KVKK ve spor salonu: üye verisini doğru tutmak

Bir spor salonunun elinde, çoğu küçük işletmeden daha hassas veri birikiyor. Telefon ve doğum tarihi bir yana, PAR-Q formundaki sağlık beyanı, vücut ölçümleri, hangi gün hangi saatte kapıdan girildiği. KVKK bu verilerin bir kısmını özel nitelikli sayıyor ve Kurul spor salonlarına daha önce ceza verdi. Bu yazıda salon sahibinin KVKK açısından nerede durduğunu ve üye verisini nasıl düzenli tutabileceğini anlatıyoruz.

Veri sorumlusu kim

Veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraf. Veri işleyen ise bu veriyi onun adına işleyen taraf. Üye kaydını açan, üyelik satan ve kapıda kimin gireceğine karar veren salon olduğu için üye verisinin veri sorumlusu salondur. Bir salon yazılımı kullanıyorsanız, yazılım firması bu kayıtlar için sizin adınıza çalışan veri işleyendir ve aranızda bir veri işleme sözleşmesi olması gerekir.

GamGym'de bu ayrım yazılı. Üye kaydı, üyelikler, satış ve ödeme kayıtları, geçişler, rezervasyonlar, salonun girdiği ölçüm ve notlar ve imzalı belgeler için veri sorumlusu ilgili işletme. GamGym bunlar için veri işleyen. Kişinin GamGym hesabı ise (kimlik ve iletişim bilgileri, giriş, rızalar, kişinin kendi oluşturduğu programlar) GamGym'in sorumluluğunda. Aradaki veri işleme sözleşmesi sürümlü; işletme sahibi onayladığında sürüm, onaylayan kişi, zaman, IP ve metnin kopyası saklanıyor.

Sağlık verisi: PAR-Q ve ölçümler

PAR-Q cevapları sağlık verisi ve KVKK m.6 kapsamında özel nitelikli. Bu verinin toplanma amacı belli: salonun, kişinin egzersize başlamasında bir risk olup olmadığını bilmesi ve sorumluluğunu ispat edebilmesi. Bunun ötesinde kullanılmamalı.

Pratikte üç şey yapılmalı. Sağlık verisi için rıza, genel aydınlatma metninden ayrı ve isteğe bağlı sorulmalı. Bu forma erişim herkese açık olmamalı; resepsiyondaki her personelin PAR-Q cevaplarını görmesine gerek yok. Saklama süresi de bilinçli seçilmeli. PAR-Q için bu süreyi bir hukukçunun belirlemesi gerekiyor; mevzuat net bir rakam vermiyor.

GamGym'deki hazır KVKK şablonunda sağlık verisi rızası aydınlatmadan ayrı, evet / hayır şeklinde isteğe bağlı bir soru. Personel yetkileri rol ve şube bazında verildiği için muhasebeci ile resepsiyon aynı ekranları görmüyor.

Parmak izi yerine QR

KVKK, parmak izi ve el taraması ile girişi (2019/81, 2019/165, 2020/167 sayılı kararlar) ve kan grubu toplamayı (2022/1357) gerekçe göstererek spor salonlarına ceza verdi. Kapıda kimlik doğrulamak için biyometrik veri toplamak, amacına göre fazla bulunuyor.

GamGym girişte biyometrik veri kullanmıyor. Üyenin telefonundaki QR kodu 30 saniyede bir değişiyor, bu yüzden ekran görüntüsü alıp başkasına vermek işe yaramıyor. Nasıl çalıştığını QR ile giriş yazımızda ayrıntılı anlattık; terimin kısa tanımı sözlükte.

Ne kadar saklamalı

Saklama sürelerinin bir kısmı kanunla belli, bir kısmı ise öneri düzeyinde. Bizim çalışmamızda çıkan tablo kabaca şöyle:

Veri	Süre	Durum
Defter, ödeme, iade, makbuz, fatura	Yıl sonundan itibaren 10 yıl (VUK 253, TTK 82)	Zorunlu
Üyelik, satış, iptal talepleri ve kararları	Online satışta en az 3 yıl; 10 yıl öneri	Online satışta zorunlu
Salonun girdiği ölçüm ve notlar	Son üyelik bitince (ör. 6 ay sonra) ya da talep üzerine silme veya anonimleştirme	Öneri
Geçiş kayıtları	Üyelik bitiminden sonra 2 yıl kimlikli, sonra toplulaştırma	Öneri

Kural basit: para ve sözleşme kayıtları silinmez, salonun hizmet için tuttuğu kişisel ayrıntılar ise üyelik bittikten sonra gereğinden uzun tutulmaz.

Başka bir salon üyenizin neyini görür

GamGym'de bir telefon numarası tek kişidir. Aynı kişi iki farklı salona üye olabilir, ama işletmelerin kayıtları birbirinden ayrı. Bu ayrım yalnız uygulama içinde değil, PostgreSQL'in satır düzeyinde güvenlik özelliğiyle veritabanında da yapılıyor. Bir salonun sorgusu başka bir işletmenin satırına ulaşmıyor.

