KVKK Aydınlatma Metni

1. Veri sorumlusu kimdir?

Kişisel verilerin, veri sorumlusu sıfatıyla soWAT tarafından işlenir. soWAT; Türkiye'deki üniversite öğrencilerini Work and Travel sürecinde organize eden bir platformdur. Öğrencilik doğrulaması yapar, ortak hedefe sahip öğrencileri gruplar hâlinde eşleştirir, partner şirketlerin tekliflerini karşılaştırılabilir biçimde gösterir ve süreci adım adım takip etmeni sağlar.

Ticari unvan: soWAT (ticari unvan tescil sürecinde). Tebligat adresi, MERSİS ve KEP bilgileri sayfanın sonundaki Veri sorumlusu ve başvuru kartında; tescil süreci tamamlanmadığı için bu alanlar bugün "tescil sürecinde" diyor - uydurma bir numara yazmıyoruz.

Her türlü soru, talep ve başvuru için: info@sowat.app. Başvuru usulünün ayrıntısı, sayfanın sonundaki Veri sorumlusu ve başvuru bölümünde.

2. Bu metnin kapsamı

Bu aydınlatma metni; soWAT mobil uygulaması, sowat.app web sitesi ve bunlara bağlı hizmetler (öğrenci doğrulama, grup eşleştirme, şirket ve danışman iletişimi, sesli görüşme, bildirimler) bakımından geçerlidir.

3. İşlediğimiz kişisel veri kategorileri

Hangi kategorinin işleneceği, platformda hangi özellikleri kullandığına göre değişir. Kullanmadığın bir özelliğin verisi işlenmez.

Kimlik ve iletişim verisi

Ad, soyad ve üniversite e-posta adresin. soWAT'ta parola yoktur; giriş, e-posta adresine gönderilen tek kullanımlık 6 haneli doğrulama koduyla yapılır. Kod düz metin olarak asla saklanmaz, yalnız özeti tutulur; 10 dakika geçerlidir ve en fazla 5 kez denenebilir.

Öğrencilik doğrulaması

E-posta adresinin alan adı, tanımlı üniversite alan adları listesiyle karşılaştırılır; eşleşirse hesabına "doğrulanmış öğrenci" niteliği verilir ve hangi üniversiteye bağlı olduğun profiline işlenir.

Profil ve hazırlık yanıtları

Şehir, kısa tanıtım metni, profil görseli ve aday kartında görünen tek satırlık başlığın. Ayrıca ön değerlendirme sorularına verdiğin yanıtlar, bunlardan hesaplanan hazırlık seviyen (başlangıç, araştırma, kayda yakın, süreçte) ve seviyenin gerekçeleri.

Grup ve eşleştirme verisi

Kurduğun veya katıldığın gruplar, gruptaki rolün (üye ya da grup yöneticisi), katılım talepleri ve davetler, grubun şirket tercihleri; sana gösterilen eşleştirme önerileri, önerinin puanı, insan-okunur gerekçeleri ve öneriye verdiğin tepki (katıldın, davet ettin, kapattın).

Danışman yazışmaları

Danışmanınla yaptığın yazışmaların ve grup sohbeti mesajların. İçerik, gönderen ve zaman damgası saklanır; saklama süresi 10. bölümde.

Sesli görüşme ve kayıt

Danışman görüşmesi yaptığında görüşmenin tarihi, süresi, katılımcıları ve durumu. Görüşmenin ses kaydı alınır ve bunun için senden ayrıca izin istenmez; kayıt görüşmenin başında sesli duyuruyla ve görüşme boyunca ekranda duran bir göstergeyle sana duyurulur. Ayrıntı için 9. bölüme bak.

Rıza kayıtları

Onayladığın metnin sürümü, metnin içerik özeti (SHA-256), onay anı ve varsa geri alma tarihi. Bu kayıt, hangi metne onay verdiğinin yıllar sonra da gösterilebilmesi için tutulur.

Bildirim ve cihaz verisi

Sana gönderilen uygulama içi bildirimler, bildirim türü ve kanal bazındaki tercihlerin (uygulama içi, anlık bildirim, e-posta) ile anlık bildirim gönderebilmek için mobil cihazının bildirim kimliği ve platformu (iOS, Android, web).

