KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

Bu aydınlatma metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri sorumlusu sıfatıyla hazırlanmıştır.

Veri sorumlusu bilgileri:

• Ticaret unvanı: [[DOLDURULACAK: ticaret unvanı]] • Adres: [[DOLDURULACAK: açık adres]] • MERSİS numarası: [[DOLDURULACAK: MERSİS numarası]] • Vergi dairesi ve numarası: [[DOLDURULACAK: vergi dairesi ve vergi numarası]] • KEP adresi: [[DOLDURULACAK: KEP adresi]] • VERBİS kaydı: [[DOLDURULACAK: VERBİS kayıt durumu ve varsa sicil numarası]] • Uygulama ve web sitesi: amfigram — amfigram.app • KVKK başvuruları: [email protected] • Genel destek: [email protected]

Bu metinde “amfigram”, “biz” ve “veri sorumlusu” aynı kişiyi ifade eder. “Sen” ise amfigram’ı kullanan ilgili kişiyi, yani seni ifade eder.

2. Bu Metnin Kapsamı

amfigram, doğrulanmış üniversite öğrencileri ve mezunlarına açık bir sosyal ağdır. Bu metin, amfigram mobil uygulamasını ya da amfigram.app web sitesini kullandığında kişisel verilerinin hangi kategorilerde, hangi amaçla, hangi hukuki sebebe dayanılarak işlendiğini; kimlere aktarıldığını; ne kadar süreyle saklandığını ve KVKK m.11 kapsamındaki haklarını nasıl kullanabileceğini açıklar.

Bu metin bir aydınlatma metnidir; yani seni bilgilendirmek için vardır, senden bir onay almaz. Açık rıza gerektiren tek iki işleme (amfigram Bağlantı ve isteğe bağlı bildirimler) için ayrıca ve ayrı ayrı rızan istenir; bunları 9. bölümde açıkladık.

amfigram’ın veri uygulamalarının daha gündelik dille anlatıldığı Gizlilik Politikası, çerez ve oturum depolaması ayrıntılarının yer aldığı Çerez Politikası ve moderasyon süreçlerini anlatan Topluluk Kuralları bu metni tamamlar. Aralarında çelişki olması hâlinde hukuki dayanaklar bakımından bu aydınlatma metni esas alınır.

3. Kişisel Verilerin Toplanma Yöntemi

Kişisel verilerin tamamen otomatik ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla, elektronik ortamda toplanır. Toplama kanalları şunlardır:

• amfigram mobil uygulaması (iOS ve Android) üzerinden yaptığın kayıt, giriş ve kullanım işlemleri • amfigram.app web sitesi ve web yönetim paneli • Üniversite e-posta adresine gönderilen doğrulama akışı ve telefon numarasıyla giriş akışı • Mezuniyet belgesi yüklediğin doğrulama formu • Uygulama içinden ürettiğin içerikler (gönderi, yorum, anket, hikâye, ders notu, etkinlik, mesaj) • Şikâyet, engelleme ve itiraz formları • Sunucu tarafında otomatik olarak oluşan işlem ve trafik kayıtları

Verilerinin büyük bölümünü doğrudan sen sağlarsın. Bunun dışında yalnızca hizmetin işleyişi sırasında teknik olarak oluşan kayıtlar (giriş zamanı, IP adresi, istemci bilgisi gibi) tarafımızca üretilir. Üçüncü kişilerden, veri simsarlarından ya da reklam ağlarından senin hakkında veri satın almayız veya toplamayız.

4. İşlenen Kişisel Veri Kategorileri

İşlediğimiz kişisel veriler, VERBİS kategorileri esas alınarak aşağıdaki gibidir:

• Kimlik: ad-soyad, kullanıcı adı, üyelik durumu (öğrenci / mezun). • İletişim: üniversite e-posta adresi, telefon numarası (yalnızca telefonla giriş için). • Eğitim bilgisi: üniversite, fakülte/bölüm, sınıf, giriş ve mezuniyet yılı, mezunlar için yüklenen mezuniyet belgesi. • Müşteri işlem: hesap ayarların, paylaşım kitlesi tercihlerin, mesaj isteği tercihlerin, gönderi–yorum–beğeni–anket kayıtların, hikâyelerin, paylaştığın ve indirdiğin ders notları, oluşturduğun veya katıldığın etkinlikler, birebir mesajlaşma içeriklerin, takip ve engelleme ilişkilerin. • Görsel ve işitsel kayıtlar: profil fotoğrafın, gönderi ve hikâyelerine eklediğin fotoğraflar, mesajlarda gönderdiğin fotoğraf ve dosyalar. • İşlem güvenliği: hesap kimlik bilgisi, oturum ve giriş kayıtları, IP adresi, istemci (tarayıcı/uygulama) bilgisi, işlem tarih-saati. • Hukuki işlem: şikâyet kayıtların, hakkında verilen moderasyon kararları ve gerekçeleri, yaptırım geçmişi, itirazların ve yetkili mercilerden gelen taleplere ilişkin yazışmalar.

amfigram özel nitelikli kişisel veri (sağlık, din, siyasi görüş, üye olunan sendika, biyometrik veri vb.) toplamaz ve senden istemez. Ürettiğin içeriklere bu tür bilgileri kendi isteğinle eklememeni öneririz.

