Gizlilik Politikası
Özetle. EvolixSport, spor kulüplerini ve federasyonları yönetmeye yönelik bir platformdur. Bir kulüp veya federasyon sporcuları, antrenörleri, velileri ve görevlileri hakkında veri girdiğinde, bu verilerin sorumlusu ilgili kuruluştur; biz ise bu verileri onun adına işleriz (GDPR m. 28 kapsamında veri işleyen olarak). Kendi faaliyetlerimiz (web sitesi, müşteri hesapları, faturalandırma, güvenlik ve destek) bakımından veri sorumlusu biziz. Kişisel verileri satmayız, reklam göstermeyiz ve çocukların verilerini profilleme veya reklam amacıyla kullanmayız. Veriler Avrupa Birliği'nde saklanır. AB dışındaki tek hizmet sağlayıcı DimAI asistanını çalıştıran dil modelidir ve ona yalnızca metin sorguları gönderilir.
1. Konu ve kapsam
Bu politika; evolixsport.com web sitesinin, Evolix Club platformunun (https://club.evolixsport.com), Evolix Federation (https://fed.evolixsport.com), veli portalının, mobil ve bağlantılı arayüzlerin, uygulama programlama arayüzlerinin (API), destek, ödeme ve iletişim sistemlerinin ve DimAI olarak adlandırılan yapay zekâ işlevlerinin ziyaret edilmesi ve kullanılması sırasında kişisel verilerin nasıl işlendiğini açıklar.
Politika; reşit olmayanlar dahil sporculara, veliler ve yasal temsilcilere, antrenörlere, kulüp ve federasyon çalışanları ile temsilcilerine, hakemlere ve görevlilere, sağlık ve diğer uzmanlara, site ziyaretçilerine, potansiyel müşterilere, iş ortaklığı programındaki ortaklara ve diğer tüm kullanıcılara uygulanır.
İşleme; (AB) 2016/679 sayılı Tüzük (GDPR), Bulgaristan Kişisel Verilerin Korunması Kanunu ve (AB) 2024/1689 sayılı Tüzüğün (Yapay Zekâ Tüzüğü, „AI Act“) uygulanabilir hükümlerine uygun olarak gerçekleştirilir.
2. Kişisel verileri kim işler
2.1. EvolixSport'un kendi faaliyetleri için veri sorumlusu
Web sitesinin işletilmesi, müşteri hesaplarının kaydı ve yönetimi, sözleşmeler ve abonelikler, ödemeler, güvenlik, destek, iş ortaklığı programı, pazarlama ve hizmetin geliştirilmesi bakımından kişisel verilerin sorumlusu:
| Ticari unvan | EvolixSport – belgenin bir sonraki güncellemesinde belirtilecektir |
|---|---|
| Şirket sicil numarası | belgenin bir sonraki güncellemesinde belirtilecektir |
| Merkez ve adres | belgenin bir sonraki güncellemesinde belirtilecektir |
| Temsilci | belgenin bir sonraki güncellemesinde belirtilecektir |
| Kişisel veriler için e-posta | office@evolixsport.com |
| Destek e-postası | info@evolixsport.com |
| Veri Koruma Görevlisi | atanmamıştır (işletmeci için zorunlu değildir); talepler yukarıdaki e-posta adresi üzerinden yürütülür |
2.2. Kulüpler ve federasyonlar adına işleme
Bir kulüp, akademi veya federasyon („Müşteri“) hangi kişilerin kaydedileceğini, hangi sportif, kayıt, sağlık, mali veya diğer verilerin girileceğini ve bunların hangi amaçlarla kullanılacağını belirlediğinde, veri sorumlusu Müşteridir ve EvolixSport verileri GDPR m. 28 uyarınca yapılan bir sözleşmeye dayanarak onun adına işler. Bu sözleşmenin koşulları Veri Koruma (GDPR) bölümünde yayımlanmıştır.
