KVKK Aydınlatma MetniKVKK Notice

Veri sorumlusu

Trilvy uygulaması bakımından veri sorumlusu Emre Zirih’tir. Başvurular: info@trilvy.app

İşlenen kişisel veriler

• Kimlik/İletişim: e-posta adresi, kullanıcı adı, görünen ad, arkadaş kodu
• Kullanım: maç geçmişi, skorlar, seviye ve başarımlar, dereceli puan geçmişi, bulmaca denemeleri, arkadaşlıklar, profil görünürlüğü ve bildirim tercihleri, temel kullanım istatistikleri
• İşlem güvenliği: oturum kayıtları, şifre özeti (hash), IP adresi (sunucu kayıtlarında), cihaz modeli, uygulama sürümü, anlık bildirim jetonu, misafir hesaplar için uygulamanın ürettiği cihaz tanımlayıcısı; davet ödüllerinin kötüye kullanımını önlemek için bu tanımlayıcının geri çevrilemez özeti (hash), hata/performans kayıtları, engelleme ve şikâyet kayıtları
• Davet kayıtları: kişisel davet kodun, seni kimin davet ettiği ve davetin nasıl geldiği (link, kod veya Google Play kurulum bilgisi), davet ettiğin kişilerin görünen adı, avatarı ve ödül durumu
• Müşteri işlem / Finans (dolaylı): jeton hareketleri, envanter ve uygulama içi satın alma doğrulama kayıtları (ödeme aracı bilgisi App Store / Google Play’de kalır)
• Pazarlama (yalnızca açık rızanla): reklam tanımlayıcısı: iOS’ta takip izni verirsen IDFA; Android’de reklam kimliği (AAID). Kişiselleştirilmiş reklam için yalnızca izin verdiysen kullanılır; bu kimliği kendi sunucularımızda toplamaz ve saklamayız.

Toplama yöntemi

Kişisel veriler; uygulamaya kaydolurken ve uygulamayı kullanırken senin girdiğin bilgilerden, oyun sırasında sunucularımızda oluşan kayıtlardan, uygulamanın cihazından otomatik olarak ilettiği teknik verilerden ve App Store / Google Play satın alma doğrulamalarından ve izin verdiysen reklam tanımlayıcısının Google AdMob reklam yazılımınca okunmasıyla, elektronik ortamda otomatik yollarla toplanır.

İşleme amaçları ve hukuki sebepler

• Oyun hizmetinin sunulması, hesap, eşleştirme, arkadaşlık, davetler ve maç sonuçlarının yönetimi, veri dışa aktarma ve hesap silme taleplerinin yerine getirilmesi: sözleşmenin kurulması ve ifası (KVKK m.5/2-c)
• Satın almaların doğrulanması, hile ve kötüye kullanımın önlenmesi (davet ödüllerinin kötüye kullanımı dahil), bilgi güvenliği: meşru menfaat (m.5/2-f); bir hakkın tesisi, kullanılması veya korunması (ör. satın alma ve iade uyuşmazlıkları): m.5/2-e
• Hata ve çökme raporları ile takma adlı kullanım istatistikleri (hizmet iyileştirme): meşru menfaat (m.5/2-f); dilediğin an Ayarlar → Gizlilik altındaki Kullanım istatistikleri ve Hata raporları anahtarlarıyla kapatabilirsin
• Kişiselleştirilmemiş reklam gösterimi (ücretsiz hizmetin finansmanı): meşru menfaat (m.5/2-f); AEA, Birleşik Krallık ve İsviçre’deki kullanıcılardan Google’ın onay formu ile rıza alınır
• Reklam tanımlayıcısıyla (IDFA/AAID) kişiselleştirilmiş reklam gösterimi: açık rıza (m.5/1). iOS’ta Apple’ın takip izni (ATT) ekranı ile alınır; bu izin yalnızca bir kez, açılışta değil tanıtım adımları ve ilk bitirdiğin maçtan sonra istenir. AEA, Birleşik Krallık ve İsviçre’de ayrıca Google’ın onay formunda onay gerekir; Android’de kişiselleştirilmiş reklam yalnızca bu formda açıkça izin verdiysen gösterilir. İzin vermezsen reklamlar kişiselleştirilmemiş kalır; izin karşılığında ödül verilmez ve oyun aynı çalışır. Rızanı dilediğin an iOS’ta Ayarlar → Gizlilik ve Güvenlik → İzleme, uygulamada Ayarlar → Gizlilik → Reklam gizlilik tercihleri altından geri alabilir; Android’de reklam kimliğini cihaz ayarlarından sıfırlayabilir veya silebilirsin
• Anlık bildirim gönderimi: açık rıza (cihazının izin ekranı üzerinden; dilediğin an geri alabilirsin)

