Ezelingo — Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
Sürüm: 1.0 Yürürlük Tarihi: 26 Ağustos 2026 Son Güncelleme: 26 Ağustos 2026
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, Ezelingo mobil uygulaması ("Ezelingo" veya "Uygulama") aracılığıyla işlenen kişisel verileriniz hakkında sizi bilgilendirmek amacıyla hazırlanmıştır.
Ezelingo, 7–14 yaş aralığındaki çocuklara yönelik bir İngilizce öğrenme uygulamasıdır. Kullanıcılarımız üç gruptan oluşur: çocuk (öğrenci), veli ve öğretmen. Uygulamamızda çocuk hesapları veli e-posta adresi ile açılır ve velinin onayına bağlıdır.
Önemli not (bilgi teyidi ile açık rızanın ayrılması): Bu Aydınlatma Metni yalnızca bir bilgilendirme belgesidir; karşılığında sizden bir "onay" veya "rıza" alınmaz, yalnızca metni okuduğunuza ve anladığınıza dair bir teyit istenir. Belirli işlemler için (ör. yurt dışına veri aktarımı, isteğe bağlı özellikler) ayrıca ihtiyaç duyulan açık rıza, bu metinden ayrı bir başlık ve ayrı bir beyan/kutu ile talep edilir. Aydınlatma ve açık rıza tek bir jestle (tek onay kutusu / tek kaydırma) birlikte alınmaz.
1. Veri Sorumlusunun Kimliği
KVKK uyarınca veri sorumlusu sıfatıyla kişisel verileriniz aşağıda kimliği belirtilen veri sorumlusu tarafından işlenmektedir:
| Bilgi | Değer |
|---|---|
| Unvan | NEXCODE YAZILIM VE TEKNOLOJİ ANONİM ŞİRKETİ |
| Adres | Üniversite Mah. Sarıgül Sk. No: 35/3 İç Kapı No: 27, Avcılar / İstanbul |
| Vergi No | 6312100634 (Avcılar Vergi Dairesi) |
| MERSİS No | 0631210063400001 |
| KEP Adresi | nexcode@hs01.kep.tr |
| E-posta | kvkk@ezelingo.com |
| VERBİS No | — (VERBİS muafiyeti değerlendiriliyor) |
2. İşlenen Kişisel Veri Kategorileri
Ezelingo'da tüm kullanıcılar (çocuk, veli, öğretmen, yönetici) tek bir kullanıcı tablosunda rol bazlı olarak tutulur. İşlenen kişisel veriler rol bazında aşağıda gösterilmiştir.
2.1. Çocuk (Öğrenci) Verileri
| Veri Kategorisi | İşlenen Alanlar |
|---|---|
| Kimlik | Ad (firstName — açık/düz metin), Soyad (lastNameEnc — AES-256-GCM ile şifreli; arayüzde her yerde maskeli, ör. "Ahmet Y."), görünen ad (name — maskeli soyadla birlikte saklanır), kullanıcı adı (username — giriş için), avatar seçimi (avatarId), arkadaş kodu (friendCode) |
| İletişim | Çocuğun kendi e-postası (isteğe bağlı, alınmayabilir), veli e-posta adresi (parentEmail — zorunlu; giriş için değil, veli onayı/bağlantı kanalı olarak) |
| Kimlik doğrulama | Şifre (passwordHash — bcrypt ile 12 tur hash'lenmiş; düz metin saklanmaz), oturum ve doğrulama token'ları |
| Eğitim / öğrenme | Sınıf (grade), müfredat türü (track — REGULAR/CYD), ders denemeleri (StepAttempt: puan, XP, başlangıç/bitiş zamanı, geçme durumu), kelime bazında öğrenme profili (UserVocabMastery: doğru/yanlış sayısı, seri, ustalık skoru, telaffuz başarı oranı, tekrar zamanı) |
| Davranışsal / kullanım | Her soru için ayrıntılı olay kaydı (AttemptEvent: soru türü, doğru/yanlış, kullanıcının seçtiği/yazdığı cevap, doğru cevap, harcanan süre, kombo, tarih); günlük kullanım sayaçları (UserDailyCounter); XP, seviye, seri (streak), son aktiflik zamanı, haftalık XP, lig bölümü, kalp (can) durumu |
