Gizlilik Politikası

Bu, işbu Politikanın makine çevirisiyle oluşturulmuş, yalnızca kolaylık amacıyla sunulan ve henüz onaylanmamış (sertifikalandırılmamış) bir sürümüdür. Bu çeviri ile İngilizce orijinal sürüm arasında herhangi bir çelişki veya tutarsızlık olması hâlinde, İngilizce sürüm geçerli olacaktır. İngilizce orijinalini okuyun.

Yürürlük tarihi ve sürüm: 20 Eylül 2026 (Sürüm 3.0). Bu Gizlilik Politikası, kişisel verilerin Khypri AI tarafından Platform aracılığıyla işlenme biçimini düzenler ve bir güvenlik önleminin henüz tamamlanmadığı yerlerde bunu açıkça belirtir, eksiksiz olduğunu iddia etmez. Bu Politika, Hizmet Şartları, Güvenlik Politikası ve, Dijital Kişisel Veri Koruma Kanunu 2023'ün 5. Bölümü uyarınca öngörülen maddeli bildirimi oluşturan Veri Sahibine Bildirim ile birlikte okunmalıdır.

1. Giriş, Roller ve Yorumlama

1.1 Khypri AI (bu Politikada “Khypri”, “Şirket”, “biz” olarak anılır) Platformu işletir. Platform aracılığıyla toplanan kişisel verilere ilişkin olarak Khypri, Dijital Kişisel Veri Koruma Kanunu 2023 kapsamında Veri Emanetçisi, Genel Veri Koruma Tüzüğü kapsamında ise veri sorumlusu olarak hareket eder; ancak bir okul veya diğer bir kurum kendi öğrencileri için işleme amaç ve araçlarını bağımsız olarak belirlediğinde bu durum uygulanmaz — bu hâlde söz konusu kurum Veri Emanetçisi veya veri sorumlusu olur ve Khypri onun adına ve belgelenmiş talimatları doğrultusunda Veri İşleyeni veya işleyen olarak hareket eder.

1.2 Bu Politikada, bağlam aksini gerektirmedikçe:

1. “Kanun”, Dijital Kişisel Veri Koruma Kanunu 2023 ile bu kanun kapsamında çıkarılan yönetmelikleri, zaman zaman değiştirilmiş ve yürürlükteki hâlleriyle, ifade eder;
2. “Hesap”, bir Hesap Sahibi tarafından Platformda kaydettirilen hesabı ve bu hesap altında oluşturulan her Öğrenci profilini ifade eder;
3. “Hesap Sahibi”, bir Hesabı kaydettiren yetişkin ebeveyn veya yasal vasiyi ifade eder ve “siz” buna göre yorumlanır;
4. “Öğrenci”, profili bir Hesap Sahibi tarafından Hesap altında oluşturulan ve yönetilen çocuğu ifade eder;
5. “Platform”, Khypri AI'nin web sitelerini, uygulamalarını, uygulama programlama arayüzlerini ve ilgili hizmetlerini ifade eder;
6. “Kişisel Veri”, “Veri Sahibi”, “Veri Emanetçisi” ve “Veri İşleyeni”, Kanunda kendilerine verilen anlamlara sahiptir; “işleme”, Kişisel Veri üzerinde gerçekleştirilen toplama, kaydetme, saklama, kullanma, paylaşma, kısıtlama, silme ve diğer her türlü işlemi kapsar;
7. “Alt İşleyen”, Khypri'nin kendi adına Kişisel Veri işlemesi için görevlendirdiği ve Bölüm 5'te listelenen üçüncü tarafı ifade eder;
8. “DPO”, Bölüm 16'da belirtilen Khypri Veri Koruma Görevlisini ifade eder; ve
9. “Doğrulanmış Talep”, Şirketin Bölüm 8 uyarınca Hesap Sahibi tarafından yapıldığını teyit ettiği talebi ifade eder.

1.3 Bir mevzuata veya yönetmeliğe yapılan atıf, bunların zaman zaman değiştirilmiş, yeniden yürürlüğe konmuş veya yerine geçmiş hâllerini de kapsar. Başlıklar yalnızca kolaylık amaçlıdır ve yorumlamayı etkilemez.

2. İşlenen Kişisel Veriler

2.1 Şirket aşağıdaki Kişisel Veri kategorilerini işleyecektir:

