Aetherys ("Platform", "biz", "şirketimiz") olarak kişisel verilerinizin gizliliğini ve güvenliğini son derece önemsiyoruz. İşbu Gizlilik Politikası ve Aydınlatma Metni; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), 5651 sayılı İnternet Kanunu, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve ilgili ikincil mevzuat çerçevesinde, hizmetlerimizden faydalanırken kişisel verilerinizin nasıl toplandığını, hangi amaçlarla işlendiğini, kimlerle paylaşıldığını, ne kadar süre saklandığını ve haklarınızı kullanma yöntemlerinizi açıklamak üzere hazırlanmıştır.
1. Veri Sorumlusunun Kimliği
KVKK md. 3/1-ı uyarınca veri sorumlusu sıfatıyla aşağıdaki bilgilerde tanımlanan tüzel kişilik, kişisel verilerinizin işleme amaçlarını ve vasıtalarını belirler ve veri kayıt sisteminin yönetiminden sorumludur.
- Ünvan: Tuğrul Demiray (Aetherys ticari unvanı altında)
- Vergi Dairesi: Doğanbey Vergi Dairesi (006265)
- Vergi Kimlik No (VKN): 2790034601
- Adres: Beştepe Mah. Nergiz Sk. No: 7 A İç Kapı No: 46, Yenimahalle / Ankara
- E-posta: [email protected]
- İrtibat Kişisi (Veri Sorumlusu Temsilcisi): [email protected]
- Web: aetherys.org
2. İşlenen Kişisel Veri Kategorileri
Hizmetlerimizden faydalanmanız sırasında ve sonrasında aşağıdaki veri kategorileri toplanmakta ve işlenmektedir:
- Kimlik Verileri: Ad, soyad, kullanıcı adı, doğum tarihi (isteğe bağlı), TCKN (yalnızca fatura zorunluluğu bulunan kurumsal işlemler için)
- İletişim Verileri: E-posta adresi, cep telefonu numarası, açık adres, posta kodu, ülke/şehir bilgisi
- Müşteri İşlem Verileri: Sipariş geçmişi, fatura bilgileri, kupon kullanımları, iade ve iptal kayıtları, aboneliğin başlangıç/bitiş tarihleri
- Finansal Veriler: Ödeme yöntemi (kart logosu, son 4 hane), ödeme tutarı, fatura bilgileri. Tam kart numarası, CVV ve son kullanma tarihi bilgileri tarafımızdan saklanmaz; bu veriler yalnızca PCI-DSS sertifikalı ödeme altyapı sağlayıcımız (PayTR) tarafından işlenir.
- İşlem Güvenliği Verileri: IP adresi, log kayıtları, oturum çerezleri, kimlik doğrulama tokenleri, başarısız giriş denemeleri, parola hash değerleri (bcrypt, geri çevrilemez)
- Hukuki İşlem Verileri: Yetkili merciler tarafından yapılan talepler, tebligatlar
- Kullanım/Analitik Verileri: Tarayıcı türü, cihaz bilgisi, ziyaret edilen sayfalar, kurs ilerleme yüzdesi, ders tamamlama durumu, etkinlik check-in zamanı, video izleme süresi
- Görsel/İşitsel Veriler: Kullanıcı profil fotoğrafı, eğitmen başvurularında yüklenen tanıtım videoları/fotoğrafları, etkinliklerde kayıt altına alınan görüntüler (önceden bilgilendirme yapılarak)
- İçerik Verileri: Yorum, mesaj, form yanıtları, eğitmen başvurusu detayları (deneyim yılı, çalışılan stiller, biyografi)
- Pazarlama Verileri: İlgi alanları, kampanya etkileşimleri, e-posta abonelik tercihleri (yalnızca açık rıza varsa)
3. Kişisel Verilerin İşlenme Amaçları
Verileriniz aşağıdaki amaçlarla işlenmektedir:
- Üyelik hesabınızın oluşturulması, kimlik doğrulama ve oturum güvenliği
- Satın aldığınız kurs, etkinlik bileti ve fiziksel ürünlerin teslimi/erişimi
- Sipariş ve ödeme süreçlerinin yürütülmesi, fatura düzenlenmesi
- Canlı yayın derslerine ve QR kodlu etkinlik biletlerine erişimin sağlanması
- İlerleme takibi, sertifika düzenlenmesi, kursa devam analizi
- Müşteri destek talepleriniz, şikayetleriniz ve geri bildirimlerinizin yanıtlanması
- Cayma hakkı, iade ve değişim taleplerinizin yürütülmesi
- Yasal yükümlülüklerin yerine getirilmesi (vergi mevzuatı uyarınca 10 yıl fatura saklama, mali müşavir denetim raporları, KVKK ve 5651 sayılı kanun gereğince log saklama)
- Platform güvenliğinin sağlanması, dolandırıcılık tespiti ve önlenmesi
- Hizmet kalitesinin iyileştirilmesi, hata tespiti, performans optimizasyonu
- İstatistiksel raporlar ve anonim analizler oluşturma
- Açık rızanız bulunması hâlinde, ticari elektronik ileti (kampanya, kupon, yeni kurs duyurusu) gönderilmesi
- Hak ve menfaatlerimizin yasal yollardan korunması, dava süreçlerinin yürütülmesi
4. Kişisel Verilerin Toplanma Yöntemi
Kişisel verileriniz; Platform üzerindeki kayıt formları, sipariş ve ödeme süreçleri, etkinlik kayıt formları, eğitmen başvuru formu, çağrı merkezi/e-posta yazışmaları, çerezler ve benzeri otomatik teknolojiler aracılığıyla; tamamen veya kısmen otomatik ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır.