Aktarım ve yurt dışına aktarım

Kişisel veriler, yukarıdaki amaçlarla ve hizmetin gerektirdiği ölçüde, adımıza veri işleyen şu hizmet sağlayıcılara aktarılır:

• Hetzner Online GmbH (Almanya): sunucu, veritabanı ve yedek barındırma
• Apple, Google (ABD): uygulama dağıtımı, satın alma doğrulaması, bildirim altyapısı
• Google AdMob (ABD): ödüllü ve geçiş reklamları; kişiselleştirilmemiş, açık rızan varsa reklam tanımlayıcısıyla kişiselleştirilmiş
• Expo (ABD): anlık bildirim iletimi
• Resend (ABD): giriş bağlantısı ve hesap e-postaları
• PostHog (Almanya, AB): kullanım istatistikleri
• Sentry (Almanya, AB): hata ve çökme raporları

Bu sağlayıcıların tamamı yurt dışındadır. Kişisel Verileri Koruma Kurulu’nun bu ülkeler için verdiği bir yeterlilik kararı bulunmadığından, yurt dışına aktarımlar KVKK m.9/4 uyarınca uygun güvencelere, özellikle Kurul’ca ilan edilen standart sözleşmelere dayanılarak yapılır; standart sözleşmeler imzalanmalarından itibaren beş iş günü içinde Kurum’a bildirilir. Arızi nitelikteki aktarımlarda m.9/6’daki istisnalara dayanılabilir. Ayrıca veriler, yasal bir zorunluluk hâlinde yetkili kamu kurum ve kuruluşlarıyla paylaşılabilir. Veriler satılmaz ve tarafımızca reklam profillemesi yapılmaz; kişiselleştirilmiş reklama açık rıza verirsen reklam tanımlayıcın, reklamları kişiselleştirmek amacıyla Google tarafından işlenir.

Saklama süreleri

• Hesap verileri hesabın açık olduğu sürece saklanır; kullanılmayan hesaplar otomatik olarak silinmez.
• Hesabını sildiğinde kimlik ve iletişim verilerin anında silinir; oyun ve işlem kayıtları (bitmiş maçlar, dereceli geçmişi, jeton hareketleri, satın alma doğrulama kayıtları) seninle artık ilişkilendirilemeyecek şekilde kimliksizleştirilerek tutulur. Ayrıntılı liste: Hesap Silme.
• Davet kayıtları hesabın açık olduğu sürece saklanır; hesabını sildiğinde seninle ilgili davet kayıtları silinir veya kimliksizleştirilir. Ödül almış davetlerin cihaz özeti, aynı cihazla tekrar ödül alınmasını önlemek için seninle ilişkilendirilemeyecek biçimde tutulur. Cihaz özetleri cihaz 180 gün kullanılmazsa silinir.
• Veritabanı yedekleri en fazla 14 gün tutulur; silinen veriler en geç 14 gün içinde yedeklerden de çıkar.
• Sunucu kayıtları (IP adresi dahil) hizmet başına en fazla yaklaşık 30 MB tutulur; yeni kayıt geldikçe en eskileri silinir ve her sunucu güncellemesinde sıfırlanır.
• Süresi dolan oturum ve giriş jetonları düzenli olarak silinir; bildirim kutusundaki okunmuş bildirimler 90 gün, tüm bildirimler en fazla 180 gün sonra silinir.
• Hata raporları (Sentry) 90 gün, takma adlı kullanım istatistikleri (PostHog) sağlayıcının saklama süresi boyunca tutulur; reklam verileri Google’ın politikalarına tabidir.

Hakların (KVKK m.11)

Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini ve m.7 çerçevesinde silinmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraman hâlinde giderim talep etme haklarına sahipsin.

Uygulama içinden Ayarlar → Hesap → Veri altında verinin bir kopyasını indirebilir ve hesabını kalıcı olarak silebilirsin (bkz. Hesap Silme). Diğer talepler için, hesabınla ilişkili e-posta adresinden info@trilvy.app adresine yazabilirsin. Başvurular en geç 30 gün içinde ücretsiz olarak yanıtlanır. Yanıtı yetersiz bulursan Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsin.