KVKK Aydınlatma Metni

1. Veri Sorumlusu ve Yazılım Sağlayıcısı (Rol Ayrımı)

Öğrenci, veli ve okul süreçlerine ilişkin kişisel veriler bakımından VERİ SORUMLUSU okuldur: çocuğunuzun kayıtlı olduğu okul. Okulunuzun ünvanı, adresi ve iletişim bilgileri, uygulamaya giriş yaptığınızda bu metnin uygulama içindeki sürümünde (Hesabım → Gizlilik ve KVKK) yer alır.

Uygulama altyapısı ORNİTORENG YAZILIM BİLGİ TEKNOLOJİLERİ SANAYİ VE TİCARET LİMİTED ŞİRKETİ (bundan sonra "Ornitoreng Yazılım") tarafından sağlanmaktadır. Ornitoreng Yazılım, okulun talimatları doğrultusunda ve VERİ İŞLEYEN sıfatıyla teknik barındırma, bakım, destek ve güvenlik hizmetleri sunar. Yazılım sağlayıcısının kendi veri sorumlusu sıfatıyla yürüttüğü teknik hesap, destek ve güvenlik süreçleri için ayrıca aydınlatma yapılır.

2. İşlenen Kişisel Veriler

Uygulama kapsamında şu veriler işlenebilir:

• Kimlik ve iletişim: ad-soyad, e-posta, telefon.
• Veli-çocuk ilişkisi: anne/baba bilgisi, velayet/erişim yetkisi.
• Öğrenci bilgileri: ad-soyad, doğum tarihi, sınıf, fotoğraf.
• Özel nitelikli SAĞLIK verileri: kan grubu, alerji, kullanılan ilaçlar, aşı takibi, boy-kilo ölçümleri, acil durum ve sağlık notları.
• Gelişim ve günlük durum: yemek, uyku, ruh hâli, etkinlik, gelişim ve (varsa) psikolojik değerlendirme notları.
• Yoklama, giriş-çıkış kayıtları.
• Uygulama içi mesajlaşma içerikleri ve yüklenen belgeler. Okul yönetimi "Mesaj Denetimi" yetkisini açtıysa bu içerikler yöneticinin de erişimine açık olur (bkz. madde 15).
• Sesli/görüntülü arama: arama kayıtları (kimin kimi aradığı, arama türü, başlama ve bitiş zamanı, aramanın sonucu) ve arama sırasında aktarılan ses/görüntü akışı. Görüşmelerin İÇERİĞİ KAYDEDİLMEZ (bkz. madde 14).

3. İlgili Kişi ve Açık Rızayı Verecek Kişi (Velayet)

Uygulamadaki verilerin ilgili kişisi çocuktur. Çocuk adına aydınlatma ve açık rıza süreçleri, velayeti bulunan veli tarafından yürütülür. Veli-çocuk ilişkisi ve velayet durumu resmi kayıtlarla tespit edilir. Velayet durumunun değişmesi (ör. velayetin diğer ebeveyne geçmesi) hâlinde, önceki velinin çocuğa ait verilere erişim ve rıza verme yetkisi sona erer; okula güncel velayet bilgisinin bildirilmesi gerekir.

4. İşleme Amaçları, Verileri ve Hukuki Sebepleri

Veriler, faaliyet bazında şu hukuki sebeplerle işlenir:

• Veli hesabı ve çocuğa erişim yetkisi — Kimlik, iletişim, veli-çocuk ilişkisi verileri: sözleşmenin kurulması/ifası (KVKK m.5/2-c).
• Eğitim ve gelişim takibi, okul-veli iletişimi — Öğrenci ve günlük durum verileri: sözleşmenin ifası ve okulun meşru menfaati (KVKK m.5/2-c, m.5/2-f).
• Yasal yükümlülükler (ör. mevzuat gereği kayıt) — İlgili veriler: hukuki yükümlülük (KVKK m.5/2-ç).
• Çocuğun sağlığının ve güvenliğinin korunması (alerji, ilaç, aşı, acil durum) — SAĞLIK verileri: özel nitelikli veri olduğundan KVKK m.6/3 kapsamında; özellikle kamu sağlığının/koruyucu hekimliğin ve çocuğun hayatî menfaatinin korunması amaçlarıyla ve gereken hâllerde AÇIK RIZANIZA dayanılarak işlenir.
• Fotoğraf/görsel paylaşımı — Görsel veriler: AÇIK RIZANIZA dayanılarak işlenir.

