Veri İşleme Sözleşmesi

Bu sözleşme, işletme sahibinin kayıt sırasında ya da panelde Kullanım Şartları ile birlikte kabul etmesiyle yürürlüğe girer; ayrıca imza gerekmez. İmzalı bir kopya isterseniz support@workoutos.app adresine yazın. Bu sözleşme ile Kullanım Şartları arasında kişisel verilere ilişkin bir çelişki olursa bu sözleşme esas alınır.

İlgili kişi grupları: üyeler, danışanlar, aday üyeler ve misafirler, Müşteri'nin personeli ve eğitmenleri, varsa üyelerin veli veya vasileri ve acil durumda aranacak kişiler.

Veri türleri (Müşteri'nin kullandığı özelliklere göre):

• Kimlik ve iletişim: ad soyad, doğum tarihi, cinsiyet, telefon, e-posta, adres, profil fotoğrafı
• Üyelik ve sözleşme: paket, seans hakları, başlangıç ve bitiş tarihleri, dondurma kayıtları, imzalanan formlar ve onaylar
• Finans: ödeme, taksit ve borç kayıtları. Kart numaraları Hizmet'te tutulmaz; isteğe bağlı online ödeme eklentisinde Müşteri'nin kendi ödeme kuruluşu hesabında işlenir.
• Katılım: giriş kayıtları, ders ve randevu katılımı, bekleme listesi
• Antrenman ve ilerleme: program, egzersiz kayıtları, hedefler, ölçümler
• İletişim içeriği: hatırlatma ve bildirim metinleri, WhatsApp yazışmaları (Müşteri kendi numarasını bağladıysa)
• Teknik: uygulama bildirim kimliği, cihaz türü, oturum ve denetim kayıtları

Vücut ölçüleri, kilo, yağ oranı, sakatlık ve sağlık notları, sağlık beyanı formları, hamilelik ya da doktor raporu bilgisi gibi veriler KVKK m.6 ve GDPR m.9 kapsamında özel nitelikli (sağlık) veri sayılabilir.

• Bu verileri girip girmeyeceğine Müşteri karar verir. Müşteri, işleme için gereken hukuki şartı (kural olarak açık rıza) sağlamaktan ve ilgili kişiyi aydınlatmaktan sorumludur. Hizmet bunun için sağlık beyanı, açık rıza ve veli onayı formları sunar.
• Müşteri yalnızca gerekli olanı ve bu amaçla ayrılmış alanlara girer; teşhis gibi ayrıntıları serbest not alanlarına yazmamaya özen gösterir.
• Laten Lukken bu verilere diğer Müşteri Verisi ile aynı güvenlik önlemlerini uygular. Ek olarak sağlık alanları ve notlar hata izleme kayıtlarına gönderilmeden maskelenir; ekibimiz bu verilere yalnızca Müşteri'nin destek talebi üzerine ve gerektiği ölçüde erişir.
• Kişisel Verileri Koruma Kurulu'nun özel nitelikli veriler için belirlediği yeterli önlemler (2018/10 sayılı karar) dikkate alınır.

• Verileri yalnızca Müşteri'nin belgelenmiş talimatıyla işler. Kullanım Şartları, bu sözleşme ve Müşteri'nin paneldeki ayar ve işlemleri bu talimatlardır. Kanunen zorunlu bir işlem gerekirse, kanun yasaklamadıkça Müşteri'yi önceden bilgilendirir.
• Bir talimatın KVKK, GDPR ya da başka bir mevzuata aykırı olduğunu düşünürse Müşteri'yi hemen bilgilendirir.
• Verilere erişen çalışanlarının ve yüklenicilerinin gizlilik yükümlülüğü altında olmasını sağlar; erişimi gerektiği kadarla sınırlar.
• Aşağıdaki güvenlik önlemlerini uygular ve gelişen tekniğe göre günceller.
• İlgili kişi taleplerinde, veri ihlallerinde, veri koruma etki değerlendirmelerinde (DPIA) ve denetim makamıyla ön istişarede Müşteri'ye makul ölçüde yardımcı olur.
• Verileri kendi amaçları için kullanmaz, satmaz, reklam için kullanmaz ve diğer müşterilerin verileriyle birleştirmez. Hizmet'i geliştirmek için yalnızca kimseyi tanımlamayan anonim ve toplu istatistikler kullanabilir.

