Veri Koruma (GDPR)
Özetle. Bu belge, EvolixSport'u kullanan kulüpler ve federasyonlar ile verileri platformda işlenen tüm kişiler için hazırlanmıştır. GDPR kapsamındaki rolleri belirler; GDPR md. 28 uyarınca veri işleme sözleşmesini, alt işleyenlerin güncel listesini, teknik ve idari tedbirleri, ihlal prosedürünü ve her kişinin haklarını nasıl kullanabileceğini içerir. Kendi faaliyetlerimiz için veri sorumlusu sıfatıyla verileri nasıl işlediğimiz Gizlilik Politikası'nda açıklanmıştır.
1. GDPR kapsamındaki roller
| Faaliyet | EvolixSport'un rolü | Kulübün / federasyonun rolü |
|---|---|---|
| Web sitesi, müşteri hesaplarının kaydı ve yönetimi, sözleşmeler ve abonelikler, faturalandırma, güvenlik, destek, iş ortaklığı programı, pazarlama | veri sorumlusu | – |
| Evolix Club veya Evolix Federation'a girilen sporcu, veli, antrenör, hakem ve görevli verileri; antrenmanlar, testler, sporcu sicili, lisanslar, sağlık raporları, disiplin süreçleri, kulüp finansları | GDPR md. 28 uyarınca veri işleyen | veri sorumlusu |
| DimAI – kulüp veya federasyon verileri üzerinde analizler ve öneriler | veri işleyen; dil modeli sağlayıcısı alt işleyendir | veri sorumlusu – DimAI'ın kullanılıp kullanılmayacağına ve hangi amaçla kullanılacağına karar verir |
| Platforma ilişkin toplu, anonimleştirilmiş istatistikler | veri sorumlusu | – |
2. Veri işleme sözleşmesi (GDPR md. 28)
Bu bölüm, Müşteri (veri sorumlusu) ile EvolixSport (veri işleyen) arasında kişisel verilerin işlenmesine ilişkin bir sözleşme niteliğindedir ve Genel Koşullar'ın ayrılmaz bir parçasıdır. İmzalı bir nüsha isteyen veya özel gereksinimleri olan Müşteriler bize office@evolixsport.com adresinden yazabilir.
2.1. Konu, süre, nitelik ve amaç
İşlemenin konusu, EvolixSport platformunun hizmet olarak sunulmasıdır. İşleme, sözleşme süresince ve sözleşmenin sona ermesinden sonra madde 2.6'da belirtilen süre boyunca devam eder. İşlemenin niteliği; toplama, saklama, yapılandırma, erişim, inceleme, analiz, platform içinde aktarma, kısıtlama ve silmeyi kapsar. Amaç, Müşterinin sportif faaliyetlerinin yönetimidir: sporcuların ve ekibin yönetimi, antrenmanlar, testler, müsabakalar, lisanslama, finansal ve belge yönetimi ile DimAI aracılığıyla destek.
2.2. Veri türleri ve kişi kategorileri
Veri ve kişi kategorileri Gizlilik Politikası'nın 4. bölümünde açıklanmıştır. Özel nitelikli veriler (sağlık verileri, durum öz değerlendirmeleri) yalnızca Müşterinin bunları girmeye karar verdiği ve GDPR md. 9(2) uyarınca bir hukuki dayanak sağladığı ölçüde işlenir. Çocuklara ait veriler Gizlilik Politikası'nın 7. bölümüne uygun olarak işlenir.
