Müşteri Verilerinin İşlenmesine İlişkin Şartlar

1. Taraflar ve Tanımlar

• Hizmet Sağlayıcı: Ahmet Samet Yüzlü, Sokullu Mehmet Paşa Mah., Ahmet Haşim Cad. No: 61 D: 22, Çankaya / Ankara. KulüpTakip SaaS hizmetini sunan gerçek kişidir.
• KulüpTakip: Hizmet Sağlayıcı tarafından sunulan yazılım ve marka. Marka adı tek başına bir hukuki kişi değildir.
• Müşteri (Kurum): Aboneliği satın alan ve platformu kendi organizasyonu adına kullanan gerçek veya tüzel kişi. Faaliyeti tüzel kişi (şirket, dernek, kulüp) yürütüyorsa Müşteri o tüzel kişidir; gerçek kişi işletmesiyse hesabı açan kişi değil, faaliyeti yürüten işletmecidir.
• Kurum Yöneticisi: Müşteri adına hesabı yöneten yetkili kullanıcı.
• Kurum Kullanıcısı: Müşteri tarafından sisteme eklenen veya davet edilen kullanıcı (antrenör, veli, sporcu, çalışan).
• İlgili Kişi: Kişisel verisi işlenen sporcu, veli, antrenör, çalışan veya diğer gerçek kişi.
• Müşteri Verileri: Müşteri veya Kurum Kullanıcıları tarafından platforma girilen, yüklenen ya da platformda üretilen kişisel veriler.

2. Roller

Platform üzerinden yönetilen sporcu, veli, antrenör, çalışan ve takım verileri bakımından veri sorumlusu, ilgili KulüpTakip hesabını işleten kişi veya kurumdur. KulüpTakip, bu verileri hizmetin sunulması amacıyla veri sorumlusu Müşteri adına ve onun talimatları doğrultusunda veri işleyen sıfatıyla işler.

Bu verilerin neden toplanacağına, kimlerin sisteme ekleneceğine, hangi alanların doldurulacağına ve verilerin ne amaçla kullanılacağına Müşteri karar verir. Hizmet Sağlayıcı bu kararların hiçbirini Müşteri adına vermez.

Veri işleyen sıfatı, Hizmet Sağlayıcı'nın KVKK'dan doğan veri güvenliği yükümlülüklerini ortadan kaldırmaz. Bu metin, tarafların sorumluluğunu kaldırmaz; yalnızca hangi veri alanında kimin sorumlu olduğunu ayırır.

3. İşlemenin Konusu, Amacı, Niteliği ve Süresi

• Konu ve amaç: Müşteri'nin spor okulu / kulüp faaliyetini yürütebilmesi için KulüpTakip yazılımının sunulması: sporcu ve takım yönetimi, program ve yoklama, aidat ve ödeme takibi, gelişim ölçümleri, duyuru ve mesaj iletimi, raporlama.
• Niteliği: Barındırma, depolama, görüntüleme, düzenleme, iletim, yedekleme, silme ve dışa aktarma gibi otomatik işleme faaliyetleri.
• Süresi: Abonelik ilişkisi devam ettiği süre ile bu metnin 12. bölümünde tanımlanan abonelik sonu süreci.

4. İlgili Kişi Grupları ve Veri Kategorileri

İlgili kişi grupları: sporcular (çocuk sporcular dahil), veliler ve yasal temsilciler, antrenörler, kurum çalışanları ve takım sorumluları, Müşteri'nin sisteme eklediği diğer kullanıcılar.

Veri kategorileri, kapsamı Müşteri belirler; platformun izin verdiği alanlar şunlardır:

• Kimlik ve iletişim bilgileri
• Veli–çocuk bağlantısı ve yasal temsilci bilgisi
• Yoklama, devamsızlık ve etkinlik katılım kayıtları
• Antrenman, müsabaka, kamp ve program kayıtları
• Aidat planları, ödeme ve sipariş kayıtları
• Gelişim ölçümleri, beceri değerlendirmeleri ve rozetler
• Antrenman notları ve sağlık notları, sağlık verisi KVKK m.6 anlamında özel nitelikli kişisel veridir (bkz. bölüm 11)
• Duyuru, bildirim ve mesaj iletim kayıtları
• Kurum kullanıcılarının erişim ve işlem kayıtları

5. Müşteri'nin Belgelenmiş Talimatları

Hizmet Sağlayıcı, Müşteri Verilerini yalnızca Müşteri'nin belgelenmiş talimatları doğrultusunda işler. Aşağıdakiler talimat sayılır:

• Kullanım Şartları ve bu metin
• Müşteri'nin veya Kurum Yöneticisi'nin platform arayüzü üzerinden gerçekleştirdiği işlemler (kayıt ekleme, silme, dışa aktarma, yetki verme, bildirim gönderme)
• Kurum Yöneticisi tarafından yazılı olarak (e-posta dahil) iletilen destek ve veri talepleri

Hizmet Sağlayıcı, bir talimatın KVKK veya diğer mevzuata açıkça aykırı olduğunu değerlendirirse Müşteri'yi bilgilendirir ve aykırılık giderilene kadar ilgili talimatı yerine getirmeyi erteleyebilir.

