Gizlilik Politikamız

İşbu Gizlilik ve Güvenlik Politikası, Reform Kariyer ve Mesleki Eğitim Hizmetleri Ltd. Şti. (“Reform”) ile Learning Curve Group arasındaki işbirliği kapsamında sunulan çevrimiçi eğitim hizmetlerinden faydalanan tüm gerçek kişilerin kişisel verilerinin işlenmesine ilişkin süreçleri şeffaf bir şekilde açıklamayı hedeflemektedir. Bu işbirliği çerçevesinde, Reform Kariyer ve Mesleki Eğitim Hizmetleri Ltd. Şti. Türkiye’deki hizmet organizasyonunu, kullanıcı kaydını ve faturalandırma süreçlerini yönetirken, Learning Curve Group çevrimiçi eğitim platformunu ve içerik altyapısını sağlamaktadır. Bu durumda, her iki kuruluş da kişisel verilerin işleme amaçlarını ve vasıtalarını birlikte belirlemekte olup, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca “ortak veri sorumlusu” olarak hareket etmektedir. Aşağıda, toplanan kişisel verilerin nasıl ve ne şekilde toplandığı, bu verilerin nasıl ve ne şekilde korunduğu belirtilmiştir.

I. KİŞİSEL VERİLERİN TOPLANMASI

Kişisel verileriniz, çevrimiçi eğitim hizmetlerinin sunulması ve yönetilmesi amacıyla çeşitli kanallar aracılığıyla toplanmaktadır. Bu toplama yöntemleri şunları içermektedir:

• Doğrudan İlgili Kişiden: Veriler, çevrimiçi kayıt ekranları, kullanıcı profili oluşturma arayüzleri ve eğitim platformundaki formlar aracılığıyla doğrudan sizden elde edilmektedir. Özellikle faturalandırma amacıyla ad-soyad, telefon numarası ve T.C. Kimlik Numarası veya vergi kimlik numarası gibi bilgiler kayıt ekranında talep edilmektedir.
• Çevrimiçi Organizasyon ve Etkinlik Düzenleme Platformları: Eğitim platformunun kendisi üzerinden, ders kayıtları, katılım bilgileriniz, ödev ve değerlendirme sonuçlarınız gibi veriler toplanmaktadır.
• İletişim Kanalları: E-posta, posta, faks ve diğer dijital veya yazılı iletişim kanalları aracılığıyla, müşteri desteği veya idari ekiplerle etkileşimleriniz sırasında elde edilen verilerdir.
• CCTV Sistemleri: Reform Kariyer ve Mesleki Eğitim Hizmetleri Ltd. Şti.’nin hizmet organizasyonuyla ilişkili fiziksel mekanları (örneğin ofisler, etkinlik alanları) bulunması halinde, fiziksel mekan güvenliği amacıyla kamera kayıtları gibi görsel ve işitsel veriler toplanabilmektedir.
• Otomatik Yöntemler: İnternet sitesi ve platform kullanımı sırasında otomatik olarak toplanan IP adresleri, tarayıcı bilgileriniz ve çerez verileri gibi bilgilerdir.

Tüm kişisel veri işleme faaliyetleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 5. maddesinde belirtilen şartlardan en az birine dayanarak yürütülmektedir. Özel nitelikli kişisel verilerin işlenmesi durumunda ise KVKK’nın 6. maddesindeki daha sıkı şartlar uygulanmaktadır. İşleme faaliyetlerinin dayandığı hukuki sebepler arasında açık rıza, kanunlarda açıkça öngörülme, bir sözleşmenin kurulması veya ifası için zorunlu olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması ve veri sorumlusunun meşru menfaatleri için zorunlu olması yer almaktadır.

Ortak Veri Sorumluları olarak, sizlere bazı dönemlerde eğitim kampanya bilgileri, yeni dersler hakkında bilgiler, promosyon teklifleri gönderebiliriz. Ticari elektronik iletiler için genellikle açık rızanız gereklidir. Mevcut müşterilerimiz için, temel haklarınıza zarar vermemek kaydıyla ve açık bir vazgeçme mekanizması sunularak meşru menfaat temelinde sınırlı pazarlama iletişimleri yapılabilir. Bu teklifleri almak istemediğiniz takdirde, Ortak Veri Sorumlularının tüm iletişim kanallarından bize ulaşarak bildirebilirsiniz.

Platformumuz üzerinden veya e-posta ile gerçekleştirilen onay sürecinde, tarafımıza elektronik ortamdan iletilen kişisel bilgileriniz, sizlerle yaptığımız “Mesafeli Eğitim Hizmetleri Sözleşmesi” ile belirlenen amaçlar ve kapsam dahilinde işlenmekte ve aktarılmaktadır. Kişisel verileriniz, işleme amaçları ve hukuki sebepleri doğrultusunda, bu Politikanın VI. Bölümünde detaylandırıldığı üzere, yurt içinde ve yurt dışında üçüncü kişilere aktarılabilmektedir.

II. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ VE ÖRNEK VERİ TÜRLERİ

Çevrimiçi eğitim hizmetlerinin sunumu ve ilgili süreçlerin yönetimi kapsamında, aşağıda belirtilen kişisel veri kategorileri ve bunlara ait örnek veri türleri işlenmektedir:

• Kimlik Bilgisi: Ad-Soyad, T.C. Kimlik Numarası (veya vergi kimlik numarası – faturalandırma için), Doğum Tarihi, Doğum Yeri, Anne Adı, Baba Adı, Anne Kızlık Soyadı, Medeni Hali, Nüfus Cüzdanı Seri/Sıra No, İmza.
• İletişim Bilgisi: E-posta Adresi, Telefon Numarası, Adres No, İş Adresi, Ev Adresi, Kayıtlı Elektronik Posta Adresi (KEP).
• Müşteri İşlem Bilgisi: Fatura bilgileri, senet bilgileri, çek bilgileri, sipariş bilgisi, talep bilgisi, çağrı merkezi kayıtları. Bu kategori, çevrimiçi ders kayıtları, ödeme işlemleri ve destek etkileşimlerinin yönetimi için kritik öneme sahiptir.
• Mesleki Deneyim Bilgisi: Diploma bilgileri, gidilen kurslar, meslek içi eğitim bilgileri, sertifikalar, transkript bilgileri. Katılımcıların eğitim süreçlerini, sertifikasyonlarını ve mesleki gelişimlerini takip etmek amacıyla işlenir.
• İşlem Güvenliği Bilgisi: IP adresi bilgileri, internet sitesi giriş çıkış bilgileri, şifre ve parola bilgileri, log kayıtları. Çevrimiçi platformun güvenliğini ve bütünlüğünü korumak için hayati öneme sahiptir.
• Görsel ve İşitsel Kayıtlar: Fotoğraf (örneğin profil resimleri), video (örneğin kayıtlı çevrimiçi dersler, sınav gözetim görüntüleri), ses kayıtları (örneğin çevrimiçi tartışmaların kayıtları, çağrı merkezi kayıtları). Reform’un fiziksel mekanlarında CCTV sistemleri bulunuyorsa, bu kayıtlara da yer verilmektedir.
• Finans Bilgisi: Banka Hesap Bilgisi (ödeme işlemleri veya iadeler için), Bilanço bilgileri, Finansal performans bilgileri, Kredi ve risk bilgileri, Malvarlığı bilgileri, Maaş Bilgisi (çalışan veri sahipleri için), Sigorta Prim Ödemeleri. Doğrudan faturalandırma ve finansal operasyonlarla ilişkilidir.
• Pazarlama Bilgisi: Alışveriş geçmişi bilgileri, anket yanıtları, çerez kayıtları, kampanya çalışmasıyla elde edilen bilgiler. Hedefli pazarlama ve hizmet iyileştirme amacıyla kullanılır.
• Fiziksel Mekan Güvenliği: Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, kamera kayıtları. Reform’un fiziksel tesisleri olması durumunda geçerlidir.
• Özel Nitelikli Kişisel Veriler: Çevrimiçi eğitim hizmetleri kapsamında, doğrudan talep edilmese de, belirli durumlarda özel nitelikli kişisel verilerin işlenmesi gerekebilir. Bu tür verilerin işlenmesi, KVKK’nın 6. maddesindeki daha sıkı şartlara ve gelişmiş güvenlik önlemlerine tabidir.
  • Sağlık Bilgileri: Engellilik durumuna ait bilgiler, kişisel sağlık bilgileri, kullanılan cihaz ve protez bilgileri, sağlık raporu. Örneğin, engelli öğrencilere yönelik erişilebilirlik düzenlemeleri yapılması gerektiğinde bu tür bilgiler talep edilebilir.
  • Biyometrik Veri: Avuç içi bilgileri, parmak izi bilgileri, retina taraması bilgileri, yüz tanıma bilgileri. Özellikle sınav gözetimi (proctoring) gibi ileri kimlik doğrulama yöntemlerinin kullanılması durumunda bu veriler işlenebilir.

III. KİŞİSEL VERİLERİ İŞLEME AMAÇLARI

Kişisel verileriniz, belirli, açık ve meşru amaçlar doğrultusunda işlenmektedir. Her bir işleme amacı, KVKK’da belirtilen hukuki sebeplerden birine dayanmaktadır:

