Veri İşleme Sözleşmesi
Sürüm 2026-11. Bu sözleşme hukuki inceleme sonrasında güncellenebilir; her değişiklik yeni sürüm olarak yayımlanır ve panelde yeniden onaya sunulur.
1. Taraflar
Veri sorumlusu: GamGym'i kullanan işletme (spor salonu, alt bayi ya da serbest antrenör; bundan sonra "İşletme"). Veri işleyen: [Şirket unvanı], [adres], [iletişim adresi] (bundan sonra "GamGym").
Bu sözleşme, İşletme'nin GamGym yazılım hizmetini kullanırken kendi üyelerine ve personeline ait kişisel verileri GamGym'e işletmesinin şartlarını 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.12/2 uyarınca düzenler. Kişisel Verileri Koruma Kurulu ("Kurul") kararları ve rehberleri yorumda esas alınır.
2. Konu ve kapsam
GamGym, İşletme'ye üye, üyelik, tahsilat, geçiş, rezervasyon, program ve iletişim yönetimi için bulut tabanlı bir yazılım sunar. Bu hizmet sırasında İşletme'nin girdiği ya da İşletme adına toplanan kişisel veriler bu sözleşmenin konusudur.
Kişinin GamGym hesabı (kimlik ve iletişim bilgileri, giriş kayıtları, rızalar, kişinin kendi programları, takip kayıtları ve sosyal paylaşımları) bu sözleşmenin konusu değildir; bunlar için GamGym kendisi veri sorumlusudur ve kişileri kendi aydınlatma metniyle bilgilendirir.
3. Süre
Sözleşme İşletme'nin onayıyla yürürlüğe girer, İşletme GamGym'i kullandığı sürece geçerlidir ve 12. maddedeki silme ya da iade tamamlanana kadar devam eder.
4. İşlemenin niteliği ve amacı
GamGym verileri yalnız İşletme'ye hizmet sunmak için işler: kaydetme, saklama, yedekleme, panelde ve uygulamada gösterme, raporlama, İşletme'nin seçtiği bildirimleri gönderme, kapı ve turnike cihazlarına geçiş izni iletme, online satış ve tahsilat kayıtlarını tutma. GamGym bu verileri kendi amaçları için kullanmaz, satmaz, reklam için işlemez.
5. Veri kategorileri ve ilgili kişiler
İlgili kişiler: üyeler, üye adayları, deneme ders talep edenler, danışanlar, İşletme personeli ve eğitmenler.
Veri kategorileri: kimlik (ad, soyad, doğum tarihi, cinsiyet, girilirse T.C. kimlik numarası), iletişim (telefon, e-posta, adres, acil durum kişisi), üyelik ve satış kayıtları, ödeme, taksit ve cari hesap kayıtları, kapı ve turnike geçişleri, ders ve randevu kayıtları, İşletme'nin girdiği ölçümler ve notlar, imzalı belgeler ve imza görüntüleri, sağlık beyanı (PAR-Q), kapıda kullanılan fotoğraf, bildirim ve gönderim kayıtları, personel kayıtları.
Sağlık beyanı ve vücut ölçümleri özel nitelikli kişisel veri olabilir. Bu verileri toplamak için gereken hukuki sebep ve açık rıza İşletme'nin sorumluluğundadır.
6. İşletme'nin talimatları
GamGym verileri yalnız İşletme'nin belgelenmiş talimatıyla işler. İşletme'nin panelde yaptığı ayarlar ve işlemler (kayıt açma, düzeltme, silme, bildirim gönderme, kural seçme) talimat sayılır. GamGym bir talimatın KVKK'ya aykırı olduğunu düşünürse İşletme'ye hemen bildirir ve o talimatı uygulamayabilir.
İşletme, verileri hukuka uygun topladığından, üyelerini kendi aydınlatma metniyle bilgilendirdiğinden ve gereken rızaları aldığından sorumludur. GamGym'in hazır sunduğu belge şablonları örnek niteliğindedir; İşletme kendi durumuna göre düzenler.
7. Gizlilik
GamGym, verilere erişen çalışanlarını ve yüklenicilerini yazılı gizlilik yükümlülüğü altına alır. Erişim yalnız hizmetin gerektirdiği ölçüde ve görevle sınırlıdır. Bu yükümlülük sözleşme bittikten sonra da sürer.
8. Güvenlik tedbirleri
GamGym KVKK m.12/1 uyarınca aşağıdaki teknik ve idari tedbirleri uygular:
- İşletmeler arası ayrım: her kayıt İşletme kimliğiyle tutulur; veritabanı satır düzeyinde güvenlik (PostgreSQL RLS, zorunlu kipte) bir İşletme'nin başka bir İşletme'nin kaydını okumasını ve yazmasını veritabanı düzeyinde engeller. Uygulama veritabanına bu kuralları atlayamayan bir rolle bağlanır.
- Yetkilendirme: panelde rol ve şube bazlı izinler; her işlem hem paket özelliği hem izin kontrolünden geçer.
- İletim güvenliği: tüm trafik HTTPS (TLS) üzerinden taşınır.
- Alan düzeyinde şifreleme: T.C. kimlik numarası, IBAN, cihaz ve entegrasyon anahtarları veritabanında şifreli tutulur.
- Kimlik doğrulama: üye girişi SMS koduyla; panel girişi şifre (özetlenmiş olarak saklanır), isteğe bağlı iki adımlı doğrulama ve geçiş anahtarı; platform yöneticileri için zorunlu iki adımlı doğrulama, oturum zaman aşımı ve IP kısıtı.
