VERİ İŞLEME SÖZLEŞMESİ (DPA)

1. Taraflar ve Tanımlar

İşbu Veri İşleme Sözleşmesi (“Sözleşme”), bir tarafta YÖN YÖNETİM MBA AKADEMİ EĞİTİM DANIŞMANLIK LİMİTED ŞİRKETİ (“Veri İşleyen” / “Şirket” / blockodlama.com) ile diğer tarafta platform hizmetini kurumu adına kullanan okul/kurum(“Veri Sorumlusu” / “Kurum”) arasında akdedilmiştir.

Bu Sözleşme’de yer alan “kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi” ve “açık rıza” kavramları 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ikincil mevzuattaki anlamlarını taşır.

2. Konu ve Kapsam

Sözleşme, Kurum’un platform üzerinde işlenen kişisel verileri bakımından Veri Sorumlusu, Şirket’in ise bu verileri Kurum’un talimatları doğrultusunda işleyen Veri İşleyen sıfatıyla taraflar arasındaki hak ve yükümlülükleri düzenler. Ana hizmete ilişkin Kullanım Şartları ile bir çelişki hâlinde, kişisel verilerin korunmasına ilişkin konularda işbu Sözleşme önceliklidir.

3. İşlemenin Niteliği, Amacı ve Süresi

• Niteliği/İşlemler: Toplama, kaydetme, saklama, düzenleme, güncelleme, sunucularda barındırma, erişim sağlama ve imha.
• Amaç: Kurum’a MEB müfredatına uygun dijital eğitim platformu hizmetinin sunulması; öğrenci gelişiminin takibi; hesap ve içerik yönetimi.
• Süre: Hizmet ilişkisi (abonelik/kurumsal sözleşme) süresince; sona ermeyi izleyen imha/iade süreci saklıdır (bkz. madde 11).

4. Veri Kategorileri ve İlgili Kişi Grupları

• Öğretmen/Yönetici: Ad-soyad, e-posta, kullanıcı adı, okul bilgisi.
• Öğrenci: Ad-soyad, okul numarası ve sistem içi aktivite kayıtları (tamamlanan dersler, alıştırma sonuçları vb.).

Öğrencilerden iletişim bilgisi, konum, fotoğraf/video gibi ek veriler talep edilmez.

5. Veri İşleyenin Yükümlülükleri

• Kişisel verileri yalnızca Kurum’un yazılı/elektronik talimatları ve işbu Sözleşme kapsamında işlemek; amacı dışında kullanmamak.
• Verilere erişen personelin gizlilik yükümlülüğü altında olmasını sağlamak.
• KVKK m.12 uyarınca uygun teknik ve idari güvenlik tedbirlerini almak (bkz. madde 6).
• İlgili kişi taleplerinin ve Kurum’un yükümlülüklerinin yerine getirilmesinde makul destek sağlamak (bkz. madde 8).
• Veri ihlallerini gecikmeksizin Kurum’a bildirmek (bkz. madde 9).

6. Teknik ve İdari Güvenlik Tedbirleri

• Aktarımda ve barındırmada şifreleme (HTTPS/TLS; sağlayıcı düzeyinde disk şifreleme).
• Rol tabanlı yetkilendirme ve sunucu tarafında güvenlik kuralları (Firestore/Storage kuralları) ile en az yetki ilkesi.
• Kimlik doğrulama, oturum güvenliği ve yetkisiz erişime karşı koruma (App Check vb.).
• Öğrenci hesaplarının yalnızca yetkili öğretmen/okul tarafından oluşturulması; asgari veri ilkesi.
• Yedekleme ve erişim kayıtlarının tutulması.

7. Alt İşleyenler

Kurum, Şirket’in hizmetin ifası için alt işleyen kullanmasına onay verir. Güncel alt işleyen listesi blockodlama.com/alt-isleyenler adresinde yayımlanır. Yeni bir alt işleyen eklenmesi hâlinde liste güncellenir ve Kurum bilgilendirilir; Kurum’un haklı gerekçeyle itiraz hakkı saklıdır. Şirket, alt işleyenlere işbu Sözleşme ile eşdeğer yükümlülükler getirir.

8. Yurt Dışına Aktarım

Barındırma ve bazı hizmetler kapsamında veriler yurt dışındaki sunucularda işlenebilir. Bu aktarım, KVKK m.9 uyarınca açık rıza veya öngörülen uygun güvence mekanizmaları (yeterlilik, standart sözleşme, bağlayıcı şirket kuralları vb.) sağlanarak gerçekleştirilir. Ayrıntılar alt işleyen listesinde belirtilir.

9. İlgili Kişi Talepleri ve Veri İhlali Bildirimi

• Şirket’e ulaşan ilgili kişi (öğretmen/öğrenci/veli) talepleri, Kurum’a yönlendirilir; Şirket yanıtlanmasında makul destek verir.
• Şirket, bir veri ihlalini öğrenmesinin ardından gecikmeksizin Kurum’a bildirir; ihlalin niteliği, etkilenen veri ve alınan önlemler hakkında bilgi sağlar. Kurul’a bildirim yükümlülüğü Veri Sorumlusu Kurum’a aittir.

10. Denetim

Şirket, işbu Sözleşme’ye uyumu tevsik eden bilgileri Kurum’un makul talebi üzerine sağlar. Denetimler, hizmetin işleyişini aksatmayacak şekilde ve makul sıklıkta yürütülür.

11. Sözleşmenin Sona Ermesi; Verilerin İadesi ve İmhası

Hizmet ilişkisinin sona ermesi hâlinde Şirket, Kurum’un tercihine göre kişisel verileri Kurum’a iade eder veya siler/yok eder; yasal saklama yükümlülükleri saklıdır. İmha, makul bir süre içinde gerçekleştirilir.

12. Sorumluluk, Süre ve Uygulanacak Hukuk

Taraflar KVKK ve ilgili mevzuattan doğan kendi yükümlülüklerinden sorumludur. İşbu Sözleşme, taraflar arasındaki hizmet ilişkisi süresince yürürlüktedir. Sözleşme’ye Türkiye Cumhuriyeti hukuku uygulanır; uyuşmazlıklarda İzmir Mahkemeleri ve İcra Daireleri yetkilidir.

13. İmzalar