01Veri sorumlusu ve iletişim
- Veri sorumlusu
- Arda Moustafa
- Tebligat adresi
- İstanbul, Türkiye
- Gizlilik/destek e-postası
- ardamoustafa@hotmail.com
- AB/İngiltere temsilcisi
- Uygulanıyorsa yayıncı tarafından atanır ve burada açıklanır
Bu politika Combo Chain Blast iOS ve Android oyununu kapsar. Oyun isim, e-posta veya telefonla üyelik istemez; bulut kayıt/liveops özellikleri için rastgele bir anonim Supabase kullanıcı kimliği oluşturur.
02İşlenen veriler
2.1 Cihazda saklanan oyun verisi
Aktif tahta/checkpoint, skor, hamle, yükseltme, Chip, relic, daily geçmişi, ayarlar, izin tercihleri ve henüz yüklenmemiş replay kareleri uygulama sandbox'ında MMKV/SecureStore ile tutulur. Ayarlar → İlerlemeyi sıfırla bunları siler; satın alma hakları mağaza hesabınıza bağlı olduğundan korunur.
2.2 Supabase liveops — oyun işlevi ve güvenlik
Uygulama açılışındaki bulut senkronu ile liderlik, daily ve paylaşım özelliklerinde şu veriler Supabase'e gider:
- rastgele anonim kullanıcı UUID'si ve güvenli oturum token'ı;
- görünen varsayılan oyuncu adı, skor, hamle, temizlenen hat, en iyi zincir;
- daily tarihi/seed'i ve kupa; weekly dönem anahtarı;
- aktif checkpoint, Chip/yükseltme/relic/kozmetik ilerlemesi, bildirim tercihleri ve çakışma çözümü için rastgele kurulum kimliği (gizlilik rızaları/ayarları ve replay kareleri cloud save payload'ına eklenmez);
- paylaşılan run için en çok 240 sıkıştırılmış 8×8 tahta karesi;
- kötüye kullanım önleme için rota, zaman penceresi ve istek sayısı.
Amaç skor tablosu, daily doğrulaması, gerçek replay paylaşımı, sahte skor ve servis kötüye kullanımını önlemektir. Hukuki dayanak hizmetin ifası (GDPR m.6/1-b, KVKK m.5/2-c) ve güvenlik için meşru menfaattir (GDPR m.6/1-f, KVKK m.5/2-f). Replay bağlantısına sahip herkes replay'i 90 gün boyunca görebilir; replay'e isim/e-posta eklenmez.
Saklama: replay 90 gün, leaderboard/daily skorları 400 gün, hız sınırlama kayıtları 1 gün, reklam doğrulama oturumları en çok 30 gün; cloud save hesap silinene kadar tutulur. Ayarlar → Sunucu verilerimi sil anonim Auth hesabını, cloud save'i, reklam oturumlarını, weekly/daily skorlarını ve replay'leri hemen siler. Bu işlem satın alma kaydını ve diğer sağlayıcılardaki ayrı rıza verilerini silmez.
2.3 Google AdMob — ödüllü reklam
AdMob SDK'sı uygulama başlangıcında rıza durumu okunduktan sonra başlatılır. Gerçek ödüllü reklam yalnız oyuncu ödül düğmesine bastığında, ödüle özel kısa ömürlü sunucu doğrulama oturumuyla yüklenir. Google; reklam kimliği (IDFA/AAID), IP'den yaklaşık konum, cihaz/OS bilgisi, tanılama ve reklam etkileşimlerini reklam sunma, ölçüm, frekans ve sahtecilik önleme için işleyebilir. SSV callback'i anonim kullanıcı UUID'sini, ödül session kimliğini ve tekil reklam transaction'ını ödülün yalnız bir kez verilmesini doğrulamak için işler. Ödüllü reklamı açmak zorunlu değildir. Kişiselleştirme yalnız UMP/ATT izniyle açılır; aksi hâlde kişiselleştirilmemiş reklam istenir. Hukuki dayanak kişiselleştirme için açık rıza, güvenlik ve kişiselleştirilmemiş sunum için uygulanabildiği ölçüde meşru menfaattir. Google: https://business.safety.google/privacy/
2.4 PostHog analitik — varsayılan KAPALI
Ayarlar'dan açılırsa run başlangıç/bitiş, skor, hamle, hat, zincir, relic, onboarding ve oturum süresi gibi oyun olayları ile SDK'nın rastgele anonim analitik kimliği PostHog AB veri merkezine gider. İsim/e-posta atanmaz; identify() kullanılmaz; ekran ve oturum kaydı kapalıdır. Hukuki dayanak açık rızadır. Anahtar kapatılınca gönderim durur. PostHog: https://posthog.com/privacy