• Online Eğitim Hizmetlerinin Sunulması, Yönetimi ve Geliştirilmesi: Kullanıcı kaydını sağlamak, çevrimiçi derslere ve öğrenme materyallerine erişim imkanı sunmak, ders ilerlemesini takip etmek, ödev ve değerlendirmeleri yönetmek, eğitmenler ve diğer katılımcılarla etkileşimi kolaylaştırmak ve eğitim içeriğini ile platform işlevselliğini sürekli olarak iyileştirmek. Hukuki Sebep: Bir sözleşmenin kurulması veya ifası için gerekli olması.
• Kullanıcı Kayıtlarının Oluşturulması ve Takibi: Kullanıcı hesaplarını oluşturmak ve sürdürmek, kullanıcı profillerini yönetmek, kimlik doğrulaması yapmak ve çevrimiçi eğitim ekosistemi içindeki kullanıcı katılımını ve etkileşimini izlemek. Hukuki Sebep: Bir sözleşmenin kurulması veya ifası için gerekli olması.
• Fatura Düzenleme ve Muhasebe Süreçlerinin Yürütülmesi: Sunulan hizmetler için yasalara uygun faturalar düzenlemek, ödemeleri işlemek, finansal kayıtları yönetmek ve ilgili tüm vergi ve muhasebe yükümlülüklerini yerine getirmek. Hukuki Sebep: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (özellikle 213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu uyarınca).
• Taraflar Arasındaki İletişim ve İş İlişkilerinin Sürdürülmesi: Kullanıcılara ders güncellemeleri, platform duyuruları, teknik destek, hizmetle ilgili bildirimler hakkında temel iletişimi sağlamak ve genel iş ilişkisini sürdürmek. Hukuki Sebep: Hizmetle ilgili iletişimler için bir sözleşmenin kurulması veya ifası için gerekli olması; genel idari iletişimler için veri sorumlusunun meşru menfaati (veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla).
• Eğitim İçeriklerinin Kişiselleştirilmesi ve Katılımcı Analizi: Kullanıcı tercihlerine ve öğrenme geçmişine göre eğitim içeriğini ve önerileri uyarlamak, istatistiksel amaçlarla katılımcı demografisini, öğrenme modellerini ve ders tamamlama oranlarını analiz etmek ve hizmet iyileştirme ile gelecekteki ders geliştirme için içgörüler elde etmek. Hukuki Sebep: Veri sorumlusunun meşru menfaati (analizin veri sahiplerinin temel hak ve özgürlüklerine saygılı bir şekilde, genellikle bireysel kimlik tespiti gerekmeyen durumlarda anonimleştirme veya toplulaştırma yoluyla yapılması şartıyla).
• Bilgi Güvenliği Süreçlerinin Planlanması, Denetimi ve İcrası: Çevrimiçi eğitim platformunun güvenliğini ve bütünlüğünü sağlamak, kullanıcı verilerini yetkisiz erişim, kayıp veya kötüye kullanımdan korumak, siber tehditleri izlemek ve güvenlik olaylarını yönetmek. Hukuki Sebep: Veri sorumlusunun meşru menfaati ve/veya kanunlarda açıkça öngörülme (özellikle 5651 sayılı Kanun uyarınca internet trafik kayıtlarının işlenmesi için).
• Hukuki Yükümlülüklerin Yerine Getirilmesi ve Yetkili Kurum/Kuruluşlara Bilgi Verilmesi: Yürürlükteki tüm yasal ve düzenleyici yükümlülüklere uymak, kamu otoriteleri, mahkemeler ve düzenleyici kurumların (örneğin KVKK Kurulu, vergi daireleri) meşru taleplerine yanıt vermek. Hukuki Sebep: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• İş Ortakları ve Hizmet Sağlayıcılarla İlişkilerin Yürütülmesi: Çevrimiçi eğitim platformunun işletilmesi için gerekli olan üçüncü taraf hizmet sağlayıcılarla (örneğin bulut barındırma sağlayıcıları, ödeme işlemcileri, BT desteği, içerik dağıtım ağları) ilişkileri yönetmek. Hukuki Sebep: Gerekli hizmet sunumu için bir sözleşmenin kurulması veya ifası için gerekli olması ve/veya iş operasyonlarını verimli bir şekilde yönetmek için veri sorumlusunun meşru menfaati.
• Pazarlama ve Tanıtım Faaliyetleri (Bülten Gönderimi, Kampanyalar vb.): Kullanıcılara yeni dersler, özel teklifler, promosyonlar ve ilgi çekebilecek diğer ilgili hizmetler hakkında bilgi vermek. Hukuki Sebep: Ticari elektronik iletiler için genellikle açık rıza gereklidir. Mevcut müşteriler için, temel haklara zarar vermemek kaydıyla ve açık bir vazgeçme mekanizması sunularak meşru menfaat temelinde sınırlı pazarlama iletişimleri yapılabilir.
• Acil Durum Yönetimi ve İş Sağlığı/Güvenliği Faaliyetleri: Öngörülemeyen durumları (örneğin sistem kesintileri, güvenlik ihlalleri) yönetmek ve fiziksel varlık söz konusu ise bireylerin sağlığını ve güvenliğini sağlamak (örneğin acil durum iletişim bilgileri). Hukuki Sebep: Hayat veya beden bütünlüğünü içeren durumlar için fiili imkansızlık ve/veya ilgili iş veya iş sağlığı ve güvenliği mevzuatı uyarınca hukuki yükümlülük.

IV. GİZLİLİK TAAHHÜDÜ

Ortak Veri Sorumluları olarak, gizli bilgileri kesinlikle özel ve gizli tutmayı, bunu bir sır saklama yükümü olarak addetmeyi ve gizliliğin sağlanması ve sürdürülmesi, gizli bilginin tamamının veya herhangi bir kısmının kamu alanına girmesini veya yetkisiz kullanımını veya üçüncü bir kişiye ifşasını önlemek için gerekli tüm tedbirleri almayı ve gerekli özeni göstermeyi taahhüt etmekteyiz.

