KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

KVKK m. 10 uyarınca, Platform üzerinden doğrudan işlem yapan bireysel kullanıcılar, web sitesi ziyaretçileri ve doğrudan müşteri ilişkisi kuran taraflar bakımından Veri Sorumlusu aşağıdaki kuruluştur:

2. Veri Sorumlusu ve Veri İşleyen Rollerinin Ayrımı

Pabli platformundaki veri işleme faaliyetlerinde iki ayrı hukuki rol söz konusudur:

2.1. Şirketin Veri Sorumlusu Olduğu Durumlar

Aşağıdaki süreçlerde kişisel verilerin amaçlarını ONX Yazılım Anonim Şirketi belirlediği için Şirket Veri Sorumlusu konumundadır:

• Bireysel hesap oluşturma ve kimlik doğrulama,
• Abonelik, eklenti ve AI kredisi satın alma süreçleri,
• Faturalandırma ve ödeme sonucu kayıtlarının tutulması,
• Müşteri desteği ve talep yönetimi,
• Web sitesi ziyaretleri, site analitiği (Google Analytics) ve sistem güvenliği kayıtları,
• Pazarlama tercihleri ve ticari iletişim izinleri.

2.2. Şirketin Veri İşleyen Olduğu Durumlar

Okullar, yayınevleri ve eğitim kurumları (Kurumsal Müşteri) tarafından oluşturulan kurumsal hesaplarda, kurumun öğretmen ve öğrencileri için tanımladığı hesaplar bakımından Veri Sorumlusu ilgili kurumdur. ONX Yazılım Anonim Şirketi, kurumun belgelenmiş talimatları doğrultusunda hareket eden Veri İşleyen konumundadır:

• Kurum tarafından Platform'a yüklenen öğretmen ve öğrenci listeleri,
• Kurum adına barındırılan içerikler,
• Öğrencilerin etkileşimli içeriklerdeki yanıtları, skorları ve öğrenme ilerleme verileri.

Şirket; bu kurumsal ilişkilerde dahi kendi faturalandırması, hesap ve sistem güvenliği ile mevzuattan kaynaklanan bağımsız veri işleme faaliyetleri bakımından veri sorumlusudur.

Önemli Açıklama: KVKK m. 5 kapsamındaki hukuki sebep veri sorumlusu olan kurum tarafından belirlenir. Kurumsal hesaplar kapsamındaki öğrenci ve öğretmen verilerine ilişkin talepler için öncelikle Veri Sorumlusu kuruma başvurulmalıdır.

3. İşlenen Kişisel Veri Kategorileri

Platform üzerindeki gerçek kullanım faaliyetlerine dayalı olarak işlenen veri kategorileri:

• Kimlik Bilgileri: Ad, soyad, kullanıcı adı.
• İletişim Bilgileri: E-posta adresi, telefon numarası (varsa).
• Hesap ve Profil Bilgileri: Rol (öğretmen, öğrenci, idareci), kurum/yayınevi bilgisi, unvan.
• Abonelik ve Müşteri İşlem Bilgileri: Satın alınan plan türü, eklentiler, AI kredi bakiyesi, sipariş detayları.
• Fatura Bilgileri: Fatura adresi, vergi dairesi/numarası veya TCKN.
• Ödeme Sonuç Bilgileri: Ödeme sonucu, işlem numarası, tutar, ödeme tarihi referansı (Kredi kartı verileri Pabli tarafından saklanmaz).
• İşlem Güvenliği ve IP Kayıtları: IP adresi, oturum kayıtları, cihaz ve erişim kayıtları, zaman damgaları.
• Cihaz ve Tarayıcı Verileri: Tarayıcı türü, sürümü, işletim sistemi ve cihaz türü.
• Google Analytics Verileri: Analitik çerez onayı verilmesi hâlinde çevrim içi tanımlayıcılar, sayfa görüntüleme ve kullanım verileri.
• Çerez Tercih Kayıtları: Çerez rıza tercihleri, versiyon ve zaman damgası.
• Kullanıcı İçerikleri: Yüklenen metin, görsel, ses, video ve PDF belgeleri.
• Yapay Zekâ Girdileri, Çıktıları ve İşlem Kayıtları: Yapay zekâ araçlarına yazılan komutlar, üretilen çıktılar ve kredi tüketim kayıtları.
• Öğrenci İlerleme ve Değerlendirme Bilgileri: Etkileşim yanıtları, skorlar ve tamamlama yüzdeleri.
• E-Posta Bildirimleri ve Pazarlama Tercihleri: Sistem duyuruları ve bülten izinleri.

4. Detaylı KVKK Veri İşleme Tablosu

Kişisel veri kategorilerinin işleme amaçları, KVKK m. 5 kapsamındaki hukuki sebepleri, alıcı grupları ve saklama süreleri aşağıda eşleştirilmiştir:

5. Ödeme ve Finansal İşlemlere İlişkin Veri Akışı

Türkiye'deki ödemeler Sipay veya PayTR aracılığıyla; uygun uluslararası işlemler ise yetkili satıcı ve Merchant of Record olarak hareket edebilen Paddle aracılığıyla gerçekleştirilebilir. Ad, e-posta, fatura ülkesi ve adresi, ürün, tutar, para birimi, abonelik durumu, işlem kimliği, ödeme sonucu, iade ve chargeback bilgileri ödeme, vergi, faturalandırma, dolandırıcılığın önlenmesi ve uyuşmazlık yönetimi amacıyla aktarılabilir ve işlenebilir.

