Gizlilik Politikası

Son güncelleme: 10.10.2026

1. Kapsam ve roller

BulutRehber; rehber öğretmenler, eğitim koçları ve okul, dershane, etüt merkezi gibi kurumlar için çalışma programı, takip, deneme, görüşme, envanter ve ders yönetimi sunan bir bulut hizmetidir. Hizmet sağlayıcısı Ferhat Canberk Döğer (şahıs işletmesi, ticari unvan: Kortex Bilişim; ürün: BulutRehber), ESBİS: 1001549, Büyükçekmece Vergi Dairesi / VKN 3110172344, Cumhuriyet Mah. D-100 Karayolu Cad. ADM Konaklama Outlet Park AVM No: 374 İç Kapı No: 63, Büyükçekmece / İstanbul'dir (“BulutRehber”). Bize info@bulutrehber.com adresinden veya 0 850 840 96 04 numarasından ulaşabilirsiniz.

BulutRehber iki ayrı rolde kişisel veri işler:

• Veri sorumlusu olarak: Kurum hesabını açan, kuruma davet edilen ve hizmeti kullanan kurum sahibi, yönetici ve öğretmenlerin hesap, iletişim (kişinin kendisinin girdiği, isteğe bağlı WhatsApp numarası dahil), kurumun girdiği personel bilgileri (telefon, çevrim içi ders bağlantısı, isteğe bağlı özgeçmiş ve fotoğraf, kurumun tanımladığı ek alanlar), güvenlik, oturum açma geçmişi (zaman, IP adresi, tarayıcı bilgisi; 180 gün saklanır ve kullanıcının çalıştığı her kurumun yöneticileri görebilir), sipariş ve fatura verileri. Kurum, personelinin oturum açabileceği saatleri sınırlayabilir; her kullanıcı kendi hesap verisini “Verilerimi indir” ile dosya olarak alabilir.
• Veri işleyen olarak: Kurumun BulutRehber'e girdiği öğrenci, veli ve öğretmen verileri ile bunlardan üretilen kayıtlar (çalışma programları, takip girişleri, deneme sonuçları, görüşme notları, envanter yanıtları, kurs ilerlemesi, rozetler). Bu verilerin veri sorumlusu ilgili kurumdur; BulutRehber bunları yalnızca kurumun talimatıyla ve Veri İşleme Sözleşmesi çerçevesinde işler.

2. Kurum kullanıcılarının verileri

Kart bilgileri BulutRehber'e ulaşmaz; kartla ödeme yalnızca iyzico'nun ödeme sayfasında yapılır. BulutRehber kayıt sırasında pazarlama veya genel veri işleme için toplu açık rıza istemez ve kullanıcılarına ticari elektronik ileti göndermek için ayrıca onay almadan e-posta göndermez. Hizmetin işleyişi için gerekli bilgilendirmeler (adres doğrulama, şifre sıfırlama, sipariş, deneme süresinin bitmesi, silme bildirimleri) ticari ileti değildir.

3. Öğrenci ve veli verileri

Kurumlar BulutRehber'e öğrencinin adı, soyadı, sınıfı, okulu ve şubesi, okul numarası, cinsiyeti, doğum tarihi, fotoğrafı (kurum yüklerse), T.C. kimlik veya yabancı kimlik numarası (yalnızca kurum bu seçeneği açarsa), iletişim bilgileri, hedef okul ve puanı ile velinin adı, yakınlığı ve iletişim bilgilerini girebilir. Hizmet kullanıldıkça dönem ve şube kayıtları, çalışma programları, günlük çalışma girişleri, deneme sonuçları (soru bazında işaretlenen cevaplar dahil), konu analizleri ve hata karneleri, ödevler, ders programı, öğrencinin veya velinin işaretlediği uygun olmayan saatler, devam (yoklama) kayıtları ile velinin bildirdiği mazeretler ve eklediği belgeler, takvim kayıtları, envanter yanıtları ve sonuçları, kurs ilerlemesi, rozetler ve görüşme notları oluşur. Öğrenci ve veli hesaplarını kurum açar; öğrenciler ve veliler hizmete kendileri kaydolmaz.

