KVKK Aydınlatma Metni ve Gizlilik Politikası
Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi ve Aydınlatma Yükümlülüğünün
Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır. İlgili kişi hem
hesap sahibi (veli) hem de izlenen çocuktur.
VERİ SORUMLUSU
Veri sorumlusu / satıcı: Koru360
1. İŞLENEN KİŞİSEL VERİ KATEGORİLERİ
a) Hesap verileri: ad soyad, e-posta, telefon numarası, parola özeti, oturum ve giriş kayıtları,
iki adımlı doğrulama bilgisi.
b) Çocuk profili: ad/rumuz, yaş grubu, bağlı cihazlar.
c) Cihaz verileri: cihaz tanımlayıcısı, platform, model, uygulama sürümü, çevrimiçi durumu, pil seviyesi,
kapanma anı.
d) İnternet erişim kayıtları: alan adı, sonuç (izin/engel), neden, tarih-saat.
e) Uygulama kullanım verileri: engellenen bir erişim denemesi sırasında ön planda olan uygulamanın adı;
Android cihazlarda her gün için uygulama başına kullanım süresi (dakika) ve günün toplam ekran süresi
(yaklaşık saatte bir gönderilir); cihazda kurulu uygulamaların listesi (paket adı, uygulama adı,
kurulum zamanı ve sistem uygulaması olup olmadığı), veli yeni kurulan bir uygulamayı görebilsin ve
onay gerektiren uygulamaları yönetebilsin diye. Uygulamaların içinde yapılanlar bu kapsamda
gönderilmez. Uygulama süre sınırları, günlük ekran süresi sınırı ve zaman planı çocuğun cihazında
uygulanır; velinin verdiği ek süre sunucu üzerinden cihaza iletilir.
f) MESAJ VE EKRAN İÇERİĞİ: hesap sahibi anahtar kelime taramasını açtıysa, cihazdaki bildirimlerde ve
seçilen uygulamaların ekranında geçen metinler cihaz üzerinde taranır; bu taramada tüm metin sunucuya
gönderilmez, yalnızca tanımlı bir anahtar kelimeyle eşleşen cümle ve çevresindeki kısa bağlam,
eşleşen kelime, uygulama adı ve zaman bilgisi gönderilir. Hesap sahibi ayrıca mesaj paylaşımını
açtıysa, cihazdaki mesajların (gönderilen ve alınan) metni gönderen/alıcı bilgisiyle birlikte
sunucuya iletilir. Bu içerikler sunucuda şifreli olarak saklanır.
g) Konum verileri: konum noktaları, kayıtlı yerlere giriş/çıkış olayları ve geçmiş rota (durak ve
hareket özetleri).
h) Hareket ve sürüş verileri: hız, ani hızlanma/yavaşlama olayları.
i) İletişim verileri: gelen çağrının numarası ve bu numaranın cihazın rehberinde kayıtlı olup olmadığı
bilgisi; hesap sahibi rehber paylaşımını açtıysa rehberdeki kişilerin adları ve telefon numaraları.
Konuşma içeriği kaydedilmez, dinlenmez.
j) Güvenlik olayları: yardım isteme talepleri, hız/kaza/düşük şarj/kapanma bildirimleri, uygulama içi
satın alma girişimleri, cihazda korumanın devre dışı kalması ve nedeni (bilgisayarda yerel parola
kilidinin devreye girmesi ya da hosts dosyasının değiştirilmesi dahil).
k) Risk değerlendirmesi: yukarıdaki eşleşmelerden üretilen kategori bazlı risk puanı ve örüntü tespitleri
(mesaj yoğunluğu, gece aktivitesi, tekrar eden gönderen). Bu analiz her çocuk için ayrı bir ayara
bağlıdır ve VARSAYILAN OLARAK KAPALIDIR; kapalıyken ilgili kayıtlar bu amaçla hiç okunmaz.
l) Destek ve iletişim: destek talepleri, e-posta/SMS/WhatsApp teslim kayıtları.
m) Ödeme: işlem metadatası, plan ve fatura bilgisi. Kart numarası Koru360 tarafından saklanmaz.
n) Çocuğun izin talepleri: çocuk cihazında "İzin iste" ya da "Ek süre iste" düğmesine bastığında
talebin türü (site, uygulama ya da süre), hedefi (alan adı, uygulama paket adı ya da istenen dakika),
eklediği not, talep zamanı ve velinin onay ya da ret kararı.
o) Anlık bildirim abonelikleri: hesap sahibi panelde tarayıcı bildirimlerini açtıysa, tarayıcının
bildirim adresi (push uç noktası) ve şifreleme anahtarları, tarayıcı bilgisi ve abonelik tarihi.