Pabli tam kart numarası ve güvenlik kodunu saklamaz. Bu veriler ilgili ödeme sağlayıcısının güvenli ortamında işlenir. Paddle, Merchant of Record olduğu işlemlerde kendi hukuki yükümlülükleri ve amaçları bakımından bağımsız veri sorumlusu olabilir; otomatik olarak yalnızca veri işleyen kabul edilmez.

6. Yapay Zekâ (AI) Özellikleri ve Veri İşleme Esasları

Yapay zekâ araçları kullanıldığında komutlar ve dosyalar hizmetin sunulması amacıyla işlenir. Kullanıcı içerikleri ve AI girdileri, Pabli'nin veya hizmet aldığı model sağlayıcılarının genel amaçlı yapay zekâ modellerini eğitmek amacıyla kullanılmaz.

7. Çocuk ve Öğrenci Verilerinin İşlenmesi

Kurumsal okul kullanımlarında öğrenci verileri ilgili kurumun (Veri Sorumlusu) kontrolündedir. Öğrenciler kendi başlarına hesap oluşturamaz; öğrenci hesapları yalnızca öğretmenler veya kurum yöneticileri tarafından oluşturulur. Öğrenci verileri hiçbir koşulda reklam hedeflemesi için kullanılmaz.

8. Kişisel Verilerin Aktarıldığı Üçüncü Taraflar

Kişisel verileriniz, ilgili işleme amacı ve hukuki sebep ile sınırlı olarak KVKK m. 8 uyarınca Sipay, PayTR, Paddle, finans kuruluşları, bulut barındırma sağlayıcıları, yapay zekâ/model sağlayıcıları, e-posta servisleri, analitik çerez onayı sonrasında Google Analytics, mali ve hukuki danışmanlar ile yetkili kamu kurumlarına aktarılabilir. Paddle, ilgili işlem kapsamında bağımsız veri sorumlusu olarak hareket edebilir.

9. Yurt Dışına Veri Aktarımı

Barındırma, e-posta, Google Analytics ve yapay zekâ/model hizmetlerinin sunulması sırasında kişisel veriler yurt dışına aktarılabilir. Sürekli aktarımlar, KVKK m. 9 kapsamında yeterlilik kararı, uygun güvence veya uygulanabilir diğer yasal aktarım şartlarından en az birinin mevcut olması hâlinde gerçekleştirilir. İmzalandığı doğrulanmamış bir standart sözleşme varmış gibi kabul edilmez. Google Analytics yalnızca analitik çerez onayı sonrasında etkinleşir; ilgili yurt dışı aktarım ayrıca KVKK m. 9 şartlarına uygun yürütülür.

Paddle'ın uluslararası işlemlerde Merchant of Record olarak kullanılması nedeniyle ad, e-posta, fatura ülkesi ve adresi, ürün, tutar, abonelik durumu, işlem kimliği, iade ve chargeback bilgileri gibi sınırlı veriler KVKK'nın 9. maddesine uygun olarak yurt dışına aktarılabilir.

10. Kişisel Verilerin Toplanma Yöntemleri

Verileriniz web formları, platform arayüzü, çerezler, sistem kayıtları ve uygulama entegrasyonları aracılığıyla tamamen veya kısmen otomatik yollarla toplanmaktadır.

11. Saklama ve İmha Esasları

Fatura, muhasebe ve uyuşmazlık delili niteliğindeki sınırlı kayıtlar ilgili mevzuat ve uygulanabilir zamanaşımı süreleri boyunca saklanabilir. Aktif hesap ve kullanıcı içerikleri işleme amacı devam ettiği müddetçe tutulur; hesap kapatıldığında mevzuat gereği saklanması zorunlu olmayan kullanıcı içerikleri silme sürecine alınır. Saklama sebebi ortadan kalkan veriler silinir, yok edilir veya anonim hâle getirilir.

12. İlgili Kişinin Hakları ve Resmi Başvuru Yöntemi

KVKK'nın 11. maddesi kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Kişisel verilerinizin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş kişisel verilerinizin düzeltilmesini isteme,
• Kanuni şartları oluştuğunda kişisel verilerinizin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme veya yok etme işlemlerinin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerinizin münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç çıkmasına itiraz etme,
• Kişisel verilerinizin kanuna aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Bu haklarınızı kullanmak için KVKK Başvuru Formu'nu inceleyebilir veya aşağıdaki yöntemlerden biriyle başvurabilirsiniz:

• Islak İmzalı Yazılı Başvuru: Ayazağa Mah. Kemerburgaz Cad. Vadi İstanbul Park 7A Blok No: 7 B İç Kapı No: 4 Sarıyer / İstanbul / Türkiye adresine,
• KEP Başvurusu: Başvuru sahibinin KEP adresinden onxyazilim@hs09.kep.tr adresine,
• Güvenli Elektronik veya Mobil İmzalı Başvuru: onxyazilim@hs09.kep.tr adresine,
• Sistemde Kayıtlı E-Posta ile Başvuru: Daha önce Şirkete bildirdiğiniz ve sistemde kayıtlı e-posta adresinizden info@pabli.co adresine.

Başvurularınız en geç 30 (otuz) gün içinde sonuçlandırılacaktır.