Öğrencilerin çoğu 18 yaşından küçüktür. Bu nedenle:

• Öğrenci ve veli verilerini işlemenin hukuki sebebini belirlemek, velileri aydınlatmak ve gerektiğinde açık rıza almak kurumun sorumluluğundadır. Kurumların kullanabileceği bir Veli ve Öğrenci Aydınlatma Metni örneği yayımlıyoruz.
• Görüşme notları ve bazı envanter sonuçları (ör. sınav kaygısı, stresle başa çıkma) öğrencinin ruh sağlığına ilişkin bilgi içerebilir ve KVKK m.6 kapsamında özel nitelikli kişisel veri sayılabilir. Velinin bir mazerete eklediği doktor raporu gibi belgeler de sağlık verisi içerebilir. Kurum bu verileri ancak KVKK m.6'daki şartlardan biri bulunduğunda girmeli veya istemelidir. Öğrenci fotoğrafları ve mazeret belgeleri yalnızca yetkili kullanıcılara oturum açılarak gösterilir, hiçbir zaman herkese açık bir adresten sunulmaz ve öğrenci silindiğinde dosyalarıyla birlikte silinir. Görüşme notlarının kendisi öğrenci ve veli portalında görünmez; rehber öğretmen bir görüşmenin yalnızca veliye yazılmış özetini ve hedeflerini veya bir öğretmen görüşünü veliye açıkça yayımlayabilir. Gizli olarak işaretlenen notları ve gizli öğretmen görüşlerini yazan kişi, kurum sahibi ve (kurum sahibi geri almadıkça) yöneticiler görebilir; kurum sahibi bu yetkiyi ayrıca tanımladığı başka personele de verebilir. Kurum, personelini birimlere ayırarak her birinin yalnızca kendi biriminin öğrencilerini görmesini sağlayabilir.
• Öğretmen görüşleri. Öğrenciye ders veren öğretmenler öğrenci hakkında görüş yazabilir; görüş rehber öğretmenin onayından geçer ve yalnızca seçilen kişilere (rehber öğretmen, branş öğretmenleri, idare, veli) gösterilir. Öğretmenlerden bu görüşlere sağlık veya diğer özel nitelikli bilgileri yazmamaları istenir. Kurum, öğrencinin kayıt belgelerini (ör. kimlik fotokopisi, sağlık raporu) yükletebilir; bu belgeler de yalnızca yetkili kullanıcılara oturum açılarak gösterilir ve öğrenci silindiğinde silinir. Portal hesabının şifresi hiçbir mesajla gönderilmez; kurum veliye veya yetişkin öğrenciye 72 saat geçerli, tek kullanımlık bir “şifre belirle” bağlantısı gönderebilir.
• T.C. kimlik numarası (isteğe bağlı). Kurum açmadıkça alan görünmez ve kaydedilmez. Numara veritabanında şifreli tutulur, ekranlarda maskelenir (yalnızca son dört hane görünür); tamamını kurum sahibi ve yöneticileri, kurum ayrıca izin verirse öğretmenler görebilir ve her görüntüleme kayda geçer. Numara bildirimlerde, mesajlarda, yapay zekâ özelliklerinde ve sistem günlüklerinde kullanılmaz; yalnızca kurumun seçtiği resmî belgelerde (ör. kayıt sözleşmesi) basılabilir.
• Taranan cevap kâğıtları. Optik okuyucusu olmayan kurumlar, BulutRehber'in bastığı cevap kâğıtlarını tarayıp veya fotoğraflayıp yükleyebilir. Kâğıttaki kod kişisel veri içermez; işaretler kendi sunucularımızda okunur, görüntüler hiçbir dış hizmete gönderilmez ve yüklemeden ya da sonuçların işlenmesinden 30 gün sonra silinir. Soru görsellerindeki metin de (arama ve konu önerisi için) yalnızca kendi sunucularımızda okunur.
• Kurum grupları. Bir kurum, şubesi olduğu bir üst kurumun grubuna yalnızca kendi kurum sahibinin onayıyla katılır ve dilediği an ayrılabilir. Üst kurum şubelerin verisini yalnızca toplu sayılar olarak görür; 5'ten az kişiyi içeren sayılar gösterilmez. Kurumlar arası öğrenci ve aday araması, iki kurumun da veri paylaşımı için hukuki dayanakları olduğunu ayrıca beyan etmesi hâlinde yalnızca ad, şube, sınıf ve durum bilgisiyle çalışır; her arama ilgili şubenin kayıtlarında görünür.