2.3. Veri işleyenin yükümlülükleri
EvolixSport:
- verileri, üçüncü ülkelere aktarımlar dahil olmak üzere yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler; kanunun aksini gerektirdiği durumlar bunun dışındadır ve bu durumda kanunun izin verdiği ölçüde Müşteriyi önceden bilgilendirir; talimatlar platformun ayarları ve işlevleri aracılığıyla ve yazılı olarak verilir;
- bir talimatın GDPR'yi veya yürürlükteki diğer bir hukuku ihlal ettiği kanaatine varırsa Müşteriyi derhal bilgilendirir;
- verilere erişimi olan kişilerin gizlilik yükümlülüğü altına girmesini ve eğitim almasını sağlar;
- 5. bölümdeki güvenlik tedbirlerini uygular ve bunları riske göre günceller;
- alt işleyenleri yalnızca 3. bölümdeki koşullar çerçevesinde görevlendirir;
- GDPR'nin III. bölümü kapsamındaki ilgili kişi taleplerinin yerine getirilmesinde, platformdaki dışa aktarma, düzeltme ve silme işlevleri dahil olmak üzere uygun teknik ve idari tedbirlerle Müşteriye destek olur ve aldığı talepleri 5 iş günü içinde iletir;
- işlemenin güvenliği, ihlal bildirimi, etki değerlendirmeleri ve denetim makamıyla ön istişareler konusunda Müşteriye destek olur;
- GDPR md. 28'e uyumu kanıtlamak için gerekli bilgileri Müşteriye sunar ve Müşteri ya da Müşterinin yetkilendirdiği bir denetçi tarafından, makul bir ön bildirimle (olay durumu hariç en az 30 gün), yılda en fazla bir kez ve diğer müşterilerin gizliliğine riayet edilerek yerinde incelemeler dahil denetimlere izin verir;
- Müşteri adına yürütülen işleme faaliyeti kategorilerinin kaydını tutar.
2.4. Müşterinin yükümlülükleri
Müşteri; verilerin ve talimatların hukuka uygunluğundan, ilgili kişilerin bilgilendirilmesinden, veli onayı ve GDPR md. 9 kapsamındaki dayanak dahil hukuki bir dayanağın varlığından, verilerin doğruluğundan, kendi kuruluşundaki kullanıcı rollerinin ve erişimlerinin yönetiminden ve DimAI'ı kullanıp kullanmayacağına ve nasıl kullanacağına ilişkin değerlendirmeden sorumludur.
2.5. Güvenlik ihlalleri
EvolixSport, Müşterinin verilerini etkileyen bir güvenlik ihlalinden haberdar olduktan sonra gecikmeksizin ve kural olarak 48 saat içinde Müşteriyi bilgilendirir; ihlalin niteliği, etkilenen kişi ve kayıtların kategorileri ile yaklaşık sayısı, olası sonuçlar ve alınan tedbirler hakkında mevcut bilgileri sunar. Denetim makamına ve etkilenen kişilere bildirim yapmak, veri sorumlusu sıfatıyla Müşterinin yükümlülüğüdür; EvolixSport destek sağlar.
2.6. Silme ve iade
Sözleşmenin sona ermesinden sonra Müşteri, 90 gün içinde verilerini yapılandırılmış, makine tarafından okunabilir bir formatta dışa aktarabilir. Bu sürenin dolmasının ardından EvolixSport, AB veya üye devlet hukukunun saklamayı gerektirdiği durumlar hariç olmak üzere, yedeklerde de bir sonraki döngüde olmak üzere verileri siler veya anonimleştirir. Talep halinde EvolixSport silme işlemini yazılı olarak teyit eder.
3. Alt işleyenler
Müşteri, aşağıdaki alt işleyenlerin (GDPR md. 28(2) kapsamında veri işleyenler) kullanılmasına genel izin verir. Her biriyle aynı veri koruma yükümlülüklerini öngören bir sözleşme imzalanmıştır.
| Alt işleyen | Faaliyet | Ülke | Aktarım mekanizması |
|---|---|---|---|
| Hetzner Online GmbH | Uygulamaların ve veritabanlarının barındırılması, dosya depolama, yedeklemeler | Almanya (AB) | AEA içinde – gerekli değildir |
| Groq, Inc. | DimAI için dil modeli (sohbet asistanı, analizler ve öneriler). Yalnızca metin istemleri alır; veriler model eğitiminde kullanılmaz | Amerika Birleşik Devletleri | AB Standart Sözleşme Maddeleri (GDPR md. 46) ve/veya AB-ABD Veri Gizliliği Çerçevesi |
Planlanan alt işleyen (henüz etkin değil): Stripe Payments Europe, Ltd. (İrlanda (AB)) – Çevrim içi ödemelerin ve aboneliklerin işlenmesi. Kart bilgileri yalnızca Stripe tarafından işlenir. Etkinleştirilmeden en az 30 gün önce listeye eklenecektir.
