Son güncelleme: 10.10.2026
1. Taraflar ve kapsam
Bu sözleşme, BulutRehber Kullanım Koşulları'nın ayrılmaz parçasıdır ve kurum (“Veri Sorumlusu”) ile Ferhat Canberk Döğer (şahıs işletmesi, ticari unvan: Kortex Bilişim; ürün: BulutRehber) (“Veri İşleyen”) arasında, kurumun BulutRehber'e girdiği veya hizmet kullanılırken kurum adına üretilen kişisel veriler (“Kurum Verisi”) için geçerlidir. Kayıt sırasında kurum adına kabul edilir.
2. İşlemenin konusu
| İlgili kişiler | Öğrenciler (çoğu 18 yaşından küçük), veliler, öğretmen ve kurum çalışanları; kurumun kayıt görüşmesi yaptığı aday öğrenciler ve velileri; kurumun bursluluk veya kabul sınavına başvuranlar ve velileri |
|---|---|
| Veri kategorileri | Kimlik (ad, soyad, doğum tarihi, cinsiyet, okul numarası, kurumun yüklediği fotoğraf, kurum açarsa şifreli saklanan T.C. kimlik veya yabancı kimlik numarası); iletişim (telefon, e-posta); eğitim (sınıf, okul, şube, alan, hedef okul ve puan, çalışma programı, çalışma girişleri, deneme sonuçları, kurs ve test ilerlemesi, rozetler); rehberlik (görüşme notları, öğretmen görüşleri, veliye yayımlanan özetler ve portfolyo, takip hatırlatmaları, envanter yanıtları ve sonuçları); kurum işleyişi (dönem ve şube kayıtları, birim (bölüm) ataması, kayıt belgeleri, ders programı, öğrencinin uygun olmayan saatleri, devam kayıtları, velinin bildirdiği mazeretler ve ekli belgeleri, özel ders değerlendirmeleri, ödevler, soru bazında deneme cevapları, konu analizleri, takvim); başvuru (aday ve başvuru sahibinin kimlik ve iletişim bilgileri, hedef program ve sınıf, kaynak, görüşme notları, sınav oturumu ve sonucu, onay zamanı ve metin sürümü); hesap ve güvenlik (kullanıcı adı, şifre özeti, giriş kayıtları) |
| Özel nitelikli veri | Görüşme notları ve bazı envanter sonuçları ruh sağlığına; velinin mazerete eklediği doktor raporu gibi belgeler sağlık durumuna ilişkin bilgi içerebilir |
| Amaç | Rehberlik ve eğitim koçluğu hizmetinin kurum tarafından yürütülmesi: planlama, takip, değerlendirme, öğrenci ve veliyi bilgilendirme |
| İşlemler | Kaydetme, saklama, görüntüleme, hesaplama, raporlama, öğrenci ve veli portalında gösterme, kurumun açtığı özelliklerle velilere e-posta gönderme, kurumun yayımladığı herkese açık başvuru formuyla kurum adına veri toplama, bursluluk başvurusu yapanların velilerine kurumun isteğiyle giriş belgesi ve sonuç e-postası (SMS ek hizmeti açıksa ve veli ayrıca onay verdiyse SMS) gönderme, saklama süresi dolan başvuruları otomatik silme, kurumun yüklediği taranmış cevap kâğıtlarını okuma, kurumun katıldığı kurum grubunda toplu sayılar ve iki kurumun beyanıyla sınırlı arama sonuçları üretme, yedekleme, dışa aktarma ve silme |
| Süre | Sözleşme süresince ve bölüm 8'deki silme sürelerine kadar |
3. Talimatlar
Veri İşleyen, Kurum Verisini yalnızca hizmeti sunmak, güvenliğini sağlamak, yedeklemek, destek vermek, dışa aktarmak ve silmek için ve kurumun hizmet içindeki ayarları ile yazılı talimatlarına göre işler. Kurum Verisini kendi amaçları için, reklam, profil çıkarma veya ürün geliştirme amacıyla kullanmaz, satmaz ve kuruma ait olmayan amaçlarla üçüncü kişilerle paylaşmaz. Hukuka aykırı göründüğü bir talimatı kuruma bildirir ve açıklığa kavuşana kadar uygulamayabilir.