5. Özel Nitelikli (Sağlık) Verilerin İşlenmesi

Sağlıkla ilgili tüm veriler (ilaç, boy-kilo ve diğer ölçümler, sağlık notları/raporları, psikolojik bilgiler) KVKK kapsamında ÖZEL NİTELİKLİ kişisel veridir ve yalnızca eğitim hizmeti gerekçesiyle işlenemez. Bu veriler KVKK m.6/3’teki şartlar (ör. koruyucu hekimlik, sağlık hizmetlerinin yürütülmesi ve çocuğun sağlığının korunması) ile ve gereken hâllerde açık rızanızla, sıkı güvenlik tedbirleri altında işlenir. Bu verilere yalnızca yetkili personel erişebilir: öğretmen ve yönetici görev kapsamında; okulda HEMŞİRE tanımlıysa hemşire, ilaç takibi ve çocuğun sağlığının korunması amacıyla tüm öğrencilerin sağlık bilgilerine (alerji, ilaç, kan grubu, aşı, sağlık notları) erişir.

6. Verilerin Paylaşılması

Verileriniz, hizmetin sunulması için gerekli olan yetkili okul personeliyle (öğretmen, yönetici, psikolog ve okulda tanımlıysa hemşire) yetki sınırları içinde paylaşılır. Hemşire yalnızca sağlık ve ilaç kayıtlarına erişir (bkz. madde 5). Okul yönetimi "Mesaj Denetimi" yetkisini açtıysa yöneticinin erişimi mesajlaşma içeriklerini de kapsar (bkz. madde 15).

Uygulama altyapısı için VERİ İŞLEYEN sıfatıyla şunlar kullanılır:

• ORNİTORENG YAZILIM BİLGİ TEKNOLOJİLERİ SANAYİ VE TİCARET LİMİTED ŞİRKETİ — yazılım sağlayıcısı.
• Google Cloud / Firebase — veritabanı, dosya depolama, sunucu işlevleri, kimlik doğrulama ve bildirim altyapısı (bkz. madde 7).
• Cloudflare, Inc. — YALNIZCA sesli/görüntülü aramada, iki cihaz arasında doğrudan bağlantı kurulamadığında ses/görüntü akışını ileten aktarma (TURN) hizmeti. Bu hizmet arama içeriğini saklamaz; yalnızca akışı iletir (bkz. madde 14).

Yasal olarak yetkili kamu kurumlarının talebi hâlinde mevzuat gereği paylaşım yapılabilir. Verileriniz pazarlama amacıyla üçüncü kişilerle paylaşılmaz.

7. Yurt Dışına Aktarım

Uygulama altyapısında kullanılan bulut hizmeti Google Cloud/Firebase’dir. Veritabanı ve dosya depolama AVRUPA BİRLİĞİ çok-bölgesinde (Firestore konumu "eur3") barındırılır; uygulama sunucu işlevleri europe-west1 (Belçika) bölgesinde çalışır. Yani SAKLANAN veriler ve günlük işleyiş AB içinde kalır.

SESLİ/GÖRÜNTÜLÜ ARAMA İSTİSNASI: arama sırasında iki cihaz arasında doğrudan bağlantı kurulamazsa ses/görüntü akışı Cloudflare, Inc.’in aktarma (TURN) sunucularından geçer. Bu sunucunun bulunduğu ülke ağ koşullarına göre belirlenir ve AB DIŞINDA olabilir. Aktarılan veri yalnızca görüşme anındaki ses/görüntü akışıdır; içerik kaydedilmez ve saklanmaz (bkz. madde 14). Bu aktarımı istemiyorsanız arama başlatmamanız/kabul etmemeniz yeterlidir; okul yönetimi özelliği tümüyle de kapatabilir.

Yapay zekâ asistanı (bkz. madde 13) Google Cloud Vertex AI üzerinden ve yalnızca AB çok-bölgesi uç noktasıyla (aiplatform.eu.rep.googleapis.com, konum "eu") çalışır; bu özellikte de işleme AB üye devletleri içinde kalır. Birleşik Krallık ve İsviçre bu kapsamın DIŞINDADIR.

Hizmet sağlayıcının teknik destek, kötüye kullanım denetimi veya faturalandırma süreçleri gibi istisnai hâllerde AB dışına erişim gerekebilir. Böyle bir aktarımda: aktarılan veri kategorileri, alıcı/alıcı grubu, ülke/bölge, aktarım amacı ve KVKK’ya uygun güvence (uygun ülke, taahhütname veya standart sözleşme ile Kurul bildirimi) veri sorumlusu okul tarafından belirtilir ve gereken hâllerde ayrıca açık rızanız alınır.

8. Saklama Süresi ve İmha

Kişisel verileriniz, işlenme amacının gerektirdiği ve ilgili mevzuatta öngörülen süre boyunca; kural olarak öğrenim ilişkisi sürdüğü müddetçe ve sonrasında zorunlu yasal saklama süreleri kadar saklanır.

