. Yerinde denetim, önceden kararlaştırılan tarihte, hizmeti ve diğer müşterilerin verisini etkilemeyecek şekilde yapılır.

Sezar verileri sözleşme süresince saklar. Denetim ve güvenlik kayıtları, güvenlik ve ispat amacıyla sınırlı süre tutulur (ör. giriş denemeleri 180 gün). Yedekler 14 gün saklanır.

Sözleşme sona erince Veri Sorumlusu 30 gün içinde verilerini dışa aktarabilir. Bu süre dolunca ya da yazılı talep üzerine Sezar verileri canlı sistemden siler; yedeklerdeki kopyalar en geç 14 gün içinde kendiliğinden silinir. Sezar silme işlemini yazılı olarak teyit eder.

Kişisel verilere ilişkin konularda bu sözleşme Hizmet Sözleşmesi'ne göre önceliklidir.