1. Ebeveyn/Vasi Kimlik Verileri: Hesap Sahibinin tam yasal adı, e-posta adresi, cep telefonu numarası ve doğum tarihi. E-posta adresi ve cep telefonu numarası, Bölüm 4.3 ve 12'de açıklanan uyarıları göndermek için de kullanılır.
2. Çocuk Kimlik Verileri: Şirket çocuğun yasal adını istemez veya toplamaz. Hesap Sahibi, çocuğu Platform içinde tanımlamak için bir görünen ad veya takma ad seçer; buna çocuğun sınıfı veya okulu ile müfredat kurulu bilgisi eşlik eder. Hesap Sahibi ayrıca çocuğun oturum açmak için kullandığı bir kullanıcı adı ve parola oluşturur; parola yalnızca hash biçiminde saklanır. Bu görünen ad, yasal ad değil, çocuğun profilinin göründüğü her yerde, yapay zeka işlemesine gönderilen her türlü içerik dâhil (bkz. Bölüm 5), kullanılır; böylece bu veriler herhangi bir şekilde ele geçirilse dahi çocuğun gerçek kimliği açığa çıkmaz.
3. Eğitim Verileri: Soru yanıtları, performans ölçütleri, oluşturulan sınav kâğıtları ve Platform içindeki öğrenme etkinliği; çocuğun görünen adı veya profiliyle ilişkilendirilir, yasal adıyla değil.
4. Teknik Veriler: IP adresi, cihaz tanımlayıcıları, tarayıcı türü ve IP adresinden çıkarsanan şehir düzeyinde (kesin olmayan) coğrafi konum. Bu tür coğrafi konum ve IP tabanlı ülke tespiti, yalnızca Hesap Sahibinin kendi kaydı ve girişi sırasında, dolandırıcılığı önlemek ve kayıt olan Hesap Sahibi için hangi ülkenin rıza yaşı kurallarının geçerli olduğunu önermek amacıyla toplanır (bu, Hesap Sahibinin düzeltebileceği varsayılan bir öneridir, nihai bir belirleme değildir). Bir çocuk giriş yaptığında da yalnızca güvenlik ve dolandırıcılık önleme amacıyla IP adresi kaydedilir ve bundan şehir düzeyinde konum çıkarsanabilir; bu asla bir çocuğun konumunu veya hareketlerini izlemek için kullanılmaz.
5. Yaş Doğrulama Verileri (Hesap Sahibi, kayıt sırasında): Kayıt sırasında Şirket, cihaz kamerasını kullanarak Hesap Sahibinin yaşını tahmin eder ve bazı kullanıcılar için, kullanıcının sunmayı tercih ettiği bir kimlik belgesi görüntüsünden doğum tarihini okur. Bu işleme tamamen kullanıcının kendi tarayıcısında ve kendi cihazında gerçekleşir: kamera görüntüsü ve belge görüntüsü Şirketin sunucularına yüklenmez ve saklanmaz. Yalnızca kontrolün sonucu, kaydın devam etmesine izin vermek için kullanılır.
6. Yapay Zeka Konuşma Verileri: Çocuğun yapay zeka öğretmenine gönderdiği mesajlar ve verilen yanıtlar; Hesap Sahibinin bunları inceleyebilmesi ve ciddi güvenlik endişelerinin tespit edilebilmesi için saklanır (bkz. Bölüm 4.3).
7. Ödeme Verileri: Doğrudan Şirketin ödeme sağlayıcısı tarafından işlenir; Şirket tam kart numaralarını saklamaz.
8. İptal ve Silme Verileri: Bir Hesap Sahibi aboneliğini iptal ettiğinde veya Hesabı sildiğinde, listeden seçilen sebep ve girilen açıklama, plan, son ödeme referansı ve iade incelemesinin sonucu.

2.2 Şirket, ebeveyn veya çocuk olsun hiçbir kullanıcıdan ses kaydı, fotoğraf, video veya kesin (GPS düzeyinde) coğrafi konum toplamaz veya saklamaz. Bölüm 2.1(e)'de belirtilen kayıt yaş kontrolü yalnızca kullanıcının kendi cihazındaki cihaz kamerasını kullanır ve buradan elde edilen hiçbir şey yüklenmez veya saklanmaz.

2.3 Amaç ve Hukuki Dayanak

2.3.1 Şirket, her Kişisel Veri kategorisini yalnızca aşağıda karşısında belirtilen amaç ve dayanak doğrultusunda işleyecektir:

1. Ebeveyn/Vasi Kimlik Verileri — amaç: Hesabın oluşturulması, ebeveyn rızasının doğrulanması ve iletişim. Dayanak: Hesap Sahibinin rızası veya kurumsal bir hesap için kurumla yapılan sözleşme.
2. Çocuk Kimlik Verileri (görünen ad, sınıf/okul, müfredat kurulu) — amaç: çocuğun gerçek kimliğini açığa çıkarmadan içeriğin kişiselleştirilmesi ve müfredata uyumlaştırılması. Dayanak: Hesap Sahibinin rızası veya kurumsal bir hesap için kurumla yapılan sözleşme.
3. Eğitim Verileri — amaç: akademik içeriğin oluşturulması ve değerlendirilmesi ile öğrenme ilerlemesinin izlenmesi. Dayanak: rıza ve Şirketin temel eğitim hizmetini sağlamadaki meşru menfaati.
4. Teknik Veriler — amaç: güvenlik, dolandırıcılık önleme, hizmet güvenilirliği ve kayıt sırasında geçerli rıza yaşı kurallarının önerilmesi. Dayanak: Platformu güvenli ve işlevsel tutma ile yargı alanına özgü çocuk koruma kurallarının doğru uygulanmasındaki meşru menfaat.
5. Ödeme Verileri — amaç: abonelik ücretlerinin işlenmesi. Dayanak: ödeme yapan tarafla yapılan sözleşme.
6. Uyarı ve İletişim Verileri (Hesap Sahibinin e-posta adresi ve cep telefonu numarası) — amaç: hesap, güvenlik ve ödeme uyarılarının ve kritik çocuk güvenliği uyarılarının WhatsApp ve e-posta yoluyla gönderilmesi ile yalnızca Hesap Sahibinin onay verdiği durumlarda ilerleme güncellemeleri ve tanıtımların gönderilmesi. Dayanak: rıza (zorunlu “Temel uyarılar” rızası ile isteğe bağlı ilerleme güncellemesi ve tanıtım rızaları).
7. Yapay Zeka Konuşma Verileri — amaç: eğitim desteği, Hesap Sahibinin konuşmaları inceleyebilmesi ve ciddi güvenlik endişelerinin tespit edilerek Hesap Sahibinin uyarılabilmesi. Dayanak: Hesap Sahibinin rızası ve güvenlik endişeleri bakımından, ciddi zarar riski altındaki çocuğun korunması.
8. Yaş Doğrulama Verileri — amaç: kayıt olan Hesap Sahibinin yetişkin olduğunun teyit edilmesi. Dayanak: rıza; yalnızca kullanıcının kendi cihazında işlenir.
9. İptal ve Silme Verileri — amaç: bir iade talebinin incelenmesi, muhasebe için gerekli kaydın tutulması ve hizmetin neden bırakıldığının anlaşılarak geliştirilmesi. Dayanak: ödeme yapan tarafla yapılan sözleşme ve Şirketin hizmeti geliştirmedeki meşru menfaati.

3. Çerezler ve Takip

3.1 Şirket yalnızca kullanıcının oturumunu ve güvenlik tercihlerini sürdürmek için kesinlikle gerekli çerezleri kullanır. Şirket üçüncü taraf pazarlama veya reklam çerezleri kullanmaz ve davranışsal reklam profilleri oluşturmaz. Ayrıntılar için bkz. Çerez Politikası.

