GymTekno OKUL — Gizlilik Politikası / Privacy Policy

1. Kim olduğumuz ve bu metnin kapsamı

GymTekno OKUL, okulların öğrenci bilgi sistemi, iletişim, finans ve kampüs hizmetleri süreçlerini yürüttüğü bir okul yönetim yazılımıdır. Bu mobil uygulama; velilerin, öğrencilerin ve okul personelinin kendi okullarına ait bilgilere erişmesini sağlar.

Uygulamayı geliştiren ve yayımlayan: Gymtekno Ltd. Şti., İmbatlı Mah. 1595 Sok. Karşıyaka Konakları No: 100/C, Karşıyaka / İzmir ("GymTekno", "biz"). İletişim ve gizlilik başvuruları: info@gymtekno.com

Rol ayrımı — önemli. Uygulamada gördüğünüz öğrenci, eğitim, sağlık ve finans verilerinin veri sorumlusu çocuğunuzun kayıtlı olduğu okuldur. GymTekno bu verileri yalnızca okulun talimatıyla, veri işleyen sıfatıyla barındırır ve işler. Bir kaydın düzeltilmesi, silinmesi veya bir bilginin nereden geldiği konusundaki talepleriniz öncelikle okulunuza yöneltilir; okulunuz bize iletir. Doğrudan bize başvurduğunuzda talebinizi ilgili okula yönlendiririz.

Bu metin, mobil uygulama aracılığıyla gerçekleşen veri işlemeyi açıklar. Okulunuzun kendi aydınlatma metni ve açık rıza metinleri bu metnin yerine geçmez, onu tamamlar.

2. Hangi verileri işliyoruz

2.1 Okulun sisteme girdiği ve uygulamada size gösterilen veriler

Bu veriler uygulama tarafından toplanmaz; okul tarafından oluşturulur ve yetkiniz ölçüsünde size gösterilir.

Kategori	Örnek alanlar	Kimler görür
Kimlik ve iletişim	Ad, soyad, öğrenci numarası, sınıf/şube, veli telefonu ve e-postası	İlgili kullanıcı ve yetkili okul personeli
Eğitim	Devamsızlık, notlar, karne, sınav sonuçları, ödevler, ders programı	Öğrenci, bağlı velisi, ilgili öğretmen
Finans	Ücret planı, taksit, tahsilat, cari hesap, kantin cüzdanı bakiyesi	Mali sorumlu veli
Kampüs geçişi	Okul kapısından giriş-çıkış zamanı, yön, kapı	Öğrenci ve bağlı velisi
Geçiş fotoğrafı	Turnikeden geçişte çekilen fotoğraf — yalnızca okul bu özelliği açtıysa ve veli açık rıza verdiyse	Bağlı veli ve yetkili okul görevlisi
Sağlık (özel nitelikli)	Revir kaydı, bilinen alerji/kronik durum, ilaç bilgisi	Bağlı veli, okul sağlık görevlisi. Öğretmen yalnızca acil müdahale uyarısını görür
Rehberlik ve davranış	Görüşme ve davranış kayıtları	Rehber öğretmen; veliyle paylaşılan kayıtlar bağlı veliye
İletişim	Duyurular, okul–veli mesajları, etkinlik katılımları, onam yanıtları, izin/servis talepleri	Muhatap taraflar

2.2 Uygulamanın kendisinin işlediği veriler

Veri	Niçin	Nerede tutulur
Kullanıcı adı / e-posta ve parola (yalnızca giriş anında iletilir)	Kimlik doğrulama	Parola cihazda saklanmaz; sunucuda geri döndürülemez biçimde özetlenir
Oturum belirteci (refresh token), okul numarası, en son kullanılan giriş adı	Her açılışta yeniden giriş yapmamanız için	Yalnızca cihazınızda, uygulamanın kendi alanında
Rastgele üretilmiş cihaz kimliği	Bildirimlerin doğru cihaza gitmesi ve çıkış yapıldığında durdurulması	Cihazda ve okulun kayıtlı cihaz listesinde
Bildirim jetonu (FCM / APNs), işletim sistemi türü, uygulama sürümü	Anlık bildirim gönderimi ve destek	Sunucu ve bildirim sağlayıcısı
Dil ve bildirim tercihleri	Uygulamanın tercihinize göre çalışması	Cihaz ve sunucu
Teknik kayıtlar: IP adresi, istek zamanı, hata kayıtları, giriş denemeleri	Güvenlik, kötüye kullanım incelemesi, hız sınırlama, hata giderme	Sunucu günlükleri

