KVKK Aydınlatma Metni

1. Veri Sorumlusunun Kimliği

Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 10 ve “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” kapsamında, veri sorumlusu sıfatıyla Yelken G Sailing Academy & Yacht Club (“Kulüp”, “Yelken G”, “biz”) tarafından hazırlanmıştır. Kulüp'ün ticari unvanı, MERSİS numarası, tebligata elverişli adresi, vergi numarası ve KVKK başvuru kanalı §13'te yer almaktadır.

2. Veri Sahipleri

Bu Aydınlatma Metni aşağıdaki veri sahibi kategorilerini kapsar:

• Kulüp üyeleri: yelkenci, eğitmen ve tekne sahibi rollerindeki gerçek kişiler.
• 18 yaş altı üyelerin veli ya da yasal temsilcileri.
• Kulüp eğitimleri için ön kayıt yaptıran ya da iletişim formunu kullanan kişiler.
• Yarış ve regatta katılımcıları ile yarış görevlileri.
• Mürettebat pazaryeri (crew marketplace) kullanıcıları.
• Acil iletişim kişileri (üye tarafından kayıt sırasında belirtilen yakını).
• Yelken G tesislerini ziyaret eden veya etkinliklerimize katılan ziyaretçiler.
• Yelken G ile sözleşmesel ilişki içindeki yüklenici, tedarikçi ve hizmet sağlayıcılar.

3. İşlenen Kişisel Veri Kategorileri

Kişisel Verileri Koruma Kurulu'nun yayımladığı veri kategorileri rehberi temel alınarak, Yelken G aşağıdaki kategorilerdeki kişisel verileri işler:

• Kimlik bilgisi: ad, soyad, doğum tarihi, T.C. Kimlik Numarası, kimlik kartı seri numarası, uyruğu ve fotoğraflı kimlik bilgileri.
• İletişim bilgisi: telefon numarası, e-posta adresi, açık adres, acil durumda ulaşılacak kişi ve onun iletişim bilgileri.
• Lokasyon verisi: yarış ve regatta katılımlarında konum bilgisi, tesis ziyaretlerinde giriş-çıkış kaydı.
• Müşteri / üyelik bilgisi: üyelik tipi, üyelik tarihleri, seans katılım kayıtları, beceri ve sertifika kayıtları, akademik seviye.
• Finansal bilgi: aidat ve ücret kayıtları, ödeme yöntemi (nakit/EFT), iade ve mahsup kayıtları, fatura bilgileri.
• İşlem güvenliği bilgisi: giriş kayıtları, IP adresi, oturum kimlik bilgileri, çift faktörlü kimlik doğrulama (OTP) tetikleyici kayıtları.
• Görsel ve işitsel kayıtlar: tanıtım ve etkinlik fotoğrafları (yalnızca açık rızaya tabidir).
• Özel nitelikli kişisel veri – sağlık: yüzme beyanı, üyenin kendi bildirdiği tıbbi durumlar (kalp, astım, alerji vb.), kullandığı ilaçlar ve hamilelik beyanı. Yalnızca su üstü güvenlik amacıyla işlenir.
• Yarış katılım verisi: sonuç sıralaması, yelken numarası, puanlar, akran değerlendirmeleri.
• Mesleki deneyim: eğitmenler ve tekne sahipleri için yetkinlik sertifikaları, lisans numaraları.

4. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz aşağıdaki amaçlarla işlenir:

• Üyelik başvurularının değerlendirilmesi ve kayıt süreçlerinin yürütülmesi.
• Eğitim, antrenman, yarış ve kiralama hizmetlerinin sunulması.
• Aidat ve ödeme takibinin, mali kayıtların yürütülmesi.
• Su üstü güvenliğin sağlanması ve acil durum müdahalesinin yönetilmesi.
• Sertifika, lisans ve yetkinlik takibinin yapılması; TYF ve diğer ilgili federasyonlara raporlama yükümlülüklerinin yerine getirilmesi.
• Yarış sonuçlarının ve puanlamanın yönetilmesi.
• Akran değerlendirme sisteminin işletilmesi.
• İletişim ve bildirim hizmetlerinin (işlemsel e-posta) sunulması.
• Mevzuattan kaynaklanan saklama ve raporlama yükümlülüklerinin karşılanması.
• KVKK m. 11 kapsamındaki başvuruların karşılanması.
• Bilgi güvenliği süreçlerinin yürütülmesi ve dolandırıcılığın önlenmesi.
• Açık rıza halinde tanıtım iletişimi ve operasyonel kayıt dışındaki fotoğraf / video kullanımı.