Planlanan bir değişiklik – bir alt işleyenin eklenmesi veya değiştirilmesi – için Müşterileri platform üzerinden veya e-posta ile en az 30 gün önceden bilgilendiririz. Müşteri bu süre içinde veri korumayla ilgili makul gerekçelerle itiraz edebilir; bir çözüm bulunamazsa Müşteri, etkilenen hizmete ilişkin sözleşmeyi cezai şart ödemeden feshedebilir. Listenin güncel sürümü her zaman bu sayfada yayımlanır.
4. Uluslararası aktarımlar
Veriler Avrupa Birliği'nde (Almanya'daki veri merkezi) saklanır ve işlenir. Avrupa Ekonomik Alanı dışına yapılan tek aktarım, DimAI için ABD'deki dil modeli sağlayıcısına metin sorgularının iletilmesidir. Bu aktarım, GDPR md. 46(2)(c) uyarınca Avrupa Komisyonu'nun standart sözleşme maddelerine ve sağlayıcının sertifikalı olması halinde AB–ABD Veri Gizliliği Çerçevesi'ne dayanır. Ek tedbirler: yalnızca gerekli metin verileri iletilir; iletişim, ödeme veya sağlık verileri, fotoğraf ve videolar iletilmez; federasyon modülünde isimler takma adla değiştirilir; bağlantı şifrelidir; sağlayıcı, verileri eğitim için kullanmamak ve işlemeden sonra saklamamak üzere sözleşmeyle sınırlandırılmıştır. Aktarım istemeyen bir Müşteri, kendi kuruluşu için DimAI'ı etkinleştirmeyebilir. Geçerli güvencelerin bir kopyası talep halinde sağlanır.
5. Teknik ve idari tedbirler
| Alan | Tedbirler |
|---|---|
| Şifreleme | tüm bağlantılar için HTTPS/TLS; federasyon modülünde özel nitelikli verilerin, erişim kodlarının ve oturumların saklama sırasında şifrelenmesi; parolaların yalnızca hash olarak saklanması (Argon2id); AB'deki güvenli altyapıda yedekler |
| Erişim kontrolü | asgari yetki ilkesine dayalı rol modeli (yönetici, antrenör, sporcu, veli, hakem, görevli); her müşterinin verilerinin mantıksal olarak ayrılması; veli portalı yalnızca ilgili çocuğun verilerine erişim sağlar; maç görevlileri için süreli, geçici PIN kodları |
| Kimlik doğrulama ve oturumlar | sınırlı süreli oturumlar ve güvenli çerezler (HttpOnly, Secure, SameSite); tekrarlanan başarısız giriş denemelerinden sonra sınırlama ve geçici engelleme; operatörün yönetici erişimi için iki aşamalı doğrulama; ayrı, gizli yönetim paneli |
| İzlenebilirlik | güvenlik kayıtları (girişler, engellemeler, yönetici işlemleri) ve federasyon modülünde hassas verilere erişim kayıtları; 12 ay saklanır |
| Uygulama güvenliği | CSRF, XSS ve SQL enjeksiyonuna karşı koruma; girilen verilerin ve yüklenen dosyaların temizlenmesi; dosya türü ve boyutu kısıtlamaları; güvenlik HTTP başlıkları; periyodik güvenlik incelemeleri ve güvenlik açıklarının giderilmesi |
| Erişilebilirlik ve kurtarma | düzenli otomatik yedekler; kurtarma prosedürü; ayrı üretim ve geliştirme ortamları; test ortamlarında gerçek kişisel veri bulunmaması |
| İdari tedbirler | sözleşmeye dayalı gizlilik; “bilmesi gereken” ilkesi; olay prosedürü ve ihlal kaydı; ilgili kişi talepleri kaydı; erişimlerin gözden geçirilmesi; veri koruma ve yapay zekâ okuryazarlığı eğitimi |
| DimAI | iletilen verilerin en aza indirilmesi; takma ad kullanımı; sağlayıcı tarafında eğitim yasağı; sorgu kaydı (meta veriler); modülün tek bir müşteri için devre dışı bırakılabilmesi; sonuçlar üzerinde insan gözetimi |
6. Güvenlik ihlalleri – prosedür
- Bildirimler info@evolixsport.com adresinden alınır ve derhal kayda geçirilir.