3.2 Kullanılan çerez kategorileri şunlardır:

1. Kesinlikle gerekli: giriş ve güvenlik için gerekli olan, platformu kullanma yeteneği kaybedilmeden devre dışı bırakılamayan oturum ve kimlik doğrulama çerezleri;
2. İşlevsel: kullanıcının ziyaretler arasında ayarlarını (örneğin tema seçimini) hatırlayan tercih çerezleri;
3. Analitik: özellik kullanımını anlamak için kullanılabilecek, gizliliğe duyarlı, toplulaştırılmış kullanım analitiği; bireysel davranışsal profil oluşturmaz veya reklamcılığı beslemez; ve
4. Reklam: yok. Hiçbir üçüncü taraf reklam veya siteler arası takip çerezi kullanılmaz.

4. Otomatik İşleme, Öğrenme Destek Raporları ve Çocuk Güvenliği

4.0 Platform, alıştırma içeriği üretmek ve Öğrencinin yanıtları üzerinde otomatik değerlendirme ve geri bildirim sağlamak için yapay zeka kullanır. Otomatik bir değerlendirmenin bir Öğrenci üzerinde önemli bir etkisi olabileceği durumlarda (örneğin notlandırılmış bir değerlendirmenin parçası olarak kullanıldığında), bir insan öğretmen, yapay zeka tarafından üretilen değerlendirmeyi inceleme, geçersiz kılma veya göz ardı etme yetkisini elinde tutar. Bir Veri Sahibi, kendisini önemli ölçüde etkileyen herhangi bir otomatik değerlendirmenin insan tarafından incelenmesini dpo@khypri.com adresine yazarak talep edebilir. Yapay zeka kullanımı Sorumlu Yapay Zeka Politikası'nda ayrıntılı olarak açıklanmıştır.

4.1 Öğrenme Destek Raporları — Amaç ve Hukuki Dayanak

4.1.1 Platform, bir okulun öğrencilerini değerlendirme biçiminin bir uzantısı olarak işlev görecek şekilde tasarlanmıştır ve Hesap Sahibine görünür bir performans analizi oluşturmak amacıyla bir Öğrencinin sınav ve soru yanıtlarını kaydeder. Bu bakımdan:

1. İşlev: bu işleme, Platform içinde Öğrencinin kendi akademik etkinliğiyle sınırlı bir öğrenme destek işlevidir ve yalnızca (i) Öğrenciye ve Hesap Sahibine Öğrencinin kavramları anlama düzeyi ve sınav performansı hakkında doğru ve tarafsız bir tablo vermek ve (ii) örneğin zayıf konuları belirleyerek ve soru zorluğunu ayarlayarak Öğrencinin öğrenmesine yardımcı olmak için kullanılır;
2. Hariç tutulanlar: bu işleme hedefli reklam, pazarlama, etkileşim maksimizasyonu veya akademik çalışma alanı dışında çocuğa yönelik herhangi bir amaç için kullanılmayacaktır; Şirket bir çocuğun davranışsal veya reklam profilini oluşturmaz ve bu veriler asla reklamverenlerle paylaşılmaz veya satılmaz;
3. Hukuki dayanak: bu işleme, Hesap Sahibi (veya okul) tarafından çocuk adına talep edilen temel eğitim hizmetinin yerine getirilmesi için gereklidir. Şirket, çocuğun herhangi bir verisi işlenmeden önce Hesap Sahibinin açık rızasını arar ve rıza verilmediği durumlarda o çocuğun hiçbir verisi işlenmez. Hesabın bir okul tarafından verildiği durumlarda, işleme bunun yerine okulun Veri Emanetçisi veya veri sorumlusu olarak verdiği sözleşmeye dayalı talimatlar kapsamında gerçekleşir; ve
4. Ebeveyn görünürlüğü: Hesap Sahibi, Öğrencinin ilerleme raporlarına istediği zaman erişebilir ve bu veriler, Hesap Sahibinin bilgisi olmadan, Öğrencinin öğrenmesine destek olmak dışındaki amaçlarla Öğrenci hakkında karar vermek için kullanılmayacaktır.

4.2 Destek Ekibi Erişimi

4.2.1 Şirketin müşteri destek ekibinin bir Öğrencinin akademik kaydına (ilerleme, sertifikalar ve etkinlik) erişimi bir Destek PIN'i tarafından kontrol edilir. Her Hesap Sahibinin, Hesap kaydı sırasında oluşturulan, Hesap Sahibine profilinde gösterilen ve her on (10) günde bir otomatik olarak değiştirilen altı karakterlik bir Destek PIN'i (harf ve rakamlardan oluşan) vardır. Destek personeli PIN'i göremez: Hesap Sahibi, yalnızca yardım istediğinde bunu destek ekibinin bir üyesine verir ve o kişi PIN'i girer. Yalnızca doğru olduğunda, Öğrencinin akademik kaydı, yalnızca o Hesap için ve otuz (30) dakikalık sınırlı bir süre için açılır; yeni bir PIN bu erişimi derhal sona erdirir. Tekrarlanan hatalı girişler engellenir ve bir PIN'in her girişi, doğrulaması ve yenilenmesi ilgili çalışanla birlikte kaydedilir. Şirketin yöneticileri PIN'i görebilir; yöneticiler ve destek personeli yeni bir PIN oluşturabilir. Destek erişimi bunun dışında role göre sınırlandırılmıştır (bkz. Bölüm 13.1).

4.3 Çocuk Güvenliği İzleme ve Uyarılar

4.3.1 Çocukların güvende kalmasına yardımcı olmak amacıyla, yapay zeka öğretmeninin bir çocukla olan konuşmaları, öz zarar, istismar, şiddet, zorbalık veya ciddi sıkıntı dâhil olmak üzere çocuğun güvenliği veya iyi oluşu için ciddi risk belirtileri açısından otomatik olarak kontrol edilir. Çocuğun öğrenmesine yardımcı olmak dışında, konuşmaların kontrol edilmesinin tek amacı budur; bu kontrol reklam için veya davranışsal profil oluşturmak için kullanılmaz.