2.3 İşlemediğimiz veriler

Konum verisi toplanmaz. Uygulama konum izni istemez.
Rehber, takvim, fotoğraf galerisi, mikrofon ve kameraya erişilmez. Uygulama bu izinleri istemez.
Reklam yoktur. Reklam kimliği (AAID/IDFA) okunmaz, reklam ağı SDK'sı kullanılmaz.
Üçüncü taraf izleme ve profilleme yapılmaz. Veriniz satılmaz, pazarlama amacıyla üçüncü kişilere aktarılmaz.
Kart bilgisi alınmaz. Uygulama üzerinden online ödeme alınmaz; kart numarası ne uygulamaya ne okulun sistemine girer.
Yüz tanıma yapılmaz. Geçiş fotoğrafı biyometrik şablona dönüştürülmez.

3. Niçin ve hangi hukuki sebeple işliyoruz

İşleme	Hukuki sebep (KVKK m.5-6 / GDPR m.6)
Eğitim hizmetinin yürütülmesi, not, devamsızlık, ödev, ders programı gösterimi	Sözleşmenin ifası
Ücretlendirme, tahsilat, mali kayıtların tutulması	Sözleşmenin ifası; hukuki yükümlülük
Kampüs giriş-çıkış kaydı ve veliye bildirimi	Meşru menfaat (öğrenci güvenliği)
Oturum güvenliği, sistem günlükleri, denetim kaydı	Meşru menfaat; hukuki yükümlülük
Geçiş fotoğrafı	Açık rıza
Sağlık verisi	Açık rıza (hayati tehlike hâlinde fiili imkânsızlık hükümleri saklıdır)
Tanıtım niteliğindeki bildirimler	Açık rıza

Devamsızlık, ödeme, duyuru ve acil durum bildirimleri eğitim hizmetinin parçasıdır ve ticari elektronik ileti sayılmaz. Rıza gerektiren işlemler ayrı ayrı sorulur; rıza vermemek veya rızayı geri çekmek eğitim hizmetinden yararlanmayı engellemez.

4. Çocuklara ait veriler

Uygulama, çocuklara pazarlanan bir eğlence uygulaması değildir; okul yönetim yazılımının erişim aracıdır. Hesaplar okul tarafından oluşturulur; uygulama içinde kendi kendine kayıt olma, herkese açık profil, kullanıcılar arası serbest sohbet, satın alma içi içerik veya reklam bulunmaz.

Öğrenci hesabının açılması ve kullanılması okulun ve velinin sorumluluğundadır.
Veli, yalnızca sistemde kendisiyle ilişkilendirilmiş çocuğun verisini görebilir. Bu ilişki her istekte sunucu tarafında doğrulanır.
Öğrenciye ait veri, reklam veya profilleme amacıyla kullanılmaz.
Sağlık, rehberlik ve geçiş fotoğrafı gibi hassas veriler rol bazlı yetkiyle sınırlanır ve her görüntüleme denetim kaydına yazılır.

5. Kimlerle paylaşılıyor

Alıcı	Ne için	Sıfatı
Çocuğun kayıtlı olduğu okul	Eğitim hizmetinin yürütülmesi	Veri sorumlusu
Google Firebase Cloud Messaging (Android) ve Apple Push Notification service (iOS)	Anlık bildirim iletimi	Veri işleyen
Barındırma sağlayıcısı (Türkiye'de yerleşik)	Sunucu ve veritabanı barındırma	Veri işleyen
SMS ve e-posta sağlayıcısı (Türkiye'de yerleşik)	Bilgilendirme mesajları	Veri işleyen
Millî Eğitim Bakanlığı ve yetkili kamu kurumları	Mevzuattan doğan bildirim yükümlülükleri	Veri sorumlusu

Bildirim jetonları, bildirimin telefona ulaşabilmesi için işletim sistemi sağlayıcısının altyapısından geçer. Bildirim içeriği özet tutulur; hassas ayrıntı bildirim metnine yazılmaz.