Anonim karşılaştırma. Kurum bu ayarı açarak Veri İşleyen'e şu talimatı verir: kurumun resmî programlardaki etkin ve sıralamadan gizlenmemiş öğrencilerinin haftalık çalışma günü sayısı, aynı ayarı açmış diğer kurumlarınkiyle birlikte program ve sınıf bazında anonim toplamlara dönüştürülür ve öğrencilere yalnızca kendi konumlarını gösteren tek bir cümle olarak sunulur. Toplamlarda ad, öğrenci veya kurum kimliği bulunmaz; en az 30 öğrenci ve 3 kurumdan oluşmayan gruplar için sonuç üretilmez; toplamlar yalnızca sunucu belleğinde ve en çok bir saat tutulur. Toplamlar kişisel veri niteliği taşımaz; kurum ayarı kapattığında kurumun verisi toplamlara katılmaz.
4. Veri Sorumlusunun yükümlülükleri
Kurum; işleme amaçlarını ve hukuki sebeplerini belirler, öğrenci ve velileri aydınlatır, açık rızanın gerektiği hâllerde rızayı alır ve kaydını tutar, özel nitelikli verileri yalnızca KVKK m.6'daki şartlarla girer, Kişisel Verileri Koruma Kurulunun özel nitelikli veriler için öngördüğü yeterli önlemlerden kendi sorumluluğundakileri (personelin eğitimi, gizlilik taahhütleri, yetkilerin sınırlandırılması) uygular, kullanıcı yetkilerini yönetir ve VERBİS kaydı gibi kendi yükümlülüklerini yerine getirir. Kurum, gizli olması gereken görüşme notlarını hizmetteki “gizli” seçeneğiyle işaretler ve öğretmenlerin yalnızca danışmanı oldukları öğrencileri görmesi gerekiyorsa ilgili ayarı kullanır.
5. Gizlilik ve güvenlik
Kurum Verisine yalnızca gizlilik yükümlülüğü altındaki ve görevi gereği erişmesi gereken kişiler erişebilir; destek amacıyla erişim kurumun talebiyle ve gerektiği ölçüde yapılır. Teknik önlemler: her kurumun verisini veritabanı düzeyinde ayıran satır düzeyi güvenlik (row-level security) ve uygulama katmanında kurum kontrolü; rol bazlı yetki (kurum sahibi, yönetici, öğretmen, öğrenci, veli) ve öğretmenin yalnızca danışmanı olduğu öğrencileri görmesi seçeneği; yalnızca yazanın ve kurum yöneticilerinin görebildiği gizli görüşme notları; bcrypt ile özetlenmiş şifreler; kurum açarsa tutulan T.C. kimlik numaralarının alan düzeyinde şifrelenmesi, ekranda maskelenmesi ve tamamının her görüntülenmesinin kayda geçmesi; tek kullanımlık ve süreli doğrulama bağlantıları, tekrarlanan hatalı girişte bot doğrulaması; internet üzerindeki bütün bağlantılarda HTTPS; internete doğrudan açık bir sunucu adresi bulunmaması (yalnızca Cloudflare Tunnel üzerinden erişim); dışa aktarma, kalıcı silme, hesap ve plan işlemleri için işlem kaydı; günlük şifreli yedek. Sunucu diski düzeyinde şifreleme şu an uygulanmamaktadır; yedekler şifrelidir. Kurumsal önlemler: yönetici hesaplarında (GitHub, Cloudflare, Google) çok faktörlü doğrulama; erişimlerin üç ayda bir gözden geçirilmesi; otomatik güvenlik yamaları; test ve üretim ortamlarının ayrılması ve testlerde üretim verisi kullanılmaması. Barındırma: Kortex Bilişim'in İstanbul'daki ofisinde, kendi işlettiği sunucularda (Türkiye).
6. Alt işleyenler ve yurt dışı aktarım
Kurum, aşağıdaki alt işleyenlerin kullanılmasına genel izin verir:
- Cloudflare, Inc. (ABD): alan adı, şifreli bağlantı (HTTPS), saldırı koruması ve oturum açma ile kayıt sayfalarındaki bot doğrulaması (Turnstile). Uygulamaya giden trafik Cloudflare ağından geçer; Cloudflare'in sunucuları Türkiye dışında olabilir.