4.3.2 Ciddi bir endişe tespit edildiğinde, yapay zeka destekleyici bir rehberlikle yanıt verecek, endişe çocuğun profiline kaydedilecek ve Şirket, endişenin ciddiyetini ve türünü belirterek gecikmeksizin Hesap Sahibini WhatsApp ve e-posta yoluyla uyaracaktır. Bir uyarı onaylanmazsa, sonraki saatlerde daha fazla hatırlatma gönderilecektir. İlk uyarıdan yaklaşık on beş (15) dakika sonra, Şirket ayrıca Bölüm 5'te listelenen yapay zeka sağlayıcılarından birinin yardımıyla hazırlanmış, konuyla ilgili bir veya iki cümlelik kısa bir özet gönderecektir. Şirketin destek ekibi, bir uyarı hakkında Hesap Sahibiyle de iletişime geçebilir.

4.3.3 Uyarılar yalnızca Hesapta kayıtlı cep telefonu numarasına ve e-posta adresine, zorunlu “Temel uyarılar” rızası kapsamında ve ciddi zarar riski altındaki bir çocuğun korunması amacıyla gönderilecektir. Uyarılar acil servislerin yerini tutmaz; bir çocuğun acil tehlike altında olduğu durumlarda yerel acil durum numarasıyla iletişime geçilmelidir. Bu uyarılar bir çocuğun güvenliği için temel öneme sahip olduğundan, bu rıza zorunlu bir rızadır ve Hesap mevcut olduğu sürece geçerli kalır (bkz. Bölüm 8A).

5. Alt İşleyenlere ve Diğer Taraflara Açıklama

5.1 Şirket Kişisel Veri satmaz. Kişisel Veri, yalnızca Platformu işletmek için gerekli olduğu ölçüde ve yalnızca aşağıdaki hizmet sağlayıcı kategorilerine açıklanacaktır:

1. Barındırma ve e-posta: barındırma ile hesap ve pazarlama e-postalarının iletilmesi için BigRock. Şirket büyüdükçe, ek veya yerine geçen barındırma altyapısı olarak Amazon Web Services (AWS) veya Google Cloud ekleyebilir; bu gerçekleşmeden önce bu Politika güncellenecektir.
2. Mesajlaşma: Hesap Sahibinin cep telefonu numarasına WhatsApp üzerinden tek kullanımlık kodların, hesap ve güvenlik uyarılarının ve çocuk güvenliği uyarılarının iletilmesi için Meta Platforms (WhatsApp Business Platform). Meta, Hesap Sahibinin cep telefonu numarasını ve mesajın içeriğini alır. Mesajlar yalnızca Hesap Sahibine gönderilir, asla çocuğa gönderilmez.
3. Kimlik doğrulama: yalnızca Hesap Sahibini doğrulamak ve oturum açtırmak için kullanılan ve Hesap Sahibinin e-posta adresini, cep telefonu numarasını ve kimlik bilgilerini alan Firebase Authentication (Google). Bir çocuk, Hesap Sahibi tarafından oluşturulan kullanıcı adı ve parolayla oturum açar; bunlar Şirketin kendi sistemleri tarafından doğrulanır ve hiçbir çocuk verisi Firebase'e gönderilmez; çocukla ilgili tüm veriler yalnızca Khypri AI ve/veya My Paper Genie'nin veri tabanlarında saklanır ve işlenir.
4. Yapay zeka işleme: akademik içeriğin oluşturulması ve değerlendirilmesi ile Bölüm 4.3'te açıklanan kısa güvenlik özetlerinin hazırlanması için OpenAI ve Google (Gemini / Vertex AI). Eğitimle ilgili girdiler ve güvenlik özeti için gerekli metin, çıkarım amacıyla yalnızca çocuğun görünen adı veya profiliyle tanımlanarak bu sağlayıcılara gönderilebilir (bkz. Bölüm 2). Şirket bir çocuğun yasal adını hiçbir zaman toplamadığından, işleme için içerik gönderilmeden önce kaldırılacak gerçek bir ad bulunmaz. Şirket, şu anda, API girdilerinin model eğitiminin dışında tutulduğunu belirten bu sağlayıcıların yayımlanmış API veri kullanım politikalarına dayanmaktadır; her iki sağlayıcıyla da henüz imzalanmış bir Veri İşleme Anlaşması bulunmamakta olup, hizmetleri kendi standart şartlarında kullanılmaktadır.
5. Ödemeler: abonelik ödemelerinin işlenmesi için Razorpay.
6. Analitik: yalnızca Şirketin kamuya açık pazarlama web sitesinde (öğrenme Platformu içinde değil) toplu kullanım analitiği için Google Analytics; yalnızca kullanıcı çerez bannerında analitik çerezleri kabul ettiğinde çalışır ve varsayılan olarak reddedilir.

5.2 Bölüm 5.1'de listelenen sağlayıcıların hiçbirinin Şirketle şu anda imzalanmış bir Veri İşleme Anlaşması yoktur; hizmetleri kendi standart, kamuya açık şartlarında kullanılmaktadır. Şirketin tedarikçi ilişkileri değiştikçe bu liste güncel tutulacaktır. Veri konumu ayrıntılarını içeren tam güncel liste, Alt İşleyenler sayfasında yer almaktadır.

5.3 Şirket, Kişisel Veriyi ayrıca yasanın gerektirdiği durumlarda, bir mahkeme veya yetkili makam kararıyla veya bir çocuğu ciddi zarardan korumak için gerekli olduğunda açıklayabilir.

6. Saklama ve Silme

6.1 Saklama. Kişisel Veri, Hesap etkin olduğu sürece ve bundan sonra yalnızca bu Bölüm 6'da öngörülen ölçüde saklanacaktır. Ayrıntılar Veri Saklama ve Silme Politikası'nda yer almaktadır.

