KVKK Aydınlatma Metni

Sürüm: 1.0

1. VERİ SORUMLUSU 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, kişisel verileriniz veri sorumlusu sıfatıyla Kocaeli Doğa Sporları Kulübü (KODOSK) tarafından aşağıda açıklanan kapsam ve sınırlar dahilinde işlenmektedir. Adres: Çukurbağ Mah. Bahariye Cad. No:29, 41300 İzmit / Kocaeli, Türkiye E-posta: info@kodosk.org.tr Telefon: +90 530 067 59 27 2. İŞLENEN KİŞİSEL VERİLER KODOSK Etkinlik web sitesi, iOS uygulaması ve Android uygulaması ("Hizmet") üzerinden aşağıdaki kişisel veri kategorileri işlenebilir: Hesap bilgileriniz: ad soyadınız ve e-posta adresiniz (hesap oluşturmak için zorunludur), cep telefonu numaranız (isteğe bağlıdır). Kimlik doğrulama ve güvenlik bilgileriniz: şifrenizin geri döndürülemez biçimde dönüştürülmüş (hash) hâli — şifrenizin kendisi hiçbir surette düz metin olarak tutulmaz —, hesap oluşturma/giriş/oturum yenileme işlemlerine ait kayıtlar, cihaz/tarayıcı bilgisi (User-Agent), şifre sıfırlama ve e-posta doğrulama işlemlerine ilişkin geçici, tek kullanımlık teknik kayıtlar. Etkinlik kayıt bilgileriniz: kaydolduğunuz etkinlikler, kayıt grubunuzdaki katılımcı sayısı, kayıt durumunuz (onaylı, yedek listede veya iptal edilmiş). Etkinliğe özel ek bilgiler: bir etkinliğin organizatörü, yalnızca o etkinliğe özgü olmak üzere ek bilgiler talep edebilir. Bu, etkinlikten etkinliğe değişir ve talep edilen alanlar arasında örneğin doğum tarihi, kan grubu, acil durum iletişim bilgisi veya — yalnızca ilgili etkinliğin organizatörü gerekli gördüğünde — T.C. Kimlik Numarası yer alabilir. Bu alanların hiçbiri KODOSK hesabınızın sabit, zorunlu bir parçası değildir; yalnızca kaydolduğunuz belirli etkinliğe bağlı olarak istenir. Onay ve tercih kayıtlarınız: KVKK Aydınlatma Metni'ni ve Kullanım Koşulları'nı hangi sürümüyle, ne zaman ve hangi platformda (web, iOS veya Android) kabul ettiğinize ilişkin kayıtlar; katılımcı isminizin ilgili etkinliğin herkese açık katılımcı listesinde görünmesine izin verip vermediğinize dair tercihiniz. Bildirim verileriniz: tarafınıza gönderilen anlık bildirimlerin ve/veya e-posta bildirimlerinin gönderim ve okunma durumuna ilişkin kayıtlar; cihazınıza bildirim iletilebilmesi için hesabınızla ilişkilendirilen, doğrudan kimliğinizi göstermeyen rastgele bir sistem kimliği. İşlem güvenliği kayıtları: yalnızca yönetici yetkisiyle gerçekleştirilen işlemlere ilişkin iç denetim kayıtları. Bu kayıtlara T.C. Kimlik Numarası veya benzer hassas alan değerleri hiçbir surette yazılmaz. 3. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI Kişisel verileriniz; hesabınızın oluşturulması ve kimliğinizin doğrulanması, Hizmet'e güvenli şekilde erişiminizin sağlanması, etkinlik kayıt, iptal ve yedek liste süreçlerinin yürütülmesi, etkinlik kontenjanlarının adil şekilde yönetilmesi, ilgili etkinlik organizatörünün o etkinlik için gerekli gördüğü ek bilgilerin toplanması ve yönetilmesi, etkinliklere ilişkin bilgilendirme ve bildirimlerin tarafınıza iletilmesi, hesap ve sistem güvenliğinin sağlanması ile yetkisiz erişimlerin tespit edilip önlenmesi, kulüp üyeliği bilgilerinizin (üye iseniz) yönetilmesi ve yürürlükteki mevzuattan doğan yükümlülüklerin yerine getirilmesi amaçlarıyla işlenmektedir. 4. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ Kişisel verileriniz, Hizmet üzerinden doğrudan sizin tarafınızdan girilen bilgiler yoluyla elektronik ortamda toplanır. Buna ek olarak, Hizmet'i kullanımınız sırasında sistem tarafından otomatik olarak sınırlı ölçüde teknik veri (örneğin cihaz/tarayıcı bilgisi, bildirim teslim durumu) üretilir. 