Gizlilik politikası ve KVKK aydınlatma metni

Kısaca

• Hesap açmadan kullanırsan planın, görevlerin ve denemelerin yalnız kendi cihazında kalır; sunucumuza gönderilmez.
• Hesap açarsan verilerin yedekleme ve cihazlar arası eşitleme için kendi yönettiğimiz, Almanya'daki sunucuda saklanır. Ayrıntılar: Verilerim nerede saklanıyor?
• Uygulamada üçüncü taraf reklam, analitik ya da çökme raporlama aracı yoktur. Verilerini satmayız, reklam için kullanmayız.
• Uygulamanın içinde yapay zekâ çalışmaz; sorular ve anlatımlar önceden hazırlanır. Verilerin bir yapay zekâ hizmetine gönderilmez.

1. Veri sorumlusu

Unvan

ARKENTA STUDIOS LTD (İngiltere ve Galler'de kurulu özel limited şirket)

Şirket numarası

17561745 (Companies House)

Adres

128 City Road, London EC1V 2NX, Birleşik Krallık

E-posta

[email protected]

2. Hangi verileri işliyoruz?

Yalnız uygulamanın çalışması için gerekenleri işleriz. Aşağıdakilerin sunucuya gelenleri yalnız hesap açtığında ya da bir formu doldurduğunda sunucuya gelir.

Hesap ve giriş

E-posta adresin, şifrenin geri çevrilemeyen özeti (şifrenin kendisi saklanmaz), Google ya da Apple ile girersen o sağlayıcının verdiği hesap kimliği ve e-posta adresi, oturum bilgileri. Giriş altyapımızın oturum ve güvenlik kayıtlarında IP adresi ve cihaz bilgisi bulunabilir; bunları yalnız hesap güvenliği için kullanırız.

Profil

İsteğe bağlı takma ad, doğum yılı (tam doğum tarihi değil), yaş grubu, eğitim seviyesi ve sınıf, saat dilimi ve günün başlangıç saati. "Din Kültürü dersinden muafım" seçeneğini işaretlersen bu bilgi de profilinde tutulur ve yalnız programına bu dersi koymamak için kullanılır.

Çalışma verileri

Hedef sınavların ve hedef netlerin; girersen sınav sonuçların ve ders notların; haftalık müsait saatlerin ve "ara ver" günlerin (neden sorulmaz); konu seviyelerin, kullandığın kaynakların (kitap adları ve ilerleme); plan ve görevlerin; görev kayıtların (yaptım / kısmen / yapamadım, süre, soru sayıları, listeden seçtiğin yapamama nedeni, zorluk); odak oturumların; deneme sonuçların ve yanlış nedenlerin; seri, rozet ve haftalık özetlerin.

Cihaz

Platform, uygulama ve işletim sistemi sürümü, cihaz sınıfı (model adı değil), bildirim belirteci ve son görülme zamanı.

Bildirim tercihleri

Bildirim ayarların, sessiz saatlerin ve (onay verdiysen) tanıtım e-postası iznin.

Kullanım istatistikleri

Uygulamanın düzgün çalışıp çalışmadığını görmek için kendi sunucumuzda tuttuğumuz olay kayıtları: zaman, platform, sürüm, cihaz sınıfı, yaş bandı ve hangi ekranın ya da işlemin kullanıldığı gibi bilgiler. Bu kayıtlarda serbest metin, e-posta, ad ve IP adresi bulunmaz. Ürünü iyileştirmeye yönelik istatistikleri uygulamadaki tercihinle kapatabilirsin; 13 yaşından küçük çocuklarda bunlar yalnız velinin onayıyla açılır.

Hata raporları

Uygulama çökerse ya da hata verirse, kendi sunucumuzdaki hata kayıt sistemine teknik bir rapor gider. Rapor gönderilmeden önce e-posta ve kimlik gibi bilgiler temizlenir; IP adresi saklanmaz; 13 yaşından küçüklerde kullanıcı bilgisi eklenmez.

Abonelik

Premium ya da Platinum alırsan mağaza işlem kimliği, ürün, abonelik dönemi ve durumu. Ödemeyi Apple ya da Google alır; ödeme kartı bilgilerin bize gelmez.