Uygulama izin durumu

Mobil uygulama, cihazındaki bildirim, mikrofon ve kamera izinlerinin durumunu bize bildirir. Durum üç değerlidir: verildi, reddedildi veya henüz sorulmadı. Bu durumun uygulama tarafından bildirildiği zaman da kaydedilir.

Bir işe yarar: bildirimin sana neden ulaşmadığının görülebilmesi - izin kapalıysa sorun sunucuda değildir. Hukuki sebep 4. bölümdeki tabloda.

Cihazında işletim sisteminin gösterdiği izin penceresi KVKK anlamında bir açık rıza değildir; o pencere yalnızca uygulamanın ilgili cihaz özelliğine erişip erişemeyeceğini belirler. İzni reddetmen ya da izin penceresinin sana hiç sorulmamış olması soWAT'tan yararlanmanı engellemez; yalnız o özelliğin çalışmadığı anlamına gelir.

İşlem güvenliği ve denetim kaydı

Sunucu kayıtları, istek kimliği, oturum ve cihaz bilgisi, anlık bildirim jetonu ve işlem zaman damgaları. Yönetici, moderatör, danışman ve partner kullanıcıların durum değiştiren her işlemi ayrıca denetim kaydına yazılır. Denetim kayıtlarına ham kişisel veri yazılmaz; yalnız maskelenmiş özet tutulur.

Ham IP adresin saklanmaz ve loglanmaz; yalnızca gizli bir anahtarla üretilmiş geri döndürülemez özet (hash) değeri tutulur ve bu değerden IP adresine geri dönülemez. Oturum kaydına ayrıca giriş yaptığın ülkenin iki harfli kodu (örneğin "TR") yazılır. Bu kod ülkeden daha ince bir konum bilgisi içermez, kendisinden IP adresine ulaşılamaz ve yalnız hesap güvenliği ile olağandışı erişimin tespiti için tutulur (KVKK m.5/2-f, meşru menfaat).

4. Amaçlar, hukuki sebepler ve saklama süreleri

Aşağıdaki süreler, saklama ve imha politikamızda belirlenen azami sürelerdir. Süre dolduğunda kayıtlar, düzenli çalışan otomatik imha işiyle silinir veya geri döndürülemez biçimde anonimleştirilir.

5. Toplama yöntemi ve otomatik işleme

Kişisel verilerin ağırlıklı olarak senin sağladığın bilgilerden toplanır: mobil uygulama ve web sitesindeki formlar, doğrulama e-postası akışı, paylaştığın dosyalar ve gönderdiğin talepler. Bunun yanında hizmetin çalışması sırasında otomatik olarak üretilen teknik kayıtlar (oturum, istek kimliği, güvenlik kayıtları) oluşur.

Grup ve aday önerileri kısmen otomatik yöntemlerle üretilir: profil ve hazırlık yanıtlarından bir uyum puanı hesaplanır ve puanın gerekçeleri sana insan-okunur cümlelerle gösterilir. Bu öneri kimseyi bir gruba almaz, kimseyi dışlamaz ve hakkında hukuki sonuç doğuran ya da seni önemli ölçüde etkileyen bir karar oluşturmaz, kararı her zaman sen veya grubun yöneticisi verirsin. Öneriyi kapatabilir, gerekçesine itiraz etmek için bize yazabilirsin.

6. Özel nitelikli kişisel veri toplamıyoruz

Ön değerlendirme ve profil formlarımız; sağlık, cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriyi sormaz ve talep etmez. Bu veri türlerini işlememek bilinçli bir tasarım kararıdır.

7. Kişisel verilerin aktarılması

Kişisel verini satmayız, reklam ağlarıyla paylaşmayız ve pazarlama amacıyla üçüncü kişilere devretmeyiz. Aktarım yalnız aşağıdaki hâllerde ve amaçla sınırlı yapılır.

Partner şirketler ve danışmanlar

Bir şirkete "ilgileniyorum" dediğinde, danışman görüşmesi talep ettiğinde veya grubun bir şirketi tercih ettiğinde; adın, üniversiten, iletişim bilgin ve talebine ilişkin not ilgili partner şirkete ya da danışmana aktarılır. Bu aktarım senin açık rızanla yapılır ve rıza kaydı ayrıca tutulur. Rızanı geri alırsan sonraki aktarımlar durur. Şirketin o ana kadar kendi kayıtlarına aldığı veri bakımından veri sorumlusu ilgili şirkettir ve o şirketin aydınlatma metni geçerlidir.

