Gizlilik Politikası | Morpheo Akademi

1. Giriş ve Veri Sorumlusu

Morpheo Akademi olarak kullanıcılarımızın kişisel verilerinin gizliliği ve güvenliği en temel önceliklerimizdendir. İşbu Gizlilik Politikası; Platform'u ziyaret ettiğinizde, üye olduğunuzda, hizmet satın aldığınızda ya da Platform ile başka bir şekilde etkileşime geçtiğinizde toplanan kişisel verilerin neler olduğunu, hangi amaçlarla ve hangi hukuki sebeplere dayanılarak işlendiğini, kimlere aktarıldığını, ne kadar süreyle saklandığını ve haklarınızı nasıl kullanabileceğinizi açıklamaktadır.

İşbu Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR"), Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Türk Borçlar Kanunu ve ilgili ikincil düzenlemeler kapsamında hazırlanmıştır.

Veri Sorumlusu:

Ticari Unvan: [ŞİRKET UNVANI]
VKN / TCKN: [VKN / TCKN]
Vergi Dairesi: [VERGİ DAİRESİ]
MERSIS No: [MERSIS NO]
Kayıtlı Adres: [KAYITLI ADRES, BURSA]
Telefon: [TELEFON]
KEP Adresi: [KEP ADRESİ]
E-posta: [İLETİŞİM E-POSTA]

2. Topladığımız Kişisel Veri Kategorileri

Platform üzerinden aşağıdaki kişisel veri kategorileri işlenebilir. Hangi verilerin işleneceği, Kullanıcı'nın hangi hizmetten yararlandığına ve Platform ile etkileşiminin niteliğine göre değişiklik gösterir:

Kimlik Verileri: Ad, soyad, kullanıcı adı, profil fotoğrafı, doğum tarihi (isteğe bağlı), cinsiyet (isteğe bağlı).
İletişim Verileri: E-posta adresi, telefon numarası, (varsa) fatura adresi ve şehir/ülke bilgisi.
Müşteri/İşlem Verileri: Satın alma geçmişi, sipariş numarası, fatura bilgileri, kupon kullanımları, iade/iptal kayıtları.
Ödeme Meta Verileri: [Ödeme Hizmet Sağlayıcısı] tarafından iletilen sipariş kimliği, son dört hanesi maskelenmiş kart bilgisi, ödeme durumu ve para birimi.Morpheo Akademi, tam kart numarası, CVV veya son kullanım tarihi gibi hassas ödeme verilerine asla erişmez, bunları saklamaz ve işlemez.
Eğitim ve Kullanım Verileri: Kayıtlı olunan kurslar, izleme ilerlemesi, izleme süreleri, izlenen derslerin yüzdesi, quiz/sınav sonuçları, soru-cevap ve ödev verileri, sertifika kayıtları.
Teknik Veriler: IP adresi, tarayıcı tipi ve sürümü, işletim sistemi, cihaz türü, ekran çözünürlüğü, dil ayarı, saat dilimi, ziyaret zamanları, yönlendiren URL.
Çerez ve Benzer Teknoloji Verileri: Oturum çerezleri, kimlik doğrulama çerezleri, analitik çerezleri (PostHog), reklam ve pazarlama çerezleri (açık rıza halinde). Detaylı bilgi için Çerez Politikası.
Müşteri Hizmetleri Verileri: Destek talepleri, e-posta yazışmaları, sesli aramalara ilişkin kayıtlar (önceden bildirilmek kaydıyla).
Pazarlama Verileri: Açık rıza verdiğiniz takdirde pazarlama iletişimi tercihleri, kampanya yanıtları, anket cevapları.

3. Kişisel Verilerin Toplanma Yöntemleri

Kişisel verilerinizi aşağıdaki kanallar aracılığıyla topluyoruz:

Platform üzerinde doldurduğunuz kayıt, profil ve satın alma formları;
Google, LinkedIn gibi üçüncü taraf OAuth sağlayıcıları;
[Ödeme Hizmet Sağlayıcısı] üzerinden gerçekleştirdiğiniz ödeme işlemi (yalnızca meta veri olarak);
Çerezler ve benzeri izleme teknolojileri;
E-posta, WhatsApp, destek kanalları üzerinden yaptığınız iletişim;
Platform'un kullanımı sırasında oluşan loglar ve kayıtlar.

