Gizlilik Politikası

1. Giriş

İşbu Gizlilik Politikası, Kreshim uygulaması ("Uygulama") kapsamında toplanan, işlenen ve saklanan kişisel verilere ilişkin gizlilik ilkelerini ve uygulamalarını açıklamaktadır.

Kreshim, kreşler ve anaokulları için geliştirilmiş bir dijital yönetim platformudur. Uygulama; çocukların günlük eğitim akışlarının takibi, beslenme ve uyku kayıtları, fotoğraf/video galeri yönetimi, kurum duyuruları ve veli-kurum iletişimi gibi hizmetleri sunmaktadır.

Gizlilik ve kişisel verilerin korunması, Kreshim'in temel tasarım ilkesidir. Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ilkeleri ve uluslararası en iyi uygulamalar göz önünde bulundurularak hazırlanmıştır.

2. Tasarım Yoluyla Gizlilik (Privacy by Design)

Kreshim, kişisel verilerin korunmasını bir ek özellik olarak değil, temel mimari ilke olarak benimsemektedir. Bu çerçevede:

• Proaktif koruma: Gizlilik ihlalleri gerçekleşmeden önce önleyici tedbirler alınmıştır.
• Varsayılan gizlilik: Sistem, varsayılan olarak en yüksek gizlilik seviyesiyle çalışır. Medya paylaşım izni gibi hassas özellikler varsayılan olarak kapalıdır.
• Yerleşik gizlilik: Gizlilik korumaları, yazılımın mimari tasarımına gömülü olarak yer alır; sonradan eklenen bir yama değildir.
• Uçtan uca güvenlik: Veriler, toplanmasından imha edilmesine kadar tüm yaşam döngüsü boyunca korunur.
• Şeffaflık: İşlenen veriler, hukuki dayanakları ve saklama süreleri açıkça belgelenir ve kullanıcılara sunulur.

3. Kapalı Devre Mimari Yapı

Kreshim'in en güçlü gizlilik özelliği, kapalı devre (closed-loop) sistem mimarisidir:

• Kullanıcılar sisteme serbestçe üye olabilir; ancak bir kurum yöneticisi tarafından yetkilendirilmedikçe hiçbir veriye erişemez veya veri üretemez.
• Her kullanıcı yalnızca bağlı olduğu kurumun ve sınıfın verilerini görebilir.
• Veliler, birbirlerinin iletişim bilgilerini (telefon, e-posta) göremez. Bu durum, geleneksel WhatsApp gruplarının yarattığı KVKK ihlali riskini kökünden ortadan kaldırır.
• Öğretmenler yalnızca atandıkları sınıfların verilerine erişebilir.

4. Çocuk Verilerinin Özel Korunması

Kreshim, çocuklara ait kişisel verileri işlerken en yüksek koruma standartlarını uygular:

• Velayet hakkı önceliği: Çocuklara ait veriler üzerinde tüm tasarruf yetkisi, velayet hakkına sahip ebeveynlere aittir.
• Medya onay sistemi: Çocukların fotoğraf ve videolarının galeri üzerinden paylaşılması, ancak velinin açık rızası ile mümkündür. Veli bu izni istedikleri zaman geri çekebilir.
• Teknik bariyer: Medya paylaşım izni verilmeyen çocuklar, öğretmenler tarafından fotoğraflarda etiketlenemez ve izin olmadan sınıf galerisinde paylaşılamaz.
• Otomatik imha: Çocuklara ait tüm medya içerikleri, 30 gün sonunda otomatik olarak kalıcı biçimde silinir.

5. Veri Minimizasyonu ve Otomatik İmha

KVKK'nın temel ilkelerinden biri olan "işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkesi, Kreshim'de otomatikleştirilmiş sistemlerle uygulanmaktadır:

Otomatik Medya İmhası

Sistemde çalışan cleanup_old_media bulut fonksiyonu, her gece otomatik olarak çalışarak:

1. Yükleme tarihi 30 günü aşan medya dosyalarını tespit eder.
2. İlgili veri tabanı kayıtlarını siler.
3. Bulut depolama üzerindeki fiziksel dosyaları (orijinal ve küçük resim) kalıcı olarak imha eder.

Bu süreç, insan müdahalesine ihtiyaç duymadan çalışır ve insan hatası riskini sıfıra indirir.

Diğer Veri Kategorileri

Medya dışındaki veriler (yoklama, günlük akış, duyurular vb.) için ilgili mevzuatın öngördüğü saklama süreleri uygulanmaktadır. Detaylı saklama süreleri tablosu için KVKK Aydınlatma Metni'ni inceleyiniz.

6. Veri Toplama Yöntemleri

Kişisel veriler aşağıdaki yöntemlerle toplanmaktadır:

• Doğrudan kullanıcıdan: Kayıt formu (e-posta, ad-soyad), öğrenci profil bilgileri, medya onay tercihleri.
• Kurum yöneticisinden: Öğrenci kaydı, veli-öğrenci eşleştirmesi, sınıf atamaları.
• Öğretmenden: Günlük akış kayıtları (giriş-çıkış, beslenme, uyku, ruh hali, notlar), fotoğraf/video yükleme.
• Otomatik olarak: Kimlik doğrulama tanımlayıcısı, bildirim tokenları, sistem giriş tarihleri.