Müşteri, ilgili kişilere kendi aydınlatma bilgisini sunmak ve gerektiğinde veli onayı dahil uygun bir hukuki dayanak sağlamakla yükümlüdür. EvolixSport bu yükümlülüklerin yerini almaz. EvolixSport kendi amaçlarını belirlediğinde – örneğin güvenlik, faturalandırma, kötüye kullanımın önlenmesi veya ürün geliştirme – rolü ilgili faaliyet için ayrıca belirlenir.
EvolixSport ve bir spor kuruluşu belirli bir işlemenin amaçlarını ve temel araçlarını birlikte belirlerse, GDPR m. 26 kapsamında bir anlaşma yapılır ve bunun özü ilgili kişilere sunulur.
3. Temel ilkeler
Veriler hukuka uygun, dürüst ve şeffaf şekilde; belirli ve açıkça belirtilmiş amaçlarla; gerekli asgari ölçüde; doğru ve güncel olarak; sınırlı bir süre için; uygun güvenlik önlemleriyle ve belgelenmiş hesap verebilirlik içinde işlenir. Verilerin bağdaşmayan amaçlarla kullanılmasına veya önceden belirlenmiş dayanak, gereklilik ve güvenceler olmaksızın hassas bilgilerin bir yapay zekâ modülüne girilmesine izin verilmez.
4. Kişisel veri kategorileri
Kullanılan modüllere ve Müşterinin neleri girmeye karar verdiğine bağlı olarak aşağıdaki kategoriler işlenebilir:
- Kimlik ve kayıt verileri – ad ve soyadlar, doğum tarihi, cinsiyet, uyruk (yalnızca federasyon modülünde), profil fotoğrafı, dahili tanımlayıcı, lisans numarası veya sicil numarası. EvolixSport, Bulgar kişisel kimlik numarasını (EGN) ve kimlik belgesi kopyalarını toplamaz; sporcular dahili bir kodla tanımlanır.
- İletişim verileri – e-posta, telefon, adres, acil durum irtibatı (sporcular için), tercih edilen dil.
- Veli veya yasal temsilci verileri – ad ve soyadlar, e-posta, telefon, çocukla ilişki, verilen veli onayına ilişkin kayıt ve tarihi.
- Kulüp ve federasyon bağlılığı – kulüp, takım, yaş grubu, mevki, forma numarası, lisanslar ve sporcu sicili, transferler, katılımlar, hakem atamaları ve değerlendirmeleri, disiplin süreçleri ve kararları (yalnızca federasyon modülünde).
- Sportif veriler – antrenmanlar, katılım, maç ve turnuva sonuçları, istatistikler, fiziksel ve bilişsel test sonuçları, beceri değerlendirmeleri, hedefler, başarılar ve aktivite puanları.
- Fiziksel göstergeler – boy, kilo, VO₂max, nabız, süre, hız ve testlerden elde edilen diğer ölçümler (Beep, Yo-Yo, Cooper, sprint, kuvvet, esneklik vb.).
- Durum öz değerlendirmeleri – wellness anketlerindeki ve antrenman günlüğündeki yanıtlar (uyku, yorgunluk, yüklenme, kas ağrısı, enerji, ruh hâli). Sağlık hakkında bilgi ortaya koyabileceklerinden bunları GDPR m. 9 kapsamındaki veriler olarak ele alırız.
- Sağlık verileri – yalnızca belirli bir modül bunları topladığında: federasyon modülünde – sağlık uygunluk belgeleri (numara, muayene tarihi, geçerlilik süresi, hekim ve sağlık kuruluşu, uygunluk sonucu, kısıtlamalar ve – kaydedilmişse – teşhis) ve sigorta poliçeleri; kulüp modülünde – „sakat“ durumu ve antrenörün kısıtlamalara ilişkin notları. Yalnızca Müşterinin yetkili kişileri tarafından girilir; federasyon modülünde saklama sırasında şifrelenir.
- Fotoğraflar, video ve çıkarılan özellikler – profil fotoğrafları; federasyonun medya dosyaları; hareket analizi için antrenör veya sporcu tarafından yüklenen video kayıtları ve bunlardan çıkarılan vücut kilit noktaları (poz). Yüz, ses veya duygu tanıma yapılmaz. Ses kayıtları şu anda işlenmemektedir.
