6698 sayılı KVKK ve AB 2016/679 GDPR kapsamında aydınlatma metni
(“Üniversite”), veri sorumlusu sıfatıyla, diploma onay ve doğrulama süreçlerinde mezunlarına ait kişisel verileri 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu olarak işler. Bu metin KVKK md.10 ve GDPR md.13 uyarınca sizi bilgilendirmek amacıyla hazırlanmıştır.
1. İşlenen kişisel veriler
Yalnızca diploma düzenlemek ve doğrulamak için gerekli veriler işlenir (veri minimizasyonu — KVKK md.4, GDPR md.5/1-c):
Kimlik: ad, soyad, T.C. kimlik numarası (şifrelenmiş olarak saklanır)
Öğrenim: öğrenci numarası, fakülte, bölüm, derece, mezuniyet tarihi, not ortalaması, diploma numarası, transkript
İletişim: e-posta adresi (isteğe bağlı, yalnızca bildirim için)
İsteğe bağlı: dijital cüzdan adresi
Irk, etnik köken, din, sağlık, biyometrik veri gibi özel nitelikli kişisel veriler işlenmez (KVKK md.6).
Kanuni yükümlülük ve kamu görevi (KVKK md.5/2-ç, GDPR md.6/1-c, e); açık rıza (KVKK md.5/1)
Diplomanın üçüncü kişilerce (işveren vb.) doğrulanabilmesi
Açık rıza (KVKK md.5/1, GDPR md.6/1-a)
Süreç bildirimlerinin e-posta ile gönderilmesi
Açık rıza
İşlem güvenliği ve denetim kaydı
Veri sorumlusunun meşru menfaati ve hukuki yükümlülük
3. Verilerin aktarılması
Diploma bilgileri yalnızca onay zincirindeki üniversite birimleriyle paylaşılır; her birim yalnızca kendi yetkisi kapsamındaki kayıtları görür.
Blok zincirine kişisel veri yazılmaz. Zincire yalnızca diploma belgesinin geri döndürülemez özeti (SHA-256) yazılır.
Doğrulama sayfasında yalnızca ad-soyad, program, mezuniyet tarihi ve maskelenmiş öğrenci numarası gösterilir; T.C. kimlik numarası hiçbir zaman gösterilmez. Doğrulama sayfasına yalnızca diploma sahibinin paylaştığı QR kod/doğrulama kodu ile erişilir.
Sistem altyapısı bulut hizmet sağlayıcısı (Cloudflare) üzerinde çalışır. Verilerin yurt dışında bulunan sunucularda işlenmesi KVKK md.9 kapsamında yurt dışına aktarım niteliğindedir ve açık rızaya ve/veya KVKK md.9'daki şartlara dayanır.
4. Saklama süresi ve silme
Veriler, mevzuatta öngörülen veya işleme amacı için gerekli süre boyunca saklanır. Amacın ortadan kalkması veya talebiniz üzerine kişisel verileriniz silinir ya da anonim hâle getirilir (KVKK md.7, GDPR md.17). Silme işleminde ad, T.C. kimlik no, öğrenci no, e-posta, transkript ve dijital diploma belgesi kalıcı olarak kaldırılır; onay zinciri ve işlem kaydı yasal saklama ve hesap verebilirlik amacıyla kişisel veri içermeyecek şekilde korunur.
5. Teknik ve idari tedbirler
Tasarımdan itibaren ve varsayılan olarak veri koruma (GDPR md.25) ve işleme güvenliği (KVKK md.12, GDPR md.32) ilkeleri gereği:
T.C. kimlik numarası AES-256-GCM ile şifrelenerek saklanır; parolalar geri döndürülemez biçimde özetlenir.
Her kurum yalnızca kendi yetkili hesabıyla ve kendi sırası geldiğinde işlem yapabilir (rol bazlı erişim).
