Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında Runbay mobil uygulamasının kullanıcılarını ve tanıtım sitesinin ziyaretçilerini bilgilendirmek amacıyla hazırlanmıştır. Runbay markası, tek başına veri sorumlusunun hukuki kimliğini ifade etmez; veri sorumlusunun doğrulanmış unvanı veya adı ile iletişim bilgileri bu belgenin kimlik bölümünde gösterilir.
Aydınlatma; kullanım sözleşmesinden, sağlık verilerinin işlenmesine ilişkin açık rızadan ve cihaz izinlerinden ayrı bir işlemdir. Bu metnin görüntülenmesi veya okunduğunun kayda alınması, kişisel verilerin her amaçla işlenmesine ya da yurt dışına aktarılmasına verilmiş bir onay değildir.
İşlenen veriler, kullanılan özelliğe göre değişir. Mobil uygulama verileri kullanıcı hesabıyla ilişkilendirilir. Tanıtım sitesini ziyaret etmeniz, mobil uygulamadaki profilinizin veya koşu kayıtlarınızın siteye aktarılmasını sağlamaz.
Mevcut uygulamada bulunan veri işleme akışları
Kategori
Veri kapsamı
Hesap ve kimlik doğrulama
Kullanıcı kimliği, Apple veya Google hesabından iletilen kimlik doğrulama bilgileri, sağlayıcının aktardığı ad ve e-posta bilgileri, oturum belirteçleri ve hesap zaman damgaları.
Profil ve tercihler
Görünen ad, doğum yılı, cinsiyet tercihi (belirtmeme seçeneği dâhil), boy, antrenman seviyesi, hedef, ev/salon tercihi, haftalık antrenman gün sayısı ve saat dilimi.
Vücut ölçümleri
Kilo, ölçüm tarihi ve kullanıcı tarafından girilirse vücut yağ oranı.
Antrenman ve performans
Program seçimi ve takvimi; egzersiz, set, tekrar, ağırlık, algılanan zorluk, ısınma bilgisi, başlangıç/bitiş, süre, notlar; tonaj, aktif dakika, tahmini tek tekrar maksimumu ve kişisel rekorlar.
Konum ve koşu
Enlem, boylam, konum zaman damgası, doğruluk, hız ve yükseklik bilgileri; rota, başlangıç koordinatı, mesafe, hareketli süre, tempo, kilometre bölümleri ve irtifa kazanımı.
Eşleştirme ve işlem kayıtları
Hedef, seviye, ortam ve gün tercihleri üzerinden üretilen program adayları, eşleşme puanı, öneri/seçim kaydı ve program eşleştirme girdileri.
Bildirim ve işlem güvenliği
Bildirim teslim belirteci, iOS/Android platformu, cihaz kaydının son görülme zamanı; erişim sırasında oluşan IP, istek/yanıt ve hata kayıtları.
Hukuki işlem ve talepler
Koşul kabulü, aydınlatma kaydı ve sağlık verisi rızasının türü, sürümü ve zamanı; bir başvuru yapılması halinde başvuru ve kimlik doğrulama için gerekli bilgiler.
MADDE 03
İşleme amaçları ve hukuki sebepler
Aşağıdaki eşleştirme, belirtilen faaliyet için gerekli ve ölçülü verilerle sınırlıdır. Bir veri kategorisinin burada yer alması, o kategorideki tüm verilerin her amaç için kullanılabileceği anlamına gelmez. Sağlık verisi niteliği taşıyan bilgiler için genel nitelikli verilere ilişkin sözleşme veya meşru menfaat gerekçesi tek başına yeterli değildir.
Faaliyet, amaç ve hukuki sebep eşleştirmesi
Faaliyet ve amaç
Hukuki sebep
Hesap açma, oturum yönetimi, kullanıcının kendi kayıtlarına erişimi ve temel program tercihlerini uygulama
Kanun m.5/2-c: sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı gerekli veri işleme.
Kullanıcının başlattığı GPS koşusunda rota, mesafe ve tempo üretimi
Sağlık verisi niteliği taşımayan konum kayıtları için m.5/2-c; sağlık bilgisi veya sağlık değerlendirmesi oluşturan işleme için ayrıca m.6/3-a kapsamında açık rıza. Cihaz izni, hukuki sebebin yerine geçmez.
Vücut ölçümlerini ve sağlık bilgisi niteliğindeki aktivite verilerini saklama, kişisel gelişim göstergeleri üretme
Kanun m.6/3-a: belirli, bilgilendirilmiş ve özgür iradeyle verilen açık rıza. Rızanın kapsamı dışında kullanım yapılamaz.
İstenen hatırlatma hizmeti için m.5/2-c; bildirimin içeriği özel nitelikli veri ortaya koyuyorsa ilgili özel nitelikli veri işleme şartı da ayrıca aranır.