| Ses kaynaklı metin | Telaffuz alıştırmasında söylenen kelimenin metne dönüştürülmüş hali (transkript). Bu metin, uygulamaya gömülü çevrimdışı model tarafından üretilir ve sunucumuzda AttemptEvent içinde saklanır. Ham ses kaydı Ezelingo sunucularına yüklenmez ve tarafımızca saklanmaz. (Ayrıntı için bkz. Bölüm 11 ve Bölüm 6.) |
| Sosyal / oyun | Düello kayıtları (Duel: rakip, skorlar, kazanan, üretilen sorular), arkadaşlıklar (Friendship), sınıf üyeliği (ClassMembership), ödev kayıtları (StudentAssignment), bildirimler (Notification) |
| Rıza kayıtları | KVKK ve gizlilik onay zaman damgası (consentAt), onay sürüm bilgisi (consentVersion), veli e-posta doğrulama durumu (emailVerified) |
| Ödeme / abonelik | Abonelik durumu, ürün, mağaza, işlem numarası (Subscription, PaymentEvent). Kart/banka bilgisi işlenmez — ödeme verileri mağaza (App Store / Google Play) ve RevenueCat tarafında tutulur. |
| İşlem güvenliği | IP adresi (denetim/güvenlik loglarında), oturum bilgileri |
Özel nitelikli kişisel veri işlenmez. Ezelingo sağlık, din, etnik köken, biyometrik kimlik doğrulama, cinsel hayat veya benzeri özel nitelikli veri toplamaz. Telaffuz özelliği ham sesi biyometrik kimliklendirme için kullanmaz; ses cihazda metne çevrilir. Çocuğun doğum tarihi/yılı hiç işlenmez: asgari veri ilkesi gereği sorulmaz ve saklanmaz; içerik seviyesi yalnızca velinin bildirdiği sınıf düzeyine göre belirlenir.
Çocuk verisinde hassasiyet: Kullanıcılarımızın büyük çoğunluğu 18 yaşından küçük olduğundan, işlenen tüm veriler fiilen "çocuk kişisel verisi" hassasiyetinde değerlendirilir.
2.2. Veli Verileri
| Veri Kategorisi | İşlenen Alanlar |
|---|---|
| Kimlik | Ad (firstName), Soyad (lastNameEnc — AES-256-GCM ile şifreli). Veli yetişkin olduğundan görünen ad tam ad+soyad olarak saklanır; sosyal/lig ekranlarında görünmez. |
| İletişim | E-posta adresi (zorunlu — giriş ve iletişim kanalı; tek kullanımlık e-postalar engellenir) |
| Kimlik doğrulama | Şifre (passwordHash — bcrypt 12 tur), oturum ve doğrulama token'ları |
| Bağlantı / ilişki | Bağlı olduğu çocuk hesapları (ParentLink), e-posta doğrulama durumu (emailVerified) |
| Rıza kayıtları | consentAt, consentVersion |
| İşlem güvenliği | IP adresi (denetim/güvenlik loglarında), oturum bilgileri |
2.3. Öğretmen Verileri
| Veri Kategorisi | İşlenen Alanlar |
|---|---|
| Kimlik | Ad (firstName), Soyad (lastNameEnc — AES-256-GCM ile şifreli) |
| İletişim | E-posta adresi (zorunlu; tek kullanımlık e-postalar engellenir) |
| Kimlik doğrulama | Şifre (passwordHash — bcrypt 12 tur), oturum ve doğrulama token'ları |
| Eğitim faaliyeti | Oluşturduğu sınıflar (TeacherClass: sınıf adı, seviye, katılım kodu), ödevler (Assignment), içerik notları (ContentNote — serbest metin), yalnızca kendi sınıfındaki öğrencilere ilişkin ilerleme/analiz erişimi |
