Kişisel Verilerin İşlenmesine İlişkin Aydınlatma Metni
6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır. Sürüm: 1.1 · Yürürlük: 23 Ekim 2026
1. Veri sorumlusu
- Veri sorumlusu: Repress Studio (oyun: "Glowtown")
- Destek / başvuru e-postası: represstudio@gmail.com
- Veri sorumlusu temsilcisi: yoktur (veri sorumlusu Türkiye'de yerleşiktir).
2. İşlenen kişisel veriler
| Kategori | Veriler | Not |
|---|---|---|
| Hesap / kimlik | Kullanıcı adı, şifre (yalnızca geri döndürülemez özet olarak), doğum tarihi | Doğum tarihi yalnızca yaş şartını (15+) denetlemek için alınır; başka oyunculara gösterilmez. 15 yaşından küçük olduğu anlaşılan kişinin verisi saklanmaz. Gerçek ad, T.C. kimlik numarası, telefon numarası istenmez. |
| İletişim (isteğe bağlı) | Kurtarma e-postası | Yalnızca hesap kurtarma ve şifre sıfırlama kodu göndermek için; vermek zorunlu değildir. |
| Profil ve oyun | Şehir seçimi, avatar görünümü, envanter, oda/ev düzeni, arkadaş ve engelleme listesi, görev ve günlük giriş ilerlemesi, ayarlar | |
| Ekonomi ve satın alma | ✦ ve Bilet hareket defteri, mağaza satın alımları, mağaza (Apple/Google) işlem ve makbuz doğrulama bilgisi | Kart/ödeme aracı bilgileriniz bize ulaşmaz; ödemeyi Apple/Google alır. |
| İçerik ve iletişim | Odalardaki konuşma balonu / hazır ifade ve serbest metin kayıtları, özel mesajlar (DM) | Gönderilen metinlerde telefon, adres, e-posta gibi bilgiler otomatik maskelenir. |
| Şikayet ve moderasyon | Şikayet kayıtları, filtre isabetleri, risk puanı, uyarı/susturma/yasak kayıtları, itirazlar ve sonuçları | |
| Cihaz kümesi ve güvenlik | Rastgele oluşturulan kurulum kimliğinin karması, cihaz bütünlük kararı (ör. Play Integrity / App Attest sonucu), IP adresinin ön ekinin (ör. /24) karması, giriş denemeleri, bilinen cihaz kaydı | Sahte hesap ve dolandırıcılığı önlemek içindir. IMEI, seri numarası ve reklam kimliği bu amaçla toplanmaz. |
| Reklam gösterimi (ödüllü reklamı izlemeyi seçtiğinizde) | Reklam izlendi/ödül bilgisi (iç kullanıcı kimliğiyle); reklam SDK'sının cihazdan Google'a ilettiği cihaz/uygulama bilgisi ve IP adresi | Reklamlar kişiselleştirilmemiş gösterilir. Ödül, Google'ın sunucudan sunucuya doğrulamasıyla verilir. |
| Kişiselleştirilmiş reklam (yalnızca 18+ ve açık rızayla) | Reklam kimliği (IDFA/GAID), reklam etkileşimi | 18 yaşından küçükler için kişiselleştirilmiş reklam ve reklam kimliği işlenmez. Ayrıntı: Açık Rıza Metni. |
| Bağlantı (trafik) kayıtları | IP adresi, kaynak port, bağlantı başlangıç/bitiş zamanı, iç kullanıcı kimliği | 5651 sayılı Kanun uyarınca tutulur; yalnızca yetkili makamların talebi halinde kullanılır. |
| Bildirim belirteci (push) | Cihazın bildirim belirteci (FCM), platform (Android/iOS), bildirim tercihleriniz ve gönderim kaydı (tür ve zaman; mesaj metni tutulmaz) | Bildirim göndermek içindir; hesap silinince silinir. İstemezseniz Ayarlar > Bildirimler'den türleri kapatabilir ya da cihaz bildirim iznini kaldırabilirsiniz. |
| Oyun içi kullanım ölçümü (tüm kullanıcılar) | İç kullanıcı kimliği (takma adlı), olay adı, zaman, rastgele oturum kimliği, ekran/özellik gibi küçük alanlar (ör. hangi ekranın açıldığı, onboarding adımı) | Ölçüm açık rızaya dayanmaz; bu nedenle onay kutusu yoktur, kayıtta bu konuda bilgilendirilirsiniz. Kullanıcı adı, mesaj/sohbet içeriği, IP adresi, doğum tarihi/yaş, e-posta ve cihaz kimliği ölçüm kayıtlarında tutulmaz. Olaylar yalnızca kendi sunucumuzda tutulur. |
| Anonim ürün istatistiği | Ürün görüntüleme/deneme/satın alma sayıları, anonim ve tuzlanmış kimlikle | Markalara yalnızca toplu sayı verilir; kişi tanımlanamaz. |
Toplama yöntemi: Veriler elektronik ortamda; sizden doğrudan (kayıt formu, oyun içi kullanım, sohbet, destek ve itiraz formları), uygulamanın ve sunucularımızın otomatik ya da kısmen otomatik yollarla oluşturduğu kayıtlardan (oturum, güvenlik, ölçüm, trafik kayıtları) ve mağaza sağlayıcılarından (Apple/Google satın alma doğrulaması, Google ödüllü reklam doğrulaması) elde edilir. Her veri grubunun hangi hukuki sebebe dayandığı aşağıdaki tabloda gösterilmiştir.