Okulun saklama süreleri: okulunuzun saklama süreleri uygulama içindeki metinde yer alır.

Okul kaydı kapatıldığında çocuğa ait kayıtlar 30 gün boyunca geri alınabilir biçimde arşivde tutulur; sürenin sonunda çocuğun kayıtları, fotoğrafları ve (başka çocuğu yoksa) veli hesabı otomatik olarak silinir. Süre sonunda verileriniz, kişisel veri saklama ve imha politikasına uygun olarak silinir, yok edilir veya anonim hâle getirilir; dijital veriler geri döndürülemeyecek şekilde imha edilir.

9. Veri Güvenliği

• Verilere erişim rol bazlı olarak sınırlandırılmıştır. Bu sınırın okul yönetimi lehine bir istisnası vardır: "Mesaj Denetimi" açıksa yönetici, tarafı olmadığı yazışmaları da okuyabilir (bkz. madde 15).
• Telefon numaranız mesajlaşmada karşı tarafa gösterilmez.
• Psikolog görüşme NOTLARI gizlidir; yalnızca yetkili kişiler erişir. Bu gizlilik notlara ilişkindir; veli ile psikolog arasındaki MESAJLAŞMA, "Mesaj Denetimi" açıkken denetim kapsamındadır.
• Sağlık gibi hassas bilgiler içeren bildirimler, kilit ekranında detay göstermeden ("çocuğa ait yeni kayıt" gibi) iletilebilir.
• İletişim ve depolama şifreli altyapı üzerinden sağlanır.

10. Fotoğraf ve Görsel Kullanımı

Çocuğunuza ait fotoğraf ve görseller yalnızca uygulama içinde, yetkili kişilerin erişebileceği şekilde ve gelişim/etkinlik paylaşımı amacıyla kullanılır. Bu işleme açık rızanıza tabidir; rızanızı dilediğiniz zaman geri alabilirsiniz.

11. İlgili Kişinin Hakları (KVKK md.11)

Kişisel verilerinizle ilgili olarak; işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini/silinmesini isteme, işlemeye itiraz etme, aktarıldığı üçüncü kişileri öğrenme ve zararın giderilmesini talep etme haklarına sahipsiniz.

12. Başvuru ve İletişim

Haklarınızı kullanmak veya sorularınız için veri sorumlusu okulunuza, uygulama içindeki metinde yer alan iletişim bilgilerinden ulaşabilirsiniz. Uygulamanın kendisiyle ilgili sorular için support@ornitoreng.com.

13. Yapay Zekâ Destekli Asistan

Uygulamada veli, öğretmen ve yöneticinin günlük soruları için yapay zekâ destekli bir asistan (Perry) bulunur; psikolog ve hemşire rollerinde asistan kapalıdır. Asistan Google Cloud Vertex AI (Gemini) modeliyle çalışır ve YALNIZCA AB çok-bölgesi uç noktası üzerinden çağrılır (bkz. madde 7).

• Asistanı ilk kullanımınızda, verilerinizin bu amaçla Google Cloud Vertex AI'a iletileceği ayrıca bildirilir ve onayınız alınır. Onay vermezseniz asistana hiçbir veri gönderilmez.
• Asistan bir yapay zekâdır ve yanılabilir; önemli konularda okulla teyit ediniz. Uygunsuz ya da hatalı bir yanıtı uygulama içinden bildirebilirsiniz; bildirim, yanıt metniyle birlikte okul yönetimine iletilir.
• Asistana yalnızca soruyu soran kişinin yetkisi kapsamındaki veriler iletilir; bir veli başka bir velinin çocuğunu göremez.
• Psikolog görüşme notları asistana HİÇ iletilmez.
• Telefon numarası ve e-posta adresi asistanın çıktısına konmaz.
• Asistan tek başına bildirim tetikleyen bir kayıt oluşturmaz; yoklama, izin ve benzeri kayıtlar kullanıcı onayından sonra mevcut akışlarla yazılır.
• Model, verilerinizle eğitilmez.

14. Sesli ve Görüntülü Arama

Uygulama, veli ile okul personeli arasında uygulama içi sesli ve görüntülü arama yapılmasına imkân verir. Bu özellik okul yönetimi tarafından ayrı ayrı (sesli / görüntülü) açılıp kapatılabilir; kapalı olduğunda arama başlatılamaz.

