KVKK Aydınlatma Metni

Son güncelleme: 20 Ekim 2026

1. Veri Sorumlusu

Muhasip ("Platform"), STK 360 Global Organizasyon Danışmanlık ve Yazılım Anonim Şirketi ("Şirket") tarafından işletilir. Şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında panel kullanıcılarının hesap, faturalandırma ve güvenlik verileri bakımından veri sorumlusu sıfatıyla, kurumların panele girdiği kayıtlar bakımından ise kurum adına veri işleyen sıfatıyla (bkz. 5.1) kişisel verileri aşağıda açıklanan amaçlarla işler.

Ticari unvan: STK 360 Global Organizasyon Danışmanlık ve Yazılım Anonim Şirketi
Adres: Muratpaşa Mah. Yavuz Sk. No: 2, İç Kapı No: 8, Bayrampaşa / İstanbul
MERSİS no: 0781114688400001
Vergi dairesi / no: Tuna / 7811146884
KEP adresi: stk360@hs06.kep.tr
E-posta: bilgi@stk360.tr
Telefon: +90 547 300 07 85

2. İşlenen Kişisel Veriler

Kimlik bilgileri: Ad, soyad
İletişim bilgileri: E-posta, telefon, adres
Hesap bilgileri: Şifre (hash'li), oturum tokenları
Vakıf operasyon verileri: Sponsor/öğrenci kayıtları, ödeme geçmişi
İşlem güvenliği: Giriş kayıtları (e-posta, IP adresi, tarayıcı bilgisi, sonuç), işlem kayıtları (kim, hangi işlemi, ne zaman yaptı)
İletişim kanalı kayıtları: Kurum bu kanalları açtıysa Telegram/WhatsApp bot mesajları, SMS ve e-posta gönderim kayıtları

3. İşleme Amaçları

Hizmetin sunulması ve sözleşmesel yükümlülüklerin yerine getirilmesi
Kurum yönetimi (sponsor-öğrenci takibi, ödeme kayıtları)
Faturalandırma ve mali işlemler
Yasal yükümlülüklerin yerine getirilmesi
Hata tespiti ve hizmet sürekliliği (kişisel verisi ayıklanmış hata kayıtları)

4. İşlemenin Hukuki Sebebi

KVKK madde 5/2/c — Sözleşmenin kurulması ve ifası
KVKK madde 5/2/ç — Veri sorumlusunun hukuki yükümlülüğü
KVKK madde 5/2/f — Meşru menfaat
Açık rıza (pazarlama amaçlı iletişim için)

5. Veri Aktarımı

Verileriniz, hizmetin sağlanması için yalnızca gerekli olduğu ölçüde aşağıdaki hizmet sağlayıcı gruplarıyla paylaşılabilir. Hizmet sağlayıcıların bir kısmı yurt dışında bulunduğundan verileriniz yurt dışına aktarılabilir; bu aktarımlar KVKK madde 9 çerçevesinde ve hizmetin gerektirdiği ölçüde yapılır.

Barındırma ve veritabanı hizmet sağlayıcıları (uygulama sunucuları, veritabanı, kimlik doğrulama ve şifrelenmiş yedekler)
Ağ ve güvenlik hizmet sağlayıcıları (alan adı, şifreli bağlantı ve saldırı koruması)
Hata izleme hizmet sağlayıcıları (kişisel veri ayıklanır, oturum kaydı kapalıdır)
Lisanslı ödeme kuruluşları ve bankalar (yalnız ödeme işlemi; kart bilgilerini biz görmeyiz)
E-posta gönderim hizmet sağlayıcıları
SMS hizmet sağlayıcıları (kurum SMS gönderdiğinde, yalnız alıcı numarası ve mesaj)
Mesajlaşma kanalı sağlayıcıları (Telegram, WhatsApp; yalnız kurum bu kanalları açtığında)
Yapay zekâ sağlayıcıları (yalnız kurum ilgili özelliği açtığında ve gönderilen içerikle sınırlı)

5.1. Kurum Verilerinin Ayrı Tutulması ve Yetkili Erişim

Şirket tarafından işletilen Muhasip, çoklu kurum mimarisiyle çalışır. Her kurumun sponsor, öğrenci, bağışçı, kasa, cari, makbuz, belge, rapor ve ayar kayıtları ayrı kurum kimliği altında tutulur. Sistem, teknik seviyede kurum kapsamı ve yetki kontrolleri uygular; kullanıcılar yalnızca bağlı oldukları kurum ve rol kapsamında veriye erişebilir.

