Veri İşleme Sözleşmesi

1. Taraflar

1.1 Veri sorumlusu: My Personal Trainer uygulamasına ("Uygulama") PT olarak kayıt olan ve giriş ekranında telefonuna kod göndererek bu sözleşmeyi kabul eden gerçek veya tüzel kişi ("PT").

1.2 Veri işleyen: Adbros Reklam ve Ticaret Limited Şirketi, ozankacmaz@adbros.co ("Şirket").

1.3 Bu sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 3 ve 12 çerçevesinde, Kullanım Koşulları'nın ayrılmaz ekidir.

2. Konu ve süre

2.1 Şirket, PT'nin üyeleri hakkında Uygulamaya girdiği veya Uygulama aracılığıyla oluşan kişisel verileri yalnızca PT adına ve PT'nin talimatları doğrultusunda, Uygulama hizmetini sunmak amacıyla işler.

2.2 Sözleşme, PT'nin hesabı açık olduğu sürece yürürlüktedir. Hesap kapandığında 11. madde uygulanır.

2.3 Kapsam dışı: (a) PT'nin kendi hesabı ve aboneliğine ilişkin veriler (bunlar için Şirket veri sorumlusudur); (b) üyenin hesabı, bildirim ayarları ve MyPT+ aboneliği (bunlar için Şirket veri sorumlusudur); (c) üyenin PT'ye Uygulama dışında (örneğin "PT'ne yaz" ile açılan WhatsApp üzerinden) ilettiği bilgiler: Şirket bunları görmez, saklamaz ve işlemez; bunlar için PT kendi başına veri sorumlusudur; (ç) üyenin Kalori takibi verileri (öğün kayıtları, hedef, paylaşım tercihleri): bunlar PT'nin kaydı değildir, Şirket veri sorumlusudur; PT'nin bu verilere ilişkin konumu ve yükümlülükleri md. 4A'dadır.

2.4 PT'nin kayıtları sağlık bilgisi işlemek için tasarlanmamıştır. Uygulamada hastalık, sakatlık, ameliyat, ilaç veya hekim notu için alan yoktur (Uygulamanın önceki sürümlerindeki sağlık kayıtları Şirket tarafından silinir, bkz. md. 11.4).

3. İşlemenin niteliği

4. PT'nin yükümlülükleri

PT:

4.1 Verileri hukuka uygun bir sebebe dayanarak işlediğini; üyelerini KVKK md. 10 uyarınca aydınlattığını veya aydınlatacağını kabul eder. Şirketin sunduğu üye aydınlatma metni ve davet mesajındaki bağlantı bu amaçla kullanılabilir; metnin PT'ye ait bölümündeki bilgilerin doğruluğundan PT sorumludur.

4.2 Kilo ve vücut ölçülerini üyeleri için Uygulamada girer ve görür; bu kayıtlar PT ile o üyenin ortak kaydıdır (üye de görür ve ekleyebilir; üyenin başka bir PT'si göremez). Uygulamaya bağlanan üyeden bu kayıt için PT adına açık rıza istenir; üye onaylamaz veya onayını geri çekerse Şirket o kayıttaki ölçümleri siler ve kayda yeni ölçüm yazılamaz. Uygulamaya bağlanmamış bir üyenin kilo ve ölçülerini giren PT, o üyenin açık rızasını önceden almayı ve ispat edebilmeyi üstlenir. Üye hesabını sildiğinde o üyeye ait ölçüm kayıtlarının Şirket tarafından silineceğini kabul eder.

4.3 Uygulamaya yalnızca amaçla bağlantılı, sınırlı ve ölçülü veri girer. Serbest metin alanlarına (notlar, üye hedefi, ders ve sonuç notları, program ve beslenme notları ve benzerleri) sağlık bilgisi (hastalık, sakatlık, ameliyat, ilaç, gebelik ve benzeri) veya başka özel nitelikli veri (din, siyasi görüş ve benzeri) girmez. Bu yasağa aykırı girilen veriden PT sorumludur. Uygulamanın önceki sürümlerinden kalan notlarında sağlık bilgisi varsa bunları siler.