V. EĞİTİM İÇERİKLERİNİN GİZLİLİĞİ

Platformumuzda sunulan tüm eğitim materyalleri, videolar, dökümanlar ve diğer eğitim içerikleri Ortak Veri Sorumlularının fikri mülkiyetindedir. Öğrencilerimiz bu içerikleri sadece kişisel eğitim amaçları için kullanabilir, üçüncü kişilerle paylaşamaz veya ticari amaçla kullanamazlar.

VI. KİŞİSEL VERİLERİN AKTARILMASI (YURT İÇİ VE YURT DIŞI)

Kişisel verileriniz, işleme amaçları ve hukuki sebepleri doğrultusunda, yurt içinde ve yurt dışında üçüncü kişilere aktarılabilmektedir. Aktarım süreçleri, KVKK’nın ilgili hükümleri ve veri güvenliği ilkelerine uygun olarak titizlikle yürütülmektedir.

Yurt İçi Aktarımlar

Kişisel verileriniz, Türkiye içinde yerleşik çeşitli üçüncü kişilere aktarılabilir. Bu aktarımlar, işbu Gizlilik Politikası’nda belirtilen işleme amaçları ve hukuki sebeplere sıkı sıkıya bağlı kalınarak gerçekleştirilir. Yurt içi aktarım yapılan başlıca alıcılar şunlardır:

• Hissedarlar ve İştirakler: İş faaliyetlerinin yürütülmesi, yönetimi ve iç denetim amaçlarıyla kişisel veriler hissedarlar ve iştiraklerle paylaşılabilir.
• İş Ortakları ve Hizmet Sağlayıcılar: Çevrimiçi eğitim platformunun işleyişi için temel hizmetleri sağlayan kuruluşlar (örneğin ödeme işlem şirketleri, BT altyapı sağlayıcıları, müşteri destek hizmetleri, pazarlama ajansları) ile kişisel veriler paylaşılabilir. Bu aktarımlar, sözleşmesel gereklilikler ve/veya meşru menfaatler temelinde, uygun veri işleme sözleşmeleri yapılarak gerçekleştirilir.
• Kanunen Yetkili Kamu Kurumları ve Özel Kuruluşlar: Yasal yükümlülüklerin yerine getirilmesi veya bağlayıcı yasal taleplere yanıt verilmesi amacıyla (örneğin vergi denetimleri, adli süreçler, KVKK Kurulu talepleri) kişisel veriler devlet kurumları, mahkemeler, savcılıklar ve diğer yasal olarak yetkilendirilmiş kuruluşlarla paylaşılabilir.

Yurt içi aktarımlarda, kişisel verilerin işlenmesi için geçerli olan aynı hukuki sebepler (KVKK Madde 5 ve duruma göre Madde 6) uygulanmaktadır. Aktarımlar, verilerin başlangıçta toplandığı amaçla sınırlıdır.

Yurt Dışı Aktarımlar

Learning Curve Group’un çevrimiçi hizmet sağlayıcısı olması nedeniyle, kişisel verilerin Türkiye dışındaki sunuculara veya personele aktarılması yüksek bir ihtimaldir. Bu tür yurt dışı aktarımlar, KVKK Madde 9’da belirtilen sıkı koşullara tabidir. Kişisel veriler, aşağıdaki koşullardan biri veya birkaçının varlığı halinde yurt dışına aktarılabilir:

• İlgili Kişinin Açık Rızasının Bulunması: Kişisel veriler, ilgili kişinin açık rızası ile yurt dışına aktarılabilir. Bu durumda ilgili kişi, aktarımın amacı, alıcının kimliği ve özellikle alıcı ülkede yeterli veri koruma güvencelerinin bulunmaması halinde ortaya çıkabilecek potansiyel riskler hakkında tam olarak bilgilendirilmiş olmalıdır. Ancak, sürekli bir hizmet sunumu için bu yöntem, rızanın geri alınabilir doğası nedeniyle pratik olmayabilir.
• Yeterli Korumanın Bulunduğu Ülkeler: Kişisel Verileri Koruma Kurulu tarafından yeterli korumaya sahip olduğu ilan edilen ülkelerden birine veri aktarımı yapılabilir. KVKK Kurulu, bu “güvenli” ülkelerin listesini periyodik olarak yayımlamaktadır.
• Yeterli Korumanın Bulunmadığı Ülkelerde Yazılı Taahhüt ve Kurul İzni: Alıcı ülkenin yeterli koruma sağlamaması durumunda dahi, kişisel veriler aşağıdaki şartların sağlanması halinde aktarılabilir:
  • Türkiye’deki veri sorumluları (Reform) ve alıcı ülkedeki veri sorumlusu (Learning Curve Group) tarafından yeterli düzeyde koruma sağlanacağına dair yazılı bir taahhüt verilmesi.
  • Kişisel Verileri Koruma Kurulu’ndan aktarım için izin alınması. Bu taahhüt genellikle, KVKK tarafından yayımlanan “Standart Sözleşme Maddeleri” (SSM) şeklinde olmaktadır. Bu maddeler, veri sahiplerinin haklarını ve etkili hukuki başvuru yollarını da içeren uygun güvenceleri sağlamak üzere tasarlanmıştır. İmzalanan standart sözleşmenin, imzaların tamamlanmasından itibaren beş iş günü içinde KVKK’ya bildirilmesi gerekmektedir.
• Çevrimiçi Eğitim için Özel Senaryolar: Kişisel veriler, çevrimiçi eğitim platformunun sağlanması, teknik destek, veri depolama (örneğin bulut hizmetleri) ve potansiyel olarak analiz veya pazarlama hizmetleri için Learning Curve Group’un yurt dışındaki sunucularına ve personeline aktarılabilir.
• Sonraki Aktarımlar: Learning Curve Group’a aktarılan verilerin daha sonra yurt dışında başka bir üçüncü kişiye (örneğin bir bulut barındırma alt işleyicisine) aktarılması durumunda, bu “sonraki aktarım” da KVKK Madde 9 koşullarını karşılamalıdır. Bu, ya yeterlilik kararı olan bir ülkeye aktarım ya da uygun güvencelerin (örneğin ek standart sözleşme maddeleri aracılığıyla) sağlanması anlamına gelir.