Yetkisiz erişimi önleme, istek sınırlandırma ve hizmet hatalarını inceleme
Temel hak ve özgürlüklere zarar vermeyen, gereklilik ve denge değerlendirmesine dayalı meşru menfaat: m.5/2-f.
KVKK başvurularını karşılama ve bağlayıcı makam taleplerini yerine getirme
Somut yükümlülükle sınırlı olmak üzere m.5/2-ç; bir hakkın tesisi, kullanılması veya korunması için gerekli kayıtlar yönünden m.5/2-e. Özel nitelikli verilerde m.6 koşulları ayrıca değerlendirilir.
MADDE 04
Toplama yöntemleri ve veri kaynakları
Veriler; profil ve ölçüm ekranlarına yaptığınız girişler, başlattığınız aktiviteler, izin verdiğiniz konum hizmetleri, Apple/Google kimlik doğrulama akışları, bildirim kaydı ve uygulama ile sunucu arasındaki istekler aracılığıyla elektronik ortamda elde edilir. Kişisel performans göstergeleri, mevcut kayıtların hesaplanması yoluyla türetilir.
Çevrimdışı antrenman ve koşu verileri önce cihaz üzerinde tutulabilir; bağlantı sağlandığında hesabınıza senkronize edilir. Bu yerel kayıt, verinin yalnızca cihazda kaldığı anlamına gelmez. Bir talep veya şikâyet iletmeniz halinde talebinizde sunduğunuz bilgiler de işlenir.
MADDE 05
Sağlık verileri ve hassas konum bilgileri
Vücut ölçümleri ve kişinin fiziksel durumunu ortaya koyan aktivite değerlendirmeleri, bağlamına göre sağlık verisi niteliğindedir. Runbay bu işlevler bakımından ayrı sağlık verisi rızası ister. Runbay bir sağlık kuruluşu olarak tıbbi teşhis veya tedavi hizmeti sunmaz; sağlık kuruluşlarına tanınan özel işleme şartlarına dayanıldığı varsayılmaz.
Kesin konum, Kanun’da tek başına özel nitelikli veri kategorisi olarak sayılmasa da ev, işyeri ve günlük alışkanlıklar hakkında çıkarım yapılmasına imkân verebilir. Konumun değerlendirilmesi, talep edilen koşu işleviyle sınırlı olmalıdır. Sağlık veya başka bir özel nitelikli veri ortaya çıkaran kullanım için ilgili ek koşullar aranır.
Ön plan konum izni, koşu öncesi sinyal kontrolünde ve koşu kaydında kullanılır. Arka plan izni, başlatılan koşunun ekran kapalıyken de izlenmesini sağlar. İzni kapatmak geçmişte kaydedilen rotaları silmez.
Hizmetin yürütülmesinde aşağıdaki alıcı grupları rol alır. Aktarım kapsamı, kullanılan işlev ve hizmet sağlayıcının teknik rolüne göre sınırlanır. Sağlayıcının bir hizmette veri işleyen olması, kendi hesap veya platform hizmetleri bakımından bağımsız veri sorumlusu olmasını dışlamaz.
Teknik entegrasyonlardan belirlenen alıcı grupları
Alıcı / hizmet
Amaç ve kapsam
Supabase ve uygulama sunucusunun barındırma hizmeti
Kimlik doğrulama, hesap/veritabanı işlemleri ve uygulama kayıtlarının sunulması. Kesin hizmet tüzel kişileri, alt işleyenler ve bölgeler sözleşme/üretim ayarlarıyla teyit edilmelidir.
Apple ve Google kimlik doğrulama hizmetleri
Seçtiğiniz sağlayıcı üzerinden oturum açılması ve kimlik doğrulama yanıtının iletilmesi; tüm antrenman geçmişinin bu sağlayıcılara gönderildiği anlamına gelmez.
Expo, Apple bildirim altyapısı ve Google bildirim altyapısı
Etkinleştirilen hatırlatmaların teslimi. Mevcut mesaj içeriği antrenman başlığını ve varsa görünen adınızı içerir.
Cihaz platformunun harita hizmeti
Rota çevresindeki haritanın sunulması. Harita isteği, ilgili coğrafi alan ve teknik bağlantı bilgilerini sağlayıcıya açıklayabilir.
Seçtiğiniz paylaşım uygulaması ve alıcı
Sistem paylaşım menüsüyle sizin gönderdiğiniz koşu kartı; kartta görünen rota ve performans bilgileri.
Yetkili kamu kurumları, yargı mercileri ve gerekli hukuki hizmet alıcıları
Usulüne uygun taleplerin karşılanması veya somut bir hakkın korunması için gerekli ve ölçülü bilgiler.
MADDE 07
Yurt dışına aktarım
Supabase, kimlik doğrulama, bildirim, harita ve barındırma hizmetleri nedeniyle yurt dışı bağlantılı veri işleme söz konusu olabilir. İncelenen kaynak kod, seçilmiş üretim bölgesini, tüm alıcı tüzel kişileri veya imzalanmış aktarım güvencesini ispatlamamaktadır. Bu metin herhangi bir ülke, yeterlilik kararı veya standart sözleşmenin mevcut olduğunu beyan etmez.