Destek erişimi gerektiğinde, destek ekibinin kurum paneline erişimi kurum yetkilisinin açık iznine ve süreli destek oturumuna bağlıdır. Bu erişim; arıza giderme, veri tutarlılığı kontrolü, kullanıcı yönlendirmesi ve destek talebi çözümü amaçlarıyla sınırlıdır. Süper yönetici erişimi platform güvenliği, lisans, faturalandırma, kötüye kullanım önleme ve sistem sürekliliği amacıyla ayrıca yetkilendirilmiş personel tarafından kullanılabilir; bu erişimde gerekçe zorunludur ve erişim kurumun denetim geçmişinde görünür.

Kurum kayıtları bakımından veri sorumlusu ilgili kurumdur; Şirket bu kayıtları kurum adına ve kurumun talimatıyla işleyen veri işleyendir.

5.2. Özel Nitelikli Veri ve Hassas Alanlar

Vakıf, dernek ve eğitim kurumlarının operasyonlarında sağlık notu, ihtiyaç sahipliği bilgisi, öğrenci/veli bilgisi, bağış tercihleri veya mali durum açıklamaları gibi hassas alanlar oluşabilir. Platform bu alanların girilmesini zorunlu kılmaz; kurum yöneticileri yalnızca gerekli, ölçülü ve mevzuata uygun bilgileri sisteme girmelidir. Açık rıza gerektiren süreçlerde rıza metni ve kayıt zamanı kurum tarafından ayrıca saklanmalıdır.

5.3. Denetim, Log ve Güvenlik Kayıtları

Muhasip; oturum açma, yetki değişikliği, kayıt oluşturma, düzenleme, silme, dışa aktarma, makbuz/fatura işlemleri ve destek oturumları gibi tanımlı iş olaylarını denetim kayıtlarında saklar. Bu kayıtlar güvenlik, uyuşmazlık çözümü, kötüye kullanım tespiti ve yasal yükümlülük amaçlarıyla işlenir. Denetim kayıtlarında gereksiz kişisel veri tutulmaması için teknik maskeleme ve asgari veri ilkesi uygulanır.

Ne kaydedilmez: Her tıklama, tuş vuruşu, ekran görüntüsü veya oturum kaydı tutulmaz; fare/klavye hareketi yalnız hareketsizlik süresini ölçmek için cihazınızda tutulur, sunucuya gönderilmez. Kullanıcı davranışı izleyen analitik araçlar kullanılmaz.

Kayıt ile içerik ayrımı: Kurum yöneticileri varsayılan olarak yalnız kayıtları (kim, ne zaman, hangi işlem) görür. Bir kullanıcının mesaj içeriğine erişim; kayıt incelemesinin yetmediği, somut bir gerekçenin bulunduğu hâllerde ve gerekçe yazılarak yapılır; bu erişim de kayda geçer. Kurumlar kendi çalışanlarını bu kapsamda ayrıca aydınlatmakla yükümlüdür; Muhasip bunun için düzenlenebilir bir çalışan aydınlatma şablonu sunar.

