GRAIN KVKK Aydınlatma Metni

Son güncelleme: [DOLDURULACAK: yayın tarihi]

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, GRAIN oyununu (iOS, Android ve web) kullananları bilgilendirmek için hazırlanmıştır. Ayrıntılı açıklama Gizlilik Politikası'nda yer alır.

1. Veri sorumlusu

• Unvan: Useroam Teknoloji [DOLDURULACAK: tam ticari unvan]
• Adres: [DOLDURULACAK]
• MERSİS no / Vergi dairesi ve no: [DOLDURULACAK]
• KEP adresi: [DOLDURULACAK]
• E-posta: [email protected] — Web: useroamteknoloji.com

2. İşlenen kişisel veri kategorileri

• Kimlik (takma ad): seçtiğiniz takma ad, bayrak ve avatar. Gerçek ad, e-posta veya telefon istenmez.
• İşlem güvenliği: rastgele üretilen cihaz jetonu, IP adresi, tarayıcı/cihaz tanımı (User-Agent), oturum başlangıç/son istek zamanı ve istek sayısı.
• Oyun verileri: skorlar (mod, bölüm, skor, yıldız, süre, deneme), günlük yarışma skorları, rozetler, deneyim puanı ve lig, cihazlar arası senkronlanan oyun kaydı (açılan bölümler, yıldızlar, rekorlar, oyun istatistikleri, ayarlar).
• Pazarlama/reklam (yalnız mobil): Google AdMob tarafından işlenen reklam kimliği (iOS'ta yalnız "Uygulama İzleme" izniyle), IP'den yaklaşık konum, reklam etkileşimi ve tanılama verileri; reklam izni tercihiniz (Google UMP).
• Müşteri işlem (yalnız mobil): RevenueCat'in işlediği anonim uygulama kullanıcı kimliği ve satın alma geçmişi (ürün, tarih, mağaza işlem kimliği). Ödeme ve kart bilgilerinizi görmeyiz; ödemeyi Apple veya Google alır.

3. İşleme amaçları

• Oyunun ve liderlik tablosu, günlük yarışma, rozet, lig gibi çevrimiçi özelliklerin sunulması
• Oyun kaydınızın cihazlar/yeniden kurulum arasında korunması
• Hile, sahte skor ve kötüye kullanımın önlenmesi, hız sınırı ve bilgi güvenliğinin sağlanması
• Reklam gösterilmesi, ölçülmesi ve (izninize bağlı olarak) kişiselleştirilmesi
• Uygulama içi satın almaların doğrulanması ve "Reklamsız" hakkının geri yüklenmesi
• Başvuru ve taleplerinizin yanıtlanması, hukuki yükümlülüklerin yerine getirilmesi

4. Hukuki sebepler

• KVKK md. 5/2-c (sözleşmenin kurulması veya ifası): takma ad, cihaz jetonu, skorlar, rozetler, oyun kaydı; satın alma doğrulaması.
• KVKK md. 5/2-f (meşru menfaat): IP adresi, User-Agent ve oturum kayıtlarının hile ve kötüye kullanımı önlemek için işlenmesi; kişiselleştirilmemiş reklam gösterimi [DOĞRULANACAK].
• KVKK md. 5/2-ç (hukuki yükümlülük): satın alma kayıtlarının mevzuatın gerektirdiği ölçüde saklanması [DOĞRULANACAK].
• KVKK md. 5/1 (açık rıza): reklam kimliğinin kullanımı ve kişiselleştirilmiş reklam (iOS "Uygulama İzleme" izni, izin istenen bölgelerde Google UMP izni) [DOĞRULANACAK: Türkiye'deki kullanıcılar için ayrı bir açık rıza ekranı gerekip gerekmediği]. Açık rıza bu metinden ayrı alınır ve istediğiniz zaman geri çekilebilir; reddetmeniz oyunu kullanmanızı engellemez.

5. Toplama yöntemi

Kişisel verileriniz, oyunu kullanırken uygulama ve sunucumuz aracılığıyla elektronik ortamda, kısmen otomatik yollarla (skor gönderimi, senkron, oturum kaydı) toplanır. Reklam ve satın alma verileri, uygulamaya eklenen Google AdMob ve RevenueCat yazılım bileşenleri aracılığıyla toplanır.