- Google Workspace (Google Cloud EMEA Limited, İrlanda): işlemsel e-postaların gönderimi — adres doğrulama, şifre sıfırlama, davet, sipariş, deneme süresi, plan ve kredi hatırlatmaları, silme bildirimleri, haftalık veli özeti, Akademi kurs atama, son gün hatırlatma ve tamamlama bildirimleri, personele giden rapor paylaşımı ve öğrenci iyi oluş uyarıları ile kurumun bildirim kurallarında e-posta kanalını açtığı olay bildirimleri (duyuru, deneme sonucu, takvim ve görüşme hatırlatması gibi).
- iyzi Ödeme ve Elektronik Para Hizmetleri A.Ş. (iyzico, Türkiye): kartla ödeme. Kart bilgileri yalnızca iyzico'nun ödeme sayfasında işlenir ve BulutRehber'e ulaşmaz. Kartla ödeme, iyzico üye iş yeri incelemesi tamamlanınca açılır (yalnızca sipariş ve ödeme bilgileri: kurumun siparişlerinde kurumun, aile kredisi siparişlerinde kredi alan veli ya da öğrencinin; rehberlik ve eğitim verisi aktarılmaz).
İsteğe bağlı özelliklerin alt işleyenleri yalnızca kurum sahibi ilgili özelliği uygulama içinden açarsa ve yalnızca o kurum için kullanılır (Yapay zekâ özellikleri (sohbet ve rapor yorumları), WhatsApp bildirimleri ve SMS bildirimleri isteğe bağlı ek hizmetlerdir ve henüz kullanıma açılmamıştır. Kullanıma açılmadan en az 30 gün önce kurum sahiplerine e-postayla bildirilir; açıldıktan sonra da bir kurumda yalnızca kurum sahibi uygulama içinden açarsa çalışır. WhatsApp bildirimleri ücretsiz olacaktır; yapay zekâ ve SMS kullanımı krediyle ücretlendirilecektir):
- Anthropic, PBC (ABD): yalnızca kurumun açtığı yapay zekâ özelliklerinde yanıt ve rapor yorumu üretir. Gönderilen: soru metni ile sınıf, hedef sınav, hedef okul/puan, çalışma, deneme ve kurs sayıları. Ad, soyad, okul, telefon, e-posta, görüşme notları ve envanter yanıtları gönderilmez; öğretmen ve yönetici sorularında öğrenciler takma adla (“Öğrenci-1”) geçer. Anthropic API üzerinden gelen verileri ticari koşulları gereği model eğitiminde kullanmaz.
- WhatsApp (WhatsApp LLC, Meta; ABD): kurumun açtığı WhatsApp bildirimleri, BulutRehber'e ait tek bir WhatsApp numarasından, kurumun adıyla gönderilir. WhatsApp'a alıcının cep telefonu numarası ve uçtan uca şifreli mesaj gider; mesaj içeriği kısa bir bildirimdir (ad, deneme veya kurs adı, devamsızlık ya da geç kalma bilgisi, kısa özet). Bildirimler ücretsizdir ve yalnızca numarası kurumca kaydedilen ve izin veren veli ve öğrencilere gider.
- Netgsm İletişim ve Bilgi Teknolojileri A.Ş. (Türkiye): kurumun açtığı SMS bildirimlerinin gönderimi. Netgsm'e yalnızca alıcının cep telefonu numarası ve mesaj metni (kurumun adı, bildirim ya da kurumun yazdığı metin, birleştirme alanı kullanıldığında ad) iletilir; veri yurt dışına aktarılmaz. SMS yalnızca kurumca kaydedilen ve SMS almayı reddetmemiş numaralara gönderilir.
- ZenitERP (Kortex Bilişim; sunucuları İstanbul'da): kurum kendi ZenitERP hesabını bağlarsa kurumun muhasebe kayıtları için ödeme yapan kişinin adı, e-posta adresi ve telefonu, sözleşme ve fatura satırları, tutarlar, tahsilat ve iadeler ile öğretmenlerin adı, e-posta adresi ve aylık ders sayıları aktarılır. Öğrencinin adı fatura satırına yalnızca kurum bu seçeneği açarsa yazılır; not, devam, görüşme, envanter ve sınav bilgileri aktarılmaz. e-Arşiv ve e-Fatura belgeleri ZenitERP'nin anlaşmalı özel entegratörü aracılığıyla düzenlenir; veri yurt dışına aktarılmaz.