6.2 Hesap Sahibi tarafından silme. Hesap Sahibi, altındaki her Öğrenci profili dâhil olmak üzere Hesabın silinmesini istediği zaman talep edebilir: (a) Platform içinde, profil ayarlarında “Hesabımı sil” seçeneğini seçip Hesapta kayıtlı e-posta adresini yazarak talebi onaylayarak; veya (b) Bölüm 8 uyarınca DPO'ya yazılı talep göndererek.

6.3 Anlık etki. Silme talebi Platform içinde yapıldığında veya Şirket tarafından doğrulandığında: (a) Hesap ve her Öğrenci profili derhal devre dışı bırakılır ve oturum açma durdurulur; (b) Hesapta kayıtlı her rıza geri çekilmiş sayılır ve geri çekme kaydedilir; (c) daha fazla ücret alınmaması için herhangi bir abonelik iptal edilir; ve (d) Şirket, kayıtlı e-posta adresine, silmenin hangi tarihte veya sonrasında yapılacağını belirten bir onay gönderir.

6.4 Soğuma süresi ve zaman sınırı. Silme, talepten itibaren yedi (7) günlük bir soğuma süresinin ardından (veya yazılı olarak yapılan bir talep üzerine DPO'nun belirleyebileceği, yirmi bir (21) günü geçmeyen başka bir süre sonunda) gerçekleştirilir; bu süre boyunca talep iptal edilebilir ve Hesap, kayıtlı e-posta adresinden DPO'ya gönderilen yazılı bir talep üzerine geri yüklenebilir. Bölüm 6.3(c) uyarınca iptal edilen bir abonelik, Hesabın geri yüklenmesiyle yeniden başlatılmaz. Silme, Bölüm 6.6'nın uygulandığı ölçüde hariç olmak üzere, her hâlükârda Doğrulanmış Talepten itibaren otuz (30) gün içinde tamamlanacaktır. Silme gerçekleştirildikten sonra yapılan bir geri yükleme talebi yerine getirilemez.

6.5 Silme kapsamı. Silme üzerine: (a) Hesaptaki ve her Öğrenci profilindeki Kişisel Veri — öğrenme etkinliği, sohbet konuşmaları, sınav ve alıştırma kayıtları, yüklenen dosyalar ile bunlardan türetilen metin ve vektörler, giriş geçmişi, doğrulama kodları, kayıtlı e-posta adresinden iletişim formu aracılığıyla gönderilen mesajlar ve o adrese gönderilen e-postaların kopyaları dâhil — silinir; (b) Hesap ve her Öğrenci profilindeki kimlik bilgileri (ad, e-posta adresi, telefon numarası, doğum tarihi, fotoğraf, parola hash'i ve konum) geri döndürülemez biçimde silinir veya değiştirilir, böylece Bölüm 6.6 uyarınca saklanan herhangi bir kayıt artık bir kişiyi tanımlamaz hâle gelir; (c) Şirketin kimlik doğrulama sağlayıcısında tutulan giriş kimlik bilgileri kaldırılır; ve (d) güvenlik olayı kayıtları ve mesaj iletim kayıtları yalnızca kimliksizleştirilmiş biçimde (ciddiyet, tür, şablon, durum ve zaman) saklanır; konuşma metni, iletişim bilgileri ve mesaj içeriği silinir.

6.6 Yasa veya makul hesap verebilirlik gereği saklanan kayıtlar. Yukarıdakilere rağmen Şirket aşağıdakileri saklayacak ve yalnızca saklanma amacına yönelik kullanacaktır: (a) uygulanabilir vergi ve muhasebe mevzuatının gerektirdiği süre boyunca ödeme, sipariş, abonelik ve kredi defteri kayıtları; (b) yalnızca tanımlayıcıları ve yanıtları içeren, değişikliklerin tarihli geçmişi ve her seferinde gösterilen ifadeyle birlikte, rıza ve geri çekilmesinin kanıtı olarak verilen ve geri çekilen rızaların kaydı; ve (c) dolandırıcılık ve güvenlik kara listeleri. Destek yazışmaları, bir silme talebi üzerine tek tek incelenir ve yasaca izin verilen bir amaç için saklanması gerekmedikçe silinir.

7. Uluslararası Aktarımlar

7.1 Kişisel Veri, Şirketin mesajlaşma (Meta/WhatsApp) ve yapay zeka sağlayıcıları dâhil olmak üzere Veri Sahibinin bulunduğu ülke dışında yer alan sunucularda işlenebilir.

7.2 Avrupa Birliği veya Avrupa Ekonomik Alanı'ndaki kişilerin verileri AEA dışına aktarıldığında, bu aktarım, hâlen son hâline getirilmekte olan ve tüm tedarikçilerle henüz tam olarak yürürlüğe konmamış Standart Sözleşme Hükümleri tarafından yönetilecektir.

7.3 Hintli Veri Sahiplerinin Kişisel Verisi Hindistan dışına aktarıldığında, Şirket, sınır ötesi aktarıma ilişkin Kanun gerekliliklerine uygun koruma önlemleri uygulayacaktır. Ayrıntılar Sınır Ötesi Veri Aktarımı Politikası'nda yer almaktadır.

8. Veri Sahiplerinin Haklarının Kullanılması

8.1 Bu Politikada açıklanan herhangi bir hakkı (erişim, düzeltme, silme, kısıtlama, taşınabilirlik veya itiraz dâhil) kullanmak için, bir Veri Sahibi, Hesapla ilişkili e-posta adresinden veya bir çocuk adına yapılan bir talep söz konusu olduğunda Hesap Sahibinin doğrulanmış e-posta adresinden dpo@khypri.com adresine bir talep göndermelidir. Aşağıdaki süreç uygulanacaktır:

1. Onay: Şirket, alındığını üç (3) iş günü içinde onaylayacaktır.
2. Kimlik doğrulama: Şirket, bir çocuğun verilerine yetkisiz erişimi önlemek amacıyla, talep edenin Hesap Sahibi veya Hesap Sahibinin Öğrencisinin ebeveyni veya vasisi olduğunu teyit etmeye yetecek bilgi isteyebilir.
3. Yerine getirme: erişim, düzeltme ve taşınabilirlik talepleri on beş (15) gün içinde; silme talepleri Bölüm 6'ya uygun olarak otuz (30) gün içinde yerine getirilecektir.
4. Format: veri kopyası talep edildiğinde, bu, yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde (JSON veya CSV) sağlanacaktır.
5. Yükseltme: talep eden yanıttan memnun kalmadığında, AB/AEA sakinleri yerel denetim makamlarına şikâyette bulunabilir; Hindistan sakinleri, faaliyete geçtiğinde Hindistan Veri Koruma Kurulu'na başvurabilir.

