KVKK Aydınlatma Metni

gym.ai ürününün işletmecisi TORK BİLGİSAYAR SANAYİ VE TİCARET LİMİTED ŞİRKETİ (“TORK”, “biz”) tarafından yürütülen veri işleme faaliyetleri aşağıda açıklanır. TORK’un veri sorumlusu olduğu işlemler ile salon adına veri işleyen olarak sunduğu hizmetler birbirinden ayrıdır. Bu metin bilgilendirme içindir; açık rıza metni değildir.

• Adres: PINARBAŞI MAH. HÜRRİYET CAD. AKDENİZ ÜNİVERSİTESİ ULUĞBEY AR-GE 2 BLOK NO: 3A İÇ KAPI NO: B2 KONYAALTI / ANTALYA
• MERSİS No: 0856036495000028
• Vergi Dairesi: Antalya Kurumlar
• Vergi No: 8560364950
• E-posta: altay@torkyazilim.com
• Telefon: +90 (242) 606 02 48

gym.ai, spor salonlarına sunulan bir yazılım hizmetidir. Bu nedenle veri işleme rolleri ikiye ayrılır:

• Salonun üye, üyelik ve personel özlük kayıtlarında işleme amaçlarını belirleyen salon işletmesi veri sorumlusudur. TORK, bu kayıtları salonun talimatları kapsamında barındıran ve yöneten veri işleyendir. Salonun kendi aydınlatması da bu kayıtlar için geçerlidir.
• TORK’un yazılım aboneliği, hesap doğrulama, faturalama, platform güvenliği ve kendi destek hizmetleri için amaçlarını belirlediği kayıtlar bakımından TORK veri sorumlusudur. Personelin sisteme erişim hesabı ile salonun tuttuğu özlük dosyası aynı veri işleme faaliyeti değildir.

Salon kayıtlarına ilişkin taleplerinizi üyesi olduğunuz veya çalıştığınız salona iletebilirsiniz. TORK’a başvurmanız hâlinde talebin ilgili kısmı salonla birlikte ele alınır; TORK’un kendi faaliyetlerine ilişkin taleplerinizi TORK yanıtlar.

• Kimlik ve profil: ad, soyad; salonun kaydettiği doğum tarihi, cinsiyet, uyruk, üye veya personel numarası. Şahıs işletmesinin abonelik faturası için vergi numarası olarak verilen T.C. kimlik numarası fatura amacıyla alınır; sözleşme kopyasında maskelenir.
• İletişim: e-posta adresi, telefon numarası, adres ve salonun kaydettiği acil durum kişisinin adı ve telefonu.
• Müşteri işlem: üyelik planı, üyelik başlangıç ve bitiş tarihi, ödeme ve borç kayıtları, paket ve satış bilgileri, üye kaydına düşülen notlar; salon yazılım aboneliğinin planı, vergi ve tutarı, sipariş/işlem numarası, ödeme, iptal ve iade durumu; yeni web siparişindeki sözleşme/ön bilgilendirme sürümü, onay zamanı, alıcı bilgileri ve metin kopyası. Erken fesih, cayma ve iade başvuruları ile hesaplama/sonuç yazışmaları da bu kapsamdadır. Kart numarası ve güvenlik kodu gym.ai sistemlerinde saklanmaz.
• Geçiş avantajı başvurusu: isteğe bağlı yüklenen eski yazılım sözleşmesindeki salon ve süre bilgileri, başvuruyu yapan ve inceleyen yetkili, karar, onaylanan ay sayısı, indirim tutarı ve kullanım kaydı. Başvuru için gerekmeyen kimlik, imza, kart ve üçüncü kişi bilgileri yüklenmeden önce kapatılmalıdır.
• Salon personeli ve hizmet tercihleri: görev, yetki, işe başlama tarihi, çalışma durumu; salonun kullandığı dolap, araç/otopark, iletişim ve hizmet tercihleri.
• Fiziksel mekân güvenliği: salona giriş–çıkış kayıtları ve bu kayıtların zamanı.
• İşlem güvenliği: oturum kayıtları, giriş denemesi kayıtları, cihaz ve tarayıcı bilgisi, IP adresi, QR erişim jetonlarına ilişkin teknik kayıtlar; parola özeti, e-posta/telefon doğrulama ve hesap silme talebi kayıtları. Bildirimleri açmanız hâlinde cihazın bildirim adresi de işlenir.
• Destek kayıtları: uygulama içi asistana yazdığınız mesajlar ve hata bildirimlerine eklediğiniz ekran görüntüleri; salonla veya yetkili personelle yaptığınız uygulama içi yazışmalar.
• Sağlık verisi niteliğinde olabilecek veriler: antrenman programı, egzersiz kayıtları, hedef ve gelişim bilgileri; boy, kilo, vücut ölçümleri, sakatlık, alerji, kronik rahatsızlık ve doktor kısıtlaması ve hassas bilgi içerebilen beslenme tercihleri gibi salon kayıtları. Sağlık niteliğindeki kayıtlar için Kanun’un 6. maddesine uygun ayrı bir işleme şartı gerekir. Kayıt olmak veya bu metni okumak sağlık verilerinin işlenmesine açık rıza verdiğiniz anlamına gelmez.

