Veri İşleme Sözleşmesi

Son güncelleme: 30 Ekim 2026

Bu sözleşme, Sporova aboneliğinin ve ücretsiz denemenin ayrılmaz parçasıdır. Kulüp yöneticisi, kulüp adına kayıt olurken Kullanım Koşulları ile birlikte bu sözleşmeyi de elektronik olarak kabul eder.

1. Taraflar

Veri sorumlusu: Sporova'ya abone olan spor okulu veya spor kulübü (“Kulüp”).
Veri işleyen: Six Metal İç ve Dış Tic. LTD. ŞTİ. (“Sporova”), Sporova yazılımının sağlayıcısı.

2. Konu ve kapsam

Sporova, Kulübün sporcuları, velileri, antrenörleri ve yöneticilerine ait kişisel verileri yalnız Kulübe yazılım hizmetini sunmak için ve Kulübün talimatlarıyla işler. Bu sözleşme 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 12/2 uyarınca tarafların veri güvenliğine ilişkin yükümlülüklerini düzenler.

İlgili kişiler	Sporcular (çoğu 18 yaş altı), veliler, antrenörler, kulüp yöneticileri, Kulübün vitrin sayfasından deneme antrenmanı talep eden veliler
Veri kategorileri	Kimlik (ad-soyad, doğum tarihi, cinsiyet, T.C. kimlik no — isteğe bağlı), iletişim, kayıt ve grup bilgisi, yoklama, performans ve ölçüm kayıtları, aidat ve ödeme kayıtları, fotoğraf, acil durum kişisi, mesajlar, teknik kayıtlar; Kulübün kurulum hizmeti için gönderdiği listeler (Excel, CSV, PDF veya fotoğraf; sağlık bilgisi ve T.C. kimlik numarası içermemesi istenir)
Özel nitelikli veriler	Sağlık verileri (kan grubu, alerji, kronik hastalık, sigorta bilgisi) — yalnız Kulübün kaydettiği açık rıza varsa
İşleme faaliyetleri	Kayıt, saklama, düzenleme, görüntüleme, bildirim gönderme, rapor ve karne üretme, silme ve anonimleştirme; Kulübün talebiyle, gönderdiği listelerin kurulum şablonuna aktarılması (kurulum hizmeti)
Süre	Ücretsiz deneme ve abonelik süresi ile 8. maddedeki iade/silme süresi. Kurulum dosyaları aktarımdan sonra, aktarım yapılmasa da en geç 30 gün içinde silinir.

3. Sporova'nın yükümlülükleri

Kişisel verileri yalnız bu sözleşmenin amacıyla ve Kulübün talimatlarıyla işler; kendi amaçları (pazarlama, profil çıkarma, satış) için kullanmaz. Kulübün kurulum hizmeti talebi, gönderdiği dosyaların kurulum şablonuna aktarılması için verilmiş talimattır.
Verilere erişen çalışan ve danışanlarına gizlilik yükümlülüğü getirir; erişimi yalnız destek ve bakım için gereken kişilerle sınırlar. Kurulum hizmetinde Sporova yalnız Kulübün o talep için gönderdiği dosyalara ve yalnız talep üzerine erişir; Kulübün uygulamadaki kayıtlarına bu iş için yazmaz, aktarımı Kulüp kendisi başlatır.
4. maddedeki teknik ve idari tedbirleri uygular.
Bir veri ihlalini öğrendiğinde Kulübü gecikmeksizin, en geç 24 saat içinde bilgilendirir; ihlalin niteliğini, etkilenen veri ve kişi gruplarını ve alınan önlemleri bildirir. Kulübün Kurum'a ve ilgili kişilere bildirimine destek olur.
İlgili kişilerin KVKK Madde 11 başvurularını yanıtlaması için Kulübe gerekli bilgi ve teknik desteği verir. Kendisine doğrudan gelen başvuruyu Kulübe iletir.
Kulübün, bu sözleşmeye uyumu doğrulamak için yılda bir kez, makul süre önceden bildirerek bilgi ve belge istemesine olanak tanır.
Kişisel Verileri Koruma Kurulu'nun bu verilere ilişkin taleplerini Kulübe bildirir.