6. Müşteri'nin Yükümlülükleri

Müşteri, veri sorumlusu sıfatıyla aşağıdakilerden sorumludur:

• Sisteme eklediği her kişisel veri için geçerli bir işleme şartına (hukuki sebep) sahip olmak
• Sporcu, veli, antrenör, çalışan ve diğer ilgili kişilere kendi KVKK aydınlatmasını yapmak
• Gerekli hâllerde açık rıza veya diğer hukuki izinleri almak ve bunları belgelemek
• Çocuk sporcular bakımından veli / yasal temsilci süreçlerini yürütmek
• Özel nitelikli kişisel verileri yalnızca gerekli hukuki şartlar sağlandığında sisteme girmek
• Gereksiz veya ölçüsüz veri toplamamak
• Verilerin doğru ve güncel olmasını sağlamak
• Kurum Kullanıcılarını ve erişim yetkilerini yönetmek; işten ayrılan veya yetkisi sona eren kullanıcıların erişimini kapatmak
• İlgili kişi başvurularını süresinde değerlendirmek
• Saklama ve silme kararlarını kendi mevzuat yükümlülüklerine göre vermek
• Hizmet Sağlayıcı'ya verdiği silme, dışa aktarma ve erişim talimatlarının hukuka uygun olmasını sağlamak
• Kullanıcı hesaplarını, şifreleri ve kurum içi yetkileri korumak
• Platformu hukuka aykırı takip, profil çıkarma veya ayrımcılık amacıyla kullanmamak

Bu yükümlülükler, Hizmet Sağlayıcı'nın 7. ve 8. bölümlerdeki kendi güvenlik ve veri işleyen yükümlülüklerini ortadan kaldırmaz.

7. Hizmet Sağlayıcı'nın Veri İşleyen Yükümlülükleri

• Müşteri Verilerini yalnızca hizmetin sunulması ve Müşteri'nin belgelenmiş talimatları doğrultusunda işlemek
• Müşteri Verilerini satmamak veya kiralamamak
• Müşteri Verilerini bağımsız pazarlama amacıyla kullanmamak
• Uygun teknik ve idari güvenlik önlemlerini uygulamak (bölüm 8)
• Erişimi görev ve yetkiyle sınırlandırmak
• Verilere erişen kişileri gizlilik yükümlülüğü altında tutmak
• Alt veri işleyenleri ve hizmet sağlayıcıları mevzuata uygun şekilde yönetmek (bölüm 9)
• Veri ihlali şüphesinde ilgili Müşteri'yi gecikmeksizin bilgilendirmek (bölüm 10)
• İlgili kişi başvurularının cevaplanmasında Müşteri'ye makul teknik destek sağlamak
• Abonelik sona erdiğinde verileri bu metne ve Kullanım Şartları'na uygun şekilde dışa aktarma imkânı sunmak ve ardından silmek (bölüm 12)
• Müşteri'nin kendi yükümlülüklerini yerine getirebilmesi için makul ölçüde gerekli bilgileri sağlamak (bölüm 13)
• Müşteri talimatının açıkça hukuka aykırı olduğunu değerlendirdiğinde Müşteri'yi bilgilendirmek

8. Güvenlik Sorumluluğunun Paylaşımı

Müşteri'nin sorumluluğundadır:

• Verilerin hukuka uygun toplanması
• Kullanıcıların ve rollerin yetkilendirilmesi
• Kurum içi cihaz ve hesap güvenliği
• Kullanıcı erişimlerinin güncel tutulması
• Sisteme girilecek veri kapsamının belirlenmesi

Hizmet Sağlayıcı'nın sorumluluğundadır:

• SaaS altyapısının güvenliği ve yetkisiz erişimin önlenmesi
• Müşteri hesaplarının birbirinden ayrılması: her kayıt kurum kimliğiyle sınırlanır ve bir kurumun verisi başka kuruma gösterilmez
• Rol bazlı erişim kontrolü (yönetici, antrenör, veli, sporcu, diyetisyen); diyetisyen yalnızca kendisine atanan sporcuları görür
• Parolaların geri döndürülemez biçimde özetlenerek saklanması
• Oturum açma ve işlem kayıtlarının tutulması
• Veri işleyen personel ve alt hizmet sağlayıcılarının yönetimi
• Günlük yedekleme ve silme mekanizmaları
• Güvenlik olaylarının tespiti ve ilgili Müşteri'ye bildirilmesi

9. Alt Veri İşleyenler ve Aktarımlar

Müşteri, hizmetin sunulabilmesi için Hizmet Sağlayıcı'nın aşağıdaki kategorilerde alt hizmet sağlayıcı kullanmasına genel yetki verir:

• Sunucu ve veritabanı barındırma hizmeti
• Nesne depolama hizmeti (yüklenen logo, görsel ve belgeler)
• E-posta gönderim (SMTP) hizmeti
• Hata ve erişilebilirlik izleme ile destek altyapısı

Güncel alt hizmet sağlayıcı listesi ve bunların bulunduğu ülkeler talep üzerine kvkk@kuluptakip.com adresinden paylaşılır. Yurt dışına aktarım söz konusu olduğunda KVKK m.9'da öngörülen şartlar sağlanır. Hizmet Sağlayıcı, alt hizmet sağlayıcılarını bu metindeki yükümlülüklere denk gizlilik ve güvenlik şartlarına tabi tutar.

