Veri İşleme Sözleşmesi (DPA)

1. Konu ve kapsam

Bu DPA, Odiyle Keşfediyorum hizmeti kapsamında İşleyen’in Okul adına yaptığı kişisel veri işleme faaliyetlerini GDPR m. 28 ve KVKK m. 8–12’ye uygun düzenler. Asıl hizmet sözleşmesinin eki ve ayrılmaz parçasıdır.

2. İşleyenin yükümlülükleri

• Verileri yalnızca Okul’un belgelenmiş talimatlarıyla işler.
• Erişen personelin gizlilik taahhüdünü sağlar.
• Teknik ve idari tedbirleri uygular (şifreleme, erişim kontrolü, kayıt).
• Alt işleyen değişikliklerini en az 14 gün önce bildirir; Okul itiraz edebilir.
• İhlali Okul’a en geç 48 saat içinde bildirir.
• İlgili kişi başvurularında 5 iş günü içinde destek verir.
• Denetimlere yılda en fazla 1 kez, 30 gün bildirimle izin verir.
• Hizmet sonunda verileri iade eder veya siler (yedekler en fazla 90 gün).

3. Alt işleyenler (Ek-3)

• Google Firebase (Kimlik Doğrulama / Firestore / Depolama; Analytics yalnızca web'de ve yalnızca tercih ile)
• Apple App Store (Apple ile Giriş ve uygulama içi satın alma faturalama)
• Google Play (uygulama içi satın alma faturalama)
• Vercel (web barındırma) ve Vercel Analytics (yalnızca tercih ile, pazarlama çerezi yok)
• Sentry (hata takibi)
• Resend (işlemsel e-postalar)

Tüm alt işleyenlerle GDPR m. 28 sözleşmeleri imzalanmıştır; ABD aktarımlarında 2021/914 SCC Modül 2/3 uygulanır.

4. KVKK özel hükümleri

Özel nitelikli veriler (ör. ses kaydı) KVKK m. 6 ve açık rıza (m. 5/1) ile; diğer veriler m. 5/2 (sözleşme, yasal yükümlülük, meşru menfaat) kapsamında işlenir. İlgili kişi başvurularına en geç 30 günde yanıt verilir. Şikâyet mercii: Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).

Ek-1: İşleme ayrıntıları

Konu: 1.–4. sınıf öğrenme platformu. Süre: hizmet süresi + iade/silme. Amaç: hesap, öğrenme, raporlama, destek. Veri türleri: kimlik, iletişim, hesap/öğrenme, satın alma kaydı, proje/ses içerikleri, teknik veriler. İlgili kişiler: öğrenciler (6–10 yaş, okul/veli gözetimi), öğretmenler, yöneticiler.

Ek-2: Teknik ve idari tedbirler

• Taşımada TLS 1.2+, saklamada AES-256 şifreleme.
• Rol bazlı erişim, çok faktörlü kimlik doğrulama.
• Güvenlik duvarı/DDoS koruması, günlük incelemeleri.
• Yedekleme: RPO 24 saat, RTO hedefi 1 saat; yedek saklama en fazla 90 gün.

Ek-3: Alt işleyen listesi

Bölüm 3’teki liste Ek-3’tür; güncellemeler yazılı bildirilir.

Ek-4: İletişim

İşleyen: Macenta Eğitim Yayınları Sanayi ve Ticaret Anonim Şirketi, Dikilitaş Mah. Barış Sok. Fulya Sitesi A Blok 9/A, Beşiktaş-İstanbul-Türkiye, destek@macenta.com.tr, KEP: macenta@hs01.kep.tr, +90 (212) 259 54 73. Okul: ____, ____, ____. İmza yetkilileri: Okul — ____; İşleyen yetkilisi imza sonrası eklenir.

İmzalar