Gizlilik politikası

Bu Gizlilik Politikası, Haakje B.V. (Ticaret Odası numarası 42160038, KDV numarası NL869977817B01, Haarlem, Hollanda) tarafından Aqlemy ticari adı altında işletilen platformda kişisel verilerin nasıl toplandığını, kullanıldığını, korunduğunu ve paylaşıldığını açıklar. Politika, Genel Veri Koruma Tüzüğü (GDPR) ve Hollanda GDPR Uygulama Kanunu'na uygun olarak hazırlanmıştır.

Bu belge nedir — ve ne değildir.

Bu bir bilgilendirme belgesidir (GDPR madde 12-14), bir rıza formu değildir. Okumakla rıza vermiş olmazsınız; platformu kullanmakla da öyle. Rızaya dayandığımız yerlerde bunu ayrıca isteriz ve ayrıca geri alabilirsiniz. Bu ayrım en başta yer alıyor, çünkü gizlilik metinlerinde çoğu zaman bulanıklaştırılır — ve hizmetin koşulu olarak sunulan bir rıza geçerli bir rıza değildir (GDPR madde 7(4)).

İki farklı rol — ve hangisinin geçerli olduğu önemlidir.

Üyelerin, öğrencilerin, velilerin ve öğretmenlerin verileri bakımından platformu kullanan kuruluş veri sorumlusudur: bu verilerin hangi amaçla işleneceğini o belirler. Biz bu süreçte o kuruluş adına veri işleyen olarak hareket ederiz. Bu verilerle ilgili soruları bu nedenle öncelikle kendi kuruluşunuza yöneltin; bizim aramızdaki ilişki veri işleme sözleşmesinde düzenlenmiştir.

Bunun yanında kendi müşteri ilişkimiz bakımından veri sorumlusu biziz: kuruluşun irtibat kişisi, faturalama, web sitemizin ziyaretçileri ve kendi güvenlik ile sistem kayıtlarımız. Madde 2 bu dağılımı sınır durumlar dâhil olmak üzere durum durum ele alır.

Hukuki dayanak.

Bu politikadaki işlemelerin çoğu rızaya değil; bir sözleşmenin ifasına (üyelik veya eğitim ilişkisi), yasal bir yükümlülüğe ya da meşru menfaate dayanır. Rızayı yalnızca gerçekten özgür bir seçiminizin bulunduğu yerlerde kullanırız — örneğin fotoğraf paylaşımında. Bu rızayı istediğiniz zaman geri alabilirsiniz; bu, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

Kapsam.

Bu politika yönetim portalı, mobil uygulamalar, herkese açık kuruluş sayfaları, bilgi ekranları ve kendi web sitemiz aqlemy.com için geçerlidir. Web sitesindeki çerezler ve benzer teknikler için ayrıca Çerez Politikası geçerlidir.

Sürüm.

Bu politika bir sürüm numarası ve yürürlük tarihi taşır. Bir değişiklik hâlinde madde 18'de anlatıldığı gibi bilgilendiririz; yeni bir onay istemeyiz, çünkü bir bilgilendirme belgesinin kabul edilmesi gerekmez — bu, rızanın hukuki dayanak olduğu izlenimini haksız yere yaratırdı.

Veri koruma görevlisi yok, ancak sabit bir irtibat noktası var.

Veri koruma görevlisi atamakla yükümlü değiliz (GDPR madde 37): kamu kurumu değiliz ve temel faaliyetimiz büyük ölçekli düzenli ve sistematik izlemeden ya da özel nitelikli verilerin büyük ölçekli işlenmesinden oluşmuyor. Ancak gizlilik soruları için tek bir sabit irtibat noktası vardır: privacy@aqlemy.com. Kendi kuruluşunuz, büyüklüğü veya niteliği nedeniyle bir görevli atamak zorunda olabilir; bu bizden bağımsızdır.

GDPR iki rol tanır. Veri sorumlusu işlemenin nedenini ve yöntemini belirler. Veri işleyen yalnızca talimat üzerine işler. Bizde bu sınır tek bir yerde bulunmaz; bu nedenle aşağıda durum durum verilmiştir.

Biz VERİ İŞLEYENİZ — kuruluş veri sorumlusudur.

• - Üye, öğrenci, veli ve öğretmen verileri: adlar, iletişim bilgileri, doğum tarihi, adres, sınıf ataması.
• - Eğitim verileri: ödev, notlar, sınav sonuçları, devam, ilerleme, dosya notları, sertifikalar.
• - Üyelik verileri: üyelik türü ve durumu, aidat, kuruluş içindeki ödeme geçmişi.
• - Kuruluş içi iletişim: duyurular, etkinlikler, bültenler, sohbet mesajları, şikâyetler ve bildirimler.
• - Kuruluşun mali kayıtları: kasa defteri, faturalar, masraf beyanları, bağışlar, sübvansiyonlar.
• - Kuruluşun kendi tanımladığı özel alanlar.

Tüm bu veriler için: hangi amaçla kullanılacağını, ne kadar saklanacağını ve kimin görebileceğini kuruluş belirler. Biz uygularız. Bu verilere erişim, düzeltme veya silme istiyorsanız kuruluşunuza başvurun; doğrudan bize ulaşan bir talebi gecikmeksizin ona iletiriz.

Biz VERİ SORUMLUSUYUZ.

• - Müşteri ilişkimiz: sözleşmemizin bulunduğu kuruluşun irtibat kişisi ve yöneticileri, faturalama, hizmete ilişkin yazışma ve destek.
• - aqlemy.com ziyaretçileri: ziyaret verileri, iletişim formu, deneme veya tanıtım talepleri, şablon indirmeleri, yönetim taraması ve bülten. Bu veriler bilinçli olarak kuruluş bağlantısı taşımaz; bkz. madde 10.
• - Güvenlik kayıtları: girişler, bilinen cihazlar, başarısız denemeler ve oturumların iptali. Bunun kaydedileceğine, ne kadar süreyle tutulacağına ve ne zaman uyarı verileceğine kendimiz karar veririz; çünkü platformu uygun biçimde güvence altına almak bizim kendi yükümlülüğümüzdür (GDPR madde 32). Bu işleme bakımından dolayısıyla veri işleyen değil, veri sorumlusuyuz.
• - Sistem ölçümleri ve hata raporları: bellek, işlemci kullanımı ve uygulama hatalarına ilişkin teknik ölçümler. Bunlar üyelerinizin veya öğrencilerinizin esaslı verilerini içermez; bir hata mesajında istisnaen bir kimlik numarası veya e-posta adresi bulunabilir. Saklama süresi 30 gün.
• - Şartların ve veri işleme sözleşmesinin kabul edildiğine dair kanıt; sürüm numarası, sağlama toplamı, zaman damgası ve — şifreli olarak — o işleme ait IP adresiyle birlikte.

Sınır durumlar, açıkça.

Reklamverenler. Bir kuruluş platform üzerinden reklam alanı satıyorsa, sözleşme reklamveren ile o kuruluş arasındadır. Reklamverenin şirket ve iletişim bilgileri bakımından veri sorumlusu o kuruluştur ve biz veri işleyeniz; veriler buna uygun olarak kuruluş bazında ayrı saklanır. İki konuda ise veri sorumlusu biziz: reklamverenin platform şartlarımızı kabul ettiğine dair kanıt (sürüm, zaman, şifreli IP adresi) ve kuruluşa faturaladığımız aracılık ücreti.

Pazarlama adayları. Kendi web sitemizde bir form dolduran, bir şablon indiren veya yönetim taramasını yapan kişi bizim bağlantımızdır. Bu veriler kuruluş bağlantısı olmayan ayrı bir kayıtta tutulur ve bunlar bakımından veri sorumlusu biziz. Platformdaki bir kuruluşun verileriyle asla karıştırılmaz.

Sistem ve güvenlik kayıtları. Yukarıya bakınız: veri işleyen değil, veri sorumlusu. Bu kayıtları başka kuruluşlarla paylaşmayız ve bir kuruluş sistem kaydımızdan yalnızca kendi ortamını ilgilendireni alır.

