Gizlilik Politikası

• Doğrudan sizden aldığımız bilgiler: ad, e-posta, profil fotoğrafı, hesap tercihleri, ödeme adresi, geri bildirim ve destek talepleri. • Hizmet kullanımınız sırasında otomatik toplananlar: AI sorgu logları, ders ilerlemesi, satın alma geçmişi, oturum süresi, tıklama yolları. • Teknik veriler: IP adresi, tarayıcı türü, işletim sistemi, cihaz türü, dil ayarı, referans URL. • Üçüncü taraflardan: Google ile giriş yapmayı tercih ederseniz Google'dan ad ve e-posta; Stripe'tan ödeme onay durumu (kart numarası tarafımıza iletilmez). Sağlık verisi, dini inanç, siyasi görüş veya etnik köken gibi özel nitelikli kişisel veri toplamayız ve gönderilmesini istemiyoruz; istem dışı paylaşıldığında en kısa sürede silinir.

• Hesabı oluşturmak, kimliğinizi doğrulamak ve oturumu yönetmek. • Öğrenme deneyimini kişiselleştirmek (seviye tahmini, öneri kursları, öğretmen eşleşmesi). • Ödemeleri işlemek ve fatura düzenlemek. • Güvenliği sağlamak: kötü amaçlı oturum girişlerini, otomatize botları, dolandırıcılığı tespit etmek. • Anonimleştirilmiş kullanım istatistikleri çıkarmak (örn. AI çevirici en çok hangi saatte kullanılıyor). • Onayınız varsa pazarlama bültenleri ve ürün güncellemeleri göndermek. • Yasal yükümlülükleri yerine getirmek. Verilerinizi kişiye yönelik reklam profili oluşturmak, üçüncü taraflara satmak veya kiralamak için kullanmıyoruz.

Aşağıdaki iş ortakları, sözleşmeli veri işleyen sıfatıyla bizim adımıza belirli işleme faaliyetleri yürütür: • Hetzner Online GmbH (Almanya) — Coolify üzerinden self-hosted uygulama sunucusu ve PostgreSQL veri tabanı barındırma (AB içi). • Vercel Inc. (ABD) — bazı statik / edge dağıtım katmanları kullanıldığında, AB SCC sözleşmesi altında. • Cloudflare Inc. (ABD/AB) — DNS, CDN, bot koruması, DDoS önleme. • Stripe Payments Europe (İrlanda) — ödeme işleme. Kart bilgisi yalnızca Stripe'ta saklanır. • Resend Inc. (ABD) — işlem ve bildirim e-postaları. • Google LLC (ABD) — Gemini modelleri üzerinden AI sorgu işleme. Google'ın ücretli Gemini Developer API politikası gereği sorgular model eğitiminde kullanılmaz. • Bunny.net (BunnyWay d.o.o., Slovenya) — kurs videolarının dağıtımı ve görüntüleme istatistikleri (AB içi). • Plausible Analytics (AB, self-hosted) — anonim, çerezsiz site analitiği. • Google Ireland Limited (İrlanda) — yalnızca Google ile giriş tercih ederseniz. Tüm aktarımlar SCC veya eşdeğer güvenceler altında yapılır. Liste değiştiğinde bu sayfa güncellenir.

İşleme faaliyetlerinin GDPR Madde 6 dayanakları: • Sözleşme ifası (md. 6/1-b): hesap, abonelik, ders ve kurs hizmetleri. • Yasal yükümlülük (md. 6/1-c): vergi, fatura, suç ihbarı. • Meşru menfaat (md. 6/1-f): bilgi güvenliği, dolandırıcılık önleme, hizmet iyileştirme — itiraz hakkınız saklıdır. • Açık rıza (md. 6/1-a): pazarlama bültenleri, isteğe bağlı profil verisi. Türkiye'deki kullanıcılarımız için KVKK Madde 5 ve 6 dayanakları /legal/kvkk sayfasında ayrıntılı olarak açıklanır.