• Üye, danışan ve personeline aydınlatma yapmak ve gereken hallerde açık rıza almak
• Verileri hukuka uygun toplamak, doğru ve güncel tutmak
• Panel kullanıcılarına doğru yetkileri vermek ve ayrılan personelin erişimini kapatmak
• Bağladığı üçüncü taraf hesaplar (ödeme kuruluşu, WhatsApp Business) için ilgili sağlayıcıyla gerekli sözleşmeleri yapmak
• Ticari elektronik iletileri yalnızca gerekli onaylar varsa ve mevzuata uygun göndermek (Türkiye'de İYS kaydı dahil)

Laten Lukken en az şu teknik ve idari tedbirleri uygular (KVKK m.12, GDPR m.32):

• Aktarımda şifreleme: tüm bağlantılar TLS ile
• Gizli anahtarların şifrelenmesi: ödeme sağlayıcı ve WhatsApp anahtarları AES-256-GCM ile şifreli saklanır ve yanıtlarda geri gösterilmez
• Kiracı ayrımı: her işletmenin verisi PostgreSQL satır düzeyi güvenliği (row-level security) ile diğerlerinden ayrılır
• Kimlik doğrulama: şifreler geri döndürülemez özetle saklanır; oturumlar HttpOnly ve Secure çerezlerle yönetilir
• Yetkilendirme: rol bazlı erişim (sahip, yönetici, personel, eğitmen)
• Denetim kayıtları: paneldeki önemli işlemler kim, ne zaman, ne yaptı bilgisiyle kaydedilir
• Yedekleme: veritabanının otomatik yedekleri; günlük yedekler 14 gün, haftalık yedekler 8 hafta saklanır ; yedekler AB'de (Railway) tutulur ve başka bir depoya kopyalanmaz
• İstek sınırlama ve otomatik saldırılara karşı koruma
• Bağımlılıkların ve sunucuların düzenli güncellenmesi; hata ve erişilebilirlik izleme
• Hata kayıtlarında en az veri: kullanıcı, IP, çerez ve istek gövdesi gönderilmez; e-posta, telefon, kimlik numarası ve sağlık alanları maskelenir
• Ekip erişimi: yalnızca gerektiğinde, kişiye özel hesaplarla; yönetim paneline iki adımlı doğrulamayla
• Olay müdahale süreci ve ihlal kaydı

Müşteri, Laten Lukken'in aşağıda ve Alt İşleyenler sayfasında listelenen alt işleyenlerle çalışmasına genel yazılı izin verir.

• Laten Lukken her alt işleyenle, bu sözleşmedekilerle esasen aynı düzeyde veri koruma yükümlülükleri içeren yazılı sözleşme yapar ve alt işleyenin eylemlerinden Müşteri'ye karşı sorumlu kalır.
• Yeni bir alt işleyen eklemeden ya da birini değiştirmeden en az 30 gün önce Müşteri'yi e-posta ve panel bildirimiyle bilgilendirir.
• Müşteri bu süre içinde veri korumaya dayalı makul bir gerekçeyle itiraz edebilir. Taraflar çözüm bulamazsa Müşteri aboneliği iptal edebilir ve peşin ödenmiş, kullanılmamış dönemin ücreti iade edilir.
• Acil güvenlik ya da hizmet sürekliliği gerektiren durumlarda değişiklik derhal yapılabilir; bildirim en kısa sürede gönderilir ve itiraz hakkı aynı şekilde geçerlidir.

Müşteri Verisi AB'de, Railway'in Hollanda'daki (Amsterdam) bölgesinde barındırılır. Laten Lukken Türkiye'de yerleşiktir. Verilerin aktarılması yalnızca listelenen alt işleyenler için ve uygun güvenceyle yapılır:

• Türkiye'deki Müşteriler için: Aktarımlar KVKK m.9 uyarınca uygun güvencelerle, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelere dayanır: her yurt dışı alıcıyla standart sözleşme imzalanır ve imzadan itibaren 5 iş günü içinde Kurul'a bildirilir.
• AB/AEA'daki Müşteriler için: Türkiye'ye ve diğer üçüncü ülkelere aktarımda AB Komisyonu'nun 2021/914 sayılı Standart Sözleşme Maddeleri; Müşteri ile aramızda Modül 2 (veri sorumlusundan veri işleyene), alt işleyenlerle Modül 3 (veri işleyenden veri işleyene). SCC'ler bu sözleşmeye atıfla dahil edilir; isteğe bağlı 7. madde (katılım) ve 11. maddedeki isteğe bağlı hüküm uygulanmaz, 9(a) maddesinde Seçenek 2 (genel izin) ve yukarıdaki bildirim süresi, 17. maddede İrlanda hukuku, 18. maddede İrlanda mahkemeleri geçerlidir. Madde 13 ve Ek I.C: yetkili denetim makamı, Müşteri AB'de yerleşikse Müşteri'nin bağlı olduğu denetim makamıdır; Müşteri AB dışında yerleşik olup GDPR m.27 temsilcisi atamışsa temsilcinin bulunduğu üye devletin makamıdır; aksi halde İrlanda Veri Koruma Komisyonu'dur. Ek I.B (aktarımın ayrıntıları) ve Ek II (teknik ve idari tedbirler) bu sözleşmenin ilgili bölümleridir; Ek III alt işleyen listesidir.
• Ek I.A (taraflar): veri aktaran, panel kaydındaki unvanı ve iletişim bilgileriyle Müşteri'dir (rolü veri sorumlusu); veri alan Laten Lukken Yazılım Sanayi Ticaret Ltd. Şti.'dir (rolü veri işleyen; Ticaret sicilinde kayıtlı adresimiz Türkiye Ticaret Sicili Gazetesi'nde yayımlanmıştır; e-postayla istediğinizde hemen bildiririz. İletişim: support@workoutos.app). İşletme sahibinin panelde bu sözleşmeyi kabul etmesi SCC'lerin imzası yerine geçer; kabul tarihi imza tarihidir.
• Birleşik Krallık'taki Müşteriler için: Birleşik Krallık Bilgi Komiserliği'nin Uluslararası Veri Aktarım Eki (UK Addendum), yukarıdaki SCC'lere ek olarak
• ABD'deki alt işleyenler için ayrıca, varsa AB-ABD Veri Gizliliği Çerçevesi sertifikası