Hizmet sağlayıcılar

soWAT'ın kendi ekibinin erişimi

soWAT'ın yetkili yönetimi (süper yönetici), hizmetin işletilmesi ve korunması için hesabına ilişkin verilere erişebilir. Bu bir aktarım değildir; veri sorumlusunun kendi içindeki bir işlemedir.

Kapsam: kimlik ve iletişim bilgilerin (e-posta, verdiysen telefon), öğrencilik ve program bilgilerin, hazırlık değerlendirmesi cevapların, grup sohbeti ve danışman yazışmaların, görüşme ses kayıtların ve hesap hareketlerin.

• Güvenlik, kötüye kullanım ve sahtecilik incelemesi; topluluk kurallarının uygulanması (m.5/2-f, meşru menfaat).
• Destek taleplerinin karşılanması ve hizmetin sunulması (m.5/2-c).
• Şikâyet ve uyuşmazlıkların incelenmesi, hakkın tesisi ve ispat (m.5/2-e).
• Mevzuattan doğan yükümlülüklerin yerine getirilmesi (m.5/2-ç).

Her erişim kayıt altına alınır: kim, ne zaman, hangi veriye baktı. Bu kayıtları KVKK m.11 kapsamında bizden talep edebilirsin. Erişim reklam, profilleme veya satış amacıyla kullanılmaz.

Yazışma ve ses kaydının program şirketiyle paylaşılması

Kampanyasına katıldığın program şirketiyle veri paylaşımına açık rıza verdiysen; yazışma içeriklerin ve görüşme kayıtların yalnızca şu üç hâlde o şirketle paylaşılabilir:

• Hakkında ya da tarafından yapılmış bir şikâyetin veya uyuşmazlığın incelenmesi.
• Yetkili merci ya da mevzuattan doğan bir talebin karşılanması.
• Güvenlik veya kötüye kullanım incelemesi.

Bu üç hâlin dışında yazışma ve ses kaydı şirkete verilmez; pazarlama, performans ölçümü veya genel bilgilendirme amacıyla paylaşılmaz. Rızanı dilediğin an geri alabilirsin.

Yurt dışına aktarım

soWAT'ın sunucuları ve nesne depolaması Avrupa Birliği içindeki bir veri merkezinde çalışır; e-posta gönderimi ve mobil bildirim servisleri de yurt dışında yerleşik sağlayıcılar üzerinden yürür. Bu nedenle kişisel verin yurt dışına aktarılmaktadır (KVKK m.9). Aktarım, Kanun'un öngördüğü şartlara uygun biçimde, uygun güvenceler sağlanarak, gereken hâllerde açık rızan alınarak, gerçekleştirilir. Kullandığımız aktarım mekanizmasına ilişkin ayrıntılı bilgiyi info@sowat.app adresinden talep edebilirsin.

8. WhatsApp topluluklarına yönlendirme

soWAT, üniversite veya şehir bazlı WhatsApp topluluklarına yalnızca davet bağlantısı verir. Bağlantıya dokunduğunda WhatsApp'a geçersin ve orada telefon numaranla görünür olursun.

• Topluluk içindeki mesajlar, telefon numaraları ve profil bilgileri soWAT'a aktarılmaz ve soWAT tarafından işlenmez.
• soWAT, topluluğa katılıp katılmadığını bilmez; katılım kararı tamamen sana aittir.
• WhatsApp üzerindeki veri işleme faaliyetleri için ilgili platformun kendi gizlilik politikası geçerlidir.
• Topluluk içinde kimlik, pasaport veya iletişim bilgisi paylaşmamanı öneririz.

9. Sesli görüşme ve kayıt

Kayıt, görüşmeye iki taraf da katıldığında başlar. Görüşmeyi kimin başlattığı fark etmez: danışman seni aradığında da, sen danışmanı aradığında da aynı kural işler.