Düzenli aktarımların hukuka uygunluğu, Kanun m.9 uyarınca ilgili işleme şartına ek olarak yeterlilik kararı veya uygulanabilir uygun güvence ile değerlendirilmelidir. Arızi aktarımlara ilişkin istisnalar, sürekli bulut kullanımını genel bir rıza kutusuyla meşrulaştırmak için kullanılamaz. Nihai metinde fiilen kullanılan alıcı, ülke/bölge ve aktarım mekanizması açıklanmalıdır.
Hesap silme işlemi başarıyla tamamlandığında, hesabınız ve hesabınıza bağlı uygulama kayıtları ana veritabanından silinir. Hesap açıkken veriler, ilgili hizmetin sunulması için gerekli olduğu sürece saklanır. Yedekler ve hizmet sağlayıcı günlükleri, ana veritabanındaki hesap silme işleminin kapsamı dışındadır; bu kopyalar için bu metinle 30 günlük silme garantisi verilmemektedir.
Hesabımı sil işlemi, kimlik doğrulama hesabının ve bununla ilişkili uygulama kayıtlarının ana veritabanından silinmesini başlatır. Profil, ölçümler, antrenmanlar, rotalar, program/eşleştirme kayıtları, kişisel rekorlar, bildirim belirteçleri ve rıza kayıtları bu ilişkilere dahildir. Cihazdaki uygulama kayıtları da temizleme akışına alınır. Yedekler, hizmet sağlayıcı günlükleri ve kullanıcı tarafından dışarı paylaşılan kopyalar bu işlemle her yerde eş zamanlı silinmiş sayılmaz.
Tek bir antrenmanın iptal edilmesi, mevcut sistemde kaydın geçmiş görünümünden çıkarılmasıdır; veritabanından fiziksel silme değildir. Kanun kapsamındaki silme talebi bundan ayrıdır. İşleme şartları ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğü uygulanır; tutulması gereken istisnai kayıtların gerekçesi ve süresi ilgili talebe verilen yanıtta açıklanmalıdır.
Başvurunuzu, bu belgenin kimlik bölümünde gösterilecek veri sorumlusuna yazılı olarak; KEP, güvenli elektronik imza veya mobil imza ile ya da daha önce veri sorumlusuna bildirdiğiniz ve sisteminde kayıtlı e-posta adresinizi kullanarak iletebilirsiniz. Yalnızca hesap silmeye ayrılmış ekran, tüm KVKK taleplerini karşılayan bir başvuru kanalı olarak sunulmamaktadır.
Başvuru; adınızı, soyadınızı, yazılı başvuruda imzanızı, Türk vatandaşları için T.C. kimlik numarasını; yabancılar için uyruğu ve pasaport veya varsa kimlik numarasını, tebligat adresini, varsa bildirim e-postası/telefon/faks bilgisini ve talep konusunu içermelidir. İlgili bilgi ve belgeler eklenebilir. Kimlik doğrulamada yalnızca gerekli bilgiler kullanılmalı; şifre veya oturum belirteci istenmemelidir.
Başvurular niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Kural olarak ücret alınmaz; ayrıca maliyet doğması halinde yalnızca Kurul tarifesi uygulanabilir. Başvuru veri sorumlusunun hatasından kaynaklanıyorsa alınan ücret iade edilir.
Başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi halinde, cevabın öğrenilmesinden itibaren otuz ve her durumda başvuru tarihinden itibaren altmış günlük kanuni süreler içinde Kurula şikâyet mümkündür. Kurula başvurmadan önce veri sorumlusuna başvuru yolu kullanılmalıdır.
Açık rızanın geri alınması ve metin değişiklikleri
Açık rıza ileriye yönelik olarak geri alınabilir; geri alma, önceden hukuka uygun yapılmış işlemleri geriye dönük geçersiz kılmaz. Yalnızca rızaya dayanan işlem durdurulmalı; başka bir geçerli şart bulunmuyorsa ilgili veri için imha değerlendirmesi yapılmalıdır. Rıza gerektiren bir özelliğin veri olmadan sunulamaması ile hizmetin tamamını rızaya zorlamak birbirinden ayrıdır.
Mevcut uygulamada sağlık rızasını hesaptan bağımsız geri alma ekranı bulunmamaktadır. Hesap silme, bu hakkın tek kullanım yolu olarak kabul edilmemelidir. Başvuru kanalının işler hale getirilmesi ve geri alma işleminin teknik olarak uygulanması, nihai yayına hazırlığın parçasıdır.
İşleme amaçları veya alıcılar değiştiğinde aydınlatma güncellenmelidir. Yeni açık rıza gereken bir değişiklik, yalnızca bu sayfadaki metnin değiştirilmesiyle yürürlüğe konulamaz.