Kendi işlem kaydınız. Yönetim portalındaki işlem kaydı — kuruluşunuz içinde hangi işlemi kimin yaptığı — kuruluşunuzun veri sorumlusu olduğu verilerdir. Kendiniz görüntüleyip dışa aktarabilirsiniz.

Kuruluşunuzun herkese açık sayfaları. Kuruluşunuz herkese açık sayfasında adları, fotoğrafları veya iletişim bilgilerini yayımlıyorsa bunun veri sorumlusu odur. Orada ne yer alacağını biz belirlemeyiz.

Aşağıda platformda işlenebilecek veri kategorileri yer alır. Sizin durumunuzda fiilen ne işleneceği kuruluşunuzun paketine, kullandığı modüllere ve kendi girdiklerine bağlıdır — yalnızca üye kaydı tutan bir cami, öğrenci dosyaları tutan bir okuldan belirgin biçimde daha az veri işler.

Tek tek verileri görmek için bir kategoriyi açın.

Özel nitelikli kişisel veriler.

Platform, GDPR madde 9'da belirtilen özel nitelikli kişisel verilerin — sağlık, dinî inanç, etnik köken veya ceza mahkûmiyetine ilişkin veriler — işlenmesi için tasarlanmamıştır. Bunun için bir alan yoktur ve bunlara özgü ek güvenceler bulunmaz. Bir kuruluş yine de böyle verileri serbest metin alanına veya kendi oluşturduğu özel bir alana girerse, bunun veri sorumlusu odur ve geçerli bir istisna dayanağına kendisi sahip olmalıdır. Tavsiye etmiyoruz.

Burada iki hususa dikkat çekmek gerekir. Bir kişinin dinî bir kuruluşa üye olması olgusu bağlam içinde din hakkında bir veri olabilir; kuruluş bunun için genellikle GDPR madde 9(2)(d) istisnasına sahiptir (dinî amaçlı bir vakıf veya derneğin kendi üyeleri hakkında işlemesi). Ve nedeni "hasta" olarak belirtilen bir devamsızlık özünde bir sağlık verisidir; platform bunun için tek bir durum alanı sunar, tıbbi bir kayıt tutmaz.

Bilinçli olarak toplamadıklarımız.

• - Kimlik numarası veya kimlik belgesi kopyası yok.
• - Sunucularımızda biyometrik özellik yok: girişte yüz veya parmak izi tanıma kullanıyorsanız, o özellik kendi telefonunuzun güvenli ortamında kalır. Biz yalnızca kilit açmanın başarılı olduğu onayını alırız.
• - Sunucularımızda konum verisi yok: namaz vakitleri ve kıble yönü cihazınızda hesaplanır.
• - Reklam profili yok, reklam ağı izleme pikseli yok, ilgi alanı segmenti yok.
• - Okunabilir hâlde tam IP adresi yok: bir IP adresini sakladığımız yerde bu şifrelidir ve listelerde maskelenmiş biçimde görünür.

Her işlemenin tam olarak bir birincil hukuki dayanağı vardır. Aşağıda bunlar işleme başına, GDPR maddesiyle birlikte verilmiştir.

Sözleşmenin ifası — GDPR madde 6(1)(b)

• - Hesap oluşturma ve yönetme, platforma erişim sağlama.
• - Üye kaydı: kayıt, üyelik türü, aidat ve iptal.
• - Eğitim kaydı: sınıfa kayıt, ödev, devam, notlar, ilerleme ve sertifikalar.
• - Hizmete dâhil iletişim: ders programı değişiklikleri, sınıfa veya derneğe ilişkin duyurular, etkinlik onayları, ödeme talepleri ve hatırlatmalar.
• - Kuruluşun üyelerinden tahsil ettiği ödemelerin işlenmesi.
• - Kuruluşa yönelik kendi hizmetimiz: abonelik, faturalama ve destek.

Yasal yükümlülük — GDPR madde 6(1)(c)

• - Mali ve vergisel kayıtlar ve bunlara ilişkin 7 yıllık saklama yükümlülüğü (Hollanda Genel Vergi Kanunu madde 52).
• - Şartların kabul edildiğine dair kanıtın saklanması (Hollanda Medeni Kanunu madde 6:234).
• - Yetkili bir makamın talebine veya mahkeme kararına uyulması.
• - Verilen ve geri alınan rızanın kaydedilmesi ve ispatlanabilmesi (GDPR madde 7(1)).

Meşru menfaat — GDPR madde 6(1)(f)

• - Platformun güvenliği: giriş kaydı, bilinmeyen cihazların tanınması, giriş denemelerinin sınırlandırılması ve şüpheli bir girişte kullanıcının uyarılması. Menfaat: hesap ele geçirilmesinin önlenmesi. Denge: işleme zaman, cihaz, şifreli IP adresi ve şehir-ülke düzeyinde konumla sınırlıdır, kullanıcı bu konuda bizzat bilgilendirilir ve tüm oturumları sonlandıracak bir düğme alır. Bu işleme olmadan bir ele geçirme ancak sonradan ve çoğu kez çok geç fark edilir.
• - Arıza ve hataların giderilmesi ile sunucu kapasitesinin ölçülmesi. Menfaat: süreklilik. Denge: ölçümler esaslı veri içermez ve 30 gün sonra silinir.
• - Formların ve e-posta kanalının kötüye kullanılmasının önlenmesi.
• - Yönetim portalındaki işlem kaydı; böylece kuruluş hangi değişikliği kimin yaptığını tespit edebilir. Menfaat: kuruluş içinde hesap verebilirlik ve dolandırıcılığın önlenmesi.
• - Kendi iş süreçlerimiz: müşteri iletişiminin sürdürülmesi, soruların yanıtlanması ve hizmetin toplulaştırılmış, kişiye götürülemeyen istatistiklerle iyileştirilmesi.

Meşru menfaate dayanan bir işlemeye itiraz edebilirsiniz; bkz. madde 14. Güvenlik kayıtlarında bu itiraz genellikle sonuç vermez, çünkü kayıt tutmanın kendisi yasal bir güvenlik yükümlülüğünü yerine getirir.

Rıza — GDPR madde 6(1)(a)

• - Tanınabilir olduğunuz fotoğrafların yayımlanması ve bunların sosyal medyada paylaşılması. Mobil uygulamadaki gerçekten özgür seçim niteliği taşıyan tek iki rıza bunlardır; oradaki diğer tüm anahtarlar, sözleşmeye dayanan bir işlemeye ilişkin bilgilendirmelerdir.
• - Web sitemizdeki zorunlu olmayan çerezler ve ölçüm araçları.
• - Kendisi talep eden bir kişiye gönderdiğimiz ticari e-posta.

Verilen bir rızayı istediğiniz zaman geri alabilirsiniz ve bu, vermek kadar kolay olmalıdır (GDPR madde 7(3)). Geri alma ileriye etkilidir: öncesinde hukuka uygun olan hukuka uygun kalır.

Hayati menfaat — GDPR madde 6(1)(d)

• - Bir ders veya etkinlik sırasında acil bir durumda acil durum iletişim bilgilerinin kullanılması.

Hukuki dayanak olarak kullanmadıklarımız.

Hiçbir işlemeyi "platformu kullandınız, dolayısıyla kabul ediyorsunuz" gerekçesine dayandırmayız. Bu bir hukuki dayanak değildir.

Eğitim.

Öğrenciler sınıflara atanır. Öğretmenler devamı kaydeder, ödev verir, ilerlemeyi takip eder ve not girer. Veliler yalnızca kendi çocuklarının verilerini görür. Bir öğrenciye iki veli hesabı bağlıysa, bunların hakları eşittir; diğerinden fazlasını gören bir "asıl veli" yoktur.

Öğretmenler yalnızca kendi sınıflarını görür.