- Haberdar olma anı belirlenir ve GDPR md. 33 kapsamındaki 72 saatlik süre başlar.
- Teknik sınırlama uygulanır: etkilenen hesapların engellenmesi, etkilenen modülün veya entegrasyonun durdurulması (DimAI dahil her modül bağımsız olarak durdurulabilir), kanıtların ve kayıtların korunması.
- Etkilenen kişilerin hak ve özgürlüklerine yönelik risk değerlendirilir.
- Etkilenen Müşteriler (madde 2.5 uyarınca) ve – EvolixSport'un veri sorumlusu olduğu durumlarda – 72 saat içinde Bulgaristan Kişisel Verileri Koruma Komisyonu (CPDP) ile, yüksek risk olasılığı varsa etkilenen kişiler gecikmeksizin bilgilendirilir.
- Kök neden analizi yapılır ve düzeltici tedbirler takip edilir. Bildirim yükümlülüğü bulunmayanlar dahil tüm ihlaller belgelenir.
7. İlgili kişilerin hakları – nasıl kullanılır
Herkes GDPR md. 15–22 kapsamındaki haklara sahiptir: erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz, onayın geri alınması ve otomatik kararlara karşı koruma.
- Self servis: kayıtlı kullanıcılar profillerinden tüm verilerini makine tarafından okunabilir bir formatta (JSON) indirebilir ve silme talebinde bulunabilir. Veliler çocuklarının verilerini veli portalı üzerinden görüntüleyip yönetebilir.
- E-posta ile: office@evolixsport.com. Kim olduğunuzu, talebin hangi kulüp veya federasyonla ilgili olduğunu ve ne istediğinizi belirtin. Gereksiz veri toplamadan, orantılı bir kimlik doğrulaması isteyebiliriz – örneğin kayıtlı e-posta adresinden bir onay.
- Süre: gecikmeksizin ve kural olarak bir ay içinde yanıt; karmaşık veya çok sayıda talep olması halinde iki aya kadar uzatma yapılabilir ve bu konuda bilgilendirilirsiniz. Açıkça dayanaksız veya aşırı talepler dışında talepler ücretsizdir.
- Veri sorumlusu kulübünüz veya federasyonunuz olduğunda: talebi 5 iş günü içinde ona iletir ve destek oluruz; nihai karar ona aittir. Doğrudan kuruluşa da başvurabilirsiniz.
- Silme: kanun saklamayı gerektirmedikçe silme talepleri veri sorumlusunun onayından sonra 30 gün içinde yerine getirilir; talep halinde gerçekleştirilen silme veya anonimleştirmeyi teyit ederiz.
- DimAI sonucuna itiraz: herhangi bir öneri veya değerlendirmenin insan tarafından incelenmesini talep edebilirsiniz; inceleme, desteğimizle Müşterinin yetkin bir kişisi tarafından yapılır ve belgelenir.
- Şikâyet: Kişisel Verileri Koruma Komisyonu'na (CPDP), 2 Prof. Tsvetan Lazarov Blvd., Sofia 1592, Bulgaristan, cpdp.bg veya AB'de ikamet ettiğiniz yerdeki denetim makamına; bu, yargı yoluna başvurma hakkınızı sınırlamaz.
Alınan taleplerin ve bunlara ilişkin kararların kaydını tutarız.