• İŞLENEN VERİ: aramanın kaydı (kimin kimi aradığı, arama türü, başlama ve bitiş zamanı, aramanın sonucu) ile görüşme sırasında aktarılan ses/görüntü akışı.
• GÖRÜŞME İÇERİĞİ KAYDEDİLMEZ. Uygulama ses veya görüntü kaydı almaz; saklanan tek şey yukarıdaki arama kaydıdır. Arama kayıtları madde 8’deki saklama süresine tabidir.
• AKTARIM: görüşme mümkün olduğunda iki cihaz arasında doğrudan kurulur. Ağ koşulları buna izin vermezse akış, veri işleyen sıfatıyla Cloudflare, Inc.’in aktarma (TURN) sunucularından geçer; bu sunucu AB dışında olabilir (bkz. madde 7). Aktarma hizmeti akışı iletir, saklamaz.
• CİHAZ İZİNLERİ: arama için mikrofon ve (görüntülü aramada) kamera erişimi gerekir. Bu izinleri işletim sistemi ayarlarından dilediğiniz zaman geri alabilirsiniz; izin verilmediğinde arama çalışmaz.
• HUKUKİ SEBEP: eğitim hizmetinin yürütülmesi kapsamında iletişimin sağlanması. Arama yapmak/kabul etmek isteğe bağlıdır; aramayı kullanmamak uygulamanın diğer işlevlerini etkilemez.

15. Yönetici Mesaj Denetimi

Okul yönetiminin, uygulama içi yazışmaları denetleyebileceği bir "Mesaj Denetimi" yetkisi bulunur. Bu yetki her okul için AYRI olarak açılır veya kapatılır; kapalı olduğunda yönetici de yalnızca kendi taraf olduğu yazışmaları görebilir. Bu maddeyi, yetkinin AÇIK olduğu durumu anlatmak üzere okuyunuz — okulunuzda güncel durumu madde 12’deki iletişim adresinden öğrenebilirsiniz.

• KİM: yalnızca "yönetici" rolüne sahip okul kullanıcıları. Öğretmen, psikolog, hemşire ve veliler bu yetkiye sahip değildir.
• KAPSAM: yöneticinin taraf OLMADIĞI yazışmalar dâhil, uygulama içindeki yazışmalar — veli-öğretmen, veli-psikolog, personel-personel ve yönetici-veli. Mesaj içerikleri ve yazışmada paylaşılan belgeler bu kapsamdadır. Psikolog görüşme NOTLARI bu kapsamda DEĞİLDİR (bkz. madde 9).
• YETKİNİN SINIRI: erişim SALT OKUNURDUR. Yönetici bu yolla mesaj gönderemez, mevcut mesajları değiştiremez veya silemez.
• ERİŞİM KAYDI: yöneticinin hangi yazışmayı ne zaman görüntülediğine dair bir kayıt TUTULMAZ. Bu sınırı bilerek belirtiyoruz; denetim erişiminin izlenebilir olmasını bekliyorsanız okuldan bilgi isteyiniz.
• AMAÇ VE HUKUKİ SEBEP: öğrenci güvenliği ile okul-veli iletişiminin kurum kuralları ve mevzuata uygunluğunun denetlenmesi; okulun veri sorumlusu olarak eğitim hizmetini yürütmesi ve hukuki yükümlülüklerini yerine getirmesi.
• BİLMENİZ GEREKEN: bu özellik açıkken uygulama içi yazışmaları kişiler arası GİZLİ bir kanal olarak değerlendirmeyiniz. Gizli kalmasını istediğiniz konuları uygulama dışı bir kanaldan iletebilirsiniz.
• HAKLARINIZ: bu işlemeye ilişkin bilgi talebi, itiraz ve KVKK md.11 kapsamındaki diğer haklarınız için madde 11 ve 12’ye bakınız.

Açık rıza beyanları

Uygulamaya ilk girişte, metnin altında rolünüze uygun beyan için onayınız istenir.

Veli: Yukarıdaki KVKK Aydınlatma Metni’ni okudum ve anladım. Kişisel verilerimin ve velayeti bendeki çocuğuma ait verilerin (sağlık bilgileri ve fotoğraf dâhil özel nitelikli veriler) metinde belirtilen amaç, hukuki sebep ve (gerekli hâllerde) yurt dışına aktarım kapsamında işlenmesine açık rıza veriyorum.

Okul personeli: Yukarıdaki KVKK Aydınlatma Metni’ni okudum ve anladım. Kendime ait kişisel verilerin metinde belirtilen amaç ve hukuki sebeplerle işlenmesine açık rıza veriyorum. Görevim gereği eriştiğim öğrenci, veli ve personel verilerini — özellikle sağlık ve psikolojik değerlendirme bilgilerini — yalnızca görev amacıyla, yetkim kapsamında kullanacağımı; üçüncü kişilerle paylaşmayacağımı ve görevim sona erdiğinde de gizliliği koruyacağımı kabul ediyorum.

Yazılım sağlayıcısının iletişim bilgileri