KVKK Aydınlatma Metni

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında, kişisel verileriniz veri sorumlusu sıfatıyla Webito Yazılım Bilişim San. Tic. Ltd. Şti. (VKN: 8001197543) tarafından okulsayaci.org ("Site") üzerinden, aşağıda açıklanan amaç ve sınırlar çerçevesinde işlenmektedir.

Veri Sorumlusu: Webito Yazılım Bilişim San. Tic. Ltd. Şti.
VKN: 8001197543
Web: https://okulsayaci.org
İletişim Formu: https://okulsayaci.org/iletisim
E-posta: okulsayaciweb@gmail.com
Faaliyet Konumu: İstanbul, Türkiye

2. İşlenen Kişisel Veri Kategorileri

Sitemizi ziyaret ettiğinizde, üye olduğunuzda, formlarımızı doldurduğunuzda veya hizmetlerimizi kullandığınızda aşağıdaki kişisel veri kategorileri işlenebilir:

• Kimlik Bilgileri: Ad, soyad, kullanıcı adı (üyelik aşamasında).
• İletişim Bilgileri: E-posta adresi, iletişim formu üzerinden iletilen mesaj içeriği.
• Üyelik Bilgileri: Hesap rolü, e-posta doğrulama durumu, oturum geçmişi (token hash, IP, user-agent), iki faktörlü kimlik doğrulama (TOTP) ayar verileri.
• Eğitim/Tercih Bilgileri (opsiyonel): Sınıf seviyesi, hedef sınav türü (LGS, YKS, KPSS vs.), favori sayfalar.
• İşlem Güvenliği Bilgileri: IP adresi, tarayıcı bilgisi, oturum tanımlayıcı, log kayıtları, hata günlükleri, denetim kayıtları (admin_logs).
• Çerez Bilgileri: Tercih çerezleri (tema), oturum çerezleri (PHPSESSID, CSRF), analitik çerezler (Google Analytics 4), reklam çerezleri (Google AdSense).
• Sınav Performans Verileri: Online deneme sınavı çözümleriniz (doğru/yanlış sayısı, süre, cevap dağılımı) — istatistik amacıyla.
• Pazarlama Verileri: Newsletter aboneliği e-posta adresi, iptal tarihi, kampanya açma/tıklama göstergeleri.
• Ödeme Bilgileri (ileride aktive olduğunda): Premium üyelik aktive edildiğinde ödeme sağlayıcısı PayTR üzerinden işlenecek; kart bilgileri Site sunucularında saklanmaz, yalnızca işlem referansı ve abonelik durumu kayıt altına alınır.

3. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenmektedir:

• Sitenin sunduğu hizmetlerin (sayaç, blog, hesaplayıcı, deneme sınavı, içerik) sağlanması ve geliştirilmesi.
• Üyelik ve oturum yönetimi (kayıt, e-posta doğrulama, şifre sıfırlama, oturum güvenliği).
• İletişim taleplerinin yanıtlanması (iletişim formu).
• Newsletter aboneliklerinin yönetilmesi (çift onaylı; abonelik iptali tek tıkla).
• Site güvenliğinin sağlanması, kötüye kullanımın tespiti, sahteciliğin önlenmesi (rate limit, log analizi, IP bazlı denetim).
• İstatistiksel analizlerin yapılması (anonimleştirilmiş trafik analizi).
• Yasal yükümlülüklerin yerine getirilmesi (KVKK, vergi mevzuatı, mahkeme/savcılık talepleri).
• Reklam ve pazarlama faaliyetlerinin yürütülmesi (Google AdSense aracılığıyla — kişiselleştirilmiş reklam isteğe bağlı).
• Premium üyelik aktivasyonu ve abonelik takibi (ileride PayTR entegrasyonu sonrası).

4. Kişisel Verilerin Toplanma Yöntemleri

• Doğrudan sizden: Üyelik kayıt formu, iletişim formu, newsletter aboneliği, profil ayarları.
• Otomatik olarak: Sunucu erişim günlükleri, tarayıcı çerezleri, JavaScript tabanlı analitik araçları.
• Üçüncü taraf hizmetlerden: Google Analytics 4 (anonimleştirilmiş), Google AdSense (reklam personalizasyonu — opt-out destekli), Cloudflare (CDN/güvenlik logu).

5. Kişisel Veri İşlemenin Hukuki Sebebi

Kişisel verileriniz, KVKK'nın 5. ve 6. maddelerinde sayılan aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

• Açık rızanızın bulunması — Newsletter aboneliği, kişiselleştirilmiş reklam tercihi, ileride aktive olabilecek pazarlama iletişimleri.
• Bir sözleşmenin kurulması veya ifası için zorunlu olması — Üyelik sözleşmesi (Site Kullanım Şartları), premium abonelik (ileride).
• Hukuki yükümlülük — KVKK, vergi mevzuatı, e-ticaret mevzuatı çerçevesindeki yükümlülükler.
• Veri sorumlusunun meşru menfaati — Site güvenliği, kötüye kullanımın engellenmesi, hizmet kalitesinin iyileştirilmesi, dolandırıcılığın önlenmesi.
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk — Yasal merciler önündeki uyuşmazlıklarda delil olarak.