| Öğretmenlik doğrulaması | İsteğe bağlı yüklenen belgeden yalnız ad soyad, öğretmenlik unvanı ve kurum veya mezun olunan okul/program bilgisi çıkarılır. Asıl dosya, inceleme için şifreli ve erişimi sınırlı özel depoda geçici saklanır. Otomatik okuma başarısızsa yetkili yönetici asıl belgeyi inceleyebilir. Onay kararı ve bilgi özeti kaydedildikten sonra dosya silinir; başarısız silme işlemleri izlenerek yeniden denenir. T.C. kimlik numarası, doğum, aile, adres ve mali bilgiler kalıcı bilgi özetine alınmaz. Başvuru/karar tarihleri, inceleme sonucu, işlem yöntemi ve belge tekilliğini denetleyen özetler tutulur. Bekleyen başvuru bilgileri 30 gün; onaylı bilgiler öğretmenlik yetkisi ve hesap sürdükçe; ret veya yetkinin geri alınmasından sonra 30 gün saklanır. Hesap silinince kayıtlar da silinir. Bekleyen asıl dosya en fazla 30 gün, reddedilen veya değiştirilen belgenin dosyası karardan sonra en fazla 30 gün saklanır. Otomatik bilgi çıkarma tek başına asıl dosyayı silmez. Önceki başvuruların dosyaları varsa daha kısa mevcut imha sürelerine tabidir. |
| Rıza kayıtları | consentAt, consentVersion, emailVerified |
| İşlem güvenliği | IP adresi (denetim/güvenlik loglarında), oturum bilgileri |
2.4. Tüm Kullanıcılardan Toplanabilen Diğer Veriler
- Geri bildirim (
AppFeedback): türü, serbest metin mesaj, etkilenen alan ve bağlam bilgisi (isteğe bağlı; anonim de olabilir). - Denetim (audit) logları: giriş/çıkış, kayıt, şifre sıfırlama, hesap silme gibi olayların kullanıcı kimliği ve IP adresi ile kaydı.
3. Kişisel Verilerin İşlenme Amaçları ve Hukuki Sebepleri
Aşağıdaki tabloda, her işleme amacı ile KVKK m.5/2 kapsamındaki hukuki sebebi eşleştirilmiştir. Çocuk kullanıcılar için açık rıza gerektiren işlemlerde rıza, çocuktan değil veliden alınır.
| # | İşleme Amacı | İşlenen Başlıca Veriler | Hukuki Sebep (KVKK m.5/2) |
|---|---|---|---|
| 1 | Kullanıcı hesabının oluşturulması ve yönetilmesi (kayıt, giriş, kimlik doğrulama) | Kimlik, iletişim, passwordHash, oturum token'ları | Sözleşmenin kurulması/ifası (m.5/2-c) |
| 2 | Çekirdek eğitim hizmetinin sunulması (dersler, ilerleme kaydı, ustalık takibi, tekrar planı) | Eğitim/öğrenme verileri, davranışsal veriler | Sözleşmenin ifası (m.5/2-c) |
| 3 | Veli e-posta doğrulaması ve veli onayının alınması/kaydı | Veli e-posta, emailVerified, consentAt, consentVersion | Hukuki yükümlülük (m.5/2-ç — çocuk verisinde veli iradesinin sağlanması) ve sözleşmenin ifası (m.5/2-c) |
| 4 | Hesabın veli hesabına bağlanması, veli takibi ve raporlama | ParentLink, ilerleme verileri | Sözleşmenin ifası (m.5/2-c) |
| 5 | Öğretmen–sınıf modülü (sınıf oluşturma, ödev atama, kendi sınıfının analizi) | Sınıf, ödev, öğrenci ilerleme verileri | Sözleşmenin ifası (m.5/2-c) |
| 6 | Sosyal ve oyunlaştırma özellikleri (lig/sıralama, düello, arkadaşlık) | Maskeli ad, avatar, XP, rütbe, düello/arkadaşlık kayıtları | Sözleşmenin ifası (m.5/2-c). Bu özellikler veli onayı (mail-onayı) kapısına bağlıdır. |