Yönetim portalında çalışan bir öğretmene yalnızca bağlı olduğu öğrenciler ve sınıflar gösterilir. Bu, kuruluş bazında açılıp kapanan bir ayar değil, ilgili her bileşende ayrı ayrı uygulanan bir sınırdır. Ayrıca öğretmenin yapay zekâ asistanı için velilerin iletişim bilgileri maskelenir.

Üye yönetimi.

Kuruluş üyelikleri takip eder, aidat faturaları gönderir ve tahsilat yapar. Üyeler uygulamada kendi verilerini görüntüleyip güncelleyebilir ve ayarlara bağlı olarak kendileri bir abonelik seçebilir.

İletişim.

Duyurular, etkinlikler ve bültenler bir hedef kitleye yöneltilir: herkes, yalnızca veliler, yalnızca öğretmenler ya da belirli bir sınıf veya bölüm. Bu sınırlandırma yalnızca görüntülemede değil, sunucu tarafında uygulanır: bir sınıf için hazırlanmış bir ileti yalnızca o sınıfa gönderilir ve diğerleri tarafından çağrılamaz.

Bildirimler.

Her bildirim türü için hangi kanaldan alacağınızı seçebilirsiniz: uygulama içi, anlık bildirim veya e-posta. İki tür uygulama içi ve e-postada kapatılamaz: kendi hesabınıza ilişkin güvenlik bildirimleri ve kaçırılması hâlinde hizmeti kullanılamaz kılacak bildirimler. Anlık bildirimleri her zaman kapatabilirsiniz.

Ödemeler.

Aidatlar, bağışlar ve biletler kendi kuruluşunuzun ödeme hizmeti sağlayıcısı üzerinden yürür. Biz bir ödemenin başarılı olup olmadığını, tutarını ve neye ilişkin olduğunu görürüz — tam hesap numaranızı veya kart bilgilerinizi değil. Bunlar ödeme hizmeti sağlayıcısında kalır.

Güvenlik.

Bkz. madde 6 ve orada anlatılan giriş bildirimleri.

Yapay zekâ işlevleri.

Bkz. madde 12.

Olmayanlar.

• - Kişisel veri satmayız. Ne reklamverenlere, ne veri simsarlarına, ne de başkasına.
• - Kuruluşunuzun verilerini size veya başkalarına kendi hizmetlerimizi satmak için kullanmayız.
• - Bir kuruluşun verilerini asla bir diğeri için kullanmayız. Kuruluşlar arasındaki ayrım her sorguda uygulanır.
• - Mesajları veya dosyaları meraktan okumayız. Bizim erişimimiz yalnızca bir arızayı gidermek için veya kuruluşun talebi üzerine olur ve bunun için gerekli olanla sınırlıdır.

GDPR madde 32'de öngörülen uygun teknik ve idari önlemleri alırız. Aşağıda bu önlemlerin somut olarak ne olduğu — ve aynı ölçüde önemlisi, ne olmadığı — yer alır.

Aktarım sırasında:

• - Tüm trafik, Let's Encrypt sertifikasıyla şifreli bir bağlantı (TLS) üzerinden yürür.

Saklamada:

• - İletişim bilgileri ve diğer hassas alanlar, program kodunun dışında tutulan bir anahtarla AES-256-CBC kullanılarak şifreli saklanır.
• - Yedekler sunucumuzdan ayrılmadan önce şifrelenir ve ikinci bir bölgede tutulur.
• - Parolalar saklanmaz, bcrypt ile özetlenir; dolayısıyla parolanızı isteseydik bile okuyamayız.

Uçtan uca şifreleme yok, veritabanı genelinde şifreleme de yok.

Bunu açıkça söylüyoruz, çünkü çoğu zaman aksi ima edilir. Kuruluşunuz verilerinizi görebilir, teknik olarak biz de görebiliriz. Bu erişim olmadan hizmet sunulamaz — bir öğretmenin not girebilmesi, bir yöneticinin aidat tahsil edebilmesi gerekir. Ayrıca saklamadaki şifreleme, veritabanının tamamı için değil, belirlenmiş alanlar için geçerlidir: öğrenci adları, notlar, devamsızlıklar ve mesaj içeriği, korunan bir sunucunun arkasındaki şifreli bir diskte düz metin olarak durur.

Erişim:

• - Her kuruluşun verileri ayrıdır; her sorgu kendi kuruluşuyla sınırlandırılır.
• - Kuruluş içinde ayrıntılı bir yetki modeli geçerlidir: bir yönetici yalnızca yetkisi olduğu bileşenleri alır.
• - Bir öğretmen yalnızca kendi sınıflarını ve öğrencilerini görür.
• - Yöneticiler bir kimlik doğrulama uygulamasıyla iki adımlı doğrulamayı etkinleştirebilir.
• - Parolalar en az 8 karakter olmalı ve bir büyük harf, bir küçük harf, bir rakam ve bir noktalama işareti içermelidir; yaygın parolalar ve ardışık rakam dizileri reddedilir.
• - Bizim tarafımızda need-to-know ilkesi geçerlidir: üretim ortamına erişim yalnızca bir arıza veya talep gerektirdiğinde.

Yönetim:

• - Bağımlılıklar bilinen açıklara karşı düzenli olarak güncellenir.
• - Bir İçerik Güvenliği Politikası tarayıcıda nelerin yüklenebileceğini sınırlar.
• - Giriş denemeleri IP adresi başına çeyrek saatte on ile sınırlıdır.
• - Başarısız giriş denemeleri sürerse, bu denemelerin geldiği IP adresi geçici olarak reddedilir. Bu reddetme adrese yöneliktir, hesabınıza asla.
• - Yönetim portalındaki işlemler, kuruluşun kendisinin görüntüleyebileceği bir işlem kaydına yazılır; güvenlikle ilgili kayıtlar süresiz saklanır.
• - Veri merkezinin fiziksel güvenliğini barındırma sağlayıcımız üstlenir.

Güvenliğimizin dayandığı temel.

Yukarıdaki önlemler ve veri işleme sözleşmesinin güvenlik eki; harici bir sertifika değil. ISO 27001 sertifikamız, SOC 2 raporumuz yoktur ve düzenli harici sızma testi yaptırmayız; kod üzerinde otomatik bir güvenlik tarayıcısı da çalışmaz. Bunu belirtiyoruz, çünkü kuruluşunuz bir satın alma değerlendirmesinde bunu sorar ve uyumumuzu denetlemek için hangi yolun açık olduğunu belirler: veri işleme sözleşmesindeki denetim düzenlemesi.

Giriş bildirimleri.

Hesabınıza daha önce görmediğimiz bir cihazdan veya ülkeden giriş yapıldığında, tekrarlanan başarısız giriş denemeleri olduğunda ve parolanız ya da iki adımlı doğrulamanız değiştiğinde sizi uyarırız. Bu bildirim zamanı, cihaz ve tarayıcıyı, maskelenmiş bir IP adresini ve şehir-ülke düzeyinde konumu içerir.

Konum, kendi sunucumuzdaki yerel bir veritabanıyla belirlenir; IP adresiniz bunun için üçüncü bir tarafa gönderilmez. Hukuki dayanak, güvenlik yükümlülüğümüzden doğan meşru menfaattir (GDPR madde 32). Bildirimdeki bağlantı üzerinden tüm oturumlarınızı hemen sonlandırabilirsiniz. Bu bağlantı ancak sayfada açık bir onay verildikten sonra etkili olur; böylece bir e-posta tarayıcısı onu yanlışlıkla tetikleyemez ve yalnızca bir kez kullanılabilir.

Sizin payınız.

Giriş bilgilerinizi paylaşmayın, başka hiçbir yerde kullanmadığınız bir parola kullanın, yöneticiyseniz iki adımlı doğrulamayı açın ve şüpheli bir bildirimi hemen bildirin. Olayların büyük bölümü platformda değil, paylaşılmış veya yeniden kullanılmış bir parolada başlar.

Veri ihlali; kişisel verilerin yok edilmesi, kaybı, değiştirilmesi ya da yetkisiz olarak ifşa edilmesi veya bunlara yetkisiz erişimdir.

