MetuSociety — Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni

1. Veri sorumlusu ve veri işleyen

Bu portal kapsamında işlenen kişisel verilerin veri sorumlusu Orta Doğu Teknik Üniversitesi Kuzey Kıbrıs Kampusu'dur (kesinleşmedi).

Portalı geliştiren ve teknik olarak işleten geliştirici, veri sorumlusu adına ve yalnızca onun talimatları doğrultusunda hareket eden veri işleyendir; kişisel verileri kendi amaçları için kullanamaz, saklayamaz veya başkalarına aktaramaz.

Başvuru adresi: [BAŞVURU E-POSTASI — onay bekliyor].

2. İşlenen kişisel veriler

Yalnızca portalın çalışması için gereken veriler ve sizin ayrıca açık rıza verdiğiniz isteğe bağlı veriler işlenir:

• Kimlik: ad-soyad. (temel)
• İletişim: ODTÜ e-posta adresiniz (@metu.edu.tr / @ncc.metu.edu.tr). (temel)
• Topluluk üyelikleri ve görevler: üye, başkan, başkan yardımcısı, danışman. (temel)
• Etkinlik başvuruları, onay süreçleri ve katılım niyetleri ("Katılacağım" bildiriminiz). (temel)
• Mesajlar: etkinlik yazışmaları ve yönetim kanallarında yazdıklarınız. (temel)
• Bildirimler, bildirim tercihleriniz ve (yalnızca açarsanız) anlık bildirim aboneliği bilgisi.
• İsteğe bağlı profil bilgileri — YALNIZCA açık rızanızla: öğrenci numarası (beyanınıza dayanır, doğrulanmaz), bölüm, sınıf, hakkımda (biyografi) ve profil fotoğrafı. Rıza vermezseniz bu alanlar boş kalır ve doldurulamaz.
• Onay kayıtları: bu metni hangi sürümüyle ne zaman okuduğunuz; hangi rızaları ne zaman verdiğiniz veya geri çektiğiniz; Kullanım Koşulları kabulü.
• İşlem kayıtları: rol değişikliği, başkan/yardımcı/danışman atamaları, onay kararları, üye listesine erişim, dışa aktarma, rıza geri çekme, veri indirme ve hesap silme gibi işlemlerin kim tarafından ne zaman yapıldığı.

Ödeme bilgisi, konum verisi veya davranışsal analiz verisi işlenmez.

3. İşleme amaçları

• Hesabınızı oluşturmak ve ODTÜ mensubu olduğunuzu e-posta alan adıyla doğrulamak.
• Öğrenci topluluklarının kurulmasını, yönetimini ve üniversite tarafından denetimini sağlamak.
• Etkinlik izin zincirini (başkan → danışman → öğrenci işleri) yürütmek ve taraflar arası yazışmayı sağlamak.
• Topluluk yetkililerinin üye listesini tutabilmesi.
• Sizi ilgilendiren gelişmeleri bildirmek.
• Güvenliği sağlamak, kötüye kullanımı önlemek ve yönetim işlemlerinde hesap verebilirliği (işlem kayıtları) sağlamak.
• Öğrenci işleri için yalnızca toplu/sayısal dönem raporları üretmek.

4. Hukuki sebepler

• Hizmetin sunulması için zorunlu olması (temel veriler): ad-soyad, okul e-posta adresi, topluluk üyelikleri ve görevler, etkinlik başvuruları ve onay süreçleri, katılım niyetleri ve yazışmalar. Bu veriler olmadan portal hizmeti sunulamaz.
• Açık rıza (isteğe bağlı profil verileri): öğrenci numarası, bölüm, sınıf, hakkımda ve profil fotoğrafı. Bu verileri vermek zorunda değilsiniz; rızanızı Profil → Gizlilik bölümünden istediğiniz an verebilir veya geri çekebilirsiniz. Geri çektiğinizde bu bilgiler derhal silinir.
• Açık rıza (yurt dışında işleme): verilerinizin Avrupa Birliği'ndeki (Almanya) sunucularda işlenmesi. Portalın altyapısı gereği bu rıza olmadan hizmet sunulamaz (bkz. §6).
• Veri sorumlusunun uyumu ispat yükümlülüğü: onay kayıtları ve işlem kayıtları.

5. Kimler görebilir, kimlerle paylaşılır

• Ad-soyadınız: portala giriş yapmış kullanıcılar.
• Öğrenci numaranız, bölümünüz ve sınıfınız: yalnızca siz, ÜYESİ OLDUĞUNUZ topluluğun başkanı, başkan yardımcıları ve danışmanı ile öğrenci işleri.
• E-posta adresiniz: yalnızca siz ve öğrenci işleri.
• Topluluk üyelikleriniz: üye sayısı ve yönetim kadrosu (başkan, başkan yardımcıları) giriş yapmış kullanıcılara görünür; sıradan üye olduğunuz toplulukların tam üye listesini yalnızca siz, o topluluğun başkanı, başkan yardımcıları ve danışmanı ile öğrenci işleri görür.
• Biyografi ve profil fotoğrafınız: varsayılan olarak gizlidir; görünür yaparsanız giriş yapmış kullanıcılar.
• Yazışmalar: yalnızca ilgili kanalın tarafları (ör. etkinlik yazışmasında topluluk yetkilileri, danışman ve öğrenci işleri).
• Geliştirici (veri işleyen): yalnızca bakım, hata giderme ve güvenlik için, veri sorumlusunun talimatıyla.
• Altyapı sağlayıcıları (alt veri işleyen sıfatıyla): Supabase (veritabanı, kimlik doğrulama ve dosya depolama — Avrupa Birliği / Frankfurt bölgesi) ve Vercel (barındırma ve istek kayıtları).