- Mali ve sözleşmesel veriler – plan ve erişim durumu; kulübün kendi ihtiyaçları için girdiği aidatlar ve ücretler. EvolixSport şu anda ücretli plan sunmamakta ve ödeme verisi toplamamaktadır. Ücretli planlar kullanıma sunulduğunda tam ödeme kartı verileri yalnızca lisanslı bir ödeme hizmet sağlayıcısı tarafından işlenecek ve hiçbir zaman sunucularımıza ulaşmayacaktır; bu politika önceden güncellenecektir.
- İletişimler – destek talepleri, sistem içi mesajlar, bildirimler ve geri bildirimler.
- Teknik veriler – IP adresi, tarayıcı ve cihaz türü, giriş zamanı, oturum tanımlayıcısı, güvenlik kayıtları (başarısız giriş denemeleri, engellemeler) ve sistemdeki işlemlerin kayıtları.
- DimAI ile ilgili veriler – asistana yöneltilen sorular, kullanılan sportif bağlam, üretilen yanıtlar, analizler ve öneriler ile güvenlik ve raporlama amacıyla talep meta verileri (tür, süre, token sayısı, mesajın ilk 200 karakteri).
- İş ortağı verileri – iş ortaklığı programına katılım hâlinde: ad ve soyadlar, e-posta, telefon, referans kodu, gerçekleşen yönlendirmeler ve komisyonlar.
- Elektronik imza ve kimlik doğrulama verileri – federasyon modülünde: maç tutanaklarının elektronik olarak imzalanması sırasında ad ve soyadlar, rol, zaman ve teknik veriler; görevliler için geçici PIN kodları. Bir tutanağın bütünlüğünü kanıtlamak amacıyla dağıtık bir kayıt defterinde yalnızca kişisel veri içermeyen kriptografik bir hash yayımlanabilir.
- Çerezler – yalnızca 15. bölüm uyarınca kesinlikle gerekli çerezler.
5. Verilerin kaynakları
Veriler; kişinin kendisi, veli veya yasal temsilci, kulüp, akademi veya federasyon (antrenör, yönetici, yetkili uzman) tarafından sağlanabilir; platformun kullanımı sırasında oluşturulabilir (sonuçlar, istatistikler, kayıtlar); talep edilen bir entegrasyon kapsamında bağlı bir kulüp veya federasyon sisteminden alınabilir ya da izin verilen video kayıtları ve istatistiksel verilerin analiziyle elde edilebilir.
Veriler, yalnızca teknik olarak erişilebilir oldukları için kamuya açık veya üçüncü taraf kaynaklardan içe aktarılmaz. Her kaynak için hukuka uygunluk, kalite ve kullanım hakkı belgelenir.
