Gizlilik ve Veri Güvenliği
EduRaf Kütüphane Bilgi Sistemi ("EduRaf"), okulların kütüphane envanterini, öğrenci dolaşımını ve okuma hareketlerini güvenli ve çağdaş bir altyapıda yönetmelerini sağlar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuat uyarınca, kullanıcılarımızın ve kütüphane kaydı tutulan öğrencilerin verilerinin gizliliği ve güvenliği temel önceliğimizdir.
1. Veri Sorumlusu ve Taraflar
EduRaf, kütüphane yönetim yazılımı sağlayıcısı (Veri İşleyen) konumundadır. Hizmeti kullanan okul yönetimleri, sisteme kaydettikleri öğrenci ve görevli bilgileri bakımından ilgili mevzuat kapsamında "Veri Sorumlusu" sıfatını haizdir. EduRaf, verileri yalnızca okul yetkililerinin talimatları ve sistemin olağan işleyiş gereksinimleri doğrultusunda işler.
2. İşlenen Kişisel Veri Kategorileri
EduRaf altyapısında veri minimizasyonu (asgari veri) ilkesi geçerlidir. T.C. kimlik numarası, doğum tarihi, anne-baba adı gibi gereksiz veya özel nitelikli kişisel veriler kesinlikle talep edilmez ve tutulmaz.
Sistemde yalnızca kütüphane hizmetinin yürütülmesi için gerekli şu veriler işlenir:
• Okul ve Yetkili Verileri: Başvuru ve yönetim sırasında alınan okul adı, il, ilçe, kurumsal e-posta, iletişim telefonu, yetkili adı-soyadı ve kullanıcı adı.
• Öğrenci Kütüphane Kayıtları: Ad, soyad, okul numarası, sınıf/şube bilgisi (9, 10, 11, 12. sınıflar) ve aktiflik durumu.
• Dolaşım ve Envanter Verileri: Ödünç alınan kitap adı, kopyanın barkod numarası, raf kodu, ödünç tarihi, son teslim tarihi, teslim zamanı ve gecikme kayıtları.
• Teknik ve Denetim Kayıtları: Kullanıcı giriş-çıkış zamanları, IP adresi, tarayıcı bilgisi ve güvenlik denetim kayıtları (audit log).
3. Çok Kiracılı (Multi-Tenant) Okul İzolasyonu
EduRaf veritabanı mimarisinde her okul mantıksal olarak tam izolasyon içerisinde barındırılır. Her kütüphane kaydı, öğrencisi, kitabı ve ödünç işlemi yalnızca ilişkili olduğu okul kimliğiyle (School ID) sorgulanabilir. Bir okulun idari kadrosu veya görevlileri, hiçbir surette başka bir okulun öğrenci listesine, envanterine veya hareketlerine erişemez.
4. Veri Güvenliği ve Kriptografik Önlemler
EduRaf altyapısı aşağıdaki teknik güvenlik tedbirleriyle korunur:
• Parola Güvenliği: Kullanıcı ve görevli parolaları açık metin olarak asla tutulmaz. Parolalar, kriptografik tuz (salt) ve sunucu tarafı gizli anahtar (pepper) bileşimiyle yüksek maliyetli scrypt algoritması üzerinden tek yönlü özetlenerek (hash) saklanır.
• Oturum Emniyeti: Kullanıcı oturum anahtarları şifrelenmiş güvenli çerezlerde (HttpOnly, Secure, SameSite=Lax) taşınır. Veritabanındaki oturum tablolarında oturum anahtarlarının yalnızca SHA-256 özetleri tutulur.
• Aktarım Şifrelemesi: Tüm web trafiği uçtan uca modern TLS (HTTPS) protokolü üzerinden iletilir.
• Kaba Kuvvet (Brute-Force) Koruması: Belirli sayıda hatalı parola denemesi yapan hesaplar otomatik olarak geçici kilitlenmeye alınır.
• Denetim Logları (Audit Trail): Sistemde gerçekleştirilen her yetkili işlem ve oturum hareketi zaman damgası ve kaynak bilgisiyle kayıt altına alınır; parola veya oturum jetonu gibi hassas parametreler loglara asla dahil edilmez.
5. Verilerin Saklanması ve Silinmesi
Kişisel veriler, okulun EduRaf aboneliği süresince ve mevzuatın öngördüğü yasal saklama süreleri boyunca güvenli sunucularda saklanır. Okul yönetiminin talebi halinde veya sözleşme ilişkisinin sona ermesiyle birlikte, ilgili okula ait tüm kayıtlar ve veri tabanı varlıkları sistemden geri döndürülemez biçimde silinir veya anonim hale getirilir.
6. Üçüncü Taraflarla Paylaşım
Kullanıcı ve öğrenci verileri hiçbir koşulda reklam, pazarlama, veri madenciliği veya ticari kazanç amacıyla üçüncü taraflarla paylaşılmaz, satılmaz veya devredilmez. Yasal yükümlülükler çerçevesinde yetkili adli veya idari makamlarca talep edilmesi halleri saklıdır.
7. İletişim ve Hakların Kullanımı
KVKK’nın 11. maddesi kapsamındaki haklarınız ve kişisel verilerinizin işlenmesine dair her türlü soru için okulunuzun kütüphane yönetimiyle veya teknik altyapı birimimizle [email protected] adresi üzerinden iletişime geçebilirsiniz.