Açılış hediyesi ve cihaz doğrulaması

Açılış hediyesinin hesap ve cihaz başına bir kez kullanılabilmesi için cihaz kimliğinin, e-posta adresinin ve IP adresinin geri döndürülemez özetleri (IP özeti 2 gün sonra silinir). Hediye ve ücretli içerik verilmeden önce uygulamanın ve cihazın değiştirilmemiş olduğu Google Play Integrity ya da Apple DeviceCheck ile doğrulanır; bu sırada bu hizmetlerin verdiği doğrulama sonucunu işleriz.

Destek talepleri

Destek için yazdığın metin, göndermeyi onayladığın teknik bilgiler (uygulama sürümü, cihaz sınıfı, son eşitleme gibi), yanıt için verdiğin e-posta adresi ve eklersen ekran görüntüsü.

Başvurular

KVKK başvurusu, hesap silme ya da telif başvurusu formunu doldurursan adın soyadın, e-posta adresin ve açıklaman. Öğretmen başvurusu yaparsan adın soyadın, okulun, şehrin, unvanın ve okul e-posta adresin. "Haber ver" listesine yazılırsan e-posta adresin.

Rıza ve aydınlatma kayıtları

Hangi metni, hangi sürümüyle, ne zaman ve hangi yolla onayladığın ya da okuduğun (IP adresi tutulmaz).

Güvenlik kayıtları

Başarısız giriş denemeleri (hesap numarası ve zaman), kötüye kullanım sınırı sayaçları ve yönetim panelinde yapılan işlemlerin denetim kayıtları.

3. Verilerini hangi amaçlarla işliyoruz?

• Hesabını açmak, giriş yapmanı sağlamak ve hesabını kurtarabilmek.
• Sana uygun sınav kataloğunu göstermek, çalışma programını kurmak, görevlerine göre yeniden planlamak ve ilerlemeni göstermek.
• Verilerini yedeklemek ve birden çok cihaz arasında eşitlemek.
• Seçtiğin bildirimleri ve işlemsel e-postaları (doğrulama kodu, şifre sıfırlama, veli onayı gibi) göndermek.
• Abonelikleri ve açılış hediyesini sunmak, kötüye kullanılmalarını önlemek, iade ve itirazları yürütmek.
• Destek taleplerine, KVKK ve diğer veri koruma başvurularına yanıt vermek.
• 13 yaşından küçük kullanıcılar için veli onayını almak ve ispat edebilmek.
• Hesap ve sistem güvenliğini sağlamak, kötüye kullanımı önlemek.
• Uygulamanın hatalarını bulmak ve ürünü iyileştirmek.
• Yasal yükümlülüklerimizi yerine getirmek ve haklarımızı koruyabilmek.

4. Verileri nasıl topluyoruz, hukuki sebebi ne? (KVKK)

Verilerini elektronik ortamda topluyoruz: uygulamaya ve bu sitedeki formlara senin girdiğin bilgilerden, uygulamayı kullanırken oluşan kayıtlardan ve Google ya da Apple ile girersen o sağlayıcının bize verdiği bilgilerden.

• Sözleşmenin kurulması ve ifası (KVKK m.5/2-c): hesap, profil, çalışma verileri, eşitleme, bildirimler, abonelik ve destek.
• Hukuki yükümlülük (m.5/2-ç): KVKK başvurularının yürütülmesi, rıza ve silme kayıtlarının tutulması, yaş grubunun belirlenmesi.
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): rıza, aydınlatma ve silme kayıtlarının saklanması.
• Meşru menfaat (m.5/2-f): hesap ve sistem güvenliği, kötüye kullanımın önlenmesi (açılış hediyesi ve cihaz doğrulaması dahil), hata raporları, uygulamanın işleyişine dair kullanım istatistikleri.
• Açık rıza (m.5/1): tanıtım e-postaları; 13 yaşından küçük çocukların verilerinin işlenmesi ve onların ürün iyileştirme istatistikleri (velinin açık rızasıyla).