6. Amaçlar ve hukuki dayanaklar
| Amaç | Hukuki dayanak |
|---|---|
| Profil ve müşteri hesabının kaydı, erişimi ve yönetimi | GDPR m. 6(1)(b) – sözleşme veya sözleşme öncesi adımlar; Müşteri tarafından girilen profiller için dayanak Müşteri tarafından belirlenir |
| Antrenmanlar, katılım, turnuvalar, lisanslama, sporcu sicili ve spor istatistikleri | ilgili role göre sözleşme, yasal yükümlülük veya meşru menfaat; çocuklar için çocuğun üstün yararına ilişkin ayrı bir değerlendirme yapılır |
| Fiziksel testler, öz değerlendirmeler ve sportif öneriler | sözleşme veya meşru menfaat; bilgi bir sağlık durumunu ortaya koyduğunda – Müşteri tarafından sağlanan GDPR m. 9(2)(a) kapsamında açık rıza |
| Sağlık ve tıbbi veriler (sağlık belgeleri, sigortalar, kısıtlamalar) | GDPR m. 9(2)(a) kapsamında açık rıza veya veri sorumlusu olarak Müşteri tarafından belirlenip belgelenen m. 9(2) kapsamındaki uygulanabilir başka bir dayanak (ör. müsabakalara katılım için mevzuatta öngörülen gerekliliklerin yerine getirilmesi) |
| Sportif analiz için fotoğraf ve video | bağlama, beklentilere ve riske göre sözleşme, meşru menfaat veya rıza; tanıtım amaçlı yayın için – ayrı rıza |
| DimAI analizleri ve genel öneriler | dayanak amaca ve girdi verilerine bağlıdır; yapay zekâ başlı başına bir hukuki dayanak oluşturmaz |
| Faturalandırma ve muhasebe (ücretli planlar kullanıma sunulduğunda) | GDPR m. 6(1)(c) – yasal yükümlülük; (b) bendi – sözleşme |
| Güvenlik, dolandırıcılık ve kötüye kullanımın önlenmesi, hakların korunması | GDPR m. 6(1)(f) – denge testi sonrasında meşru menfaat |
| Destek ve iletişim | talebe göre sözleşme, meşru menfaat veya rıza |
| İş ortaklığı programı | GDPR m. 6(1)(b) – iş ortağıyla yapılan sözleşme |
| Elektronik pazarlama | kanunun gerektirdiği durumlarda rıza; mevcut müşteriler yalnızca yasal sınırlar içinde ve kolay ret imkânıyla bilgilendirilir |
7. Çocukların verileri
EvolixSport spor kulüpleri ve akademiler için de tasarlanmıştır; bu nedenle çocukların verilerinin işlenmesi öngörülebilir bir temel faaliyettir. Artırılmış şeffaflık, veri minimizasyonu, sınırlı erişim ve varsayılan gizlilik ayarları uygulanır.
- Bir hizmetin doğrudan bir çocuğa sunulması rızaya dayandığında, 14 yaşından küçük bir çocuk için rıza, Bulgar hukuku uyarınca veli veya vasi tarafından verilir ya da onaylanır. Kimlik ve temsil yetkisi orantılı bir şekilde doğrulanır.
- Çocuğun profili Müşteri (antrenör veya kulüp yöneticisi) ya da veli/yasal temsilci tarafından oluşturulur. Veli, çocuğun verilerine veli portalı üzerinden yalnızca kulüp tarafından verilen kodlu bir davetten sonra erişir ve yalnızca ilgili çocuğun verilerini görür.
- Dayanak sözleşme, yasal yükümlülük veya kuruluşun meşru menfaati olduğunda, yalnızca görünürde bir güvence olarak resmî rıza alınmaz.
- Çocukların verileri davranışsal reklam, ticari amaçlı profilleme veya model eğitimi için kullanılmaz. Çocukların fotoğraf ve videolarının tanıtım amacıyla veya sosyal medyada yayımlanması spor faaliyetine katılımdan ayrı olarak düzenlenir ve ayrı bir dayanak gerektirir.
- Reşit olduğunda sporcu profilinin kontrolünü üstlenebilir; velinin erişimi sporcunun veya Müşterinin talebi üzerine sona erdirilir.
8. Fotoğraflar, video ve video analizi
Fotoğraflar ve video kayıtları sportif analiz, taktik hazırlık, istatistik, maç raporlaması, güvenlik veya iletişim amacıyla yalnızca amaç önceden belirlenmişse ve kişiler bilgilendirilmişse işlenebilir. Her işlev için kaydın türü, kapsamı, erişim, saklama süresi, indirme imkânı ve reddin sonuçları belirlenir.
Video analizi modülü, tekniği ve yüklenmeyi değerlendirmek için kayıttan vücut kilit noktalarını (poz ve hareket) çıkarır. Vücut ve hareket özelliklerinin otomatik olarak çıkarılması biyometrik tanımlama değildir: sistem bir yüzü benzersiz şekilde tanımayı amaçlamaz ve kayıtlar arasında yüzleri veya sesleri karşılaştırmaz. Gelecekte biyometrik tanımlama işlevi öngörülürse, ayrı bir hukuki analiz, etki değerlendirmesi ve GDPR m. 9 kapsamında uygulanabilir bir dayanak olmadan etkinleştirilmeyecektir.