Uygulama, kullanıcının cihazından konum verisi, rehber bilgileri, arama kayıtları veya diğer uygulama verileri gibi ek kişisel veri toplamaz.

7. Kişisel Verilerin Paylaşımı

Kreshim, kullanıcı verilerini aşağıdaki durumlar haricinde hiçbir üçüncü kişi veya kuruluşla paylaşmaz:

• Teknik altyapı sağlayıcıları: Bulut tabanlı altyapı hizmetleri (kimlik doğrulama, veri tabanı, depolama, bildirim hizmetleri) verilerin barındırılması amacıyla kullanılmaktadır. Altyapı sağlayıcısı, bu verileri yalnızca hizmet sağlama amacıyla işler.
• Yasal zorunluluk: Yetkili kamu kurum ve kuruluşlarının (mahkeme, savcılık vb.) hukuka uygun talebi üzerine kişisel veriler paylaşılabilir.

Karsh Soft, kullanıcı verilerini:

• Reklam veya pazarlama amacıyla kullanmaz.
• Veri madenciliği veya profil çıkarma için işlemez.
• Üçüncü taraflara satmaz veya kiralamaz.

8. Teknik Altyapı

Uygulama, aşağıdaki bulut tabanlı hizmetleri kullanmaktadır:

Hizmet	Kullanım Amacı
Kimlik Doğrulama Hizmeti	Kullanıcı kimlik doğrulama ve oturum yönetimi
Bulut Veri Tabanı	Yapılandırılmış verilerin (öğrenci, günlük akış, duyuru vb.) saklanması
Bulut Depolama	Fotoğraf ve video dosyalarının depolanması
Anlık Bildirim Hizmeti	Anlık bildirim (push notification) gönderimi
Bulut Fonksiyonları	Otomatik bildirim gönderimi ve medya imha süreçleri
Uygulama Bütünlük Doğrulaması	Uygulamanın bütünlüğünü doğrulama ve yetkisiz erişimi engelleme

Bulut altyapısının sunucuları fiziksel olarak yurt dışında (AB veya ABD) bulunabilmektedir. Bu nedenle KVKK'nın 9. maddesi kapsamında kullanıcılardan ayrı bir açık rıza alınmaktadır. Detaylar için KVKK Aydınlatma Metni — Yurt Dışı Aktarım bölümünü inceleyiniz.

9. Güvenlik Tedbirleri

Kişisel verilerinizin güvenliği için aşağıdaki teknik ve idari tedbirler uygulanmaktadır:

Teknik Tedbirler

• Şifreleme: Veriler, aktarım sırasında (TLS/SSL) ve depolama sırasında (AES-256) şifrelenir.
• Rol bazlı erişim kontrolü (RBAC): Her kullanıcı yalnızca yetkili olduğu verilere erişebilir.
• Uygulama bütünlük doğrulaması: Yalnızca yetkili uygulamalardan gelen istekler kabul edilir.
• Otomatik veri imhası: 30 günlük medya temizleme bulut fonksiyonu.
• Veri tabanı güvenlik kuralları: Veri tabanı düzeyinde erişim kontrolleri.

İdari Tedbirler

• Aydınlatma ve rıza: Kullanıcılar, veri işleme süreçleri hakkında bilgilendirilir ve gerekli durumlarda açık rızaları alınır.
• Sözleşmesel güvenceler: Eğitim kurumları ile Veri İşleyen Sözleşmesi imzalanır.
• İhlal bildirim prosedürü: Olası bir veri ihlali durumunda, ilgili kurumlar ve Kişisel Verileri Koruma Kurulu derhal bilgilendirilir.

10. Çerez ve Bildirim Politikası

Çerezler

Kreshim mobil uygulaması, çerez (cookie) kullanmamaktadır. Web arayüzü üzerinden erişim sağlanması halinde, yalnızca oturum yönetimi için teknik olarak zorunlu çerezler kullanılabilir. Reklam veya izleme amaçlı üçüncü taraf çerezleri kullanılmaz.

Push Bildirimleri

Uygulama, operasyonel bilgilendirmeler (duyuru, medya, günlük akış güncellemesi) için bulut bildirim hizmeti aracılığıyla push bildirimi göndermektedir. Bu bildirimler, İYS (İleti Yönetim Sistemi) kapsamında ticari ileti sayılmaz. Kullanıcılar, cihaz ayarlarından uygulama bildirimlerini istedikleri zaman kapatabilir.

11. Politika Değişiklikleri

İşbu Gizlilik Politikası, yasal düzenlemelerdeki değişiklikler veya uygulama özelliklerindeki güncellemeler doğrultusunda revize edilebilir. Önemli değişiklikler, uygulama içi bildirim ile kullanıcılara duyurulur. Güncel politika, her zaman bu web sayfasından erişilebilir durumdadır.

12. İletişim

Gizlilik politikamız hakkında sorularınız veya talepleriniz için:

• Şirket: Karsh Soft
• Adres: Ankara, Türkiye
• E-posta: info@kreshim.karsh.app

Kişisel verilerinizin işlenmesine ilişkin Veri Sorumlusu başvuruları için lütfen kayıtlı olduğunuz eğitim kurumu ile iletişime geçiniz.