VII. KREDİ KARTI GÜVENLİĞİ

Ortak Veri Sorumluları olarak, eğitim platformumuzdan eğitim satın alan kredi kartı sahiplerinin güvenliğini ilk planda tutmaktayız. Kredi kartı bilgileriniz hiçbir şekilde sistemimizde saklanmamaktadır. Tüm Kredi Kartı ödemeleriniz, Iyzico altyapısı ile alınmakta olup, tarafımıza asla kredi ya da banka kartı bilgileri verilmemektedir. İşlemler sürecine girdiğinizde güvenli bir sitede olduğunuzu anlamak için dikkat etmeniz gereken iki şey vardır. Bunlardan biri tarayıcınızın en alt satırında bulunan bir anahtar ya da kilit simgesidir. Bu güvenli bir internet sayfasında olduğunuzu gösterir ve her türlü bilgileriniz şifrelenerek korunur. Eğitim satın alma sırasında kullanılan kredi kartı ile ilgili bilgiler eğitim platformumuzdan bağımsız olarak 128 bit SSL (Secure Sockets Layer) protokolü ile şifrelenip sorgulanmak üzere ilgili bankaya ulaştırılır. Kartın kullanılabilirliği onaylandığı takdirde eğitim satın alma işlemine devam edilir. Online olarak kredi kartı ile verilen eğitim siparişlerinin ödeme/fatura/teslimat adresi bilgilerinin güvenilirliği Ortak Veri Sorumluları tarafından Kredi Kartları Dolandırıcılığı’na karşı denetlenmektedir. Bu yüzden, eğitim platformumuzdan ilk defa eğitim satın alan öğrencilerin siparişlerinin onaylanabilmesi için öncelikle finansal ve adres/telefon bilgilerinin doğruluğunun onaylanması gereklidir.

VIII. ÜYELİK BİLGİLERİ GÜVENLİĞİ

Üye olurken verdiğiniz tüm bilgilere sadece siz ulaşabilir ve siz değiştirebilirsiniz. Üye giriş bilgilerinizi güvenli koruduğunuz takdirde başkalarının sizinle ilgili bilgilere ulaşması ve bunları değiştirmesi mümkün değildir. Bu amaçla, üyelik işlemleri sırasında 128 bit SSL güvenlik alanı içinde hareket edilir. Bilgi hattı veya öğrenci hizmetleri servisi bulunan ve açık adres ve telefon bilgilerinin belirtildiği İnternet eğitim siteleri günümüzde daha fazla tercih edilmektedir. Bu sayede aklınıza takılan bütün konular hakkında detaylı bilgi alabilir, online eğitim hizmeti sağlayan Ortak Veri Sorumlularının güvenirliği konusunda daha sağlıklı bilgi edinebilirsiniz. Not: İnternet eğitim sitelerinde Ortak Veri Sorumlularının açık adresinin ve telefonunun yer almasına dikkat edilmesini tavsiye ediyoruz. Ortak Veri Sorumlularına ait tüm online eğitim sitelerimizde Ortak Veri Sorumlularına dair tüm bilgiler ve firma yeri belirtilmiştir.

IX. KİŞİSEL VERİ GÜVENLİĞİNE İLİŞKİN TEKNİK VE İDARİ TEDBİRLER

Reform Kariyer ve Mesleki Eğitim Hizmetleri Ltd. Şti. ve Learning Curve Group, KVKK Madde 12 uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişimi engellemek, verilerin muhafazasını sağlamak ve kazara kayıp, yok olma veya zarar görmesini önlemek amacıyla, verilerin niteliği ve risk seviyesini dikkate alarak gerekli her türlü teknik ve idari tedbiri almayı taahhüt etmektedir.

