Veri işleme sözleşmesi

Bu Veri İşleme Sözleşmesi ("VİS"), Genel Veri Koruma Tüzüğü'nün (GDPR) 28. maddesi uyarınca aşağıdaki taraflar arasında hazırlanmıştır:

Haakje B.V., Ticaret Odası numarası 42160038, KDV numarası NL869977817B01, Haarlem'de yerleşik, Aqlemy ticari adı altında faaliyet gösteren, bundan böyle "Veri İşleyen";

ve

Platforma kayıtlı kuruluş, bundan böyle "Veri Sorumlusu";

birlikte "Taraflar".

Bu VİS neden vardır.

Veri Sorumlusu, üyelerinin, öğrencilerinin, velilerinin ve öğretmenlerinin kişisel verilerinin işlenmesinin amacını ve yöntemini belirler. Veri İşleyen bu verileri yalnızca onun talimatıyla işler. GDPR madde 28(3), bu ilişkinin yazılı olarak tespit edilmesini gerektirir; bu VİS o tespittir.

Ne zaman uygulanır.

Bu VİS, Veri Sorumlusu Platforma kaydolduğu veya onu kullandığı anda uygulanır ve söz konusu işleme devam ettiği sürece geçerlidir. Ayrı bir imza gerekmez; kabul, Kullanım Şartları ile aynı yoldan sürüm numarası, zaman damgası ve metnin sağlama toplamıyla kaydedilir.

Öncelik sırası.

Bu VİS, kişisel verilerin işlenmesine ilişkin her konuda Kullanım Şartlarına ve Taraflar arasındaki diğer her düzenlemeye üstün gelir. Bu sıra tartışmaya kapalıdır: genel şartlarla devre dışı bırakılabilen bir veri işleme sözleşmesi GDPR madde 28'i karşılamaz. Diğer konularda — fiyat, süre, erişilebilirlik, destek — Kullanım Şartları geçerlidir.

Ekler.

Üç ek bu VİS'in ayrılmaz parçasıdır:

• - Ek A — İşleme kaydı: işleme başına amaç, veri ve ilgili kişi kategorileri ve saklama süresi (madde 23).
• - Ek B — Güvenlik eki: erişilebilirlik, bütünlük ve gizliliğe göre düzenlenmiş teknik ve idari önlemler (madde 24).
• - Ek C — Alt işleyenler ve aktarım: güncel kayda yapılan atıf ve orada taraf başına neyin yer aldığı (madde 25).

Sektör standardına uyum.

Bu VİS, Hollanda eğitiminde yaygın olarak kullanılan Dijital Eğitim Araçları ve Gizlilik Model Veri İşleme Sözleşmesi'nin yapısını ana hatlarıyla izler: ekler olarak bir gizlilik eki ve bir güvenlik eki bulunan bir ana metin, üçüncü taraf beyanına dayalı bir denetim düzenlemesi ve sözleşmesel sınırlamanın GDPR madde 82 kapsamındaki rücu davasına karşı ileri sürülmesine izin vermeyen bir sorumluluk hükmü. Dijital Eğitim Araçları ve Gizlilik Sözleşmesi'nin imzacısı değiliz ve bunu hiçbir yerde iddia etmiyoruz; yapısını benimsedik, çünkü o yapı amacına hizmet ediyor.

Diller.

Bu VİS Hollandaca, Türkçe, İngilizce ve Arapça olarak mevcuttur. Çelişki hâlinde Hollandaca metin geçerlidir.

Kişisel veri: kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi (GDPR md. 4(1)).

İşleme: kişisel veriler üzerinde gerçekleştirilen her türlü işlem; toplama, kaydetme, düzenleme, saklama, güncelleme, değiştirme, sorgulama, görüntüleme, kullanma, açıklama, silme veya yok etme dâhil (GDPR md. 4(2)).

Veri Sorumlusu: Platformu kullanan ve üyelerinin, öğrencilerinin, velilerinin ve öğretmenlerinin kişisel verilerinin işlenmesinin amacını ve yöntemini belirleyen kuruluş.

Veri İşleyen: Aqlemy adıyla faaliyet gösteren ve kişisel verileri Veri Sorumlusu adına işleyen Haakje B.V..

Alt İşleyen: Veri Sorumlusu adına kişisel veri işlemek üzere Veri İşleyen tarafından görevlendirilen üçüncü taraf.

İlgili kişi: kişisel verilerin ilişkin olduğu gerçek kişi.

Veri ihlali: iletilen, saklanan veya başka şekilde işlenen kişisel verilerin kazara ya da hukuka aykırı olarak yok edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına veya bunlara yetkisiz erişime yol açan güvenlik ihlali (GDPR md. 4(12)).

Güvenlik olayı: kişisel verilerin dâhil olduğu tespit edilmeksizin güvenliği etkileyen olay. Her güvenlik olayı bir veri ihlali değildir.

Denetim otoritesi: Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens) veya başka bir üye devletteki yetkili otorite.

Platform: Veri İşleyen tarafından işletilen yönetim platformu; yönetim portalı, mobil uygulamalar, herkese açık kuruluş sayfaları ve bilgi ekranları dâhil.

Ana Sözleşme: Taraflar arasındaki hizmet sözleşmesi; sipariş veya kayıt ile Kullanım Şartlarından oluşur.

Ek: madde 1'de sayılan, bu VİS'e ait ek.

Yazılı: kâğıt üzerinde veya elektronik yolla; e-posta ve yönetim portalındaki bildirim dâhil, içeriğin saklanabilmesi ve çoğaltılabilmesi kaydıyla.

İş Günü: Hollanda'da genel kabul görmüş resmî tatiller hariç, pazartesiden cumaya.

Konu.

Veri İşleyen, kişisel verileri Veri Sorumlusunun Platformu kullanması çerçevesinde, yalnızca Ana Sözleşmenin ifası için gerekli olduğu ölçüde işler.

İşlemenin niteliği.

• - Veri Sorumlusunun veya kullanıcılarının girdiği verilerin dijital olarak toplanması, kaydedilmesi, düzenlenmesi ve saklanması.
• - Bu verilerin yönetim portalı, mobil uygulamalar ve herkese açık sayfalar üzerinden gösterilmesi ve yönetilmesi.
• - Veri Sorumlusu adına e-posta, anlık bildirim ve uygulama içi bildirim gönderilmesi.
• - Veri Sorumlusunun kendi üyelerinden tahsil ettiği ödemeler için, kendi ödeme hizmeti sağlayıcısı üzerinden ödeme bilgilerinin işlenmesi.
• - Yedeklerin alınması ve geri yüklenmesi.
• - Veri Sorumlusunun talebi üzerine rapor ve dışa aktarma üretilmesi.
• - Güvenlik kaydı tutulması ve olağandışı bir girişte kullanıcıların uyarılması.
• - İsteğe bağlı olarak ve yalnızca Veri Sorumlusu ilgili işlevi açtığında: sosyal medyada yayın, e-posta pazarlama hizmetiyle eşitleme ve yapay zekâ destekli özetleme ve analiz.
• - Kullanım sorularının kılavuzdan yanıtlanması (yardım asistanı), destek taleplerine taslak yanıt hazırlanması ve metinlerin otomatik çevirisi; Veri İşleyenin kendi donanımındaki dil modeliyle (bkz. Ek A, A14).

İşlemenin amacı.

Ana Sözleşmede tanımlanan hizmetlerin sunulması: üye ve eğitim kaydı, iletişim, mali kayıtlar, yayın ve bunlar için gereken güvenlik ile süreklilik. İşleme başına kesin amaçlar Ek A'da yer alır.

Veri İşleyenin verilerle açıkça YAPMADIKLARI.

• - Veri İşleyenin kendi amaçları için kullanım yok.
• - Ek C'deki alt işleyenler veya yasal bir yükümlülük dışında üçüncü taraflara açıklama yok.
• - Dil modellerini veya başka modelleri eğitmek, ince ayar yapmak veya değerlendirmek için kullanım yok.
• - İlgili kişilerin profillenmesi yok ve reklam amaçlı kullanım yok.
• - Farklı veri sorumlularının verilerinin birleştirilmesi yok.
• - Hiçbir biçimde kişisel veri satışı yok.

Süre.

Bu VİS, Veri İşleyen Veri Sorumlusu adına kişisel veri işlediği sürece ve her hâlde Ana Sözleşmenin süresince geçerlidir. Bkz. madde 20 ve 18.

Aşağıdaki kişisel veri kategorileri işlenebilir. Somut bir olayda fiilen ne işleneceği seçilen pakete, Veri Sorumlusunun kullandığı modüllere ve kendi girdiklerine bağlıdır. Ek A bunu işleme başına, amaç ve saklama süresiyle birlikte ayrıntılandırır.

Kimlik verileri: ad ve soyad, doğum tarihi, doğum yeri, cinsiyet. İletişim bilgileri: e-posta adresi, telefon numarası, adres, posta kodu, şehir. Hesap verileri: rol, dil tercihi, bildirim tercihleri, iki adımlı doğrulama, özetlenmiş parola. Eğitim verileri: öğrenci numarası, sınıf, grup, bölüm, akademik yıl, ödev, notlar, sınav sonuçları, nedeniyle birlikte devam ve devamsızlıklar, ilerleme kalemleri, dosya notları, gözlemler, sertifikalar. Aile verileri: velilerin ve vasilerin adı ve iletişim bilgileri, aile adresi, veli-öğrenci bağı, acil durum iletişim bilgileri. Üyelik verileri: üyelik numarası, türü ve durumu, başlangıç ve bitiş tarihi, aidat tutarı, ödeme geçmişi, açık kalemler, yönetim veya komisyon görevi. Mali veriler: tutarlar, tarihler, ödeme yöntemi ve durumu; kasa defteri kayıtları, faturalar, masraf beyanları, bağışlar, sübvansiyonlar. Tam hesap numaraları ve kart bilgileri Veri Sorumlusunun ödeme hizmeti sağlayıcısında kalır ve Platformda saklanmaz. İletişim verileri: sohbet mesajları ve katılımcıları, duyurular, etkinlikler, bültenler ve alıcı listeleri, şikâyetler ve bildirimler, destek talepleri. Teknik ve güvenlik verileri: IP adresi (şifreli), cihaz ve tarayıcı bilgisi, girişler ve başarısız denemeler, bildirim için cihaz belirteci, işlem kaydı. Özel alanlar: Veri Sorumlusunun kendi tanımladığı alanlar ve içlerine kaydettiği içerik.

Özel nitelikli kişisel veriler.

Platform, GDPR madde 9'da belirtilen özel nitelikli kişisel verilerin işlenmesi için tasarlanmamıştır ve bunlara özgü alan veya ek güvence sunmaz. Veri Sorumlusu yine de böyle verileri kaydederse — örneğin serbest metin alanında veya özel bir alanda — bunu kendi sorumluluğunda yapar ve geçerli bir istisna dayanağına kendisi sahip olmalıdır. Veri İşleyen bu verileri diğer verilerle aynı önlemlerle korur, ek önlemlerle değil.