• Envanterler tanı aracı değildir; eğilim gösterir ve rehberlik görüşmesine yardımcı olur.
• BulutRehber öğrenci ve veli verilerini reklam, profil çıkarma, pazarlama veya kendi ürün geliştirmesi amacıyla kullanmaz, satmaz ve üçüncü kişilerle paylaşmaz. Uygulamada reklam, analitik veya üçüncü taraf takip aracı yoktur.
• Motivasyon özellikleri. Deneyim puanı (XP), seviye, rozet, haftalık görev, grup hedefi ve öğretmen tebrikleri yalnızca kurumun kendi kayıtlarından (çalışma girişleri, programlar, denemeler, kurslar) hesaplanır ve kurumun içinde kalır; kurum bunları tamamen kapatabilir. Sıralamalar: kurum açarsa grup içinde ve/veya kurum genelinde, öğrencinin adı ve soyadının baş harfiyle (“Ad S.”) gösterilen; çalışılan gün, program tamamlama ve kendi önceki haftalarına göre gelişim üzerinden hesaplanan sıralamalar. Başka kurumların öğrencilerine hiçbir zaman gösterilmez; 18 yaşından küçük öğrenciler yalnızca velinin izni kaydedildikten sonra görünür ve her öğrenci kendini gizleyebilir.
• Aday öğrenciler ve başvurular. Kurum, kayıt görüşmesi yaptığı aday öğrencileri (ad, soyad, telefon, e-posta, okul, hedef program ve sınıf, veli adı ve iletişim bilgileri, görüşme notları, kaynağı) ve bursluluk veya kabul sınavına başvuranları (ad, soyad, sınıf, okul, veli adı ve iletişim bilgileri, oturum ve salon bilgisi, sınav sonucu) BulutRehber'e girebilir ya da kurumun yayımladığı herkese açık başvuru formuyla toplayabilir. Bu verilerin sorumlusu kurumdur; formdaki aydınlatma ve onay metnini kurum belirler ve onay zamanı ile metin sürümü kaydedilir. T.C. kimlik numarası yalnızca kurum bu seçeneği açarsa ve kurumun seçtiği kayıtlarda istenir; herkese açık başvuru formunda ayrı bir onay kutusuyla alınır. Bursluluk başvurularında velilere yalnızca kurumun gönderdiği giriş belgesi ve sonuç bildirimi e-postayla iletilir; kurum SMS ek hizmetini kullanıyorsa ve veli formda SMS için ayrıca onay verdiyse aynı bildirimler SMS ile de gönderilir. Aday öğrencilere de kurum, yalnızca SMS için ayrıca onay alınmışsa SMS gönderebilir. Başvuru sahibinin sınavdaki cevapları, cevap anahtarı değişirse sonucun yeniden hesaplanabilmesi için saklanır. Form sayfasında otomatik başvuruları ayırt etmek için Cloudflare Turnstile doğrulaması (yapılandırıldıysa) ya da yalnızca uygulama belleğinde tutulan IP adresi temelli sayım kullanılır.
• Anonim karşılaştırma (isteğe bağlı, varsayılan kapalı). Kurum açarsa öğrenci, yalnızca kendi portalında “Bu hafta aynı sınıftaki LGS öğrencilerinin %72'sinden daha fazla gün çalıştın” gibi tek bir cümle görür. Bunun için yalnızca bu özelliği açmış kurumların, resmî programlardaki (LGS, YKS, KPSS, İOKBS) etkin ve kendini gizlememiş öğrencilerinin bu hafta çalışma girdiği gün sayısı, program ve sınıf bilgisiyle birlikte tek adımda anonim toplamlara (kaç öğrencinin 0–7 gün çalıştığı ve kaç kurumun katıldığı) dönüştürülür; ad, öğrenci veya kurum kimliği bu adımdan çıkmaz ve hiçbir kurum başka bir kurumun ya da öğrencinin verisini görmez. Grupta en az 30 öğrenci ve en az 3 kurum yoksa cümle gösterilmez. Toplamlar yalnızca uygulama sunucusunun belleğinde, aynı gün içinde en çok bir saat tutulur; veritabanına, yedeğe veya üçüncü kişilere yazılmaz ve yurt dışına aktarılmaz. Kurum ayarı kapattığında kendi verileri toplamlardan hemen çıkar.