4.3A Üyesinden Uygulama dışında (örneğin WhatsApp) aldığı sağlık bilgisini Uygulamaya aktarmaz; bu bilgi için kendi hukuki sebebinden, aydınlatma yükümlülüğünden ve güvenliğinden kendisi sorumludur.

4.4 Üyelerin başvurularını KVKK md. 13 uyarınca en geç 30 gün içinde sonuçlandırır.

4.5 Kendi cihazının ve hesabının güvenliğini sağlar (ekran kilidi, güncel işletim sistemi, cihazı başkalarıyla paylaşmamak).

4.6 VERBİS kaydı gibi kendi yasal yükümlülüklerini kendisi değerlendirir ve yerine getirir.

4A. Üyenin paylaştığı kalori kayıtları

4A.1 Rol. Kalori takibi verileri için veri sorumlusu Şirkettir. Bir üye, kayıtlarını PT'yle paylaşmayı açık rızasıyla seçtiğinde Şirket, paylaşım açık olduğu sürece PT'nin Uygulamada şu bilgileri yalnızca görüntülemesine izin verir: üyenin günlük kalori toplamları, öğün kayıtları ve üyenin kendi koyduğu hedef. PT bu verilerin alıcısıdır; bunları Uygulama içinde görüntülerken Şirketin kuralına ve bu maddeye uyar. Fotoğraflar saklanmadığı için PT'ye hiçbir zaman gösterilmez.

4A.2 Yalnızca görüntüleme. Uygulamada PT'nin kalori kayıtlarına yazma, ekleme, düzeltme, silme veya hedef koyma yetkisi yoktur. PT bu sınırı aşmaya çalışmaz.

4A.3 Hedef ve beslenme reçetesi yasağı. PT, paylaşılan kayıtlara dayanarak veya başka bir şekilde Uygulama üzerinden üyesine kişisel kalori hedefi, makro hedefi, diyet listesi veya beslenme programı vermez. Bir kişinin enerji ve besin öğesi gereksinimini belirlemek diyetisyen ve hekimlerin mesleki alanındadır; PT, özel beslenme ihtiyacı veya sağlık sorunu olan üyesini ilgili sağlık meslek mensubuna yönlendirir (Kullanım Koşulları md. 5.3 ve 5.3A).

4A.4 Gizlilik ve amaçla sınırlılık. PT paylaşılan kayıtları:

• yalnızca o üyeyle olan antrenörlük ilişkisinde ve üyeyle konuşmak için kullanır,
• gizli tutar; başka üyelerle, diğer PT'lerle, salon yönetimiyle veya üçüncü kişilerle paylaşmaz,
• kopyalamaz, ekran görüntüsü almaz, dışa aktarmaz, başka bir sisteme veya mesajlaşma uygulamasına aktarmaz,
• paylaşım kapandığında veya üyeyle ilişkisi bittiğinde elinde kopya tutmaz.

4A.5 Özgür irade. PT üyesini paylaşım açmaya zorlamaz; paylaşımı veya Kalori takibini ders vermenin ya da başka bir hizmetin şartı yapmaz.

4A.6 Uygulama dışına çıkarılan veriler. PT bu maddeye aykırı olarak kalori kayıtlarını Uygulama dışına çıkarırsa, bu kopyalar için kendi başına veri sorumlusu olur ve KVKK md. 6 uyarınca açık rıza ve yeterli önlemler dahil tüm yükümlülüklerden ve doğacak zararlardan kendisi sorumludur.

4A.7 Sponsorluk erişim vermez. PT'nin "Premium + Kalori takibi" planı, ona bağlı üyelerde MyPT+'ı açar; ancak PT'ye üyelerin kalori kayıtlarını görme hakkı vermez. PT yalnızca üyenin kendisinin paylaştığı kayıtları görür.

4A.8 Bildirim. PT, paylaşılan kayıtların yetkisiz kişilerce görüldüğünü (örneğin cihazının kaybolması veya hesabının başkasınca kullanılması) öğrenirse Şirkete gecikmeksizin ve en geç 24 saat içinde ozankacmaz@adbros.co adresinden bildirir.