Burada iki biçim dikkat gerektirir. Dinî amaçlı bir kuruluşa üyelik bağlam içinde din hakkında bir veri olabilir; Veri Sorumlusu bunun için genellikle GDPR madde 9(2)(d)'ye dayanır. Sağlığa atıf yapan bir devamsızlık nedeni ise bir sağlık verisidir; Platform bunun için tek bir durum alanı sunar, tıbbi kayıt değil.

Küçüklere ait veriler.

İşlenen verilerin önemli bir bölümü küçüklere aittir. Taraflar bunun GDPR madde 35(3) anlamında artan bir risk doğurduğunun ve Veri Sorumlusunun bu nedenle daha kolay biçimde bir veri koruma etki değerlendirmesi yapmakla yükümlü olabileceğinin bilincindedir. Bu konudaki destek madde 14'te düzenlenmiştir.

İşlenen kişisel veriler aşağıdaki ilgili kişi kategorilerine aittir:

• - Öğrenciler ve kursiyerler, küçükler dâhil.
• - Veliler, bakım verenler ve vasiler. Bir öğrenciye birden çok veli hesabı bağlanabilir; hakları eşittir.
• - Kuruluşun üyeleri.
• - Öğretmenler, eğitmenler ve rehberler.
• - Kuruluşun yöneticileri ve yönetim kurulu üyeleri.
• - Bir ilgili kişi tarafından bildirilen acil durum kişileri.
• - Bağışçılar ve periyodik bağış yapanlar.
• - Veri Sorumlusu Platform üzerinden reklam alanı sattığında reklamverenlerin irtibat kişileri.
• - Veri Sorumlusu tarafından kaydedilen bülten ve duyuru alıcıları.
• - Kişisel veri işlendiği ölçüde Veri Sorumlusunun herkese açık sayfalarının ziyaretçileri.

Bu VİS kapsamında olmayanlar.

Veri Sorumlusunun irtibat kişisi ve yöneticileri, Veri İşleyen ile olan müşteri ilişkisi bakımından (faturalama, yazışma, destek) bu VİS kapsamında değildir: bunda veri sorumlusu Veri İşleyenin kendisidir. Aynısı Veri İşleyenin güvenlik ve sistem kayıtları ile kendi web sitesinin ziyaretçileri için de geçerlidir. Bu işlemeler Veri İşleyenin Gizlilik Politikasında açıklanmıştır.

Yalnızca talimat üzerine.

Veri İşleyen, bir Birlik veya üye devlet hukuku hükmü kendisini işlemeye zorunlu kılmadıkça, kişisel verileri yalnızca Veri Sorumlusunun yazılı talimatları doğrultusunda işler. Bu son hâlde Veri İşleyen, işlemeden önce Veri Sorumlusunu bilgilendirir; meğerki ilgili mevzuat bu bildirimi ağır basan kamu yararı gerekçeleriyle yasaklasın.

Talimat sayılanlar.

Veri Sorumlusunun talimatları şunlardan oluşur:

• - Ek A dâhil bu VİS;
• - Ana Sözleşme;
• - Veri Sorumlusunun yönetim portalında kendisinin yaptığı yapılandırma: hangi modüllerin açık olduğu, hangi bağlantıların etkin olduğu, hangi rollere hangi yetkilerin verildiği, hangi özel alanların bulunduğu ve iletilerin hangi hedef kitleye yöneltildiği. Bu yapılandırma bu madde anlamında bir talimattır; Veri İşleyen onu içeriğini denetlemeksizin uygular.
• - Veri Sorumlusunun madde 26'daki iletişim bilgileri üzerinden verdiği ek yazılı talimatlar.

Hukuka aykırı talimatta bildirim yükümlülüğü.

Veri İşleyen bir talimatın GDPR'a veya Birliğin ya da bir üye devletin başka bir veri koruma hükmüne aykırı olduğu kanaatindeyse, Veri Sorumlusunu gecikmeksizin bilgilendirir (GDPR md. 28(3), son cümle). Veri İşleyen, talimat teyit edilene veya değiştirilene kadar uygulamayı askıya alabilir. Bu bildirim yükümlülüğü genel bir denetim yükümlülüğü doğurmaz: Veri İşleyen, Veri Sorumlusunun kurduğu her işlemenin hukuka uygun olup olmadığını kendiliğinden değerlendirmez ve buna imkânı da yoktur.

Standart hizmet dışındaki ek talimatlar.

Platformun standart işlevselliği içinde makul olarak yerine getirilemeyecek bir talimatı Veri İşleyen, teknik ve idari olarak mümkün olduğu ölçüde uygular. Bu kayda değer bir çaba gerektiriyorsa Taraflar uygulama ve olası bir ücret konusunda önceden görüşür. Veri İşleyen bu görüşme olmadan bir talimatı maliyet gerekçesiyle reddetmez.

Kendi amaçları yok.

Veri İşleyen kişisel verileri kendi amaçları için işlemez. Platformun işleyişine ilişkin, kişiye veya kuruluşa götürülemeyen toplulaştırılmış kullanım istatistikleri bunun dışındadır; bunlar kişisel veri değildir.

Güvenlik önlemleri kendi amaç değildir.

Veri İşleyen, GDPR madde 32'ye uymak için gerekli güvenlik önlemlerini — giriş kaydı ve olağandışı bir girişte kullanıcının uyarılması dâhil — kendisi belirler ve alır. Bu belirli işleme bakımından amacı ve yöntemi Veri İşleyen belirler ve veri sorumlusu olarak hareket eder; bu işleme yalnızca Platformun güvenliğine hizmet eder ve asla başka bir amaçla kullanılmaz.

Veri İşleyen aşağıdaki yükümlülükleri üstlenir (GDPR md. 28(3)):

a) Talimata bağlılık. Madde 6'da düzenlendiği gibi.

b) Gizlilik. Madde 8'de düzenlendiği gibi.

c) Güvenlik.

Veri İşleyen GDPR madde 32'de öngörülen uygun teknik ve idari önlemleri alır. Bu önlemler madde 11'de ve tam ve denetlenebilir biçimde Ek B'de açıklanmıştır.

d) Alt işleyenler.

Veri İşleyen, madde 10'daki genel yazılı izin olmaksızın alt işleyen görevlendirmez ve her alt işleyene bu VİS'te kendisine yüklenen yükümlülüklerin aynısını yükler.

e) İlgili kişi haklarında destek. Madde 13'te düzenlendiği gibi.

f) GDPR madde 32-36 yükümlülüklerinde destek. Madde 11, 12 ve 14'te düzenlendiği gibi.

g) Denetim ve uyum kanıtı. Madde 16'da düzenlendiği gibi.

h) Sona erme sonrası silme veya iade. Madde 18'de düzenlendiği gibi.

Ek olarak, GDPR madde 28'den türetilmemiş ancak Veri İşleyen tarafından taahhüt edilenler:

i) Kuruluşlar arası ayrım.

Her Veri Sorumlusunun verileri diğerlerinkinden mantıksal olarak ayrılmıştır. Bu ayrım her sorguda uygulanır, yalnızca görüntülemede değil.

j) Veri Sorumlusunun kendisinin denetleyebileceği kayıt.

Yönetim portalındaki işlemler, Veri Sorumlusunun Veri İşleyenin aracılığı olmadan görüntüleyebileceği, arayabileceği ve dışa aktarabileceği bir işlem kaydına yazılır. Güvenlikle ilgili kayıtlar — giriş, silme, yetki değişikliği, dışa aktarma, maskelenmiş verilerin görünür kılınması ve her rıza değişikliği — süresiz saklanır. Bu olanak, Veri Sorumlusunun kendi denetim görevini yerine getirebilmesi için vardır.

k) Gerekçesiz inceleme yok.

Veri İşleyen; bir arızayı gidermek, bir talimatı uygulamak veya yasal bir yükümlülüğü yerine getirmek dışında mesajların, dosyaların veya mali kayıtların içeriğini incelemez ve gerekli olanla sınırlı kalır.

l) İşlemeyi etkileyen değişikliklerin bildirimi.

Veri İşleyen, Platformda işlenen kişisel veri kategorilerinin genişlemesine veya yeni bir amaca yol açan bir değişiklik yaparsa, Veri Sorumlusunu önceden ve anlaşılır bir dille bilgilendirir ve Ek A'yı günceller. Kişisel veri işleyen yeni bir işlev, Veri Sorumlusu açana kadar varsayılan olarak kapalıdır.

m) Bir makamın talebinde işbirliği.

Veri İşleyen, Veri Sorumlusunun verilerine ilişkin bir soruşturma veya denetim makamı talebi alırsa dayanağı ve yetkiyi inceler, talep edilenden fazlasını vermez ve Veri Sorumlusunu önceden bilgilendirir — yasa bunu yasaklamadıkça.

Gizlilik.

Veri İşleyen, Veri Sorumlusu adına işlediği kişisel verileri gizli tutar ve yalnızca bu VİS'in ifası için kullanır. Bu yükümlülük VİS'in sona ermesinden sonra da devam eder ve süreyle sınırlı değildir.

Erişimi olan kişiler.

Veri İşleyen, kişisel veri işlemeye yetkili kişilerin gizlilik taahhüdünde bulunmuş olmasını veya uygun bir yasal gizlilik yükümlülüğü altında olmasını ve yalnızca görevleri için ihtiyaç duydukları verilere erişmesini sağlar.

Ölçek ve erişim.

Veri İşleyen küçük bir işletmedir. Bu nedenle üretim ortamına erişimi olan kişi sayısı çok sınırlıdır ve bu güvenlik açısından bir avantajdır. Aynı zamanda, büyük bir kuruluşa göre tasarlanmış önlemlerin — geliştirme ile işletim arasında görev ayrımı, ayrı bir bilgi güvenliği görevlisi, düzenli bir iç denetim programı — bu biçimde bulunmadığı anlamına gelir. Ek B, kategori bazında neyin mevcut olduğunu ve sınırın nerede olduğunu açıklar; böylece Veri Sorumlusu var olmayan önlemleri varsaymaz.

Personel veya yardımcı kişilerin görevlendirilmesi hâlinde.

Veri İşleyen, kişisel verilere erişecek çalışan, serbest çalışan veya yardımcı kişi görevlendirdiğinde onlara yazılı olarak aynı gizlilik ve aynı güvenlik yükümlülüklerini yükler ve erişimi yalnızca gerekli olduğu ölçüde ve sürede verir.

Üretim ortamına erişim.

Üretim ortamına erişim; bir arızayı gidermek, bir talimatı uygulamak veya bakım yapmak için gerçekleşir. Bu erişim yönetim portalı üzerinden yapıldığı ölçüde, Veri Sorumlusunun kendisinin görüntüleyebileceği işlem kaydına yazılır. Sunucu düzeyindeki erişim — örneğin bir yedeğin geri yüklenmesi — bu kaydın dışında kalır; Veri İşleyen, bu sırada Veri Sorumlusunun verilerinin görüntülenmesi veya değiştirilmesi hâlinde bunu ona bildirir.

Veri Sorumlusu aşağıdaki yükümlülükleri üstlenir:

Hukuki dayanak.

Platform üzerinden gerçekleştirdiği her işleme için geçerli bir hukuki dayanağa sahiptir (GDPR md. 6, uygulanabildiği ölçüde md. 9) ve Veri İşleyene vermeye yetkili olmadığı kişisel verileri vermez.