4. Teknik ve idari tedbirler

Kulüp izolasyonu: Veritabanında satır düzeyinde güvenlik (RLS). Her kulüp yalnız kendi verisini görür; antrenör yalnız kendi grubundaki sporcuyu, sporcu yalnız kendi kaydını görür. Bu kurallar her sürümden önce otomatik testlerle doğrulanır.
Rol bazlı yetki: Ödeme ve sağlık verisine erişim role göre sınırlıdır.
Sağlık verisi (Kurul'un 2018/10 sayılı kararı): Kan grubu, alerji, kronik hastalık ve sağlık notu alan düzeyinde şifreli saklanır; şifreleme anahtarı veritabanından ayrı bir anahtar kasasında tutulur. Açık rıza kaydı olmadan yazılamaz; rıza geri çekildiğinde silinir. Kulüp personeli bu verilere yalnız iki aşamalı doğrulama ile açılmış oturumda erişebilir. Her görüntüleme ve değişiklik, kimin ne zaman eriştiğiyle birlikte erişim kaydına yazılır; kayıt kulüp yöneticisine açıktır ve iki yıl saklanır.
Şifreleme: İletimde TLS. Veritabanı ve dosya depolama, sağlayıcı tarafından durağan hâlde şifrelenir. Parolalar geri döndürülemez biçimde (hash) saklanır.
Veri en aza indirme: Hata izleme kayıtlarına ad, e-posta ve sağlık verisi gönderilmez. Herkese açık kulüp vitrininde sporculara ait hiçbir bilgi yer almaz, göstergeler 10 kişiden küçük gruplardan üretilmez.
Kötüye kullanıma karşı: Herkese açık formlarda hız sınırı uygulanır, IP adresleri ham hâliyle saklanmaz.
Kurulum dosyaları: Herkese kapalı, kulüp bazında ayrılmış bir depoda saklanır. Kulüpte yalnız kulüp yöneticileri kendi kulübünün dosyalarını görür; Sporova'da yalnız platform yöneticisi talep dosyalarına erişir. Dosyalar aktarımdan sonra, aktarım yapılmasa da en geç 30 gün içinde silinir.
Kart verisi: Online ödemelerde kart bilgisi doğrudan ödeme kuruluşuna (iyzico) gider, Sporova'ya girmez. Abonelik ücretinin her dönem (aylık veya yıllık) otomatik tahsil edilebilmesi için kartı iyzico saklar; Sporova kart bilgisini hiçbir aşamada görmez ve saklamaz.

5. Alt veri işleyenler

Kulüp, hizmetin sunulması için aşağıdaki alt veri işleyenlerin kullanılmasına onay verir. Sporova, alt veri işleyenlere bu sözleşmedekilerden daha az koruyucu olmayan yükümlülükler getirir. Listeye ekleme ya da değişiklik yapılacaksa Kulübe en az 30 gün önceden uygulama içinden veya e-posta ile bildirir. Kulüp bu süre içinde itiraz edebilir; itiraz giderilemezse Kulüp aboneliğini sonlandırabilir ve ödenmiş dönem ücreti kullanılmayan gün oranında iade edilir.

Alt veri işleyen	Hizmet	Veri konumu
Supabase (Amazon Web Services altyapısı)	Veritabanı, kimlik doğrulama, dosya depolama (kurulum dosyaları dahil), sunucu fonksiyonları	Frankfurt, Almanya
Google (Firebase Hosting, Firebase Cloud Messaging, ML Kit)	Web uygulamasının yayını, anlık bildirim, mobil uygulamada QR okuma (görüntü cihazda işlenir; yalnız cihaz/uygulama bilgisi ve performans ölçümleri)	AB / ABD
Sentry	Hata izleme (yalnız kullanıcı kimliği ve rol etiketi)	Almanya
Brevo (Sendinblue SAS)	Hesap ve bildirim e-postaları	Fransa (AB)
iyzico	Kulüp aboneliğinin kartla ödenmesi ve dönemsel (aylık veya yıllık) otomatik tahsilatı (tekrarlayan tahsilat için kartı iyzico saklar; Sporova kart bilgisini görmez); diğer online ödemeler (etkinleştirildiğinde)	Türkiye

