KVKK aydınlatma metni

Veri sorumlusu AltaySec'tir. AltaySec Akademi'yi (akademi.altaysec.com.tr) AltaySec yürütür. Platform ücretsizdir.

İletişim: [email protected]

Kimlik: ad soyad, kullanıcı adı.

İletişim: e-posta adresi.

Kullanım kayıtları (VERBİS kategorisi: müşteri işlem): XP olayları; ders, lab, görev, test ve tekrar kayıtları; hata defteri kayıtları; rozetler ve seri; sınav sonuçları ve sertifika kayıtları; CTF Arena, terminal, lab ve Günün olayı deneme kayıtları; Savunma Arenası kuralları; nöbet masası (SOC, İstihbarat, Triyaj) vardiya puanları; SOC Vardiya değerlendirmeleri ve kural önerileri; takip ilişkileri; görünürlük tercihi.

Kullanıcı içeriği: profil tanıtım metni, okul, kulüp, işe alım etiketi ve yazılar.

Oyun sohbeti ve moderasyon: çok oyunculu oyunlarda yazdığın mesajlar ve masadaki takma adın; şikâyet ettiğin ya da hakkında şikâyet edilen mesaj ve o anın kısa sohbet görüntüsü; engellediğin kullanıcılar; sana verilen uyarı ve yasaklar; süzgece takılan mesaj sayın; cihaz kimliğinin tuzlu özeti.

İşlem güvenliği: şifre özeti, oturum çerezi, IP adresi, tarayıcı bilgisi, istek ve hata kayıtları, bot denetimi sinyalleri.

Harici hesap bilgisi (GitHub ya da Google ile girersen): o hizmetteki hesap numarası, e-posta adresi ve doğrulanma durumu, ad, profil fotoğrafı bağlantısı, GitHub kullanıcı adı.

Özel nitelikli kişisel veri işlemeyiz. T.C. kimlik numarası, telefon, adres ve ödeme bilgisi istemeyiz.

• Üyelik kaydını oluşturmak ve girişini yürütmek. GitHub ve Google ile girişi sağlamak.
• Öğrenme ilerlemeni kaydetmek ve sana göstermek.
• Lig, sıralama, canlı akış ve takip özelliklerini çalıştırmak.
• Rozet, seri, sınav ve sertifika süreçlerini yürütmek. Sertifikayı üçüncü kişilerin doğrulayabilmesine açmak. Ayarlar'da “Belgemde ad soyadım görünsün” açıksa belge verildiği andaki ad soyadını belgede ve doğrulama sayfasında göstermek.
• Yazdığın içerikleri ve herkese açık profilini yayımlamak. Görünürlüğün açıkken profilin ders, lab, etkinlik, uygulama ve sınav sonuçlarını da gösterir. Tam liste Gizlilik politikası sayfasında.
• İstediğinde Saldırı Menzili daveti üretmek.
• Siteyi yayımlamak, güvenliğini sağlamak, bot ve kötüye kullanımı engellemek, hataları ayıklamak.
• Oyun sohbetini çalıştırmak; küfür ve kişisel bilgi paylaşımını süzmek, şikâyetleri incelemek, gerektiğinde uyarı ya da yasak uygulamak; yasaklanan kişinin aynı cihazdan yeni hesapla dönmesini fark etmek.
• Toplu ziyaret istatistiği çıkarmak. İzin verirsen Google Analytics ile hangi sayfaların ve kanalların işe yaradığını ölçmek.
• Başvurularını cevaplamak ve hukuki yükümlülükleri yerine getirmek.

Verilerin elektronik ortamda toplanır: kayıt ve giriş formlarından, GitHub ve Google girişinden, platformu kullanırken oluşan kayıtlardan, çerezlerden ve Cloudflare'in ağ katmanından.

md. 5/2-c, sözleşmenin kurulması ve ifası: hesap bilgilerin, ad soyadın, ilerleme, sınav ve sertifika kayıtların, yazıların ve tanıtım bilgilerin, takip ilişkilerin, seni davet eden kişiyle bağın, menzil davetin ve GitHub ya da Google'dan gelen bilgiler. Bunlar olmadan hesap açamaz, hizmeti veremeyiz.

