Kurum Veri İşleme Sözleşmesi

Sürüm 1.0 · 8 Eylül 2026 · Veri sorumlusu: Arch Teknoloji Sanayi ve Ticaret A.Ş.

Bu sözleşme, öğrenci verisi bakımından veri sorumlusu olan okul ya da kurs merkezi ("Kurum") ile veri işleyen Arch Teknoloji Sanayi ve Ticaret A.Ş. ("Mercek") arasında, 6698 sayılı Kanun ve ikincil mevzuat uyarınca yapılır. Kurum paketinde kullanım şartlarının eki olarak imzalanır.

1. Konu ve süre

Mercek, Kurum'un öğretmenleri tarafından girilen öğrenci verilerini yalnızca Hizmet'in sunulması amacıyla, Kurum'un talimatı çerçevesinde işler. Sözleşme, Kurum'un aboneliği süresince ve verinin silinmesine kadar geçerlidir.

2. İşlenen veri ve ilgili kişiler

Öğrenciler (reşit olmayanlar dahil), veliler ve öğretmenler. Veri kategorileri: kimlik (ad, sınıf, şube), eğitim verisi (deneme sonuçları, konu bazlı karne, hedef, çalışma düzeni), iletişim (öğretmen e-postası), işlem güvenliği (oturum, IP), öğretmen notları ve veli notları. Özel nitelikli veri işlenmesi sözleşmenin konusu değildir.

3. Mercek'in yükümlülükleri

1. Veriyi yalnızca Kurum'un yazılı talimatı ve Hizmet'in gereği doğrultusunda işlemek, başka amaçla kullanmamak.
2. Veriye erişen personelin gizlilik yükümlülüğü altında olmasını sağlamak.
3. Uygun teknik ve idari tedbirleri almak: şifreli iletişim, erişim kontrolü, yedekleme, kayıt tutma. Tedbirler gizlilik politikasında özetlenir.
4. Alt işleyenleri (Cloudflare, Resend, OpenAI ya da Anthropic, iyzico) Kurum'a bildirmek, alt işleyen değişikliğini en az 30 gün önce duyurmak, Kurum'un makul itirazını değerlendirmek.
5. Veri ihlalini öğrendikten sonra en geç 72 saat içinde Kurum'a bildirmek, etkiyi ve alınan önlemleri paylaşmak.
6. İlgili kişi başvurularını Kurum'a 3 iş günü içinde iletmek ve Kurum'un talimatıyla gereğini yapmak.
7. Sözleşme bitiminde Kurum'un tercihine göre veriyi dışa aktarılabilir biçimde teslim etmek ve 30 gün içinde silmek, hukuken saklanması zorunlu kayıtlar hariç.
8. Yılda bir kez, Kurum'un yazılı talebiyle, alınan tedbirlere ilişkin özet rapor sunmak.

4. Kurum'un yükümlülükleri

1. Öğrenci ve veli verisini işlemek için gerekli hukuki sebebe sahip olmak, reşit olmayan öğrenciler için veli açık rızasını almak ve belgelemek.
2. Öğretmenlerine Hizmet'i bu sözleşmeye uygun kullanma talimatını vermek, ayrılan öğretmenin erişimini kapatmak.
3. İlgili kişi başvurularını yanıtlamak.

Model eğitimi. Yapay zekâ sağlayıcısına gönderilen veri yalnızca o isteğin yanıtı için kullanılır, sağlayıcının modelini eğitmek için kullanılmaz. Bu, sağlayıcıyla yapılan kurumsal API sözleşmesinin hükmüdür.

5. Yurt dışına aktarım

Barındırma Avrupa Birliği içindedir. Yapay zekâ metni için aktarım Kanun m. 9 çerçevesinde yapılır, Kurum bu özelliği kapatabilir. Kapalıyken hiçbir veri yurt dışındaki yapay zekâ sağlayıcısına gitmez.

6. Sorumluluk

Her taraf kendi yükümlülüğünün ihlalinden doğan zarardan sorumludur. Mercek'in sorumluluğu, kasıt ve ağır ihmal hariç, son 12 ayda Kurum'un ödediği tutarla sınırlıdır.

7. Uygulanacak hukuk

Türk hukuku uygulanır, İstanbul (Çağlayan) mahkemeleri yetkilidir.