6. Saklama Süreleri

Kurum kayıtlarının saklama süresi ve imhası, veri sorumlusu olan kurum tarafından belirlenir. Muhasip kurum kayıtlarını kendiliğinden silmez; kurum yöneticileri Ayarlar › KVKK › Saklama ve İmha ekranından kayıt türlerine göre saklama süresi tanımlayıp süresi dolan kişisel alanların otomatik anonimleştirilmesini açabilir. Anonimleştirme kayıt satırını silmez, kişisel alanları geri döndürülemez biçimde temizler ve tutanağı tutulur. Kurum bu araçları kullanmazsa saklama süresine ilişkin sorumluluk kurumdadır. Tek istisna platformun kendi güvenlik kayıtlarıdır: giriş kayıtlarındaki IP ve cihaz bilgisi 6 ay, SMS gönderim kayıtlarındaki telefon ve mesaj metni 1 yıl sonra tüm kurumlarda anonimleştirilir; kayıt satırı yine silinmez.

Aktif hesaplar: hesap kapanana kadar
Mali kayıtlar: TTK madde 82 — 10 yıl
Önerilen süreler (kurum ayarıyla uygulanır): işlem kayıtlarındaki IP/cihaz bilgisi 2 yıl, personel mesaj içerikleri 90 gün. Giriş kayıtları tek bir kuruma ait olmadığından IP/cihaz bilgisi platform kuralıyla 6 ayda anonimleştirilir.

Öğrenci, personel ve sponsor profil fotoğrafı değiştirildiğinde önceki fotoğraf silinmez; kurumun belge arşivinde bir belge kaydı olarak kalır. Bu saklamanın amacı kayıt bütünlüğünün ve geriye dönük denetlenebilirliğin korunmasıdır. Önceki fotoğraflar otomatik olarak silinmez; kurum, kendi mevzuat yükümlülüklerine göre saklamaya gerek görmediği önceki fotoğrafları yetkili kullanıcılar aracılığıyla silebilir.

6.1. Silme, Anonimleştirme ve Dışa Aktarım

Kullanıcı hesabının kapatılması veya veri silme talebi halinde, yasal saklama zorunluluğu bulunan mali ve resmi kayıtlar mevzuattaki süreler boyunca korunabilir. Bunun dışındaki kişisel veriler makul teknik süre içinde silinir, anonimleştirilir veya kurum operasyonunun gerektirdiği ölçüde ayrıştırılır. Kurum yöneticileri, KVKK kapsamındaki talepleri değerlendirirken yasal saklama yükümlülükleri ile veri sahibinin haklarını birlikte dikkate almalıdır.

Veri dışa aktarımı talep edildiğinde, sistem yalnızca yetkili kullanıcının erişebildiği kurum verisini üretir. Dışa aktarma işlemleri denetim kaydına alınır ve başka kurum verilerinin rapora karışmaması için kurum kapsamı kontrolleri uygulanır.

7. Haklarınız

KVKK madde 11 kapsamında aşağıdaki haklara sahipsiniz:

Verilerinizin işlenip işlenmediğini öğrenme
İşlenmişse bilgi talep etme
İşleme amacını ve uygun kullanılıp kullanılmadığını öğrenme
Yurt içi/dışı aktarılan üçüncü kişileri bilme
Eksik/yanlış işlenmişse düzeltilmesini isteme
Silinmesini veya yok edilmesini isteme
Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
Münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme
Zarara uğramışsanız tazminat isteme

8. İletişim

Haklarınızı kullanmak için yazılı başvurunuzu Muratpaşa Mah. Yavuz Sk. No: 2, İç Kapı No: 8, Bayrampaşa / İstanbul adresine, KEP ilestk360@hs06.kep.tr adresine iletebilir ya da Muhasip'te kayıtlı e-posta adresinizden bilgi@stk360.tr adresine yazabilirsiniz. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.

9. Başvuru Usulü ve Kimlik Doğrulama

Muhasip platformunda KVKK başvuruları, başvuruyu yapan kişinin kimliğinin makul yöntemlerle doğrulanmasından sonra işleme alınır. Başvuru sahibinden yalnızca talebin sonuçlandırılması için gerekli bilgiler istenir; ek bilgi talebi, başvurunun güvenli şekilde yanıtlanması amacıyla sınırlı tutulur. Kurum adına yapılan başvurularda temsil yetkisini gösteren belge talep edilebilir.