10. İlgili Kişi Başvuruları ve Veri İhlali Bildirimi

10.1. Başvurunun yöneltileceği taraf

Sporcu, veli, antrenör, yoklama, aidat, gelişim kaydı ve Müşteri tarafından eklenen diğer verilere ilişkin başvurular ilgili Müşteri'ye yöneltilir. Abonelik, ödeme, faturalandırma, demo talebi, destek ve KulüpTakip hesabı verilerine ilişkin başvurular ise doğrudan Hizmet Sağlayıcı tarafından cevaplanır.

Müşteri Verileriyle ilgili bir başvuru Hizmet Sağlayıcı'ya ulaşırsa: ilgili Müşteri tespit edilir, başvuru güvenli biçimde Müşteri'ye iletilir, başvurana veri sorumlusunun ilgili Müşteri olduğu açıklanır ve Müşteri'nin talimatıyla gereken teknik işlemlerde destek sağlanır. Başvurunun aynı zamanda Hizmet Sağlayıcı'nın kendi veri sorumlusu olduğu bir veriyi kapsaması hâlinde o kısım ayrıca değerlendirilir.

10.2. Veri ihlali

Müşteri Verilerini etkileyen bir güvenlik ihlali öğrenildiğinde Hizmet Sağlayıcı ilgili Müşteri'yi gecikmeksizin bilgilendirir ve bildiriminde ihlalin niteliği, etkilenen veri kategorileri ve alınan önlemler hakkında bilinen bilgileri paylaşır. Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu sıfatıyla Müşteri'ye aittir; Hizmet Sağlayıcı bu süreçte makul teknik desteği verir.

11. Çocuk Sporcular ve Özel Nitelikli Veriler

Platform çocuk sporculara ait kayıtlar ile sağlık notu ve gelişim ölçümü gibi hassas olabilecek veriler tutabilir. Bu alanların doldurulup doldurulmayacağına Müşteri karar verir.

• Hangi verilerin faaliyeti için gerçekten gerekli olduğuna Müşteri karar verir
• Her işleme faaliyeti için uygun hukuki sebebi belirlemek Müşteri'nin sorumluluğundadır
• Çocuk sporcularda veli / yasal temsilci süreçlerini Müşteri yürütür
• Özel nitelikli kişisel veriler yalnızca KVKK m.6'daki şartlar sağlandığında sisteme girilmelidir

Hizmet Sağlayıcı bu verileri bağımsız amaçlarla kullanmaz; yalnızca Müşteri'nin talimatı doğrultusunda ve hizmetin sunulması için işler.

12. Abonelik Sonu: Dışa Aktarma, İade ve Silme

• Müşteri Verileri, Müşteri'nin talimatı ve abonelik sonu süreci çerçevesinde dışa aktarılır, iade edilir veya silinir.
• Abonelik sona erdikten sonra hizmet verileri 90 gün saklanır; bu süre içinde abonelik yeniden etkinleştirilerek verilere erişilebilir ve dışa aktarma yapılabilir. Sürenin sonunda hizmet verileri silinir (bkz. Kullanım Şartları 10.4).
• Yedeklerde kalan kopyalar, yedekleme döngüsünün olağan akışı içinde tasfiye olur; bu süre boyunca yedekler aktif kullanıma alınmaz ve yalnızca felaket kurtarma amacıyla tutulur.
• Hizmet Sağlayıcı'nın kendi fatura, ödeme, sözleşme, güvenlik ve hukuki uyuşmazlık kayıtları, ilgili yasal saklama süreleri boyunca kendi veri sorumlusu sıfatıyla korunabilir. Bu kayıtlar Müşteri Verilerinden ayrıdır.
• Müşteri, kendi mevzuatından doğan saklama yükümlülüklerini belirlemekten ve gereken verileri süresi içinde dışa aktarmaktan sorumludur.

13. Bilgi Sağlama ve Denetim

Hizmet Sağlayıcı, Müşteri'nin veri sorumlusu sıfatıyla yükümlülüklerini yerine getirebilmesi için makul ölçüde gerekli bilgileri yazılı talep üzerine sağlar. Müşteri, bu metne uyulduğunu doğrulamak amacıyla makul sıklıkta ve önceden haber vererek bilgi talep edebilir. Denetim, hizmetin sürekliliğini ve diğer müşterilerin verilerinin gizliliğini bozmayacak şekilde yürütülür.

14. Yürürlük ve İletişim

Bu metin, hesabın oluşturulmasıyla birlikte Kullanım Şartları ile birlikte yürürlüğe girer. Kurumsal müşterilerle ayrıca imzalanan bir veri işleme sözleşmesi bulunması hâlinde o sözleşme hükümleri önce uygulanır.