KVKK ve Kişisel Verilerin Korunması Politikası

İşbu KVKK ve Kişisel Verilerin Korunması Politikası'nın amacı, KULÜP MERKEZİ Spor Kulübü Yönetim Platformu kapsamında gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin temel ilkeleri açıklamaktır.

KULÜP MERKEZİ; spor kulüplerinin sporcu, antrenör, takım, antrenman, yoklama, performans, etkinlik, aidat ve finans süreçlerini dijital ortamda yönetebilmesine yönelik bir yazılım hizmetidir.

Bu politika; platform kullanıcılarını, kulüp yöneticilerini, başkanları, başantrenörleri, antrenörleri, sporcuları, sporcu velilerini ve platform üzerinde kişisel verisi işlenebilecek diğer gerçek kişileri kapsayabilecek genel veri koruma yaklaşımını açıklamaktadır.

Bu politikada kullanılan temel kavramlar aşağıdaki anlamları ifade eder:

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
• İlgili kişi: Kişisel verisi işlenen gerçek kişidir.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.
• Müşteri Kulüp: KULÜP MERKEZİ hizmetinden yararlanarak kendi kulübüne ait yönetim süreçlerini platform üzerinden yürüten spor kulübü veya ilgili kuruluştur.

Kişisel verilerin işlenmesinde 6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere yürürlükteki mevzuatta öngörülen temel ilkelere uygun hareket edilmesi amaçlanmaktadır.

• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Kullanılan özelliklere, kullanıcı rolüne ve Müşteri Kulübün platform üzerindeki işlemlerine göre aşağıdaki veri kategorilerinden bazıları işlenebilir.

Kişisel veriler, ilgili işlem ve kullanıcı rolüne göre aşağıdaki amaçlarla işlenebilir:

• Kullanıcı hesaplarının oluşturulması, doğrulanması ve yönetilmesi.
• Müşteri Kulüplerin birbirinden bağımsız yönetim alanlarının oluşturulması.
• Rol ve yetki tabanlı erişim kontrolünün sağlanması.
• Sporcu, takım ve antrenör yönetimi fonksiyonlarının sunulması.
• Antrenman ve yoklama işlemlerinin yürütülmesi.
• Sportif performans ve gelişim kayıtlarının yönetilmesi.
• Kulüp etkinliklerinin yönetilmesi.
• Aidat, gelir ve gider kayıtlarının kulüp tarafından yönetilebilmesi.
• Paket, abonelik ve hizmet erişim süreçlerinin yönetilmesi.
• Platform güvenliğinin sağlanması ve kötüye kullanımın önlenmesi.
• Yetkisiz erişim girişimlerinin tespiti ve engellenmesi.
• Teknik hata, güvenlik ve işlem kayıtlarının oluşturulması.
• Kullanıcı taleplerinin ve destek başvurularının cevaplandırılması.
• Hukuki yükümlülüklerin yerine getirilmesi.
• Bir hakkın tesisi, kullanılması veya korunması.

Kişisel veri işleme faaliyetleri, somut işleme faaliyetine göre 6698 sayılı Kanun'da öngörülen uygun işleme şartlarından bir veya birkaçına dayanabilir.

Bunlar arasında özellikle;

• kanunlarda açıkça öngörülmesi,
• bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,
• veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması,
• mevzuatın açık rıza gerektirdiği faaliyetlerde ilgili kişinin hukuka uygun açık rızasının bulunması

yer alabilir.

Kişisel veriler tamamen veya kısmen otomatik yollarla elektronik ortamda toplanabilir.

Veriler özellikle aşağıdaki kanallar üzerinden elde edilebilir:

• Kulüp ve kullanıcı kayıt formları.
• Kullanıcıların platform içerisinde yaptığı veri girişleri.
• Müşteri Kulüpler tarafından yetkili kullanıcılar aracılığıyla oluşturulan kayıtlar.
• Firebase Authentication üzerinden yürütülen kimlik doğrulama süreçleri.
• Platform güvenliği ve sistem işleyişi kapsamında otomatik olarak oluşturulan teknik kayıtlar.
• Destek ve iletişim kanalları.

Kişisel veriler, ilgili hizmetin sunulması, güvenliğin sağlanması, hukuki yükümlülüklerin yerine getirilmesi veya ilgili işleme faaliyetinin yürütülmesi için gerekli olması hâlinde mevzuatta öngörülen şartlara uygun olarak sınırlı alıcı gruplarıyla paylaşılabilir.

Bu alıcı grupları somut duruma göre;

• yetkili kamu kurum ve kuruluşlarını,
• hukuken yetkili adli ve idari mercileri,
• hizmetin teknik altyapısının yürütülmesi için kullanılan bilişim ve bulut hizmeti sağlayıcılarını,
• hukuki, teknik veya operasyonel hizmet sağlayıcılarını

kapsayabilir.