md. 5/2-f, meşru menfaat: IP adresi, tarayıcı bilgisi, istek ve hata kayıtları, bot denetimi, deneme kayıtları, toplu ziyaret istatistiği, oyun sohbeti mesajları, şikâyet ve yaptırım kayıtları ve cihaz kimliğinin özeti. Oyun sohbetini başkaları için güvenli tutmak meşru menfaatimizdir. Bunlar platformun güvenliği ve çalışması için gerekir. Bu verileri reklam ya da profil çıkarma için kullanmayız.

md. 5/1, açık rıza: Google Analytics çerezleri ve onlarla toplanan ziyaret verisi. Yalnız çerez bandında “Kabul et” dersen işlenir. İznini Çerez politikası sayfasından her an geri alabilirsin. Geri alınca çerezler silinir, ölçüm durur.

md. 5/2-ç ve 5/2-e: hukuki yükümlülüğümüzü yerine getirmek ve bir hakkın tesisi, kullanılması ya da korunması için gereken kayıtlar.

Verilerini şu alıcılara, yazan amaçla aktarırız:

Supabase, Inc.

Amaç: Veritabanı ve kimlik doğrulama.

Konum: Veritabanı Tokyo'da (Japonya). Şirket ABD'de.

Veri: Hesap ve kullanım verilerinin tamamı; giriş sırasında IP adresi ve tarayıcı bilgisi.

Hetzner Online GmbH

Amaç: Uygulamanın çalıştığı sunucuyu barındırma.

Konum: Almanya.

Veri: Sunucudan geçen istekler ve hata kayıtları.

Cloudflare, Inc.

Amaç: Ters vekil, TLS şifreleme, önbellek, saldırı ve bot koruması, Turnstile bot denetimi, toplu ziyaret ölçümü.

Konum: Şirket ABD'de. Veri merkezleri dünyanın birçok yerinde.

Veri: IP adresi, tarayıcı bilgisi, isteğin içeriği, bot denetimi sinyalleri.

Zoho Corporation

Amaç: Hesap e-postalarının gönderimi: kayıt onayı, şifre sıfırlama, e-posta değişikliği.

Konum: Gönderim altyapısı Avrupa Birliği'nde (Zoho EU). Şirket Hindistan merkezli.

Veri: E-posta adresi ve e-postanın içeriği (tek kullanımlık bağlantı).

Google LLC (Google Analytics)

Amaç: Yalnız çerez bandında izin verirsen ziyaret istatistiği: hangi sayfaların açıldığı, ziyaretin nereden geldiği, cihaz ve tarayıcı türü. Reklam ve kişiselleştirme sinyalleri kapalı.

Konum: ABD.

Veri: Rastgele tarayıcı kimliği (çerez), açılan sayfa adresleri, yönlendiren adres, cihaz ve tarayıcı bilgisi, yaklaşık konum (şehir), kayıt olayı. Ad, e-posta ve hesap numarası gönderilmez.

GitHub, Inc. ve Google

Amaç: Yalnız onlarla girersen kimlik doğrulama. Bu hizmetler kendi verilerinin sorumlusudur.

Konum: ABD.

Veri: Giriş isteğin. Karşılığında bize hesap numaran, e-postan, adın ve profil fotoğrafı bağlantın gelir.

Yetkili kamu kurum ve kuruluşları

Amaç: Kanun zorunlu kıldığında.

Konum: Türkiye.

Veri: Talep edilen bilgi.

Supabase, Hetzner, Cloudflare, Zoho ve Google Analytics verileri bizim adımıza ve talimatımızla işler. Cloudflare, Turnstile sinyallerini kendi bot tespitini geliştirmek için de kullanır.

Saldırı Menzili'ni de AltaySec yürütür. Davet için menzile yalnız rastgele üretilmiş hesap numaran gider.

Verilerini reklam ağlarına, veri simsarlarına ya da pazarlama amacıyla üçüncü kişilere aktarmayız.

Supabase, Hetzner, Cloudflare ve Zoho Türkiye dışında. Bu yüzden kişisel verilerin yurt dışına aktarılır. Hesap açmadan kullansan bile sayfa isteklerin Cloudflare ve Hetzner üzerinden geçer, bazı sayfalar da Supabase'ten veri çeker. Çerez bandında izin verirsen ziyaret verin Google Analytics için Google'a (ABD) da aktarılır.