6. Yurt dışına aktarım

Yukarıdaki alt veri işleyenlerin bir kısmı Türkiye dışında bulunduğundan kişisel veriler yurt dışına aktarılır. Kulüp, bu sözleşmeyi kabul ederek, Sporova'ya bu aktarımları yapma talimatı verir. Sporova, aktarımları KVKK Madde 9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelere dayandırır ve standart sözleşmeleri imza tarihinden itibaren beş iş günü içinde Kurum'a bildirir.

7. Kulübün yükümlülükleri

Sporculara ve velilere kendi adına aydınlatma yapmak; Sporova'yı veri işleyen olarak ve yurt dışına aktarımı aydınlatma metninde belirtmek.
Sağlık verisi ve fotoğraf gibi açık rıza gerektiren işlemler için veliden açık rıza almak ve uygulamaya yalnız rıza alındıysa kaydetmek.
Sisteme doğru ve güncel veri girmek; gereksiz veri (ör. ihtiyaç yoksa T.C. kimlik numarası) girmemek. Kurulum hizmeti için yalnız kurulum için gereken listeleri göndermek; bu dosyalara sağlık bilgisi ve T.C. kimlik numarası koymamak.
Kendi kullanıcı hesaplarının parolalarını korumak; kulüpten ayrılan antrenör ve yöneticilerin hesabını pasifleştirmek.
Kulübün vitrin sayfasındaki logo ve kapak görselinde velisinden izin alınmamış çocuk fotoğrafı kullanmamak.
Yükümlüyse VERBİS kaydını yapmak ve ilgili kişi başvurularını yanıtlamak.

8. Sözleşmenin sona ermesi, verinin iadesi ve silinmesi

Abonelik sona erdiğinde Kulüp, verilerini 30 gün boyunca uygulamanın dışa aktarma araçlarıyla ya da Sporova'dan talep ederek alabilir. Bu sürenin sonunda Kulübün kişisel verileri silinir veya anonim hâle getirilir; yedeklerden en geç 90 gün içinde kalkar. Ücretsiz deneme bitiminden sonraki 7 gün içinde abonelik başlatılmazsa Kulübün kişisel verileri bu sürenin sonunda aynı şekilde silinir; silmeden 1 gün önce Kulübe e-postayla haber verilir. Kurulum dosyaları aktarımdan sonra, aktarım yapılmasa da en geç 30 gün içinde silinir. Mevzuatın saklamayı zorunlu kıldığı kayıtlar (ör. Sporova'nın kendi fatura kayıtları) yasal süre boyunca saklanır. Kulüp isterse silme işleminin yapıldığı yazılı olarak teyit edilir.

9. Sorumluluk

Taraflar, KVKK Madde 12/2 uyarınca veri güvenliği tedbirlerinin alınmasından müştereken sorumludur. Her taraf, bu sözleşmeye kendi aykırılığından doğan zarardan sorumludur. Kullanım Koşulları'ndaki sorumluluk sınırı, Sporova'nın bu sözleşmedeki kasıt veya ağır ihmalinden doğan zararlarda uygulanmaz.

10. Yürürlük ve öncelik

Bu sözleşme, Kulübün kaydıyla (ücretsiz deneme dahil) yürürlüğe girer ve deneme, abonelik ve 8. maddedeki süre boyunca geçerlidir. Kişisel verilerle ilgili konularda bu sözleşme ile Kullanım Koşulları arasında çelişki olursa bu sözleşme uygulanır.

11. İletişim

Six Metal İç ve Dış Tic. LTD. ŞTİ. (Six Metal İç ve Dış Ticaret Limited Şirketi) · Atatürk Mah. Şehit Pilot Üsteğmen İbrahim Gerçek Cad. A Blok No: 11 İç Kapı No: 9, Lüleburgaz / Kırklareli · Lüleburgaz Vergi Dairesi · VKN 8600747798 · destek@sporova.com

Kullanım Koşulları · Aydınlatma Metni · Çerez Politikası