6. Aktarım

Yurt içi: Sunucumuz Türkiye'de barındırılır [DOĞRULANACAK]; barındırma hizmeti sağlayıcısı: [DOLDURULACAK]. Kanunen yetkili kamu kurum ve kuruluşlarına, talep hâlinde ve mevzuatın gerektirdiği ölçüde aktarım yapılabilir.

Yurt dışı: Aşağıdaki hizmet sağlayıcıların sunucuları yurt dışındadır:

• Google LLC / Google Ireland Ltd. — AdMob reklamları ve UMP izin yönetimi
• RevenueCat, Inc. (ABD) — satın alma doğrulaması
• Apple Inc. ve Google LLC — App Store ve Google Play üzerinden ödeme ve satın alma işlemleri

Bu aktarımlar KVKK md. 9 kapsamında yapılır. [DOĞRULANACAK: her sağlayıcı için hukuki dayanak — yeterlilik kararı yoksa Kurul'a süresi içinde bildirilen standart sözleşme, bağlayıcı şirket kuralları veya md. 9/6'daki arızi aktarım istisnaları; açık rızanın ancak arızi aktarımlarda dayanak olabileceği 7499 sayılı Kanunla yapılan değişiklik dikkate alınarak değerlendirilmeli.]

7. Saklama süreleri

• Oturum kayıtlarındaki IP adresi: 30 gün sonra silinir; oturum kaydının kalanı hesap silinene kadar saklanır.
• Takma ad, bayrak, avatar, skorlar, rozetler ve senkronlanan oyun kaydı: hesabı silene kadar. [DOĞRULANACAK: uzun süre kullanılmayan hesaplar için azami saklama süresi belirlenmeli.]
• Satın alma kayıtları: RevenueCat ve mağazalarda, ilgili mevzuatın gerektirdiği süre boyunca [DOĞRULANACAK].
• Reklam verileri: Google'ın kendi saklama politikalarına göre.

Süresi dolan veriler silinir, yok edilir veya anonim hâle getirilir.

8. İlgili kişinin hakları (KVKK md. 11)

Veri sorumlusuna başvurarak şu haklarınızı kullanabilirsiniz:

• a) Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• b) İşlenmişse buna ilişkin bilgi talep etme,
• c) İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• ç) Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• d) Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• e) KVKK md. 7'de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• ğ) Kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

9. Başvuru yolu

Başvurularınızı, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak Türkçe ve kimliğinizi (oyunda takma ad ile birlikte talep ettiğimiz doğrulama bilgisi [DOĞRULANACAK: e-posta kaydı olmadığından kimlik doğrulama yöntemi]) belirterek şu yollarla iletebilirsiniz:

• E-posta: [email protected]
• KEP: [DOLDURULACAK] (güvenli elektronik imza veya mobil imza ile)
• Yazılı olarak ıslak imzalı dilekçe ile: [DOLDURULACAK: adres]

Başvurunuz, niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu'nca belirlenen tarifedeki ücret alınabilir. Başvurunuzun reddedilmesi, yanıtın yetersiz bulunması veya süresinde yanıt verilmemesi hâlinde KVKK md. 14 uyarınca Kurul'a şikâyette bulunabilirsiniz.

Uygulama içi silme: Hesabınızı ve sunucudaki bütün verilerinizi (takma ad, bayrak, avatar, skorlar, rozetler, oturum kayıtları, senkronlanan oyun kaydı) başvuru yapmadan uygulamada Ayarlar › Hesabı ve verileri sil ile anında silebilirsiniz; uygulama sıfırlanır ve işlem geri alınamaz. Reklam iznini Ayarlar › Reklam izni tercihleri veya cihazınızın gizlilik ayarlarından değiştirebilirsiniz.

---

GRAIN Privacy Notice under KVKK

Last updated: [DOLDURULACAK: publication date]

This notice is provided to users of the GRAIN game (iOS, Android and web) under Article 10 of Turkish Personal Data Protection Law No. 6698 ("KVKK") and the Communiqué on the Procedures and Principles for Fulfilling the Obligation to Inform. The Turkish version prevails [DOĞRULANACAK]. Further detail is in the Privacy Policy.

