İlgi: E-47834593-110-0000108450 sayılı “Yurtdışında Yerleşik Veri Sorumlularından Bilgi-Belge Talebi” konulu, 15.08.2022 tarih ve 15.10.2022 tebliğ tarihli yazınız.

Konu: İlgili tutulan yazınız ile talep olunan bilgilerin ve vesaikin sunumu hakkındadır. 

İlgili yazınız ile tarafımızca Türkiye’de mukim gerçek kişilerin ürün ve hizmet sunumunda hedeflenip hedeflenmediği, tüzel kişiliğe ve hukuki şekle bakılmaksızın Türkiye’de bir kuruluşumuzun olup olmadığı, Türkiye’de mukim gerçek kişilerinin davranışlarının izlenip izlenmediği, bunlara yönelik kişisel veri işleme faaliyeti gerçekleştirilip gerçekleştirilmediği, gerçekleştirilmekte ise hangi faaliyetlerin yürütüldüğü, özel nitelikli kişisel veri işlenip işlenmediği, Türkiye’de kullanıcı sayısı, üye sayısı, müşteri sayısı, Türkiye’den günlük erişim sayısı, varsa uygulamalarının Türkiye’de mukim kişiler tarafından indirilme sayısı, 2020 ve 2021 yıllarına ait global yıllık ciro ve çalışan sayısı gibi hususları gösterir bilgi ve belgeler ile VERBİS’e kayıt ve bildirim yükümlülüğümün yerine getirilmemesine ilişkin varsa açıklamaların Kuruma iletilmesi talep edilmiştir.

Avrupa Standartları CEFR’ye (Common European Framework of Reference/Ortak Avrupa Dil Referans Çerçevesi) karşılık gelen bir müfredat kullanarak anadili İngilizce olan sınıflar sunan, 4-12 yaş arası çocuklar için online bir İngilizce dil okulu olan NOVAKID, ABD menşeili Novakid Inc. şirketine bağlı bir uygulama olup 2017’den beri global olarak birçok ülkeye hizmet vermekle birlikte kurumsal bir organizasyon yapısına sahiptir. Kişisel verilerin işlenmesi söz konusu olduğunda, Avrupa Parlamentosu ve Konseyi’nin 2016/679 (AB) Yönetmeliği’ne (“GDPR”), Madde 29 Veri Koruma Çalışma Grubuna (“WP29”) ve Avrupa Veri Koruma Kurulunun tavsiyelerine (“EDPB”) Brezilya Genel Veri Koruma Yasası’na (“LGPD”) , Kaliforniyalı bireylerle ilgili olarak 1121 Sayılı Kaliforniya Tüketici Gizliliği Yasasına (“CCPA”) ve son olarak Türkiye’de mukim gerçek kişiler için Kişisel Verilerin Korunması Kanunu’na  (“KVKK”) azami ölçüde riayet edilmektedir.

Bu kapsamda veri işleme faaliyetlerimize ilişkin aydınlatma metinleri, gizlilik politikaları, kişisel veri envanterlerinden oluşan dokümantasyon faaliyetleri, çocukların kişisel verilerinin korunması nezdinde ebeveynlerden izin ve rıza alınması gibi uygulamalara başvurmaktayız.

1. Kurumunuzca yanıtlanması talep edilen hususlara ilişkin cevaplarımız şu şekildedir;

1. Türkiye’de Mukim Gerçek Kişilerin Ürün veya Hizmet Sunumunda Hedeflenip Hedeflenmediği Hususu:

Novakid, birçok ülkede online hizmet veren global bir şirkettir. Bu kapsamda Türkiye’de yerleşik 4-12 yaş arası çocuklara yönelik kurslarla İngilizce eğitim verilmekte ve üyelik aşaması, online görüşmeler vb. anında hizmet verilen çocuklar ve bazı durumlarda ebeveynlere ilişkin kişisel veriler işlenmektedir. Sonuç itibariyle tarafımızca Türkiye’de mukim gerçek kişilerin ürün veya hizmet sunumunda hedeflendiği görülmektedir.

