KVKK Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca.

Bu metin bir bilgilendirmedir. Onayınıza bağlı değildir; kayıt ekranındaki işaret, metni okuduğunuzu gösterir. Açık rızaya dayanan işlemler (konum, sağlık, yapay zekâ, ticari ileti) bu metinden ayrı olarak ve yalnız ilgili özelliği kullandığınızda sorulur.

1. Veri sorumlusu ve roller

Kulüp Bul, Modul Software Yazılım Anonim Şirketi'nin ("Şirket") işlettiği platformun adıdır. Şirket'in ticaret unvanı, MERSİS numarası, adresi ve KEP adresi kulupbul.com/iletisim sayfasında yer alır. KVKK başvuru adresi: [email protected].

• Şirket veri sorumlusudur: hesabınız, giriş ve güvenlik, kimlik doğrulama, platform içi mesajlaşma ve bildirim altyapısı, yorumlar, online ödeme aracılığı ve satın alma belgeleri, destek ve şikâyetler, analiz ve kendi yasal yükümlülükleri bakımından.
• Kulüp ayrı veri sorumlusudur: üyesi olduğunuz veya başvurduğunuz kulüp; üyelik, seans, yoklama, aidat, üyeye ilişkin notlar, sağlık bilgisi ve kulübün yüklediği belgeler bakımından kendi amaçlarıyla veri işler. Bu kayıtları Şirket, kulüp adına ve kulübün talimatıyla barındırır; bu işlemlerde Şirket veri işleyendir. Kulübün kendi amaçlarıyla yaptığı işlemler için aydınlatma ve başvuru yükümlülüğü kulübe aittir; bu başvuruları kulübe iletiriz.
• Antrenör, kendi öğrenci listesini ve kendi programlarını yönetirken aynı şekilde ayrı veri sorumlusudur.
• Bağımsız veri sorumluları: Kartla ödemede PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş.; Google ile girişte Google; uygulama mağazası satın almalarında Apple ve Google, kendi hizmetleri için kendi aydınlatma metinlerine tabidir.

2. Hangi verileri işliyoruz

• Kimlik: ad, soyad, doğum tarihi, cinsiyet, T.C. kimlik numarası (şifreli saklanır).
• Kimlik doğrulama: kimlik kartı çipinden okunan ad, soyad, T.C. kimlik numarası ve doğum tarihi (çipteki fotoğraf okunmaz); doğrulama sonucu ve gerekçesi; antrenör başvurusunda yüklenen kimlik belgesi görüntüleri.
• İletişim: telefon, e-posta, adres, veli ve acil durum kişisinin telefonu.
• Çocuk verileri: veli hesabı üzerinden girilen çocuğun adı, soyadı, doğum tarihi, cinsiyeti, T.C. kimlik numarası, telefonu, ikinci veli telefonu ve spor bilgileri.
• Kulüp ve spor ilişkisi: üyelikler, başvurular, seans kayıtları, yoklama, dondurma, iptal ve telafi talepleri, antrenman ve beslenme programları, antrenör notları, kulübe yapılan ödemelerin kaydı.
• Sağlık verisi (özel nitelikli, yalnız açık rızanızla): boy, kilo, kan grubu, kronik rahatsızlık, sağlık notu, acil durum bilgisi, sağlık raporu dosyası.
• Konum (yalnız açık rızanızla): kaydettiğiniz adresler ve koordinatlar, istediğinizde bir kez alınan cihaz konumu.
• Görsel ve içerik: profil fotoğrafı, kulüp logosu ve kapak görseli, yorumlar ve puanlar, sohbet ve grup kanalı mesajları, yapay zekâ sohbetleri, destek talepleri.
• Finans (online ödeme): sipariş, tutar, iade ve itiraz kayıtları, fatura bilgisi, ödeme yapan kişinin adı, e-postası, telefonu ve IP adresi; kulüp satıcı hesabında vergi bilgileri, IBAN, yetkili kişinin kimlik ve iletişim bilgileri ve belgeleri. Kart numarası, son kullanma tarihi ve güvenlik kodu Şirket'e hiç ulaşmaz.
• Satın alma belgeleri ve rıza kayıtları: kabul ettiğiniz metin, sürümü, özeti, kabul zamanı, IP adresi ve cihaz/tarayıcı bilgisi.
• İleti ve pazarlama: bildirim tercihleri, ticari ileti izni ve ret kayıtları, size gönderilen SMS ve uygulama içi mesajların metni ve teslim raporu.
• İşlem güvenliği: IP adresi, oturum ve cihaz bilgisi, giriş denemeleri, erişim günlükleri, bildirim cihaz anahtarı (push token), hata kayıtları.
• Kullanım istatistiği (yalnız izin verdiyseniz): uygulama içi olaylar, cihaz modeli, işletim sistemi, uygulama sürümü, cihaz tanımlayıcısı. Bu kayıtlar hesabınızla ilişkilidir; anonim değildir.

