Veri İşleme Şartları
Sürüm 2026-10. Bu şartlar, KidsIn'e kayıt olan işletme ile [Şirket unvanı] ("KidsIn") arasında, KVKK m.12 uyarınca yapılan veri işleme sözleşmesidir. İşletme, kayıt olurken veya panelde "Kabul ediyorum" diyerek bu şartları kabul eder.
1. Roller
İşletmenin KidsIn'e girdiği çocuk, veli ve müşteri bilgileri bakımından veri sorumlusu işletmedir. KidsIn bu verileri yalnızca işletme adına ve işletmenin talimatıyla işleyen veri işleyendir.
2. İşlenen veriler ve amaç
- Çocuk: ad, soyad, giriş-çıkış saatleri, kullanılan paket ve abonelik.
- Veli: ad-soyad, telefon numarası.
- İşlem: ödeme tutarı ve tipi, borç ve tahsilat kayıtları, kafe satışları, doğum günü rezervasyonları.
- Not alanları: işletmenin serbest metin olarak yazdıkları.
Bu veriler yalnızca işletmenin oyun alanı hizmetini yürütmesi, süre ve ödeme takibi, veliye ulaşılması ve raporlama amacıyla işlenir. KidsIn verileri kendi amaçları için kullanmaz, satmaz, reklam veya profil çıkarma için işlemez.
3. İşletmenin yükümlülükleri
- Velileri veri toplama anında aydınlatmak. Panelde hazır bir veli aydınlatma metni şablonu bulunur (Ayarlar → KVKK).
- Sağlık bilgisi (alerji, hastalık, ilaç vb.) özel nitelikli kişisel veridir. Velinin açık rızası olmadan not alanlarına yazılmamalıdır.
- Personel hesaplarını kişiye özel açmak, ayrılan personelin hesabını kapatmak.
- Velilerin KVKK m.11 başvurularını yanıtlamak. Silme talebinde çocuk sayfasındaki Anonimleştir düğmesi kullanılır.
4. KidsIn'in yükümlülükleri
- Verileri yalnızca bu şartlar ve işletmenin talimatları çerçevesinde işlemek.
- Verilere erişebilen çalışanlarına gizlilik yükümlülüğü getirmek.
- Teknik ve idari tedbirleri almak: tüm bağlantılarda HTTPS; şifrelerin geri döndürülemez biçimde saklanması; her işletmenin verisinin diğerlerinden ayrılması; rol bazlı yetki (sahip, yönetici, personel); personele veli telefonlarının gizli gösterilmesi ve personelin çocuk kaydı açması ile telefon görüntülemesinin kayda alınması; kritik işlemlerin işlem geçmişine kaydı; şifrelenmiş gece yedekleri ve düzenli geri yükleme provası; giriş ve kayıt denemelerine sınır.
- Kişisel veri ihlalini öğrendiğinde işletmeye en geç 24 saat içinde bildirmek ve işletmenin Kurul'a 72 saat içinde bildirim yapabilmesi için gereken bilgiyi vermek.
- İşletmenin ilgili kişi başvurularını yanıtlamasına ve Kurul incelemelerine makul ölçüde yardımcı olmak.
- İşletme eski programındaki verinin taşınmasını isterse: işletmenin verdiği dökümü yalnızca aktarım için kullanmak; aktarılacakları işletmenin onayına sunmak; aktarım tamamlanınca ya da işletme düzeltme isteyince dökümü ve ham aktarım verisini silmek.
5. Alt işleyenler ve yurt dışına aktarım
KidsIn aşağıdaki altyapı sağlayıcılarını kullanır. Sunucuların bir kısmı yurt dışındadır; aktarım KVKK m.9'daki güvencelere dayanılarak yapılır. Liste değişirse işletmeye önceden bildirilir.
- Railway: uygulama sunucusu ve veritabanı.
- GitHub: şifrelenmiş gece yedekleri (en fazla 30 gün).
- Brevo: şifre yenileme e-postaları (yalnızca işletme kullanıcılarının e-postası).
- Sentry (AB bölgesi): hata kayıtları. Bu kayıtlara form içeriği, kullanıcı adı ve IP gönderilmez.
6. Saklama ve silme
- Son ziyaretinden veya aboneliğinden bu yana 2 yıl geçen çocuğun kişisel bilgileri otomatik anonimleştirilir. Ziyareti olmayan eski kayıt tamamen silinir. Açık borcu ya da kullanılabilir aboneliği olan kayıt beklenir.
- Doğum günü rezervasyonlarındaki ve workshop/etkinlik kayıtlarındaki çocuk ve veli bilgileri etkinlik tarihinden 1 yıl sonra silinir.
- Anonimleştirmede tutar ve tarih gibi kasa kayıtları kalır, kimlik ve iletişim bilgileri silinir.
- Silinen veriler yedeklerde en fazla 30 gün daha bulunur, sonra yedeklerle birlikte kendiliğinden silinir.
- Abonelik sona erdiğinde işletme sahibine e-postayla bildirilir. Abonelik 30 gün içinde yenilenmezse, silmeden 7 gün önce ikinci bir hatırlatma gönderilir. Ardından işletmenin bütün verileri ve kullanıcı hesapları kalıcı olarak silinir. Bu süre içinde talep edilirse verilerin bir kopyası verilir.
7. İletişim
KVKK ile ilgili talepler için: [KVKK başvuru e-postası].