Bu madde ile SCC'ler arasında çelişki olursa SCC'ler esas alınır.

Bir üye ya da danışan doğrudan Laten Lukken'e başvurursa, talebi kendisi yanıtlamaz; gecikmeden Müşteri'ye iletir ve kişiye Müşteri'ye başvurmasını söyler.

Müşteri taleplerin çoğunu panelden kendisi karşılayabilir: kişinin verisini görüntüleme ve düzeltme, dışa aktarma ve silme ya da anonimleştirme. Panelin yetmediği durumlarda Laten Lukken makul sürede yardımcı olur.

Laten Lukken, Müşteri Verisi'ni etkileyen bir kişisel veri ihlalini öğrendiğinde Müşteri'ye gecikmeksizin ve en geç 48 saat içinde bildirir. Bildirim, o an bilinen ölçüde şunları içerir:

• İhlalin niteliği, zamanı ve nasıl fark edildiği
• Etkilenen ilgili kişi grupları ve yaklaşık sayısı, veri türleri
• Olası sonuçları
• Alınan ve önerilen önlemler
• Bilgi alınabilecek iletişim kişisi

Bilgiler aşamalı olarak tamamlanabilir. Kişisel Verileri Koruma Kurulu'na ve yetkili denetim makamına (her ikisinde de 72 saat) ve ilgili kişilere bildirim yapmak veri sorumlusu olarak Müşteri'nin yükümlülüğüdür; Laten Lukken bu bildirimler için gereken bilgileri sağlar.

Laten Lukken, bu sözleşmeye uyduğunu göstermek için gereken bilgileri Müşteri'ye sağlar: güvenlik önlemlerinin açıklaması, alt işleyen listesi, varsa bağımsız denetim raporları ve güvenlik soru formlarının yanıtları.

Bunlar yeterli olmazsa Müşteri yılda en fazla bir kez, en az 30 gün önceden yazılı bildirimle, mesai saatlerinde ve gizlilik taahhüdü altında, masrafı kendisine ait olmak üzere denetim yapabilir ya da bağımsız bir denetçiye yaptırabilir. Denetim diğer müşterilerin verilerine ve güvenliğine erişimi kapsamaz. Yetkili makam talepleri ve bir ihlalden sonra yapılan denetimler bu sıklık sınırına tabi değildir.

• Müşteri verilerinin tamamını istediği an panelden ücretsiz dışa aktarabilir (CSV dosyaları ve tam JSON). Bu, verilerin iadesi yerine geçer.
• Hesap kapatıldıktan sonra panel 90 gün salt okunur açık kalır; ardından Müşteri Verisi canlı sistemlerden silinir. Yedeklerdeki kopyalar, yedeklerin süresi doldukça en geç 8 hafta içinde silinir; bu sürede yedekler yalnızca geri yükleme için kullanılır. Bu silme, yasal bir yükümlülük, yetkili makam talebi ya da sizin yazılı talebiniz nedeniyle silmeyi durdurmamız gereken haller dışında uygulanır; silmeyi durdurursak Müşteri'ye bildiririz.
• Kanunen saklanması zorunlu veriler bu sürelerin dışındadır ve yalnızca o amaçla, gerekli süre saklanır.
• Müşteri isterse silme işleminin yapıldığını yazılı olarak teyit ederiz.

Bu sözleşmeden doğan sorumluluk, Kullanım Şartları'ndaki sınırlamalara tabidir. Bu sınırlamalar, kanun gereği ilgili kişilere karşı sınırlandırılamayan sorumlulukları (ör. GDPR m.82) etkilemez.

Uygulanacak hukuk ve yetkili mahkeme Kullanım Şartları'ndaki gibidir; SCC'lerin uygulandığı aktarımlarda SCC'lerin hukuk ve yetki hükümleri saklıdır.