5. Şirketin yükümlülükleri

Şirket:

5.1 Verileri yalnızca PT'nin belgelenmiş talimatlarıyla işler. PT'nin Uygulamada yaptığı işlemler (kayıt açma, düzenleme, silme, dışa aktarma) talimat sayılır. Bir talimatın mevzuata aykırı olduğunu düşünürse PT'yi bilgilendirir.

5.2 Verileri kendi amaçları için kullanmaz, satmaz, reklam veya profil oluşturma amacıyla işlemez. Anonim ve toplu istatistikler, kişiyi belirlenemez hale getirildikten sonra hizmetin iyileştirilmesi için kullanılabilir.

5.3 Verilere erişen çalışanlarını ve yardımcılarını yazılı gizlilik yükümlülüğü altına alır; bu yükümlülük görevden ayrıldıktan sonra da devam eder (KVKK md. 12/4).

5.4 KVKK md. 12 ve Kişisel Verileri Koruma Kurulunun özel nitelikli kişisel veriler için belirlediği yeterli önlemler çerçevesinde en az şu tedbirleri alır:

• Aktarımda ve depolamada şifreleme,
• Sunucu tarafında uygulanan yetki kuralları: bir PT yalnızca kendi üyelerinin kayıtlarını, bir üye yalnızca kendi kayıtlarını görür; farklı PT'ler birbirinin kayıtlarını göremez; bakiye ve ders sonuçlarını yalnızca sunucu yazar,
• Yönetici erişiminin en az yetki ilkesiyle sınırlandırılması, iki adımlı doğrulama, erişim yetkilerinin periyodik gözden geçirilmesi ve görev değişikliğinde derhal kaldırılması,
• Erişim ve işlem kayıtlarının tutulması,
• Özel nitelikli veriler için ayrı politika ve prosedür, ilgili personele düzenli eğitim,
• Yedekleme ve geri yükleme prosedürü,
• Güvenlik açıklarının düzenli taranması ve bağımlılıkların güncel tutulması,
• Bildirim içeriklerinde sağlık bilgisi ve kalori kaydının yer almaması (PT'ye giden bazı bildirimlerde, örneğin paket bitişinde, yalnızca üyenin adı bulunur),
• Widget'tan verilen ders cevaplarının yalnızca telefona özel bir anahtarla ve yalnızca o PT'nin biten, cevaplanmamış birebir dersleri için kabul edilmesi; anahtarın sunucuda yalnızca tek yönlü özet olarak tutulması ve çıkışta iptal edilmesi,
• Kilo ve ölçülere yalnızca o kaydın PT'sinin ve üyenin kendisinin erişebilmesi; üyenin başka bir PT'sinin erişememesi; üyenin onaylamadığı kayda yeni ölçüm yazılamaması (sunucu kuralı),
• Üyenin kalori kayıtlarına yalnızca üyenin ve üyenin paylaşmayı seçtiği, kendisine bağlı PT'nin erişebilmesi; PT'nin yalnızca okuyabilmesi (sunucu kuralı),
• Silme ve imha işlemlerinin, kişiyi doğrudan göstermeyen bir kayıtla (_deletionLog) belgelenmesi.

5.5 PT'nin, üyelerin başvurularını cevaplayabilmesi için gerekli teknik desteği verir: kayıtların görüntülenmesi, düzeltilmesi, silinmesi, anonimleştirilmesi ve makine tarafından okunabilir biçimde dışa aktarılması. Şirkete doğrudan gelen ve PT'nin veri sorumlusu olduğu kayıtlara ilişkin başvuruları en geç 3 iş günü içinde PT'ye iletir.

5.6 PT'nin bu sözleşmeye uyumunu gösterebilmesi için gerekli bilgileri makul talep üzerine sağlar; yılda bir kez, önceden bildirilmek ve Şirketin diğer müşterilerinin verilerine ve iş sırlarına erişim olmamak kaydıyla denetime izin verir.