| 7 | Telaffuz alıştırması sonucunun değerlendirilmesi (isteğe bağlı özellik) | Ses kaynaklı transkript metni, telaffuz skoru | İsteğe bağlı çocuk telaffuz özelliği için → VELİ AÇIK RIZASI (m.5/1). Ayrıca cihaz mikrofonu her zaman gönüllüdür ("Geç" seçeneği vardır). |
| 8 | Abonelik ve ödeme yönetimi (premium hak doğrulama) | Abonelik durumu, ürün, mağaza işlem no, kullanıcı kimliği | Sözleşmenin ifası (m.5/2-c) |
| 9 | Hizmet güvenliği, kötüye kullanımın önlenmesi, hata/dolandırıcılık tespiti | IP adresi, denetim logları, kullanım sayaçları | Meşru menfaat (m.5/2-f), temel hak ve özgürlüklere zarar vermemek kaydıyla |
| 10 | Yasal yükümlülüklerin yerine getirilmesi (talep/başvuru cevaplama, saklama, yetkili merci talepleri) | İlgili tüm veriler | Hukuki yükümlülük (m.5/2-ç) |
| 11 | Yurt dışında bulunan altyapı sağlayıcılarına (barındırma, veritabanı, e-posta, ödeme) veri aktarımı | Bölüm 6'daki ilgili veriler | Standart sözleşme/uygun güvence tamamlanana kadar → VELİ AÇIK RIZASI (m.9). Bkz. Bölüm 7. |
| 12 | Kullanıcı bildirimleri ve uygulama içi geri bildirim yönetimi | Bildirim ve geri bildirim kayıtları | Meşru menfaat (m.5/2-f) / hizmetin ifası (m.5/2-c) |
Otomatik analiz ve eğitimsel profilleme: Çekirdek eğitim hizmetinin sunulabilmesi için öğrenme verileriniz münhasıran otomatik sistemlerle analiz edilir (profilleme). Bu analiz; her kelime için ustalık skorunun hesaplanması (
UserVocabMastery), buna göre kişiye özel adaptif tekrar planının oluşturulması, XP/rütbe hesabı ve lig bölümüne yerleştirme/yükselme/düşme ile kalp (can) durumunun belirlenmesi gibi sonuçlar doğurur. Bu profilleme yalnızca eğitim/oyunlaştırma amacıyla yapılır; reklam, pazarlama veya hukuki/mali sonuç doğuran bir amaçla kullanılmaz. Bu tür otomatik analiz sonucu aleyhinize bir sonucun ortaya çıkmasına KVKK m.11-(g) uyarınca itiraz edebilirsiniz (bkz. Bölüm 9).Reklam ve profil çıkarımı: Ezelingo reklam göstermez, hedefli/davranışsal reklam yapmaz ve pazarlama amaçlı üçüncü taraf takip/analitik SDK'sı kullanmaz. Bu husus uygulama kodu düzeyinde doğrulanmıştır (Firebase, Analytics, AdMob, Facebook SDK, AppsFlyer, Sentry, Crashlytics vb. bulunmamaktadır).
4. Kişisel Verilerin Toplanma Yöntemi
Kişisel verileriniz aşağıdaki yöntemlerle, tamamen veya kısmen otomatik yollarla ve bir veri kayıt sisteminin parçası olarak toplanır:
- Doğrudan sizden: Kayıt ekranında girdiğiniz bilgiler (ad, soyad, veli e-postası, kullanıcı adı, şifre, sınıf düzeyi ve müfredat programı), giriş bilgileri, geri bildirim mesajları.
- Uygulamayı kullanımınız sırasında otomatik olarak: Ders/quiz/düello etkileşimleri, cevaplar, süreler, ilerleme ve kullanım verileri, oturum ve IP bilgileri.
- Cihaz mikrofonu üzerinden (yalnızca telaffuz alıştırmasında, gönüllü): Söylenen kelime cihazda metne çevrilir; yalnızca metin sonucu işlenir.
- Veli/öğretmen ilişkisi üzerinden: Veli hesabına bağlanma, öğretmenin sınıf/ödev oluşturması.
5. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amaçları
Kişisel verileriniz, hizmetin sunulması için gerekli olan ve aşağıda listelenen altyapı sağlayıcıları (veri işleyenler) aracılığıyla işlenir. Ezelingo, kişisel verileri pazarlama amacıyla üçüncü taraflara satmaz veya kiralamaz.
| Sağlayıcı | Aktarılan / İşlenen Veri | Amaç | Ülke / Bölge | Hukuki Sebep |
|---|---|---|---|---|
| Vercel | Tüm HTTP trafiği (kimlik, iletişim, ilerleme, IP) | Uygulama sunucusu / barındırma | Almanya (Frankfurt) — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
| Neon (PostgreSQL) | Tüm kalıcı kişisel veriler (kimlik, şifreli soyad, iletişim, ilerleme, ödeme kayıtları vb.) | Birincil veritabanı | AWS eu-central-1, Almanya (Frankfurt) — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
| Cloudflare R2 / cdn.ezelingo.com | Kişisel veri aktarılmaz (yalnızca içerik görselleri). Çocuğun cihazı görsel çekerken Cloudflare, cihazın IP adresini ve istek meta verisini görür. | Görsel içerik depolama ve dağıtım (CDN) | Küresel edge ağı (ABD dahil) — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
| Resend | Alıcı e-posta adresi (veli/öğretmen) + tek kullanımlık doğrulama/sıfırlama bağlantısı. Ad/soyad e-posta gövdesinde gitmez. | Hesap doğrulama, veli onayı ve şifre sıfırlama e-postaları | ABD — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
| RevenueCat | Dahili kullanıcı kimliği (User.id — takma kimlik), abonelik durumu, ürün, mağaza, işlem no. İsim/e-posta gönderilmez. | Abonelik ve premium hak yönetimi | ABD — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
| Apple App Store / Google Play | Ödeme, iade ve fatura muhatabı mağazadır; kart bilgisi bizde işlenmez. | Uygulama içi satın alma, ödeme, fatura | ABD/İrlanda — yurt dışı | Sözleşmenin ifası (m.5/2-c) |
| Supabase Storage | Müfredat/içerik görselleri (kullanıcı PII değil). Yalnızca yöneticinin görsel yükleme isteğinde, yükleyen isteğin IP/meta verisi Supabase tarafından görülebilir; öğrenci/veli/öğretmen kişisel verisi aktarılmaz. | İçerik (müfredat) görsellerinin depolanması ve yayınlanması | ABD (bölgeye göre) — yurt dışı | Sözleşmenin ifası (m.5/2-c) + yurt dışı aktarım için veli açık rızası (m.9) |
Aktarım dayanağı hakkında (m.9): Yukarıdaki barındırma/veritabanı/CDN/e-posta/ödeme/depolama aktarımları süreklilik arz eder (düzenli, tekrarlayan aktarımlar). 7499 sayılı Kanunla değişen ve 01.06.2024'te yürürlüğe giren KVKK m.9 uyarınca açık rıza, yalnızca arızi (düzenli olmayan, sürekliliği bulunmayan ve nadiren gerçekleşen) aktarımlar için tek başına geçerli bir istisnadır; süreklilik arz eden aktarımlarda tek başına yeterli değildir. Bu nedenle bu tablodaki açık rıza dayanağı geçici/köprü niteliktedir: Kurul'un yayımladığı standart sözleşme veya diğer uygun güvenceler imzalanana kadar aktarım veli açık rızasına dayanılarak yapılır; uygun güvence tamamlandığında dayanak m.9 uygun güvence hükmüne geçirilecektir. (Bkz. Bölüm 7.)
Yalnızca içerik hazırlığında kullanılan, kullanıcı verisi işlemeyen araçlar: Müfredat görselleri hazırlanırken geliştirici tarafında çevrimdışı olarak OpenAI (görsel üretimi) ve Freepik (görsel arama) kullanılır. Bu araçlara hiçbir kullanıcı kişisel verisi gönderilmez; yalnızca müfredat kelimeleri (içerik metni) iletilir. Bu araçlar uygulamanın çalışma zamanında devreye girmez.