Yurt dışına aktarım: Veriler Türkiye'de barındırılır. Bildirim iletimi için jetonun ve bildirim başlığının Google ve Apple altyapısı üzerinden geçmesi dışında yurt dışına aktarım yapılmaz.

Verileriniz satılmaz, kiralanmaz ve reklam amacıyla hiçbir tarafla paylaşılmaz.

6. Saklama süreleri

Süreleri, veri sorumlusu sıfatıyla okul belirler. Ürün varsayılanları:

Kayıt	Süre
Kapı geçiş kayıtları	180 gün (okul ayarlar)
Kapı geçiş fotoğrafları	90 gün (okul ayarlar)
Okul–veli mesajları	365 gün (okul ayarlar)
Bildirim gönderim kayıtları	180 gün (okul ayarlar)
Ziyaretçi kayıtları	365 gün (okul ayarlar)
Denetim kaydı	10 yıl
Eğitim kayıtları, karne ve diploma bilgileri	MEB mevzuatının öngördüğü süre
Mali kayıtlar ve faturalar	10 yıl (VUK m.253, TTK m.82)
Cihaz kaydı ve bildirim jetonu	Çıkış yapıldığında veya uygulama kaldırıldığında geçersizleşir

7. Güvenlik

Tüm iletişim TLS ile şifrelenir.
Her okulun verisi ayrı veritabanında tutulur; okullar arası veri karışması mimari olarak engellenir.
Yetkilendirme rol bazlıdır; veli–çocuk ilişkisi her istekte sunucuda doğrulanır.
Sağlık, rehberlik ve geçiş fotoğrafı gibi hassas kayıtlarda kim neye baktı denetim kaydına yazılır.
Parolalar geri döndürülemez biçimde özetlenerek saklanır.
Fotoğraf ve belgelere erişim, kısa ömürlü ve yetkiye bağlı bağlantılarla verilir; kalıcı herkese açık adres üretilmez.
Destek personelinin okul verisine erişimi kayıtlı, gerekçeli ve sürelidir.

8. Haklarınız

KVKK m.11 ve ilgili olduğu ölçüde GDPR kapsamında şu haklara sahipsiniz:

Kişisel verinizin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme,
İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
Eksik veya yanlış işlenmişse düzeltilmesini isteme,
Silinmesini veya yok edilmesini isteme,
İşlemenin sınırlandırılmasını ve verinin taşınabilir biçimde verilmesini isteme,
Açık rızaya dayanan işlemelerde rızayı geri çekme,
Zarara uğramanız hâlinde zararın giderilmesini talep etme.

Başvurular info@gymtekno.com adresine veya okulunuza yapılır ve en geç 30 gün içinde sonuçlandırılır. Başvuruda, veri sahibi ya da yasal temsilcisi olduğunuz doğrulanır; veli yalnızca kendi çocuğu hakkında başvurabilir.

9. Hesap ve veri silme

Hesaplar uygulama içinden açılmadığı gibi uygulama içinden de kapatılmaz; hesap yönetimi okuldadır. Silme talebinizi info@gymtekno.com adresine veya okulunuza iletebilirsiniz.

Uygulamayı kaldırdığınızda: cihazdaki oturum bilgisi ve tercihleriniz silinir; cihaz bildirim kaydı geçersizleşir.
Silme talebinde: kayıt anonimleştirilir. Kişi kimliksizleşir ("Anonim S12"), sınıf listesi, mali kayıt bütünlüğü ve denetim izi bozulmaz.
Silme reddedilebilir: öğrenci kaydı hâlâ aktifse, açık bakiye varsa veya mevzuat saklamayı zorunlu kılıyorsa. Ret sebebi yazılı olarak bildirilir.
Açık rızaya bağlı veriler (geçiş fotoğrafı, sağlık kaydı) rıza geri çekildiğinde, saklamayı zorunlu kılan başka bir sebep yoksa silinir.

10. Uygulamanın istediği izinler

İzin	Niçin
İnternet erişimi	Okulun sunucusuna bağlanmak
Bildirim gösterme	Duyuru, devamsızlık, geçiş ve ödeme bildirimleri. Reddedebilirsiniz; uygulama bildirimler olmadan da çalışır

Uygulama konum, kamera, mikrofon, rehber, takvim, SMS veya depolama izni istemez.