6. Alt veri işleyenler

6.1 PT, aşağıdaki alt veri işleyenlerin kullanılmasına genel izin verir:

Tablo yana kayar

6.2 RevenueCat, Inc. yalnızca PT'nin ve MyPT+ satın alan üyelerin kendi abonelik verilerini işler (Şirket veri sorumlusu); PT'nin kayıtlarındaki üye verilerini işlemez ve bu sözleşme kapsamında alt işleyen değildir. Google Cloud Vertex AI yalnızca Şirketin veri sorumlusu olduğu Kalori takibi analizlerini işler; PT'nin kayıtlarına erişmez ve bu sözleşme kapsamında alt işleyen değildir. Firebase Hosting (Google) egzersiz çizimlerini sunar; yalnızca cihazın IP adresini ve dosya adını görür, PT'nin kayıtlarına erişmez ve alt işleyen değildir. WhatsApp (Meta) da alt işleyen değildir: "PT'ne yaz" ve davet mesajları kullanıcıların kendi cihazlarından, kendi başlattıkları iletişimdir.

6.3 Şirket, alt işleyen eklemeden veya değiştirmeden en az 30 gün önce Uygulama içinde ve e-postayla (varsa) PT'yi bilgilendirir. PT makul gerekçeyle itiraz edebilir; itiraz çözülemezse PT sözleşmeyi feshedebilir.

6.4 Şirket, alt işleyenlerle en az bu sözleşmedeki kadar koruyucu yükümlülükler içeren sözleşmeler yapar ve onların eylemlerinden PT'ye karşı sorumludur.

7. Yurt dışına aktarım

7.1 Veriler 6. maddedeki ülkelerde işlenir. Şirket, bu aktarımlar için KVKK md. 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca Kişisel Verileri Koruma Kurulunun ilan ettiği standart sözleşmeyi değiştirmeden imzalar ve imzadan itibaren beş iş günü içinde Kuruma bildirir (Yönetmelik md. 7/3 uyarınca veri işleyen olarak kendi bildirim yükümlülüğünü talimat beklemeden yerine getirir).

7.2 PT, bu maddedeki aktarımlar için Şirkete talimat verdiğini kabul eder.

7.3 Şirket, bir alıcı için uygun güvence sağlanamadığında PT'yi bilgilendirir ve aktarımı durdurmak veya sağlayıcıyı değiştirmek için makul adımları atar.

8. İlgili kişi başvuruları

8.1 Üye bir başvuruyu doğrudan PT'ye yapabilir. Uygulamada KVKK başvurusu yapan üyenin PT'nin kayıtlarına ilişkin talepleri PT'ye iletilir, PT'nin cevabı takip edilir.

8.2 Şirket, PT'nin talimatı olmadan PT'nin kayıtlarını silmez veya değiştirmez. Şu durumlar istisnadır ve PT bunlara önceden talimat verdiğini kabul eder:

• Üye hesabını silerse: üyenin hesabı, profil fotoğrafı, bildirim ayarları ve Şirketin veri sorumlusu olduğu kalori verileri; PT'nin ağacında üyenin kendi girdiği antrenman işaretleri, beslenme günlükleri, ders talepleri ve rıza kayıtları; o üye kaydındaki tüm kilo ve ölçü kayıtları (PT'nin girdikleri dahil, çünkü bu kayıtlar üyeyle ortaktır) silinir; üye kartındaki hesap bağlantısı ve üyenin kendi yazdığı alanlar (fotoğraf, doğum tarihi) kaldırılır. PT'nin dersleri, paketleri, ders defteri ve notları PT'de kalır.
• Uygulamanın önceki sürümlerinden kalan sağlık kayıtları, yağ oranı ve kas kütlesi ölçümleri, kalori ve makro hedefleri: Şirket bunları md. 11.4 uyarınca siler.

8.3 Üye, PT'de kalan kayıtların silinmesini Şirkete iletirse Şirket talebi en geç 3 iş günü içinde PT'ye iletir (md. 5.5).

9. Veri ihlali

9.1 Şirket, PT'nin veri sorumlusu olduğu verileri etkileyen bir ihlali öğrendiğinde gecikmeksizin ve en geç 24 saat içinde PT'yi bilgilendirir. Bildirim; ihlalin niteliği, etkilenen kişi ve kayıt sayısı (tahmini), muhtemel sonuçlar, alınan ve önerilen tedbirler, iletişim kişisini içerir.