5. HUKUKİ SEBEPLER Kişisel verileriniz, KVKK'nın 5. maddesinde sayılan hukuki sebeplerden, işlenen veri kategorisine göre değişen şekilde, aşağıdakilerden bir veya birkaçına dayanılarak işlenmektedir: Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması: hesap oluşturma ve etkinlik kaydı işlemleri bakımından temel hukuki sebep budur — ad soyad, e-posta, kayıt bilgileri ve organizatörün etkinlik için talep ettiği ek bilgiler bu kapsamda işlenir. Hukuki yükümlülüğün yerine getirilmesi: belirli kayıtların (örneğin işlem güvenliği kayıtları) tutulmasının mevzuattan kaynaklanan bir zorunluluğa dayandığı ölçüde. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması: onay (ConsentRecord) ve denetim kayıtlarının, olası bir uyuşmazlıkta neyin ne zaman kabul edildiğinin veya hangi işlemin kim tarafından yapıldığının ispatlanabilmesi amacıyla saklanması bu kapsamdadır. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması: hesap güvenliğinin sağlanması, kötüye kullanımın önlenmesi ve bildirim gönderimi bu kapsamda değerlendirilmektedir. Açık rıza: yukarıdaki sebeplerin hiçbirinin uygulanamadığı, sınırlı sayıdaki durumlarda — örneğin katılımcı isminizin bir etkinliğin herkese açık listesinde görünmesine ilişkin, tamamen sizin tercihinize bağlı olan onayınız için açık rızanız aranır. Hizmet'in temel işlevlerinin (hesap oluşturma, etkinliğe kayıt gibi) kullanılabilmesi, yukarıda sayılan diğer hukuki sebeplere dayandığından, bu işlemler için ayrıca açık rızanızın alınması gerekmemektedir. T.C. Kimlik Numarasının işlenmesindeki spesifik hukuki sebep, ilgili etkinliğin niteliğine göre değişebileceğinden bu belgede tek bir sabit hukuki sebep olarak beyan edilmemiştir; her etkinliğin kendi bağlamında değerlendirilmesi esastır. 6. KİŞİSEL VERİLERİN AKTARILMASI Kişisel verileriniz, yalnızca Hizmet'in işletilebilmesi için gerekli olduğu ölçüde ve aşağıda belirtilen amaçlarla, aşağıdaki hizmet sağlayıcılara aktarılmaktadır. Kişisel verileriniz hiçbir şekilde pazarlama veya reklam amacıyla satılmamakta veya üçüncü kişilerle paylaşılmamaktadır. Railway: Hizmet'in web uygulamasının ve veritabanının barındırıldığı sunucu altyapısı sağlayıcısıdır; bu nedenle işlenen tüm kişisel verileriniz bu altyapı üzerinde saklanır. OneSignal: anlık bildirim (push notification) gönderim hizmeti sağlayıcısıdır. Bu sağlayıcıya, hesabınıza ait, doğrudan kimliğinizi göstermeyen rastgele bir sistem kimliği ile gönderilecek bildirimin başlığı ve içeriği iletilir; adınız, e-posta adresiniz veya telefon numaranız bu sağlayıcıya KODOSK tarafından iletilmez. Apple Push Notification service (APNs) ve Firebase Cloud Messaging (FCM): sırasıyla iOS ve Android cihazlara bildirim iletilmesini sağlayan, OneSignal'in kullandığı işletim sistemi düzeyindeki teslim altyapılarıdır; KODOSK bu servislere doğrudan veri göndermez, bildirim OneSignal üzerinden bu servisler aracılığıyla cihazınıza ulaşır. Resend: işlemsel (transactional) e-posta gönderim hizmeti sağlayıcısıdır. Bu sağlayıcıya yalnızca e-posta adresiniz ve gönderilecek e-postanın içeriği (örneğin hesap doğrulama kodu, şifre sıfırlama bağlantısı veya bir etkinliğe ilişkin bilgilendirme) iletilir. Yukarıdaki sağlayıcıların her biri, kişisel verilerinizi yalnızca KODOSK adına ve KODOSK'un belirlediği amaçlarla işleyen hizmet sağlayıcı/veri işleyen sıfatındadır; bu sağlayıcıların kişisel verilerinizi kendi bağımsız amaçları için kullanıp kullanmadığı, her sağlayıcının kendi veri işleme politikaları çerçevesinde ayrıca değerlendirilmelidir. 7. YURT DIŞINA AKTARIM Hizmet'in barındırıldığı sunucu altyapısı (Railway) şu anda Avrupa Birliği bölgesinde, Amsterdam/Hollanda'da bulunmaktadır. Ancak bu, kişisel verilerinizin her zaman yalnızca Türkiye veya Avrupa Birliği sınırları içinde kaldığı anlamına gelmez: yukarıda sayılan diğer hizmet sağlayıcılarının (OneSignal, Resend, Apple, Google) kendi altyapıları farklı ülkelerde bulunabilir ve bu sağlayıcılar kişisel verilerinizi kendi altyapılarının bulunduğu ülkelere aktarabilir. Bu aktarımlar, KVKK'nın yurt dışına veri aktarımına ilişkin 9. maddesi ve ilgili ikincil mevzuat çerçevesinde değerlendirilmekte olup, her bir sağlayıcı için uygulanacak spesifik aktarım mekanizması ayrıca incelenmektedir. 