İhlal bir kuruluşun verilerini ilgilendiriyorsa (bunlarda veri işleyeniz), o kuruluşu haberdar olmamızdan itibaren gecikmeksizin ve her hâlde 48 saat içinde bilgilendiririz. Bu süre, kuruluşun Hollanda Veri Koruma Otoritesine kendi 72 saatlik bildirim süresi içinde rahatça kalmasını sağlayacak biçimde seçilmiştir (GDPR madde 33). Denetim otoritesine ve gerektiğinde ilgili kişilere bildirim kuruluşun görevidir; biz bunun için bilgi ve desteği sağlarız.

Şunları veririz: ihlalin niteliği, nasıl ve ne zaman keşfedildiği, muhtemel nedeni, hangi veri kategorilerini ve hangi ilgili kişi gruplarını etkilediği ve yaklaşık kaç kişiyi ilgilendirdiği, söz konusu verilerin şifreli veya özetlenmiş olup olmadığı, muhtemel sonuçları, alınan ve önerilen önlemler ve bir irtibat kişisi.

İhlal, veri sorumlusu olduğumuz verileri ilgilendiriyorsa — müşteri ilişkimiz, web sitemiz, güvenlik kayıtlarımız — gerektiğinde 72 saat içinde Hollanda Veri Koruma Otoritesine bildiririz ve ihlalin ilgili kişilerin hak ve özgürlükleri bakımından yüksek risk taşıması muhtemelse onları kendimiz bilgilendiririz (GDPR madde 34).

Kayıt.

Her veri ihlali, denetim otoritesine bildirilmesi gerekmese dahi, olgular, sonuçlar ve alınan düzeltici önlemlerle birlikte bir olay kaydına işlenir.

Bir açığın bildirilmesi.

Bir açık keşfederseniz support@aqlemy.com adresine bildirin. Bir bildirene karşı hukuki yollara başvurmadığımız koşullar Kullanım Şartlarının 11. maddesinde yer alır.

Kişisel verilerinizi satmayız ve aşağıdaki hâller dışında üçüncü taraflarla paylaşmayız.

Hizmet sağlayıcılar (alt işleyenler).

Platformu sunabilmek için barındırma, ödemeler, e-posta ve bildirimler gibi alanlarda başka taraflardan yararlanırız. Bu tarafların çoğu veri işleyendir: verileri yalnızca bizim talimatımızla, GDPR madde 28 uyarınca bir veri işleme sözleşmesine dayanarak işler ve kendi amaçları için kullanamaz.

Bazı taraflar ise değildir. Örneğin bir ödeme hizmeti sağlayıcısı ödemeleri bizim talimatımızla işler, ancak aynı verileri ayrıca dolandırıcılık, yaptırım taraması ve müşterisini tanıma konusundaki kendi yasal yükümlülükleri için kullanır; bu kısım bakımından bağımsız veri sorumlusudur ve kendi şartları geçerlidir. Bir kuruluş sosyal medyada bir gönderi yayımlarsa, o platform onunla ne yapacağına kendisi karar verir. Böyle taraflarla bir veri işleme sözleşmesi yoktur ve olamaz da.

Aşağıdaki kayıt, her taraf için hangi rolü üstlendiğini belirtir; böylece talimatı nerede bizim verdiğimizi ve bir tarafın nerede kendi dayanağıyla hareket ettiğini görebilirsiniz.

Burada birkaç isim saymak yerine güncel listeye yönlendiriyoruz — sabit bir sıralama kaçınılmaz olarak gerçeğin gerisinde kalır:

aqlemy.com/tr/subprocessors

O sayfada taraf başına amaç, hangi veri kategorilerinin gittiği, ülke ve aktarımın dayandığı temel yer alır. Hangi bağlantıların isteğe bağlı olduğu da belirtilir: kuruluşunuzda bir bağlantı kapalıysa oraya hiçbir şey gitmez.

Bilinçli olarak dışarıya vermediklerimiz.

• - Bir IP adresinden konum belirleme, kendi sunucumuzdaki bir dosyayla yapılır. Hiçbir IP adresi harici bir hizmete gitmez.
• - Veritabanı, harici bir veritabanı sağlayıcısında değil, uygulamayla aynı sunucuda çalışır.
• - Yapay zekâ işlevlerinin arkasındaki dil modeli kendi donanımımızda çalışır. OpenAI, Google, Anthropic veya başka bir sağlayıcıya veri gitmez.

Ağustos 2026'da kaldırıldı.

İki bağlantı kaldırıldı ve bu nedenle artık listede yer almıyor: öğrenci, öğretmen ve sınıf adlarını alan bir SMS hizmeti ile her web sitesi ziyaretçisinin IP adresini, o ziyaretçi henüz bir çerez tercihi yapmadan Amerika Birleşik Devletleri'ne gönderen harici bir hizmet.

Kuruluşunuz içinde.

Veriler, buna yetkisi olan rollere görünür: yetkileri çerçevesinde yöneticiler, kendi sınıfları çerçevesinde öğretmenler, kendi çocukları için veliler. Bu, üçüncü tarafla paylaşım değil, hizmetin kendi işleyişidir.

Çatı kuruluşlar.

Kuruluşunuz bir çatıya bağlıysa, o çatı toplulaştırılmış rakamları görür ve ortak duyuru ve etkinlik gönderebilir. Üyelerinizin ve öğrencilerinizin tam iletişim bilgileri çatıya maskelenmiş gösterilir; çatı kuruluşunuzun üye verilerini, ödemelerini veya derslerini değiştiremez.

Yasal yükümlülükler.

Yasal bir yükümlülük, mahkeme kararı veya yetkili bir makamın haklı talebi hâlinde. Böyle bir talebi dayanak ve yetki bakımından değerlendirir, talep edilenden fazlasını vermez ve ilgili kuruluşu önceden bilgilendiririz — yasa bunu bize yasaklamadıkça.

Sigortacılar.

(Olası) bir sorumluluk talebi veya bir güvenlik olayı hâlinde, bunun için gerekli verileri — bu verilerin veri sorumlusu bizzat biz olduğumuz ölçüde — sigortacılarımızla, sigorta aracımızla ve onların görevlendirdiği uzmanlar ve avukatlarla paylaşırız. Sigorta sözleşmelerimiz bizi buna yükümlü kılar ve sürecin yürütülmesi için gerekenden fazlasını vermeyiz. Hukuki dayanak: meşru menfaat (GDPR madde 6(1)(f)), yani talebin veya olayın sigortacımız tarafından ele alınması.

İşletme devri.

Bir birleşme veya devralma hâlinde, aynı koruma düzeyi korunarak ve veri işleme sözleşmesi devam ettirilerek. Bunu önceden bildiririz.

Bu madde kendi web sitemiz aqlemy.com ile kuruluşların herkese açık sayfalarına ilişkindir. Tam liste Çerez Politikasındadır.

Zorunlu çerezler her zaman yerleştirilir: oturumunuzu sürdürür, dil tercihinizi hatırlar ve formları kötüye kullanıma karşı korur. Bunlar için rıza gerekmez (Hollanda Telekomünikasyon Kanunu madde 11.7a(3)).

Diğer tüm çerezler ve ölçüm araçları ancak siz rıza verdikten sonra yerleştirilir. Reddetmek, kabul etmek kadar kolaydır ve ret düğmesi kabul düğmesiyle aynı düzeydedir. Hiçbir şey yapmazsanız hiçbir şey yerleştirilmez.

Tercihinizden neyi saklarız.

Bir rıza kaydı; rastgele oluşturulmuş bir kimlik numarası, kabul ettiğiniz veya reddettiğiniz kategoriler, zaman ve gördüğünüz metnin sürümünü içerir. IP adresiniz bununla birlikte saklanmaz. Kayıt bir yıl geçerlidir; ardından size yeniden sorulur ve kaydın kendisi kısa süre sonra silinir. Bu saklama, bir tercih yaptığınızı ispatlayabilmek için gereklidir (GDPR madde 7(1)).

Tercihinizi değiştirme.