3. Amaçlar ve hukuki sebepler

• Hesap açmak, platformu sunmak, kulüp–sporcu–veli–antrenör ilişkisini yürütmek, mesajlaşma ve bildirimler: sözleşmenin kurulması ve ifası (KVKK m. 5/2-c).
• Telefon doğrulaması, oturum güvenliği, tek cihaz politikası, dolandırıcılık ve kötüye kullanımın önlenmesi: sözleşmenin ifası ve meşru menfaat (m. 5/2-c, f).
• Kimlik teyidi ve çocuk güvenliği: meşru menfaat (m. 5/2-f); ödeme ve satıcı işlemlerinde ayrıca hukuki yükümlülük (m. 5/2-ç).
• Online ödeme aracılığı, satın alma belgelerinin sunulması ve saklanması, cayma, iade ve şikâyetlerin takibi, satıcı faturasına erişim: sözleşmenin ifası ve hukuki yükümlülük (m. 5/2-c, ç — 6502 sayılı Kanun, Mesafeli Sözleşmeler Yönetmeliği, 6563 sayılı Kanun ve ilgili yönetmelik).
• Muhasebe, vergi, fatura ve stopaj kayıtları: hukuki yükümlülük (m. 5/2-ç — 213 sayılı VUK, 6102 sayılı TTK, 193 sayılı GVK).
• İnternet trafik kayıtlarının tutulması: hukuki yükümlülük (m. 5/2-ç — 5651 sayılı Kanun m. 5).
• Yorumların yayımlanması, içerik bildirimi, engelleme ve moderasyon: sözleşmenin ifası ve meşru menfaat (m. 5/2-c, f).
• Hak arama, uyuşmazlık ve ters ibrazda savunma: bir hakkın tesisi, kullanılması veya korunması (m. 5/2-e).
• Destek taleplerinin yanıtlanması, hizmet kalitesinin ölçülmesi, hata tespiti: meşru menfaat (m. 5/2-f). Hata kayıtlarından kimlik bilgileri ayıklanır.
• Kulüp yönetimine yardımcı istatistikler (ör. devam oranı veya ayrılma riski göstergesi): kulübün talebiyle ve meşru menfaat (m. 5/2-f). Bu göstergeler hakkınızda hukuki sonuç doğuran otomatik bir karar için kullanılmaz.
• Konum: açık rıza (m. 5/1). Sağlık verisi: açık rıza (m. 6/2). Yapay zekâ: açık rıza. Kullanım istatistiği ve web analitik çerezleri: açık rıza. Ticari elektronik ileti: 6563 sayılı Kanun m. 6 uyarınca ayrıca alınan onay.
• Yetkili kurum ve mahkeme talepleri: hukuki yükümlülük (m. 5/2-ç).

Açık rızanızı vermemeniz veya geri almanız, platformun temel hizmetlerini kullanmanızı engellemez; yalnız ilgili özellik kullanılamaz.

4. Toplama yöntemi

Veriler; mobil uygulama ve web sitesindeki formlar, cihazınızın kamera, konum ve NFC özellikleri (yalnız siz başlattığınızda), kulübün sizin için girdiği kayıtlar, Google ile girişte Google'dan alınan ad ve e-posta, ödeme kuruluşunun işlem sonucu, uygulama mağazalarının satın alma makbuzları ve SMS sağlayıcılarının teslim raporları aracılığıyla otomatik veya kısmen otomatik yollarla toplanır.