Bildirimin içeriği yalnızca uyarı türünü ve çocuğun adını taşır; mesaj metni, konum, site ya da
uygulama adı içermez.
2. İŞLEME AMAÇLARI
Filtreleme ve kural uygulaması; velinin çocuğun güvenliğini ilgilendiren olaylardan haberdar edilmesi;
çocuğun konumunun ve cihaz durumunun velisine bildirilmesi; çocuğun uygulama ve ekran süresi kullanımının,
yeni kurulan uygulamaların ve çocuğun izin/ek süre taleplerinin velisine iletilmesi; hizmetin güvenliği,
kötüye kullanımın önlenmesi
ve denetim izlerinin tutulması; abonelik ve destek süreçleri; yasal yükümlülüklerin yerine getirilmesi;
hesap sahibinin kendi seçimiyle davet ettiği kişilere (aşağıda 5. bölümde sayılan alıcı gruplarına) yalnız
hesap sahibinin seçtiği kapsamda bilgi iletilmesi.
3. HUKUKİ SEBEPLER
Hesap ve abonelik verileri sözleşmenin kurulması ve ifası (KVKK m.5/2-c) ile hukuki yükümlülük (m.5/2-ç);
güvenlik ve denetim kayıtları meşru menfaat (m.5/2-f) kapsamında işlenir. Hizmetin temel işlevi olan
filtreleme, süre ve zaman yönetimi için gereken internet erişim kayıtları, uygulama kullanım süreleri,
kurulu uygulama listesi ve çocuğun izin talepleri sözleşmenin ifası (m.5/2-c) kapsamında işlenir.
Mesaj ve ekran içeriği, rehber, konum ve arama bilgileri ile risk değerlendirmesi gibi çocuğun
korunmasına yönelik izleme verileri velinin/yasal temsilcinin AÇIK RIZASI (m.5/1) ile işlenir. Mesaj ve
ekran içeriği taraması, konum takibi, çağrı filtresi ve risk değerlendirmesi VARSAYILAN OLARAK
KAPALIDIR; her biri hesap sahibinin panelden ayrı ayrı ve açıkça açmasıyla başlar, dilediği zaman aynı
yerden kapatılır. Açık rıza verilmeden bu özellikler açılamaz; açık rıza geri alındığında ya da
reddedildiğinde hesabın tüm çocuk profillerinde kapatılır. Rızanın geri alınması ileriye etkilidir.
Bu aydınlatma metnini okuduğunuzu beyan etmeniz rıza anlamına gelmez. Açık rıza, ayrı "Açık Rıza Metni"
ile, hizmetin kullanılmasına şart koşulmaksızın ve isteğe bağlı olarak alınır; hesap ayarlarından her an
geri alınabilir.
4. OTOMATİK KARAR VE PROFİLLEME
Risk puanı ve örüntü uyarıları kural tabanlı olarak hesaplanır; hesap sahibine ve hesap sahibinin davet
ettiği ikinci veli ile ortak yöneticilere (izin verilen kapsamda) gösterilir. Okul/rehber öğretmen
paylaşımında yalnız hesap sahibinin seçtiği kategorilerde haftalık uyarı SAYISI iletilir; risk puanının
kendisi, gerekçeleri ve içerik paylaşılmaz. Sistem
çocuk hakkında kendiliğinden hukuki sonuç doğuran bir karar vermez; her karar veliye aittir. Risk puanını
oluşturan gerekçeler panelde açıkça listelenir.
5. AKTARIM VE VERİ İŞLEYENLER
Veriler; barındırma sağlayıcısı, e-posta gönderim sağlayıcısı ve SMS operatörü tarafından veri işleyen
sıfatıyla işlenebilir. Ödeme bilgileri seçilen ödeme sağlayıcısı (iyzico veya PayTR; Türkiye) tarafından
işlenir; kart numarası Koru360'a ulaşmaz.