İlgili kişileri bilgilendirme yükümlülüğü.

Üyelerini, öğrencilerini, velilerini ve öğretmenlerini işleme hakkında GDPR madde 13 ve 14 uyarınca bilgilendirir. Veri İşleyenin Gizlilik Politikası Platformdaki işlemeyi açıklar, ancak Veri Sorumlusunun kendi bilgilendirme yükümlülüğünün yerine geçmez: kendisinin verileri ne için kullandığını kendisi açıklamalıdır.

Gereken yerde rıza.

Bir işleme rızaya dayandığında — özellikle görsel malzemenin yayımlanması ve paylaşılması — geçerli bir rızayı ve 16 yaşından küçük çocuklarda bir ebeveyn veya vasinin rızasını ya da onayını sağlar (GDPR md. 8, Hollanda GDPR Uygulama Kanunu md. 5). Platform bu sınırı uygular ve doğum tarihi bilinmiyorsa en güvenli senaryoyu esas alır; ancak rızanın kendisine ilişkin sorumluluk Veri Sorumlusundadır.

Açık talimatlar.

Açık ve belgelenmiş talimatlar verir ve yönetim portalındaki yapılandırmayı — roller, yetkiler, bağlantılar, hedef kitleler, özel alanlar — güncel ve işleyebileceği kapsamla uyumlu tutar.

Doğruluk ve asgarilik.

Girdiği verilerin doğruluğunu sağlar ve amacı için gerekenden fazla veri girmez. Özellikle serbest metin alanlarının ve özel alanların oraya ait olmayan veriler için kullanılmamasına dikkat eder.

Erişim yönetimi.

Yetkileri need-to-know ilkesine göre verir, ayrılan çalışanların hesaplarını zamanında iptal eder ve giriş bilgilerinin paylaşılmamasını gözetir.

Saklama süreleri.

Platformda işlediği verilerin ne kadar saklanacağını belirler ve bu süreleri uygular. Veri İşleyen bu verileri kendiliğinden silmez; bkz. madde 17.

İlgili kişi talepleri.

İlgili kişi taleplerini karşılar. Veri İşleyen madde 13 uyarınca destek verir.

Etki değerlendirmesi.

Bir veri koruma etki değerlendirmesinin gerekip gerekmediğini değerlendirir (GDPR md. 35). Verilerin niteliği göz önüne alındığında — küçüklere ait veriler, olası büyük ölçekte — bu gerçekçi bir ihtimaldir. Veri İşleyen madde 14 uyarınca destek verir.

Kendi bildirim yükümlülüğü.

Bir veri ihlalinin denetim otoritesine ve gerektiğinde ilgili kişilere bildirimini kendisi yapar. Veri İşleyen bunun için madde 12 uyarınca bilgi sağlar.

Kendi işleme kaydı.

Kendi işleme faaliyetleri kaydını tutar (GDPR md. 30(1)). Bu VİS'in Ek A'sı, Platform üzerinden yürüyen kısım için o kaydın doldurulabilmesini amaçlar ancak onun yerine geçmez.

Genel yazılı izin.

Veri Sorumlusu, GDPR madde 28(2) uyarınca alt işleyen görevlendirilmesi için işbu belgeyle genel yazılı izin verir.

Bağlayıcı liste kayıttır.

Güncel alt işleyen listesi — taraf başına amaç, veri kategorileri, ülke ve aktarım dayanağıyla — şurada yayımlanmıştır:

aqlemy.com/tr/subprocessors

Bu liste tek ve bağlayıcı sıralamadır. Burada bilinçli olarak isim sabitlenmemiştir: bir sözleşme metnindeki sabit sıralama kaçınılmaz olarak gerçeğin gerisinde kalır, oysa Veri Sorumlusunun verdiği izin tam da o listeye ilişkindir. Kayıt kendi sürüm numarasını taşır.

Kaydın taraf başına belirttikleri.

Ad, rol, görevlendirmenin amacı, o tarafa giden kişisel veri kategorileri, yerleşim ve işleme ülkesi, AEA dışına aktarımın dayanağı ve bağlantının isteğe bağlı olup olmadığı. İsteğe bağlı bir bağlantıda: Veri Sorumlusunun ortamında kapalıysa oraya veri gitmez.

Değişiklik: bildirim ve itiraz.

• - Veri İşleyen, bir alt işleyenin eklenmesi veya değiştirilmesi niyetini yürürlük tarihinden en az altı hafta önce, yöneticilere e-posta ve yönetim portalındaki bir bildirimle iletir.
• - Veri Sorumlusu bu altı hafta içinde yazılı ve gerekçeli olarak itiraz edebilir.
• - İtiraz hâlinde Taraflar görüşür. Bu bir çözüme ulaşmazsa — örneğin alternatif bir taraf ya da ilgili işlevin kapatılması — Veri Sorumlusu Ana Sözleşmeyi değişikliğin yürürlük tarihi itibarıyla ücretsiz olarak ve madde 18 uyarınca dışa aktarma hakkını koruyarak feshedebilir.
• - Veri İşleyen, görüşme sürdüğü sürece itiraz eden kuruluş için değişikliği teknik olarak mümkün olduğu ölçüde uygulamaz.

Acil durumda istisna.

Bir değişiklik acil bir güvenlik veya süreklilik riskini bertaraf etmek için zorunluysa — örneğin mevcut bir alt işleyen hizmetini durdurduğu veya ciddi bir olay yaşadığı için — Veri İşleyen bunu doğrudan uygulayabilir ve gerekçesiyle birlikte Veri Sorumlusunu gecikmeksizin sonradan bilgilendirir. İtiraz hakkı saklıdır.

Alt işleyene karşı yükümlülükler.

Veri İşleyen her alt işleyene sözleşmeyle, bu VİS'te kendisine yüklenenlerle en azından eşdeğer bir koruma düzeyi sağlayan veri koruma yükümlülükleri yükler (GDPR md. 28(4)). Uygulamada bu, o tarafın standart veri işleme sözleşmesinin kabul edilmesiyle olur; bu sözleşme bazı noktalarda bu VİS'ten farklı ifade edilmiş olabilir — örneğin farklı bir veri ihlali bildirim süresi veya kendi denetim düzenlemesi. Veri İşleyen her alt işleyen için koruma düzeyinin eşdeğer olup olmadığını değerlendirir ve o tarafın davranışından Veri Sorumlusuna karşı tam olarak sorumlu kalır. Talep üzerine ilgili bölümlerin suretlerini veya bu yükümlülüklerin ne şekilde kayda geçirildiğine dair bir beyanı sunar.

Kayıttaki her taraf bir veri işleyen değildir.

Bazı taraflar belirli işlemeler için amacı ve yöntemi kendileri belirler ve bu ölçüde bağımsız veri sorumlusu olarak hareket eder. Böyle bir tarafla 28. madde uyarınca bir sözleşme yoktur ve olamaz da; onların kendi şartları ve dayanağı geçerlidir. Kayıt, her taraf için hangi rolü üstlendiğini belirtir: veri işleyen, ayrıca kendi sorumluluğu bulunan veri işleyen, bağımsız veri sorumlusu veya veri işleyen ilişkisi yok. Bir taraf bağımsız veri sorumlusu olduğunda, Veri Sorumlusu bu aktarımı isteyip istemediğini ve hangi dayanakla olacağını kendisi değerlendirir; Veri İşleyen böyle bir bağlantıyı mümkün olduğunca isteğe bağlı yapar, böylece kapatılabilir.

Sorumluluk.

Veri İşleyen, alt işleyenin yükümlülüklerinin yerine getirilmesinden Veri Sorumlusuna karşı tam olarak sorumlu kalır.

Alt işleyen olmayanlar.

Kayıt, Veri İşleyenin dışarıya vermediklerini de açıkça belirtir: bir IP adresinden konum belirleme kendi sunucusundaki bir dosyayla yapılır, veritabanı uygulamayla aynı sunucuda çalışır ve yapay zekâ işlevlerinin arkasındaki dil modeli kendi donanımında çalışır. Bunlar dolayısıyla alt işleyen değildir ve bu yoldan dışarıya veri çıkmaz.

Veri İşleyen; tekniğin düzeyi, uygulama maliyeti ile işlemenin niteliği, kapsamı, bağlamı ve amaçları ile ilgili kişilerin hak ve özgürlüklerine yönelik riskleri göz önünde bulundurarak GDPR madde 32 uyarınca uygun teknik ve idari önlemler alır. Kategori bazında ayrıntılandırılmış tam açıklama Ek B'dedir. Özetle:

Şifreleme.

• - Platforma giden tüm trafik TLS üzerinden yürür.
• - İletişim bilgileri ve belirlenmiş diğer hassas alanlar AES-256-CBC ile şifreli saklanır. Anahtar program kodunun dışında tutulur.
• - Parolalar bcrypt ile özetlenir ve okunamaz.
• - Yedekler sunucudan ayrılmadan önce şifrelenir.

Açıkça: bu, veritabanı genelinde şifreleme değildir. Yalnızca belirlenmiş alanlar şifreli saklanır. Öğrenci adları, notlar, devamsızlıklar ve mesaj içeriği, korunan bir sunucunun arkasındaki şifreli bir diskte düz metin olarak veritabanında durur. Uçtan uca şifreleme de yoktur: Veri Sorumlusu verileri görebilir, teknik olarak Veri İşleyen de görebilir; aksi hâlde hizmet sunulamaz. Veri İşleyen bunu böyle açıklar, çünkü şifrelemenin yanlış sunumu Veri Sorumlusunu kendi risk değerlendirmesinde engeller ve bir veri ihlalinde hatalı bir bildirime yol açardı.

Erişim kontrolü.

• - Her sorguda uygulanan, kuruluş bazında mantıksal ayrım.
• - Kuruluş içinde ayrıntılı yetki modeliyle rol tabanlı erişim.
• - Öğretmenler yalnızca kendi sınıflarını ve öğrencilerini görür.
• - Yöneticiler için iki adımlı doğrulama.
• - Parola politikası: en az 8 karakter; büyük harf, küçük harf, rakam ve noktalama işareti; yaygın parolalar ve ardışık rakam dizileri reddedilir.
• - Giriş denemeleri IP adresi başına çeyrek saatte on ile sınırlıdır. Hesap kilitleme yoktur; bu, bir kullanıcıyı dışarıda bırakmak için kötüye kullanılabilirdi.
• - Oturumlar kullanıcı bazında iptal edilebilir; bir parola değişikliği veya açık bir iptal mevcut tüm oturumları sonlandırır.

Tespit ve kayıt.

• - Girişler, başarısız denemeler, bilinmeyen cihazlar ve parola ya da iki adımlı doğrulama değişiklikleri kaydedilir ve ilgili kullanıcı uyarılır.
• - IP adresinden konum belirleme yerel olarak yapılır; hiçbir IP adresi harici bir hizmete gitmez.
• - Yönetim portalındaki işlemler, Veri Sorumlusunun kendisinin görüntüleyebileceği bir işlem kaydına yazılır.
• - Hatalar ve sistem ölçümleri kaydedilir ve 30 gün saklanır.

Altyapı.