11. Bu metindeki değişiklikler

Politika güncellendiğinde bu sayfadaki sürüm numarası ve tarih değişir. Kapsamlı bir değişiklik olduğunda uygulama içi duyuru ile bilgilendirme yapılır. Yürürlükteki sürüm daima bu adreste yayımlanır.

12. İletişim

Gymtekno Ltd. Şti.
İmbatlı Mah. 1595 Sok. Karşıyaka Konakları No: 100/C, Karşıyaka / İzmir
Destek, gizlilik ve veri sahibi başvuruları: info@gymtekno.com
Telefon: +90 (850) 305 02 01

Verinin kendisine ilişkin talepler için önce çocuğunuzun okuluna başvurmanız süreci hızlandırır. Türkiye'de ayrıca Kişisel Verileri Koruma Kurulu'na şikâyet hakkınız saklıdır.

1. Who we are and what this policy covers

GymTekno OKUL is school management software covering student records, communication, finance and campus services. This mobile app gives guardians, students and school staff access to information held by their own school.

Developer and publisher: Gymtekno Ltd. Şti., İmbatlı Mah. 1595 Sok. Karşıyaka Konakları No: 100/C, Karşıyaka / İzmir ("GymTekno", "we"). Support and privacy requests: info@gymtekno.com

Roles. The data controller for the student, academic, health and financial records you see in the app is the school your child is enrolled in. GymTekno hosts and processes this data solely on the school's instructions, as a data processor. Requests to correct or delete a record are handled by your school; if you contact us directly we forward your request to the relevant school.

This policy describes processing that happens through the mobile app. It complements, and does not replace, the privacy notice your school provides.

2. Data we process

2.1 Data entered by the school and displayed to you

This data is not collected by the app. The school creates it, and the app shows only what your role permits.

Category	Examples	Who can see it
Identity and contact	Name, student number, class, guardian phone and email	The user concerned and authorised school staff
Academic	Attendance, grades, report cards, exam results, homework, timetable	Student, linked guardian, relevant teacher
Financial	Fee plan, instalments, payments, account balance, canteen wallet	The guardian responsible for fees
Campus access	Entry/exit time, direction, gate	Student and linked guardian
Access photo	Photo captured at the turnstile — only where the school enables it and the guardian has given explicit consent	Linked guardian and authorised school staff
Health (special category)	Infirmary records, known allergies and chronic conditions, medication	Linked guardian and school health staff. Teachers see only an emergency alert
Counselling and behaviour	Counselling and behaviour records	School counsellor; records shared with the guardian
Communication	Announcements, school–guardian messages, event RSVPs, consent responses, leave and pickup requests	The parties involved

2.2 Data the app itself processes

Data	Purpose	Where it is kept
Username/email and password (transmitted at sign-in only)	Authentication	The password is never stored on the device and is stored only as an irreversible hash on the server
Session refresh token, school number, last used login name	So you do not sign in again on every launch	On your device only, in the app's private storage
Randomly generated device identifier	Routing notifications to the right device and stopping them on sign-out	Device and the school's registered device list
Push token (FCM/APNs), platform, app version	Push notification delivery and support	Server and push provider
Language and notification preferences	App behaviour	Device and server
Technical logs: IP address, request time, error logs, sign-in attempts	Security, abuse investigation, rate limiting, troubleshooting	Server logs

2.3 What we do not process

No location data. The app never requests location permission.
No access to contacts, calendar, photo library, microphone or camera.
No advertising. No advertising identifier (AAID/IDFA) is read and no ad SDK is included.
No third-party tracking or profiling. Data is never sold or shared for marketing.
No card data. The app takes no online payments; card numbers never reach the app or the school’s system.
No face recognition. Access photos are never converted into biometric templates.

3. Purposes and legal bases

Processing	Legal basis
Delivering education services: grades, attendance, homework, timetable	Performance of a contract
Fees, collections and financial records	Contract; legal obligation
Campus entry/exit records and guardian notification	Legitimate interest (student safety)
Session security, system logs, audit trail	Legitimate interest; legal obligation
Access photo	Explicit consent
Health data	Explicit consent (vital interest applies in emergencies)
Promotional messages	Explicit consent

Attendance, payment, announcement and emergency notifications are part of the education service and are not marketing messages. Consent is requested separately for each purpose, may be withdrawn at any time, and refusing or withdrawing it does not affect access to education services.