Diğer sağlayıcı açıklamaları: Upstash Redis üretimde aktif kişisel veri işleyicisi değildir. Supabase Storage, yalnızca yönetici tarafından yüklenen içerik/müfredat görsellerinin depolanmasında fiilen kullanılan aktif bir alt-işleyendir (yukarıdaki tabloda listelenmiştir); bu akışta öğrenci/veli/öğretmen kişisel verisi işlenmez, yalnızca yükleyen isteğin IP/meta verisi Supabase tarafında görülebilir.
6. Ses ve Mikrofon Verisine İlişkin Özel Bilgilendirme
Telaffuz alıştırması, uygulamaya gömülü İngilizce model ile tamamen cihaz üzerinde çalışır:
- Alıştırma gönüllüdür; mikrofon kullanmadan "Geç" seçeneğiyle, ceza veya can kaybı olmadan geçebilirsiniz.
- Söylediğiniz kelime, uygulamaya gömülü çevrimdışı model tarafından metne dönüştürülür.
- Ham ses kaydı Ezelingo sunucularına yüklenmez ve tarafımızca saklanmaz. Yalnızca metne dönüşen sonuç cihazda beklenen kelimeyle karşılaştırılır ve bir başarı skoru üretilir.
- Metne dönüşen sonuç (transkript) ve telaffuz skoru, öğrenme kaydınızın parçası olarak sunucumuzda saklanır.
- Mikrofon sesi yalnızca cihaz içinde işlenir; Ezelingo veya konuşma tanıma sağlayıcısının sunucularına gönderilmez. Uygulamaya gömülü İngilizce model cihazda çalıştırılamıyorsa mikrofon gri ve pasif olur; kırmızı desteklenmiyor mesajı gösterilir. Bulut tanımaya geçilmez.
7. Yurt Dışına Aktarım (KVKK m.9)
Ezelingo'nun teknik altyapısı (barındırma, veritabanı, e-posta, ödeme, içerik dağıtımı) yurt dışında bulunmaktadır. Telaffuz sesi ise cihaz içinde işlenir; yurt dışına gönderilmez. Bu nedenle kişisel verileriniz, Bölüm 5'te listelenen sağlayıcılar aracılığıyla yurt dışına aktarılmaktadır.
KVKK Kurulu bugüne kadar hiçbir ülke için "yeterlilik kararı" vermemiştir; bu nedenle Almanya (AB) dahil tüm aktarımlar eşit şekilde "yurt dışına aktarım" sayılır. Yurt dışına aktarım, mümkün olan sağlayıcılar için Kurul'un yayımladığı standart sözleşme veya diğer uygun güvenceler tamamlanana kadar, KVKK m.9 uyarınca velinin açık rızasına dayanılarak yapılır.
Bu kapsamda, yurt dışına aktarım için verilen açık rıza:
- Bu Aydınlatma Metninden ayrı bir başlık ve ayrı bir beyan ile alınır,
- Hizmet kullanımının ön koşulu değildir,
- Verilerinizin yeterlilik kararı bulunmayan ülkelere aktarıldığı ve buralardaki koruma seviyesinin belirsiz olabileceği dahil muhtemel riskler hakkında bilgilendirmeyi içerir,
- Her zaman geri alınabilir.
Açık rızanın geri alınması: Verdiğiniz açık rızayı (yurt dışına aktarım, telaffuz/mikrofon özelliği vb.) dilediğiniz zaman geri alabilirsiniz. Geri alma için kvkk@ezelingo.com adresine talebinizi iletmeniz yeterlidir. Açık rızanın geri alınması ileriye dönük olarak sonuç doğurur: geri alma tarihinden itibaren ilgili işleme (ör. yurt dışına aktarım, telaffuz değerlendirmesi) durdurulur; geri almadan önce hukuka uygun şekilde gerçekleştirilmiş işlemleri etkilemez. Telaffuz/mikrofon rızasının geri alınması hâlinde bu isteğe bağlı özellik devre dışı kalır; çekirdek eğitim hizmetini kullanmaya devam edebilirsiniz.
8. Kişisel Verilerin Saklanma Süreleri
Kişisel verileriniz, işlendikleri amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen zamanaşımı/saklama süreleri dikkate alınarak saklanır. Genel ilke olarak:
- Hesap verileri (kimlik, iletişim, öğrenme ve ilerleme verileri): Hesabınız aktif olduğu sürece saklanır. Hesabınızı sildiğinizde, ilişkili tüm veriler ilkeli olarak sistemden silinir (bkz. Bölüm 9).