- Kayıt tutma: veri değişiklikleri alan bazında denetim kaydına yazılır, hassas alanlar maskelenir; giriş olayları kayıt altındadır. GamGym yöneticisinin destek amacıyla İşletme paneline girmesi süreli, gerekçeli ve kayıt altındadır.
- Kötüye kullanıma karşı: doğrulama kodu, giriş, QR ve cihaz uçlarında hız sınırları.
- Belgeler: imza görüntüleri ve imzalı belgeler herkese açık olmayan depolamada tutulur, yalnız yetkili oturumla açılır.
- Yedekleme: veritabanı her gün yedeklenir; yedekler Cloudflare R2'de (Doğu Avrupa bölgesi) 7 gün saklanır ve sonra silinir. Her güncellemeden önce ayrıca yedek alınır.
9. Alt işleyenler
İşletme, GamGym'in aşağıdaki alt işleyenleri kullanmasına onay verir:
| Alt işleyen | Hizmet | Konum |
|---|---|---|
| [Barındırma sağlayıcısı] | Sunucu ve veritabanı barındırma | [ülke] |
| Cloudflare, Inc. | Alan adı, içerik dağıtımı, görsel depolama, veritabanı yedekleri | Doğu Avrupa (depolama), küresel ağ |
| SMS ve e-posta gönderim sağlayıcısı | Doğrulama kodu ve bildirim gönderimi | [sağlayıcı ve ülke, seçildiğinde] |
| Google (Firebase Cloud Messaging) | Anlık bildirim iletimi | Küresel |
| Anthropic | Yapay zekâ ile program önerisi (yalnız bu özellik kullanılırsa; ad ve telefon gönderilmez) | ABD |
| Lisanslı ödeme kuruluşu | Online tahsilat (yalnız online satış açıksa) | Türkiye |
GamGym alt işleyenlere bu sözleşmedeki kadar koruyucu yükümlülükler yükler. Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce İşletme'ye panelden ve e-postayla haber verir; İşletme haklı bir sebeple itiraz ederse taraflar çözüm arar, çözülemezse İşletme sözleşmeyi cezasız sona erdirebilir. Yurt dışına aktarım KVKK m.9'daki şartlara uygun olarak yapılır.
10. İlgili kişi başvurularına yardım
KVKK m.11 başvurularını İşletme cevaplar. GamGym bunun için panelde kayıt görüntüleme, düzeltme, dışa aktarma ve silme araçları sunar. GamGym'e doğrudan gelen ve İşletme'nin kayıtlarıyla ilgili başvuruyu en geç 5 iş günü içinde İşletme'ye iletir ve kişiye başvurusunun iletildiğini söyler. İşletme'nin talebi üzerine, araçların yetmediği durumlarda makul yardımı sağlar.
11. Veri ihlali bildirimi
GamGym, İşletme verilerini etkileyen bir ihlali fark ettiğinde gecikmeksizin ve her durumda en geç 24 saat içinde İşletme'ye bildirir. Bildirimde bildiği kadarıyla ihlalin niteliği, etkilenen veri ve kişi grupları, olası sonuçları ve alınan tedbirler yer alır; bilgiler netleştikçe tamamlanır. Böylece İşletme, Kurul'a 72 saat içinde ve etkilenen kişilere makul sürede bildirim yapabilir. GamGym ihlalin incelenmesine ve etkilerinin azaltılmasına yardım eder.
12. Sözleşmenin sonu: silme ya da iade
İşletme GamGym'i bırakınca 30 gün boyunca verilerini paneldeki dışa aktarma araçlarıyla alabilir; araçların kapsamadığı kayıtlar talep üzerine dışa aktarılır. Bu sürenin sonunda GamGym İşletme'nin kayıtlarını 90 gün içinde siler ya da anonim hâle getirir; yedeklerdeki kopyalar yedek saklama süresi dolunca kendiliğinden silinir. GamGym'in kendi hukuki yükümlülüğü gereği saklaması gereken kayıtlar (örneğin GamGym'in İşletme'ye kestiği faturalar) bunun dışındadır. Kişinin kendi GamGym hesabı ve kişiye ait kayıtlar İşletme'nin ayrılmasıyla silinmez.
13. Denetim
GamGym, bu sözleşmeye uyduğunu gösteren bilgi ve belgeleri İşletme'nin yazılı talebi üzerine 30 gün içinde sunar. İşletme yılda bir kez, en az 30 gün önce yazılı bildirerek, gizlilik taahhüdü vermiş bağımsız bir denetçiyle denetim yaptırabilir; denetim iş akışını aksatmayacak biçimde yapılır ve masrafı İşletme'ye aittir. Kurul'un talepleri her zaman karşılanır.
14. Sorumluluk
Her taraf bu sözleşmeye ve KVKK'ya aykırı kendi eyleminden sorumludur. KVKK m.12/2 uyarınca güvenlik tedbirlerinin alınmasında taraflar ilgili kişilere ve Kurul'a karşı müştereken sorumludur; iç ilişkide her taraf kendi kusuru oranında sorumludur. İşletme'nin talimatına uygun işlemden doğan zarardan GamGym sorumlu tutulamaz. Sorumluluğun üst sınırı ve diğer ticari şartlar taraflar arasındaki hizmet sözleşmesine tabidir.
15. Değişiklik ve onay
Bu sözleşme yeni sürüm yayımlanarak değiştirilir. Yeni sürüm panelde duyurulur ve İşletme sahibinin onayına sunulur; onaylanan sürüm, onaylayan kişi, tarih ve IP adresiyle birlikte saklanır ve panelde indirilebilir. Uyuşmazlıklarda Türk hukuku uygulanır; [İstanbul] mahkemeleri ve icra daireleri yetkilidir.