Yaş, cinsiyet, boy, burç, sigara/alkol tercihi, ilişki hedefi ve coğrafi konum verisi amfigram’da işlenmez; bu alanlar üründen kaldırılmış ve daha önce toplanmış kayıtlar silinmiştir (veri minimizasyonu — KVKK m.4).

5. amfigram Bağlantı Kapsamında İşlenen Veriler

amfigram Bağlantı, kampüsteki diğer üniversitelilerle tanışmak için sunulan, varsayılan olarak KAPALI bir katmandır. Bir flört uygulaması değildir ve öyle konumlandırılmaz. Bu katman yalnızca sen açık rıza verip profilini oluşturursan çalışır.

Bu kapsamda işlenen veriler: Bağlantı için yüklediğin fotoğraflar, kendini anlattığın metin, ilgi alanların, üyesi olduğun kulüpler ve keşif tercihlerin (görmek istediğin bölüm ve sınıflar, yalnızca kendi üniversiten kısıtı).

Eşleştirme yalnızca şu ölçütlerle yapılır: ortak kulüp, ortak ilgi alanı, üniversite, bölüm ve sınıf. Yaş, cinsiyet, boy, burç, sigara/alkol tercihi, ilişki hedefi ve konum bilgisi ne toplanır ne de eşleştirmede kullanılır.

Bağlantı profilin yalnızca senin tercihlerine ve karşı tarafın tercihlerine birlikte uyan üyelere gösterilir; engellediğin veya seni engelleyen kişilere hiç gösterilmez. Geçtiğin kişiler bunu öğrenmez. Karşılıklı onay olmadan sohbet açılmaz.

Bağlantı profilini sildiğinde bu kapsamdaki fotoğrafların, isteklerin ve bağlantıların kalıcı olarak silinir; bu işlem amfigram hesabını silmez.

6. Trafik ve İşlem Kayıtları (5651 sayılı Kanun)

amfigram, kullanıcıların içerik ürettiği bir platform olduğu için 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun anlamında “yer sağlayıcı” sayılır. Kanunun 5. maddesi, yer sağlanan hizmete ilişkin trafik bilgilerinin saklanmasını zorunlu kılar.

Bu kapsamda; hesabına her girişinde ve bir gönderi, yorum, hikâye, ders notu, mesaj ya da etkinlik oluşturduğunda işlemin türü, tarih-saati, kullanıcı hesabın, bağlandığın IP adresi ve kullandığın uygulama/tarayıcı bilgisi kaydedilir. Coğrafi konum bilgisi bu kayıtlarda TUTULMAZ.

Bu işlemenin hukuki sebebi KVKK m.5/2-a’dır (kanunlarda açıkça öngörülmesi); bunun için açık rızan aranmaz, ancak bu metinle seni bilgilendiriyoruz. Kayıtlar reklam, profilleme, analiz veya pazarlama amacıyla kullanılmaz.

Saklama süresi bir yıldır; süresi dolan kayıtlar otomatik olarak silinir. Kayıtlar üzerinde değişiklik yapılamaz. Kayıtları yalnızca süper yönetici, gerekçe girerek sorgulayabilir ve bu sorgu da ayrıca loglanır. Bu bilgiler yalnızca mahkeme, savcılık veya kanunen yetkili merciler usulüne uygun olarak talep ettiğinde paylaşılır.