Web sitesinin altındaki bağlantıdan istediğiniz zaman yapabilirsiniz.

İstatistik.

Analitik çerezleri kabul ederseniz, siteyi iyileştirmek için hangi sayfaların ziyaret edildiğini ölçeriz. Ölçüm verileri sizi başka web sitelerinde kişisel olarak izlemek için kullanılmaz.

Mobil uygulamada reklam veya izleme çerezi kullanılmaz.

Bu madde, platformdaki bir kuruluşa değil, bize verdiğiniz verilere ilişkindir. Bunlarda veri sorumlusu biziz.

Ne zaman söz konusu olur.

İletişim formunu doldurduğunuzda, bir deneme veya tanıtım talep ettiğinizde, bir şablon indirdiğinizde, yönetim taramasını yaptığınızda veya bültenimize kaydolduğunuzda.

Neyi kaydederiz.

Adınızı, e-posta adresinizi, varsa telefon numaranızı ve kuruluş adınızı, mesajınızı, hangi formu doldurduğunuzu ve nereden geldiğinizi. Mesajınızın içeriği ve buna ilişkin aldığımız notlar şifreli saklanır. Kendi gelen kutumuzda bu veriler maskelenmiş gösterilir; tam görünür kılmak yalnızca bir gerekçe belirtilerek mümkündür ve bu işlemin kendisi kaydedilir.

Hukuki dayanak.

Sorunuzu yanıtlamak veya talep ettiğiniz dosyayı iletmek için: talebinizin yerine getirilmesi. Haber ve güncelleme göndermek için: varsayılan olarak boş duran ayrı bir onay kutusu üzerinden rızanız.

İki şeyi kesin biçimde ayırıyoruz.

Bir dosyayı e-posta ile iletmek talebinizin yerine getirilmesidir ve bülten aboneliği doğurmaz. Ayrıca haberdar olmak isterseniz bu, kendinizin işaretlediği ayrı bir tercihtir. Ücretsiz bir indirme mevcut bir müşteri ilişkisi değildir ve birine verilen rıza diğerine bağlanamaz (GDPR madde 7(4), Hollanda Telekomünikasyon Kanunu madde 11.7).

Abonelikten çıkma.

Bizden gelen her ticari e-posta bir abonelikten çıkma bağlantısı ve e-posta programınızın bunun için kullandığı teknik başlıkları içerir. Abonelikten çıkma e-posta adresinizin tamamı için geçerlidir ve derhâl etkili olur; yalnızca yeni ve açık bir kayıt bunu kaldırır. İşlemsel iletiler — parola sıfırlama, bir onay, bir fatura — abonelikten çıkma bağlantısı içermez, çünkü bunlar hizmetin kendisine aittir.

Yönetim taraması.

Tarama anonim olarak tamamlanabilir. E-posta adresi girmezseniz hiçbir iletişim kaydı oluşturulmaz. Puanınız bizim tarafımızda hesaplanır; yanıtlarınız üçüncü bir tarafa gitmez.

Saklama süresi.

Bu verileri iletişim güncel olduğu sürece ve sonrasında gerekli olandan uzun olmayan bir süre saklarız. Bir abonelikten çıkmayı ve rızanızın kanıtını ise saklarız, çünkü aksi hâlde tercihinize saygı gösterdiğimizi ispatlayamayız.

Burada olmayanlar.

Bu veriler platformdaki bir kuruluşun verileriyle asla karıştırılmaz ve yeniden satılmaz.

Platformdaki bir kuruluş şirketlere reklam alanı satabilir. Uygulamada, bir bilgi ekranında, kuruluşun web sitesinde veya bülteninde bir reklam görünüyorsa aşağıdakiler geçerlidir.

Kişiselleştirilmiş değil: Reklamlar bireysel kullanıcılara göre uyarlanmaz. Bir kuruluş aynı yeri birden fazla reklamverene satarsa, bilgi ekranı tüm reklamlar arasında döner ve uygulama her ekran ziyaretinde rastgele birini seçer. Hangi reklamı gördüğünüz dolayısıyla kim olduğunuza, daha önce ne yaptığınıza veya hangi cihazı kullandığınıza bağlı değildir.

Profilleme yok: Hakkınızda bir reklam profili oluşturulmaz. Uygulamadaki veya sitedeki davranışınızdan ilgi alanı, özellik veya segment çıkarmayız ve hangi reklamı göreceğinizi belirlemek için verilerinizi kullanmayız.

Üçüncü taraf reklam SDK'sı yok: Uygulama ve web sitesi reklam ağı, reklam borsası veya bir reklam tarafına ait izleme pikseli içermez.

Reklamverenlerle paylaşım yok: Reklamverenler kişisel veri almaz. Yalnızca kendi reklamlarına ilişkin toplulaştırılmış toplamları görürler.

Yalnızca toplulaştırılmış sayaçlar: Reklam başına toplamda kaç kez gösterildiğini ve tıklandığını tutarız. Bununla birlikte kullanıcı kimliği, cihaz kimliği, IP adresi veya çerez saklanmaz; bu tek bir toplamdır ve bir kişiye götürülemez. Bir tıklama, bizim aracı bir ölçüm adresimiz üzerinden değil, doğrudan reklamverenin web sitesine gider.

Bir web sitesinde gösterim, ancak reklam görünür olduğunda sayılır. Bir bilgi ekranında gösterilen her şey aynı zamanda görünürdür; bir web sitesinde ise reklam çoğu kez ekranın altında kalır. Orada sayaç, reklam fiilen yarısı görünecek biçimde ekrana geldiğinde ve ziyaret başına bir kez artar. Bülten söz konusu olduğunda gösterim, kuruluşun zaten kullandığı açılma ölçümü aracılığıyla e-posta açıldığında sayılır; bu kapalıysa blok sayılmaz. Bunun için yeni bir ölçüm eklenmez.

Tanınabilirlik: Her reklam görünür biçimde "Reklam" etiketini, reklamverenin adını ve neden gördüğünüze dair bir açıklamayı taşır. Bu, Dijital Hizmetler Yasası madde 26'dan ve Hollanda Reklam Kurallarının tanınabilirlik şartından doğar ve kapatılamaz.

Reklamverenin verileri: Reklamverenin kendisinden, reklamı değerlendirebilmek, faturalayabilmek ve yayınlayabilmek için şirket bilgilerini ve irtibat kişisinin iletişim bilgilerini işleriz. Hukuki dayanak: sözleşmenin ifası. Bunun veri sorumlusu, reklam verdiği kuruluştur; bkz. madde 2. Reklamveren bu verileri kendi reklamveren portalında görüntüleyip güncelleyebilir. Kendi e-posta adresini değiştiremez — bu, hesabının anahtarıdır — ve kabul ettiği reklam şartlarının kanıtı değiştirilemez biçimde kayıtlıdır.

Hukuki sonuç doğuran otomatik karar yok.

Platformda, yalnızca otomatik işlemeye dayanan ve sizin hakkınızda hukuki sonuç doğuran veya sizi benzer şekilde önemli ölçüde etkileyen karar alınmaz (GDPR madde 22). Notları bir öğretmen girer, bir devamsızlığı bir insan tespit eder, bir üyeliği bir yönetici değerlendirir. Platformun yaptığı hesaplamak, sıralamak ve işaret etmektir — kararı bir insan verir.

Otomatik olarak olanlar ve bunun anlamı.

• - Platform, bir öğrencinin birden çok kez devamsızlık yaptığını veya ödevin geri kaldığını işaret edebilir. Bu, öğretmene bir sinyaldir, öğrenci hakkında bir hüküm değildir.
• - Aile indiriminde aidat tutarı kayıtlı çocuk sayısına göre hesaplanır. Bu sayı sonradan değişirse portal, tutarı sessizce değiştirmek yerine "indirimi gözden geçir" sinyali gösterir — kararı bir insan verir.
• - Ödeme hatırlatmaları sabit bir sırayı izler. Asla kendiliğinden kayıt silmeye yol açmaz.
• - Bilinmeyen bir cihazdan girişte bir uyarı alırsınız. Hesabınız bu nedenle engellenmez.