10. Teknik ve İdari Tedbirler

Kişisel veriler kurumlara göre ayrı tutulur. Veri saklama altyapısı, kurum hesabı kapsamı, rol tabanlı yetkilendirme, denetim kayıtları, oturum zaman aşımı, güvenli çerezler ve yedekleme süreçleriyle korunur. Hassas işlemlerde destek erişimi ayrıca izin ve kayıt mekanizmasına bağlanır. Hizmet sağlayıcılarla yapılan veri işleme ilişkilerinde gizlilik ve güvenlik yükümlülükleri sözleşme altına alınır.

11. Özel Nitelikli Veriler

Platformun standart kullanımı özel nitelikli kişisel veri toplamayı amaçlamaz. Kurumların açıklama/not alanlarına sağlık, dini kanaat, biyometrik veri veya benzeri özel nitelikli veri girmemesi esastır. Zorunlu bir yardım veya eğitim sürecinde özel nitelikli veri işlenmesi gerekiyorsa açık rıza, saklama süresi, erişim yetkisi ve silme prosedürü kurum tarafından ayrıca belirlenmelidir.

Platformun kendi işlevleri bakımından bu ilkenin tek istisnası, öğrenci profil fotoğrafında kurum ayarlarında açık olduğunda uygulanan ve kurumun kapatabileceği otomatik yüz kadrajıdır. Ayrıntılar 11.1 bölümündedir.

11.1. Öğrenci Profil Fotoğrafında Otomatik Yüz Kadrajı

Ne zaman uygulanır: Yalnızca özellik kurumun ayarlarında açıksa ve öğrenci profil fotoğrafı öğrenci sayfasındaki fotoğraf yükleme penceresinden yüklenirken uygulanır. Yeni öğrenci kayıt formunda, başvuru formlarında ve Belgeler bölümünden yapılan yüklemelerde uygulanmaz; personel ve sponsor fotoğraflarında uygulanmaz. Özellik kurum bazında çalışır ve kurumlar için varsayılan olarak açıktır; daha önce özelliği kapatmış kurumlarda kapalı kalır. Kurum yöneticisi Öğrenci ayarlarındaki Fotoğraf ayarları bölümünden istediği zaman kapatabilir. Kapalı olduğu kurumda hiçbir fotoğrafa uygulanmaz.

Ne yapılır: Fotoğraftaki yüzün konumu bulunur ve fotoğraf, yüz ortalanacak biçimde kare olarak kırpılır.

Nasıl yapılır: İşlem yalnızca fotoğrafı yükleyen kişinin tarayıcısında yapılır. Gerekli yazılım ve model Muhasip sunucusundan yüklenir; fotoğraf bu amaçla Muhasip sunucusuna veya başka bir hizmete gönderilmez.

Hangi bilgi hesaplanır: Yalnızca fotoğrafın kırpılacağı alanın konumu hesaplanır. Yüz tanıma veya yüz eşleştirme yapılmaz; yüz şablonu ya da yüze ait kalıcı bir iz oluşturulmaz. Hesaplanan konum sunucuya gönderilmez, kaydedilmez ve işlem bitince silinir.

Orijinal fotoğraf: Kırpılmamış orijinal fotoğraf yüklenmez. Yalnızca kırpılmış ve en fazla 1024 piksele küçültülmüş hali kaydedilir; bu sırada fotoğrafın konum (GPS) gibi üst verileri silinir.

Birden fazla yüz veya yüz bulunmazsa: Hiçbir kişi seçilmez; fotoğrafın orta bölümü kullanılır. Yüzün konumu makul bir süre içinde bulunamazsa da orta bölüm kullanılır.

Amaç: Öğrenci profil fotoğraflarının listelerde, belgelerde ve çıktılarda tutarlı ve yüzü ortalanmış görünmesi; fotoğrafı yükleyen kişinin elle kırpma ihtiyacının azaltılması.