Video analizi AB'deki altyapımızda gerçekleştirilir. Video dosyaları şu anda harici hizmet sağlayıcılara gönderilmemektedir. Video analizi için harici bir hizmet sağlayıcıyı etkinleştirirsek, etkinleştirmeden önce alt işleyenler listesine eklenecektir.
9. Yapay zekâ kullanımı – DimAI
9.1. Şeffaflık
Doğrudan etkileşimden önce kullanıcı, bir insanla değil bir yapay zekâ sistemiyle iletişim kurduğu konusunda açıkça bilgilendirilir. DimAI genel sportif, taktik, kondisyon ve bilgilendirici öneriler sunar. Bunlar bir hekimin, psikoloğun, fizyoterapistin, antrenörün, hakemin veya diğer nitelikli bir kişinin yerini almaz. Yapay zekâ tarafından üretilen içerik (örneğin otomatik maç raporları veya makaleler), AI Act'in gerektirdiği durumlarda bu şekilde etiketlenir.
9.2. Girdi verileri ve hizmet sağlayıcı
DimAI, Groq, Inc. (Amerika Birleşik Devletleri) tarafından sağlanan harici bir dil modeli kullanır. Hizmet sağlayıcıya yalnızca ilgili talep için gerekli metin verileri iletilir: kullanıcının sorusu ve sportif bağlam – örneğin sporcunun adı veya baş harfleri, yaş grubu, mevki, test sonuçları, katılım, öz değerlendirmeler ve istatistikler. Federasyon modülünde adlar gönderilmeden önce takma adlandırılır. İletişim verileri, ödeme verileri, tıbbi belgeler, fotoğraflar veya videolar iletilmez. Hizmet sağlayıcının geçerli koşulları uyarınca talepler, modellerinin eğitilmesi veya geliştirilmesi için kullanılmaz ve güvenlik amacıyla kısa bir süre dışında talebin işlenmesinden sonra onun tarafından saklanmaz. Güncel hizmet sağlayıcı listesi ve aktarım mekanizmaları 11. ve 12. bölümlerde yer almaktadır.
Yeni bir yapay zekâ modülünü etkinleştirmeden önce kesin girdi ve çıktı verilerini, amacı, analizin mantığını, bilinen sınırlamaları, insan gözetimini ve etkilenen kişi kategorilerini belgeleriz.
9.3. Sınırlamalar ve insan gözetimi
Kullanıcılar, ilgili modül bunların işlenmesi için açıkça onaylanmadıkça ve arayüz gerekli bilgiyi sunmadıkça DimAI'ye tıbbi teşhisler, psikolojik değerlendirmeler, kimlik belgeleri veya diğer hassas veriler girmemelidir.
DimAI'nin çıktısı yardımcı bilgi olarak değerlendirilir. Sağlık, yüklenme, seçim, lisanslama, disiplin tedbirleri, sözleşme, katılım veya hariç tutma ile ilgili kararlar, kaynakları doğrulayabilen ve öneriyi reddedebilen yetkin bir kişi tarafından verilir.
EvolixSport yapay zekâyı duygu tanıma, sosyal puanlama, manipülatif teknikler veya AI Act m. 5 kapsamındaki diğer yasaklı uygulamalar için kullanmaz. Yüksek riskli sistemler kapsamına giren bir işlev geliştirilirse, yeni bir hukuki ve teknik değerlendirme olmadan kullanıma sunulmayacaktır.
9.4. Doğruluk ve itirazlar
Yapay zekâ eksik, yanlış veya uygunsuz bilgi üretebilir. Her kullanıcı insan incelemesi talep edebilir, bir sonuca itiraz edebilir ve bir sorunu office@evolixsport.com adresine bildirebilir. Önemli hatalar ve yapılan düzeltmeler belgelenir.
