Gizlilik ve aydınlatma metni

1. Kapsam

Bu metin, Cohie'de (cohie.app) hesabını ve platformu kullanırken işlenen kişisel verileri anlatır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesindeki aydınlatma yükümlülüğü için hazırlanmıştır.

Bir kurumun programına başvurduğunda ya da bir programda görev aldığında, o programdaki verilerin sorumlusu programı yürüten kurumdur. Kurumun aydınlatma metni programın sayfasında ve başvuru formunda yer alır.

2. Veri sorumlusu

Hesap verilerinin veri sorumlusu Fauna Venture Studio'dur (Fauna). Ticari unvan, adres, MERSİS ve KEP bilgileri bu sayfanın sonundadır. KVKK başvuruları için e-posta adresi: kvkk@fauna-studio.com

Aynı kişi için iki ayrı kayıt bulunabilir:

• Hesap kaydı: Cohie'ye giriş yapabilmen için açılır. Sorumlusu Fauna'dır; bu metin bu kaydı anlatır.
• Program verisi: Bir programa başvurduğunda ya da jüri, mentor, eğitmen veya girişim üyesi olarak katıldığında oluşur. Form yanıtları, yüklenen dosyalar, puanlar, teslimler, yoklama ve mazeretler, mezun izleme anketi ve alumni rehberi üyeliği bu gruptadır. Sorumlusu programı yürüten kurumdur. Fauna bu veriyi yalnızca kurumun talimatıyla, veri işleyen olarak işler.

3. İşlenen kişisel veriler

• Hesap: ad soyad, e-posta adresi, parolanın özeti (parolanın kendisi saklanmaz), e-posta doğrulama durumu
• Profil (isteğe bağlı): unvan, kurum, telefon, LinkedIn bağlantısı, biyografi
• Topluluk içeriği: yazdığın gönderi ve yorumlar
• Tercihler: dil, tema, bildirim ve e-posta tercihleri
• Giriş ve güvenlik: oturum kayıtları (oturumun açıldığı adres ve giriş yolu dahil), IP adresi, tarayıcı bilgisi, giriş denemeleri
• İki adımlı doğrulama (açarsan): doğrulama uygulamanın şifreli olarak saklanan sırrı ve kurtarma kodların
• Şifresiz giriş (kullanırsan): e-posta giriş bağlantısının özeti ve geçerlilik süresi (15 dakika); eklediğin passkey'lerin adı, açık anahtarı, eklendiği ve son kullanıldığı tarih. Parmak izi, yüz ya da PIN bilgin cihazından çıkmaz, Cohie'ye gelmez
• Kurumsal giriş (kullanırsan): kurumunun kimlik sağlayıcısındaki kullanıcı kimliğin ve e-posta adresin
• Statü doğrulaması (kurumun açtıysa): doğrulanan kurum e-posta adresin ve doğrulama tarihi
• Takvim aboneliği (kullanırsan): takvim uygulamana eklediğin kişisel abonelik bağlantısı
• İletişim kayıtları: sana gönderilen e-postaların alıcı, konu ve gönderim durumu bilgisi; uygulama içi bildirimler
• Sözleşme onayı: kurum adına Kullanım koşullarını ve Veri İşleme Sözleşmesi'ni kabul ettiysen kabul zamanı, metinlerin sürümü ve IP adresin
• Denetim kaydı: kurum yönetiminde yapılan önemli bir işlemin kim tarafından, ne zaman ve hangi IP adresinden yapıldığı

Giriş yapmadan da sınırlı veri işlenir: bot koruması sırasında IP adresin ve tarayıcı sinyallerin, program asistanına giriş yapmadan soru sorarsan seni tanıyan rastgele bir değerin özeti (madde 6).

Profilin ve topluluk içeriğin, katıldığın programların ekiplerine ve programın rehberi açıksa diğer katılımcılara görünebilir. Hangi bilginin kimlere göründüğü, kurumunun adresindeki Hesabım sayfasında yazar.

4. Toplama yöntemi

Veriler, Cohie'deki formlar ve ekranlar aracılığıyla elektronik ortamda doğrudan senden toplanır. Giriş, güvenlik ve iletişim kayıtları platformu kullanırken otomatik olarak oluşur. Kurumsal giriş kullanırsan kullanıcı kimliğin ve e-posta adresin kurumunun kimlik sağlayıcısından gelir.

5. İşleme amaçları ve hukuki sebepler

• Hesabının açılması, girişin sağlanması ve hizmetin sunulması: hesap, profil, tercih ve topluluk verileri; iki adımlı doğrulama, şifresiz giriş, kurumsal giriş, statü doğrulaması ve takvim aboneliği verileri. Hukuki sebep: sözleşmenin kurulması ve ifası (KVKK m.5/2-c).
• Hizmetle ilgili e-posta ve bildirim gönderilmesi: hesap verileri, tercihler ve iletişim kayıtları. Hukuki sebep: sözleşmenin ifası (KVKK m.5/2-c).
• Bilgi güvenliğinin sağlanması, kötüye kullanımın ve yetkisiz erişimin önlenmesi: giriş ve güvenlik kayıtları, bot koruması verileri, denetim kaydı. Hukuki sebep: temel hak ve özgürlüklerine zarar vermemek kaydıyla Fauna'nın meşru menfaati (KVKK m.5/2-f).
• Kanundan doğan kayıt tutma yükümlülüklerinin yerine getirilmesi ve yetkili kamu kurumlarının taleplerinin karşılanması: giriş ve güvenlik kayıtları. Hukuki sebep: hukuki yükümlülük (KVKK m.5/2-ç), başta 5651 sayılı Kanun.
• KVKK başvurularının yanıtlanması: başvuruda verdiğin bilgiler. Hukuki sebep: hukuki yükümlülük (KVKK m.5/2-ç ve m.13).
• Kurum adına yapılan sözleşme onayının ispatı ve olası uyuşmazlıklarda hakların korunması: sözleşme onayı ve denetim kaydı. Hukuki sebep: bir hakkın tesisi, kullanılması veya korunması (KVKK m.5/2-e).

Hesap verilerin reklam için kullanılmaz, satılmaz ve profil çıkarmak için işlenmez.

6. Çerezler ve tarayıcı depolaması

Cohie yalnızca hizmetin çalışması için gereken çerezleri kullanır. Analitik, reklam ya da üçüncü taraf izleme çerezi yoktur.

Kök alan adının herkese açık sayfalarında (tanıtım sayfası, açık çağrılar, yardım ve yasal sayfalar gibi) ziyaret sayısını ölçmek için Cloudflare Web Analytics çalışır. Çerez kullanmaz, tarayıcında tanımlayıcı saklamaz ve seni ziyaretler arasında tanımaz. Cloudflare'e açtığın sayfanın adresi, geldiğin sayfa, tarayıcı ve cihaz türü, sayfanın yüklenme süresi ve IP adresinden çıkarılan ülke gider. Giriş sayfasında, panellerde ve kurumların adreslerinde çalışmaz. Hukuki sebep: hizmetin geliştirilmesinde Fauna'nın meşru menfaati (KVKK m.5/2-f).

• cohie_oturum (üretimde __Host-cohie_oturum): giriş oturumu. HttpOnly, SameSite=Lax, en fazla 30 gün; 14 gün hareketsizlikte biter. Yalnızca açıldığı adreste geçer: her kurumun alt alan adında ayrı oturum açılır, bir kurumun adresindeki oturum başka kurumda kullanılamaz.
• cohie_dil: dil tercihi (tr ya da en), 1 yıl. Kök alan adının bütün alt alanlarında geçerlidir.
• cohie_tema: açık, koyu ya da sistem teması, 1 yıl.
• cohie_giris_tarayici (üretimde __Host-cohie_giris_tarayici): e-posta giriş bağlantısını isteyen tarayıcıyı tanıyan rastgele değer. HttpOnly, 15 dakika; bağlantıyı aynı tarayıcıda açınca kod sorulmaz.
• cohie_iki_adim (üretimde __Host-cohie_iki_adim): parolanı doğruladıktan sonra iki adımlı doğrulama kodunu beklerken tutulan tek kullanımlık değer. HttpOnly, 10 dakika; kod doğrulanınca silinir.
• cohie_oidc (üretimde __Host-cohie_oidc): kurumsal girişte kurumunun kimlik sağlayıcısına gidip dönerken isteği eşleştiren tek kullanımlık değer. HttpOnly, 10 dakika.
• cohie_asistan (üretimde __Host-cohie_asistan): giriş yapmadan program asistanına soru soran ziyaretçiyi tanıyan rastgele değer. HttpOnly, 30 gün; veritabanında yalnızca özeti durur.