Veri sorumlusu ve hukuki sebep: Öğrenci fotoğrafları bakımından veri sorumlusu, öğrenciyi kaydeden kurumdur; Muhasip bu işlemde kurum adına veri işleyen olarak hizmet verir. İşlemenin hukuki sebebi veri sorumlusu kurum tarafından belirlenir. Özellik kurumda Muhasip varsayılanı olarak açıldıysa bu durum ve tarihi kayıt altına alınır. Kurum yöneticisi özelliği kendisi açtıysa ya da varsayılanla açık özelliği teyit ettiyse, gerekli hukuki değerlendirmeyi ve ilgili kişilere yapılacak bilgilendirmeyi tamamladığını beyan eder; beyanı veren yönetici ve beyan tarihi kayıt altına alınır. Özelliği kapatan yönetici ve kapatma tarihi de kayıt altına alınır.

Aktarım: Kadraj işlemi kapsamında kişisel veri üçüncü kişilere aktarılmaz.

Saklama: Kırpma konumu saklanmaz. Kırpılmış fotoğraf öğrencinin belgeleri arasında saklanır; fotoğraf değiştirildiğinde önceki fotoğraf da belge arşivinde kalır ve otomatik olarak silinmez. Bu belgelerin saklanması ve silinmesi 6. bölümde açıklandığı gibi kurumun sorumluluğundadır.

Haklarınız ve itiraz: 7. bölümde sayılan haklarınızı kullanmak, otomatik kadraja itiraz etmek veya fotoğrafın düzeltilmesini ya da silinmesini istemek için öğrenciyi kaydeden kuruma başvurabilirsiniz. Kurum bu özelliği kapatabilir, fotoğrafı yüz kadrajı kullanılmadan Belgeler bölümünden yükleyip profil fotoğrafı yapabilir veya fotoğrafı kaldırabilir.

11.2. Banka Ekstresi Yükleme ve Akıllı Eşleştirme

Ne işlenir: Kurumun yüklediği banka ekstresindeki hareketler: tarih, tutar, yön, açıklama, gönderen ya da alıcı adı, IBAN ve banka referansı. Amaç, hareketin hangi cariden ve hangi amaçla geldiğini önermek ve kurumun onayıyla kasa kaydını oluşturmaktır. Kasaya yalnız kullanıcının onayladığı satır yazılır; sistem tek başına kayıt oluşturmaz.

Öğrenilmiş eşleşmeler: Kullanıcı bir satırı onayladığında ekstredeki ad yazımı ve IBAN ilgili cariyle birlikte kurumun eşleştirme hafızasına yazılır; aynı ad bir sonraki ekstrede yeniden sorulmaz. Kurum yöneticisi bu kayıtları Ayarlar › Kurallar ekranından görebilir ve silebilir.

Yapay zekâ önerisi: Kurumun planında ve ayarında açıksa, yalnız kurallarla eşleşemeyen belirsiz satırlarda öneri alınır. Gönderilen metinde IBAN, T.C. kimlik numarası, telefon, e-posta ve kart numarası maskelenir; eşleşmenin konusu olduğu için ad gönderilir. Bu işlem yurt dışındaki bir yapay zekâ hizmet sağlayıcısına aktarım içerebilir. İstek kaydında kişisel veri tutulmaz. Öneri onay yerine geçmez; kurum yöneticisi özelliği Ayarlar › Eşleştirme eşiği ekranından kendi kurumu için kapatabilir.

Saklama: Yüklenen ekstrenin ham satırları yükleme anından itibaren 7 gün içinde, satırın işi bittiğinde (onaylandı, mükerrer ya da reddedildi) silinir; onay bekleyen satır bu süre dolduktan sonra en fazla 90 gün daha tutulur. Onaylanan satırın banka kanıtı olarak saklanan ham açıklamasındaki IBAN, T.C. kimlik numarası, telefon, e-posta ve kart numarası, Muhasip'in belirlediği saklama süresi sonunda maskelenir; kapalı muhasebe dönemindeki kayıtlar dönem kilidi gereği değişmez. Kasa kayıtları mali kayıt olarak 6. bölümdeki yasal süre boyunca saklanır.