10. Otomatik kararlar ve profilleme
EvolixSport, yalnızca otomatik işlemeye dayanan ve kişi üzerinde hukuki sonuç doğuran ya da onu benzer şekilde önemli ölçüde etkileyen kararlar almaz. Sportif değerlendirmeler ve DimAI önerileri, bir antrenör veya başka bir yetkin kişi tarafından anlamlı bir insan incelemesinden geçirilir. Böyle bir karar mekanizması getirilirse, etkinleştirilmeden önce politika; mantık, önem ve öngörülen sonuçlar hakkında bilgilerle güncellenir, insan müdahalesi, görüş bildirme ve itiraz hakkı güvence altına alınır ve etki değerlendirmesi yapılır.
11. Alıcılar ve veri işleyenler
Kişisel verilere şu kişiler erişebilir: EvolixSport'un yetkili personeli – yalnızca bakım ve güvenlik için gerekli olduğu ölçüde; ilgili Müşteri ve rollerine göre onun yetkili kullanıcıları; aşağıda listelenen hizmet sağlayıcılar; gerektiğinde muhasebeciler, avukatlar ve denetçiler; yasal dayanak bulunduğunda yetkili makamlar. Her veri işleyenle GDPR m. 28 kapsamında bir sözleşme yapılmıştır ve alt işleyenlerin kullanımı denetlenir.
| Alt işleyen | Faaliyet | Ülke | Aktarım mekanizması |
|---|---|---|---|
| Hetzner Online GmbH | Uygulamaların ve veritabanlarının barındırılması, dosya depolama, yedeklemeler | Almanya (AB) | AEA içinde – gerekli değildir |
| Groq, Inc. | DimAI için dil modeli (sohbet asistanı, analizler ve öneriler). Yalnızca metin istemleri alır; veriler model eğitiminde kullanılmaz | Amerika Birleşik Devletleri | AB Standart Sözleşme Maddeleri (GDPR md. 46) ve/veya AB-ABD Veri Gizliliği Çerçevesi |
Planlanan alt işleyen (henüz etkin değil): Stripe Payments Europe, Ltd. (İrlanda (AB)) – Çevrim içi ödemelerin ve aboneliklerin işlenmesi. Kart bilgileri yalnızca Stripe tarafından işlenir. Etkinleştirilmeden en az 30 gün önce listeye eklenecektir.
Web sitesi yazı tiplerini ve kütüphaneleri içerik dağıtım ağlarından (Google Fonts, jsDelivr, unpkg) yükler. Bunlar yüklenirken tarayıcı ziyaretçinin IP adresini ilgili hizmet sağlayıcıya iletir. Bu hizmet sağlayıcılar bizden başka herhangi bir veri almaz.
12. Uluslararası aktarımlar
Uygulamalar, veritabanları, dosyalar ve yedekler Almanya'daki (AB) bir veri merkezinde saklanır. Avrupa Ekonomik Alanı dışına yapılan tek aktarım, ABD'deki DimAI dil modeli hizmet sağlayıcısınadır. Bu aktarım, Avrupa Komisyonu'nun Standart Sözleşme Hükümlerine (GDPR m. 46(2)(c)) ve – hizmet sağlayıcı sertifikalı olduğunda – AB–ABD Veri Gizliliği Çerçevesine dayanarak, ek önlemlerle gerçekleştirilir: yalnızca gerekli metin verilerinin iletilmesi, takma adlandırma, aktarım sırasında şifreleme ve eğitim amaçlı kullanıma ilişkin sözleşmesel yasak. Kişiler, belirtilen kişisel veri e-posta adresinden uygulanabilir güvenceler hakkında bilgi veya bunların bir kopyasını talep edebilir.