Yapay zekâ işlevleri.

Platformda üç tür yapay zekâ işlevi vardır. Üçü için de geçerli olanlar:

• - Dil modeli kendi donanımımızda çalışır. OpenAI, Google, Anthropic veya başka bir harici sağlayıcıya veri gitmez.
• - Verileriniz model eğitmek, ince ayar yapmak veya değerlendirmek için kullanılmaz.
• - Bir yapay zekâ işleviyle karşı karşıya olduğunuzu her zaman görürsünüz ve her zaman bir insana başvurabilirsiniz.
• - Bir dil modelinin çıktısı hatalı olabilir. Bunu bir yardımcı olarak kullanın, bir tespit olarak değil; bir karara dayanak yapmadan önce sonucu doğrulayın.

Veriler için yapay zekâ asistanı. Kullanıcının zaten erişimi olduğu verilerle ilgili soruları yanıtlar, özetler ve analizler hazırlar. Varsayılan olarak kapalıdır ve kuruluş bazında açılır. Bir öğretmen için kendi sınıfları içindeki eğitim verileriyle sınırlıdır. Mali veriler, üye kaydı, kayıtlar ve dışa aktarmalar onun için kapalıdır ve velilerin iletişim bilgileri maskelenir.

Yardım asistanı. Yönetim portalında platformun kullanımıyla ilgili soruları yalnızca Aqlemy kılavuzundan yanıtlar. Kuruluşunuzun verilerini okumaz. Yöneticiler ve öğretmenler tarafından kullanılabilir; bir kuruluş onu kapattırabilir, bir yönetici de onu yönetici bazında kapatabilir. Bunun için:

• - Sorularınız e-posta adresleri, telefon numaraları, IBAN'lar, vatandaşlık numaraları (BSN) ve posta kodu ile kapı numarası birleşimi olmadan saklanır: bunlar saklanmadan önce bir işaretle değiştirilir. Bir konuşma son mesajdan 90 gün sonra otomatik olarak silinir.
• - Sorunuzu bir çalışana sormak isterseniz, konuşmanın aynı değiştirmeleri içeren bir kopyası destek talebinizle birlikte gider. Bu kopya, destek talebi var olduğu sürece saklanır.
• - Bir yanıta verdiğiniz değerlendirme (başparmak yukarı veya aşağı) ve yanıtsız kalan soruların sayısı yalnızca kılavuzu iyileştirmek için kullanılır. Bir modeli eğitmek veya değerlendirmek için kullanılmaz.

Destek taleplerine taslak yanıtlar. Bir Aqlemy çalışanı destek talebiniz için bir taslak yanıt oluşturtabilir. Model bunun için talebin konusunu ve son mesajlarını, yukarıdakiyle aynı değiştirmelerle alır; çalışanlarımızın iç notlarını asla almaz. Taslak her zaman bir insan tarafından okunur, gerekirse düzeltilir ve bir insan tarafından gönderilir; bir insan göndermediği sürece asla yanıtımız sayılmaz. Taslağın metnini saklamayız. Bir taslağın kullanışlı olup olmadığını ölçmek için ondan geri döndürülemeyen bir parmak izini 180 gün saklarız.

Çeviri.

Bir yönetici bir metni otomatik çevirtirse, bu kendi donanımımızdaki aynı dil modeliyle yapılır. Metin sunucumuzdan çıkmaz. Gerekmedikçe çevirteceğiniz bir metne kişisel veri koymayın.

Otomatik olarak silinenler. Aşağıdaki veriler süre dolduğunda kendiliğinden silinir:

• - Girişler ve bilinen cihazlar: 24 ay
• - Geçici olarak reddedilen bir IP adresinin kaydı: son reddetmeden sonra en çok yaklaşık 31 gün. Elle bir istisna listesine aldığımız bir adres, biz onu kaldırana kadar kalır
• - İşlem kaydı: olağan işlemler için 18 ay, dikkat gerektiren işlemler için 24 ay. Güvenlikle ilgili kayıtlar — giriş, silme, yetki değişikliği, dışa aktarma, maskelenmiş verilerin görünür kılınması ve her rıza değişikliği — süresiz saklanır
• - Teknik hata ve sistem ölçümleri: 30 gün
• - Ödeme hizmeti sağlayıcılarının bildirimleri: 90 gün
• - Oluşturulan rapor dosyaları: 14 gün; bir raporun çalıştırıldığına dair kayıt: 90 gün
• - Yardım asistanıyla yapılan konuşmalar: son mesajdan sonra 90 gün
• - Bir destek talebine verilen taslak yanıtın ölçüm verileri (metin olmadan): 180 gün
• - Çerez rızası: bir yıl geçerli ve kısa süre sonra silinir
• - Tek kullanımlık doğrulama kodları ve tamamlanmamış kayıtlar: türüne göre birkaç saat ilâ birkaç gün içinde

Hesabınıza bağlı veriler. Üyelik, eğitim ve iletişim verilerini kuruluş hesabı sürdürdüğü sürece saklarız. Bunları kendiliğimizden silmeyiz: veri sorumlusu kuruluştur ve neyin ne kadar saklanacağını o belirler.

İnaktif hesaplar için bilinçli olarak otomatik bir temizlik yoktur. Belirli bir süre işlem görmeyen hesapları veya öğrenci dosyalarını silen bir görevimiz yoktur. Bu bir tercihtir: böyle bir temizlik geri döndürülemez ve süre, veri sorumlusu olan kuruluş tarafından belirlenmelidir — bizim tarafımızdan değil. Bunu açıkça belirtiyoruz, çünkü gizlilik metinleri çoğu zaman hiçbir görev tarafından uygulanmayan süreler iddia eder. Veri sorumlusu olarak kendiniz bir saklama süresi belirleyip bunu düzenli uygulamanız yerinde olur; bir üye kaydı için ad ve adres verilerinde kayıt silinmesinden sonra iki yıl olağandır, mali kısım için ise aşağıdaki yedi yıl geçerlidir.

Talep üzerine silme. Hesabınızın silinmesini isterseniz, hesap 30 gün kullanım dışı bırakılır — bu süre içinde vazgeçebilirsiniz — ve ardından kesin olarak silinir. Bir veli, öğretmen veya öğrenci için bu otuz günden önce kuruluşun onayı gelir, çünkü hesap devam eden bir eğitim ilişkisine bağlı olabilir. Bir üye bunu kendisi yapabilir. Bir talep reddedilirse nedenini öğrenirsiniz.

Kuruluşla sözleşmenin sona ermesi hâlinde veriler, kuruluş aksini istemedikçe 90 gün içinde üretim ortamından silinir. Bkz. Kullanım Şartları madde 16.

Yedekler. Silinen veriler, yedekler süresi dolana kadar yedeklerde bulunabilir. 7 günlük, 4 haftalık ve 12 aylık anlık görüntü sakladığımızdan bu 12 ayı bulabilir. Bir yedek seçici olarak düzenlenmez; bu, kurtarmanın güvenilirliğini bozar. Bu süre boyunca veriler şifreli kalır ve yalnızca kurtarma için kullanılır.

Mali kayıtlar. Ödemeler, faturalar, kasa defteri kayıtları, masraf beyanları ve bağışlar, hesap silinse dahi 7 yıl saklanır (vergi saklama yükümlülüğü, Hollanda Genel Vergi Kanunu madde 52). Ad, e-posta adresi, adres ve hesap numarası bu kayıtlardan çıkarılır; tutarlar, tarihler ve kayıtlar kalır.

Saklanan kanıtlar. Bir kuruluşun şartları ve veri işleme sözleşmesini kabul ettiğine dair kanıt — sürüm, sağlama toplamı ve zaman — saklanır, çünkü bir uyuşmazlıkta bunu ibraz edebilmemiz gerekir (GDPR madde 17(3)(e)). O işleme ait IP adresi ve tarayıcı bilgisi silinir.

Girişlerdeki IP adresi şifreli saklanır; listelerde yalnızca maskelenmiş biçimde görünür.