9.2 Bu süre, PT'nin KVKK md. 12/5 ve Kurulun 2019/10 sayılı kararı uyarınca Kurula 72 saat içinde bildirim yapabilmesi için belirlenmiştir. Şirket, Kurul bildirim formunun doldurulması ve üyelere bildirim için gerekli bilgiyi sağlar.

9.3 Aynı ihlal Şirketin veri sorumlusu olduğu verileri de etkiliyorsa Şirket kendi bildirimini ayrıca yapar.

10. Sorumluluk

10.1 Taraflar, KVKK md. 12/2 uyarınca güvenlik tedbirleri bakımından müştereken sorumludur. İç ilişkide her taraf kendi kusuru oranında sorumludur.

10.2 PT'nin hukuka aykırı talimatından, rızasız sağlık verisi girmesinden veya üyelerini aydınlatmamasından doğan zararlardan PT sorumludur ve Şirketi bu nedenle uğrayacağı zararlardan ari tutar.

10.3 Kasıt ve ağır kusur halleri saklıdır (6098 sayılı TBK md. 115).

11. Sözleşmenin sona ermesi

11.1 Silme: PT Uygulamada Ayarlar > Hesabımı sil ile hesabını sildiğinde Şirket, PT'nin veri sorumlusu olduğu tüm verileri (üye kartları ve altındaki her şey, dersler, paketler, ders defteri, programlar, beslenme planları ve günlükleri, notlar, ölçümler, ders talepleri, finans kayıtları, davet kodları, widget yetki ve cevap kayıtları) hemen siler. Sözleşme başka bir sebeple sona ererse silme en geç 30 gün içinde yapılır. Bağlı üyelerin hesapları silinmez, yalnızca PT ile bağlantıları kaldırılır.

11.1A İade (verilerin kopyası): PT, hesabını silmeden önce ozankacmaz@adbros.co adresinden verilerinin makine tarafından okunabilir bir kopyasını isteyebilir; Şirket bunu en geç 30 gün içinde sağlar. Hesap silindikten sonra veriler geri getirilemez ve iade edilemez.

11.1B Yedekler: Silinen veriler, veritabanı yedeklerinde ve kurtarma kopyalarında saklama süreleri dolana kadar (35 gün) kalır; bu kopyalar yalnızca felaket kurtarma için kullanılır. Bir yedekten geri yükleme yapılırsa Şirket silinmiş hesapları yeniden siler.

11.1C Abonelik: Hesabın silinmesi mağaza aboneliğini iptal etmez; PT aboneliğini App Store veya Google Play'den ayrıca iptal eder.

11.2 Şirket, yasal bir saklama yükümlülüğü yoksa verilerin kopyasını tutmaz. Silme işleminin kaydı (silme zamanı, rol, kategori bazında kayıt sayıları ve kullanıcı kimliğinin doğrudan okunamayan özeti; ad, telefon ve içerik olmadan) Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik md. 7/3 uyarınca en az üç yıl saklanır.

11.3 Şirketin veri sorumlusu olduğu ve silinmeyen kayıtlar: RevenueCat'teki abonelik kaydı ve Şirketin kendi mali kayıtları. Bunlar PT'nin üyelerine ait veri içermez.

11.4 Önceki sürümlerden kalan veriler: Uygulamanın önceki sürümlerinde tutulan sağlık kayıtları, yağ oranı ve kas kütlesi ölçümleri ile kalori ve makro hedefleri, Uygulamanın yeni sürümü yayına alındıktan sonra Şirket tarafından tek seferde silinir ve silme kategori bazında kayda alınır. PT bu silmeye talimat verdiğini kabul eder. PT'nin serbest metin notlarındaki sağlık bilgisini silmek PT'nin sorumluluğundadır (md. 4.3).

12. Diğer

12.1 Bu sözleşme ile Kullanım Koşulları arasında çelişki olursa kişisel verilerin korunması konusunda bu sözleşme uygulanır.

12.2 Türk hukuku uygulanır. Yetki konusunda Kullanım Koşulları md. 14 geçerlidir.

12.3 Şirket bu sözleşmeyi mevzuat değişikliği veya alt işleyen değişikliği nedeniyle güncelleyebilir; güncellemeler en az 30 gün önce bildirilir.