3. İşleme amaçları ve hukuki sebepler
| Amaç | Hukuki sebep (KVKK m.5) |
|---|---|
| Hesap oluşturma, giriş, oyunun sunulması (avatar, oda, arkadaşlık, mağaza, etkinlik) | Sözleşmenin kurulması ve ifası (m.5/2-c) |
| Satın alma doğrulama, ✦/Bilet kayıtları, destek ve iade süreçleri | Sözleşmenin ifası; hukuki yükümlülük (vergi, muhasebe, tüketici mevzuatı) (m.5/2-ç) |
| Yaş şartının denetimi (15 yaş altına hizmet verilmemesi) | Kanunlarda açıkça öngörülme ve hukuki yükümlülük (m.5/2-a, ç: 5651 sayılı Kanun ek m.4); sözleşmenin kurulması (m.5/2-c) |
| Topluluk güvenliği: filtreleme, şikayet, moderasyon, yaptırım, itiraz | Meşru menfaat (m.5/2-f); hukuki yükümlülük |
| Sahte hesap, hile, dolandırıcılık ve kötüye kullanımın önlenmesi (cihaz kümesi verisi) | Meşru menfaat (denge testi yapılmıştır; ayrıntı için başvurabilirsiniz) |
| Hukuki taleplere yanıt, hakkın tesisi/kullanılması/korunması | Hukuki yükümlülük (m.5/2-ç); bir hakkın tesisi, kullanılması veya korunması (m.5/2-e) |
| Bağlantı (trafik) kayıtlarının tutulması | Kanunlarda açıkça öngörülme ve hukuki yükümlülük (m.5/2-a, ç: 5651 sayılı Kanun m.5) |
| Ödüllü reklam gösterimi ve ödülün verilmesi (kişiselleştirilmemiş) | Sözleşmenin ifası (m.5/2-c: izlemeyi seçtiğiniz reklamın ödülü); meşru menfaat (m.5/2-f: ücretsiz oyunun finansmanı) |
| Yurt dışına aktarım | KVKK m.9/4-(c): Kurul'un ilan ettiği standart sözleşme (bkz. §5) |
| Oyun içi kullanım ölçümü (onboarding hunisi, ekran kullanımı, elde tutma; oyunu geliştirmek ve hataları bulmak) | Meşru menfaat (m.5/2-f): veriler takma adlı tutulur, ad/mesaj/IP/doğum tarihi içermez, 180 gün sonra silinir, itiraz hakkı saklıdır. |
| Kişiselleştirilmiş reklam (yalnızca 18+) | Açık rıza (m.5/1) — ayrı metinle, isteğe bağlı; reddetmek hiçbir özelliği kapatmaz |
Reşit olmayanların (15–17 yaş) kişisel verileri de yukarıdaki sebeplerle işlenir (oyun içi kullanım ölçümü dahil); açık rıza yalnızca 18 yaşını dolduranlardan ve yalnızca kişiselleştirilmiş reklam için istenir. Meşru menfaate dayanan işlemelere (ör. kullanım ölçümü) m.11 uyarınca itiraz edebilirsiniz.