Resepsiyon yeni üye eklerken telefonu yazdığında, kişi sistemde varsa yalnızca maskeli bir ad görüyor. Kişinin ölçüm ve program geçmişinin başka salonlarla paylaşılması varsayılan olarak kapalı ve kişinin rızasına bağlı. Rızalar (aydınlatma metni, kullanım koşulları, ticari ileti, profil paylaşımı) sürümleriyle kayıt altında; geri çekme yeni bir kayıt olarak ekleniyor, eski kayıt değişmiyor.

Dijital imza ve kâğıt form

Kâğıt KVKK formu imzalatıp dolaba koymak hem kaybolmaya açık hem de "hangi metni imzaladı" sorusuna cevap vermiyor. GamGym'de sözleşme, KVKK, PAR-Q ve muafiyet belgeleri tablette ya da üye portalında imzalanıyor. Saklanan şeyler: imza görüntüsü, IP, cihaz bilgisi ve imzalandığı anki metnin kendisi. Metni sonradan değiştirdiğinizde eski imzalar eski metinle birlikte duruyor.

Üye hesabını kapatırsa salona ne gelir

Üye GamGym hesabını üye portalından (Hesabım › Hesabı kapat) kapatabiliyor. Kapatmadan önce her salon için bir özet görüyor: açık üyelikler ve tahmini iade, yaklaşan rezervasyonlar, borç ve bekleyen iadeler. Ekran önce "Verilerimi indir" seçeneğini öneriyor, sonra açık onay istiyor.

Kapatma onaylandığında salonunuza üç şey ulaşıyor. Birincisi, kişinin sizdeki her açık üyeliği için bir sonlandırma talebi; bu talep normal iptal akışından geçiyor, 7 günlük karar süresi ve 15 günlük iade takibi aynen işliyor. İkincisi, üye yetkilinize "üye hesabını kapattı" bildirimi. Üçüncüsü, kişinin adı, soyadı, telefonu ve e-postası sizin üye kaydınıza kopyalanıyor. Bu kopya sizin, çünkü üye kaydının veri sorumlusu sizsiniz; sonlandırma teyidini ve iadeyi kişiye ulaştırmanız için orada duruyor. Talep ve iade kapandıktan sonra bu kopyayı kendi saklama kuralınıza göre silmek de sizin işiniz.

Borç kapatmayı engellemiyor, sizin defterinizde kalıyor. Yaklaşan rezervasyonlar cezasız iptal ediliyor. Sattığınız üyelikler, tahsilatlar, geçiş kayıtları, rezervasyonlar, sizin girdiğiniz ölçümler ve atadığınız programlar silinmiyor.

Kişinin kendi oluşturduğu şeyler ise hemen siliniyor: kendi programları ve antrenman günlüğü, sosyal paylaşımları, salon değerlendirmeleri, kendi girdiği ölçümler, profil fotoğrafı ve cihaz kayıtları. Ticari ileti ve geçmiş paylaşımı rızaları geri çekiliyor. Kişinin GamGym'deki kimliği varsayılan olarak 30 gün sonra (en fazla 180 gün) anonimleşiyor; sizin kaydınızdaki kopyaya dokunulmuyor. Silme ve anonimleştirme adımlarının her biri en az 3 yıl saklanan bir kayda yazılıyor.

"Verilerimi indir" ise hesabı kapatmadan da kullanılabiliyor. Dosya arka planda JSON olarak hazırlanıyor, hazır olunca kişiye bildirim gidiyor; bağlantı 60 dakika geçerli, dosya 7 gün tutuluyor ve 24 saatte bir istenebiliyor. Dosyada salon başına üyelik ve ödeme özeti var, ama sizin kayıtlarınızın tam kopyasını isteyen üye bunu yine size soracak.

Hazır KVKK şablonu ve platform metinleri henüz hukukçu incelemesinden geçmedi; şablonu kendi avukatınıza göstermeden kullanmayın.

Bugün yapabileceğiniz beş şey

1. Aydınlatma metninizde veri sorumlusu olarak salonunuzun unvanı yazıyor mu, kontrol edin.
2. Sağlık verisi rızasını genel metinden ayırın.
3. Personelinizin hangi ekranları gördüğünü rol rol gözden geçirin.
4. Bilgisayarlarda duran eski üye Excel dosyalarını toplayıp silin; geçiş rehberimizde bunun sırasını anlattık.
5. Yazılım firmanızla imzalı bir veri işleme sözleşmeniz var mı, bakın.

Üyelik iptallerinde hangi kayıtların saklanması gerektiğini üyelik iptali yazımızda ayrıca ele aldık. Diğer konulardaki karşılaştırma için Neden GamGym?, paketler için işletmeler sayfası.

Beş maddenin en hızlısı dördüncüsü: masaüstündeki "uyeler_son.xlsx" dosyasını silmek bir dakika sürüyor.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.