5. Kimlik doğrulama

T.C. kimlik numaranız matematiksel geçerlilik yönünden uygulamada kontrol edilir. Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'ne otomatik sorgu gönderilmez. Doğrulama iki yoldan yapılır:

• Kimlik kartı çipi: Çipi telefonunuza okuttuğunuzda çipteki veri ve devletin elektronik imzası sunucumuza gönderilir ve imza sunucumuzda doğrulanır; bu işlemde veri üçüncü bir kuruma gönderilmez. Çipteki fotoğraf okunmaz, yüz eşleştirme yapılmaz; biyometrik veri işlenmez. Doğrulamadan sonra doğrulama sonucu ve imza doğrulama kanıtı saklanır.
• Elle kontrol: Yetkilendirilmiş personelimiz bilgilerin tutarlılığını kontrol eder. Personelin kimlik numaranızı görüntülemesi gerekçesiyle birlikte erişim günlüğüne yazılır.

Bilgiler uyuşmazsa size bildirilir ve düzeltme için 7 gün süre verilir; süre sonunda hesap kullanıma kapatılabilir. Karara itiraz edebilir ve bir insan tarafından yeniden değerlendirilmesini isteyebilirsiniz.

6. Çocukların verileri

18 yaşından küçükler kendi hesabını açamaz; çocuk sporcu, velisi veya yasal temsilcisi tarafından eklenir. Çocuğa ilişkin veriler, veli ile kurulan sözleşmenin ifası ve kulüp üyeliğinin yürütülmesi için işlenir; sağlık verisi ve yapay zekâ gibi isteğe bağlı işlemler velinin ayrı açık rızasına bağlıdır. Satın alma belgelerinde, ödeme kuruluşuna giden bilgide ve SMS bildirimlerinde çocuğun yalnız adı ve soyadının baş harfi kullanılır. 18 yaş altı kullanıcıların kulüp sohbetleri, çocuk güvenliği kuralları devreye alınmadan açılmaz. Veli, çocuğunun kaydını dilediği zaman silebilir.

7. Aktarım (KVKK m. 8)

Verileriniz yalnız amaçla sınırlı ve ölçülü olarak şu alıcı gruplarına aktarılabilir:

• Kulüpler ve antrenörler: üyesi olduğunuz veya başvurduğunuz kulübe ve yetkili personeline, üyelik ve hizmet için gereken ölçüde.
• Diğer kullanıcılar: yorumlarınız adınız ve soyadınızın baş harfiyle (ör. "Ahmet K.") herkese; sohbet mesajlarınız yalnız ilgili konuşmanın katılımcılarına görünür.
• Ödeme ve finans: PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. (Türkiye); e-fatura/e-arşiv hizmet sağlayıcısı ve Gelir İdaresi Başkanlığı; mali müşavir.
• İleti: SMS hizmet sağlayıcıları (Türkiye). Resmî bir WhatsApp Business kanalı ileride eklenirse önceden bildirilir.
• Yetkili kurum ve kuruluşlar: mahkemeler, savcılıklar, Kişisel Verileri Koruma Kurumu, Ticaret Bakanlığı, Bilgi Teknolojileri ve İletişim Kurumu ve diğer yetkili merciler, kanuni talep halinde.
• Hukuk ve denetim danışmanları: uyuşmazlık ve denetim gerektiğinde.
• Hizmet aldığımız veri işleyenler: barındırma, içerik dağıtımı ve güvenlik, bildirim, harita ve adres, e-posta, hata izleme ve analitik sağlayıcıları. Güncel ad, ülke ve veri listesi kulupbul.com/alt-isleyiciler sayfasındadır. Yeni bir veri işleyen eklendiğinde bu sayfa güncellenir.

