KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ

Bu Aydınlatma Metni, OracyAI yapay zeka destekli yabancı dil konuşma, telaffuz ve eğitim hizmetinin sunulması sırasında öğrenci, öğretmen, veli ve yönetici kullanıcılarına ait kişisel verilerin işlenmesi hakkında bilgi vermek amacıyla hazırlanmıştır. Öğrenci ergin değilse veli veya yasal temsilci, metni öğrenci adına okuyup değerlendirmelidir.

1. Veri Sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri sorumlusu Rhety Eğitim Teknolojisi Anonim Şirketi’dir (“Rhety”).

2. İşlenen Kişisel Veriler

OracyAI hizmetinin kullanım şekline ve kullanıcı rolüne göre aşağıdaki kişisel veriler işlenebilir:

Kimlik ve hesap verileri: ad, soyad, elektronik posta adresi, doğum tarihi, şifrelenmiş parola, kullanıcı rolü bilgileri (öğrenci, öğretmen, veli veya yönetici), tüketici veya velinin telefon numarası.

Okul ve sınıf verileri: okul ve kampüs, sınıf ve sınıf düzeyi, öğretmen ataması ile öğretmen ad- soyad bilgileri, öğrenci–veli eşleşmesi.

Ses ve konuşma verileri: konuşma ve telaffuz çalışmaları, kelime alıştırmaları ve sesli sohbet oturumlarına ait ham ses kayıtları; ses kayıtlarının yazıya dökülmüş hali; konuşma turları ve sohbet geçmişi.

Yapay zeka değerlendirme çıktıları: telaffuz ve fonem analizi sonuçları; akıcılık ve konuşma temposu ölçümleri; CEFR dil seviyesi tahmini; kelime dağarcığı ölçümleri; yapay zekâ tarafından oluşturulan puanlar, yazılı geri bildirimler ve raporlar.

Kullanım ve ilerleme verileri: kullanılan alıştırma, tarih ve süre bilgileri; ödev ve görev tamamlama durumu; ilerleme ve haftalık tamamlanma istatistikleri; öğretmen notları ve geri bildirimleri.

İşlem güvenliği ve teknik veriler: IP adresi, tarayıcı ve cihaz bilgileri, giriş ve çıkış zamanları, işlem güvenliği ve denetim kayıtları ile teknik hata kayıtları.

Onay kayıtları: onayın verildiği veya geri çekildiği tarih, IP adresi ve kabul edilen metin sürümü.

Hukuki işlem verileri: uyuşmazlık, başvuru, ihtar, dava veya icra süreçlerine ilişkin bilgi ve belgeler.

OracyAI, ses kayıtlarını bir kişiyi benzersiz biçimde tanımlamak veya kimlik doğrulamak amacıyla kullanmaz. Ses kaydı bu amaçla özel teknik yöntemlerle işlenmediği sürece biyometrik veri olarak işlenmez.

3. İşleme Amaçları ve Hukuki Sebepler

Kişisel veriler, aşağıdaki amaç ve hukuki sebepler kapsamında işlenir. Kanunda öngörülen bir işleme şartına dayanan faaliyetler açık rıza alınmaksızın yürütülür. Açık rıza yalnızca isteğe bağlı ve ayrı amaçlar bakımından talep edilir.

Yapay zekâ tarafından üretilen seviye, puan ve geri bildirimler tahmini niteliktedir; tek başına resmi sınav sonucu veya kesin dil seviyesi belgesi değildir. Kullanıcı hakkında önemli bir eğitim kararı alınacaksa sonuç yetkili öğretmen veya yönetici tarafından ayrıca değerlendirilir.

4. Kişisel Verilerin Toplanma Yöntemi

Kişisel veriler; üyelik ve giriş ekranları, elektronik formlar, kullanıcı hesabı, okul veya kurum tarafından yapılan tanımlamalar, sesli alıştırmalar ve sohbet oturumları, öğretmen ve yönetici girişleri, cihaz ve sunucu kayıtları, destek kanalları ve onay ekranları üzerinden otomatik ya da kısmen otomatik yöntemlerle; gerektiğinde fiziki veya elektronik belgeler aracılığıyla otomatik olmayan yöntemlerle toplanır. Yapay zekâ değerlendirme çıktıları, ses ve konuşma verilerinin analiz edilmesi sonucunda üretilir.