- Ödeme/abonelik kayıtları: İlgili mali ve hukuki saklama yükümlülükleri süresince tutulabilir.
- Denetim/güvenlik logları: Güvenlik ve hukuki gerekliliklerin gerektirdiği süre boyunca tutulur.
9. İlgili Kişinin Hakları (KVKK m.11) ve Başvuru Yolu
KVKK'nın 11. maddesi uyarınca, veri sorumlusuna başvurarak aşağıdaki haklara sahipsiniz:
a) Kişisel verinizin işlenip işlenmediğini öğrenme, b) İşlenmişse buna ilişkin bilgi talep etme, c) İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, d) Eksik veya yanlış işlenmişse düzeltilmesini isteme, e) KVKK ve ilgili mevzuatta öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme, ğ) Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
Başvuru yolu: Bu haklarınızı kullanmak için taleplerinizi kvkk@ezelingo.com adresine iletebilir, kayıtlı elektronik posta (KEP) ile nexcode@hs01.kep.tr adresine gönderebilir veya Üniversite Mah. Sarıgül Sk. No: 35/3 İç Kapı No: 27, Avcılar / İstanbul adresine yazılı olarak başvurabilirsiniz. Başvurunuz, talebin niteliğine göre en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarife uygulanabilir. Çocuk kullanıcılar adına bu haklar veli/yasal temsilci tarafından kullanılır.
Başvuruda bulunması gereken bilgiler ve kimlik teyidi: "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca başvurunuzda; ad-soyad, yazılı başvuruda imza, T.C. kimlik numarası (yabancılar için pasaport/uyruk ve kimlik/pasaport numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta/telefon/faks ve talep konusu yer almalıdır. Başvurunuzu güvenle karşılayabilmek için başvuru sahibinin kimliği teyit edilir. Çocuk adına yapılan başvurularda, başvuranın veli/yasal temsilci sıfatı belgelenebilir olmalıdır (ör. ilgili çocuk hesabına bağlı parentEmail/ParentLink üzerinden veya nüfus/vesayet belgesi ile).
Kurul'a şikâyet hakkı: Başvurunuzun reddedilmesi, verdiğimiz cevabı yetersiz bulmanız veya süresinde (30 gün) cevap verilmemesi hâlinde; cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na (KVKK m.13–14) şikâyette bulunabilirsiniz.
Uygulama içinde, hesabınıza girerek hesabınızı kendiniz silebilirsiniz (Ayarlar → Hesabımı Sil). Hesap silindiğinde ilişkili verileriniz veritabanından silinir (cascade).
10. Çocuk Verisi ve Veli Rızası
Ezelingo 7–14 yaş çocuklara yöneliktir. Çocukların büyük çoğunluğu, kişisel verileri üzerinde tek başına geçerli irade beyanında bulunma (ayırt etme gücü) bakımından yeterli olmayabileceğinden, Ezelingo çocuk hesaplarını veli iradesine dayandıran bir model benimsemiştir:
- Hesap veli e-postası ile açılır. Kayıt sırasında zorunlu olan
parentEmailalanı, veli onayının/iletişiminin kanalıdır; çocuğun giriş bilgisi değildir. - Veli e-posta doğrulaması (onay kapısı): Veli, e-postasına gönderilen bağlantı ile hesabı onaylayana kadar telaffuz, arkadaşlık, sosyal ve premium gibi özellikler kilitli kalır.
- Rıza kaydı tutulur: Onay zamanı (
consentAt), onay sürümü (consentVersion) ve doğrulama durumu (emailVerified) sunucuda saklanır; böylece "kimin, ne zaman, hangi sürüme onay verdiği" ispatlanabilir. - Veri minimizasyonu: Çocuktan mümkün olan en az veri alınır; soyad şifreli ve maskeli tutulur, çocuğun tam soyadı yalnızca e-posta doğrulamasını yapmış veliye (kendi onay ekranında) gösterilir; akranlara, öğretmene ve yöneticiye tam soyad açılmaz.