Hesap açarken "Devam" demen, bu metni okuduğun anlamına gelir; aydınlatma bir onay değildir. Açık rızaya dayanan işlemler için ayrı ve önceden işaretlenmemiş kutular kullanırız; rızanı istediğin an geri alabilirsin.

5. Verilerin kimlere aktarılıyor, nerede tutuluyor?

Verilerini yalnız hizmeti sunabilmek için gereken hizmet sağlayıcılarla, gerektiği kadar paylaşırız. Hepsi bizim adımıza ve talimatımızla çalışır:

Sunucu hizmeti: Hetzner Online GmbH (Almanya)

Sunucumuz Almanya'da, Falkenstein'daki veri merkezindedir. Sunucuyu biz yönetiriz; veritabanı, giriş sistemi, dosyalar, kullanım istatistikleri ve hata raporları bu sunucuda kendi kurduğumuz yazılımla çalışır.

Yedek deposu: Cloudflare R2 (Cloudflare, Inc., ABD merkezli)

Gece alınan yedekler, sunucu dışındaki bu depoda şifreli olarak tutulur. Şifreleme anahtarı yalnız bizdedir; Cloudflare yedeklerin içeriğini okuyamaz.

Cloudflare (alan adı, güvenli bağlantı, tünel; Cloudflare, Inc., ABD merkezli)

Uygulama ve site trafiği Cloudflare üzerinden iletilir; bu sırada IP adresin ve istek bilgisi Cloudflare'in birçok ülkedeki veri merkezlerinden geçebilir.

Brevo (işlemsel e-posta; Sendinblue SAS, Fransa)

Doğrulama kodu, şifre sıfırlama, veli onayı ve başvuru yanıtı gibi e-postaları göndermek için alıcı e-posta adresi ve e-postanın içeriği.

RevenueCat (abonelik yönetimi; RevenueCat, Inc., ABD)

Abonelik durumunu doğrulamak için rastgele hesap numaran ve satın alma olayları; adın ve e-posta adresin gitmez.

Apple (ABD merkezli)

App Store'dan satın alma (ödeme Apple'ın kendi kurallarına tabidir), iPhone bildirimleri için bildirim belirteci ve bildirim içeriği, Apple ile girişte Apple kimliği, DeviceCheck ile cihaz doğrulaması.

Google (ABD merkezli)

Google Play'den satın alma (ödeme Google'ın kendi kurallarına tabidir), Android bildirimleri için bildirim belirteci ve bildirim içeriği, Google ile girişte Google kimliği, Play Integrity ile cihaz doğrulaması. Bildirim hizmetinin analitik özelliği kapalıdır.

Bunların dışında verilerini, yalnız kanunen yetkili bir kamu kurumu ya da mahkeme usulüne uygun olarak istediğinde ve istediği kadarıyla paylaşırız.

Yurt dışına aktarım. Uygulamayı Türkiye'de kullanıyorsun; veri sorumlusu İngiltere'de, sunucumuz Almanya'da, bazı hizmet sağlayıcılarımız ABD'de ve diğer ülkelerdedir. Bu yüzden verilerin Türkiye dışına aktarılır. Bu aktarımları KVKK'nın 9. maddesine (2024'te yapılan değişiklikle) uygun olarak, ilgili ülke hakkında Kurul'un yeterlilik kararı bulunmadığı durumlarda uygun güvencelerle, özellikle Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelerle yaparız. Birleşik Krallık'tan yapılan aktarımların güvenceleri 11. bölümde.