8. SAKLAMA VE İMHA Kişisel verileriniz, ilgili işleme amacının gerektirdiği süre boyunca ve uygulanabilir mevzuatta öngörülen süreler çerçevesinde saklanır. Bu genel ilkeye ek olarak, aşağıdaki hususlarda somut ve teknik olarak uygulanan kurallar bulunmaktadır: Hesabınızı sildiğinizde, kimlik bilgileriniz (ad soyad, e-posta, telefon, şifre) derhal ve geri döndürülemez şekilde anonim hale getirilir. Ancak bu, sisteme kaydedilmiş her kaydın hesap silme ile birlikte anında ve tamamen yok edildiği anlamına gelmez: katıldığınız etkinliklere ilişkin kayıt geçmişi, onay kanıtları ve gerekli denetim kayıtları, etkinlik yönetimi bütünlüğü ve olası hukuki yükümlülükler nedeniyle, kimliğinizden bağımsızlaştırılmış şekilde saklanmaya devam edebilir. T.C. Kimlik Numarası ve benzer hassas etkinlik verileri, ilgili etkinliğin bitiş tarihinden (belirtilmemişse başlangıç tarihinden) itibaren 30 gün içinde sistemden otomatik olarak kaldırılır. Hesabınızı bu süre dolmadan önce silerseniz, bu kaldırma işlemi beklemeksizin derhal gerçekleştirilir. Kullanılmamış veya süresi dolmuş şifre sıfırlama bağlantıları, e-posta doğrulama kodları ve oturum yenileme kayıtları, ilgili kaydın geçersiz hale gelmesinden itibaren 30 gün içinde kalıcı olarak silinir. Onay (ConsentRecord) kayıtları, yönetici denetim kayıtları, genel etkinlik kayıt geçmişi ve bildirim geçmişi için şu anda sabit, önceden belirlenmiş bir saklama süresi bulunmamaktadır; bu kayıtlar, yukarıda belirtilen genel ilke uyarınca ilgili amacın gerektirdiği süre boyunca saklanır. Saklama süresinin sona ermesi hâlinde kişisel verileriniz KVKK'nın 7. maddesi ve ilgili mevzuat uyarınca silinir, yok edilir veya anonim hale getirilir. 9. VERİ GÜVENLİĞİ KODOSK, kişisel verilerinizin güvenliğini sağlamak amacıyla uygun teknik ve idari tedbirleri almaktadır. Şifreniz hiçbir zaman düz metin olarak saklanmaz; yalnızca geri döndürülemez bir dönüşümden (hash) geçirilmiş hâli tutulur. T.C. Kimlik Numarası gibi hassas alanlara erişim, yalnızca yetkilendirilmiş ve işlem kaydı tutulan (audited) belirli işlemlerle sınırlandırılmıştır ve bu alanlar olağan yönetim ekranlarında varsayılan olarak maskelenmiş biçimde görüntülenir. Sistemimize erişim, rol tabanlı yetkilendirme ile sınırlandırılmıştır. Uygulanan teknik güvenlik tedbirlerinin ayrıntıları, güvenlik nedeniyle bu belgede paylaşılmamaktadır. 10. İLGİLİ KİŞİNİN HAKLARI (KVKK MADDE 11) KVKK'nın 11. maddesi uyarınca KODOSK'a başvurarak; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK'nın 7. maddesinde öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, yapılan düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle bir zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. 11. BAŞVURU / İLETİŞİM Yukarıda sayılan haklarınızı kullanmak üzere taleplerinizi info@kodosk.org.tr adresine veya Çukurbağ Mah. Bahariye Cad. No:29, 41300 İzmit / Kocaeli, Türkiye adresine yazılı olarak iletebilirsiniz. Başvurunuzda kimliğinizi tevsik edici bilgilerin yer alması, talebinizin doğru kişiye ait olduğunun teyit edilebilmesi açısından önemlidir. 12. GÜNCELLEMELER Bu Aydınlatma Metni, mevzuat değişiklikleri veya KODOSK'un veri işleme faaliyetlerindeki değişiklikler doğrultusunda güncellenebilir. Güncel sürüm her zaman Hizmet üzerinden erişilebilir olacak; önceki sürümler, o sürüm sırasında verilmiş onayların doğruluğunun korunması amacıyla ayrıca muhafaza edilecektir.