Gizlilik Politikası

Son güncelleme: 17 Mayıs 2026

kooza Eğitim olarak ("biz", "kooza"), 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 10 kapsamındaki aydınlatma yükümlülüğümüzü ve AB Genel Veri Koruma Tüzüğü (GDPR) ilkelerini esas alarak, kişisel verilerinizi nasıl işlediğimizi şeffaf biçimde açıklarız.

1. Veri Sorumlusu ve İletişim

Bu metin kapsamında veri sorumlusu kooza Eğitim'dir. Başvurularınızı [email protected] adresine iletebilirsiniz.

2. Veri Sorumlusu / İşleyen Ayrımı

Kurum kullanıcıları için kooza Eğitim, kurumun adına Hizmeti yürüten veri işleyendir. Veri sorumlusu, öğrenci/veli bilgilerini sisteme giren eğitim kurumudur.
Hesap sahibi yöneticiler ile ilgili (e-posta, telefon, IP) verilerde kooza Eğitim doğrudan veri sorumlusu sıfatıyla hareket eder.

3. İşlenen Kişisel Veri Kategorileri

Kimlik: Ad-soyad, doğum tarihi, T.C. kimlik no (opsiyonel).
İletişim: E-posta, telefon, adres, veli iletişim bilgileri.
Eğitim verisi: Yoklama, sınav sonuçları, notlar, günlük raporlar.
Finansal: Tahsilat planları, ödeme kayıtları, bordro bilgileri.
Teknik: IP adresi, tarayıcı ve cihaz bilgisi, oturum çerezleri.
İşitsel/Görsel (opsiyonel): Yüklenen profil fotoğrafları ve dosyalar.

4. İşleme Amaçları ve Hukuki Sebepler

Hizmetin sunulması, hesap yönetimi, kimlik doğrulama — KVKK md.5/2(c) sözleşmenin kurulması ve ifası.
Yasal yükümlülüklerin yerine getirilmesi (e-fatura, vergi, bordro) — KVKK md.5/2(ç).
Güvenlik, denetim, hata teşhisi, dolandırıcılığın önlenmesi — KVKK md.5/2(f) meşru menfaat.
İsteğe bağlı pazarlama iletişimi — KVKK md.5/1 açık rıza (istediğiniz an geri alabilirsiniz).

5. Veri Aktarımı (Yurt İçi / Yurt Dışı)

Verileriniz Hizmetin sunulması için aşağıdaki kategoriler dışında üçüncü kişilerle paylaşılmaz:

Bulut barındırma (Vercel/AWS — AB & ABD bölgeleri).
E-posta gönderimi (Resend — AB bölgesi).
SMS ve WhatsApp Business sağlayıcıları.
Ödeme altyapıları (iyzico/Stripe — PCI DSS uyumlu).
Hata izleme: Sentry (yalnızca DSN tanımlı kurumlar için).

Yurt dışına aktarım, Kişisel Verileri Koruma Kurulu'nun belirlediği yeterlilik kararları veya standart sözleşme şartları çerçevesinde yapılır.

6. Saklama Süreleri

Aktif hesap verisi: hesap aktif olduğu sürece.
Hesap kapatma sonrası: 30 gün dışa aktarma penceresi, ardından silme/anonimleştirme.
Finansal kayıtlar: 10 yıl (VUK md. 253).
Güvenlik logları: 12 ay.

7. Çerezler

Yalnızca oturum yönetimi ve güvenlik için zorunlu çerezler kullanılır. Analitik veya pazarlama amaçlı üçüncü taraf çerez kullanmıyoruz. Çerez tercihlerinizi platform üzerindeki bildirim çubuğundan düzenleyebilirsiniz.

8. Veri Güvenliği

HTTPS/TLS 1.2+ ile uçtan uca taşıma şifrelemesi.
Şifreler bcrypt ile hash'lenir; düz metin saklanmaz.
Çok kiracılı (multi-tenant) izolasyon — Prisma seviyesinde tenant guard.
Rol bazlı erişim (RBAC), denetim logları (AuditLog).
Düzenli yedekleme; coğrafi olarak ayrı snapshot'lar.

9. KVKK Madde 11 Kapsamındaki Haklarınız

İlgili kişi olarak şu haklara sahipsiniz:

Kişisel verinizin işlenip işlenmediğini öğrenme,
Amaç, kategori ve üçüncü kişilere aktarım hakkında bilgi talep etme,
Düzeltme, silme veya anonimleştirme isteme,
İşlemeye itiraz etme ve veri taşınabilirliği talep etme,
Otomatik karar verme süreçlerine itiraz etme.

Taleplerinizi [email protected] adresine ileterek 30 gün içinde yanıtlanmasını sağlayabilirsiniz.

10. GDPR Kapsamında Ek Haklar

AB'de yerleşik kullanıcılar için GDPR Madde 12-23 kapsamındaki haklar (erişim, düzeltme, silme, işlemeyi sınırlama, taşınabilirlik, itiraz) aynen geçerlidir. Şikayet için ülke denetleme otoritenize başvurabilirsiniz.

11. Çocukların Verileri

Hizmet, eğitim kurumları tarafından öğrenci verisi yönetimi için kullanılır. Reşit olmayan öğrencilerin verileri, kurumun aldığı veli rızası ile işlenir. Veli, çocuk hesabıyla ilgili tüm KVKK haklarını kullanabilir.

12. Politika Güncellemeleri

Bu politika güncellendiğinde "Son güncelleme" tarihini değiştirir, önemli değişiklikleri kurum yöneticisine e-posta ile bildiririz.