4. Verilerin aktarıldığı alıcı grupları
| Alıcı grubu | Şu anki hizmet sağlayıcı | Amaç | Sıfatı | Konum |
|---|---|---|---|---|
| Veritabanı ve kimlik doğrulama altyapısı | Supabase | Hesap, oyun ve güvenlik verilerinin barındırılması ve yedeklenmesi | Veri işleyen (talimatımızla) | Veri AB'de (Almanya/Frankfurt); şirket ABD merkezli |
| Uygulama sunucusu | Fly.io | Oyun sunucusunun çalıştırılması, istek ve bağlantı kayıtları | Veri işleyen | Sunucu AB'de (Frankfurt); şirket ABD merkezli |
| İçerik dağıtım ağı | Cloudflare | Oyun görsel ve dosyalarının dağıtımı (yalnızca IP ve istek bilgisi) | Veri işleyen | Küresel ağ; şirket ABD merkezli |
| E-posta gönderim hizmeti | Resend | Kurtarma/doğrulama kodu gönderimi | Veri işleyen | ABD |
| Mağaza ve ödeme | Apple (App Store), Google (Google Play) | Satın alma doğrulama | Ayrı veri sorumlusu | Küresel |
| Bildirim | Google (Firebase Cloud Messaging) | Anlık bildirim iletimi (bildirim belirteci ve bildirim metni) | Ayrı veri sorumlusu / veri işleyen | AB/ABD; standart sözleşme (SCC) |
| Reklam | Google (AdMob) | Ödüllü reklam gösterimi ve doğrulaması; yalnızca 18+ ve rızayla kişiselleştirilmiş reklam | Ayrı veri sorumlusu | Küresel |
| Yetkili kamu kurum ve kuruluşları, mahkemeler | — | Hukuki yükümlülük | — | Türkiye; yalnızca yasal talep halinde |
| Danışmanlar (hukuk, mali müşavir, denetçi) | — | Mevzuata uyum | Gizlilik yükümlülüğü altında | Türkiye |
| Çökme raporlama / analitik sağlayıcısı | Şu an kullanılmıyor | — | — | Oyun içi kullanım ölçümü üçüncü taraf analitik sağlayıcısına gönderilmez; yalnızca kendi sunucumuzda tutulur. Bir çökme raporlama hizmeti kullanılırsa bu tablo önce güncellenir. |
Kişisel veriler satılmaz; markalara verilmez (yalnızca anonim toplu istatistik). Bir hizmet sağlayıcı değişirse bu tablo, değişiklik yürürlüğe girmeden önce güncellenir.
5. Yurt dışına aktarım
Verileriniz Avrupa Birliği'nde (Almanya/Frankfurt) barındırılsa da bu Türkiye dışına aktarım sayılır; ayrıca sağlayıcıların bir kısmı ABD merkezlidir, Google ve Apple küresel çalışır. Türkiye'den yurt dışına kişisel veri aktarımı KVKK m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yapılır:
- Aktarım aracı: Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşme (m.9/4-c). Hizmet sağlayıcılarla (veri işleyen) "Veri Sorumlusundan Veri İşleyene", ayrı veri sorumlularıyla "Veri Sorumlusundan Veri Sorumlusuna" sözleşmesi, metni değiştirilmeden imzalanır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir.
- Kural: Standart sözleşmesi imzalanıp Kurum'a bildirilmemiş bir yurt dışı alıcıya kişisel veri aktarılmaz. Bu koşulu sağlamayan bir sağlayıcı, Kurul izinli başka bir uygun güvence yoksa değiştirilir.
- Sürekli yapılan aktarımlar açık rızaya dayandırılmaz; açık rıza yalnızca Yönetmelik'te tanımlanan arızi (tek seferlik, süreklilik göstermeyen) aktarımlarda, riskler hakkında bilgilendirilmeniz kaydıyla kullanılabilir.
- Hangi alıcıyla hangi tarihte sözleşme imzalandığını ve sözleşme örneğini represstudio@gmail.com adresinden isteyebilirsiniz.
6. Saklama süreleri
| Veri | Süre | Dayanak |
|---|---|---|
| Hesap, profil, envanter | Hesap açık olduğu sürece; hesap silinince profil silinir veya anonimleştirilir | Sözleşme süresi |
| Oda sohbeti ve DM içerikleri | 90 gün, sonra otomatik silinir | İç politika (moderasyon ihtiyacı) |
| Oyun içi bildirimler | 60 gün | İç politika |
| Push bildirim gönderim kaydı (tür, zaman; metin yok) | 30 gün | İç politika |
| Push bildirim belirteci | Hesap silinince veya bildirim kapatılınca/çıkış yapılınca silinir | Bildirim gönderme amacı |
| Şifre sıfırlama / doğrulama kodları | 15 dakika geçerli; süresi dolan kayıtlar en geç 1 gün sonra silinir | İç politika |
| Tekrar istek koruma anahtarları (teknik) | 24 saat | İç politika |
| Moderasyon olay kayıtları (filtre isabeti vb.) | 180 gün | İç politika |
| Şikayet, yaptırım ve itiraz kayıtları | Karar ya da yaptırımın bitiminden itibaren 2 yıl (süresiz yasaklar yasak sürdükçe) | Hakkın tesisi, kullanılması veya korunması; 6098 sayılı TBK m.72'deki 2 yıllık zamanaşımı |
| Cihaz kümesi ve güvenlik olay kayıtları (karma değerler) | Son görülmeden itibaren 180 gün | Meşru menfaat (sahte hesap ve dolandırıcılık önleme) |
| Giriş denemesi kayıtları | 30 gün | Meşru menfaat (hesap güvenliği) |
| Bağlantı (trafik) kayıtları | 1 yıl | 5651 sayılı Kanun m.5/3 (yer sağlayıcı için en az 1, en çok 2 yıl) |
| Oyun içi kullanım ölçümü olayları (takma adlı) | 180 gün; hesap silinince hemen silinir | İç politika |
| Marka istatistik olayları (anonim) | 400 gün | İç politika (kişisel veri değildir) |
| Satın alma ve ✦/Bilet hareket kayıtları | 10 yıl; hesap silinince kişiyle bağı koparılarak saklanır | 6102 sayılı TTK m.82 (10 yıl); 213 sayılı VUK m.253 (en az 5 yıl) |
| Rıza kayıtları (kişiselleştirilmiş reklam) | Rıza geçerli olduğu sürece ve ispat için rızanın geri alınmasından sonra 1 yıl | İspat (iç politika) |
| Başvuru ve destek yazışmaları | Sonuçlandırmadan itibaren 2 yıl | Hakkın tesisi, kullanılması veya korunması |
Süre dolunca veriler silinir, yok edilir veya anonim hale getirilir. Silme işlemleri sunucuda otomatik ve düzenli aralıklarla yapılır.
7. Haklarınız (KVKK m.11) ve başvuru
Veri sorumlusuna başvurarak şunları yapabilirsiniz: kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; KVKK m.7 şartları çerçevesinde silinmesini veya yok edilmesini isteme; düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız halinde zararın giderilmesini talep etme.
Başvuru yolları (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5):
- Uygulama içinden: Ayarlar > Destek / Gizlilik Talebi. Hesabınıza girişle kimliğiniz doğrulanır.
- Sistemimizde kayıtlı e-posta adresinizden: daha önce bize bildirdiğiniz ve hesabınızda kayıtlı (kurtarma) e-posta adresinizden represstudio@gmail.com adresine. Kayıtlı olmayan bir adresten gelen e-posta, Tebliğ'e uygun başvuru sayılmayabilir; bu durumda kimliğinizi doğrulamamız gerekir.
- Güvenli elektronik imza veya mobil imza ile imzaladığınız başvurunuzu represstudio@gmail.com adresine göndererek.
- Yazılı olarak: ıslak imzalı dilekçeyle başvurmak isterseniz posta adresimizi represstudio@gmail.com adresinden talep edebilirsiniz.
Yazılı ve e-posta başvurularında Tebliğ uyarınca şunlar bulunur: ad, soyad (yazılıysa imza); T.C. kimlik numarası (yabancılar için uyruk ve pasaport/kimlik numarası); tebligata esas yerleşim yeri veya iş yeri adresi; varsa bildirime esas e-posta, telefon veya faks; talep konusu. Oyun hesabınızla ilişkiyi kurabilmemiz için kullanıcı adınızı da yazın.
Başvurunuz talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır. İşlem ayrıca bir maliyet gerektirirse Tebliğ'de belirtilen ücret alınabilir; başvuru bizim hatamızdan kaynaklanıyorsa ücret iade edilir. Başvurunuz reddedilirse, yanıtı yetersiz bulursanız veya süresinde yanıt verilmezse, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsiniz (KVKK m.14). Hesabınızı uygulama içinden Ayarlar > Hesabı Sil ile kendiniz de silebilirsiniz.
8. 15–17 yaş için kısa özet (sade dil)
- Glowtown 15 yaş ve üzeri içindir. Doğum tarihini sadece yaşını kontrol etmek için soruyoruz; kimseye göstermiyoruz.
- Gerçek adını, telefonunu, adresini istemiyoruz. Kullanıcı adı ve avatar yeterli.
- Yazdıkların ve mesajların 90 gün sonra silinir. Telefon, adres gibi bilgiler yazarsan otomatik gizlenir; bunları paylaşmamanı öneririz.
- Güvenlik için cihazından rastgele bir kimlik ve IP'nin özeti kullanılır. Bunlarla seni tanımayız, sadece sahte hesapları yakalarız. Yasa gereği bağlantı kayıtları (IP adresi gibi) 1 yıl tutulur; bunları yalnızca resmi makamlar isterse kullanırız.
- Sana kişiselleştirilmiş reklam göstermeyiz ve reklam kimliğini kullanmayız. Reklam izlemek tamamen isteğe bağlı.
- Verilerin AB'deki (Almanya) sunucularda durur. Bu, yurt dışı sayılır; bu yüzden yalnızca Kişisel Verileri Koruma Kurulu'nun hazırladığı sözleşmeyi imzalayan şirketlerle çalışırız.
- İstediğin zaman Ayarlar'dan hesabını silebilirsin. Hakların için represstudio@gmail.com adresine yazabilirsin; ailenle konuşmak istersen de olur.
- Biri seni rahatsız ederse Şikayet Et veya Engelle'yi kullan.