Kaydın kendisi erişime kapalı özel bir depolama alanında tutulur. İndirme varsayılan olarak kapalıdır; danışmanlar kaydı kendiliğinden indiremez. Kayda yapılan her erişim denetim kaydına yazılır ve erişim sayacı artırılır. Erişim çemberi ve program şirketiyle paylaşımın sınırları 7. bölümde.

Hukuki dayanak açık rıza değildir. Dayanak, aramızdaki sözleşmenin (Kullanım Koşulları) kurulması ve ifasıyla doğrudan ilgili olması (KVKK m.5/2-c) ile hizmetin güvenliği, ispat ve denetim bakımından meşru menfaatimizdir (KVKK m.5/2-f). Menfaat dengesi; erişim çemberinin dar tutulması, her erişimin kayıt altına alınması ve 12 aylık saklama süresiyle gözetilmiştir.

Kayıt açık rızaya dayanmadığı için "rızayı geri alma" yolu bu işleme için uygulanmaz. Bunun yerine KVKK m.11 haklarını kullanabilirsin: işlemeye itiraz etme ve silinmesini talep etme dâhil (11. bölüm). Kayıtlar en fazla 12 ay saklanır; devam eden bir şikâyet veya hukuki uyuşmazlık varsa süreç sonuçlanana kadar saklanır.

Sesli görüşme ve kayıt özelliği şu anda kullanıma kapalıdır. Özellik açılmadan önce ayrıca bilgilendirilirsin.

10. Saklama ve imha

Kişisel verini, işlendiği amaç için gerekli olan süre boyunca ve mevzuatın öngördüğü zamanaşımı süreleri kadar saklarız. Süreler 4. bölümdeki tabloda kategori bazında gösterilmiştir. Süre dolduğunda kayıtlar düzenli çalışan otomatik imha işiyle silinir veya anonimleştirilir.

Hesabını silmeyi talep ettiğinde hesabın önce "silme talebi alındı" durumuna geçer. Hesap silindikten sonra 90 gün boyunca şunlar silinmeden önceki hâliyle saklanır: danışman yazışmaların ve grup sohbeti mesajların — bu mesajları kimin gönderdiği bilgisiyle birlikte — ve uygulama üzerinden hangi program şirketine, ne zaman yönlendirildiğine ilişkin kayıt.

Bu 90 günlük saklamanın amacı, uygulama üzerinden gerçekleşen yönlendirmenin ispatıdır: bir program şirketi kaydın soWAT üzerinden gelmediğini ileri sürerse, soWAT'ın kendi hakkını ortaya koyabilmesi gerekir. Hukuki sebep, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olmasıdır (KVKK m.5/2-e).

Bu süre içinde söz konusu verilere yalnızca soWAT'ın yetkili yönetimi, somut bir gerekçeye dayanarak erişebilir; her erişim 7. bölümde anlatıldığı şekilde kayıt altına alınır - kimin, ne zaman, hangi yazışmayı görüntülediği yazılır ve bu kayıt sonradan değiştirilemez. Devam eden bir şikâyet, uyuşmazlık veya hukuki süreç varsa saklama süresi o süreç sonuçlanana kadar uzar.

90 günün sonunda yapılan silme gerçek silmedir: mesaj içeriği ve mesajı kimin gönderdiği bilgisi dâhil olmak üzere kişisel verilerin kalıcı olarak silinir; anonim bir kayıt bile bırakılmaz. Geriye yalnız rıza kayıtları ve denetim izleri kalır. Hesabını silen kullanıcı gruptan çıkarılır, ancak mesajları "ayrılan üyenin mesajları ayrılma anında silinir" kuralına tabi olmaz: onlar hesabın silinmesinden 90 gün sonra silinir.

Denetim kayıtları silinmez, anonimleştirilerek korunur. Bunun sebebi, yönetici ve moderatör işlemlerine ilişkin ispat zincirinin kırılmaması gereğidir (KVKK m.5/2-e). Bu kayıtlarda kim olduğun değil, hangi işlemin ne zaman yapıldığı yer alır.

11. KVKK m.11 kapsamındaki hakların

Veri sorumlusuna başvurarak aşağıdaki haklarını kullanabilirsin:

İşlenip işlenmediğini öğrenme

Kişisel verinin işlenip işlenmediğini öğrenme hakkı.