6. Ne kadar saklıyoruz?

• Hesap, profil ve çalışma verilerin: hesabın açık olduğu sürece. Uygulamada sildiğin bir kayıt 90 gün sonra sunucudan da kalıcı olarak silinir.
• Hesap silme: talepten sonra 7 gün geri alma süresi, sonra kalıcı silme ("Hemen sil" seçersen 24 saat içinde).
• Kullanım istatistikleri: 13 yaş ve üstünde 13 ay, 13 yaşından küçüklerde 6 ay.
• Hata raporları: 30 gün. Yedekler: en fazla 30 gün.
• Açılış hediyesi için tutulan IP özeti: 2 gün. Cihaz ve e-posta özetleri, hediyenin tekrar alınmasını önlemek için tutulur.
• Abonelik kayıtları: abonelik bitiminden 1 yıl sonra hesabınla bağı kaldırılır; hesabını silersen hemen.
• Destek talepleri: son güncellemeden 2 yıl; ekran görüntüleri 90 gün.
• KVKK başvuruları ve silme talebi kayıtları: 3 yıl. Denetim kayıtları: 2 yıl.
• Rıza ve aydınlatma kayıtları: hesabın kapandığı tarihten itibaren 10 yıl (ad ve e-posta olmadan, yalnız rastgele hesap numarasıyla).
• Dışa aktarma dosyaları: 7 gün.
• Hesap açmadan (misafir) kullanım: 90 gün hiç görülmeyen misafir kimliği ve olayları silinir.
• Doğrulanmamış kayıtlar 7 gün sonra silinir. 24 ay hiç kullanılmayan hesaba önce e-posta gönderilir; 30 gün içinde giriş yapılmazsa hesap silinir.
• Öğretmen başvuruları: karardan sonra 1 yıl.

Süresi dolan veriler her gün çalışan otomatik işlerle silinir; ayrıca altı ayda bir periyodik imha kontrolü yapılır.

7. 13 yaşından küçük çocuklar

13 yaşından küçük bir çocuğun verileri, velinin açık rızası olmadan sunucumuza gitmez. Onaydan önce uygulama yalnız çocuğun cihazında çalışır. Çocuk hesaplarında e-posta, şifre, Google ya da Apple girişi yoktur; hesap veli onayından sonra açılır. Çocuğa satın alma ekranı doğrudan gösterilmez, tanıtım e-postası gönderilmez.

Veli olarak onayını istediğin an geri çekebilirsin; onay geri çekilince çocuğunun sunucudaki verileri 24 saat içinde silinir. Çocuğun için sade bir anlatım: Çocuklar için aydınlatma metni.

8. Verilerini nasıl koruyoruz?

• Her kullanıcı yalnız kendi kayıtlarını görebilir; bu kural sunucuda, veritabanı düzeyinde uygulanır.
• Uygulama ile sunucu arasındaki bütün trafik şifreli bağlantıyla taşınır.
• Yönetim paneline yalnız iki aşamalı doğrulamayla girilir ve yapılan her işlem kayda geçer. Destek ekibi görev ve deneme içeriklerini göremez.
• Yedekler şifrelenir ve sunucu dışında saklanır; bir yedek geri yüklenirse silinmiş hesaplar yeniden silinir.
• IP adresi uygulama tablolarına yazılmaz; site ve sunucu erişim günlükleri kapalıdır.

9. Hakların (KVKK m.11)

Bize başvurarak şunları yapabilirsin:

• Kişisel verilerinin işlenip işlenmediğini öğrenmek, işlendiyse bilgi istemek.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde ya da yurt dışında aktarıldığı kişileri öğrenmek.
• Eksik ya da yanlış işlenmişse düzeltilmesini istemek.
• KVKK m.7'deki şartlarla silinmesini ya da yok edilmesini istemek.
• Düzeltme ve silme işlemlerinin, verilerin aktarıldığı kişilere bildirilmesini istemek.
• Yalnız otomatik sistemlerle analiz edilmesi sonucunda aleyhine bir sonuç çıkmasına itiraz etmek.
• Kanuna aykırı işleme nedeniyle zarara uğradıysan zararının giderilmesini istemek.

Birçoğunu uygulamadan kendin de yapabilirsin: Ben > Hesap ve veri bölümünde tüm verilerinin kopyasını indirebilir (Verilerimi indir) ve hesabını silebilirsin (Hesabı sil).

10. Nasıl başvurursun?

• Başvuru formu: KVKK başvuru formu
• E-posta: [email protected] (konu: "KVKK başvurusu")
• Yazılı (imzalı dilekçe): ARKENTA STUDIOS LTD, 128 City Road, London EC1V 2NX, Birleşik Krallık

Başvurun en geç 30 gün içinde ücretsiz sonuçlandırılır. Başvurun reddedilirse, yanıtı yetersiz bulursan ya da süresinde yanıt verilmezse Kişisel Verileri Koruma Kurulu'na şikâyet edebilirsin. Hesap silme için ayrıca: Hesap silme.

11. İngiltere veri koruma hukuku (UK GDPR)

Veri sorumlusu Birleşik Krallık'ta kurulu olduğu için verilerin Birleşik Krallık Genel Veri Koruma Tüzüğü (UK GDPR) ve 2018 tarihli Data Protection Act kapsamında da korunur. Bu hukuk, KVKK'daki haklarına ek olarak geçerlidir; ikisinden hangisi seni daha çok koruyorsa ona göre davranırız.

Hukuki dayanaklar (UK GDPR m.6)

• Sözleşmenin ifası (m.6/1-b): hesap, profil, çalışma programı, eşitleme, bildirimler, abonelik ve destek.
• Meşru menfaat (m.6/1-f): hesap ve sistem güvenliği, kötüye kullanımın ve hediye istismarının önlenmesi, hata raporları ve uygulamanın işleyişine dair istatistikler. Bu menfaatleri senin haklarınla tarttık; veriyi en aza indirir, IP adresini saklamayız.
• Hukuki yükümlülük (m.6/1-c): veri koruma başvurularının yürütülmesi, rıza ve silme kayıtları, vergi ve muhasebe kayıtları.
• Rıza (m.6/1-a): tanıtım e-postaları, ürün iyileştirme istatistikleri ve 13 yaşından küçük çocuklar için velinin rızası.

Hakların

• Erişim: verilerinin bir kopyasını istemek.
• Düzeltme: yanlış ya da eksik verilerin düzeltilmesini istemek.
• Silme: verilerinin silinmesini istemek.
• Kısıtlama: belirli durumlarda işlemenin durdurulmasını istemek.
• Taşınabilirlik: sana verdiğimiz verileri makinece okunabilir biçimde almak (uygulamadaki Verilerimi indir bunu sağlar) ya da başka bir hizmete aktarılmasını istemek.
• İtiraz: meşru menfaate dayanan işlemeye itiraz etmek; doğrudan pazarlamaya her zaman itiraz edebilirsin.
• Rızayı geri alma: verdiğin rızayı istediğin an geri almak. Geri alma, önceki işlemeyi hukuka aykırı yapmaz.

Hakkında yalnız otomatik işlemeye dayanan ve seni hukuken ya da benzer biçimde önemli ölçüde etkileyen bir karar almayız. Çalışma programının otomatik kurulması yalnız sana öneri sunar; istediğin an değiştirebilirsin.

Başvurularını yukarıdaki 10. bölümdeki yollarla yapabilirsin; genellikle bir ay içinde yanıtlarız.

Birleşik Krallık'tan uluslararası aktarım

Almanya'daki sunucuya ve Avrupa Birliği'ndeki sağlayıcılara aktarım, Birleşik Krallık'ın AB/AEA için verdiği yeterlilik kararına dayanır. ABD'deki ve diğer ülkelerdeki sağlayıcılara aktarımlarda, alıcı UK-ABD veri köprüsüne (UK Extension to the EU-US Data Privacy Framework) katılmışsa buna; değilse ICO'nun Uluslararası Veri Aktarım Sözleşmesi (IDTA) ya da AB standart sözleşme maddelerine eklenen UK Addendum güvencelerine dayanırız. Bu güvencelerin bir örneğini bize yazarak isteyebilirsin.

Şikâyet hakkı

Verilerinin işlenmesiyle ilgili bir sorunu önce bize yazarsan hızla çözmeye çalışırız. Birleşik Krallık'ın veri koruma otoritesi Information Commissioner's Office'e (ICO) de şikâyette bulunabilirsin: ico.org.uk. Bu hak, Kişisel Verileri Koruma Kurulu'na şikâyet hakkına ek olarak geçerlidir.

Bu metindeki değişiklikler

Bu metin sürümlüdür. Önemli bir değişiklik olursa uygulamada haber veririz.