4. Children's data

This app is not a consumer app marketed to children; it is the access tool for school management software. Accounts are created by the school. There is no self-registration, no public profile, no open user-to-user chat, no in-app purchases and no advertising.

Opening and using a student account is the responsibility of the school and the guardian.
A guardian sees only the child linked to them; the link is verified server-side on every request.
Student data is never used for advertising or profiling.
Sensitive records such as health, counselling and access photos are role-restricted and every view is written to the audit log.

Recipient	Purpose	Role
The school the student is enrolled in	Delivering education services	Controller
Google Firebase Cloud Messaging (Android) and Apple Push Notification service (iOS)	Push notification delivery	Processor
Hosting provider (located in Türkiye)	Server and database hosting	Processor
SMS and email provider (located in Türkiye)	Notification delivery	Processor
Ministry of National Education and competent public authorities	Statutory reporting	Controller

Push tokens pass through the operating system vendor's infrastructure so notifications can reach the phone. Notification bodies are kept brief; sensitive detail is not written into them.

International transfers: Data is hosted in Türkiye. Apart from push tokens and notification titles passing through Google and Apple infrastructure, no data is transferred abroad.

We never sell or rent your data, and never share it for advertising.

6. Retention

Record	Period
Gate access records	180 days (school configurable)
Gate access photos	90 days (school configurable)
School–guardian messages	365 days (school configurable)
Notification delivery logs	180 days (school configurable)
Visitor records	365 days (school configurable)
Audit log	10 years
Academic records, report cards, diplomas	As required by education legislation
Financial records and invoices	10 years
Device registration and push token	Invalidated on sign-out or uninstall

7. Security

All traffic is encrypted with TLS.
Each school's data lives in a separate database, so data cannot leak between schools.
Authorisation is role-based, and the guardian–child link is verified server-side on every request.
Views of sensitive records (health, counselling, access photos) are written to an audit log.
Passwords are stored only as irreversible hashes.
Photos and documents are served through short-lived, permission-checked links; no permanent public URLs are created.
Support access to a school's data is logged, justified and time-limited.

8. Your rights

Under Turkish Law No. 6698 (KVKK) and, where applicable, the GDPR, you may:

ask whether your data is processed and request information about it,
learn the purpose of processing and whether it is used accordingly,
know the third parties the data is transferred to,
request correction of incomplete or inaccurate data,
request erasure or destruction,
request restriction of processing and a portable copy of your data,
withdraw consent where processing is based on it,
claim compensation for damages arising from unlawful processing.

Send requests to info@gymtekno.com or to your school. They are answered within 30 days at the latest. We verify that you are the data subject or their legal representative; a guardian may only submit requests concerning their own child.

9. Account and data deletion

Accounts are neither created nor closed inside the app; account management sits with the school. Send deletion requests to info@gymtekno.com or to your school.

Uninstalling the app removes the stored session and preferences from the device and invalidates its notification registration.
On a deletion request the record is anonymised: the person becomes "Anonymous S12" while class lists, financial integrity and the audit trail remain intact.
Deletion may be refused while the enrolment is active, while a balance is outstanding, or where the law requires retention. The reason is given in writing.
Consent-based data (access photos, health records) is deleted when consent is withdrawn, unless another legal ground requires retention.

10. Permissions the app requests

Permission	Why
Internet access	Connecting to the school's server
Notifications	Announcements, attendance, access and payment alerts. You may decline; the app works without them

The app requests no location, camera, microphone, contacts, calendar, SMS or storage permission.

11. Changes to this policy

When this policy changes, the version number and date above change. Material changes are announced in the app. The version in force is always published at this address.

12. Contact

Gymtekno Ltd. Şti.
İmbatlı Mah. 1595 Sok. Karşıyaka Konakları No: 100/C, Karşıyaka / İzmir
Support, privacy and data subject requests: info@gymtekno.com
Phone: +90 (850) 305 02 01

Contacting your child's school first is usually the fastest route for record-level requests. You also have the right to lodge a complaint with the Turkish Data Protection Authority (KVKK).