Veri İşleme Sözleşmesi

1. Konu ve roller

Okul, öğrencilerinin, velilerinin ve çalışanlarının kişisel verilerini Sportudent paneline girer ve bu verilerin işlenme amaçlarını ve vasıtalarını belirler; bu verilerin veri sorumlusu Okul'dur. Sportudent bu verileri yalnızca hizmeti sunmak için, Okul adına ve Okul'un talimatları doğrultusunda işleyen veri işleyendir.

2. İşlenen veriler

• Öğrenci: ad soyad, doğum tarihi, cinsiyet, TC kimlik numarası (isteğe bağlı), okul/sınıf, grup, yoklama, not, gelişim değerlendirmesi ve beceri ölçümleri, fotoğraf izni.
• Öğrencinin sağlık verisi (özel nitelikli, isteğe bağlı): alerji, kronik rahatsızlık, kullandığı ilaç, kan grubu, boy-kilo, sağlıkla ilgili devamsızlık.
• Veli ve acil durum kişisi: ad soyad, yakınlık, telefon, e-posta, adres.
• Ödeme: aidat ve borç kayıtları, tahsilat tutarı ve şekli, makbuz.
• Okul çalışanları: ad soyad, telefon, e-posta, branş, panel yetkisi.

Okul, panele yalnızca amacı için gerekli olan verileri girmeyi ve isteğe bağlı alanları ihtiyaç yoksa boş bırakmayı kabul eder.

3. Okul'un yükümlülükleri

• Velilere ve çalışanlarına KVKK md. 10 uyarınca aydınlatma yapmak. Panelde (Ayarlar → KVKK metinleri) bunun için bir şablon sunulur; şablonun okula uygunluğunu kontrol etmek Okul'un sorumluluğundadır.
• Sağlık verisi ve fotoğraf/video paylaşımı gibi açık rıza gerektiren işlemler için veliden açık rıza almak ve bunu ispatlayabilmek.
• Panel kullanıcılarına yalnızca görevleri için gereken yetkiyi vermek, ayrılan çalışanların erişimini kaldırmak, şifrelerin gizliliğini sağlamak.
• İlgili kişilerin KVKK md. 11 başvurularını yanıtlamak ve gerekiyorsa Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünü yerine getirmek.

4. Sportudent'in yükümlülükleri

• Verileri yalnızca hizmeti sunmak ve Okul'un panel üzerinden verdiği talimatlar doğrultusunda işlemek; kendi amaçları için kullanmamak, satmamak, reklam için paylaşmamak.
• KVKK md. 12 uyarınca uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almak (Madde 5).
• Verilere erişen çalışanlarını ve destek verenleri gizlilik yükümlülüğüne tabi tutmak; destek için Okul verisine yalnızca Okul'un talebi üzerine ve gerektiği kadar erişmek.
• Okul'a yönelik ilgili kişi başvurularını ve resmi makam taleplerini, hukuken yasak olmadıkça, gecikmeden Okul'a iletmek.
• Okul'un KVKK yükümlülüklerini yerine getirmesine (başvuruların yanıtlanması, verinin dışa aktarılması, düzeltilmesi, silinmesi) panel araçlarıyla ve makul ölçüde yardımcı olmak.

5. Güvenlik tedbirleri

• Her okulun verisi veritabanı düzeyinde satır güvenliği (RLS) ile diğer okullardan ayrıdır; bir okulun kullanıcısı başka okulun verisini göremez.
• Rol bazlı yetki: antrenör ödemeleri göremez; sağlık ve veli bilgisinin antrenöre gösterilip gösterilmeyeceğini Okul seçer.
• Sağlık bilgileri ayrı tabloda, ayrı yetkiyle tutulur.
• Bağlantılar şifrelidir (HTTPS/TLS); veriler sağlayıcının şifreli disklerinde saklanır; şifreler geri döndürülemez biçimde saklanır.
• Veli ve makbuz bağlantıları tahmin edilemeyen anahtarlarla oluşturulur; Okul bir bağlantıyı istediği an kapatabilir.
• Kulüp asistanına (yapay zekâ) yalnızca takma adlı özetler gönderilir; ad, telefon, TC ve sağlık bilgisi gönderilmez.
• Hata kayıtlarından kişisel veriler gönderilmeden önce ayıklanır.
• Düzenli yedekleme yapılır.

6. Alt işleyenler ve yurt dışına aktarım

Okul, hizmetin sunulması için aşağıdaki alt işleyenlerin kullanılmasına onay verir. Sportudent, alt işleyenlere bu sözleşmedekilerden az olmayan koruma yükümlülükleri getirir. Alt işleyen eklenmesi ya da değiştirilmesi en az 30 gün önce Okul'a bildirilir; Okul bu süre içinde itiraz ederek aboneliğini cezasız sonlandırabilir. Yurt dışında bulunan alt işleyenlere aktarım KVKK md. 9'da öngörülen güvencelerle yapılır.

7. Veri ihlali

Sportudent, Okul verilerini etkileyen bir ihlali öğrendiğinde Okul'a gecikmeksizin ve en geç 24 saat içinde; etkilenen veri türlerini, yaklaşık kişi sayısını, olası sonuçları ve alınan önlemleri bildirir. Okul'un Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapabilmesi için gereken bilgi ve belgeleri sağlar.

8. Süre, verinin iadesi ve silinmesi

• Sözleşme abonelik süresince geçerlidir.
• Abonelik sona erdiğinde Okul verilerini 30 gün boyunca görüntüleyebilir ve Excel olarak indirebilir.
• Bu sürenin sonunda Okul verileri silinir; yedeklerden en geç 30 gün içinde kendiliğinden çıkar. Kanunen saklanması gereken abonelik ve fatura kayıtları bu kapsamda değildir.
• Okul, süre dolmadan verilerinin silinmesini yazılı olarak isteyebilir.

9. Denetim

Okul, Sportudent'in bu sözleşmeye uyumunu yazılı soru yoluyla denetleyebilir; Sportudent makul sürede yazılı yanıt verir. Kurul veya yetkili makamların talepleri saklıdır.

10. Diğer

Bu sözleşmede hüküm bulunmayan hallerde Kullanım Şartları ve 6698 sayılı Kanun uygulanır. Bu sözleşmede yapılacak değişiklikler en az 30 gün önce Okul'a bildirilir.