• - Avrupa Birliği içinde barındırma; veritabanı uygulamayla aynı sunucuda çalışır.
• - Bir İçerik Güvenliği Politikası tarayıcıda nelerin yüklenebileceğini sınırlar.
• - Bağımlılıklar bilinen açıklara karşı düzenli güncellenir.
• - Veri merkezinin fiziksel güvenliğini barındırma sağlayıcısı üstlenir.

Süreklilik.

• - Veritabanı ve dosyaların günlük yedeği; şifreli ve üretim ortamından farklı bir bölgede saklanır.
• - Saklama: 7 günlük, 4 haftalık ve 12 aylık anlık görüntü; ayrıca barındırma sağlayıcısının 7 gün saklanan günlük sistem imajı.
• - Bir felakette azami veri kaybı: 24 saat. Sunucunun tümüyle kaybından sonra hedef kurtarma süresi: 1-3 saat. Otomatik devreye giren yedek sunucu yoktur.

Değerlendirme.

Veri İşleyen aldığı önlemleri düzenli olarak değerlendirir ve gereklilikler ya da teknik gelişmeler gerektirdiğinde sıkılaştırır. Veri Sorumlusu da kendi tarafında uygun önlemleri alır; GDPR madde 32 her iki tarafa hitap eder.

Güvenliğin dayandığı temel.

Yukarıdaki önlemler ve Ek B; harici bir sertifika değil. Veri İşleyenin ISO 27001 sertifikası, SOC 2 raporu yoktur ve düzenli harici sızma testi yaptırmaz. Ek B bunu kategori bazında belirtir; böylece Veri Sorumlusu kendi risk değerlendirmesini doğru bilgiye dayandırabilir ve uyumu denetlemek için hangi yolun açık olduğunu bilir: 16. maddedeki denetim düzenlemesi.

Bildirim süresi.

Veri İşleyen, Veri Sorumlusunun verilerini ilgilendiren bir veri ihlalinden haberdar olmasından sonra gecikmeksizin ve her hâlde 48 saat içinde Veri Sorumlusunu bilgilendirir. Bu süre, Veri Sorumlusunun denetim otoritesine kendi 72 saatlik bildirim süresi içinde rahatça kalmasını sağlayacak biçimde seçilmiştir (GDPR md. 33(1)).

Yalnızca bir şüphe varsa, Veri İşleyen incelemeyi beklemez: o anda mevcut bilgiyle şüpheyi bildirir ve daha fazlası öğrenildikçe tamamlar. Kademeli bildirim serbesttir; tablo tamamlanana kadar susmak değildir.

Bildirimin içeriği.

Bildirim, bilindiği ölçüde şunları içerir:

• - ihlalin niteliği ve verilerin okunması, kopyalanması, değiştirilmesi, silinmesi veya çalınması söz konusu olup olmadığı;
• - ihlalin gerçekleştiği zaman veya dönem ile keşfedilme zamanı;
• - ihlalin nasıl keşfedildiği;
• - muhtemel nedeni;
• - ilgili kişisel veri kategorileri ve ilgili kişi grupları ile tahmini ilgili kişi ve kayıt sayısı;
• - söz konusu verilerin şifreli, özetlenmiş ya da başka şekilde okunamaz olup olmadığı;
• - özel nitelikli veya hassas nitelikte veri olup olmadığı; küçüklere ait veriler, erişim veya kimlik verileri, mali veriler ya da öğrenim başarısı dâhil;
• - Veri Sorumlusu ve ilgili kişiler için muhtemel sonuçlar ve mümkünse risk değerlendirmesi;
• - ihlali sona erdirmek ve sonuçlarını sınırlamak için alınan ve tekrarını önlemek için öngörülen önlemler;
• - Veri İşleyendeki irtibat noktasının adı ve iletişim bilgileri.

Yüksek risk.

İhlalin gerçek kişilerin hak ve özgürlükleri bakımından yüksek risk taşıması muhtemel görülüyorsa (GDPR md. 34(1)), Veri İşleyen bunu açıkça belirtir; böylece Veri Sorumlusu ilgili kişilere yapacağı bildirimi hazırlayabilir.

Kim kime bildirir.

Denetim otoritesine ve gerektiğinde ilgili kişilere bildirim Veri Sorumlusunun görevidir. Veri İşleyen, Taraflar yazılı olarak aksini kararlaştırmadıkça bu bildirimi onun adına yapmaz. Veri İşleyen bildirimin yapılabilmesi için gerekli desteği verir ve talep üzerine olayın taslak bir tanımını sunar.

Veri ihlali olmayan güvenlik olayları.

Veri ihlali olmamakla birlikte Veri Sorumlusu için önemli olabilecek bir güvenlik olayı hakkında — örneğin erişilebilirliğe yönelik başarılı bir saldırı ya da verilerin görüntülenmediği ancak istismar edilen bir açık — Veri İşleyen onu beş iş günü içinde aynı açıklıkla bilgilendirir.

Kayıt.

Tüm veri ihlalleri ve güvenlik olayları, denetim otoritesine bildirim gerekmese dahi, olgular, sonuçlar ve alınan düzeltici önlemlerle birlikte Veri İşleyen tarafından bir olay kaydına işlenir (GDPR md. 33(5)). Bu kayıt, kendisini ilgilendirdiği ölçüde talep üzerine Veri Sorumlusunun incelemesine açıktır.

İrtibat noktası.

Veri ihlali veya güvenlik olayı bildirimleri legal@aqlemy.com adresine, support@aqlemy.com kopyalı olarak gider. Veri Sorumlusu, bildirim alabileceği güncel bir e-posta adresini yönetim portalında tutar.

Maliyetler.

Taraflar bildirim yükümlülüklerinin yerine getirilmesine ilişkin maliyetlerin paylaşımı konusunda makul biçimde anlaşır. Veri İşleyen bu madde uyarınca verdiği destek için ücret talep etmez.

Veri İşleyen, GDPR III. bölüm kapsamındaki ilgili kişi taleplerine yanıt verme yükümlülüğünü yerine getirmesinde Veri Sorumlusuna uygun teknik ve idari önlemlerle destek verir:

• - Bilgi edinme hakkı (md. 13-14)
• - Erişim hakkı (md. 15)
• - Düzeltme hakkı (md. 16)
• - Silme hakkı (md. 17)
• - İşlemenin kısıtlanması hakkı (md. 18)
• - Düzeltme, silme veya kısıtlamada bildirim yükümlülüğü (md. 19)
• - Veri taşınabilirliği hakkı (md. 20)
• - İtiraz hakkı (md. 21)
• - Yalnızca otomatik karara tabi olmama hakkı (md. 22)

Bu destek uygulamada nasıl görünür.

Destek her şeyden önce Veri Sorumlusunun Veri İşleyenin aracılığı olmadan kendisinin kullanabileceği işlevlerden oluşur:

• - yönetim portalında her verinin görüntülenmesi ve düzeltilmesi;
• - üye listesi, öğrenciler ve veliler, mali kayıtlar, sınav sonuçları ve kendi hazırladığı raporların CSV, XLSX veya PDF olarak dışa aktarılması;
• - ilgili kişinin mobil uygulama üzerinden kendi dosyasını JSON olarak talep edebilmesi — bir son kullanıcının erişim talebi böylece genellikle anında karşılanır;
• - 30 günlük kurtarma süresiyle bir hesabın silinmesi;
• - bir rızanın, verildiği aynı anahtarla geri alınması;
• - bir talebin ele alınışının görünür kaldığı bir işlem kaydı.

Bir talep bunlarla karşılanamıyorsa Veri İşleyen yazılı talep üzerine ek destek verir ve böyle bir talebe beş iş günü içinde yanıt verir; böylece Veri Sorumlusu kendi bir aylık süresine yetişebilir.

Doğrudan Veri İşleyene ulaşan talepler.

Veri İşleyen, Veri Sorumlusunun veri sorumlusu olduğu verilere ilişkin bir talebi doğrudan bir ilgili kişiden alırsa bunu kendisi karşılamaz. Talebi gecikmeksizin Veri Sorumlusuna iletir ve ilgili kişiye talebin nereye iletildiğini bildirir.

İşlemenin kısıtlanması.

Veri Sorumlusu bir işlemenin kısıtlanmasını talimatlandırırsa (GDPR md. 18), Veri İşleyen bunu Platformun işlevselliği elverdiği ölçüde uygular ve elvermediği yerde bir alternatif konusunda görüşür.

Paylaşılan veriler.

Bazı veriler birden fazla ilgili kişiyi ilgilendirir — iki velinin aile bilgileri, iki katılımcılı bir sohbet mesajı. Bir silme talebinde Veri İşleyen talep edene ilişkin olanı siler, kalanına dokunmaz ve ne yapıldığını Veri Sorumlusuna bildirir. Birinin hakkı diğerininkini ihlal edemez.

Maliyetler.

Veri İşleyen bu madde uyarınca makul biçimde verdiği destek için ücret talep etmez. İstisnaen ücret talep etmek isterse — kayda değer, standart dışı çaba gerektiren bir talepte — bunu önceden bildirir ve ancak mutabakattan sonra uygular.

Veri İşleyen, işlemenin niteliğini ve elindeki bilgileri göz önünde bulundurarak, GDPR madde 32 ilâ 36 kapsamındaki yükümlülüklerini yerine getirmesinde Veri Sorumlusuna destek verir.

Güvenlik (md. 32).

Veri İşleyen, Veri Sorumlusunun önlemlerin uygunluğunu değerlendirmesi için gereken bilgiyi sağlar. Ek B bunun çıkış noktasıdır; ek sorular on iş günü içinde yanıtlanır.

Veri ihlalleri (md. 33-34). Bkz. madde 12.

Veri koruma etki değerlendirmesi (md. 35).

Veri Sorumlusu bir etki değerlendirmesi yaparsa Veri İşleyen talep üzerine şunları sağlar: işlemelerin tanımı, veri ve ilgili kişi kategorileri, saklama süreleri, alt işleyenler ve aktarım ile alınan güvenlik önlemleri. Ek A ve Ek B, bu soruları büyük ölçüde önceden yanıtlayacak biçimde hazırlanmıştır.

Verilerin niteliği göz önüne alındığında — küçüklerin kişisel verileri, olası büyük ölçekte — bu Platformdaki birçok veri sorumlusu için etki değerlendirmesi gerçekçi bir yükümlülüktür. Veri İşleyen, bu yükümlülüğün var olup olmadığını onun adına değerlendirmez.

Ön danışma (md. 36).

Etki değerlendirmesi denetim otoritesine ön danışmaya yol açarsa Veri İşleyen buna katkı verir ve otoritenin veri işleyenden istediği bilgiyi sağlar.

Denetim otoritesinin talep ve incelemeleri.

Veri Sorumlusunun kişisel verilerinin işlenmesine ilişkin bir denetim otoritesi talebi veya incelemesi, yasa elverdiği ölçüde Veri İşleyen tarafından gecikmeksizin Veri Sorumlusuna iletilir. Taraflar yanıtlarını birbirleriyle uyumlulaştırır.

Sorumluluk iddiası veya cezada karşılıklı bilgilendirme.

Her taraf, bu VİS ile bağlantılı bir sorumluluk iddiasından veya bir denetim otoritesinin idari para cezası verme niyetinden diğer tarafı gereksiz gecikme olmaksızın haberdar eder. Muhatap taraf:

• - savunmasında diğer tarafın menfaatlerini makul biçimde göz önünde bulundurur;
• - diğer tarafa görüşünü bildirme imkânı tanır;
• - diğer tarafa önceden danışmadan hiçbir sulh önerisini kabul etmez ve hiçbir kanun yolundan feragat etmez.

Maliyetler.

Taraflar bu madde uyarınca makul biçimde verdikleri destek için birbirlerinden ücret talep etmez. Bir taraf istisnaen ücret talep etmek isterse bunu önceden ve mümkün olduğunca bir tahminle bildirir ve destek ancak mutabakattan sonra verilir. Bu ücretsizlik denetim için geçerli değildir; onun için madde 16 uygulanır.

Esas.

Platform, veritabanı ve yedekler Avrupa Birliği içindedir. Veri Sorumlusunun üye ve eğitim kaydının, mesajlarının ve mali kayıtlarının içeriği AEA'yı terk etmez.

Aktarımın gerçekleştiği yerler.

Sınırlı sayıda destek hizmeti, AEA dışında yerleşik olan veya orada bileşenleri bulunan taraflarca sunulur — anlık bildirimler, belirli sağlayıcılar üzerinden e-posta teslimi ve formların kötüye kullanıma karşı korunması dâhil. Hangi veri kategorilerinin hangi tarafa gittiği Ek C'de ve aqlemy.com/tr/subprocessors adresindeki kayıtta taraf başına belirtilmiştir. Çoğu durumda sınırlı bir kategori söz konusudur: bir e-posta adresi, bir cihaz belirteci veya bir bildirimin metni.

Dayanaklar.

• - Yeterlilik kararı. AB-ABD Veri Gizliliği Çerçevesi kapsamında sertifikalı taraflar için aktarım, Avrupa Komisyonu'nun 10 Temmuz 2023 tarihli yeterlilik kararına dayanır (GDPR md. 45).
• - Standart sözleşme maddeleri. Yeterlilik kararı bulunmayan taraflar için Avrupa Komisyonu'nun kabul ettiği model maddeler uygulanır (GDPR md. 46(2)(c)), gerektiğinde ek önlemlerle.

Yeterlilik kararının durumu.

Taraflar, yeterlilik kararının devam eden bir yargılamaya konu olduğunun bilincindedir: Avrupa Birliği Genel Mahkemesi 3 Eylül 2025'te bir iptal davasını reddetmiş, ardından Adalet Divanı'na temyize gidilmiştir. Karar geçerli olduğu sürece geçerli bir dayanaktır. Veri İşleyen durumunu takip eder ve gerektiği anda ek önlemlerle birlikte standart sözleşme maddelerine geçer; bu konuda Veri Sorumlusunu bilgilendirir.

Veri İşleyenin yapmadıkları.

• - AEA dışında barındırma yok.
• - Öğrenci veya üye dosyalarının üçüncü ülkeye aktarımı yok.
• - IP adresinden konum belirleme için harici hizmet yok.
• - Harici dil modeli sağlayıcısı yok.

Veri Sorumlusunun tasarrufu.

Aktarıma yol açan çeşitli bağlantılar isteğe bağlıdır ve Veri Sorumlusu tarafından açılır. Bir bağlantı kapalıysa o yoldan aktarım gerçekleşmez. Listedeki bir değişiklik madde 10'daki bildirim ve itiraz düzenlemesine tabidir.

Kapsam.

Veri Sorumlusu, bu VİS'e uyumun denetlenmesini sağlama hakkına sahiptir; Veri İşleyenin aldığı teknik ve idari önlemler ile veri ihlallerine ilişkin yükümlülüklere uyum dâhil. Veri İşleyen, GDPR madde 28'e uyumu ortaya koymak için gerekli tüm bilgiyi sağlar, denetimlere imkân tanır ve bunlara katkıda bulunur (GDPR md. 28(3)(h)).

Yürütme.

• - Denetim, Taraflardan birinin görevlendireceği ve diğerinin onaylayacağı, üçüncü taraf beyanı düzenleyen bağımsız ve sertifikalı bir dış uzman tarafından yapılır.
• - Denetçi denetim raporunu yalnızca Taraflara verir.
• - Denetçi gizlilikle bağlıdır ve diğer veri sorumlularının verilerine erişemez.
• - Taraflar sonuçların ele alınması ve bir düzeltme süresi konusunda kendi aralarında anlaşır.

Koşullar.

• - Kapsamı belirtilerek en az 30 gün önceden yazılı bildirim.
• - Takvim yılı başına en fazla bir denetim; somut bir sebep bulunmadıkça — örneğin bir veri ihlali, bir denetim otoritesi uyarısı veya uyum konusunda haklı bir şüphe. Bu hâlde ara dönemde de denetim mümkündür.
• - Normal mesai saatlerinde ve Veri İşleyenin işleyişini gereksiz yere aksatmayacak biçimde.

Maliyetler.

Denetim maliyetleri Veri Sorumlusuna aittir; ancak denetimde Veri İşleyene atfedilebilir eksiklikler ortaya çıkarsa Taraflar maliyetlerin makul paylaşımı konusunda görüşür ve Veri İşleyen her hâlde bu eksikliklerin giderilme maliyetini üstlenir. Bu istisna bilinçlidir: denetim tedarikçinin bir eksikliğini ortaya koyduğunda dahi müşterinin ödediği bir denetim düzenlemesi, tam da madde 28'in amaçladığı denetimi caydırır.

Alternatif uyum kanıtı.

Taraflar, yeni bir denetim yerine daha önce yapılmış bir denetimin, geçerli ve uluslararası kabul görmüş bir sertifikanın veya eşdeğer bir doğrulama aracının kullanılmasını kararlaştırabilir. Bu hâlde Veri Sorumlusu sonuçlar hakkında bilgilendirilir.

Veri İşleyenin ISO 27001 sertifikası, SOC 2 raporu ve düzenli bir üçüncü taraf beyanı yoktur. Bu maddedeki denetim yolu bu nedenle Veri Sorumlusunun kendi denetimidir, bir sertifikanın ibrazı değil; yukarıdaki alternatif bunun ileride değişmesi ihtimali için vardır. Bu açıkça belirtilir, çünkü var olmayan "sertifikalara veya raporlara" atıf bu maddeyi boş bir kabuğa çevirirdi. Daha hafif bir ara adım olarak Veri İşleyen güvenliğe ilişkin yazılı bir soru listesini on iş günü içinde yanıtlar.

İşbirliği.

Veri İşleyen denetim sürecinde gerekli bilgi ve belgeleri sağlar ve denetim için gereken erişimi verir; diğer veri sorumlularının hakları ile kendi güvenlik menfaatlerini gözeterek.

Veri Sorumlusu belirler.

Veri Sorumlusu, Platform üzerinden işlediği kişisel verilerin ne kadar saklanacağını belirler ve bunlara uygulanan yasal saklama süreleri hakkında Veri İşleyeni bilgilendirir. Veri İşleyen verileri bu sürelere ve Ana Sözleşmenin ifası için gerekli olana göre daha uzun süre işlemez.

Otomatik temizlik yoktur.

Veri İşleyenin, hesapları, öğrenci dosyalarını veya üye kayıtlarını belirli bir hareketsizlik süresinden sonra silen bir görevi yoktur. Bu bilinçli bir tercihtir: böyle bir temizlik geri döndürülemez ve süre veri sorumlusu olan tarafça belirlenmelidir. Veri Sorumlusu bu nedenle saklama sürelerini kendisi uygulamalıdır; Platform bunun için hesapları ve kayıtları arşivleme veya silme olanağı sunar.

Veri İşleyenin kendisinin uyguladığı süreler.

Veri İşleyenin teknik olarak gerekli gördüğü işlemeler için otomatik uygulanan sabit süreler geçerlidir:

• - girişler ve bilinen cihazlar: 24 ay;
• - işlem kaydı: olağan işlemler için 18 ay, dikkat gerektirenler için 24 ay ve güvenlikle ilgili kayıtlar için süresiz — giriş, silme, yetki değişikliği, dışa aktarma, maskelenmiş verilerin görünür kılınması ve her rıza değişikliği;
• - teknik hata ve sistem ölçümleri: 30 gün;
• - ödeme hizmeti sağlayıcılarının bildirimleri: 90 gün;
• - oluşturulan rapor dosyaları: 14 gün, raporun çalıştırıldığına dair kayıt: 90 gün;
• - çerez rızası: bir yıl geçerli, kısa süre sonra silinir;
• - tek kullanımlık doğrulama kodları ve tamamlanmamış kayıtlar: birkaç saat ilâ birkaç gün.

Ek A bu süreleri işleme başına belirtir. Veri Sorumlusu bunlardan biri için daha kısa bir süre isterse Taraflar görüşür; burada belirtilenden uzun bir süre mümkün değildir.

Bireysel bir hesabın silinmesi.

Bir silme talebi, hesabın kullanım dışı olduğu ve kurtarmanın hâlâ mümkün olduğu 30 günlük bir süreye ve ardından kesin silmeye yol açar. Bir veli, öğretmen veya öğrenci için bundan önce Veri Sorumlusunun onayı gelir.

Yasal saklama yükümlülükleri.

Yasal bir saklama yükümlülüğüne tabi veriler — özellikle Hollanda Genel Vergi Kanunu madde 52'nin yedi yıllık süre öngördüğü mali ve vergisel kayıtlar — Veri Sorumlusu silme talep etse dahi o süre boyunca saklanır. Kimliği belirleyici veriler bu kayıtlardan çıkarılır; tutarlar, tarihler ve kayıtlar kalır.

Yedekler.

Silinen veriler, yedekler süresi dolana kadar yedeklerde bulunabilir. 12 aylık anlık görüntü saklandığından bu on iki ayı bulabilir. Bir yedek seçici olarak düzenlenmez: bu, bütünlüğünü bozar ve kurtarmayı güvenilmez kılardı. Bu süre boyunca veriler şifreli kalır ve yalnızca kurtarma için kullanılır.

Ana Sözleşmenin sona ermesinde aşağıdakiler geçerlidir. Bu madde Kullanım Şartlarının 16. maddesine üstün gelir.

Veri Sorumlusunun tercihi.

Kişisel verilerin iade mi edileceğini yoksa silinecek mi olduğunu Veri Sorumlusu belirler (GDPR md. 28(3)(h)). Bu tercihi sözleşmenin sona ermesinden itibaren 30 gün içinde yapmazsa Veri İşleyen verileri siler.

İade.

• - Bitiş tarihinden sonraki 30 gün boyunca yönetim portalı salt okunur biçimde erişilebilir kalır; böylece Veri Sorumlusu kendisi dışa aktarma yapabilir. Sözleşme kötüye kullanım nedeniyle feshedilmişse Veri İşleyen dışa aktarmayı talep üzerine portal dışından sağlar.
• - Yazılı talep üzerine Veri İşleyen 30 gün içinde kişisel verilerin tamamını yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde sağlar.
• - İlk dışa aktarma ücretsizdir. Tekrarlanan bir talep veya farklı bir biçim için Veri İşleyen önceden bildirmek kaydıyla makul bir ücret talep edebilir.
• - Talep üzerine Veri İşleyen, verilerin başka bir yerde içe aktarılabilmesi için dışa aktarmanın yapısına ilişkin bir açıklama sağlar.
• - Veri İşleyen verileri asla baskı aracı olarak tutmaz. Bir ödeme uyuşmazlığında dahi dışa aktarma sağlanır.

Silme.

• - Veri Sorumlusu aksini talep etmedikçe Veri İşleyen kişisel verileri, yüklenen dosyalar dâhil, sözleşmenin sona ermesinden itibaren 90 gün içinde üretim ortamından siler.
• - Yedeklerdeki veriler yedekleme döngüsüyle birlikte kaybolur. 12 aylık anlık görüntü saklandığından bu on iki ayı bulabilir. Bu süre boyunca veriler şifreli kalır ve yalnızca kurtarma için kullanılır, asla başka bir amaçla değil.
• - Veri İşleyen alt işleyenlerin de verileri silmesini veya iade etmesini gözetir.
• - Silme yazılı olarak teyit edilir. Veri Sorumlusu kendi masrafıyla silmenin gerçekleştiğini denetletebilir.

İstisnalar: ne kalır ve neden.

• - Mali ve vergisel kayıtlar: ödemeler, faturalar, kasa defteri kayıtları, masraf beyanları, bağışlar, sübvansiyonlar ve banka içe aktarma verileri yaklaşık yedi yıllık yasal süre boyunca saklanır. Kimliği belirleyici veriler — ad, e-posta adresi, adres, hesap numarası — bunlardan çıkarılır; tutarlar, tarihler ve kayıtlar kalır.
• - Kullanım Şartlarının ve bu VİS'in kabul edildiğine dair kanıt; belge adı, sürüm, sağlama toplamı, dil ve zamanla birlikte kalır. O işleme ait IP adresi ve tarayıcı bilgisi silinir. Dayanak: GDPR madde 17(3)(e), hukuki taleplerin ileri sürülmesi veya savunulması.
• - Değiştirilemez kayıtlar: silme işlemlerinin arşiv özeti, platform işlemlerinin denetim kaydı, silme taleplerinin kaydı ve ödeme bildirimlerinin tekrar önleme kaydı dokunulmadan kalır. Bunlar üyelerin veya öğrencilerin esaslı kişisel verilerini içermez.
• - Anonimleştirilmiş istatistik: artık bir kişiye veya kuruluşa götürülemeyen veriler kişisel veri niteliği taşımaz ve bu yükümlülüğün dışındadır.

VİS'in devamı.

Kişisel veriler iade edilene veya silinene kadar Veri İşleyen, Ana Sözleşme sona ermiş olsa dahi bu VİS'e tam olarak uymayı sürdürür.

Veri İşleyenin sorumluluğu.

Veri İşleyen, bu VİS'e ve GDPR'ın veri işleyenlere özgü olarak yüklediği yükümlülüklere uyulmamasından doğan zarardan (GDPR md. 82(2)) ve Veri Sorumlusunun hukuka uygun talimatlarının dışında veya bunlara aykırı hareket etmesinden doğan zarardan sorumludur.

Veri Sorumlusunun sorumluluğu.

Veri Sorumlusu; hukuka aykırı veya eksik talimatlardan, geçerli bir hukuki dayanağın bulunmamasından, ilgili kişilerin bilgilendirilmemesinden ya da işlemeye yetkili olmadığı verilerin girilmesinden doğan zarardan sorumludur. İlgili kişilere karşı işlemeye ilişkin birincil sorumluluk ondadır.

Sözleşmesel sınırlama.

Diğer hususlarda Kullanım Şartlarının 12. maddesindeki sorumluluk düzenlemesi geçerlidir: doğrudan zarar on iki aylık ücretlerin toplamıyla ve 250.000 € mutlak üst sınırla sınırlıdır, dolaylı zarar hariçtir ve sınırlama, yönetimin kastı veya bilinçli pervasızlığı hâlinde ortadan kalkar.

Bu sınırlamanın İLERİ SÜRÜLEMEYECEĞİ hâller.

Taraflardan hiçbiri, aşağıdaki hâllerde Ana Sözleşmeden veya Taraflar arasındaki başka bir düzenlemeden doğan bir sorumluluk sınırlamasına dayanamaz: (a) Taraflardan birinin GDPR madde 82 uyarınca açtığı rücu davası; veya (b) bu VİS'ten doğan ve denetim otoritesine ödenmiş, tamamen ya da kısmen diğer tarafa atfedilebilir bir idari para cezasının rücuundan ibaret olan tazminat davası.

Bu istisna Hollanda eğitim sektörü standardından alınmıştır ve bilinçlidir. GDPR madde 82 ilgili kişilere karşı sorumluluğu veri sorumlusu ile veri işleyen arasında dağıtır ve aralarında bir rücu hakkı öngörür. Sözleşmesel bir sınırlama bu rücuya karşı da geçerli olsaydı, yasal risk dağılımı sözleşme yoluyla boşaltılır ve veri sorumlusu, veri işleyenin kusurunun sonucuna katlanırdı.

Bilgilendirme yükümlülüğü.

Her taraf, bu VİS ile bağlantılı bir sorumluluk iddiasından veya bir denetim otoritesinin yaptırım niyetinden diğer tarafı gereksiz gecikme olmaksızın haberdar eder ve savunma için gereken bilgi ve desteği makul biçimde sağlar. Bkz. madde 14.

Sigorta.

Veri İşleyen, bir mesleki ve işletme sorumluluk sigortası ile bir siber sigorta yaptırmıştır. Talep üzerine bu sigortaların yürürlükte olduğuna dair bir beyan sunar.

Süre.

Bu VİS, Veri Sorumlusunun Platforma kaydolduğu veya onu kullandığı anda yürürlüğe girer ve uzatmalar dâhil Ana Sözleşmenin süresince geçerlidir.

Kendiliğinden sona erme.

Bu VİS, Ana Sözleşmenin sona ermesiyle kendiliğinden sona erer. Kişisel veriler madde 18 uyarınca iade edilene veya silinene kadar Veri İşleyen bu VİS'e uymayı sürdürür.

İhlal nedeniyle sona erdirme.

Veri Sorumlusu, Veri İşleyen bu VİS'ten doğan esaslı bir yükümlülüğü ihlal eder ve bu ihlali yazılı temerrüt ihtarından sonra makul bir süre içinde gidermezse, bu VİS'i ve Ana Sözleşmeyi derhâl sona erdirebilir. Niteliği gereği giderilemeyecek bir ihlalde veya ilgili kişilerin haklarını acilen etkileyen ağır bir ihlalde temerrüt ihtarı gerekmez.

Bir alt işleyene itiraz sonrası sona erdirme. Bkz. madde 10.

Devam eden yükümlülükler.

Bu VİS'in sona ermesinden sonra da şunlar yürürlükte kalır:

• - madde 8'deki gizlilik, süre sınırı olmaksızın;
• - madde 18'deki iade ve silme yükümlülükleri, yerine getirilene kadar;
• - madde 17'deki yasal saklama yükümlülükleri;
• - madde 19'daki sorumluluk hükümleri;
• - madde 12'deki bildirim yükümlülüğü, madde 18 uyarınca hâlâ Veri İşleyende bulunan verilere ilişkin bir veri ihlali için.

Sürüm yönetimi.

Bu VİS bir sürüm numarası ve yürürlük tarihi taşır. Her değişiklikte sürüm numarası yükseltilir ve yeni metnin bir sağlama toplamı kaydedilir; böylece hangi metnin hangi anda geçerli olduğu ve bir kuruluşun hangi metni kabul ettiği sonradan sabit olur.

Veri İşleyen ne zaman değişiklik yapabilir.

Veri İşleyen bu VİS'i şu hâllerde değiştirebilir:

• - değişen mevzuat, Avrupa denetim otoritelerinin bir kılavuzu ya da bir mahkeme veya denetim otoritesi kararı bunu gerektirdiğinde;
• - hizmetteki bir değişiklik bunu gerektirdiğinde; işlenen veri kategorilerinin genişlemesi veya yeni bir işleme dâhil;
• - değişiklik redaksiyonel ise ve Tarafların hak ve yükümlülüklerini etkilemiyorsa.

Nasıl.

• - Redaksiyonel bir değişiklik, ayrı bir bildirim olmaksızın yeni bir sürüm numarasıyla yayımlanır.
• - Esasa ilişkin bir değişiklik, yürürlük tarihinden en az 30 gün önce, neyin neden değiştiğine dair kısa bir açıklamayla yöneticilere e-posta ve yönetim portalındaki bir bildirimle duyurulur.
• - Değişiklik işlenen kişisel veri kategorilerinin genişlemesini veya yeni bir amacı içeriyorsa Veri İşleyen yönetim portalında açık bir kabul ister; bu kabul sürüm numarası, sağlama toplamı ve zaman damgasıyla kaydedilir.
• - Veri Sorumlusu esasa ilişkin bir değişikliği kabul etmezse Ana Sözleşmeyi yürürlük tarihi itibarıyla ücretsiz olarak ve madde 18 uyarınca dışa aktarma hakkını koruyarak feshedebilir.

Veri İşleyenin yapmadığı.

Kullanmaya devam etmek, bu VİS'te esasa ilişkin bir değişikliğe onay sayılmaz.

Karşılıklı mutabakatla değişiklik.

Taraflar bu VİS'i ayrıca birlikte ve yazılı olarak değiştirebilir veya tamamlayabilir. Standart metinden sapmalar; ilgili madde, eski ve yeni metin ile gerekçe belirtilerek yazılı olarak kayda geçirilir. Bu kayıt o Taraflar arasındaki VİS'in parçası olur.

Eklerde değişiklik.

Ekler, ana metin değişmeksizin güncellenebilir; örneğin bir işleme eklendiğinde veya bir önlem sıkılaştırıldığında. Ek C'deki bir değişikliğe madde 10 uygulanır. Ek A'da işlenen verilerin genişlemesine yol açan bir değişikliğe bu maddedeki bildirim düzenlemesi uygulanır.

Bu VİS'e Hollanda hukuku uygulanır.

Bu VİS ile bağlantılı uyuşmazlıklar Ana Sözleşmede yetkili kılınan mahkemeye sunulur: Amsterdam Mahkemesi veya — Hollanda Medeni Usul Kanunu madde 93 uyarınca sulh mahkemesinde görülen işler için — o mahkemenin sulh dairesi.

Taraflar bir uyuşmazlığı önce karşılıklı görüşmeyle çözmeye çalışır; Kullanım Şartlarının 17. maddesinde anlatıldığı gibi. Bu çaba, aciliyet gerektiren hâllerde taraflardan birinin ihtiyati tedbir talep etmesine engel değildir ve bir ilgili kişinin doğrudan denetim otoritesine veya mahkemeye başvurma hakkını da etkilemez.

Bu VİS Hollandaca, Türkçe, İngilizce ve Arapça olarak hazırlanmıştır. Dil sürümleri arasında çelişki hâlinde Hollandaca metin geçerlidir.