7. Kişisel Verilerin İşlenme Amaçları

Verilerini yalnızca aşağıdaki amaçlarla işleriz:

• Kimlik ve iletişim verilerini: hesabını oluşturmak, giriş yapmanı ve şifre sıfırlamanı sağlamak, hesabının güvenliğini korumak. • Eğitim bilgisi verilerini: üniversiteli kimliğini doğrulamak, mezuniyet belgesini insan eliyle incelemek, seni doğru üniversite ve bölüm topluluklarına bağlamak, “sadece kendi üniversitem” gibi paylaşım ve etkinlik kısıtlarını uygulamak. • Müşteri işlem verilerini: akış, hikâye, ders notu, etkinlik ve mesajlaşma özelliklerini sunmak, paylaşım kitlesi tercihlerini uygulamak, takip ve engelleme ilişkilerini yürütmek. • Görsel ve işitsel kayıtları: paylaştığın içerikleri seçtiğin kitleye göstermek ve saklamak. • İşlem güvenliği verilerini: yetkisiz erişimi, sahte hesabı, spam ve kötüye kullanımı önlemek; 5651 kapsamındaki saklama yükümlülüğünü yerine getirmek. • Hukuki işlem verilerini: şikâyetleri incelemek, moderasyon kararlarını ve yaptırımları (uyarı, paylaşım kısıtı, askıya alma) uygulamak ve denetlenebilir biçimde kayda geçirmek, itirazları değerlendirmek, yetkili kurum taleplerini karşılamak. • Açık rızaya bağlı olarak: amfigram Bağlantı eşleştirmelerini sunmak ve isteğe bağlı bildirimleri göndermek.

Verilerin reklam gösterimi, profilleme ya da satış amacıyla işlenmez. amfigram’da reklam yoktur, veri satışı yoktur, üçüncü taraf reklam veya izleme SDK’sı bulunmaz.

8. İşlemenin Hukuki Sebepleri

Yukarıdaki işleme faaliyetleri KVKK m.5’te sayılan şu hukuki sebeplere dayanır:

• m.5/2-a — Kanunlarda açıkça öngörülmesi: 5651 sayılı Kanun kapsamındaki trafik ve işlem kayıtlarının (giriş ve içerik üretimi kayıtları, IP adresi, istemci bilgisi, tarih-saat) tutulması ve bir yıl saklanması.

• m.5/2-c — Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması: hesabının açılması, üniversiteli doğrulamasının yapılması; akış, hikâye, ders notu, etkinlik ve mesajlaşma hizmetlerinin sunulması; ayar ve tercihlerinin uygulanması.

• m.5/2-ç — Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi: yetkili kamu kurum ve kuruluşlarının usulüne uygun taleplerinin karşılanması, içerik kaldırma kararlarının uygulanması, saklama ve imha yükümlülüklerinin yerine getirilmesi.

• m.5/2-e — Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması: şikâyet kayıtları, moderasyon işlem kayıtları (işlemi yapan yöneticinin kimliği, zamanı ve gerekçesi), yaptırım kararları ve bunlara karşı yapılan itirazlara ilişkin veriler.

• m.5/2-f — Meşru menfaatlerimiz için veri işlemenin zorunlu olması (temel hak ve özgürlüklerine zarar vermemek kaydıyla): hesap güvenliği, sahte hesap–spam–kötüye kullanım tespiti ve önlenmesi, hizmetin sürekliliğinin ve bütünlüğünün sağlanması.

• m.5/1 — Açık rıza: yalnızca amfigram Bağlantı profilinin oluşturulması ve isteğe bağlı bildirimlerin gönderilmesi. Başka hiçbir işleme faaliyeti açık rızaya dayandırılmaz.

9. Açık Rıza ve Rızanın Geri Alınması

Açık rıza, amfigram’da yalnızca iki işleme için istenir ve her biri için ayrı ayrı alınır:

• amfigram Bağlantı: Katman varsayılan olarak kapalıdır. Profilini oluştururken bu kapsamdaki verilerin işlenmesine açık rıza vermen istenir; rıza vermeden profilin yayına alınmaz. • İsteğe bağlı bildirimler: Hizmetin işleyişiyle ilgili zorunlu bilgilendirmeler dışındaki bildirimler yalnızca izin verdiğinde gönderilir.

Açık rızan özgür iradenle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak alınır. Rıza vermemen, amfigram’ın diğer özelliklerini kullanmanı engellemez; hizmetin geri kalanı rızaya bağlanmamıştır.

Rızanı dilediğin zaman geri alabilirsin: amfigram Bağlantı için Bağlantı profilini silmen, bildirimler için Ayarlar’daki bildirim tercihini kapatman yeterlidir. Geri alma ileriye etkilidir; geri aldığın andan itibaren o veriler bu amaçla işlenmez ve Bağlantı profilin silindiğinde bu kapsamdaki verilerin kalıcı olarak silinir. Geri almadan önce hukuka uygun biçimde yapılmış işlemler geçerliliğini korur.

10. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amaçları

Kişisel verilerini satmayız, reklam amacıyla üçüncü kişilere vermeyiz. Aktarım yalnızca aşağıdaki taraflarla ve yalnızca belirtilen amaçlarla, KVKK m.8 ve m.9 çerçevesinde yapılır:

• Barındırma ve altyapı sağlayıcısı (Supabase): Verilerin veritabanı, kimlik doğrulama ve dosya depolama hizmetinin sunulabilmesi için bu altyapıda barındırılır. Sağlayıcı, verileri yalnızca bizim talimatımız doğrultusunda ve hizmetin sunulması amacıyla işler; kendi amaçları için kullanamaz. • Yetkili kamu kurum ve kuruluşları (mahkemeler, Cumhuriyet savcılıkları, kolluk, Kişisel Verileri Koruma Kurumu, Bilgi Teknolojileri ve İletişim Kurumu): Yalnızca kanunda öngörülen usule uygun ve yazılı talep hâlinde, talebin kapsamıyla sınırlı olarak. • Uygulama mağazaları (App Store, Google Play): Uygulamanın dağıtımı sırasında mağazaların kendi hesap ve ödeme altyapıları çalışır; amfigram bu kanaldan sana ait kişisel veri aktarmaz.

Diğer kullanıcılara yapılan görünürlük bir “aktarım” değil, senin paylaşım tercihinin sonucudur: bir içeriği kime gösterileceğini (herkes / kendi üniversiten / takip ettiklerin) sen seçersin. Üniversite e-posta adresin ve telefon numaran hiçbir koşulda diğer kullanıcılara gösterilmez.

11. Yurt Dışına Aktarım

amfigram’ın altyapısı Supabase üzerinde çalışır ve sunucular Avrupa Birliği (Frankfurt / eu-central-1) bölgesinde bulunur. Bu nedenle kişisel verilerin yurt dışında bulunan sunucularda barındırılır ve bu, KVKK m.9 anlamında yurt dışına aktarım sayılır.

Aktarım, KVKK m.9’da öngörülen sıralama gözetilerek yapılır: Kişisel Verileri Koruma Kurulu’nun ilgili ülke, sektör veya uluslararası kuruluş hakkında verdiği yeterlilik kararı varsa buna dayanılır; yeterlilik kararı bulunmadığı hâllerde m.9/2’de sayılan uygun güvencelerden birine (standart sözleşme, taahhütname, bağlayıcı şirket kuralları veya Kurul izni) dayanılır.

Bu aktarımda dayanılan güvence: [[DOLDURULACAK: yurt dışına aktarımda dayanılan güvence — yeterlilik kararı / standart sözleşme / taahhütname / Kurul izni]]

Aktarılan veri, hizmetin sunulması için gerekli olanla sınırlıdır; aktarım amacı yalnızca barındırma, kimlik doğrulama ve dosya depolamadır. Veriler taşınırken TLS ile şifrelenir. Bu düzenlemenin ayrıntılarını ve dayanağını KVKK başvuru adresimizden talep edebilirsin.

12. Saklama Süreleri ve İmha

Kişisel verilerin, işlendikleri amaç için gerekli olan süre boyunca ve ilgili mevzuatta öngörülen azami süreyi aşmamak kaydıyla saklanır. Saklama ve imha yaklaşımımız şöyledir:

• Hesap, kimlik, iletişim ve eğitim bilgileri: Hesabın açık kaldığı sürece. Hesabını sildiğinde Ayarlar → Hesabı sil adımıyla bu veriler ve ürettiğin içerikler kalıcı olarak silinir. • İçerik verileri (gönderi, yorum, ders notu, etkinlik, mesaj): İçeriği ya da hesabını silene kadar. Hikâyeler oluşturulmalarından 24 saat sonra otomatik olarak düşer. • amfigram Bağlantı verileri: Bağlantı profilini ya da hesabını silene kadar; profil silindiğinde bu kapsamdaki fotoğraf, istek ve bağlantılar kalıcı olarak silinir. • 5651 kapsamındaki trafik ve işlem kayıtları: Kanun gereği bir yıl. Bu süre, hesabını silsen dahi işler; süresi dolan kayıtlar otomatik olarak silinir. • Moderasyon ve şikâyet kayıtları: Bir hakkın tesisi ve korunması ile hesap verebilirlik amacıyla, işlemin geçerliliği ve olası itiraz/uyuşmazlık süreçleri boyunca. Bu kayıtlar değiştirilemez.

Saklama süresi dolan ya da işleme amacı ortadan kalkan veriler silinir, yok edilir veya anonim hâle getirilir. Kaldırılan içerikler moderasyon amacıyla geri alınabilir biçimde gizlenir; bu, kalıcı silme talebinin yerine geçmez.

13. Veri Güvenliği

KVKK m.12 uyarınca, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirleri alırız.