5. İşlemenin Hukuki Sebepleri (KVKK m. 5)

Yukarıdaki amaçlarla işleme; KVKK m. 5/2 kapsamındaki istisna sebepleri ve m. 5/1 açık rızaya dayanılarak gerçekleştirilir. Hukuki sebep – işleme amacı eşleştirmesi aşağıdaki gibidir:

• Sözleşmenin kurulması veya ifası (m. 5/2-c): üyelik kayıtları, eğitim hizmetinin sunulması, kiralama ve aidat takibi.
• Hukuki yükümlülüğün yerine getirilmesi (m. 5/2-ç): mali kayıtların Türk Ticaret Kanunu m. 82 çerçevesinde tutulması, federasyon raporlamaları, KVKK m. 11 başvurularına yanıt yükümlülüğü.
• Hayatî menfaatin korunması (m. 5/2-d): acil durumda acil iletişim kişisinin bilgilendirilmesi, sağlık beyanının ilk yardım personeli ile paylaşılması.
• Meşru menfaat (m. 5/2-f): bilgi güvenliği kayıtlarının tutulması, dolandırıcılığın önlenmesi, akran değerlendirme sisteminin işletilmesi.
• Açık rıza (m. 5/1): bülten ve tanıtım iletişimi, operasyonel kayıt dışındaki fotoğraf/video kullanımı, açık rıza gerektiren her türlü ek işleme.

Özel nitelikli kişisel veriler (sağlık) KVKK m. 6/3 uyarınca, yalnızca kamu sağlığı ya da hayatî menfaat kapsamına giren acil müdahale gerektiği hallerde işlenmektedir. Diğer hallerde açık rıza alınır.

6. Açık Rıza ve Aydınlatma Yükümlülüğünün Ayrılığı

Kişisel Verileri Koruma Kurulu'nun 2018/90 sayılı kararı ve “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” uyarınca; aydınlatma metninin okunduğunun bildirimi ile açık rızanın alınması iki ayrı işlemdir. Yelken G, bu metnin okunduğu kayıtlarını ve açık rıza kayıtlarını birbirinden bağımsız olarak tutmaktadır. Aydınlatma metni okuma kaydı; açık rıza yerine geçmez ve aksi anlamına gelmez.

Fotoğraf / video kayıtlarının tanıtım amacıyla kullanımı, bülten aboneliği ve operasyonel zorunluluk dışındaki her türlü tanıtım iletişimi için Yelken G, ayrı açık rıza beyanı toplar. Açık rıza her zaman ücretsiz biçimde geri alınabilir; geri alma, geri alma anına kadar gerçekleştirilen işlemleri etkilemez.

7. Kimlik Doğrulaması ve T.C. Kimlik No

Yelken G, üyelik kaydı sırasında her veri sahibinden T.C. Kimlik Numarası, kimlik kartı seri numarası, ad – soyad ve doğum tarihi bilgisinin verilmesini talep eder. Bu bilgiler iki aşamada işlenir:

• Algoritmik kontrol (kayıt anında):T.C. Kimlik No'nun Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (“NVİ”) tarafından yayımlanan kontrol algoritmasına uygun olup olmadığı sunucu tarafında doğrulanır. Bu adım NVİ ile bir bağlantı kurmaz; yalnızca matematiksel bir kontroldür.
• NVİ üzerinden doğrulama (kayıt sonrası):Kulüp yetkilisi, üyenin kimlik bilgilerini NVİ'nin sunduğu Kimlik Doğrulama Servisi üzerinden karşılaştırarak doğrular. Doğrulama olumsuz sonuçlanırsa üyelik askıya alınabilir.

Bu işleme; KVKK m. 5/2-c (sözleşmenin ifası), m. 5/2-ç (hukuki yükümlülük – federasyon kimlik kayıtları) ve m. 5/2-f (meşru menfaat – dolandırıcılığın önlenmesi) sebeplerine dayanmaktadır.

8. 18 Yaşın Altındaki Üyeler

18 yaş altı veri sahipleri için üyelik kaydı veli veya yasal temsilcinin yazılı muvafakatnamesi alınmadan tamamlanamaz. Veli/yasal temsilci, küçük adına bu Aydınlatma Metni'nin okunduğunu beyan eder ve gerekli açık rıza kayıtlarını küçük adına oluşturur. Küçüklere ait kişisel veriler, yetişkin üyelerle aynı güvenlik standartlarında korunur. 18 yaşını dolduran üyelerin verileri, kendileri tarafından yenilenen rıza beyanı alınana kadar değiştirilmez ve yeni amaçlarla kullanılmaz.

9. Veri Aktarımı ve Veri İşleyenler

Kulüp; KVKK m. 8 ve m. 9 çerçevesinde, gerekli güvencelerin sağlanması koşuluyla, aşağıdaki üçüncü taraflara veri aktarımı yapabilir:

• Yetkili kamu kurumları: federasyon (TYF), kolluk, yargı ve vergi mevzuatı gereği talep eden kurumlar; yalnızca yasal sınırlar dahilinde.
• Sigorta şirketi:ferdî kaza ve mes'uliyet sigortası kapsamında, sigorta poliçesinin gerektirdiği veriler.
• Sağlık ve acil müdahale birimleri: hayatî menfaatin söz konusu olduğu acil durumlarda, asgari gerekli veriler.
• Hukuk müşavirleri ve denetçiler: hukuki danışmanlık ve denetim hizmetlerinin yürütülmesi amacıyla.