B)     Tüzel Kişiliğe ve Hukuki Şekle Bakılıp Bakılmaksızın Türkiye’de Tarafımıza Ait Kuruluş Bulunup Bulunmadığı Hususu

Şirketimiz 2017 yılında kurulmuş olup 545 MARKET STREET SUITE 8291 SAN FRANCISCO, CA 94104 adresinde mukimdir. Türkiye’de herhangi bir şube, kuruluş vs.miz bulunmamakta ve web sitemizde yer alan adres, yazışma göndermek, almak ve kullanıcı taleplerinin iletilmesi gibi iletişim kurulması maksadı ile satın alınmış sanal adres niteliğindedir.

Aynı şekilde web sitesinde yer alan İstanbul telefon kodlu sabit hatla da, Türkiye merkezli çağrı merkezi hizmeti aldığımız firma vasıtasıyla kullanıcıların tarafımızla iletişim kurması sağlanmaktadır.

C) Türkiye’de Mukim Gerçek Kişilerin Davranışlarının İzlenip İzlenmediği, Bunlara Yönelik Kişisel Veri İşleme Faaliyetinde Bulunup Bulunulmadığı ve Diğer Hususlar

Yukarıda da bahsedildiği üzere Şirketimizce Türkiye’de mukim gerçek kişilere online ders hizmeti sunulduğundan ötürü işbu kişilerin faaliyetlerimiz kapsamında; meşru menfaat, açık rıza, sözleşmenin ifası gibi şartlara dayanarak bazı kişisel verilerini işleme faaliyetlerinde bulunmak durumundayız.

Kişisel veri işleme faaliyetlerinden detaylı olarak bahsetmek gerekirse;

• İlk aşamada, Deneme dersine başvurmak için velilerin ad-soyadı, e-posta adresi, doğum tarihi ve telefon numarası alınmakta olup formu dolduran ebeveynler için aydınlatma metni ile aydınlatma yükümlülüğü yerine getirilmekte ve yurt dışına veri aktarımı gerçekleştirildiğinden ötürü kendilerinden açık rıza beyanları alınmaktadır. 

• Web sitesinde Whatsapp iletişim kanalı ile hizmet almak isteyenler için kişileri doğrudan Whatsapp’a yönlendiren bir sekme mevcut olup, bu kanal vasıtasıyla kişilerin cep telefon numarası vs. verileri işlenmektedir. Bu nedenle “Whatsapp üzerinden kişisel veri işlenmesine ilişkin açık rıza” ilgili kişilerden alınmaktadır.İnternet sitesinde; “Yorumlar” başlıklı bölümde, hizmet alan bazı çocukların, ebeveynleri ile birlikte ad, fotoğraf gibi kişisel verileri işlenmektedir. Bu kapsamda ebeveynlerden hem kendi adlarına hem de 4-12 yaş arasındaki çocuklara hizmet verildiğinden ötürü onlar adına muvafakat alınmakta ve kendilerine karşı aydınlatma yükümlülüğü eksiksiz şekilde yerine getirilmektedir.

• Derslerde görüntü ve ses kaydı alınmakta ve bu kapsamda ebeveynlerden çocukların “görsel ve işitsel kayıtlar” veri kategorisinde yer alan video kayıtlarının alınması maksadıyla muvafakatname alınmakta, buna ek olarak aydınlatma yükümlülüğü de yerine getirilmektedir.

.

• Türkiye’de mukim gerçek kişilerin davranışlarının izlenmesi “web sitesinde mevcut çerezler” ile sağlanmaktadır. İnternet sitemizde, çerezler aracılığıyla ziyaretçilerden otomatik bilgi toplayabilmek mümkün olup “kesinlikle gerekli çerezler”, “araştırma, performans ve analiz çerezleri”, “reklam çerezleri” toplanmaktadır.

• Özel nitelikli veriler açısından ise şirket bünyesinde, Türkiye’de mukim gerçek kişilerin kanunda sınırlı sayıda sayılan özel nitelikli kişisel verilerini kesinlikle işlememekteyiz.