Bu ek VİS'in ayrılmaz parçasıdır. İşleme başına amacı, kişisel veri ve ilgili kişi kategorilerini ve saklama süresini açıklar; böylece Veri Sorumlusu kendi kaydını (GDPR md. 30(1)) doldurabilir ve bir etki değerlendirmesini temellendirebilir.

Hangi işlemelerin fiilen gerçekleştiği seçilen pakete ve açık olan modüllere bağlıdır. Bir kuruluşta kapalı olan bir işleme orada gerçekleşmez.

A1. Hesap ve erişim yönetimi

Amaç: hesapların oluşturulması, rol ve yetkilerin verilmesi ve erişim sağlanması. Veriler: ad, e-posta adresi, telefon numarası, rol, dil tercihi, özetlenmiş parola, iki adımlı doğrulama. İlgili kişiler: tüm kullanıcılar. Saklama: hesap var olduğu sürece; ardından madde 17 ve 18 uyarınca.

A2. Üye kaydı

Amaç: üyeliklerin, aidatların ve yönetim görevlerinin takibi. Veriler: kimlik ve iletişim bilgileri, üyelik numarası, türü ve durumu, başlangıç ve bitiş tarihi, aidat tutarı, görev. İlgili kişiler: üyeler. Saklama: Veri Sorumlusunca belirlenir; mali kısım vergi saklama yükümlülüğüne tabidir.

A3. Öğrenci kaydı ve eğitim yürütümü

Amaç: kayıt, sınıf ataması, ödev, devam, ilerleme, sınavlar ve sertifikalandırma. Veriler: kimlik verileri, öğrenci numarası, sınıf ve bölüm, akademik yıl, ödev ve durumu, açıklamalarla notlar ve değerlendirmeler, nedeniyle devam ve devamsızlıklar, ilerleme kalemleri, dosya notları, gözlemler, sertifikalar. İlgili kişiler: öğrenciler (küçükler dâhil), öğretmenler. Saklama: Veri Sorumlusunca belirlenir; otomatik temizlik yoktur.

A4. Veli ve aile verileri

Amaç: veli ile çocuk arasındaki bağ, çocuk hakkında iletişim ve acil durumda ulaşılabilirlik. Veriler: veli ve bakım verenlerin adı ve iletişim bilgileri, aile adresi, veli-öğrenci bağı, acil durum iletişim bilgileri. İlgili kişiler: veliler, bakım verenler, vasiler, acil durum kişileri. Saklama: Veri Sorumlusunca belirlenir.

A5. İletişim

Amaç: Veri Sorumlusunun belirlediği bir hedef kitleye yöneltilen duyurular, etkinlikler, bültenler, sohbet, şikâyetler ve bildirimler. Veriler: mesaj içeriği ve katılımcılar, alıcı listeleri, hedef kitle tanımı, gönderim durumu, kullanıldığı yerde okundu bilgisi, bülten kayıt ve kayıt silmeleri. İlgili kişiler: tüm kullanıcılar ve Veri Sorumlusunca kaydedilen alıcılar. Saklama: Veri Sorumlusunca belirlenir.

A6. Ödemeler ve mali kayıtlar

Amaç: aidat, veli katkısı, bağış ve bilet gelirlerinin tahsili ve mali kayıtların tutulması. Veriler: tutar, tarih, ödeme yöntemi ve durumu, açıklama, açık kalemler, kasa defteri kayıtları, faturalar, masraf beyanları, bağışlar, sübvansiyonlar. Tam hesap numaraları ve kart bilgileri Veri Sorumlusunun ödeme hizmeti sağlayıcısında kalır. İlgili kişiler: üyeler, veliler, bağışçılar, masraf beyan edenler. Saklama: Hollanda Genel Vergi Kanunu madde 52 uyarınca yaklaşık yedi yıl; silme hâlinde kimliği belirleyici veriler bu kayıtlardan çıkarılır.

A7. Yayın

Amaç: Veri Sorumlusunun herkese açık sayfasında, gömülü içeriklerde ve bilgi ekranlarında bilgi gösterimi. Veriler: Veri Sorumlusunun kendisinin yayımladığı her şey; adlar, fotoğraflar ve iletişim bilgileri dâhil. İlgili kişiler: hakkında yayın yaptığı kişiler. Saklama: Veri Sorumlusu yayını kaldırana kadar.

A8. Güvenlik ve giriş kaydı

Amaç: yetkisiz erişimin önlenmesi ve tespiti ile kullanıcının uyarılması. Veriler: zaman, sonuç, cihaz ve tarayıcı bilgisi, şifreli IP adresi, şehir ve ülke düzeyinde konum, cihazın daha önce görülüp görülmediği. İlgili kişiler: tüm kullanıcılar. Saklama: 24 ay. Özellik: bu işlemede Veri İşleyen veri sorumlusu olarak hareket eder (madde 6).

A9. İşlem kaydı

Amaç: Veri Sorumlusunun hangi işlemi kimin yaptığını tespit edebilmesi. Veriler: işlem, zaman, aktör ve hedefin şifreli ad etiketleri, kimlik belirtmeyen parametreler. İlgili kişiler: yönetim yetkisi olan kullanıcılar ve bir işlemin ilişkin olduğu kişiler. Saklama: 18 ay (olağan), 24 ay (dikkat), süresiz (güvenlikle ilgili).

A10. Bildirimler

Amaç: uygulama içi bildirim, anlık bildirim ve e-posta teslimi. Veriler: cihaz belirteci, bildirim metni (ad içerebilir), bildirim tercihleri, gönderim durumu. İlgili kişiler: tüm kullanıcılar. Saklama: belirteç geçerli olduğu sürece; gönderim verileri madde 17'deki sürelere göre.

A11. Raporlar ve dışa aktarmalar

Amaç: Veri Sorumlusunun talebi üzerine özet hazırlanması. Veriler: yukarıdaki işlemelerden onun seçtiği alanlar. İlgili kişiler: seçime bağlı. Saklama: dosya 14 gün, çalıştırma kaydı 90 gün.

A12. Reklamlar (isteğe bağlı)

Amaç: Veri Sorumlusunun sattığı reklamların değerlendirilmesi, faturalanması ve gösterimi. Veriler: reklamverenin şirket bilgileri ve irtibat kişisinin iletişim bilgileri ile kullanıcı, cihaz veya IP verisi içermeyen toplulaştırılmış gösterim ve tıklama sayaçları. İlgili kişiler: reklamverenlerin irtibat kişileri. Saklama: ticari ilişki sürdüğü sürece; mali kısım vergi saklama yükümlülüğüne tabidir.

A13. İsteğe bağlı bağlantılar

Amaç: sosyal medyada yayın, e-posta pazarlama hizmetiyle eşitleme, takvim entegrasyonu. Veriler: yalnızca ilgili bağlantı için gerekli olan; bkz. Ek C. İlgili kişiler: bağlantıya bağlı. Saklama: alt işleyende, kendi sürelerine göre; Platformda yukarıdaki işlemelere göre. Özellik: her bağlantı varsayılan olarak kapalıdır ve Veri Sorumlusu tarafından açılır.

A14. Yapay zekâ desteği

Amaç: (1) kullanıcının zaten erişimi olduğu veriler hakkında özetleme, analiz ve soru yanıtlama (isteğe bağlı, kuruluş bazında açılır); (2) Platformun kullanımıyla ilgili soruları Veri İşleyenin kılavuzundan yanıtlama (yardım asistanı); (3) Veri İşleyenin bir çalışanı tarafından destek taleplerine taslak yanıt hazırlanması; (4) bir yöneticinin isteği üzerine metinlerin otomatik çevirisi. Veriler: (1) için yukarıdaki işlemelerden, kullanıcının yetkileri çerçevesinde, bir öğretmen için kendi sınıflarıyla sınırlı ve veli iletişim bilgileri maskelenmiş veriler; (2) için kullanıcının soru metni ve soruyu sorduğu sayfa; (3) için destek talebinin konusu ve mesajları, iç notlar olmadan; (4) için çevrilecek metin. (2) ve (3) için e-posta adresleri, telefon numaraları, IBAN'lar, vatandaşlık numaraları (BSN) ve posta kodu-kapı numarası birleşimleri saklanmadan önce değiştirilir. İlgili kişiler: yönetici veya öğretmen yetkisine sahip kullanıcılar ve bunların bir soruda veya destek talebinde andığı kişiler. Saklama: (1) kullanıcı başına konuşma geçmişi, o kullanıcı tarafından silinebilir; (2) son mesajdan 90 gün sonra, bir destek talebindeki kopya ise talep var olduğu sürece; (3) taslak metni saklanmaz, geri döndürülemeyen bir parmak izi 180 gün; (4) saklanmaz. Özellik: dil modeli Veri İşleyenin kendi donanımında çalışır; harici bir sağlayıcı yoktur ve bu veriler üzerinde eğitim veya değerlendirme yapılmaz. Bir taslak yanıt her zaman bir insan tarafından okunur ve gönderilir.

Bu ek VİS'in ayrılmaz parçasıdır ve GDPR madde 32 ile bu VİS'in 11. maddesinde belirtilen teknik ve idari önlemleri açıklar. Düzen üç klasik boyutu izler: erişilebilirlik, bütünlük ve gizlilik. Her kategoride ne olduğu — ve ilgili olduğu yerde ne olmadığı — belirtilir.

Önce: hizmetin ölçeği.

Veri İşleyen küçük bir işletmedir ve bu ek buna göre yazılmıştır. Üretim ortamına erişimi olan kişi sayısı çok sınırlıdır — insan kaynaklı saldırı yüzeyi küçük kaldığından güvenlik açısından bir avantajdır. Buna karşılık, geliştirme ile işletim arasında görev ayrımı, ayrı bir bilgi güvenliği görevlisi ve bir iç denetim programı gibi büyük bir kuruluşa göre tasarlanmış önlemler burada farklı bir biçim alır. Bu ek, kategori bazında neyin mevcut olduğunu ve sınırın nerede olduğunu açıklar; böylece Veri Sorumlusu kendi risk değerlendirmesini doğru bilgiye dayandırabilir.

ERİŞİLEBİLİRLİK

Tasarım ve kapasite. Platform ve veritabanı, Avrupa Birliği içinde bir Avrupalı barındırma sağlayıcısındaki bir sunucuda çalışır. Kapasite; bellek, işlemci kullanımı, disk alanı, yanıt süresi ile veritabanı ve süreçlerin durumunu ölçen ve eşik aşımında uyaran yerleşik bir izleyiciyle takip edilir.

Bakım. Planlı bakım en az 48 saat önce duyurulur ve mümkün olduğunca yoğun saatler dışında yapılır. Bir güvenlik açığı veya kararlılık sorunu için acil bakım duyurusuz yapılır, sonrasında bildirilir.

Dağıtım. Yeni bir sürüm çalışan sürümün yanında kurulur ve ancak ardından devreye alınır; bir sağlık kontrolü ve başarısızlıkta otomatik geri alma ile.

Yedekleme. Veritabanı ve yüklenen dosyaların günlük yedeği; gönderilmeden önce şifrelenir ve aynı barındırma sağlayıcısında, üretim ortamından farklı bir bölgede saklanır. Saklama: 7 günlük, 4 haftalık ve 12 aylık anlık görüntü. Ayrıca barındırma sağlayıcısının 7 gün saklanan günlük sistem imajı. Yedeğin bütünlüğü düzenli olarak kontrol edilir.