Spor kulüplerinin faaliyetleri nedeniyle platform üzerinde çocuk sporculara ilişkin kişisel verilerin işlenmesi söz konusu olabilir.

Çocuklara ilişkin kişisel verilerin işlenmesinde veri minimizasyonu, amaçla sınırlılık, güvenli erişim ve yetkilendirme esaslarına özel önem verilmelidir.

Müşteri Kulüpler; kendi faaliyetleri kapsamında çocuk sporcuların verilerinin hukuka uygun şekilde elde edilmesi, gerekli bilgilendirme süreçlerinin yürütülmesi ve somut işleme faaliyeti bakımından mevzuatın gerektirdiği veli veya yasal temsilci süreçlerinin değerlendirilmesinden sorumludur.

KULÜP MERKEZİ'nin standart kulüp yönetimi fonksiyonları, kullanıcıların gereksiz şekilde özel nitelikli kişisel veri girmesini gerektirecek şekilde tasarlanmamıştır.

Sağlık bilgileri veya mevzuatta özel nitelikli kabul edilen diğer veri kategorileri, açıkça gerekli ve hukuken uygun bir işleme şartı bulunmadıkça platforma girilmemelidir.

Özel nitelikli kişisel verilerin işlenmesinin gerekli olduğu bir özellik veya süreç oluşturulması hâlinde, bu faaliyet için yürürlükteki mevzuata uygun ek teknik ve idari tedbirlerin ayrıca değerlendirilmesi gerekir.

Kişisel veriler, ilgili işleme amacı ve yürürlükteki mevzuat kapsamında gerekli olan süre boyunca saklanır.

Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması ve verilerin saklanmasını gerektiren başka bir hukuki yükümlülüğün bulunmaması hâlinde veriler, uygulanabilir mevzuata uygun şekilde silinir, yok edilir veya anonim hâle getirilir.

Hesap veya kulüp kapatma işlemlerinin teknik ve hukuki sonuçları, saklanması zorunlu kayıtlar, güvenlik logları ve hukuki yükümlülükler dikkate alınarak ayrıca değerlendirilir.

Kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin güvenli şekilde muhafazasını sağlamak amacıyla risk ve teknoloji seviyesiyle uyumlu teknik ve idari önlemlerin uygulanması hedeflenmektedir.

Platformda kullanılan güvenlik tedbirleri kapsamında özellikle;

• Firebase Authentication tabanlı kullanıcı kimlik doğrulama,
• e-posta doğrulama mekanizmaları,
• rol tabanlı yetkilendirme,
• kulüpler arası veri izolasyonu,
• Cloud Firestore Security Rules,
• Firebase App Check,
• parola güvenliği politikaları,
• güvenli oturum ve çıkış kontrolleri,
• kritik sunucu işlemlerinin Cloud Functions üzerinden yürütülmesi,
• sistem ve hata loglarının merkezi olarak izlenmesi,
• kritik yönetim işlemlerinin kayıt altına alınması

gibi tedbirler kullanılmaktadır.

6698 sayılı Kanun'un 11. maddesi kapsamında ilgili kişiler, şartları oluştuğu ölçüde veri sorumlusuna başvurarak kendileriyle ilgili;

1. kişisel veri işlenip işlenmediğini öğrenme,
2. kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. mevzuatta öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
7. düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
9. kişisel verilerin kanuna aykırı olarak işlenmesi nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

Kişisel verilerine ilişkin talepte bulunmak isteyen ilgili kişiler, kimliklerini ve taleplerini açıklayan başvurularını yürürlükteki mevzuatta öngörülen yöntemlere uygun şekilde veri sorumlusuna iletebilir.

Başvurunun sağlıklı şekilde değerlendirilebilmesi için talebin açık ve anlaşılır olması ve başvuruyu yapan kişinin kimliğinin doğrulanmasına imkân verecek yeterli bilginin sunulması gerekir.

Bu politika; mevzuat değişiklikleri, KULÜP MERKEZİ'nin hizmetlerinde meydana gelen değişiklikler, yeni özellikler, teknik altyapı değişiklikleri veya kişisel veri işleme faaliyetlerindeki gelişmeler doğrultusunda güncellenebilir.

Güncel politika, yürürlük tarihi veya son güncelleme bilgisiyle birlikte platform üzerinden erişime sunulur.

Önemli değişikliklerin bulunması hâlinde ilgili kullanıcıların uygun yöntemlerle bilgilendirilmesi değerlendirilebilir.

Kişisel verilerin korunmasına ilişkin sorular, talepler ve KVKK kapsamındaki başvurular için aşağıdaki iletişim kanalı kullanılabilir.