YURT DIŞINA AKTARIM (KVKK m.9). Aşağıdaki hizmetler kullanıldığında ilgili veriler yurt dışına aktarılır:
a) WhatsApp bildirimi: hesap sahibi açtıysa uyarılar Meta Platforms'un WhatsApp Business API'si üzerinden
iletilir; veli telefon numarası ve uyarı şablonundaki bilgiler (çocuk adı, uyarı türü, zaman) Meta'nın
yurt dışındaki sunucularına aktarılır.
b) E-posta gönderimi: işletmeci e-posta için SendGrid, Mailgun veya Amazon SES (ABD/AB) kullanıyorsa
alıcı e-posta adresi ile e-postanın konusu ve içeriği bu sağlayıcıya aktarılır.
c) Harita: paneldeki harita karoları OpenStreetMap sunucularından yüklenir; bu sırada panelin açıldığı
cihazın IP adresi ve görüntülenen bölgenin karo koordinatları OpenStreetMap Vakfı'na (Birleşik
Krallık/AB) iletilir. Çocuğun konum geçmişi bu sağlayıcıya gönderilmez.
d) Anlık bildirim: hesap sahibi tarayıcı bildirimlerini açtıysa bildirimler, tarayıcının kendi bildirim
servisi (Google Firebase Cloud Messaging, Mozilla Push Service, Apple Push Notification service veya
Microsoft Windows Push Notification Services; ABD/AB) üzerinden iletilir. Bildirim içeriği uçtan uca
şifrelidir ve bu servis tarafından okunamaz; servis, bildirimin teslim edildiği tarayıcı adresini ve
teslim zamanını görür.
Kayıtlı yer eklerken adres arama kullanılırsa (yalnız hizmet sağlayıcı bir harita/adres servisi
yapılandırdıysa açıktır), yalnız velinin arama kutusuna yazdığı metin bu servise gönderilir; hesap,
çocuk veya konum bilgisi gönderilmez. Çocuğun konumu hiçbir zaman adres servisine gönderilmez.
Bu aktarımlar, KVKK m.9 uyarınca uygun güvenceler veya ilgili kişinin açık rızası ile yapılır.
HESAP SAHİBİNİN KENDİ SEÇİMİYLE PAYLAŞTIĞI KİŞİLER (ALICI GRUPLARI). Aşağıdaki kişiler veri işleyen değil,
hesap sahibinin davet ettiği ve daveti kendisi kabul eden alıcılardır; hiçbiri hesap sahibi davet etmeden
bilgi almaz ve hesap sahibi paylaşımı dilediği zaman panelden sonlandırabilir:
a) İkinci veli: hesap sahibinin belirli bir çocuk için davet ettiği kişi; hesap sahibinin işaretlediği
kapsamda (konum, mesaj içeriği, güvenlik uyarıları, gezinti geçmişi) o çocuğa ait uyarıları ve kayıtları
görür, bildirim alır. Amaç: çocuğun velayetini paylaşan ebeveynlerin birlikte haberdar olması.
b) Ortak yönetici: hesap sahibinin tüm çocukları için eşit yönetici olarak davet ettiği yetişkin; kuralları
değiştirebilir ve tüm veri kapsamlarını görür. Abonelik, ödeme ve hesap silme hesap sahibinde kalır.
c) Okul/rehber öğretmen: yalnız hesap sahibinin onayıyla ve hesap sahibinin seçtiği kategorilerde (ör.
zorbalık) haftalık uyarı SAYISI özeti alır. Mesaj içeriği, gönderen, uygulama, saat, konum ve gezinti
geçmişi paylaşılmaz; paylaşım hesap sahibinin belirlediği tarihte kendiliğinden sona erer. Amaç: okulun
çocuğu destekleyebilmesi.
d) Güvenli yetişkinler: hesap sahibinin bir çocuk için eklediği ve kendisine gönderilen bağlantıdan kabul
eden kişi (ör. bir akraba veya okul rehber öğretmeni). Çocuk "Yardım İste" düğmesine bastığında bundan
haberdar edilir; çocuğun konumu yalnız hesap sahibi ayrıca işaretlediyse paylaşılır. Hesap sahibi açtıysa
kendine zarar verme veya zorbalık uyarısında içerik taşımayan bir "görüşme talebi" iletilir. Güvenli
yetişkin her mesajdaki bağlantıyla listeden çıkabilir. Amaç: çocuğun acil bir durumda hızla bir
yetişkine ulaşabilmesi.
Bu aktarımlar, hesap sahibinin açık rızası (Açık Rıza Metni) ve velayet kapsamındaki tercihine dayanır.
Veriler pazarlama amacıyla üçüncü kişilere satılmaz veya devredilmez.