Kurtarma. Bir felakette azami veri kaybı: 24 saat. Sunucunun tümüyle kaybından sonra hedef kurtarma süresi: belgelenmiş bir kılavuza göre elle yeniden kurulumla 1-3 saat.

Kapsam. Otomatik devreye giren yedek sunucu ve ikinci bir üretim ortamı yoktur. Harici ve bağımsız bir erişilebilirlik ölçümü, dolayısıyla yüzde biçiminde bir erişilebilirlik garantisi de yoktur.

BÜTÜNLÜK

Kullanıcıların izlenebilirliği. Yönetim portalındaki her işlem bireysel bir hesaba kadar izlenebilir. İşlemler, Veri Sorumlusunun Veri İşleyenin aracılığı olmadan görüntüleyebileceği, arayabileceği ve dışa aktarabileceği bir işlem kaydına yazılır. Güvenlikle ilgili kayıtlar süresiz saklanır.

İnkâr edilemezlik. Hukuki belgelerin kabulleri; sürüm numarası, metnin sağlama toplamı, dil, zaman damgası ve şifreli bir IP adresiyle, mevcut bir kaydın değiştirilemediği bir kayıt sisteminde tutulur; yeni bir kabul yeni bir kayıttır.

Uygulama kontrolleri. Girdi doğrulanır; dosya yüklemeleri tür ve boyut bakımından, kısmen dosya adına değil gerçek dosya içeriğine dayanarak kontrol edilir. Ödeme hizmeti sağlayıcılarının bildirimleri imza bakımından doğrulanır ve sonuç bağlanmadan önce tekrarları ayıklanır.

Teknik yönetimin izlenebilirliği. Yazılım değişiklikleri sürüm kontrolüne tabidir. Yönetim portalı üzerinden geçmeyen sunucu düzeyindeki işlemler, bu sırada Veri Sorumlusunun verileri görüntülendiğinde veya değiştirildiğinde ona bildirilir.

Kapsam. Geliştirme, test ve işletim arasında biçimsel görev ayrımı ve her değişiklik için ikinci bir kişinin zorunlu incelemesi yoktur.

GİZLİLİK

Mantıksal erişim. Erişim, parolalı kişisel bir hesapla olur. Parolalar bcrypt ile özetlenerek saklanır ve okunamaz. Parola politikası en az 8 karakter ile büyük harf, küçük harf, rakam ve noktalama işareti ister; yaygın parolaları ve ardışık rakam dizilerini reddeder. Yöneticiler bir kimlik doğrulama uygulamasıyla iki adımlı doğrulamayı açabilir. Giriş denemeleri IP adresi başına çeyrek saatte on ile sınırlıdır. Oturumlar kullanıcı bazında iptal edilebilir; bir parola değişikliği mevcut tüm oturumları sonlandırır.

Kuruluşlar arası ayrım. Her Veri Sorumlusunun verileri mantıksal olarak ayrılmıştır. Bu ayrım yalnızca görüntülemede değil, her sorguda uygulanır. Kuruluş içinde ayrıntılı bir yetki modeli geçerlidir; bir öğretmen yalnızca kendi sınıflarını ve öğrencilerini görür.

Ortamların ayrımı. Geliştirme ve test ortamı üretim ortamından ayrıdır. Üretim verileriyle geliştirme veya test yapılmaz.

Aktarım. Platforma giden tüm trafik TLS üzerinden yürür.

Saklama. Belirlenmiş hassas alanlar — e-posta adresleri, telefon numaraları, adresler, IP adresleri ve bazı serbest metin alanları dâhil — program kodunun dışında tutulan bir anahtarla AES-256-CBC ile şifreli saklanır. Bu, veritabanı genelinde şifreleme değildir: öğrenci adları, notlar, devamsızlıklar ve mesaj içeriği veritabanında düz metin olarak durur. Uçtan uca şifreleme yoktur.

Ağ erişimi. Platforma yalnızca web sunucusu üzerinden erişilir; veritabanı internetten erişilebilir değildir. Bir İçerik Güvenliği Politikası tarayıcıda nelerin yüklenebileceğini sınırlar. Barındırma sağlayıcısı veri merkezinin fiziksel güvenliğini ve altyapı düzeyinde ağ güvenliğini üstlenir.

Verilerin yaşam döngüsü. Saklama süreleri mümkün olduğunca otomatik silme ile teknik olarak uygulanır. Silinen dosyalar yalnızca kayıttan değil diskten de kaldırılır.

Açıklarla başa çıkma. Bağımlılıklar bilinen açıklara karşı düzenli güncellenir. Koşullara uyan bir bildirene karşı hukuki yollara başvurulmayacağı taahhüdüyle birlikte bir açık bildirim noktası vardır (Kullanım Şartları madde 11). Bildirimler beş iş günü içinde teyit edilir.

Kapsam. Düzenli harici sızma testi, kod üzerinde otomatik güvenlik tarayıcısı, ISO 27001 sertifikası ve SOC 2 raporu yoktur.

İDARİ

Personel. Kişisel verilere erişimi olan kişiler yazılı olarak gizlilikle yükümlüdür ve yalnızca görevleri için gerekli olana erişir.

Olaylar. Güvenlik olaylarının ve veri ihlallerinin tanınması, kaydedilmesi ve bildirilmesi için madde 12'deki bilgi listesiyle birlikte bir prosedür vardır. Olaylar kaydedilir ve önlemlerin sıkılaştırılmasında kullanılır.

Değerlendirme. Bu ekteki önlemler düzenli olarak değerlendirilir ve gereklilikler ya da teknik gelişmeler gerektirdiğinde güncellenir. Bu ekte bir değişiklik madde 21 uyarınca duyurulur.

Olay iletişimi. legal@aqlemy.com, support@aqlemy.com kopyalı.

Bu ek VİS'in ayrılmaz parçasıdır ve madde 10 ile madde 15'e aittir.

Kayıt.

Güncel alt işleyen listesi şurada yayımlanmıştır:

aqlemy.com/tr/subprocessors

Bu liste, Veri Sorumlusunun madde 10'da genel yazılı izin verdiği bağlayıcı sıralamadır. Kendi sürüm numarasını taşır ve dört dilde mevcuttur.

Kaydın taraf başına belirttikleri.

• - tarafın adı;
• - rol: barındırma, ödemeler, e-posta teslimi, e-posta pazarlama, anlık bildirimler, sosyal medyada yayın, kötüye kullanıma karşı güvenlik, web sitesi istatistiği, arama hizmeti veya oturum açma;
• - görevlendirmenin amacı, sade bir dille;
• - o tarafa giden kişisel veri kategorileri — barındırma sağlayıcısında "tüm platform verileri"nden bildirim hizmetinde "bildirim için cihaz belirteci"ne kadar;
• - yerleşim ve işleme ülkesi;
• - aktarım dayanağı: AEA içinde işleme, AB-ABD Veri Gizliliği Çerçevesi, standart sözleşme maddeleri veya aktarım yok;
• - bağlantının isteğe bağlı olup olmadığı.

İsteğe bağlı bağlantılar.

Bazı taraflar yalnızca Veri Sorumlusu ilgili işlevi açtığında görevlendirilir — e-posta pazarlama, sosyal medyada yayın ve harici bir kimlik hizmetiyle oturum açma dâhil. O işlev kapalıysa onlara veri gitmez. Kayıt bunu taraf başına belirtir.

Açıkça alt işleyen olmayanlar.

Kayıt, bir risk değerlendirmesi için aynı ölçüde önemli olduğundan, Veri İşleyenin dışarıya vermediklerini de belirtir:

• - IP adresinden konum belirleme, Veri İşleyenin kendi sunucusundaki bir veritabanı dosyasıyla yapılır. Hiçbir IP adresi harici bir hizmete gitmez.
• - Veritabanı, harici bir veritabanı sağlayıcısında değil, uygulamayla aynı sunucuda çalışır.
• - Dil modeli, Veri İşleyenin kendi donanımında çalışır. Harici bir dil modeli sağlayıcısına veri gitmez.

Ağustos 2026'da kaldırıldı.

İki taraf hizmetten çıkarıldı ve bu nedenle artık kayıtta yer almıyor: öğrenci, öğretmen ve sınıf adlarını alan bir SMS hizmeti ile her web sitesi ziyaretçisinin IP adresini, o ziyaretçi henüz bir çerez tercihi yapmadan Amerika Birleşik Devletleri'ne gönderen harici bir hizmet.

Bildirim ve itiraz.

Kayıttaki bir değişiklik en az altı hafta önce bildirilir ve Veri Sorumlusu bu süre içinde gerekçeli olarak itiraz edebilir. Acil bir güvenlik veya süreklilik riski hâlindeki istisna dâhil tam düzenleme madde 10'dadır.

Alt işleyenlere karşı yükümlülükler.

Kayıtta veri işleyen olarak yer alan her tarafla, bu VİS'in Veri İşleyene yüklediğiyle en azından eşdeğer bir koruma düzeyi sağlayan bir veri işleme sözleşmesi yapılmıştır; kural olarak bu, o tarafın standart veri işleme sözleşmesidir. Bağımsız veri sorumlusu olarak belirtilen bir tarafla 28. madde uyarınca bir sözleşme yoktur — orada kendi şartları geçerlidir — ve veri işleyen ilişkisi bulunmayan bir tarafa kişisel veri gitmez. Talep üzerine Veri İşleyen ilgili bölümleri veya bunlara ilişkin bir beyanı sunar. Veri İşleyen bu yükümlülüklerin yerine getirilmesinden Veri Sorumlusuna karşı tam olarak sorumlu kalır.

Veri İşleyen

Şirket: Haakje B.V. Ticari ad: Aqlemy Ticaret Odası numarası: 42160038 KDV kimlik numarası: NL869977817B01 İşyeri: Haarlem, Hollanda

İrtibat noktaları

Bu Veri İşleme Sözleşmesi hakkında sorular: legal@aqlemy.com Gizlilik ve ilgili kişi talepleri: privacy@aqlemy.com Veri ihlali veya güvenlik olayı bildirimi: legal@aqlemy.com, support@aqlemy.com kopyalı Teknik destek: support@aqlemy.com Telefon: +31 85 212 8355 (iş günleri 09:00-17:00 CET)

Veri koruma görevlisi.

Veri İşleyen bir veri koruma görevlisi atamakla yükümlü değildir (GDPR md. 37) ve atamamıştır. Veri koruma için sabit irtibat noktası privacy@aqlemy.com'dur. Veri Sorumlusu kendi büyüklüğü veya niteliği nedeniyle bir görevli atamakla yükümlü olabilir; Veri İşleyenin kendisine ulaşabileceği iletişim bilgilerini yönetim portalında tutar.

Veri Sorumlusu

Veri Sorumlusunun bilgileri, yönetim portalında kaydettiği bilgilerdir. Bunları güncel tutar; özellikle bir veri ihlali veya alt işleyen kaydındaki bir değişiklik hakkında bildirim alabileceği e-posta adresini.

Denetim otoritesi

Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Lahey, autoriteitpersoonsgegevens.nl.