• Aktif hesaplar: hesap silinene veya kullanıcı tarafından silme talebine kadar. • Hesap silindikten sonra 30 gün: yumuşak silme, geri kazanım için bekleme süresi. • Mali ve vergi kayıtları: 10 yıl (Vergi Usul Kanunu, Estonya muhasebe yasası). • Güvenlik ve sistem logları: 12 ay. • Pazarlama izinleri: izin geri alınana kadar; ret tarihinden itibaren itiraz iz kaydı olarak süresiz tutulur. Bu sürelerin ardından veriler silinir veya geri döndürülemez biçimde anonimleştirilir.

Bulunduğunuz yargı bölgesine bağlı olarak şu haklara sahipsiniz: • Erişim ve kopya alma: işlenen verilerinize erişme ve kopya talep etme. • Düzeltme: yanlış veya eksik verinin güncellenmesini isteme. • Silme ("unutulma hakkı"): yasal saklama yükümlülüğü olmadığı sürece verilerinizin silinmesini talep etme. • Taşınabilirlik: verilerinizi yapılandırılmış, makine tarafından okunabilir biçimde alma. • İtiraz ve kısıtlama: belirli işleme faaliyetlerine itiraz etme. • Açık rızayı geri çekme: pazarlama izinlerini istediğiniz zaman geri çekme. • Otomatik karar vermeye itiraz: sizi etkileyen otomatik analizler için insan inceleme talep etme. • Denetim makamına şikayet: KVKK Kurulu, EDPB üyesi otoriteler veya ICO. Talep kanalları: 1) Hesabınızdaki "Hesap & Gizlilik" sayfası (/dashboard/account) — "Verilerimi indir (JSON)" ile taşınabilirlik hakkınızı, "Hesap verilerimi sil" ile silme talebinizi tek tıkla başlatabilirsiniz. 2) E-posta: [email protected]. Hesabınızda kayıtlı e-postadan gönderim, kimlik doğrulamayı hızlandırır. 3) Posta: poi369 OÜ, Tallinn, Estonya. Tüm talepler en geç 30 gün içinde yanıtlanır.

• Tüm trafik HTTPS (TLS 1.2+) üzerinden yürür. • Şifreler bcrypt ile hash'lenir, açık şifre saklanmaz. • Veri tabanı diskte şifrelenmiş olarak saklanır (AES-256). • Sunucu erişimi yalnızca SSH anahtarıyla, iki kademeli doğrulama gerektirir. • Üçüncü taraf bağımlılıkları için günlük güvenlik tarama (Snyk, Dependabot). • Yıllık penetrasyon testi ve düzenli erişim hakkı denetimi. • Veri ihlali halinde KVKK Madde 12 ve GDPR Madde 33 uyarınca 72 saat içinde yetkili otoritelere ve riski yüksek ise ilgili kişilere bildirim yapılır.

Platform 13 yaş altı kullanıcılara yönelik değildir; bu yaş altındaki kişilerden bilerek veri toplamayız. 13-18 yaş arası kullanıcılar için ebeveyn veya yasal vasi izni gereklidir; ödeme yöntemi sahibinin reşit olması beklenir. 13 yaşın altında bir çocuğun veri verdiğini fark ederseniz lütfen [email protected] adresine bildirin; ilgili veriler en kısa sürede silinir.

Çerez kullanımımıza ilişkin ayrıntılar /legal/cookies sayfasında yer alır. Özetle: yalnızca zorunlu (oturum, güvenlik) ve isteğe bağlı işlevsel çerezler kullanılır. Analitik amaçla Plausible kullanılır; çerez tabanlı değildir, IP adresi parmak izi olarak kullanılmaz.

Veri koruma sorumlusu görevini Şirket içi DPO temsilcimiz yürütmektedir. Soru, talep ve şikayetler için: [email protected]. Posta: poi369 OÜ, Tallinn, Estonya. Bu politika; mevzuat değişikliği, hizmet kapsamının genişlemesi veya iş ortağı değişiklikleri nedeniyle güncellenebilir. Önemli değişiklikler 14 gün öncesinden e-postayla bildirilir.