2.5 Sentry hata ve performans — varsayılan KAPALI
Ayarlar'dan açılırsa stack trace, hata bağlamı, uygulama/OS sürümü ve cihaz modeli gönderilebilir; performans izleri %10 örneklenir. SDK olaya kullanıcı, çerez, header, ekran görüntüsü veya view hierarchy eklemez (sendDefaultPii: false). Ağ servisleri bağlantı IP'sini teknik olarak görebilir; Sentry projesinde IP saklama da kapatılmalıdır. Hukuki dayanak açık rızadır. Sentry: https://sentry.io/privacy/
2.6 Satın alma — Apple/Google ve RevenueCat
Ödeme mağazada yapılır; kart verisini görmeyiz. RevenueCat rastgele uygulama kullanıcı kimliği, platform/cihaz bilgisi, ürün ve satın alma/entitlement geçmişini doğrulama ve geri yükleme için işler. Hukuki dayanak sözleşmenin ifasıdır. RevenueCat: https://www.revenuecat.com/privacy/
2.7 Bildirimler — yalnız izin verirsen
Bildirim izni uygulama açılışında istenmez; yalnızca bildirimleri açmayı seçtiğinde sistem sorusu gösterilir. İzin verirsen:
- Cihazda planlanan hatırlatmalar (günlük tahta, seri, geri dönüş, sezon ve etkinlik tarihleri) tamamen telefonunda kurulur; bunun için sunucuya veri gitmez.
- Uzak bildirimler (düello sonucu, "sıra sende", haftalık sıralamada geçilme, sezon duyuruları) için cihazın Expo push token'ı; anonim kullanıcı UUID'si; uygulama dili; saat dilimi (gece 22:00–09:00 arası bildirim göndermemek için); uygulama sürümü; platform; bildirim kategorisi tercihlerin ve son görülme zamanı Supabase'e kaydedilir. Bildirimler Expo push hizmeti (Expo, 650 Castro St, Mountain View, ABD) üzerinden Apple Push Notification service ya da Firebase Cloud Messaging'e iletilir. Gönderim kayıtları sıklık sınırı ve tekrar önleme için tutulur.
Pazarlama/teklif bildirimleri ayrı bir onaydır ve varsayılan kapalıdır. Ayarlar → Bildirimler bölümünden her kategoriyi ayrı ayrı kapatabilir, izni iPhone Ayarları'ndan tamamen geri alabilirsin. Hukuki dayanak açık rızadır (GDPR m.6/1-a, KVKK m.5/1). Saklama: cihaz kaydı son görülmeden 180 gün, kapatılmış kayıt 30 gün, gönderim kayıtları 30 gün. Sunucu verilerimi sil push kaydını ve gönderim geçmişini de hemen siler. Expo: https://expo.dev/privacy
03Aktarım, güvenlik ve satış
Veri yalnız yukarıdaki sağlayıcılara, belirtilen amaçlarla aktarılır; satılmaz. Tüm ağ iletişimi TLS kullanır. Supabase Auth token'ı iOS/Android SecureStore'da, web sürümünde tarayıcı yerel deposunda tutulur. Supabase/PostHog AB bölgesi seçilmeli; ABD'ye aktarım yapan sağlayıcılarda SCC/yeterlilik mekanizmaları değerlendirilmelidir.
04Haklar ve silme
KVKK m.11 ve GDPR m.15–22 kapsamındaki erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz ve rızayı geri çekme hakları için ardamoustafa@hotmail.com adresine yazabilirsiniz. 30 gün içinde yanıtlanır. Anonim liveops verisi uygulama içindeki Sunucu verilerimi sil kontrolüyle doğrudan silinebilir. Cihaz verisi İlerlemeyi sıfırla ile silinir. Reklam rızası Ayarlar → Reklam ve izleme; analitik/hata rızası Ayarlar → Gizlilik üzerinden değişir.
05Çocuklar
Oyun 13 yaş altına yönelik değildir; çocuk yönelimli reklam etiketi kapalı, reklam içerik derecesi G'dir. 13 yaş altına ait veri tespit edilirse silinir.
06Değişiklikler ve şikâyet
Önemli değişiklikler uygulamada duyurulur ve tarih güncellenir. Türkiye'de KVKK, AB/İngiltere'de yetkili yerel denetim makamına şikâyet hakkınız vardır.