Verileriniz satılmaz, reklam veya pazarlama amacıyla kullanılmaz ve yasal bir zorunluluk olmadıkça başka üçüncü kişilere aktarılmaz.

6. Yurt dışına aktarım

Veritabanı ve sunucu işlemleri Avrupa Birliği'nde (Frankfurt, Almanya) çalışır; yalnızca statik dosyalar küresel içerik dağıtım ağı üzerinden sunulur. Aktarımlar, sağlayıcıların veri işleme sözleşmeleri ve standart sözleşme maddeleri gibi güvencelere dayanır. [Hukuki değerlendirme bekliyor]

6.1 Hizmet sağlayıcılar (alt işleyenler)

Portalın çalışması için yalnız aşağıdaki hizmet sağlayıcılar (alt işleyenler) kullanılır:

Supabase Inc. — veritabanı, dosya depolama ve kimlik doğrulama. Veriler Avrupa Birliği'nde (Frankfurt, Almanya) işlenir.

Vercel Inc. — barındırma. Sunucu işlemleri Avrupa Birliği'nde (Frankfurt, Almanya) çalışır; statik dosyalar (sayfa görselleri, stil ve betik dosyaları) küresel içerik dağıtım ağı (CDN) üzerinden sunulur.

Bunlar dışında kişisel verileriniz hiçbir üçüncü tarafa aktarılmaz; analitik, reklam veya takip aracı kullanılmaz. Kullanılan çerezler §8'de açıklanmıştır. Anlık (push) bildirimleri açarsanız bildirim içeriği, tarayıcınızın üreticisinin anlık bildirim servisi üzerinden cihazınıza iletilir; içerik uçtan uca şifreli iletilir (Web Push şifrelemesi), bu servis içeriği okuyamaz.

7. Saklama süreleri

• Hesap ve temel veriler: hesabınız açık olduğu sürece.
• İsteğe bağlı profil bilgileri: açık rızanızı geri çektiğiniz anda silinir.
• Hesabınızı sildiğinizde: diğer verileriniz anında anonimleştirilir — profiliniz "Silinmiş Kullanıcı" olur ve diğer alanlar boşaltılır, üyelikleriniz ve katılım niyetleriniz silinir, mesajlarınızın içeriği "[silindi]" ile değiştirilir ve giriş hesabınız kalıcı olarak silinir.
• Bildirimler: hesabınızla birlikte silinir.
• Onay kayıtları: hesabınız silindikten sonra 3 yıl ispat amacıyla kimliksiz olarak saklanır, ardından silinir. Bu kayıtlar yalnızca anonim bir kimlik numarası, metnin/rızanın türü, sürümü ve onay/geri çekme zamanından oluşur; adınız, e-postanız veya başka bir kişisel bilginiz içermez.
• İşlem kayıtları: 1 yıl; süresi dolan kayıtlar silinir.
• Yedekler: altyapı sağlayıcısının yedeklerinde en fazla 30 gün tutulur; bu sürenin sonunda kendiliğinden silinir.

8. Çerezler

Yalnızca oturumunuzu sürdürmek için zorunlu çerezler kullanılır (giriş durumunuzu taşıyan oturum çerezi). Dil seçerseniz tercihiniz bir çerezde, tema tercihiniz ise yalnızca tarayıcınızda saklanır.

Analitik, reklam veya izleme amaçlı çerez ya da araç kullanılmaz; üçüncü taraf hata izleme servisi kapalıdır.

9. Haklarınız

• Kişisel verilerinizin işlenip işlenmediğini öğrenme ve bilgi talep etme.
• Erişim ve kopya alma: Profil → Gizlilik → "Verilerimi indir" (JSON).
• Düzeltme: Profil sayfasından bilgilerinizi güncelleyebilirsiniz.
• Silme: Profil → Gizlilik → "Hesabımı sil".
• İşlemenin kısıtlanmasını isteme ve işlemeye itiraz etme.
• Açık rızanızı geri alma.
• Veri taşınabilirliği: indirdiğiniz JSON dosyası makine tarafından okunabilir.
• Şikâyet: KKTC Kişisel Verileri Koruma Kurulu'na başvurma.

10. Başvuru

Haklarınızla ilgili taleplerinizi ODTÜ e-posta adresinizden [BAŞVURU E-POSTASI — onay bekliyor] adresine iletebilirsiniz. Başvurular en geç 30 gün içinde yanıtlanır.

11. Değişiklikler

Bu metin anlamca değiştiğinde sürüm numarası güncellenir ve bir sonraki girişinizde yeni metni onaylamanız istenir.