5. Kişisel Verilerin İşlenmesinin Hukuki Sebepleri
KVKK md. 5 ve md. 6 kapsamında kişisel verileriniz aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:
- Sözleşmenin kurulması/ifası (md. 5/2-c), üyelik, kurs erişimi, etkinlik bileti, ürün satışı
- Hukuki yükümlülük (md. 5/2-ç), vergi, fatura, log saklama yükümlülükleri
- Hakkın tesisi/korunması (md. 5/2-e), uyuşmazlık ve dava süreçleri
- Meşru menfaat (md. 5/2-f), sahtekârlık önleme, hizmet kalitesi, güvenlik
- Açık rıza (md. 5/1), pazarlama iletişimi, opsiyonel pazarlama çerezleri
6. Kişisel Verilerin Aktarıldığı Taraflar ve Aktarım Amacı
Kişisel verileriniz üçüncü taraflara satılmaz. Verileriniz aşağıdaki taraflara, sadece hizmetin gerektirdiği ölçüde ve KVKK md. 8 ve md. 9'a uygun olarak aktarılabilir:
- PayTR (ödeme altyapı sağlayıcı): Tahsilat, iade ve dolandırıcılık önleme amacıyla, yurt içi
- Zoom Video Communications, Inc. (canlı yayın altyapısı): Canlı dersler ve etkinliklerin yürütülmesi amacıyla, yurt dışı (ABD); Zoom KVKK uyumluluk eki ve standart sözleşme maddeleri çerçevesinde aktarım yapılır
- cPanel/LiteSpeed (sunucu altyapısı): Verilerin barındırılması amacıyla, Türkiye sunucularında
- SMTP/E-posta servis sağlayıcısı: İşlemsel ve pazarlama (rıza varsa) e-postaları gönderimi
- Meta Platforms, Inc. (Facebook/Instagram, reklam ve ölçümleme piksel'i): Yalnızca pazarlama çerezlerine açık rıza vermeniz hâlinde; reklam performansı ölçümü ve yeniden hedefleme amacıyla, yurt dışı (ABD)
- Google LLC (Analytics / Tag Manager): Yalnızca analitik/pazarlama çerezlerine açık rıza vermeniz hâlinde; site kullanımının anonim ölçümü amacıyla, yurt dışı (ABD)
- Cloudflare, Inc. (CDN, güvenlik ve bot koruması): Trafik güvenliği, DDoS koruması ve içerik dağıtımı amacıyla bağlantı verileri (IP vb.) işlenir, yurt dışı (ABD/küresel)
- Kargo şirketleri: Fiziksel ürün teslimi amacıyla (yalnızca ad, telefon, adres)
- Mali müşavir / serbest muhasebeci: Yasal yükümlülükler ve denetim amacıyla
- Hukuk müşaviri / avukat: Hak savunması amacıyla
- Yetkili kamu kurum ve kuruluşları: Yasal zorunluluk halinde (mahkeme, savcılık, KVKK Kurulu, BTK)
Yurt dışına yapılan aktarımlar, 6698 sayılı Kanun'un (12/03/2024 tarihli değişiklik sonrası) md. 9 hükümleri uyarınca; yeterlilik kararı, uygun güvencelerin (standart sözleşme hükümleri / taahhütname) sağlanması ya da md. 9/6'daki istisnalar veyahut açık rızanızın bulunması hâllerinden birine dayanılarak gerçekleştirilir. Pazarlama ve analitik amaçlı yurt dışı aktarımlar (Meta, Google) yalnızca ilgili çerez kategorilerine açık rıza vermeniz durumunda yapılır; rızanızı çerez panelinden dilediğiniz an geri alabilirsiniz.
7. Çerez Politikası
Platformumuz aşağıdaki çerez kategorilerini kullanmaktadır:
- Zorunlu Çerezler: Oturum yönetimi, CSRF koruması, sepet, devre dışı bırakılamaz, açık rıza gerektirmez (Meşru menfaat)
- İşlevsel Çerezler: Dil/tema tercihi, "beni hatırla" oturumu, kullanıcı tarayıcı ayarından kontrol edebilir
- Analitik Çerezler: Anonim ziyaretçi sayımı, sayfa performansı, yalnızca rıza onayınız sonrası etkinleşir
- Pazarlama Çerezleri: Yeniden hedefleme, reklam kişiselleştirme, yalnızca açık rıza onayınız sonrası etkinleşir
Çerez tercihlerinizi tarayıcınızın ayarlarından veya site içi çerez bildirim panelinden istediğiniz zaman değiştirebilirsiniz. Zorunlu çerezleri reddetmeniz hâlinde Platform'un bazı temel işlevleri (sepet, giriş yapma) çalışmayabilir.