Alınan Genel İdari Tedbirler

• Kişisel Veri İşleme Envanteri Hazırlanması: Tüm kişisel veri işleme faaliyetlerinin detaylı bir envanteri düzenli olarak hazırlanmakta ve güncellenmektedir.
• Kurumsal Politikalar: Veri erişim, bilgi güvenliği, veri kullanımı, saklama ve imha gibi konularda kapsamlı kurumsal politikalar oluşturulmuş ve uygulanmaktadır.
• Sözleşmeler: Veri işleyenlerle ve (Learning Curve Group gibi) ortak veri sorumlularıyla yapılan tüm sözleşmelerde, veri güvenliği yükümlülükleri ve KVKK uyumunu sağlayacak hükümlerin yer alması sağlanmaktadır.
• Gizlilik Taahhütnameleri: Kişisel verilere erişimi olan tüm çalışanlardan ve yetkili personelden gizlilik taahhütnameleri alınmaktadır.
• Kurum İçi Periyodik ve/veya Rastgele Denetimler: Veri koruma politikaları ve prosedürlerine uyumu sağlamak amacıyla düzenli iç denetimler ve/veya rastgele kontroller yapılmaktadır.
• Risk Analizleri: Kişisel verilere yönelik mevcut riskler ve tehditler düzenli olarak belirlenmekte, değerlendirilmekte ve uygun kontrol ve çözüm alternatifleri planlanmaktadır.
• Eğitim ve Farkındalık Faaliyetleri: Tüm çalışanlara ve ilgili personele, veri güvenliği, KVKK uyumu ve kişisel veri koruma sorumlulukları hakkında düzenli eğitimler ve farkındalık çalışmaları sunulmaktadır.
• VERBİS Bildirimi: Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) zamanında ve doğru bildirimler yapılmaktadır.
• Çalışanlar için Yetki Matrisi: Personelin yalnızca iş görevleri için kesinlikle gerekli olan verilere erişmesini sağlamak amacıyla bir erişim yetkilendirme ve kontrol matrisi oluşturulmuş ve uygulanmaktadır.
• İşlenen Kişisel Veri Sayısının Minimize Edilmesi: Belirtilen amaçlar için kesinlikle gerekli olan kişisel verilerin toplanması ve işlenmesi prensibine (veri minimizasyonu) uyulmaktadır.

Alınan Genel Teknik Tedbirler

• Siber Güvenliğin Sağlanması: Güvenlik duvarları, ağ geçitleri, saldırı tespit ve önleme sistemleri gibi güçlü siber güvenlik önlemleri uygulanmaktadır. Düzenli yama yönetimi, yazılım güncellemeleri ve veri iletimi için güvenli bağlantılar (örneğin SSL) kullanılmaktadır.
• Kişisel Veri Güvenliğinin Takibi: Bilgi sistemlerindeki güvenlik açıkları sürekli olarak izlenmekte, sızma testleri yapılmakta, kullanıcı faaliyetlerinin detaylı log kayıtları tutulmakta ve resmi güvenlik olayı raporlama prosedürleri oluşturulmaktadır.
• Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması: Kişisel verilerin depolandığı fiziksel ortamlar için (örneğin kilitli odalar, erişim kontrolleri) fiziksel güvenlik önlemleri alınmakta ve cihazlarda (dizüstü bilgisayarlar, mobil telefonlar, depolama ortamları) depolanan veriler için şifreleme uygulanmaktadır.
• Kişisel Verilerin Bulut Ortamında Depolanması: Bulut hizmet sağlayıcılarının güvenlik önlemleri dikkatlice değerlendirilmekte, bulut ortamlarında depolanan veriler için şifreleme kullanılmakta ve uzaktan erişim için iki faktörlü kimlik doğrulama uygulanmaktadır.
• Yedekleme (Backup): Düzenli veri yedekleme stratejileri uygulanmakta, yedeklerin güvenli bir şekilde (tercihen çevrimdışı ve kısıtlı erişimle) depolanması sağlanmakta ve veri kaybı veya hasarı durumunda kurtarma planları oluşturulmaktadır.
• Kullanıcı Hesap Yönetimi ve Yetki Kontrol Sistemi: Güçlü parola politikaları, çok faktörlü kimlik doğrulama ve sıkı kullanıcı hesap yönetimi uygulamaları (işten ayrılan personelin hesaplarının zamanında devre dışı bırakılması dahil) uygulanmaktadır.
• Antivirüs ve Antispam Programları: Tüm sistemlerde kötü amaçlı yazılımlara karşı güncel antivirüs ve antispam çözümleri kullanılmaktadır.

Özel Nitelikli Kişisel Veriler İçin Alınan Ek Tedbirler

Özel nitelikli kişisel verilerin işlenmesi durumunda, bu verilerin hassas niteliğine uygun olarak ek ve daha sıkı teknik ve idari tedbirler uygulanmaktadır. Bu tedbirler arasında gelişmiş şifreleme, güvenli aktarım yöntemleri (örneğin KEP veya kurumsal e-posta aracılığıyla şifreli dosyalar) ve ayrı anahtar yönetimi bulunmaktadır.