8.2 Hesap Sahibi ayrıca Bölüm 6.2'de öngörüldüğü üzere silme hakkını doğrudan Platform içinde kullanabilir ve profil ayarlarında Hesabın ve her Öğrenci profilinin bilgilerini görüntüleyip düzeltebilir. Hesap Sahibi, profilde “Verilerimi dışa aktar” seçeneğini seçerek Hesabın ve altındaki her Öğrenci profilinin verilerinin bir kopyasını tek bir JSON dosyası olarak da indirebilir. İndirmeden önce Hesap Sahibi, dosyanın şifrelenmemiş olduğu konusunda uyarılır; indirme her beş (5) dakikada bir yapılabilir ve her indirme (kim tarafından ve ne zaman, dosyanın içeriği asla değil) kaydedilir.

8A. Rızanın Geri Çekilmesi

8A.1 Hesap Sahibi, rızasını verildiği kadar kolay bir şekilde geri çekebilir. Geri çekme yöntemi, rızanın niteliğine bağlıdır:

1. İsteğe bağlı rızalar — e-posta ve WhatsApp yoluyla ilerleme güncellemeleri ve haftalık özetler, e-posta yoluyla tanıtım ve hatırlatmalar ve analitik çerezler — hesap ayarlarında istenildiği zaman geri çekilebilir (Hesap Sahibinin kendi rızaları için profilde, belirli bir çocuğa ilişkin ilerleme güncellemeleri için ise çocuğun ayarlar panelinde). Geri çekme derhal yürürlüğe girer ve rıza daha sonra yeniden verilebilir.
2. Zorunlu rızalar — Hizmet Şartlarını ve bu Politikayı kabul, Hesap Sahibinin yetişkin olduğunun teyidi, “Temel uyarılar” rızası ve çocuğun akademik verilerinin analizine ilişkin rıza — hizmetin işletilmesi ve çocuğun güvenliğinin sağlanması için gereklidir. Bunlar Hesap mevcut olduğu sürece geçerli kalır ve hesap ayarlarında kilitli olarak gösterilir. Zorunlu bir rızanın geri çekilmesi, Hesabın silinmesiyle gerçekleştirilir; bunu takiben çocuğun verilerinin işlenmesi tamamen durdurulur.

8A.2 Rızayı tamamen geri çekip Hesabı kapatmak için Hesap Sahibi (a) Bölüm 6.2'de açıklandığı şekilde Platform içinde “Hesabımı sil” seçeneğini kullanabilir, (b) Veri Sahibine Bildirim sayfasındaki “Tümünü Geri Çek ve Hesabı Kapat” seçeneğini kullanabilir veya (c) Hesap Sahibinin doğrulanmış e-posta adresinden, konu satırında “Withdraw Consent” yazan bir e-postayı DPO Debasmita Maharana'ya dpo@khypri.com adresine gönderebilir. Kimlik teyidinin ardından Şirket, çocuğun verilerinin daha fazla işlenmesini durduracak ve Hesap Sahibi ayrıca saklanmasını talep etmedikçe, Bölüm 6'ya uygun olarak silme işlemine geçecektir.

8A.3 Rızanın geri çekilmesi, geri çekilmeden önce rızaya dayanılarak yürütülen herhangi bir işlemenin hukuka uygunluğunu etkilemez. Şirket, bir Veri Sahibine neyin kabul edildiğini gösterebilmek amacıyla, her rızanın ne zaman verildiği veya değiştirildiğine ve o sırada gösterilen ifadeye ilişkin tarihli bir kayıt tutar.

9. Dijital Kişisel Veri Koruma Kanunu 2023 (Hindistan)

9.1 Doğrulanabilir ebeveyn rızası. Platforma yalnızca bir ebeveyn veya yasal vasi kayıt olabilir; bir Öğrenci doğrudan Hesap oluşturamaz. Kayıt, Hesap Sahibinin doğum tarihini, yetişkin olduğuna dair kendi beyanını ve cihaz üzerinde bir yaş kontrolünü kapsar; ardından Hesap Sahibinin e-posta adresi ve cep telefonu numarası doğrulanır. Bir Öğrenci profili yalnızca Hesap Sahibinin kendi profili tamamlandıktan sonra eklenebilir ve doğrulanmış bir Hesap Sahibi olmadan hiçbir Öğrenci profili var olamaz. Yöntem Doğrulanabilir Ebeveyn Rızası Politikası'nda ayrıntılı olarak açıklanmıştır.

9.2 Davranışsal profilleme yok. Şirket, bir Öğrencinin akademik çalışma alanı dışındaki gezinme veya davranışını izlemez ve hedefli reklam sunmaz.

9.3 Düzeltme ve silme. Hesap Sahibi, Bölüm 6 ve 8'de öngörülen şekilde, çocuğun verilerini istediği zaman görüntüleyebilir, düzeltebilir veya silinmesini talep edebilir.

9.4 Şikâyet çözümü ve aday gösterme. Kanun kapsamındaki sorular ve şikâyetler, Bölüm 16'da öngörüldüğü şekilde DPO'ya (dpo@khypri.com) yöneltilebilir. Bir Veri Sahibi, DPO'ya yazarak Kanun kapsamında mevcut herhangi bir aday gösterme hakkını da kullanabilir.

10. Genel Veri Koruma Tüzüğü (Avrupa Birliği)

10.1 Hukuki dayanak. İşleme, rıza (Hesap Sahibi veya kurum) esasına ve, uygulanabilir olduğunda, veri sorumlusu olarak okulun meşru menfaati esasına dayanır.