13. Saklama süreleri
Veriler gerekenden daha uzun süre saklanmaz. Somut süre; amaca, sözleşmeye, yasal yükümlülüklere, zamanaşımı sürelerine, beklenen uyuşmazlıklara ve Müşterinin talimatlarına bağlıdır.
| Kategori | Süre / ölçüt |
|---|---|
| Modüllerdeki müşteri hesabı, profiller ve sportif veriler | sözleşme veya üyelik süresince; sözleşmenin sona ermesinden sonra erişim engellenir ve veriler dışa aktarma ve geri yükleme için 90 gün saklanır, ardından kanun aksini gerektirmedikçe silinir veya anonimleştirilir |
| Spor geçmişi, sıralamalar ve sonuçlar | Müşteri tarafından belirlenen süre ve dayanak; arşivlenmiş ve kamuya açık sonuçlar anonimleştirilmiş veya toplu hâlde saklanabilir |
| Çocukların verileri | periyodik inceleme; arşiv için yasal dayanak bulunmadıkça amaç ortadan kalktığında (ör. kulüpten ayrılma) silme veya anonimleştirme |
| Sağlık verileri ve öz değerlendirmeler | belgenin (belge, sigorta) geçerlilik süresinin sona ermesine veya Müşteri tarafından belirlenen amacın ortadan kalkmasına kadar; profilin süresinden uzun olmamak üzere |
| Analiz için fotoğraf ve video | kullanıcı veya Müşteri tarafından silinene kadar, ancak profilin süresinden uzun olmamak üzere; çıkarılan özellikler kaydın süresine tabidir |
| DimAI konuşmaları ve sonuçları | kullanıcı tarafından daha önce silinmedikçe hesap süresince; talep meta verileri – 12 ay; hizmet sağlayıcıda – koşulları uyarınca güvenlik amacıyla kısa bir süre dışında işlemeden sonra saklanmaz |
| Mali ve muhasebe belgeleri | yasal muhasebe ve vergi saklama süreleri (10 yıla kadar) |
| Güvenlik ve erişim kayıtları | bir olay veya yasal gereklilik olmadıkça 12 ay |
| Destek talepleri | talebin kapatılmasından sonra 24 aya kadar |
| Pazarlama rızası | geri çekilene kadar ve sonrasında sınırlı bir ispat süresi boyunca |
| Hakların kullanılmasına ilişkin talepler ve ihlal kaydı | hukuka uygunluğun ispatı için gerekli süre boyunca (kural olarak 5 yıl) |
14. Güvenlik
Riske uygun teknik ve idari önlemler uygularız; bunlar arasında:
- tüm arayüzler için aktarım sırasında şifreleme (HTTPS/TLS) ve güvenlik HTTP başlıkları;
- federasyon modülünde özel nitelikli veriler ile erişim kodlarının saklama sırasında şifrelenmesi; parolalar yalnızca modern bir algoritmayla (Argon2id) hash olarak saklanır;
- asgari yetkilere dayalı rol modeli ve her Müşterinin verilerinin mantıksal olarak ayrılması; veliler, antrenörler, kulüpler ve federasyonlar yalnızca ihtiyaç duydukları verileri görür;
- oturum koruması (sınırlı süre, güvenli çerezler), tekrarlanan başarısız giriş denemelerinde sınırlama ve geçici engelleme, operatörün yönetici erişimi için iki adımlı doğrulama;
- hassas verilere erişim ve yönetici işlemleri için kayıt tutulması;
- AB'de düzenli yedekler, güvenlik açığı ve güncelleme yönetimi, periyodik güvenlik incelemeleri ve olay prosedürü;
- erişimi olan tüm kişiler için sözleşmesel gizlilik.
Kullanıcılar giriş bilgilerini korumakla ve kötüye kullanım şüphesi durumunda bizi derhal info@evolixsport.com adresinden bilgilendirmekle yükümlüdür. Hiçbir internet sistemi mutlak güvenliği garanti edemez. Bir güvenlik ihlali durumunda olayı belgeler, riski değerlendirir ve gerektiğinde Kişisel Verileri Koruma Komisyonu'nu (CPDP) öğrenmemizden itibaren 72 saat içinde, etkilenen Müşterileri gecikmeksizin ve haklarına yönelik yüksek risk olasılığı bulunduğunda etkilenen kişileri bilgilendiririz.