Teknik tedbirler: Veriler taşınırken TLS ile şifrelenir. Veritabanında satır düzeyi güvenlik (RLS) politikaları uygulanır; her kullanıcı yalnızca erişim yetkisi bulunan kayıtlara ulaşabilir. Kimlik doğrulama ve oturum yönetimi altyapı sağlayıcısının kimlik hizmeti üzerinden yürütülür.

İdari tedbirler: Web yönetim panelinde yetkiler rol bazlıdır (süper yönetici, moderatör, içerik yöneticisi, destek) ve her rol yalnızca görevi için gereken verilere erişir. Her moderasyon işlemi; işlemi yapan yöneticinin kimliği, zamanı ve gerekçesiyle birlikte değiştirilemez bir işlem kaydına yazılır. Trafik kayıtlarına yalnızca süper yönetici, gerekçe girerek erişebilir ve bu erişim de ayrıca loglanır.

Alınan tüm tedbirlere rağmen internet üzerinden yapılan hiçbir aktarımın mutlak güvenliği garanti edilemez. Bir veri ihlali gerçekleşirse, KVKK m.12/5 uyarınca en kısa sürede Kişisel Verileri Koruma Kurulu’na ve etkilenen ilgili kişilere bildirim yapılır.

14. KVKK m.11 Kapsamındaki Hakların

Veri sorumlusuna başvurarak, kendinle ilgili olarak aşağıdaki hakların tamamını kullanabilirsin:

• Kişisel verilerinin işlenip işlenmediğini öğrenme, • Kişisel verilerin işlenmişse buna ilişkin bilgi talep etme, • Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, • Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme, • Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, • KVKK m.7’de öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme, • Düzeltme, silme ve yok etme talepleri uyarınca yapılan işlemlerin, kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, • İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme, • Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.

Bunların bir kısmını başvuru yapmadan, doğrudan uygulama içinden de kullanabilirsin: profil bilgilerini Ayarlar’dan düzeltebilir, içeriklerini tek tek silebilir, Bağlantı profilini kapatabilir ve Ayarlar → Hesabı sil adımıyla hesabını ve verilerini kalıcı olarak silebilirsin.

15. Başvuru Usulü

Haklarını kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun şekilde bize başvurabilirsin. Başvurunu şu yollardan biriyle iletebilirsin:

• Islak imzalı dilekçeyle, şahsen ya da noter aracılığıyla yukarıda belirtilen adrese, • Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza kullanarak [[DOLDURULACAK: KEP adresi]] adresine, • Daha önce bize bildirdiğin ve sistemimizde kayıtlı bulunan e-posta adresini kullanarak [email protected] adresine.

Başvurunda şunlar bulunmalıdır: ad ve soyadın; başvuru yazılı ise imzan; Türkiye Cumhuriyeti vatandaşıysan T.C. kimlik numaran, değilsen uyruğun ile pasaport numaran veya varsa kimlik numaran; tebligata esas yerleşim yeri veya iş yeri adresin; varsa bildirime esas elektronik posta adresin, telefon ve faks numaran; talep konun. Talebine ilişkin bilgi ve belgeleri de başvuruna eklemelisin.

Başvurunu, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırırız. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’ca belirlenen tarifedeki ücret alınabilir. Kimliğini doğrulayamadığımız başvurular güvenlik gereği karşılanamaz; bu durumda ek bilgi isteyebiliriz.

16. Kurul’a Şikâyet ve Metnin Güncellenmesi

Başvurunun reddedilmesi, verdiğimiz cevabı yetersiz bulman veya otuz gün içinde cevap verilmemesi hâlinde; cevabı öğrendiğin tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin (KVKK m.14). Kurul’a şikâyet yolu, öncesinde bize başvurmuş olma şartına bağlıdır. Bu, genel hükümlere göre tazminat hakkını kullanmana engel değildir.

Bu aydınlatma metni, mevzuattaki değişiklikler ya da amfigram’ın işleyişindeki değişiklikler nedeniyle güncellenebilir. Güncel metin her zaman amfigram.app adresinde ve uygulama içinde Ayarlar bölümünde yayımlanır; metnin başındaki güncelleme tarihi değişikliğin yürürlük tarihini gösterir.

Aydınlatma yükümlülüğünün kapsamını genişleten ya da işleme amaçlarını değiştiren esaslı bir güncelleme yapılırsa uygulama içinden ayrıca bilgilendirilirsin. Açık rızaya dayanan bir işlemenin kapsamı değişirse rızan yeniden alınır; eski rızaya dayanılarak yeni bir amaçla işleme yapılmaz.

Soruların için: [email protected]