6. SAKLAMA SÜRELERİ
İnternet erişim kayıtları abonelik planına bağlı saklama süresi kadar tutulur. Günlük uygulama kullanım
ve ekran süresi kayıtları ile çocuğun izin talepleri varsayılan olarak 90 gün, cihazın artık bildirmediği
kurulu uygulama kayıtları son bildirimden 90 gün sonra, kullanılmayan anlık bildirim abonelikleri 180 gün
sonra silinir. Ajanın çökme ve donma raporları (uygulama sürümü, cihaz modeli, işletim sistemi sürümü ve
kişisel veriden arındırılmış hata özeti; kişisel veri içermez) 90 gün sonra silinir. Çocuğun "Velimle paylaş" düğmesiyle gönderdiği haftalık öz değerlendirmeler (ruh hâli, hedef, çocuğun kendi notu; not şifreli saklanır) yalnız hesap sahibi veli ve aile ortak yöneticilerine gösterilir ve 365 gün sonra silinir. Mesaj/ekran içeriği eşleşmeleri hassas veri saklama ayarına göre kısaltılabilir ve süre
dolduğunda otomatik silinir. E-posta adresi doğrulanmamış; cihaz eşleştirilmemiş ve ödeme yapılmamış
hesaplar varsayılan olarak 30 gün sonra silinir. Hesap kapatıldığında veriler yasal saklama
yükümlülükleri saklı kalmak üzere silinir.
7. GÜVENLİK ÖNLEMLERİ
İçerik alanları veritabanında şifreli tutulur. Paralolar geri döndürülemez özet olarak saklanır. Cihaz ile
sunucu arasındaki iletişim TLS ile korunur. Yönetici işlemleri denetim kaydına yazılır.
8. ÇOCUĞUN HAKLARI VE BİLGİLENDİRİLMESİ
Çocuk da bir ilgili kişidir. Koru360, çocuğun cihazında hangi verilerin toplandığını anlatan bir
bilgilendirme ekranı sunar. Velinin bu bilgilendirmeyi çocuğun yaşına uygun biçimde yapması beklenir.
Çocuk, aşağıdaki haklarını velisi aracılığıyla kullanabilir.
Ancak bu, çocuğun tek başvuru yolunun velisi olduğu anlamına GELMEZ. Çocuğun itiraz etmek istediği
durumun kaynağı çoğu zaman velinin kendi tercihidir (örneğin uygulamanın gizlenmesi veya mesaj
içeriğinin okunması); böyle bir halde yalnızca veli üzerinden başvuru yolu göstermek, itirazı itiraz
edilen kişiye havale etmek olurdu. Bu nedenle çocuk:
a) Cihazındaki bilgilendirme ekranında ve panelde yayımlanan BAĞIMSIZ DESTEK KANALI üzerinden
doğrudan Koru360'a, velisinden bağımsız olarak başvurabilir. Bu kanalın güncel iletişim
bilgileri /api/child-notice/contact ucundan ve çocuğun cihazındaki bilgilendirme ekranından
görülebilir; yapılandırılmamışsa bu durum ekranda açıkça belirtilir.
b) Her hâlükârda, veri sorumlusuna başvurmak zorunda olmaksızın, KİŞİSEL VERİLERİ KORUMA KURUMU'na
(https://www.kvkk.gov.tr) şikâyette bulunabilir. Kurum bağımsız bir kamu otoritesidir ve bu hak
Koru360'ın veya velinin herhangi bir onayına bağlı değildir.
Koru360, bağımsız kanal üzerinden gelen bir çocuk başvurusunu velisine otomatik olarak
iletmez; başvurunun içeriği çocuğun güvenliğini ilgilendiriyorsa mevzuatın gerektirdiği bildirim
yükümlülükleri saklıdır.
9. İLGİLİ KİŞİNİN HAKLARI (KVKK m.11)
Kişisel verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını öğrenme, aktarıldığı
üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini
isteme, işlemeye itiraz etme ve zarara uğraması hâlinde tazminat talep etme haklarına sahiptir.
10. BAŞVURU USULÜ
Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca; yukarıdaki adrese
yazılı olarak, kayıtlı elektronik posta (KEP) adresine, güvenli elektronik imzalı olarak ya da sistemimizde
kayıtlı e-posta adresinizden yukarıdaki e-posta adresine gönderilerek yapılabilir. Hesap sahibi başvurusunu
panelin "KVKK başvurusu" bölümünden de iletebilir ve verilerinin tamamını panelden dışa aktarabilir.
Başvurular en geç otuz gün içinde ücretsiz olarak sonuçlandırılır.