4. İşleme Amaçları ve Hukuki Sebepler

Kişisel verileriniz, KVKK md. 5 ve md. 6 ile GDPR art. 6 ve art. 9'da belirtilen hukuki sebeplere dayanılarak aşağıdaki amaçlarla işlenmektedir:

Amaç	Hukuki Sebep
Hesap oluşturma, kimlik doğrulama, Platform erişimi sağlama	Sözleşmenin ifası (KVKK 5/2-c; GDPR 6/1-b)
Eğitim içeriklerinin sunulması ve ilerleme takibi	Sözleşmenin ifası (KVKK 5/2-c; GDPR 6/1-b)
Sipariş işleme, fatura düzenleme ve saklama	Kanuni yükümlülük (KVKK 5/2-ç; GDPR 6/1-c) — VUK, TTK, ETK
Dolandırıcılık önleme, chargeback ve suistimal tespiti	Meşru menfaat (KVKK 5/2-f; GDPR 6/1-f)
Müşteri hizmetleri ve destek taleplerinin yanıtlanması	Sözleşmenin ifası / Meşru menfaat
Platform güvenliği, log tutma, saldırı ve istismar tespiti	Meşru menfaat / Kanuni yükümlülük
Ürün analitiği, kullanıcı deneyimi iyileştirme	Açık rıza (KVKK 5/1; GDPR 6/1-a)
Pazarlama iletişimleri, bülten ve kampanya bildirimleri	Açık rıza (KVKK 5/1; ETK 6; GDPR 6/1-a)
Yasal yükümlülüklerin yerine getirilmesi ve resmi makamlara bilgi sunulması	Kanuni yükümlülük (KVKK 5/2-ç; GDPR 6/1-c)

5. Kişisel Verilerin Aktarıldığı Taraflar

Kişisel verileriniz, yukarıdaki amaçlarla sınırlı ve orantılı olmak kaydıyla aşağıdaki taraflara aktarılabilir:

[ÖDEME HİZMET SAĞLAYICISI] (Birleşik Krallık): Merchant of Record ve ödeme altyapı sağlayıcısı. Ödeme, fatura, vergi ve iade işlemleri için gerekli olan kimlik, iletişim ve işlem verileri aktarılır.
Bunny CDN (BunnyWay d.o.o., Slovenya): Video barındırma, kodlama ve global içerik teslimi için kullanıcı IP adresi, oturum ve teknik veriler aktarılır.
Supabase (Supabase Inc., ABD / AB): Kimlik doğrulama, veritabanı ve dosya depolama altyapısı olarak kişisel verilerin büyük çoğunluğunun tutulduğu hizmet sağlayıcısı.
PostHog (ABD / AB): Ürün analitiği; açık rıza verilmesi halinde anonimleştirilmiş veya takma adlı kullanım verileri aktarılır.
SMTP E-posta Sağlayıcıları: İşlemsel ve pazarlama e-postalarının iletilmesi için ad, soyad ve e-posta adresi aktarılır.
Google / LinkedIn / OAuth Sağlayıcıları: Kullanıcının tercih ettiği kimlik doğrulama yöntemine göre, ilgili hesabın temel profil bilgileri.
Yasal Merciler: Mahkeme kararı, savcılık kararı veya kanunen zorunlu hallerde ilgili kamu kurum ve kuruluşlarına.
Mali Müşavir, Hukuk Danışmanları, Denetim Şirketleri: Yasal yükümlülüklerin yerine getirilmesi ve savunma hakkının kullanılması amacıyla gerekli olduğu ölçüde.

6. Yurt Dışına Aktarım

Yukarıda belirtilen [Ödeme Hizmet Sağlayıcısı], Supabase, Bunny CDN, PostHog, e-posta altyapı sağlayıcıları ve OAuth sağlayıcıları gibi bazı veri işleyenler, sunucularını Türkiye dışında (başlıca Avrupa Birliği, Birleşik Krallık ve Amerika Birleşik Devletleri) bulundurmaktadır. Bu sebeple kişisel verileriniz KVKK md. 9 kapsamında yurt dışına aktarılabilir.