Bilgi talep etme

Kişisel verin işlenmişse buna ilişkin bilgi talep etme hakkı.

Amaca uygun kullanımı öğrenme

İşlenme amacını ve verinin amacına uygun kullanılıp kullanılmadığını öğrenme hakkı.

Aktarılan tarafları bilme

Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilme hakkı.

Düzeltme

Eksik veya yanlış işlenmiş verinin düzeltilmesini ve bu işlemin aktarım yapılan üçüncü kişilere bildirilmesini isteme hakkı.

Silme veya yok edilme

İşlenmesini gerektiren sebepler ortadan kalkmışsa verinin silinmesini veya yok edilmesini ve bu işlemin aktarım yapılan üçüncü kişilere bildirilmesini isteme hakkı.

Otomatik analiz sonucuna itiraz

Verinin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç çıkmasına itiraz etme hakkı.

Zararın giderilmesi

Kanuna aykırı işleme sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme hakkı.

Taleplerini nasıl ileteceğin, ne kadar sürede yanıt alacağın ve Kurul'a şikâyet hakkın için sayfanın sonundaki Veri sorumlusu ve başvuru bölümüne bak.

12. Güvenlik tedbirleri

KVKK m.12 uyarınca, kişisel verinin hukuka aykırı işlenmesini ve verine hukuka aykırı erişilmesini önlemek için uygun teknik ve idari tedbirleri alıyoruz:

• Parolasız giriş: sızdırılacak bir parola yok. Tek kullanımlık kod yalnız özet hâlinde saklanır, 10 dakika geçerlidir ve deneme sayısı sınırlıdır.
• Aktarımda TLS şifrelemesi; veritabanı ve dosya depolaması sunucu tarafında şifreli disk üzerinde tutulur.
• Belgeler ve görüşme kayıtları herkese kapalı özel bir alanda saklanır; erişim yalnız kısa ömürlü imzalı bağlantıyla ve yetki kontrolünden geçerek verilir.
• Rol bazlı yetkilendirme ve kiracı izolasyonu: bir partner şirket yöneticisi başka bir şirketin ya da yönetim panelinin verisine erişemez.
• Uygulama kayıtlarında kişisel veri maskelenir; denetim kaydına ham kişisel veri yazılmaz.
• Yönetici, moderatör ve danışmanların durum değiştiren her işlemi denetim kaydına alınır.
• Yetki matrisleri ve erişim kayıtları düzenli olarak gözden geçirilir.

13. Değişiklikler ve sürüm

Bu metin, hizmetimizdeki veya mevzuattaki değişikliklere göre güncellenebilir. Her güncellemede sayfa başındaki sürüm ve yürürlük tarihi değişir. Bu metnin geçerli sürümü kvkk-aydinlatma@6.0.0.

Açık rızaya dayanan bir işleme faaliyetinin kapsamı değişirse eski rızaya güvenmeyiz: değişiklik yürürlüğe girmeden önce yeni metin gösterilerek yeniden onayın istenir. Esaslı değişiklikleri ayrıca e-posta veya uygulama içi bildirimle duyururuz.

Verinin nasıl korunduğunu gündelik dille okumak istersen Gizlilik politikası, platform kurallarını görmek istersen Kullanım koşulları sayfasına bakabilirsin.

Veri sorumlusu ve başvuru

Veri sorumlusu

soWAT, soWAT (ticari unvan tescil sürecinde)

E-posta

info@sowat.app

Tebligat adresi

Tebligat adresi tescil sürecinde — başvuru: info@sowat.app

MERSİS

Tescil sürecinde

KEP adresi

Tescil sürecinde

Web sitesi

sowat.app

Kişisel verilerine ilişkin taleplerini info@sowat.app adresine, hesabına kayıtlı e-posta adresinden yazılı olarak iletebilirsin. Başvurunda talebini açıkça belirt; kimliğini doğrulayabilmemiz için gerekli asgari bilgiyi isteyebiliriz. Talebini en geç 30 gün içinde ücretsiz sonuçlandırırız (işlemin ayrıca maliyet gerektirmesi hâlinde Kurul tarifesindeki ücret alınabilir).

Başvurunun reddedilmesi, verilen cevabı yetersiz bulman veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğin tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin (KVKK m.14).