Okullar için veri işleme koşulları

Bu koşullar, okul hesabı kullanan okul ya da diğer eğitim kurumu (“Okul”) ile Omnibus, Ltd., adres talep üzerine bildirilir (“biz”) arasındadır. Okul hesabının sağlandığı sözleşmenin ya da teklifin parçasıdır ve kişisel verilerin korunmasına ilişkin konularda ona üstündür. Bu koşullar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 12 ile AB ve Birleşik Krallık'taki okullar için GDPR / UK GDPR m. 28'in gereklerini karşılayacak şekilde hazırlanmıştır.

Personelin ayrıca kendi Earbunny hesapları vardır; okul hesabı dışındaki kullanımları gizlilik politikamıza tabidir.

Okul adına özel nitelikli kişisel veri ya da öğrenci kişisel verisi işlenmez. Okul, öğrencilere ait kişisel verileri bize yüklememeli ya da göndermemelidir.

Okul verilerini yalnız Okul'un belgelenmiş talimatlarıyla, yani bu koşullar ve Okul'un okul hesabındaki ayarlarıyla işleriz; kanunun aksini gerektirdiği hâller saklıdır (bu durumda kanun yasaklamadıkça Okul'a önceden bildiririz). Bir talimatın kişisel verilerin korunması mevzuatına aykırı olduğunu düşünürsek Okul'u bilgilendiririz.

Okul verilerine yalnız ihtiyacı olan çalışanlarımız erişebilir ve bu kişiler sır saklama yükümlülüğü altındadır. Çalışanların kişisel verilere her erişimi kayıt altına alınır. KVKK m. 12/4 uyarınca öğrendiğimiz kişisel verileri kanuna aykırı olarak başkasına açıklamayız ve işleme amacı dışında kullanmayız; bu yükümlülük görevden ayrılmadan sonra da sürer.

Ek'teki teknik ve idari tedbirleri, riske uygun olarak uygularız. KVKK m. 12/2 uyarınca bu tedbirlerin alınmasından Okul ile birlikte müştereken sorumluyuz. Tedbirleri zaman içinde geliştirebiliriz, ancak genel koruma düzeyini düşürmeyiz.

Okul, alt işleyenler sayfamızda listelenen alt işleyenleri kullanmamıza genel olarak izin verir. Bir alt işleyen eklemeden ya da değiştirmeden en az 30 gün önce Okul'a e-posta göndeririz. Okul, kişisel verilerin korunmasına ilişkin makul gerekçelerle itiraz edebilir; itirazı karşılayamazsak Okul okul hesabını sona erdirebilir. Her alt işleyeni bu koşullara eşdeğer yükümlülüklerle bağlarız ve onun işlemlerinden sorumlu olmaya devam ederiz.

Okul verileri AB'de barındırılır. Bu durum Türkiye'deki okullar bakımından yurt dışına aktarım niteliğindedir ve KVKK m. 9'a uygun olarak, yeterlilik kararı bulunmadığı sürece Kişisel Verileri Koruma Kurumu'na bildirilen standart sözleşme ile yapılır. Bir alt işleyen verileri AB/AEA, Birleşik Krallık ya da Türkiye dışında işlerse yeterlilik kararı (uygun olduğunda AB–ABD Veri Gizliliği Çerçevesi dâhil) ya da Standart Sözleşme Hükümleri ve KVKK m. 9 güvenceleri kullanılır.

İşlemenin niteliğini dikkate alarak, personelin KVKK m. 11 ve GDPR kapsamındaki başvurularını yanıtlamada, veri koruma etki değerlendirmelerinde ve makamlarla yapılacak görüşmelerde Okul'a yardımcı oluruz. Okul verileriyle ilgili bir başvuru doğrudan bize gelirse bunu Okul'a iletiriz.

Okul verilerini etkileyen bir ihlali öğrendiğimizde Okul'a gecikmeksizin ve her hâlde 72 saat içinde bildiririz. Bildirim, bilindiği ölçüde ne olduğunu, ilgili veri ve kişileri, muhtemel sonuçları, alınan ya da önerilen tedbirleri ve bir irtibat kişisini içerir. Yeni bilgiler oldukça ekleriz ve Okul'un KVKK m. 12/5 kapsamında Kurul'a ve ilgili kişilere bildirim yükümlülüğünü yerine getirmesine yardım ederiz.

Okul hesabı sona erdiğinde, Okul önceden bir kopya istemedikçe ya da kanun bir verinin saklanmasını gerektirmedikçe, Okul'un kurum, sınıf, sınıf kodu ve personel görevlendirme kayıtlarını 30 gün içinde sileriz. Yedekler 30 gün içinde üzerine yazılarak kalkar. Öğrencilerin sınıflarla bağlantısı sona erer; aileler kendi Earbunny hesaplarını ve verilerini korur, bunlar etkilenmez.

Bu koşullara uyumu göstermek için gereken bilgileri sağlarız. Okul, yılda bir kez ya da bir ihlalden sonra, en az 30 gün önceden bildirmek, masrafı kendisine ait olmak ve gizlilik içinde yürütülmek kaydıyla uyumumuzu denetleyebilir. Önce belge, soru formu ya da raporlarla yanıt verebiliriz; bunlar yeterli değilse yerinde denetim yapılabilir.

Tarafların bu koşullardan doğan sorumluluğu, kanunun sınırlamaya izin vermediği hâller saklı kalmak üzere, okul hesabının sağlandığı sözleşmeye tabidir.

Bu koşullara, Okul'a uygulanan emredici hukuk (örneğin ülkesinin kamu hukuku ya da kişisel verilerin korunması mevzuatı) aksini gerektirmedikçe Omnibus, Ltd.'nin kayıtlı olduğu ülkenin hukuku uygulanır. Türkiye'deki okullar bakımından KVKK hükümleri her durumda saklıdır.

• Aktarım sırasında (TLS) ve depolamada, yedekler dâhil şifreleme.
• AB'de barındırma; şifreli yedekler 30 gün saklanır.
• Her istekte denetlenen tek bir erişim kuralı; okul personeli yalnız kendi sınıflarının anonim raporlarını, sınıf kodlarını ise yalnız okul yöneticileri görür.
• 10'dan az öğrencinin verisi olduğunda rapor engellenir; raporlarda isim ya da kimlik bilgisi bulunmaz.
• Kısa ömürlü oturumlar; giriş, e-postayla gönderilen bir kodla tamamlanır; giriş ve kodlar için istek sınırı ve bot koruması.
• Yönetici hesaplarımızda iki adımlı doğrulama; çalışanların kişisel verilere her erişimi kayıt altında.
• Giriş ve eşleştirme kodları canlı ortam kayıtlarına yazılmaz; hata raporlarında anlamsız bir kimlik dışında kişisel veri yoktur.
• Canlı ve test ortamlarının ayrılması; erişimin bilmesi gereken ilkesine göre verilmesi.
• 11. bölümdeki ihlal bildirimini içeren olay müdahale süreci.

Bu koşullarla ilgili sorular ya da imzalı bir nüsha için: schools [at] earbunny.app. Ayrıntılar güvenlik sayfamızdadır.