Tüm işlemler kullanıcı, tarih ve saat bilgisiyle, değiştirilemez (hash zincirli) bir kayıtta tutulur.
Bağlantılar şifrelidir (HTTPS); oturumlar güvenli çerezle yönetilir, hatalı girişlerde hesap geçici olarak kilitlenir.
Açık rıza alınmadan kayıt onay sürecine gönderilemez.
6. Haklarınız
KVKK md.11 ve GDPR md.15–21 uyarınca; kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verilerin düzeltilmesini ve silinmesini isteme, işlemenin kısıtlanmasını isteme, açık rızanızı her zaman geri çekme ve münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuca itiraz etme haklarına sahipsiniz. Rızanın geri çekilmesi, geri çekmeden önceki işlemenin hukuka uygunluğunu etkilemez (GDPR md.7/3).
7. Başvuru
Haklarınıza ilişkin taleplerinizi Üniversite Öğrenci İşleri Daire Başkanlığı'na yazılı olarak veya kayıtlı elektronik posta (KEP) ile iletebilirsiniz. Başvurular en geç 30 gün içinde sonuçlandırılır.
(“University”), as data controller, processes graduates' personal data in diploma approval and verification processes in compliance with the Turkish Personal Data Protection Law No. 6698 (KVKK) and the EU General Data Protection Regulation (GDPR). This notice is provided under KVKK Article 10 and GDPR Article 13.
1. Personal data processed
Only data necessary to issue and verify a diploma is processed (data minimisation — KVKK Art. 4, GDPR Art. 5(1)(c)):
Identity: name, surname, Turkish ID number (stored encrypted)
Diploma data is shared only with the university units in the approval chain; each unit sees only the records within its authority.
No personal data is written to the blockchain. Only an irreversible digest (SHA-256) of the diploma document is recorded.
The verification page shows only name, programme, graduation date and a masked student number; the Turkish ID number is never shown. The page is reachable only through the QR code / verification code shared by the diploma holder.
The system runs on a cloud provider (Cloudflare). Processing on servers located abroad constitutes a cross-border transfer under KVKK Art. 9 and relies on explicit consent and/or the conditions of KVKK Art. 9.
4. Retention and erasure
Data is retained for the period required by law or by the purpose of processing. When the purpose ceases or upon your request, your personal data is erased or anonymised (KVKK Art. 7, GDPR Art. 17). Erasure permanently removes name, ID number, student number, e-mail, transcript and the digital diploma document; the approval chain and audit log are kept without personal data for legal retention and accountability.
5. Technical and organisational measures
In line with data protection by design and by default (GDPR Art. 25) and security of processing (KVKK Art. 12, GDPR Art. 32):
Turkish ID numbers are encrypted with AES-256-GCM; passwords are stored as irreversible hashes.
Each institution can act only through its own authorised account and only at its turn (role-based access).
All actions are logged with user, date and time in a tamper-evident (hash-chained) audit log.
Connections are encrypted (HTTPS); sessions use secure cookies and accounts are temporarily locked after failed logins.
A record cannot be submitted for approval without explicit consent.
6. Your rights
Under KVKK Art. 11 and GDPR Arts. 15–21 you have the right to learn whether your data is processed, request information, learn the purpose of processing and whether it is used accordingly, know the third parties to whom it is transferred, request rectification and erasure, request restriction of processing, withdraw your consent at any time, and object to an outcome to your detriment arising solely from automated analysis. Withdrawal of consent does not affect the lawfulness of processing before withdrawal (GDPR Art. 7(3)).
7. Contact
You may submit requests regarding your rights to the University's Student Affairs Office in writing or via registered e-mail (KEP). Requests are concluded within 30 days at the latest.
Bu metin taslaktır; yayımlanmadan önce Üniversitenin hukuk birimi ve veri sorumlusu irtibat kişisi tarafından gözden geçirilmelidir. / This text is a draft and must be reviewed by the University's legal office before publication.