- Veli hakları: Veli, bağlı olduğu çocuğun verilerine erişebilir, düzeltilmesini/silinmesini talep edebilir ve çocuğu adına Bölüm 9'daki hakları kullanabilir.
- Öğretmen erişimi: Öğretmen yalnızca kendi sınıfındaki öğrencinin eğitim verilerini (maskeli ad, kullanıcı adı, ilerleme) görür; başka sınıfların/öğretmenlerin öğrencilerine erişemez ve çocukların tam soyadına ulaşamaz.
11. Kişisel Verilerin Güvenliğine İlişkin Alınan Tedbirler
Ezelingo, kişisel verilerinizin güvenliği için KVKK m.12 kapsamında aşağıdaki teknik ve idari tedbirleri fiilen uygulamaktadır:
- Şifre güvenliği: Tüm şifreler bcrypt algoritmasıyla (12 tur) hash'lenerek saklanır; düz metin şifre hiçbir yerde tutulmaz veya loglanmaz. Girişte yalnızca güçlü hash kabul edilir; hesap-varlık taramasına (enumeration) karşı zamanlama eşitlemesi uygulanır.
- Hassas veri şifreleme: Soyad bilgisi veritabanında AES-256-GCM (kimlik doğrulamalı şifreleme) ile şifreli saklanır; arayüzde her zaman maskeli gösterilir. Şifreleme anahtarı üretim ortamında zorunludur (yoksa uygulama başlatılmaz).
- Oturum güvenliği: Oturum jetonları 256-bit rastgele üretilir; web tarafında
httpOnly,securevesameSite=strictçerezlerle taşınır; sunucu tarafında saklandığından iptal edilebilir. Şifre sıfırlamada tüm oturumlar sonlandırılır. - Yetkilendirme ve erişim kontrolü: Rol bazlı yetki katmanları (kimlik doğrulama, yönetici, doğrulanmış kullanıcı, yalnızca-içerik) uygulanır. Yetkisiz erişime (IDOR) karşı sahiplik doğrulaması yapılır: öğretmen yalnızca kendi sınıfına, veli yalnızca bağlı olduğu çocuğa erişir. Yönetici paneli tam soyadı hiçbir ekranda çözmez.
- En az yetki ilkesi: İçerik editörü öğretmenler yalnızca içerik uçlarına erişebilir; kullanıcı yönetimi, PII, ayarlar ve silme işlemleri yalnızca yönetici yetkisine tabidir.
- Hata yönetiminde veri sızıntısının önlenmesi: Üretim ortamında iç hata detayları istemciye açılmaz; genel hata mesajı döndürülür. Denetim logları yapısal (kullanıcı kimliği + IP + işlem) tutulur ve şifre/e-posta içermez.
- Rıza kaydı: KVKK ve gizlilik onayları sunucu tarafında da doğrulanır ve zaman damgası + sürüm ile saklanır.
- Aktarımda şifreleme: Uzak veritabanı bağlantıları TLS ile şifrelenir.
Çerez (cookie) bilgilendirmesi: Ezelingo'nun web yüzeyinde (öğretmen web authoring paneli ve barındırma altyapısı) yalnızca zorunlu/teknik çerezler kullanılır: oturumun sürdürülmesi ve güvenlik için
httpOnly,securevesameSite=strictözellikli oturum çerezi. Bu çerezler hizmetin çalışması için zorunlu olduğundan ayrıca rıza gerektirmez. Ezelingo web yüzeyinde reklam, pazarlama veya üçüncü taraf analitik/izleme çerezi kullanılmaz. Mobil uygulamada web çerezi kullanılmaz; oturum, cihazda güvenli şekilde saklanan jetonlarla yürütülür.
12. Değişiklikler
Bu Aydınlatma Metni, mevzuat değişiklikleri veya işleme faaliyetlerimizdeki güncellemeler doğrultusunda revize edilebilir. Güncel sürüm her zaman uygulama içinde ve kvkk@ezelingo.com üzerinden erişilebilir olacaktır. Metnin sürüm ve yürürlük tarihi başta belirtilmiştir.