X. ÜÇÜNCÜ TARAF WEB SİTELERİ VE UYGULAMALAR

Platformumuz, web sitesi dâhilinde başka sitelere link verebilir. Ortak Veri Sorumluları olarak, bu linkler vasıtasıyla erişilen sitelerin gizlilik uygulamaları ve içeriklerine yönelik herhangi bir sorumluluk taşımamaktayız. Ortak Veri Sorumlularına ait sitede yayınlanan reklamlar, reklamcılık yapan iş ortaklarımız aracılığı ile kullanıcılarımıza dağıtılır. İşbu Gizlilik Politikası Prensipleri, sadece Platformumuzun kullanımına ilişkindir, link verilen üçüncü taraf web sitelerini kapsamaz. Ancak, hizmetlerimizin sunumu için veri paylaştığımız veya veri işlettiğimiz üçüncü taraf hizmet sağlayıcılarla (veri işleyenler veya ortak veri sorumluları) olan ilişkilerimiz, bu Politikanın VI. Bölümünde detaylandırılan veri aktarım hükümlerine tabidir.

XI. İSTİSNAİ HALLER

Aşağıda belirtilen sınırlı hallerde Ortak Veri Sorumluları, işbu “Gizlilik Politikası” hükümleri dışında kullanıcılara ait bilgileri üçüncü kişilere açıklayabilir. Bu durumlar sınırlı sayıda olmak üzere;

1. Kanun, Kanun Hükmünde Kararname, Yönetmelik v.b. yetkili hukuki otorite tarafından çıkarılan ve yürürlülükte olan hukuk kurallarının getirdiği zorunluluklara uymak;
2. Platformumuzun kullanıcılarla akdettiği “Üyelik Sözleşmesi”‘nin ve diğer sözleşmelerin gereklerini yerine getirmek ve bunları uygulamaya koymak amacıyla;
3. Yetkili idari ve adli otorite tarafından usulüne göre yürütülen bir araştırma veya soruşturmanın yürütümü amacıyla kullanıcılarla ilgili bilgi talep edilmesi;
4. Kullanıcıların hakları veya güvenliklerini korumak için bilgi vermenin gerekli olduğu hallerdir.

XII. E-POSTA GÜVENLİĞİ

Platformumuzun Öğrenci Hizmetleri’ne, herhangi bir eğitim siparişinizle ilgili olarak göndereceğiniz e-postalarda, asla kredi kartı numaranızı veya şifrelerinizi yazmayınız. E-postalarda yer alan bilgiler üçüncü şahıslar tarafından görülebilir. Ortak Veri Sorumluları olarak e-postalarınızdan aktarılan bilgilerin güvenliğini hiçbir koşulda garanti edememekteyiz.

XIII. İLGİLİ KİŞİNİN HAKLARI VE BAŞVURU USULÜ

KVKK, kişisel verileri işlenen gerçek kişilere, verileri üzerinde kontrol sahibi olmalarını sağlayan bir dizi hak tanımaktadır. Bu haklar ve bu hakların nasıl kullanılacağına ilişkin usul ve esaslar aşağıda detaylandırılmıştır.

KVKK Madde 11 Kapsamındaki Haklar

Her ilgili kişi, veri sorumlusuna başvurarak aşağıdaki haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme.
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme.
• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme.
• KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesini veya yok edilmesini isteme.
• Düzeltme, silme veya yok etme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

Başvuru Usulü

İlgili kişilerin KVKK kapsamındaki haklarını kullanmak için öncelikle veri sorumlusuna (Reform Kariyer ve Mesleki Eğitim Hizmetleri Ltd. Şti. veya Learning Curve Group) başvurmaları zorunludur. Başvurular aşağıdaki yöntemlerle yapılabilir:

• Yazılı Başvuru: İlgili kişi tarafından doldurulmuş ve imzalanmış başvuru formunun posta yoluyla veya şahsen veri sorumlusunun adresine iletilmesi. Başvuru zarfının üzerinde “Kişisel Verilerin Korunması Kanunu Kapsamında Bilgi/Değişiklik Talebi” ibaresinin belirtilmesi tavsiye edilir.
• Kayıtlı Elektronik Posta (KEP) Yoluyla Başvuru: 5070 sayılı Elektronik İmza Kanunu’nda tanımlanan “güvenli elektronik imza” ile imzalanarak veri sorumlusunun KEP adresine gönderilmesi. Elektronik postanın konu kısmında “Kişisel Verilerin Korunması Kanunu Bilgi/Değişiklik Talebi” olduğu belirtilmesi tavsiye edilir.
• Diğer Yöntemler: Kişisel Verileri Koruma Kurulu tarafından belirlenen diğer yöntemlerle de başvuru yapılabilir.

Veri sorumlusu, ilgili kişinin başvurusunu en kısa sürede ve en geç otuz gün içinde cevaplandırmakla yükümlüdür. Başvuru ücretsiz olarak sonuçlandırılır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi halinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir. Talebin veri sorumlusunun hatasından kaynaklanması halinde, alınan ücret ilgili kişiye iade edilir. Veri sorumlusu, talebi kabul edebilir veya gerekçesini açıklayarak reddedebilir ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.