10.2 Haklar. Erişim, düzeltme, kısıtlama, taşınabilirlik ve silme talepleri dpo@khypri.com adresine gönderilebilir ve Bölüm 8'e uygun olarak ele alınır.

10.3 İhlal bildirimi. Şirket, bir kişisel veri ihlalini tespit ettikten sonra yetmiş iki (72) saat içinde, Bölüm 14'e uygun olarak etkilenen kullanıcıları ve ilgili denetim makamlarını bilgilendirmeyi taahhüt eder.

11. Çocukların Çevrimiçi Gizliliğinin Korunması Kanunu (Amerika Birleşik Devletleri)

11.1 Kapsam. Çocukların Çevrimiçi Gizliliğinin Korunması Kanunu, Amerika Birleşik Devletleri'nde on üç (13) yaşın altındaki çocuklara uygulanır.

11.2 Asgari toplama. Şirket, on üç yaşın altındaki çocuklardan hiçbir ses, görsel medya veya kesin coğrafi konum toplamaz.

11.3 Doğrulanabilir ebeveyn rızası. Yalnızca bir ebeveyn veya vasinin kayıt olabilmesi ve bir çocuğu Hesaba eklemeden önce kendi kimliğini doğrulaması gerektiğinden, on üç yaşın altındaki hiçbir çocuk kendi rızasını veremez veya bağımsız bir hesap oluşturamaz.

11.4 Ebeveyn hakları. Bir ebeveyn, dpo@khypri.com ile iletişime geçerek veya Bölüm 6.2'de öngörüldüğü şekilde Hesabı silerek, çocuğunun verilerini istediği zaman inceleyebilir veya silinmesini talep edebilir.

11.5 Şart koşulmama. Katılım, makul ölçüde gerekli olandan daha fazla verinin açıklanmasına şart koşulmayacaktır.

12. Pazarlama ve Hizmet İletişimleri

12.1 Şirket, tanıtım veya pazarlama iletişimlerini (kampanyalar, plan yenileme teklifleri ve ürün güncellemeleri dâhil) yalnızca Hesap Sahibinin isteğe bağlı “E-posta ile tanıtım ve hatırlatmalar” rızası aracılığıyla onay verdiği durumlarda gönderecektir. Bu rıza hesap ayarlarında istenildiği zaman geri çekilebilir; her tanıtım e-postası hesap ayarlarına bir bağlantı içerir ve Hesap Sahibi ayrıca dpo@khypri.com adresine yazabilir. Bir çocuğa ilişkin ilerleme güncellemeleri ve haftalık özetler, yalnızca Hesap Sahibi bunları o çocuk için açtığında e-posta ve/veya WhatsApp yoluyla gönderilecek ve aynı şekilde kapatılabilecektir.

12.2 Belirli mesajlar pazarlama niteliğinde değildir ve Hesap işletiminin ve çocuğun güvenliğinin bir parçasını oluşturduklarından Hesap Sahibinin pazarlama tercihlerinden bağımsız olarak gönderilecektir: fatura makbuzları, güvenlik bildirimleri, plan süresi dolumu ve bakiye bildirimleri ile kritik çocuk güvenliği uyarıları (bkz. Bölüm 4.3). Bu tür mesajlar, zorunlu “Temel uyarılar” rızası kapsamında WhatsApp ve e-posta yoluyla gönderilir. Ayrıntılar İletişim Politikası'nda yer almaktadır.

13. Güvenlik Önlemleri

13.0 Kişisel Veri, aktarım sırasında TLS 1.3 kullanılarak ve durağan hâldeyken AES-256 kullanılarak şifrelenir. Şirket, bilgi güvenliği yönetimi uygulamalarının ISO 27001 sertifikasyonuna doğru çalışmaktadır; bu sertifikasyon devam etmekte olup henüz alınmamıştır.

13.1 Erişim Kontrolü (Role Dayalı Erişim ve En Az Ayrıcalık)

13.1.1 Bir çocuğun akademik kayıtları, bir Hesap Sahibinin bilgileri ve ödeme bilgileri dâhil olmak üzere Kişisel Veriye iç erişim, en az ayrıcalık ilkesine dayanan role dayalı erişim kontrolü ile yönetilir. Her çalışanın varsayılan erişimi yoktur ve erişim yalnızca bir rolün işlevini yerine getirmek için gerçekten ihtiyaç duyduğu belirli veriler için verilir.

1. Bireylere değil rollere: erişim, doğrudan bireylere değil, tanımlanmış rollere (örneğin Destek, Mühendislik, İçerik/Müfredat ve DPO) verilir; böylece bir kişinin görebilecekleri işlevine göre belirlenir.
2. En az ayrıcalık: bir rolün erişimi, gerektirdiği veri kategorileri ve eylemlerle sınırlıdır. Destek erişimi ilgili rol ve işlevlerle sınırlıdır ve destek personeli, bir Öğrencinin akademik kaydını yalnızca Bölüm 4.2'de açıklanan Hesap Sahibinin Destek PIN'i doğru girildikten sonra açabilir.
3. Görev ayrılığı: Platformu işletmek için gereken mühendislik erişimi, Kişisel Veriyi dışa aktarma veya toplu görüntüleme yeteneğinden ayrılmıştır; rutin mühendislik çalışması bireysel çocukların verilerini görüntülemeyi gerektirmez.
4. Zaman sınırlı ve iptal edilebilir erişim: role dayalı erişim, rol değişikliği veya ayrılma durumunda kaldırılır ve geçici veya yükseltilmiş erişim (bir Destek PIN oturumu gibi) otomatik olarak sona erer.
5. Erişim günlüğü: iç rollerin Kişisel Veriye erişimi kaydedilir, böylece bir role ve nedene kadar izlenebilir.
6. Periyodik inceleme: mevcut ihtiyaçtan daha geniş herhangi bir erişimi kaldırmak için erişim periyodik olarak incelenir; bu inceleme sabit bir periyoda resmileştirilmekte olup henüz tam olgunlaşmamıştır.