Yurt dışı aktarımlar, Kişisel Verileri Koruma Kurulu'nun belirlediği standart sözleşme maddeleri, taahhütnameler veya açık rıza gibi uygun aktarım mekanizmaları temelinde gerçekleştirilir. [Ödeme Hizmet Sağlayıcısı] ile yapılan sözleşme, GDPR uyumu için standart sözleşmesel hükümleri (SCC) içermektedir.

7. Saklama Süreleri

Hesap verileri: Hesap aktif olduğu süre boyunca ve Hesap kapandıktan sonra uyuşmazlık/itiraz süreleri için 3 yıl daha.
Sipariş, fatura ve ödeme kayıtları: Vergi Usul Kanunu md. 253 ve Türk Ticaret Kanunu md. 82 uyarınca 10 yıl.
Erişim/güvenlik logları: 5651 sayılı Kanun kapsamında en az 6 ay ve en fazla 2 yıl.
Destek yazışmaları: İlgili talebin kapanmasından itibaren 3 yıl.
Pazarlama izinleri: Açık rıza geri çekilinceye kadar.
Çerez verileri: Çerez Politikası'nda belirtilen sürelere göre.

Saklama süreleri dolan kişisel veriler KVKK md. 7 uyarınca silinir, yok edilir veya anonimleştirilir.

8. Veri Güvenliği Tedbirleri

Kişisel verilerinizin hukuka aykırı olarak işlenmesini, erişilmesini, ifşa edilmesini, değiştirilmesini veya silinmesini önlemek amacıyla Morpheo Akademi endüstri standartlarında aşağıdaki teknik ve idari tedbirleri uygular:

Tüm veri aktarımlarında TLS 1.2+ (HTTPS) şifreleme;
Hassas alanlarda uçtan uca (at-rest) şifreleme;
Veritabanında satır bazlı erişim kontrolü (Row Level Security);
Rol tabanlı erişim yetkilendirmesi (öğrenci/eğitmen/admin);
Parola karma (hash) algoritmaları (bcrypt/argon2 sınıfı);
İki faktörlü kimlik doğrulama (2FA) desteği;
IP/oturum bazlı hız sınırlaması (rate limiting);
Düzenli sızma testleri, güvenlik açığı taramaları, log inceleme;
Çalışanlar için KVKK/GDPR farkındalık eğitimleri ve gizlilik taahhütnameleri;
Olay müdahale planı (Incident Response Plan).

9. İlgili Kişi Hakları (KVKK md. 11 / GDPR md. 15–22)

KVKK ve GDPR kapsamında kişisel verilerinizle ilgili olarak:

Kişisel verilerinizin işlenip işlenmediğini öğrenme,
İşlenmişse buna ilişkin bilgi talep etme,
İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
Eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme,
KVKK md. 7'de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
Düzeltme, silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
Otomatik sistemlerce analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
Hukuka aykırı işlenme sonucu zarara uğramanız halinde zararın giderilmesini talep etme,
GDPR kapsamındaki ek haklar: Taşınabilirlik (md. 20), işlemeye itiraz (md. 21), rızanın geri çekilmesi (md. 7).

Haklarınızı kullanmak için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak [İLETİŞİM E-POSTA] adresine ya da [KEP ADRESİ] kayıtlı elektronik posta adresine başvurabilirsiniz. Başvurunuz en geç 30 (otuz) gün içinde yanıtlanacaktır.

Şikayetinizin yanıtını yetersiz bulmanız halinde Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) başvuru hakkınız saklıdır.

10. Çocukların Gizliliği

Platform 18 yaşından büyük kullanıcılara yönelik olarak tasarlanmıştır. 18 yaşından küçük kişilerin velisinin açık ve yazılı rızası olmaksızın Platform'u kullanmamaları gerekir. Bu durumun tespit edilmesi halinde ilgili hesap kapatılır ve toplanan veriler silinir.

11. Politika Değişiklikleri

Bu Gizlilik Politikası, mevzuat değişiklikleri veya Platform'un özelliklerindeki güncellemeler nedeniyle zaman zaman revize edilebilir. Güncel versiyon her zaman bu sayfada yayınlanır; önemli değişiklikler e-posta yoluyla bildirilir.

12. İletişim

Kişisel verilerinize ilişkin her türlü talep, soru ve şikayetinizi yukarıda belirtilen iletişim kanalları aracılığıyla Morpheo Akademi'ye iletebilirsiniz.