Yelken G'ın hizmet sunumunda kullandığı veri işleyen / alt-veri-işleyen kategorisindeki teknoloji tedarikçileri aşağıdaki gibidir. Her biri uygun sözleşmesel güvencelere bağlıdır.

• Barındırma altyapısı: Vercel Inc. (ABD/AB bölgeleri) — uygulama barındırma ve kenar dağıtım.
• Veritabanı: MongoDB Atlas — ortamına göre seçilen bölge.
• İşlemsel e-posta: Resend, Inc. (ABD) — kimlik doğrulama kodları, üyelik bildirimleri ve işlemsel iletişim.
• DNS ve CDN: Vercel kenar ağı ve Cloudflare DNS hizmetleri.

Yurt dışına aktarım söz konusu olduğunda, KVKK m. 9 uyarınca; (i) Veri sahibinin açık rızası, (ii) Kişisel Verileri Koruma Kurulu'nun yeterli koruma bulunan ülke listesi, (iii) standart sözleşme veya bağlayıcı kurumsal kurallar gibi eşdeğer güvenceler aranır. Tedarikçi listesi değiştikçe bu metin güncellenir ve değişiklikler son güncellenme tarihi ile birlikte yayımlanır.

10. Saklama Süreleri

Kişisel verileriniz, işleme amacının gerektirdiği süre boyunca ve mevzuattan kaynaklanan saklama yükümlülükleri çerçevesinde tutulur. Kategori bazlı asgari saklama süreleri aşağıda gösterilmiştir:

Saklama süresinin sonunda; kişisel verileriniz silinir, yok edilir ya da anonim hale getirilir. Yelken G'ın kişisel veri saklama ve imha politikası talep üzerine paylaşılır.

11. Veri Güvenliği Tedbirleri (KVKK m. 12)

KVKK m. 12 kapsamında veri sorumlusu sıfatıyla Yelken G; kişisel verilerin hukuka aykırı erişim, ifşa veya değiştirilmesini önlemek için gerekli idari ve teknik tedbirleri almakla yükümlüdür. Yelken G tarafından uygulanan başlıca tedbirler:

• Şifreli iletişim (HTTPS / TLS) tüm uygulama trafiği için zorunludur.
• Veritabanı bağlantıları şifreli kanallar üzerinden gerçekleştirilir.
• Erişim yetkileri rol bazlıdır; her yönetici işlemi denetlenebilir günlüklere kaydedilir.
• Üyelik girişleri tek kullanımlık doğrulama kodu (OTP) ile ikinci faktör doğrulamasından geçer.
• IP ve telefon bazlı oran sınırlandırma ile kaba kuvvet saldırıları engellenir.
• Çalışanlar ve hizmet sağlayıcılar için gizlilik taahhüt belgeleri imzalanır.
• Veri sızıntısı tespit edildiğinde KVKK m. 12/5 çerçevesinde Kurul ve veri sahipleri en geç 72 saat içinde bilgilendirilir.

12. KVKK m. 11 Kapsamındaki Haklarınız

KVKK m. 11 uyarınca her veri sahibi, veri sorumlusuna başvurarak aşağıdaki haklara sahiptir:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK m. 7'de öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini, yok edilmesini veya anonim hale getirilmesini isteme,
7. Yukarıdaki düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme,
10. Kişisel Verileri Koruma Kurulu'na şikâyette bulunma.

“Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ” uyarınca başvurular; (i) ıslak imzalı dilekçe ile şahsen veya iadeli taahhütlü posta yoluyla, (ii) kayıtlı elektronik posta (KEP) adresi ile, (iii) güvenli elektronik imza veya mobil imza ile imzalanmış bir elektronik posta ile §13'te belirtilen iletişim kanallarına yapılır. Yelken G başvurunuza en geç otuz gün içinde ücretsiz olarak yanıt verir. Kurul tarafından belirlenen ücret tarifesi kapsamına giren istisnai durumlarda makul ücret talep edilebilir.

13. İletişim

KVKK kapsamındaki talepleriniz ve veri koruma sorularınız için yazılı olarak aşağıdaki kanallara başvurabilirsiniz:

• E-posta: kvkk@yelkeng.com
• Posta adresi:Yelken G Sailing Academy & Yacht Club, Bursa / İstanbul. (LAWYER-REVIEW: kayıtlı tebligat adresi doldurulacak.)
• KEP: Henüz tahsis edilmemiştir; alındığında bu metinde güncellenecektir.

14. Bu Metnin Güncellenmesi

Yelken G, bu Aydınlatma Metni'ni mevzuat değişikliklerine, hizmet yapısına veya işleme amaçlarına paralel olarak güncelleyebilir. Güncellenme tarihi metnin en üstünde gösterilir. Önceki versiyonlar talep üzerine paylaşılır.