Gerçek hesaplarda yeni sağlık ve vücut ölçümü kaydı kapalıdır; önceden kaydedilmiş hassas alanlar olağan ekranlarda gösterilmez. Bu sınırlama, mevcut kayıtları kendiliğinden silmez. Bu kayıtlar için bilgi ve silme talebi hakkınız devam eder. Örnek görünümdeki bilgiler demo amaçlıdır.

• Üyelik sözleşmesinin kurulması ve ifası, üyelik süresi ve ödeme takibinin yürütülmesi.
• Satın alma öncesi bilgilendirme ve sözleşme onayının kaydı, sipariş kopyasının sunulması; yenileme iptali, erken fesih, cayma ve iade taleplerinin sonuçlandırılması.
• Talep ettiğiniz yazılım geçiş avantajının uygunluğunu inceleme, kalan süreyi doğrulama, ilk yıllık indirimini uygulama ve aynı avantajın tekrar kullanımını önleme.
• Salona giriş–çıkış kontrolünün sağlanması ve salon yoğunluğunun yönetilmesi.
• Kullanıcı hesaplarının oluşturulması, kimlik doğrulama ve yetkilendirme işlemlerinin yürütülmesi.
• Talep ve şikâyetlerin karşılanması, destek ve hata bildirimlerinin çözümlenmesi.
• Bilgi güvenliğinin sağlanması, yetkisiz erişimlerin ve kötüye kullanımın tespiti.
• Hizmetin geliştirilmesi için ekran, işlem sonucu, kullanıcı rolü ve salonla ilişkilendirilen kullanım olaylarının incelenmesi.
• Hukuki yükümlülüklerin yerine getirilmesi ve yetkili kurum taleplerinin karşılanması.

Kişisel verileriniz; uygulama üzerindeki formlar, salon personelinin girişleri, QR kod okutma işlemleri ve otomatik sistem kayıtları aracılığıyla kısmen otomatik yollarla toplanır. İşleme, Kanun’un 5. ve 6. maddelerinde öngörülen şu sebeplere dayanır:

• m.5/2-c — tarafı olduğunuz sözleşmenin kurulması veya ifası için gerekli hesap, iletişim, abonelik ve ödeme işlemleri; talep ettiğiniz geçiş avantajının sözleşme ve kalan süre bilgilerinin incelenmesi. Yükleme ekranındaki bilgilendirme onayı genel bir açık rıza değildir.
• m.5/2-ç — faturalama ve ilgili mali kayıtları saklama gibi hukuki yükümlülükler.
• m.5/2-e — talep, şikâyet veya uyuşmazlıkta bir hakkın tesisi, kullanılması ya da korunması için gerekli kayıtlar.
• m.5/2-f — temel haklarınıza zarar vermemek kaydıyla hesap güvenliği, yetkili erişim, kötüye kullanımın önlenmesi ve sınırlı hizmet kullanım ölçümleri.
• m.5/1 ve m.6/3-a — işleme açık rızaya dayanıyorsa, ilgili işlem için ayrı, bilgilendirilmiş ve özgür iradeyle verilen rıza. Sağlık verileri için başka bir m.6/3 şartına dayanılacaksa bunun uygulanabilirliğini ilgili veri sorumlusu ayrıca belirlemelidir.

Kişisel verileriniz, yalnızca aşağıdaki alıcı gruplarına, amaçla sınırlı olarak aktarılabilir:

• Üyesi olduğunuz spor salonu ve o salonun yetkili personeli (yalnızca kendi salonunun verileriyle sınırlı).
• Viski: barındırma, PostgreSQL veritabanı, çalışma alanı bağlantıları ve hesap e-postalarının iletimi.
• Web aboneliği ödemelerinde Viski altyapısının ödeme hizmeti üzerinden ödeme hizmeti sağlayıcısı Stripe: ödeme, yenileme ve iade işlemlerinin yürütülmesi için gerekli hesap/iletişim, işlem, abonelik ve tutar bilgileri. Kart bilgileri doğrudan Stripe’ın ödeme sayfasına girilir. Geçiş başvurusu belgesi ödeme sağlayıcısına gönderilmez.
• Doğrulama ve hizmet bildirimleri için e-posta/SMS sağlayıcıları; bildirimleri etkinleştirmeniz hâlinde cihaz bildirim hizmetleri.
• Mağaza üzerinden abonelik satın alma veya geri yükleme işlemlerinde Apple/Google ve satın alımı doğrulayan Viski altyapısı: işlem, abonelik ve salon hesabıyla eşleştirme için gerekli bilgiler.
• Apple (APNs), Google (Firebase Cloud Messaging) veya tarayıcı push sağlayıcısı: yalnız bildirim etkinleştirildiğinde bildirim teslimi.
• Talep hâlinde yetkili kamu kurum ve kuruluşları ile adli makamlar.

