Kişisel Verilerin İşlenmesi ve Korunması Politikası

Sürüm 1 · 29 Ekim 2026

1. Amaç ve kapsam

Bu politika, GOHM ELEKTRONİK VE BİLİŞİM SANAYİ TİCARET LİMİTED ŞİRKETİ'nin ("Şirket") Ödevtik hizmeti kapsamında işlediği kişisel verilere ilişkin ilkeleri, rolleri ve aldığı tedbirleri anlatır. Velilerin, çocuklarının, bekleme listesine yazılanların ve site ziyaretçilerinin verilerini kapsar. Hangi verinin hangi amaçla işlendiği Kullanıcı Aydınlatma Metni'nde, sürelerin ayrıntısı Saklama ve İmha Politikası'nda yer alır.

2. Dayanak

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeler: Aydınlatma Tebliği, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik. Ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve 5651 sayılı Kanun.

3. Temel ilkeler

Kişisel veriler KVKK m.4'teki ilkelere uygun işlenir:

• Hukuka ve dürüstlük kuralına uygunluk: veriler yalnız aydınlatma metninde yazılı amaçlarla işlenir; reklam ya da profil çıkarma amacıyla kullanılmaz, satılmaz.
• Doğru ve güncel olma: veli bilgilerini uygulamadan güncelleyebilir; yapay zekânın verdiği her hükmü düzeltebilir.
• Belirli, açık ve meşru amaç: her işleme faaliyeti bir amaca ve hukuki sebebe bağlıdır.
• Amaçla bağlantılı, sınırlı ve ölçülü olma: T.C. kimlik numarası, doğum tarihi, konum ya da sağlık verisi istenmez. Yapay zekâ hizmet sağlayıcısına yalnız ödev fotoğrafları gönderilir; ad, e-posta ve telefon gönderilmez.
• Gerektiği kadar saklama: sayfa fotoğrafları kısa süre sonra kendiliğinden silinir; diğer veriler saklama politikasındaki süreler sonunda silinir.

4. Çocukların verileri

• Hesabı yalnız 18 yaşını doldurmuş veli ya da vasi açar; çocuk adına hesap açılmaz ve çocuktan doğrudan veri toplanmaz.
• Çocuğa ait veriler (ad, sınıf, ödev fotoğrafları ve değerlendirmeler) yalnız onu ekleyen veliye gösterilir.
• Çocuğun verileri pazarlama, reklam ya da profilleme için kullanılmaz.
• Veli, çocuğun bütün verilerini istediği an uygulamadan silebilir.

5. Kişisel verilerin işlenme şartları

Veriler, KVKK m.5'teki şartlardan birine dayanılarak işlenir: sözleşmenin kurulması ve ifası, hukuki yükümlülük, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması, meşru menfaat ya da açık rıza. Açık rıza, yalnız bu şartlardan başka birinin bulunmadığı ya da Kanun'un özellikle aradığı hallerde istenir: pazarlama iletileri, analitik çerezler ve yurt dışındaki yapay zekâ hizmet sağlayıcısına aktarım.

Özel nitelikli kişisel veri (sağlık, din, biyometrik veri gibi) işlenmez. Fotoğraflarda yanlışlıkla böyle bir bilgi bulunursa değerlendirmede kullanılmaz ve fotoğrafla birlikte silinir.

6. Aktarım

Veriler, KVKK m.8 ve m.9'a uygun olarak yalnız aydınlatma metninde sayılan alıcılara ve sayılan amaçlarla aktarılır. Yurt dışına aktarımlarda Kurul'un ilan ettiği standart sözleşmeler, Kurul'un izin verdiği taahhütnameler ya da açık rıza esas alınır; standart sözleşmeler imzadan sonra 5 iş günü içinde Kurul'a bildirilir. Hizmet sağlayıcılardan, verileri yalnız Şirket adına ve talimatıyla işlemeleri, gerekli güvenlik önlemlerini almaları ve iş bitince silmeleri sözleşmeyle istenir.

7. Teknik ve idari tedbirler

Teknik tedbirler

• Site, uygulama ve sunucular arası bütün bağlantılar şifrelidir (HTTPS/TLS).
• Parolalar geri döndürülemez biçimde özetlenerek (scrypt) saklanır.
• Her veli yalnız kendi hesabındaki verilere erişebilir; erişim her istekte sunucuda denetlenir.
• Arka arkaya hatalı giriş denemeleri engellenir; parola değişince bütün oturumlar kapanır.
• Yedekler AES-256 ile şifrelenerek saklanır; geri yükleme düzenli olarak denenir.
• Sunucuya yalnız anahtarla (SSH) ve yalnız yetkili kişiler erişebilir; yazılım güncellemeleri düzenli yapılır.
• Hatalar ve erişim kayıtları izlenir; olağan dışı durumlarda uyarı üretilir.
• Saklama süresi dolan fotoğraflar otomatik olarak, saatte bir çalışan bir işle silinir.

İdari tedbirler

• Kişisel verilere yalnız işi gereği erişmesi gereken kişiler erişir; erişim yetkileri düzenli gözden geçirilir.
• Hizmet sağlayıcılarla gizlilik ve veri işleme hükümleri içeren sözleşmeler yapılır.
• Veri işleme faaliyetleri ve bu politika en az yılda bir kez gözden geçirilir.

8. Veri ihlali

Kişisel verilerin hukuka aykırı olarak başkalarınca elde edildiği fark edilirse, Şirket ihlali durdurmak ve etkisini azaltmak için hemen harekete geçer. Durum, öğrenildiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilir; etkilenen velilere ise makul en kısa sürede e-postayla haber verilir.

9. Haklar ve başvuru

İlgili kişiler KVKK m.11'deki haklarını aydınlatma metninde yazılı yollarla ve Veri Sahibi Başvuru Formu ile kullanabilir. Başvurular en geç 30 gün içinde sonuçlandırılır.

10. Değişiklikler

Bu politika güncellenebilir. Güncel sürüm her zaman bu sayfada yayımlanır; önemli değişiklikler kayıtlı kullanıcılara e-postayla bildirilir.