Bazı ekranlar tarayıcının kendi depolamasını kullanır. Bu kayıtlar tarayıcında kalır:

• cohie_kayit_taslagi: kurum kaydı formunu yarıda bırakırsan girdiğin kurum adı, türü ve adresi, 1 saat
• Jüri değerlendirme ekranındaki görünüm tercihleri ve tanıtım sayfasındaki animasyonun durumu
• cohie_uyelik_karti ve cohie_cerez_bildirimi: tanıtım sayfalarındaki üyelik penceresinin gösterildiği ya da kapatıldığı tarih ve çerez bilgilendirmesini kapattığın tarih; yeniden gösterilmemeleri için, en fazla 180 gün

Giriş yapmadan gönderilebilen formlarda bot koruması için Cloudflare Turnstile çalışır: kayıt, giriş, parola sıfırlama, program başvurusu, etkinlik kaydı ve oylaması, davet kabulü, kişisel veri talebi, satış talebi, çağrı takibi ve program asistanı. Doğrulama sırasında IP adresin ve tarayıcı sinyallerin Cloudflare'e gider. Turnstile'ın kendi tanımlayıcıları Cloudflare'in gizlilik politikasına tabidir.

7. Aktarım

Yurt içinde:

• Bir programa başvurduğunda ya da programda görev aldığında verin, programı yürüten kuruma ve programda görevli jüri, mentor, eğitmen ve ekip üyelerine görünür. Bu aktarımı kurumun aydınlatma metni anlatır.
• Kanunun gerektirdiği hâllerde verin yetkili kamu kurum ve kuruluşlarına verilir.

Bunların dışında verin üçüncü kişilerle paylaşılmaz.

Hizmet sağlayıcılar (alt işleyenler):

• Cloudflare, Inc. (merkezi ABD): barındırma, veritabanı, dosya depolama, bot koruması ve herkese açık sayfalarda çerezsiz ziyaret ölçümü
• Resend, Inc. (merkezi ABD): işlemsel e-posta gönderimi
• Anthropic, PBC (merkezi ABD): yapay zekâ özellikleri. Yalnızca Kurumsal planda ve kurum bu özellikleri açtıysa devreye girer; kişisel alanlar gönderilmez

Kurumun bağladığı servisler: Bir kurum kendi e-posta altyapısını ya da kimlik sağlayıcısını bağladıysa, ilgili veri o servise gider. Bir kurum sayfasına YouTube ya da Vimeo videosu eklediyse, video yalnızca sen "Videoyu oynat"a bastığında yüklenir. Çerezsiz gömme adresleri kullanılır; oynatmadan önce sağlayıcıya hiçbir istek gitmez. Oynatınca IP adresin ve tarayıcı bilgin sağlayıcıya gider.

Her hizmet sağlayıcının ve servisin işlediği veri Alt işleyenler sayfasında yazar.

8. Yurt dışına aktarım

Hizmet sağlayıcılar Türkiye dışındadır; bu nedenle verin yurt dışına aktarılır. Veritabanı Cloudflare'in Avrupa Birliği'ndeki altyapısında durur. Dosyalar Cloudflare'in Avrupa'da oluşturulmuş deposunda, e-postalar Resend'in ABD dahil altyapısında işlenir.

Aktarım KVKK m.9'daki kurallara göre yapılır. Her alıcının merkezi, verinin konumu ve aktarılan veri Alt işleyenler sayfasında yazar.