Kanun'un 9. maddesi 7499 sayılı Kanun'la değişti. Yeni hâli 1 Haziran 2024'te yürürlüğe girdi. Buna göre yurt dışı aktarım önce Kurul'un yeterlilik kararına dayanır. Yeterlilik kararı yoksa uygun güvence gerekir. Kurul'un ilan ettiği standart sözleşme bu güvencelerden biridir. Standart sözleşme, imzadan sonra beş iş günü içinde Kurum'a bildirilir. Açık rıza ise yalnız arızi, yani düzenli ve sürekli olmayan aktarımlarda istisna olarak kullanılabilir.

Bu metnin tarihi itibarıyla Kurul'un ilan ettiği bir yeterlilik kararı yok. Sağlayıcılarımızla standart sözleşmeyi henüz imzalamadık. İmzalayıp Kurum'a bildirdiğimizde hangi güvenceye dayandığımızı burada yazacağız.

Bu aktarımı açık rızana dayandırmıyoruz. Hesap açman, yurt dışı aktarıma rıza verdiğin anlamına gelmez.

Verilerin hesabın açık kaldıkça saklanır. Hesabını sildiğinde hesap ve kullanım kayıtların veritabanından hemen silinir.

Yedeklerdeki kopyalar, o yedeğin ömrü dolana kadar kalabilir. Giriş sisteminin güvenlik denetim kayıtları ve sunucu günlükleri bir süre daha kalabilir. Bunları yalnız güvenlik için kullanırız. Mevzuatın saklamayı zorunlu tuttuğu hâller saklıdır.

Oyun sohbetindeki mesajlar 72 saat sonra silinir. Şikâyet edilen mesajın kısa sohbet görüntüsü inceleme için saklanır: karara bağlanmayan şikâyette 30 gün, karara bağlanan şikâyette karardan 30 gün sonra, itirazda itiraz sonuçlanınca silinir. Geçersiz bulunan şikâyet kaydı 30 gün sonra silinir. Uyarı ve yasak kayıtları yaptırım bittikten 1 yıl sonra, geçerli şikâyet kayıtları bağlı yaptırımla birlikte ya da yaptırım yoksa karardan 1 yıl sonra silinir. Süzgeç sayacı 30 gün, cihaz kimliğinin özeti son kullanımdan 30 gün sonra silinir. Engellediğin kullanıcılar sen kaldırana kadar durur.

Tarayıcında tutulan kayıtlar senin cihazındadır ve onları sen silersin.

Kanun'un 11. maddesi uyarınca şu haklara sahipsin:

• Kişisel verinin işlenip işlenmediğini öğrenme.
• İşlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş verinin düzeltilmesini isteme.
• Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• İşlenen verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme.
• Verilerin hukuka aykırı işlenmesi sebebiyle zarara uğraman hâlinde zararın giderilmesini talep etme.

Erişim ve silme haklarının bir kısmını beklemeden kullanabilirsin: Hesap sayfasından verilerini JSON dosyası olarak indirebilir, hesabını kendin silebilirsin. Öteki hakların için 9. bölümdeki başvuru yolunu kullan.

Başvurunu hesabında kayıtlı e-posta adresinden [email protected] adresine gönder. Konu satırına "KVKK başvurusu" yaz. Başvurunda adını soyadını, talebini ve sana ulaşacağımız adresi belirt. Kimliğini, kayıtlı adresten yazmanla doğrularız.

Başvurunu en geç 30 gün içinde sonuçlandırır ve sana yazılı olarak cevap veririz. Cevap ücretsizdir. İşlem ayrıca bir maliyet gerektirirse Kurul'un tarifesindeki ücreti isteyebiliriz.

Başvurun reddedilirse, cevabı yetersiz bulursan ya da süresinde cevap alamazsan Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin. Bunun için cevabı öğrendiğin tarihten başlayarak 30 gün, her durumda başvuru tarihinden başlayarak 60 gün süren var.

Diğer iletişim kanalları için İletişim sayfasına bak.