4. Alıcılar ve yurt dışı aktarım

Veriler görevle sınırlı olarak BulutRehber'in yetkili personeline, mali müşavirine ve kanunen yetkili kamu kurumlarına açıklanabilir. Hizmet için kullanılan sağlayıcılar:

• Cloudflare, Inc. (ABD): alan adı, şifreli bağlantı (HTTPS), saldırı koruması ve oturum açma ile kayıt sayfalarındaki bot doğrulaması (Turnstile). Uygulamaya giden trafik Cloudflare ağından geçer; Cloudflare'in sunucuları Türkiye dışında olabilir.
• Google Workspace (Google Cloud EMEA Limited, İrlanda): işlemsel e-postaların gönderimi — adres doğrulama, şifre sıfırlama, davet, sipariş, deneme süresi, plan ve kredi hatırlatmaları, silme bildirimleri, haftalık veli özeti, Akademi kurs atama, son gün hatırlatma ve tamamlama bildirimleri, personele giden rapor paylaşımı ve öğrenci iyi oluş uyarıları ile kurumun bildirim kurallarında e-posta kanalını açtığı olay bildirimleri (duyuru, deneme sonucu, takvim ve görüşme hatırlatması gibi).
• iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico, Türkiye): kartla ödeme. Kart bilgileri yalnızca iyzico'nun ödeme sayfasında işlenir ve BulutRehber'e ulaşmaz. Kartla ödeme, iyzico üye iş yeri incelemesi tamamlanınca açılır.

İsteğe bağlı ek hizmetler: Yapay zekâ özellikleri (sohbet ve rapor yorumları), WhatsApp bildirimleri ve SMS bildirimleri isteğe bağlı ek hizmetlerdir ve henüz kullanıma açılmamıştır. Kullanıma açılmadan en az 30 gün önce kurum sahiplerine e-postayla bildirilir; açıldıktan sonra da bir kurumda yalnızca kurum sahibi uygulama içinden açarsa çalışır. WhatsApp bildirimleri ücretsiz olacaktır; yapay zekâ ve SMS kullanımı krediyle ücretlendirilecektir. Açık olan kurumlarda ek olarak şu sağlayıcılar kullanılır:

• Anthropic, PBC (ABD): yalnızca kurumun açtığı yapay zekâ özelliklerinde yanıt ve rapor yorumu üretir. Gönderilen: soru metni ile sınıf, hedef sınav, hedef okul/puan, çalışma, deneme ve kurs sayıları. Ad, soyad, okul, telefon, e-posta, görüşme notları ve envanter yanıtları gönderilmez; öğretmen ve yönetici sorularında öğrenciler takma adla (“Öğrenci-1”) geçer. Anthropic API üzerinden gelen verileri ticari koşulları gereği model eğitiminde kullanmaz.
• WhatsApp (WhatsApp LLC, Meta; ABD): kurumun açtığı WhatsApp bildirimleri, BulutRehber'e ait tek bir WhatsApp numarasından, kurumun adıyla gönderilir. WhatsApp'a alıcının cep telefonu numarası ve uçtan uca şifreli mesaj gider; mesaj içeriği kısa bir bildirimdir (ad, deneme veya kurs adı, devamsızlık ya da geç kalma bilgisi, kısa özet). Bildirimler ücretsizdir ve yalnızca numarası kurumca kaydedilen ve izin veren veli ve öğrencilere gider.
• Netgsm İletişim ve Bilgi Teknolojileri A.Ş. (Türkiye): kurumun açtığı SMS bildirimlerinin gönderimi. Netgsm'e yalnızca alıcının cep telefonu numarası ve mesaj metni (kurumun adı, bildirim ya da kurumun yazdığı metin, birleştirme alanı kullanıldığında ad) iletilir; veri yurt dışına aktarılmaz. SMS yalnızca kurumca kaydedilen ve SMS almayı reddetmemiş numaralara gönderilir.
• ZenitERP (Kortex Bilişim; sunucuları İstanbul'da): kurum kendi ZenitERP hesabını bağlarsa kurumun muhasebe kayıtları için ödeme yapan kişinin adı, e-posta adresi ve telefonu, sözleşme ve fatura satırları, tutarlar, tahsilat ve iadeler ile öğretmenlerin adı, e-posta adresi ve aylık ders sayıları aktarılır. Öğrencinin adı fatura satırına yalnızca kurum bu seçeneği açarsa yazılır; not, devam, görüşme, envanter ve sınav bilgileri aktarılmaz. e-Arşiv ve e-Fatura belgeleri ZenitERP'nin anlaşmalı özel entegratörü aracılığıyla düzenlenir; veri yurt dışına aktarılmaz.

Yapay zekâ; öğrenciye ders çalışma ve motivasyon konusunda, veliye yalnızca kendi çocuğunun gelişimi hakkında, öğretmene danışmanı olduğu öğrenciler hakkında yanıt üretir ve hazır rapor şablonlarına yorum yazar. Rapordaki bütün sayıları BulutRehber hesaplar; yapay zekâ yalnızca bu sayılara dayanan açıklama metni yazar ve rapor, öğretmen okuyup onaylamadan veliye gösterilmez. Yapay zekâ öğrenci hakkında karar vermez, not veya puan belirlemez. Öğrenci konuşmalarını öğrencinin rehber öğretmeni ve kurum yöneticileri görebilir; öğrenciye bu baştan söylenir. Bir mesajda kendine zarar verme veya istismar gibi bir işaret görüldüğünde konuşma otomatik olarak işaretlenir ve öğrencinin rehber öğretmenine bildirilir. Veliler ve 18 yaşını doldurmuş öğrenciler kendi adlarına kredi paketi satın alabilir; bu satışta ödeme ve fatura bilgileri işlenir.