8. Çocuklar ve veliler
Çocuk profili kulüp veya veli/yasal temsilci tarafından oluşturulur. 14 yaşından küçük bir çocuk için, hukuki dayanak onay olduğunda, onay veli veya vasi tarafından verilir. Veli, yalnızca kulüp tarafından düzenlenen kodlu bir davet aracılığıyla erişim elde eder ve yalnızca kendi çocuğunun verilerini görür – test sonuçları, devam durumu, öz değerlendirmeler ve kulüp girdiyse antrenman kısıtlamaları dahil. Velayet hakkına ilişkin bir anlaşmazlıkta, veri sorumlusu olarak kulüp kimin erişim alacağına karar verir; biz onun talimatlarını uygularız. Çocuklara ait veriler reklam, ticari profilleme veya model eğitimi için kullanılmaz.
9. DimAI ve Yapay Zekâ Tüzüğü
- Sınıflandırma: DimAI, sportif analizler ve öneriler için kullanılan genel amaçlı bir yapay zekâ sistemidir. AI Act md. 5 kapsamındaki yasaklı uygulamalara girmez ve Ek III kapsamındaki yüksek riskli amaçlar için kullanılmaz (ör. eğitime erişim, istihdam veya kişilerin önemli sonuçlar doğuracak şekilde değerlendirilmesine ilişkin kararlar). Değerlendirme her yeni işlevde yeniden gözden geçirilir.
- Rol: EvolixSport, harici bir sağlayıcının genel amaçlı dil modelinin uygulayıcısı ve bu modeli kullanan DimAI uygulamasının sağlayıcısıdır.
- Şeffaflık (AI Act md. 50): kullanıcılar yapay zekâ ile etkileşimde bulunduklarından haberdar edilir; otomatik olarak üretilen içerik bu şekilde işaretlenir.
- İnsan gözetimi: sonuçlar yardımcı bilgi niteliğindedir; kararlar, öneriyi reddedebilecek yetkin bir kişi tarafından alınır.
- Yasaklı kullanımlar: duygu tanıma, sosyal puanlama, biyometrik tanımlama veya manipülatif teknikler uygulanmaz.
- Yapay zekâ okuryazarlığı (AI Act md. 4): ekibimiz ve Müşterilerin yöneticileri DimAI'ın olanakları, sınırlamaları ve riskleri hakkında bilgi ve yönlendirme alır.
- Olaylar: DimAI ile ilgili hatalar, şikâyetler ve olaylar kayda alınır ve analiz edilir; her Müşteri kendi kuruluşu için modülün devre dışı bırakılmasını talep edebilir.
10. Etki değerlendirmesi ve hesap verebilirlik
GDPR md. 30 uyarınca işleme faaliyetlerinin kaydını tutarız. Çocuklara ait verilerin, sağlık verilerinin işlenmesi ve DimAI kullanımı için GDPR md. 35 uyarınca veri koruma etki değerlendirmesi yapılır ve periyodik olarak güncellenir. Bu kategorileri etkileyen yeni işlevler, değerlendirmeden sonra ve gerektiğinde denetim makamıyla istişare edildikten sonra kullanıma sunulur.
11. Süreler ve silme
Kategorilere göre saklama süreleri Gizlilik Politikası'nın 13. bölümünde yer alır. Silme işlemi veritabanını ve dosya depolama alanını kapsar; yedekler kendi döngüleri içinde üzerine yazılır. Veri sorumlusunun Müşteri olduğu veriler için süreler Müşteri tarafından belirlenir ve platformdaki silme ve anonimleştirme işlevleri aracılığıyla uygulanır.
12. İletişim
| Ticari unvan | EvolixSport – belgenin bir sonraki güncellemesinde belirtilecektir |
|---|---|
| Şirket sicil numarası | belgenin bir sonraki güncellemesinde belirtilecektir |
| Merkez ve adres | belgenin bir sonraki güncellemesinde belirtilecektir |
| Temsilci | belgenin bir sonraki güncellemesinde belirtilecektir |
| Kişisel veriler için e-posta | office@evolixsport.com |
| Destek e-postası | info@evolixsport.com |
| Veri Koruma Görevlisi | atanmamıştır (işletmeci için zorunlu değildir); talepler yukarıdaki e-posta adresi üzerinden yürütülür |
Bu belge, başında belirtilen tarih itibarıyla günceldir ve her alt işleyen, aktarım, güvenlik tedbiri veya yapay zekâ işlevi değişikliğinde gözden geçirilir.