15. Çerezler ve harici kaynaklar
Yalnızca rıza gerektirmeyen kesinlikle gerekli çerezleri kullanırız. Analiz, reklam veya takip çerezleri kullanmayız ve platforma giriş yaptıktan sonra kullanıcıları takip etmeyiz.
| Çerez | Amaç | Süre |
|---|---|---|
| Oturum çerezi (oturum tanımlayıcısı) | giriş, oturumun sürdürülmesi, siteler arası istek sahteciliğine (CSRF) karşı koruma | 30 dakikalık hareketsizliğe veya tarayıcı kapatılana kadar |
lang | kullanıcının seçtiği dili hatırlar | 12 ay |
Gelecekte isteğe bağlı çerezler veya analiz teknolojileri kullanmaya başlarsak, bunlar yalnızca reddetmenin kabul etmek kadar kolay olduğu bir panel aracılığıyla önceden alınan geçerli rızadan sonra ve seçim yapılmadan önce isteğe bağlı komut dosyaları yüklenmeden etkinleştirilecektir.
16. İlgili kişilerin hakları
GDPR koşulları çerçevesinde her kişinin; verileri hakkında bilgi alma ve verilerine erişim; düzeltme; silme; işlemenin kısıtlanması; veri taşınabilirliği; meşru menfaate dayalı işlemeye itiraz; verilen rızayı, geri çekilmeden önceki işlemenin hukuka uygunluğunu etkilemeksizin geri çekme; otomatik kararlara karşı koruma; ve bir denetim makamına şikâyette bulunma hakkı vardır.
Talepler office@evolixsport.com adresine iletilebilir. Kayıtlı kullanıcılar verilerinin bir kopyasını makine tarafından okunabilir formatta (JSON) kendileri indirebilir ve platformdaki profillerinden silme talebinde bulunabilir. Verilerin korunması için orantılı bir kimlik doğrulaması istenebilir. Yanıt gecikmeksizin ve kural olarak bir ay içinde verilir; karmaşık veya çok sayıda talep olması hâlinde süre iki ay daha uzatılabilir ve kişi bu konuda bilgilendirilir.
EvolixSport verileri yalnızca bir Müşterinin talimatları doğrultusunda işlediğinde, talep 5 iş günü içinde ilgili veri sorumlusuna (kulüp veya federasyon) iletilir ve EvolixSport kararlaştırılan desteği sağlar. Talebe ilişkin nihai karardan Müşteri sorumludur.
Yargısal başvuru hakkı saklı kalmak kaydıyla, Kişisel Verileri Koruma Komisyonu'na (CPDP), 2 Prof. Tsvetan Lazarov Blvd., Sofia 1592, Bulgaristan, cpdp.bg şikâyette bulunulabilir. Diğer AB ülkelerindeki kişiler ikamet ettikleri yerdeki denetim makamına başvurabilir.
17. Zorunlu ve isteğe bağlı veri sağlama
Kayıt, sözleşme, lisanslama, güvenlik veya yasal yükümlülük için gerekli alanlar zorunlu olarak işaretlenir. Bunlar olmadan ilgili hizmet sunulamayabilir. İsteğe bağlı işlevler, pazarlama veya kişiselleştirme için veriler gönüllü olarak sağlanır ve veriler temel hizmet için gerekli değilse reddetmek temel hizmeti kısıtlamaz.
18. Politikadaki değişiklikler
Politika; işlevsellik, yapay zekâ modeli, hizmet sağlayıcı, veri kategorisi, amaç, hukuki dayanak, aktarım veya mevzuat gerekliliğinde bir değişiklik olduğunda gözden geçirilir. Güncel sürüm numara ve tarihle yayımlanır. Önemli değişiklikler için platformda veya e-posta yoluyla uygun bir bildirim yapılır ve gerektiğinde yeniden rıza istenir.
19. İletişim
Kişisel verilerle ilgili soru ve talepler EvolixSport adresine office@evolixsport.com e-posta adresi üzerinden iletilebilir. Teknik sorular: info@evolixsport.com. Veri Koruma Görevlisi: atanmamıştır (işletmeci için zorunlu değildir); talepler yukarıdaki e-posta adresi üzerinden yürütülür.