8. Yurt dışına aktarım (KVKK m. 9)

Aşağıdaki alıcılar Türkiye dışındadır veya verileri Türkiye dışında işler. Bu alıcılara aktarım, yalnız belirtilen amaç için gereken verilerle sınırlı olarak KVKK m. 9 kapsamında yapılır:

• Hetzner Online GmbH — Almanya (AB): sunucu barındırma; veritabanı, yüklenen dosyalar ve yedekler dahil platformdaki veriler. Sunucularımız Almanya'dadır.
• Cloudflare, Inc. — ABD merkezli, küresel ağ: içerik dağıtımı, TLS ve saldırı koruması; isteklerin IP adresi, tarayıcı ve cihaz bilgisi ile istenen adres.
• Google LLC — ABD:
• *Firebase Cloud Messaging:* anlık bildirim; cihazın bildirim anahtarı, bildirimin başlığı ve kısa metni.
• *Google Maps Platform:* haritanın gösterilmesi (mobil uygulama ve web panelindeki kulüp konumu haritası); cihazın IP adresi ve görüntülenen harita alanı. Kulüp adresi önerisi ve adres–koordinat çevirme (Places API, Geocoding API); kulüp adresi girilirken yazılan adres metni, seçilen yer ve işaretlenen nokta, sunucumuz üzerinden ve hesap bilgisi olmadan.
• *Google Workspace:* kurumsal e-posta; destek ve başvuru yazışmaları.
• *Google ile giriş ve Google Play:* Google hesabıyla girişte hesap kimliği, ad ve e-posta; mağaza satın almasında makbuz ve işlem kimliği (Google bu işlemlerde bağımsız veri sorumlusudur).
• Apple Inc. — ABD: iOS cihazlara bildirim teslimi (Apple Push Notification Service); bildirim anahtarı, bildirimin başlığı ve kısa metni. App Store satın almasında makbuz ve işlem kimliği (Apple bu işlemde bağımsız veri sorumlusudur).
• LocationIQ (Unwired Labs) — AB sunucusu; OpenStreetMap Vakfı — Birleşik Krallık: adres arama ve yedek adres çevirme; aranan adres metni veya koordinat, hesap bilgisi olmadan.
• Functional Software, Inc. (Sentry) — ABD merkezli; veriler AB veri bölgesinde (Almanya/Frankfurt): hata izleme; aşağıda açıklanan teknik hata raporları.
• Web analitiği (yalnız çerez onayı verirseniz): Plausible Insights OÜ — Estonya (AB), PostHog — AB sunucusu, Microsoft Corporation (Clarity) — ABD; web sitesindeki sayfa, tıklama ve oturum olayları.
• Mistral AI SAS — Fransa (AB): yapay zekâ özellikleri; bugün kapalıdır ve hiçbir veri gönderilmez (aşağıya bakın).

Hata izleme: mobil uygulamada, web sitesinde, web uygulamasında ve sunucularımızda oluşan hataların tespiti ve giderilmesi için (meşru menfaat, m. 5/2-f) teknik hata raporları Functional Software, Inc.'e (Sentry; ABD merkezli şirket, veriler AB veri bölgesinde, Almanya/Frankfurt'ta tutulur) aktarılır. Raporda hata türü, kişisel veriden arındırılmış hata mesajı ve kod satırları, cihaz modeli, işletim sistemi veya tarayıcı, uygulama sürümü ve mobil uygulamada hesabınızla ilişkilendirilmeyen rastgele bir kurulum kimliği bulunur. Ad, telefon, e-posta, T.C. kimlik numarası, IBAN, mesaj içerikleri ve form verileri rapor gönderilmeden önce ayıklanır; IP adresiniz rapora eklenmez ve sağlayıcıda saklanmaz. Web tarayıcınız sağlayıcıya doğrudan bağlanmaz, raporlar kendi sunucumuz üzerinden iletilir.

Açık rıza, yurt dışına aktarım için genel bir dayanak olarak kullanılmaz; yalnız KVKK m. 9/6'daki arızi hallerde başvurulabilir. Alıcıların güncel listesi kulupbul.com/alt-isleyiciler sayfasındadır.

Yapay zekâ özellikleri (antrenman, beslenme ve asistan) yurt dışındaki bir yapay zekâ sağlayıcısını kullanır ve bu nedenle uygun güvence sağlanana kadar kapalıdır. Açıldığında, gönderilen veriler ve sağlayıcının ülkesi özelliği kullanmadan önce ayrıca gösterilir ve açık rızanız istenir.