Şikayet Hakkı

İlgili kişinin veri sorumlusuna yaptığı başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içinde başvuruya cevap verilmemesi durumunda, ilgili kişi Kişisel Verileri Koruma Kurulu’na şikayette bulunabilir. Şikayet süresi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gündür. İlgili kişilerin veri sorumlusuna başvurmadan doğrudan Kurul’a şikayet yoluna gitmesi mümkün değildir.

XIV. TARAYICI ÇEREZLERİ

Ortak Veri Sorumluları olarak, platformumuzu ziyaret eden kullanıcılar ve kullanıcıların web sitesini kullanımı hakkındaki bilgileri teknik bir iletişim dosyası (Çerez-Cookie) kullanarak elde edebiliriz. Bahsi geçen teknik iletişim dosyaları, ana bellekte saklanmak üzere bir internet sitesinin kullanıcının tarayıcısına (browser) gönderdiği küçük metin dosyalarıdır. Teknik iletişim dosyası, siteyi kaç kişinin ziyaret ettiğini, bir kişinin siteyi hangi amaçla, kaç kez ziyaret ettiğini ve ne kadar sitede kaldıkları hakkında istatistiksel bilgileri elde etmeye ve kullanıcılar için özel tasarlanmış kullanıcı sayfalarından dinamik olarak reklam ve içerik üretilmesine yardımcı olur. Tarayıcıların pek çoğu başta teknik iletişim dosyasını kabul eder biçimde tasarlanmıştır ancak kullanıcılar dilerse teknik iletişim dosyasının gelmemesi veya teknik iletişim dosyasının gönderildiğinde uyarı verilmesini sağlayacak biçimde ayarları değiştirebilirler. Temel işlevsellik için gerekli olmayan çerezler (örneğin pazarlama veya detaylı analitik çerezleri) için kullanıcılardan bilgilendirilmiş, ayrıntılı rıza alınması gerekebilir.

XV. VERİ SAKLAMA SÜRESİ

Kişisel verileriniz, işlendikleri amaç için gerekli olan süre kadar veya ilgili mevzuatta öngörülen azami süre boyunca muhafaza edilmekte, ardından güvenli bir şekilde silinmekte, yok edilmekte veya anonim hale getirilmektedir. Çevrimiçi eğitim hizmetleri kapsamında işlenen kişisel veriler için genel saklama süreleri ve yasal dayanakları aşağıda belirtilmiştir:

Veri Kategorisi	Önerilen Saklama Süresi	Yasal Dayanak
Fatura ve Muhasebe Kayıtları	10 Yıl	Türk Ticaret Kanunu, Vergi Usul Kanunu
Log Kayıtları (İşlem Güvenliği)	6 Ay – En Fazla 2 Yıl	5651 Sayılı Kanun
Müşteri ve Sözleşme Bilgileri	Hukuki İlişki Sonrası 10 Yıl	Türk Borçlar Kanunu, Türk Ticaret Kanunu, Tüketicinin Korunması Hakkında Kanun
Kamera Kayıtları (CCTV)	90 Gün	Sektörel Teamül, KVKK Politikaları
Online Eğitim Erişim ve Tamamlama Kayıtları	En Az 1 Yıl (Sözleşmeye göre değişebilir)	Eğitim Portalı Erişim ve Belgelendirme Gereklilikleri
Ticari Elektronik İleti Onay Kayıtları	Onayın Geri Alındığı Tarihten İtibaren 1 Yıl	Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik
İlgili Kişi Başvuru ve Şikayet Kayıtları	10 Yıl	KVKK Kişisel Veri Saklama ve İmha Politikası

Belirlenen saklama sürelerinin dolması veya işleme amacının ortadan kalkması durumunda, kişisel veriler, Kişisel Veri Saklama ve İmha Politikası’na uygun olarak güvenli bir şekilde silinir, yok edilir veya anonim hale getirilir. İlgili kişinin kişisel verilerinin silinmesini veya yok edilmesini talep etmesi ya da daha önce verdiği açık rızayı geri çekmesi halinde, başka bir yasal saklama dayanağı bulunmadığı sürece, veriler periyodik imha süresini beklemeksizin derhal imha edilir.

XVI. POLİTİKA DEĞİŞİKLİKLERİ

Ortak Veri Sorumluları, işbu “Gizlilik Politikası” hükümlerini dilediği zaman sitede yayınlamak veya kullanıcılara elektronik posta göndermek veya sitesinde yayınlamak suretiyle değiştirebilir. Gizlilik Politikası hükümleri değiştiği takdirde, yayınlandığı tarihte yürürlüğe kazanır.

XVII. İLETİŞİM

Gizlilik politikamız ile ilgili her türlü soru ve önerileriniz için info@reformegitim.tr adresine e-mail gönderebilirsiniz. KVKK kapsamındaki haklarınızı kullanmak için bu Politikanın XIII. Bölümünde belirtilen başvuru usullerini takip edebilirsiniz. Ortak Veri Sorumlularına ait aşağıdaki iletişim bilgilerinden ulaşabilirsiniz.