13.1.2 Bu Bölüm, Şirketin kendi iç erişimini düzenler. Bir okulun kendi öğrencileri için Veri Emanetçisi olduğu durumlarda okulun kendi iç erişim kontrollerinden ve Bölüm 5'te listelenen, yalnızca orada açıklanan takma adlandırılmış ve filtrelenmiş verileri alan Alt İşleyenlerden ayrıdır.

13.2 Kimlik Doğrulama, Parolalar ve Kimlik Bilgileri

13.2.1 Bir çocuk, Hesap Sahibinin kendisi için oluşturduğu kullanıcı adı ve parolayla Platforma giriş yapar; bu kimlik bilgileri Şirketin kendi sistemleri tarafından doğrulanır, asla Firebase'e gönderilmez ve parola asla girildiği hâliyle saklanmaz: parola, Şirketin sunucularında, kasıtlı olarak yavaş, sektör standardı bir işlev (PBKDF2) kullanılarak tuzlanmış, tek yönlü bir hash'e dönüştürülür; böylece parola Şirket dâhil hiç kimse tarafından geri okunamaz ve saklanan değerlerin bir kopyası önceden hesaplanmış listelerle tersine çevrilemez. Daha eski, daha zayıf bir biçimde tutulan bir parola, çocuğun bir sonraki girişinde bu biçime dönüştürülür; Şirketin eski biçimi kullanımdan kaldırmak için belirlediği tarihe kadar dönüştürülmemiş eski biçimli bir parola, Hesap Sahibi tarafından profil ayarlarında yeniden belirlenmelidir. Bir çocuk kayıt olamaz veya Hesap oluşturamaz. Hesap Sahibinin kimlik doğrulaması, kimlik bilgisi depolamayı, parola hash'lemesini ve giriş güvenliğini Şirket adına yöneten Firebase Authentication (Google) tarafından yapılır ve Şirket ebeveyn parolalarını kendisi saklamaz. Hiçbir çocuk verisi Firebase'e gönderilmez; buna çocuğun görünen adı ve akademik etkinliği de dâhildir (ve Bölüm 2'de belirtildiği gibi, Şirket bir çocuğun yasal adını hiçbir zaman toplamaz). Hesap Sahibinin kimliği Firebase aracılığıyla doğrulandıktan sonra, çocukla ilgili tüm veriler (profiller, yanıtlar, ilerleme ve oluşturulan sınav kâğıtları), kimlik doğrulama katmanından tamamen ayrı olarak, yalnızca Khypri AI ve/veya My Paper Genie'nin kendi veri tabanlarında oluşturulur, saklanır ve işlenir.

1. Parolalar: parolalar Şirket tarafından asla düz metin olarak saklanmaz veya işlenmez; Firebase, Şirket adına sektör standardı hash'leme ve tuzlama uygular.
2. Çok faktörlü kimlik doğrulama: Şirket, Hesapta çok faktörlü kimlik doğrulamayı (örneğin kayıt sırasında e-posta veya cep telefonu tek kullanımlık kod doğrulaması, ek bir giriş adımı olarak kullanılabilir) destekler ve teşvik eder. Çok faktörlü kimlik doğrulamanın her girişte zorunlu bir gereklilik olarak uygulanması planlanmaktadır ve henüz evrensel olarak zorunlu kılınmamıştır.
3. API anahtarları ve hizmet kimlik bilgileri: Şirketin sistemlerini Alt İşleyenlerine (Bölüm 5) bağlamak için kullanılan, yapay zeka sağlayıcıları, ödeme işleme ve barındırma dâhil kimlik bilgileri, kaynak kodunda veya düz metin yapılandırmada değil şifrelenmiş sır yönetiminde tutulur ve Bölüm 13.1'e uygun olarak her entegrasyonun gerektirdiği asgari izinlerle sınırlandırılır.
4. Oturum güvenliği: giriş oturumları güvenli, süreli belirteçler kullanır ve oturumlar iptal edilebilir (örneğin parola değişikliğinde veya şüpheli bir ihlal durumunda).

14. Kişisel Veri İhlali

14.1 Bir kişisel veri ihlali durumunda, Şirket, Kişisel Veri İhlali Müdahale Politikası'nda ayrıntılı olarak açıklanan aşağıdaki süreci izleyecektir:

1. Kontrol altına alma: ihlali tespit edildiği anda belirleyip kontrol altına almak;
2. Değerlendirme: etkilenen veri ve kişilerin kapsamını değerlendirmek;
3. Bildirim: tespitten itibaren yetmiş iki (72) saat içinde, ihlalin niteliğini ve dâhil olan veriyi açıklayarak etkilenen kullanıcıları ve ilgili makamları (uygulanabilir olduğunda Hindistan Veri Koruma Kurulu dâhil) bilgilendirmek; ve
4. İyileştirme: tekrarını önlemek için düzeltici önlem almak ve uygun olduğunda etkilenen kullanıcılara alabilecekleri koruyucu adımlar konusunda rehberlik sunmak.

15. Değişiklikler

15.1 Şirket bu Politikayı zaman zaman değiştirebilir. Önemli bir değişiklik yapıldığında, yukarıda belirtilen yürürlük tarihi ve sürüm güncellenecek ve yasanın gerektirdiği durumlarda etkilenen kullanıcılar doğrudan bilgilendirilecektir.

16. İletişim ve Şikâyet Çözümü

16.1 Kanun, Genel Veri Koruma Tüzüğü veya Çocukların Çevrimiçi Gizliliğinin Korunması Kanunu kapsamındaki her türlü soru, düzeltme, silme veya şikâyet talebi, Veri Koruma Görevlisi Debasmita Maharana'ya dpo@khypri.com adresinden iletilmelidir.

16.2 Şirket, her talebi üç (3) iş günü içinde onaylayacak ve Bölüm 8'e uygun olarak Doğrulanmış Talepleri otuz (30) gün içinde çözecektir. Bir şikâyetin nasıl yapılacağı ve çözüleceği Şikâyet Çözümü Politikası'nda açıklanmaktadır.