Kime başvurmalısınız.

Üye, öğrenci, veli veya öğretmen olarak verileriniz söz konusuysa veri sorumlusu kendi kuruluşunuzdur. Talebinizi oraya yöneltin. Bize ulaşırsa gecikmeksizin iletiriz ve size bildiririz. Kendi müşteri ilişkimiz veya web sitemiz söz konusuysa doğru muhatap biziz: privacy@aqlemy.com.

Haklarınız.

Bilgi (madde 13-14). Hangi verilerin, hangi amaçla, hangi dayanakla, ne kadar süreyle ve kiminle paylaşılarak işlendiğini bilmek. Bu belge bunun yerine getirilmesidir.

Erişim (madde 15). Kişisel verilerinizin bir kopyası. Mobil uygulamada bunu kendiniz talep edebilirsiniz: kendi dosyanızı JSON biçiminde, şifresi çözülmüş ve doğrudan okunabilir olarak alırsınız. Bu anında ve bekleme süresi olmadan çalışır.

Düzeltme (madde 16). Yanlış verilerin düzeltilmesi ve eksik verilerin tamamlanması. Birçoğunu profilinizden kendiniz güncelleyebilirsiniz.

Silme (madde 17). Yasal saklama yükümlülükleri ve hukuki taleplerin ileri sürülmesi veya savunulması için gerekli veriler saklı kalmak kaydıyla verilerinizin silinmesi. Bunun nasıl işlediği için bkz. madde 13.

Kısıtlama (madde 18). İşlemenin geçici olarak "dondurulması"; örneğin bir verinin doğruluğu tartışmalıyken.

Taşınabilirlik (madde 20). Kendinizin sağladığı veriler; yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde. Uygulamadan dışa aktarma JSON'dur; kuruluş ayrıca bileşen bazında CSV, XLSX veya PDF olarak dışa aktarabilir.

İtiraz (madde 21). Meşru menfaate dayanan bir işlemeye, özel durumunuzdan kaynaklanan gerekçelerle. Doğrudan pazarlamaya itiraz her zaman mümkündür ve herhangi bir denge gözetilmeksizin daima karşılanır.

Rızayı geri alma (madde 7(3)). İstediğiniz zaman ve vermek kadar kolay. Uygulamada bunu aynı anahtarla yaparsınız.

Otomatik karar verme (madde 22). Bkz. madde 12: gerçekleşmez.

Şikâyet (madde 77). Her zaman Hollanda Veri Koruma Otoritesine şikâyette bulunma ve mahkemeye başvurma hakkınız vardır.

Bir talebi nasıl ele alırız.

• - Bir ay içinde yanıt veririz. Talep karmaşıksa veya çok sayıdaysa bu süreyi iki ay uzatabiliriz; bunu ilk ay içinde gerekçesiyle bildiririz.
• - Talep ücretsizdir ve yılda bir kez sınırı yoktur. Yalnızca açıkça dayanaksız veya aşırı bir talepte — uygulamada: aynı talebin kısa aralıklarla tekrarlanması — makul bir ücret isteyebilir veya reddedebiliriz ve o zaman nedenini açıklarız (GDPR madde 12(5)).
• - Kimliğinizi doğrularız, ancak kimlik belgenizin bir kopyasını istemeyiz. Bilinen e-posta adresiniz veya hesabınız üzerinden doğrulama yeterli ve ölçülüdür.
• - Bir talebi tamamen veya kısmen reddedersek nedenini öğrenirsiniz ve şikâyet yolunu size hatırlatırız.

Özel durum: paylaşılan veriler.

Bazı veriler birden fazla kişiyi ilgilendirir — örneğin iki velinin aile bilgileri ya da iki katılımcılı bir sohbet mesajı. Verilerinizin silinmesi o diğer kişinin haklarını ihlal edemez. Böyle bir durumda size ilişkin olanı siler, kalanına dokunmaz ve ne yaptığımızı açıklarız.

Bu platformdaki verilerin büyük bölümü küçüklere ilişkindir. Bunlar için ek güvenceler geçerlidir.

Yaş sınırı 16'dır.

Bir bilgi toplumu hizmeti bakımından 16 yaşından küçük bir çocuğun rızası, ancak bir ebeveyn veya vasi verirse ya da onaylarsa geçerlidir (GDPR madde 8, Hollanda'da GDPR Uygulama Kanunu madde 5). Platformun uyguladığı sınır budur.

Bu sınır yalnızca rızaya dayanan işlemeleri etkiler: fotoğrafların yayımlanması ve bunların sosyal medyada paylaşılması. Eğitim kaydının kendisi için hukuki dayanak rıza değildir — o, kuruluş ile aile arasındaki sözleşmeye dayanır — ve orada yaş bir şey değiştirmez.

Nasıl uygulanır.

• - Doğum tarihi bilinmiyorsa platform, çocuğun kendi başına karar veremeyeceğini varsayar. Şüphenin güvenli tarafı budur.
• - Sınır, bir rızanın kaydedilebileceği her yolda geçerlidir; profil ekranı dâhil. Denetlenmeyen tek bir yol tüm sınırı değersiz kılardı.
• - Çocuğun vermeye yetkili olmadığı bir rıza "hayır" olarak kaydedilmez. O durumda hiçbir şey saklanmaz; böylece "henüz sorulmadı" ile "reddedildi" ayırt edilebilir kalır. Çocuğun hiç dile getirmediği bir reddi kaydetmek, kendisi yanlış olurdu.

Ebeveyn hakları.

Bir ebeveyn veya vasi, çocuğunun verilerini görüntüleyebilir, düzelttirebilir ve sildirebilir ve bir işlemeye itiraz edebilir. Bir öğrenciye iki veli hesabı bağlıysa bunların hakları eşittir.

Sınırlı erişim.

Öğrenci verileri kuruluş içinde yalnızca bunda rolü olanlara görünür: kendi öğretmeni, ilgili yönetici ve kendi velileri. Bir öğretmen yalnızca kendi sınıflarını görür.

Çocuklara pazarlama yok.

Küçüklerin verilerini kendi pazarlamamız için asla kullanmayız ve platformdaki reklamlar bireysel kullanıcılara göre uyarlanmaz — yaşa göre de değil.

Görsel malzeme.

Bir çocuğun tanınabilir olduğu fotoğrafların yayımlanması gerçek ve geri alınabilir bir tercihtir. Geri alırsanız bu ileriye etkilidir: hâlihazırda yayımlanmış malzeme, kuruluşun gücü dâhilinde olduğu ölçüde talep üzerine kaldırılır. Başka yerlerde çoğaltılmış olanı kuruluş her zaman geri alamaz.

Uygulama yalnızca fiilen kullandığı izinleri ister. Aşağıda her iznin ne işe yaradığı ve verilere ne olduğu yer alır. Her izni telefonunuzun ayarlarından reddedebilir veya sonradan geri alabilirsiniz; o zaman ilgili işlev çalışmaz, uygulamanın geri kalanı çalışır.

Konum.

Bulunduğunuz yer için namaz vakitlerinin hesaplanması ve kıble yönü için. Koordinatlar cihazınızda kullanılır ve sunucularımıza gönderilmez. Bu izni reddederseniz konumu elle ayarlayabilirsiniz; pusula çalışmaz.

Kamera.

Bir ödev için fotoğraf çekmek veya profil fotoğrafı için. Fotoğraf yalnızca siz gönderirseniz platforma gider.

Fotoğraf kitaplığı.

Profiliniz veya bir ek için mevcut bir fotoğrafı seçmek üzere. Uygulama yalnızca sizin seçtiğiniz fotoğrafları alır, tüm kitaplığınızı değil.

Takvim.

Namaz vakitlerini, dersleri ve etkinlikleri kendi takviminize eklemek için. Uygulama ayrıca okuma izni de ister ve bu açıklamayı hak eder: bu izin, hangi takvime yazılacağını gösterebilmek ve sizin seçebilmeniz için gereklidir. Mevcut randevularınız okunmaz, gönderilmez ve saklanmaz.