Paylaştığımız ve Tarafımızla Paylaşılan Veriler

Kurumsal mesajlaşma konusunda uzman bir Şirket olan Intercom Inc. ile aramızda akdedilen hizmet sözleşmesi gereği kendileri ile ebeveyn ve çocuk isimleri, çocuk yaşı, e-posta, telefon, eğitim süreciyle ilgili diğer bilgiler paylaşılmakta, ayrıca ilgili hizmet sağlayıcından tarafımıza Ad-Soyad, E-posta (kullanıcının veya potansiyel müşterinin e-posta adresi).telefon numarası (bir kullanıcı veya müşteri adayının telefon numarası) gibi veriler de iletilmektedir.

Çağrı merkezi ve santral hizmeti sunan Türk menşeili şirket Verimor Telekomünikasyon A.Ş.’den aldığımız hizmet kapsamında müşteriler ile gerçekleştirilen görüşmeler kayıt altına alınabilmekte ve veri işleyen sıfatıyla işbu veriler çağrı merkezi firmasınca da işlenebilmektedir. 

Kullanıcı Sayısı, Ciro Bilgileri Vs. Hakkında Hususlar

Kullanıcı sayısı, ciro bilgileri gibi hususlar açısından mevcut durumda Türkiye’de öğrenci kategorisinde kullanıcı sayısı 5378 olup tüm zamanda uygulama indirme sayıları Android için 71108 ve İOS için 24305’tir. Son olarak, Küresel Net ciro 2021-2020’de 25.000.000 TL’nin altındadır; Şirketin iş sözleşmesiyle bağlı herhangi bir çalışanı yoktur, yalnızca bağımsız yükleniciler (hizmet sağlayıcılar) vardır.

VERBİS’e Kayıt Yükümlülüğü Hakkında

Şirketimiz, faaliyet gösterdiği hizmet alanı ve sahip olduğu bilinçten ötürü temel insan haklarından olan özel hayatın gizliliği ve dolayısıyla kişisel verilerin korunması hususunda her türlü dikkat ve özeni göstermekte ve bünyesindeki gizlilik politikaları ile bu yaklaşımı somutlaştırmaktadır. Şirketimiz, ABD menşeili bir şirket olduğundan ötürü hizmette bulunduğu ülkelerin düzenlemelerine uyumlu olmak için azami çabayı göstermekteyse de ülkelerin yerel şirketleri kadar güncel gelişmelerden hızlıca haberdar olamamaktadır. Kurumunuzca tarafımıza iletilen 15.10.2022 tebliğ tarihli yazı vasıtasıyla VERBİS’e (Veri Sorumluları Sicili) kayıt yükümlülüğüne sahip olduğumuz öğrenilmiş ve vakit kaybetmekten hukuki destek arayışına girilmiştir. Kuruma ilettiğimiz 24.10.2022 tarihli yazıdan da görüleceği üzere ivedilikle Türk hukuk firmasına danışılmış ve gerekli işlemlerin yapılabilmesi için ek süre talep edilmiştir. Ek süre talep etmekteki amacımız verdiğimiz hizmetleri KVKK’ya en uygun hale getirmek ve bu kapsamda envanter hazırlamak, VERBİS kaydını gerçekleştirmek; aydınlatma, açık rıza ve politika metinleri oluşturmaktadır.

Verbis yükümlülüğünü tarafımıza verilen süre dolmadan gerçekleştirmiş bulunmaktayız. Bu kapsamda KVKK’nın sicil sorgulama linki  https://verbis.kvkk.gov.tr/Query/Search den aşağıdaki görselde de görüldüğü üzere gerçekleştirilmiş sorgulama vasıtasıyla bu husus kanıtlanmıştır.

Savunma yazımıza ek dokümanlardan da görüleceği üzere Kurum yazınız tarafımıza tebliğ edildiğinden bu yana iyiniyet göstergemiz olarak her türlü uyarıyı dikkate almış ve Türk hukukuna duyduğumuz saygı çerçevesinde her türlü önlemi almış bulunmaktayız. 

Sayın Kurumunuzun ilgisine sunarız.

Saygılarımızla,

NOVAKID INC. 

Vekaleten Av. Ali AYDIN