6. Kişisel Verilerin Aktarılması

Kişisel verileriniz, KVKK'nın 8. ve 9. maddeleri çerçevesinde, yalnızca aşağıda belirtilen amaçlar ve taraflarla sınırlı olarak aktarılabilir:

• Hosting Sağlayıcısı: Site sunucusunu barındıran altyapı sağlayıcısı (yurt içi).
• İçerik Dağıtım Ağı (CDN): Cloudflare Inc. (statik kaynaklar, DDoS koruması).
• Analitik: Google LLC — Google Analytics 4 (anonimleştirilmiş IP).
• Reklam: Google LLC — Google AdSense.
• E-posta Servisi: Google LLC — Gmail SMTP (transactional mailler: aktivasyon, şifre sıfırlama, iletişim, newsletter).
• Ödeme Sağlayıcısı (ileride): PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (yurt içi). Kart verisi Site sunucusunda tutulmaz; PayTR PCI-DSS sertifikalıdır.
• Yasal Merciler: Yasal zorunluluk halinde mahkemeler, savcılıklar, KVK Kurumu, BTK, MASAK ve yetkili kamu kurumları.

7. Kişisel Verilerin Yurt Dışına Aktarılması

Google LLC ve Cloudflare Inc. gibi sağlayıcılar yurt dışı menşeli olduğundan, ilgili hizmetlerin niteliği gereği bazı verileriniz yurt dışına aktarılabilir. Bu aktarımlar, KVKK'nın 9. maddesi uyarınca aşağıdaki yöntemlerle gerçekleştirilir:

• Veri sahibinin açık rızasının alınması (gerektiğinde),
• Yeterli korumayı sağlayan ülke/şirket kapsamında veya KVK Kurulu tarafından onaylanan taahhütnamelere dayanılarak,
• Standart sözleşme maddeleri (SCC) ve eşdeğer mekanizmalar.

8. Saklama Süreleri

• Üyelik kayıtları: Üyelik aktif olduğu sürece + üyelik silinmesinden sonra 2 yıl (yasal yükümlülükler için).
• İletişim formu mesajları: Cevaplandıktan sonra en fazla 2 yıl.
• Sunucu log kayıtları: 6 ay (5651 sayılı kanun gereği).
• Hata logları (error_logs): 90 gün.
• Denetim logları (admin_logs): 1 yıl.
• Newsletter abonelik kayıtları: Abone olunduğu sürece; abonelik iptal edildiğinde 30 gün içinde anonimleştirilir.
• Çerez verileri: İlgili çerezin kendi süresi (ayrıntılar için Çerez Politikamız).

9. Kişisel Veri Sahibinin Hakları (KVKK m. 11)

Veri sahibi sıfatıyla, KVKK'nın 11. maddesi uyarınca veri sorumlusuna başvurarak aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme talepleriniz neticesinde yapılan işlemlerin verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerinizin yalnızca otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

10. Başvuru Yöntemi

Yukarıdaki haklarınızı kullanmak için "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" kapsamında, kimliğinizi tespit edici bilgi ve belgelerle birlikte aşağıdaki yöntemlerle başvurabilirsiniz:

• E-posta ile: okulsayaciweb@gmail.com (sistemde kayıtlı e-posta adresinizden)
• İletişim formu: /iletisim sayfası üzerinden

Başvurularınız, KVKK'nın 13. maddesi ve ilgili tebliğ uyarınca en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır. İşlemin ek bir maliyet gerektirmesi hâlinde, KVK Kurulu tarafından belirlenecek tarifeye göre ücret talep edilebilir.

11. Veri Güvenliği

Kişisel verilerinizin hukuka aykırı işlenmesini ve verilerinize hukuka aykırı erişilmesini önlemek, muhafazasını sağlamak amacıyla aşağıdaki teknik ve idari tedbirler uygulanmaktadır:

• Site genelinde HTTPS/TLS şifreli iletişim, HSTS uygulaması.
• Şifrelerin tek yönlü bcrypt ile saklanması (cost 12).
• Veritabanı sorgularında prepared statement kullanımı (SQL injection koruması).
• CSRF token kullanımı, honeypot ve rate limit korumaları.
• Admin panelinde TOTP tabanlı iki faktörlü kimlik doğrulama desteği.
• Log retention ve denetim mekanizması (admin_logs).
• Hassas yapılandırma dosyalarının (config/.env) web erişimine kapalı tutulması.
• Düzenli güvenlik güncellemeleri ve PHP/MySQL sürümlerinin desteklenen sürümlerde tutulması.

12. Çocukların Verileri

13 yaşından küçük kullanıcılarımızın doğrudan üyelik açmasını desteklemiyoruz. 13–18 yaş aralığındaki kullanıcılarımız, hizmetlerimizi kullanmadan önce ebeveyn ya da yasal vasinin onayını almalıdır. 18 yaşından küçük olduğunu öğrendiğimiz hesapların verilerini, ebeveyn onayı doğrulanmadığı sürece silmek için makul önlemleri alırız.

13. Aydınlatma Metnindeki Değişiklikler

Bu aydınlatma metni, hizmetlerimiz veya yasal düzenlemelerdeki değişiklikler nedeniyle gerektiğinde güncellenebilir. Önemli değişiklikler bu sayfada yayımlanır ve "Son güncelleme" tarihi yenilenir. Önemli kapsam değişikliklerinde kayıtlı kullanıcılarımıza e-posta ile bildirim yapılabilir.

14. İlgili Kurum Bilgisi

Başvurularınıza ilişkin yanıtımızı yetersiz bulmanız veya başvurunuzun reddedilmesi durumunda, KVKK'nın 14. maddesi uyarınca Kişisel Verileri Koruma Kurulu'na şikâyette bulunma hakkınız saklıdır. Kurum web adresi: https://www.kvkk.gov.tr