Bildirimler.

Namaz vakti hatırlatmaları, kuruluşunuzun duyuruları, etkinlikler ve güvenlik uyarıları için. Bir anlık bildirimi iletebilmek için telefonunuzdan bir cihaz belirteci bildirim hizmetine aktarılır; bu belirteç cihazı tanımlar, sizi kişisel olarak değil. Bildirimleri kapatırsanız bunları uygulama içinde ve e-posta ile alırsınız.

Hareket ve manyetik alan sensörü.

Yalnızca kıble pusulası için. Bundan hiçbir şey kaydedilmez veya gönderilmez.

Depolama.

İndirdiğiniz ekleri, tercihlerinizi ve geçici dosyaları cihazın kendisinde saklamak için.

Biyometrik kilit açma.

Uygulamayı yüz veya parmak izi tanıma ile açabilirsiniz. Bu tamamen telefonunuzun güvenli birimi üzerinden yürür: biyometrik özellik cihazınızdan çıkmaz ve asla sunucularımıza ulaşmaz. Biz yalnızca kilit açmanın başarılı olduğu onayını alırız.

Uygulamanın YAPMADIKLARI.

• - Arka plan konumu yok, hareket profili yok, nerede bulunduğunuzun kaydı yok.
• - Reklam kimliği yok, izleme pikseli yok, reklam ağı yok.
• - Kişilerinize, mesajlarınıza veya telefon görüşmelerinize erişim yok.
• - QR kod tarama ve çevrimdışı ses yok; bu işlevler uygulamada bulunmaz.

Bir izni geri alma.

Telefonunuzun ayarlarından, uygulama ve izin bazında. Uygulama yeniden istemez.

Esas: verileriniz AB'de kalır.

Platform, veritabanı ve yedekler, Avrupa Birliği içindeki veri merkezlerinde bir Avrupalı barındırma sağlayıcısında bulunur. Üye kaydınızın, öğrenci dosyalarınızın, mesajlarınızın ve mali kayıtlarınızın içeriği AEA'yı terk etmez.

Aktarımın gerçekleştiği yerler.

Bazı destek hizmetleri, Amerika Birleşik Devletleri'nde yerleşik olan veya orada bileşenleri bulunan taraflarca sunulur — örneğin anlık bildirimler, belirli sağlayıcılar üzerinden e-posta teslimi ya da formların kötüye kullanıma karşı korunması için. Tam olarak neyin gittiği taraf başına aqlemy.com/tr/subprocessors adresinde belirtilmiştir. Çoğu durumda sınırlı bir kategori söz konusudur: bir e-posta adresi, bir cihaz belirteci, bir bildirimin metni.

Hangi dayanakla.

• - Yeterlilik kararı. AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı taraflar için Avrupa Komisyonu'nun 10 Temmuz 2023 tarihli yeterlilik kararı geçerlidir. Bu kararın Adalet Divanı önünde devam eden bir yargılamaya konu olduğunun farkındayız: Genel Mahkeme 3 Eylül 2025'te bir iptal davasını reddetti, ardından temyize gidildi. Karar geçerli olduğu sürece geçerli bir dayanaktır. Durumu takip ediyoruz ve gerektiği anda standart sözleşme maddelerine geçeriz.
• - Standart sözleşme maddeleri (GDPR madde 46(2)(c)). Yeterlilik kararı bulunmayan taraflar için Avrupa Komisyonu'nun kabul ettiği model maddeler, gerektiğinde ek önlemlerle birlikte geçerlidir.

Bilinçli olarak yapmadıklarımız.

• - Amerikalı bir sağlayıcıda barındırma yok.
• - Bir IP adresinden konum belirlemek için harici hizmet yok; bu, kendi sunucumuzdaki bir dosyayla yapılır.
• - Harici dil modeli sağlayıcısı yok; model kendi donanımımızda çalışır.
• - Öğrenci veya üye dosyalarının üçüncü bir ülkeye aktarımı yok.

Kuruluşunuz da karar verir.

Çeşitli bağlantılar isteğe bağlıdır ve kuruluşunuz tarafından açılır. Bir bağlantı kapalıysa oraya hiçbir şey gitmez. Alt işleyen listesindeki bir değişiklik önceden bildirilir ve kuruluşunuz buna itiraz edebilir; düzenleme veri işleme sözleşmesindedir.

Sürüm yönetimi.

Bu politika, sayfanın üst kısmında bir sürüm numarası ve yürürlük tarihi taşır. Her değişiklikte sürüm numarası yükseltilir ve yeni metnin bir sağlama toplamı kaydedilir; böylece hangi metnin hangi anda geçerli olduğu sonradan sabit olur.

Nasıl bilgilendiririz.

• - Redaksiyonel bir değişiklik — dil düzeltmesi, bir açıklama — ayrı bir bildirim olmaksızın yayımlanır.
• - Esasa ilişkin bir değişiklikte kuruluşların yöneticilerini, yürürlük tarihinden en az 30 gün önce, neyin değiştiğine dair kısa bir açıklamayla e-posta ve yönetim portalındaki bir bildirimle bilgilendiririz.

Bu politika için yeni bir onay İSTEMEYİZ.

Bir gizlilik metni bir bilgilendirme belgesidir. Yeniden kabul ettirmek, gerçekte sözleşmeye veya yasaya dayanan işlemeler için rızanın hukuki dayanak olduğu izlenimini haksız yere yaratır ve asıl önemli olan rızaları da zedelerdi. Yalnızca gerçek bir rızanın kapsamı değiştiğinde yeni ve açık bir tercih isteriz — örneğin görsel malzemeye ilişkin yeni bir seçim eklendiğinde.

Kullanmaya devam etmek onay değildir.

Platformu kullanmaya devam etmenizden onay çıkarmayız. Bir değişikliğe katılmıyorsanız madde 14'teki haklarınızı kullanabilirsiniz; bir kuruluş, Kullanım Şartları madde 15 uyarınca sözleşmeyi feshedebilir.

Önceki sürümler.

Önceki bir sürüm privacy@aqlemy.com üzerinden talep edilebilir.

Önce: kime başvurmalısınız.

Sorunuz kuruluşunuzun platformda işlediği verilere ilişkinse — üyeliğiniz, çocuğunuz, sınıfınız, aidatınız — o kuruluşa başvurun. Veri sorumlusu odur ve iletişim bilgileri kendi iletişiminde yer alır. Biz o verileri onun talimatı olmadan değiştiremez veya silemeyiz.

İletişim bilgilerimiz.

Şirket: Haakje B.V. Ticari ad: Aqlemy Ticaret Odası numarası: 42160038 KDV kimlik numarası: NL869977817B01 İşyeri: Haarlem, Hollanda

Gizlilik ve ilgili kişi talepleri: privacy@aqlemy.com Hukuki konular: legal@aqlemy.com Teknik destek: support@aqlemy.com Genel sorular: ask@aqlemy.com Telefon: +31 85 212 8355 (iş günleri 09:00-17:00 CET)

Bize şikâyet.

Verilerinizle veya talebinizle nasıl ilgilendiğimizden memnun değilseniz privacy@aqlemy.com üzerinden bize bildirin. 30 gün içinde esasa ilişkin yanıt veririz. Bize şikâyette bulunmak, denetim otoritesine gitmenin ön koşulu değildir — doğrudan da başvurabilirsiniz.

Denetim otoritesine şikâyet.

Hollanda Veri Koruma Otoritesine şikâyette bulunma hakkınız vardır (GDPR madde 77):

Autoriteit Persoonsgegevens Postbus 93374 2509 AJ Lahey autoriteitpersoonsgegevens.nl

Başka bir AB üye devletinde yaşıyorsanız kendi ülkenizin denetim otoritesine de başvurabilirsiniz.

Mahkemeye başvuru.

Ayrıca bize veya kuruluşunuza karşı etkili bir yargı yoluna başvurma (GDPR madde 79) ve tazminat talep etme (GDPR madde 82) hakkınız vardır.