9. Saklama süreleri

• Hesap verileri: hesabın açık kaldığı sürece. Hesabını, kurumunun adresindeki Hesabım sayfasından ya da kvkk@fauna-studio.com adresine yazarak silebilirsin.
• Oturum kayıtları: oturum sona erince silinir (en fazla 30 gün).
• Giriş denemeleri: 12 ay.
• Bildirimler ve tercihler: hesabın silinene kadar.
• E-posta gönderim kayıtları ve denetim kaydı: kurumun KVKK ekranında belirlediği süre (e-posta kayıtları için 1-60 ay, denetim kaydı için 12-120 ay). Kurum süre belirlemediyse kurum hesabı silinene kadar.
• Program asistanı konuşmaları: giriş yapmadan yazılan konuşma 30 gün; giriş yaparak yazılan konuşma sen silene kadar.
• Yedekler: şifreli veritabanı yedekleri haftalık alınır ve en çok 90 gün tutulur. Silinen veri yedeklerden de bu sürenin sonunda çıkar.

Hesabını sildiğinde adın, e-posta adresin, profil bilgilerin, tercihlerin ve bildirimlerin silinir; oturumların kapanır; iki adımlı doğrulama, passkey, kurumsal giriş ve takvim bağlantıların silinir. E-posta kayıtlarında adresin, denetim kaydında ve sözleşme onaylarında IP adresin silinir. Programlarda gönderdiğin başvuru, puan, mesaj ve içerik "Silinmiş kullanıcı" adıyla kalır; bunların süresini programı yürüten kurum belirler.

Süre dolunca veriler silinir ya da anonim hâle getirilir.

10. Hakların

KVKK m.11 uyarınca Fauna'ya başvurarak şunları isteyebilirsin:

• Kişisel verinin işlenip işlenmediğini öğrenmek
• İşlenmişse buna ilişkin bilgi istemek
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek
• Yurt içinde ya da yurt dışında verinin aktarıldığı üçüncü kişileri bilmek
• Eksik ya da yanlış işlenmişse düzeltilmesini istemek
• KVKK m.7'deki şartlar çerçevesinde silinmesini ya da yok edilmesini istemek
• Düzeltme ve silme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini istemek
• İşlenen verinin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etmek
• Kanuna aykırı işlenmesi yüzünden zarar görürsen zararın giderilmesini istemek

Verinin bir kopyasını kurumunun adresindeki Hesabım sayfasından indirebilir ya da kvkk@fauna-studio.com adresinden isteyebilirsin.

11. Başvuru yolu

• E-posta: hesabında kayıtlı e-posta adresinden kvkk@fauna-studio.com adresine yaz.
• KEP: bu sayfanın sonundaki KEP adresine KEP ile gönder.
• Posta ya da elden: ıslak imzalı dilekçeni bu sayfanın sonundaki adrese gönder.

Başvurunda adın soyadın, Türk vatandaşıysan T.C. kimlik numaran, değilsen uyruğun ve pasaport ya da kimlik numaran, yazışma adresin, e-posta adresin ya da telefonun ve talebinin konusu yer almalı. Yazılı başvuruda imzan da gerekir. Kimliğini doğrulamak için ek bilgi isteyebiliriz.

Başvurunu en geç 30 gün içinde ücretsiz yanıtlarız. Yanıt 10 sayfayı aşarsa her ek sayfa için 1 TL, yanıtı CD ya da USB bellek gibi bir kayıt ortamında istersen o ortamın maliyeti kadar ücret alınabilir.

Program verisiyle ilgili taleplerde önce programı yürüten kuruma başvur. Kurumun KVKK e-postası ve kişisel veri talebi formu programın sayfasında yer alır. Talebi bize yazarsan kuruma iletiriz.

12. Kurul'a şikayet

Başvurun reddedilirse, yanıtı yetersiz bulursan ya da 30 gün içinde yanıt alamazsan Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsin. Şikayet süresi, yanıtı öğrendiğin tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gündür (KVKK m.14).