11.3. Banka Ekstresi Dosyasının Okunması ve İsteğe Bağlı Yapay Zekâ Okuması

Ne işlenir: Kurumun yüklediği banka ekstresi dosyasındaki (MT940, CSV, Excel ya da metin katmanlı PDF) hareket satırları: tarih, tutar, açıklama, gönderen ya da alıcı adı ve IBAN. Dosya kurumun seçtiği kasa/banka hesabına bağlanır; dosyanın hangi hesaba ait olduğu yalnız hesap numarasının son haneleri ve IBAN ile karşılaştırılır.

Amaç: Kurumun kasa kaydını hazırlamak ve banka bakiyesiyle mutabakatı (açılış, kapanış ve satır toplamlarının karşılaştırılması) sağlamak. Satırlar önce kurallarla okunur; hiçbir satır kurum kullanıcısının onayı olmadan kasaya yazılmaz.

Yapay zekâ okuması isteğe bağlıdır: Taranmış ya da metin katmanı okunamayan PDF ve görsel dosyalar kurallarla okunamaz. Bu dosyalar yalnız kurum kullanıcısı o dosya için açık rıza verdiğinde yurt dışındaki yapay zekâ hizmet sağlayıcısına gönderilerek okunur; rıza dosya başınadır, önceki dosyada verilen onay sonraki dosyaya taşınmaz ve rıza verilmezse dosya gönderilmez. Rıza metni, sürümü ve veren kullanıcı kurumun denetim kaydına yazılır. Gönderilen tablo metninde IBAN, T.C. kimlik numarası, telefon, e-posta ve kart numarası gönderimden önce maskelenir; PDF ve görsel dosyalar görüntü olarak gittiğinden görseldeki bilgiler maskelenemez. Sağlayıcıdan kayıt saklamaması istenir. Telegram üzerinden gönderilen ekstreler yalnız kurallarla okunur; yapay zekâ okuması Telegram'dan yapılmaz.

Saklama: Dosyadan okunan ham satırlar geçici hazırlık kayıtlarıdır; 11.2 bölümündeki süreyle (işi biten satır 7 gün içinde, onay bekleyen satır en fazla 90 gün daha) silinir. Kurallarla okunan dosyanın (MT940, CSV, Excel, metin katmanlı PDF) kendisi saklanmaz; yalnız dosya özeti (mükerrer yüklemeyi önlemek için) ve dosya adı tutulur. Yapay zekâ ile okunan belge, okumanın kaynağı olarak kurumun belge arşivinde saklanır ve 6. bölümdeki kurallara tabidir. Onaylanan satırdan oluşan kasa kaydı mali kayıt olarak 6. bölümdeki yasal süre boyunca saklanır.

Veri sorumlusu ve veri işleyen: Ekstredeki kişi bilgileri bakımından veri sorumlusu dosyayı yükleyen kurumdur; Şirket (Muhasip) bu işlemde kurum adına ve kurumun talimatıyla veri işleyendir. Yapay zekâ okumasında yurt dışı aktarımı kurum adına Muhasip yapar; hukuki dayanağın belirlenmesi ve ilgili kişilerin bilgilendirilmesi kurumun sorumluluğundadır.

12. Veri Minimizasyonu ve Silme

Muhasip, hizmetin amacıyla bağlantılı olmayan verilerin toplanmamasını hedefler. Kurum yöneticileri, sponsor, öğrenci, personel, makbuz ve muhasebe kayıtlarında gereksiz serbest metin kullanımından kaçınmalıdır. Yasal saklama yükümlülüğü bulunmayan veriler, hesap kapatma, kurum talebi veya veri sahibinin geçerli silme talebi üzerine güvenli şekilde silinir ya da anonim hale getirilir.