Viski barındırma bölgesi, Apple ve Google bildirim/mağaza altyapıları ile Stripe’ın ödeme verisini işleme konumu hizmet yapılandırmasına göre Türkiye dışında olabilir. Yurt dışında barındırma, yedekleme veya yurt dışından erişim de veri aktarımı oluşturabilir. Düzenli aktarımlarda Kanun’un 9. maddesi kapsamındaki yeterlilik kararı veya uygun güvence şartlarının karşılanması gerekir; genel bir açık rıza kutusu sürekli aktarımın yerine geçmez. Arızi aktarımlara ilişkin istisnalar düzenli bulut hizmetleri için genel bir dayanak değildir.

Verilerinize erişen hizmet sağlayıcıları, aktarım ülkeleri ve kullanılan hukuki dayanak hakkında aşağıdaki iletişim kanallarından bilgi isteyebilirsiniz. gym.ai, salon kayıtlarını reklam amacıyla üçüncü kişilere satmaz. E-posta veya telefon doğrulaması, pazarlama iletisi izni anlamına gelmez.

• Hesap, üyelik, antrenman ve giriş–çıkış kayıtları: hesap veya salon hizmeti sürdüğü müddetçe; sonrasında salonun belgelenmiş hukuki saklama süresi dolana ya da doğrulanmış silme talebi sonuçlanana kadar.
• Başarısız giriş denemeleri: en fazla 1 gün. Süresi dolmuş kayıt/doğrulama jetonları: en fazla 1 ek gün.
• Aktif yönetici oturumu: en fazla 7 gün; personel cihaz oturumu: 30 gün; üye oturumu: çıkışa, cihaz iptaline veya hesap silmeye kadar.
• Destek ve hata mesajları: kullanıcı tarafından silinene, destek amacı sona erene veya hesap silme talebi sonuçlanana kadar.
• Yedekler: üretim operasyon planındaki 14 günlük döngü sonunda üzerine yazılır. Silme işleminin ispat kayıtları en az 3 yıl saklanır.
• Geçiş başvurusu belgesi inceleme yapılmamışsa yüklemeden 120 gün, karar verilmişse son incelemeden 90 gün sonra erişime kapanır. Süresi dolan dosya ve serbest metin inceleme notu, sonraki bakım veya başvuru temizliği sırasında veritabanından kaldırılır. Yedek kopyalar ayrıca altyapının saklama ve imha takvimine tabidir.
• Geçiş avantajının tekrar kullanılmasını önleyen salon/başvuru kimliği, karar, onaylanan süre, indirim ve kullanım kaydı belge içeriğinden ayrı tutulur. Mali kayıt veya hakkın korunması gereği saklanan kayıtlar gerekçesiyle değerlendirilir; bunlar için de hesap ve veri silme başvurusu yapılabilir.
• Salonun üyelik, giriş–çıkış ve personel kayıtlarının saklama gereksinimini salon, işleme amacı ve uygulanabilir yükümlülüklerine göre belirler. Tek bir saklama süresi tüm salon verileri için geçerli değildir.
• Fatura, sipariş ve sözleşme onay kopyaları ile iptal/iade kayıtları, ilgili hukuki yükümlülük veya hakkın korunması gereğinin belirlediği süreyle sınırlı saklanır. Aboneliğin iptali bütün mali ve sözleşme kayıtlarının aynı anda silinmesi anlamına gelmez.
• Oturum, doğrulama, güvenlik ve destek kayıtları işleme amaçları için gerekli süreyle sınırlandırılmalıdır. Bir oturumun veya doğrulama kodunun geçerliliğinin dolması, ilgili bütün kayıtların aynı anda silindiği anlamına gelmez.
• Deneme süresinin dolması kayıtlarınızı silmez veya demo kayıtlarına dönüştürmez. Hesap silme talebinde saklanması zorunlu kayıtlar ve gerekçeleri ayrıca değerlendirilir.

İşleme şartları ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğü doğar. Kayıtlarınızın saklama gerekçesini öğrenebilir ve hesap ve veri silme talebi oluşturabilirsiniz.

Veri sahibi olarak şu haklara sahipsiniz:

• Kişisel verinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme.
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme.
• Kanun’un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme.
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme.
• Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Taleplerinizi, “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ” uyarınca; ad, soyad, iletişim bilgileriniz ve talebinizin konusunu içerecek şekilde yukarıdaki adrese yazılı olarak ya da sistemimizde kayıtlı e-posta adresinizden altay@torkyazilim.com adresine iletebilirsiniz. Başvurunuz en geç 30 gün içinde sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul’ca belirlenen tarifedeki ücret alınabilir.

Yönetici hesabında sunulan veri indirme aracını kullanabilir, asistan sohbet geçmişinizi temizleyebilir veya hesap ve veri silme ekranından talep oluşturabilirsiniz. Silme talebi kaydı, tüm verilerin anında silindiği anlamına gelmez; sonuç ve hukuken saklanacak kayıtlar size bildirilir. Ayrıntı için Gizlilik Politikası sayfasına bakabilirsiniz.