9. Saklama süreleri

• Hesap verileri: hesap açık kaldığı sürece. Hesabınızı sildiğinizde erişim hemen kapatılır; kanuni saklama gerektirmeyen veriler 30 gün içinde silinir veya anonim hale getirilir.
• Online satın alma belgeleri ve işlem kayıtları: işlem tarihinden itibaren 10 yıl (6563 m. 11/3; Mesafeli Sözleşmeler Yönetmeliği m. 20).
• Muhasebe, fatura ve stopaj kayıtları: ilgili yılı izleyen yıldan itibaren 10 yıl (TTK m. 82; VUK m. 253).
• Rıza ve sözleşme kabul kayıtları: ilişkinin sona ermesinden itibaren 10 yıl (TBK m. 146 zamanaşımı).
• Trafik ve oturum kayıtları (IP, zaman, erişim): 2 yıl (5651 m. 5/3).
• Giriş denemesi, hata ve kullanım istatistiği kayıtları: 1 yıl; hata izleme sağlayıcısındaki hata raporları en fazla 90 gün.
• Ticari ileti onay ve ret kayıtları: onayın sona ermesinden itibaren 3 yıl.
• Kimlik doğrulama sonucu ve gerekçesi: hesabın kapanmasından itibaren 2 yıl; bu kayıtta T.C. kimlik numarası tutulmaz.
• Antrenör kimlik belgesi görüntüleri: doğrulama tamamlandıktan sonra antrenör hesabı süresince; hesap silindiğinde dosyalar silinir.
• Konum: siz silene veya rızanızı geri alana kadar; rıza geri alındığında kayıtlı konumlar silinir.
• Sağlık verisi: rıza geri alınana kadar; rıza geri alındığında silinir.
• Yedekler: silinen veriler yedeklerde, yedekleme döngüsü sonunda kendiliğinden silinir.

Saklama süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca en geç altı aylık periyodik imha ile silinir veya anonim hale getirilir. Açık bir ödeme, iade, itiraz veya uyuşmazlık varsa silme, bu işlem sonuçlanana kadar ertelenir ve kayıtlar erişimi kısıtlanarak saklanır.

10. Veri güvenliği ve ihlal bildirimi

T.C. kimlik numarası, telefon, e-posta, sağlık verisi, sohbet mesajları, IBAN ve vergi numarası uygulama katmanında AES-256-GCM ile şifrelenir; tüm aktarımlar TLS ile yapılır; erişim rol ve kulüp ilişkisiyle sınırlandırılır ve hassas verilere erişim gerekçesiyle kaydedilir. Kart verisi saklanmaz. Kişisel verilerinizin yetkisiz kişilerce elde edildiğini öğrenirsek Kurul'a en geç 72 saat içinde, etkilenen kişilere ise makul en kısa sürede bildirimde bulunuruz (KVKK m. 12/5).

11. Haklarınız (KVKK m. 11)

Kişisel verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, KVKK m. 7 şartlarıyla silinmesini veya yok edilmesini ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme haklarına sahipsiniz.

Uygulamada Ayarlar > Hesap bölümünden verilerinizin bir kopyasını indirebilir, açık rızalarınızı geri alabilir ve hesabınızı silebilirsiniz.

12. Başvuru

Başvurunuzu Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca; ad-soyad, T.C. kimlik numarası (yabancılar için uyruk ve pasaport numarası), tebligat adresi, varsa e-posta ve telefon ile talebinizi içerecek şekilde, [email protected] adresine sistemimizde kayıtlı e-postanızdan, KEP adresimize, güvenli elektronik imzalı e-postayla veya ıslak imzalı dilekçeyle adresimize iletebilirsiniz. Başvurunuz en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca maliyet gerektirirse Kurul tarifesindeki ücret alınabilir. Kulübün veri sorumlusu olduğu kayıtlara ilişkin başvurunuzu en geç beş iş günü içinde kulübe iletir ve size bildiririz.

Başvurunuzun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (KVKK m. 14).

Sürüm 2.1 — Eylül 2026

Kişisel Verileri Koruma Kurumu

Kişisel Verileri Koruma Kurumu — kvkk.gov.tr — Nasuh Akar Mah. 1407. Sok. No: 4, 06520 Çankaya/Ankara.