Bu sağlayıcılara yapılan yurt dışı aktarım KVKK m.9/4 kapsamında, Kişisel Verileri Koruma Kurulunca ilan edilen standart sözleşmeyle yapılır; standart sözleşme imzalandıktan sonra beş iş günü içinde Kurula bildirilir. Aktarım, uygun güvence kurulmadan genişletilmez. Sunucular ve yedekler Türkiye'dedir: hizmet Kortex Bilişim'in İstanbul'daki ofisinde, kendi işlettiği sunucularda (Türkiye) çalışır. Veritabanı ve yüklenen dosyalar her gece şifrelenerek yedeklenir. Yedekler Türkiye'de, Kortex Bilişim'in işlettiği ayrı bir yedekleme sunucusunda 30 gün tutulur ve yurt dışındaki bulut depolama hizmetlerine kopyalanmaz.

5. Saklama ve silme

Kurum, hizmet sürerken ve kurum silme bekleme süresi boyunca bütün verisini tek bir ZIP dosyası olarak indirebilir.

6. Güvenlik

Başlıca önlemler: her kurumun verisini veritabanı düzeyinde ayıran satır düzeyi güvenlik (row-level security) ve uygulama katmanında kurum kontrolü; rol bazlı yetki (kurum sahibi, yönetici, öğretmen, öğrenci, veli) ve öğretmenin yalnızca danışmanı olduğu öğrencileri görmesi seçeneği; yalnızca yazanın ve kurum yöneticilerinin görebildiği gizli görüşme notları; bcrypt ile özetlenmiş şifreler; kurum açarsa tutulan T.C. kimlik numaralarının alan düzeyinde şifrelenmesi, ekranda maskelenmesi ve tamamının her görüntülenmesinin kayda geçmesi; tek kullanımlık ve süreli doğrulama bağlantıları, tekrarlanan hatalı girişte bot doğrulaması; internet üzerindeki bütün bağlantılarda HTTPS; internete doğrudan açık bir sunucu adresi bulunmaması (yalnızca Cloudflare Tunnel üzerinden erişim); dışa aktarma, kalıcı silme, hesap ve plan işlemleri için işlem kaydı; günlük şifreli yedek. Sunucu diski düzeyinde şifreleme şu an uygulanmamaktadır; yedekler şifrelidir. Kurumsal önlemler: yönetici hesaplarında (GitHub, Cloudflare, Google) çok faktörlü doğrulama; erişimlerin üç ayda bir gözden geçirilmesi; otomatik güvenlik yamaları; test ve üretim ortamlarının ayrılması ve testlerde üretim verisi kullanılmaması. Güvenlik veya kişisel veri ihlali bildirimleri için info@bulutrehber.com adresine yazabilirsiniz.

7. Haklarınız

KVKK m.11 uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi isteme, amacını ve aktarıldığı kişileri öğrenme, düzeltme, silme veya yok edilmesini isteme, bunların aktarıldığı kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhinize bir sonuca itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini isteme haklarına sahipsiniz.

Başvurunuzu kimliğinizi doğrulamaya elverişli bilgilerle, sistemde kayıtlı e-posta adresinizden info@bulutrehber.com adresine veya Cumhuriyet Mah. D-100 Karayolu Cad. ADM Konaklama Outlet Park AVM No: 374 İç Kapı No: 63, Büyükçekmece / İstanbul adresine yazılı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz yanıtlanır. Öğrenci ve veliler, kurumun girdiği veriler için başvurularını öncelikle kayıtlı oldukları kuruma yöneltmelidir; kurumlar bu başvuruları öğrenci kartındaki KVKK araçlarıyla (tüm verileri indirme, kalıcı silme) karşılayabilir. Bize ulaşan böyle bir başvuruyu gecikmeden ilgili kuruma iletiriz.

8. Değişiklikler

Bu politika değiştiğinde güncel metin bu sayfada yayımlanır. Esaslı değişiklikler kurum sahiplerine e-posta veya uygulama içi bildirimle duyurulur.