5. Kişisel Verilerin Aktarılması

Kişisel veriler, amaçla bağlantılı, sınırlı ve ölçülü olmak kaydıyla aşağıdaki alıcı gruplarına aktarılabilir:

• Hizmetin sunulması ve eğitim ilerlemesinin izlenmesi için ilgili öğretmen, veli, okul veya kurum yöneticilerine;
• Bulut barındırma ve depolama, konuşmayı yazıya çevirme, sesli ajan, büyük dil modeli, telaffuz değerlendirme, CEFR ve geri bildirim modeli, bilişim, müşteri destek ve hata izleme hizmeti sağlayan tedarikçilere;
• Hukuk, mali müşavirlik, denetim ve bilgi güvenliği hizmeti sunan danışmanlara;
• Kanunen yetkili kamu kurum ve kuruluşları ile yargı mercilerine.

Aktarımlar, KVKK m. 8 ve m. 9’daki şartlara, erişim yetkilerine ve veri güvenliği yükümlülüklerine uygun şekilde gerçekleştirilir.

6. Yurt Dışına Aktarım

OracyAI’ın kullandığı konuşma tanıma, sesli ajan, büyük dil modeli, telaffuz değerlendirme, CEFR ve geri bildirim modeli, bulut depolama ve teknik hata izleme hizmetlerinin yurt dışında bulunması ya da bu hizmetlere yurt dışından erişilmesi halinde kişisel veriler yurt dışına aktarılabilir.

Bu aktarımlar, KVKK m. 9’da öngörülen uygun güvence mekanizmalarından biri sağlanarak gerçekleştirilir. Uygulanabilir aktarım ilişkisine göre Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşme imzalanır ve mevzuatta öngörülen bildirimler yapılır. Düzenli ve süreklilik gösteren bu aktarımlar yalnızca açık rızaya dayandırılmaz. Uygun güvencenin bulunmadığı istisnai bir aktarım bakımından açık rıza talep edilmesi gerekirse, aktarımın alıcısı, ülkesi, amacı ve muhtemel riskleri ayrıca açıklanır ve ayrı açık rıza alınır.

7. Saklama Süreleri

Kişisel veriler; ilgili işleme amacının gerektirdiği süre, kullanıcı hesabının ve okul veya kurum ilişkisinin devamı, kanuni saklama yükümlülükleri ve uygulanabilir zamanaşımı süreleri boyunca saklanır. Sürenin sona ermesiyle veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik ve Rhety’nin saklama ve imha politikası uyarınca silinir, yok edilir veya anonim hale getirilir.

Ham ses kayıtları, transkriptler, sohbet geçmişi, yapay zeka değerlendirme çıktıları, teknik hata kayıtları ve yedekler için belirlenen somut saklama süreleri, OracyAI’ın güncel saklama ve imha planında gösterilir. Hizmet sağlayıcılar, kendilerine aktarılan verileri ilgili hizmetin sunulması ve sözleşmesel yükümlülüklerin yerine getirilmesi için gerekli süreden daha uzun süre saklayamaz.

8. İlgili Kişinin Hakları ve Başvuru

Öğrenci, öğretmen, veli ve yönetici kullanıcılar KVKK’nın 11. maddesi kapsamında; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, şartları oluşmuşsa silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler aracılığıyla analiz edilmesi nedeniyle aleyhe bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraması hâlinde tazminat talep etme haklarına sahiptir.

Başvurular; kimliği ve talebi tevsik eden bilgi ve belgelerle birlikte Rhety’nin yukarıdaki adresine yazılı olarak, rhetyegitim@hs01.kep.tr KEP adresine, güvenli elektronik imza veya mobil imza kullanılarak ya da Rhety sistemlerinde kayıtlı elektronik posta adresi üzerinden consumerrelations@rhety.com adresine iletilebilir. Başvurular, niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarife uygulanabilir.

9. Ergin Olmayan Öğrencilere İlişkin Bilgilendirme

OracyAI hizmetinden ergin olmayan bir öğrenci yararlanıyorsa, hesap ve onay işlemleri veli veya yasal temsilci tarafından yürütülür ya da okul tarafından doğrulanmış veli eşleştirmesi kullanılır. Rhety, öğrenciden yalnızca hizmetin sunulması için gerekli verileri talep eder; öğrenci verilerini veliye yönelik pazarlama faaliyetleriyle birleştirmez ve ergin olmayan öğrenciye ticari elektronik ileti göndermez. Veli veya yasal temsilci, bu metni öğrenciye yaşı ve kavrayış düzeyine uygun biçimde açıklamalıdır.

10. Metnin Sunulması

Bu Aydınlatma Metni, kişisel verilerin elde edilmesi sırasında veya en geç ilk temas anında elektronik ortamda sunulur. Metnin okunması ve sunulduğunun kayda alınması, sözleşmenin ifası için gerekli veri işleme faaliyetleri bakımından açık rıza verildiği anlamına gelmez.