Kurum, öğrenci ve veli sohbeti için her öğrencide velinin açık rızasının kaydedilmesini sağlar (rıza kurumca öğrenci kartına girilebilir ya da veli tarafından veli alanında verilebilir); Veri İşleyen rıza kaydı olmayan öğrencinin verisini öğrenci ve veli sohbetinde yapay zekâya göndermez. Öğretmen ve yönetici sohbeti ile rapor yorumlarında yapay zekâya yalnızca takma adlı (“Öğrenci-1”) ve en aza indirilmiş sayısal veri gider; raporlar öğretmen onayı olmadan veliye gösterilmez. WhatsApp mesajları yalnızca numarası kaydedilmiş kişilere gider ve “DUR” yazan numaranın izni kendiliğinden kaldırılır. Kurum bu özellikleri istediği an kapatabilir.
Alt işleyenler eşdeğer veri koruma yükümlülükleriyle bağlanır. Bu sağlayıcılara yapılan yurt dışı aktarım KVKK m.9/4 kapsamında, Kişisel Verileri Koruma Kurulunca ilan edilen standart sözleşmeyle yapılır; standart sözleşme imzalandıktan sonra beş iş günü içinde Kurula bildirilir. Aktarım, uygun güvence kurulmadan genişletilmez. Yeni bir alt işleyen veya önemli bir değişiklik kurum sahiplerine en az 30 gün önce e-postayla bildirilir. Kurum 15 gün içinde gerekçeli itiraz edebilir; itiraz giderilemezse kurum sözleşmeyi sona erdirebilir ve kullanılmayan dönem için ödediği ücret iade edilir.
7. İhlal bildirimi ve yardım
Veri İşleyen, Kurum Verisini etkileyen bir kişisel veri ihlalini öğrendiğinde gecikmeksizin ve hedef olarak 24 saat içinde kurum sahiplerine bildirir; bildirimde olayın niteliği, etkilenen veri kategorileri ve yaklaşık kişi sayısı, olası sonuçları ve alınan önlemler yer alır. Kurum, KVKK m.12/5 uyarınca ilgili kişilere ve Kurula bildirimden sorumludur; Veri İşleyen bu süreçte gerekli bilgiyi sağlar.
İlgili kişi başvuruları için hizmette hazır araçlar bulunur: öğrenci kartından bir öğrencinin bütün verilerini indirme ve öğrenciyi kalıcı olarak silme, kurum ayarlarından bütün kurum verisini indirme ve işlem kaydını görüntüleme. Veri İşleyen bunların ötesinde makul yardım sağlar; olağan yardım standart desteğe dahildir.
8. Silme ve iade
Kurum, hizmet süresince ve kurum silme bekleme süresi boyunca bütün Kurum Verisini indirebilir. Gereğinden uzun saklamayı önlemek için, son deneme veya ödenmiş dönemden sonra 12 ay boyunca kullanılmayan kurumun sahiplerine bildirim gönderilir ve 30 gün içinde giriş yapılmazsa kurum silinir. Kurum silindiğinde veya sözleşme başka bir nedenle sona erdiğinde, Kurum Verisi üretim veritabanından ve dosya deposundan kalıcı olarak silinir; yedeklerde kalan kopyalar 30 gün içinde yedek döngüsünden çıkar. Silme işlemi Veri İşleyenin kayıtlarına tarih ve kurum kimliğiyle yazılır. Kanunen saklanması gereken sipariş ve fatura kayıtları Kurum Verisinden ayrı tutulur.
9. Denetim
Veri İşleyen, bu sözleşmeye uyumu gösteren bilgi ve belgeleri kurumun yazılı talebi üzerine sağlar. Kurum yılda bir kez, en az 30 gün önceden bildirerek ve gizlilik şartlarıyla belge üzerinden denetim yapabilir; yetkili makam talebi veya doğrulanmış bir ihlal hâlinde bu sınır uygulanmaz. Denetim giderleri kuruma aittir.
10. Öncelik
Bu sözleşme ile Kullanım Koşulları arasında kişisel verilerin korunmasına ilişkin bir çelişki olursa bu sözleşme uygulanır.