8. Veri Güvenliği Tedbirleri
KVKK md. 12 uyarınca aşağıdaki idari ve teknik tedbirler uygulanmaktadır:
- Tüm trafiğin TLS 1.3 / SSL üzerinden uçtan uca şifrelenmesi (HSTS aktif)
- Parolaların bcrypt algoritmasıyla tek yönlü hash'lenmesi
- Yetki ve rol bazlı erişim kontrolü (admin/manager/instructor/studio/student/door)
- Audit log altyapısı, kritik işlemler iz kaydına bağlanır
- Düzenli yedekleme ve felaket kurtarma planı
- OWASP Top 10 odaklı güvenlik denetimleri ve oto-onarım taraması
- Brute-force koruması (giriş ve kupon kullanımında throttling)
- Veri minimizasyonu, sadece gerekli veriler toplanır ve saklanır
- Gizlilik sözleşmesi imzalı personel ve hizmet sağlayıcılar
9. Kişisel Verilerin Saklanma Süreleri
Kişisel verileriniz, ilgili mevzuatta ön görülen veya işleme amacının gerektirdiği süre kadar saklanır:
- Hesap verileri: Üyeliğiniz aktif olduğu sürece + hesap kapatma sonrası 30 gün
- Sipariş, fatura ve ödeme kayıtları: 213 sayılı VUK gereği 10 yıl
- İnternet trafik bilgisi (5651 sayılı kanun): 1-2 yıl
- Üyeliğiniz çerçevesindeki yazışmalar / şikayet kayıtları: 3 yıl
- Pazarlama izinleri: İptal etmeniz hâlinde derhal silinir; aksi halde 5 yıl
- Çerez verileri: Çerez türüne göre oturum sonu ila 12 ay
- Eğitmen başvuruları: Reddedilen başvurular 1 yıl, kabul edilenler hizmet süresince + 5 yıl
- Sistem teknik logları (PHP error, audit): 6 ay (audit_logs) / 14 gün (php-errors.log)
- E-posta gönderim kayıtları: 90 gün
- Push bildirim gönderim kayıtları: 30 gün
- Kullanıcı aktivite logu (gamification): 365 gün
- "Beni hatırla" oturum jetonları: 60 gün
- Veritabanı yedek dosyaları: 14 dosya rolling + maksimum 60 gün
- Cüzdan işlem kayıtları (Aetherys Kazancı, bağış, sipariş ödemeleri): Tüketici uyuşmazlıkları ve vergi mevzuatı (VUK) gereği 10 yıl
Saklama süresinin sonunda verileriniz silinir, yok edilir veya anonim hâle getirilir (KVKK md. 7 ve "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik").
10. KVKK md. 11 Kapsamındaki Haklarınız
Veri sahibi sıfatıyla aşağıdaki haklara sahipsiniz:
- Kişisel verinizin işlenip işlenmediğini öğrenme
- Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
- Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
- Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme
- KVKK md. 7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme
- Düzeltme/silme/yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
- İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme
- Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme
- Vermiş olduğunuz açık rızayı her zaman geri alma
Bu haklarınızı kullanmak için, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ"de belirtilen şartlara uygun şekilde başvurunuzu [email protected] adresine veya yazılı olarak şirket adresimize iletebilirsiniz. Talebiniz, en geç 30 gün içinde sonuçlandırılır.
KVKK Kurulu'na şikayet hakkı: Talebinizin reddedilmesi, verdiğimiz cevabın yetersiz bulunması veya 30 gün içinde cevap verilmemesi hâlinde KVKK Kurulu'na şikâyette bulunabilirsiniz (kvkk.gov.tr).
11. Çocukların Kişisel Verileri
Platform, 18 yaşından küçük kullanıcılara yönelik değildir. 18 yaşından küçük kullanıcılar yasal velilerinin açık rızası ve gözetimi olmaksızın hesap oluşturmamalıdır. 13 yaşından küçük olduğunu öğrendiğimiz hesaplar derhal kapatılır ve verileri silinir.
12. Otomatik Karar Verme ve Profilleme
Platform; sahtekârlık tespiti, hesap güvenliği uyarıları ve kursa kayıt önerileri için kısmi otomatik analiz kullanabilir. Bu analizler hiçbir koşulda hak/menfaat kaybına yol açacak nihai bir karar oluşturmaz. Kararlar üzerinde itiraz hakkınız saklıdır (KVKK md. 11/g).
13. Politika Değişiklikleri
Bu Politika, mevzuat değişiklikleri ve hizmet ihtiyaçları doğrultusunda güncellenebilir. Önemli değişiklikler kayıtlı e-posta adresinize bildirilir; site içi banner ile duyurulur. Güncel sürüme her zaman bu sayfadan ulaşabilirsiniz. Değişiklikler yürürlüğe girdikten sonra Platform'u kullanmaya devam etmeniz, yeni Politika'yı kabul ettiğiniz anlamına gelir.