1. Data controller

• Legal name: Useroam Teknoloji [DOLDURULACAK: full legal name]
• Address: [DOLDURULACAK]
• MERSIS no. / Tax office and no.: [DOLDURULACAK]
• Registered e-mail (KEP): [DOLDURULACAK]
• E-mail: [email protected] — Web: useroamteknoloji.com

2. Categories of personal data processed

• Identity (nickname): the nickname, flag and avatar you choose. No real name, e-mail or phone number is requested.
• Transaction security: randomly generated device token, IP address, browser/device identifier (User-Agent), session start/last request time and request count.
• Game data: scores (mode, level, score, stars, time, attempts), daily challenge scores, badges, experience points and league, and the save synced across devices (unlocked levels, stars, records, game statistics, settings).
• Marketing/ads (mobile only): advertising identifier processed by Google AdMob (on iOS only with "App Tracking" permission), approximate location from IP, ad interaction and diagnostic data; your ad consent choice (Google UMP).
• Customer transaction (mobile only): anonymous app user ID and purchase history (product, date, store transaction ID) processed by RevenueCat. We never see your payment or card details; Apple or Google takes the payment.

3. Purposes of processing

• Providing the game and its online features such as leaderboards, the daily challenge, badges and leagues
• Preserving your save across devices and reinstalls
• Preventing cheating, fake scores and abuse; rate limiting and information security
• Serving and measuring ads and (subject to your consent) personalizing them
• Validating in-app purchases and restoring "No Ads"
• Responding to your requests and complying with legal obligations

4. Legal bases

• KVKK Art. 5/2-c (establishment or performance of a contract): nickname, device token, scores, badges, save; purchase validation.
• KVKK Art. 5/2-f (legitimate interest): processing IP address, User-Agent and session records to prevent cheating and abuse; non-personalized ads [DOĞRULANACAK].
• KVKK Art. 5/2-ç (legal obligation): retaining purchase records to the extent required by law [DOĞRULANACAK].
• KVKK Art. 5/1 (explicit consent): use of the advertising identifier and personalized ads (iOS "App Tracking" permission; Google UMP consent where requested) [DOĞRULANACAK: whether a separate explicit consent screen is needed for users in Türkiye]. Explicit consent is obtained separately from this notice and can be withdrawn at any time; declining does not prevent you from playing.

5. Method of collection

Your personal data is collected electronically through the app and our server while you play, partly by automated means (score submission, sync, session logging). Ad and purchase data is collected through the Google AdMob and RevenueCat software components included in the app.

6. Transfers

Within Türkiye: Our server is hosted in Türkiye [DOĞRULANACAK]; hosting provider: [DOLDURULACAK]. Data may be disclosed to legally authorized public authorities upon request and to the extent required by law.

Abroad: The following service providers operate servers outside Türkiye:

• Google LLC / Google Ireland Ltd. — AdMob ads and UMP consent management
• RevenueCat, Inc. (USA) — purchase validation
• Apple Inc. and Google LLC — payments and purchases via the App Store and Google Play

These transfers are made under KVKK Art. 9. [DOĞRULANACAK: legal basis for each provider — absent an adequacy decision, standard contractual clauses notified to the Board in time, binding corporate rules, or the occasional-transfer exceptions in Art. 9/6; to be assessed in light of the amendment by Law No. 7499, under which explicit consent can only support occasional transfers.]

7. Retention periods

• IP address in session records: erased after 30 days; the rest of the session record is kept until the account is deleted.
• Nickname, flag, avatar, scores, badges and synced save: until you delete your account. [DOĞRULANACAK: a maximum retention period for long-inactive accounts should be set.]
• Purchase records: at RevenueCat and the stores, for the period required by applicable law [DOĞRULANACAK].
• Ad data: under Google's own retention policies.

Data whose retention period has expired is erased, destroyed or anonymized.

8. Your rights (KVKK Art. 11)

By applying to the data controller, you may:

• a) learn whether your personal data is processed,
• b) request information if it has been processed,
• c) learn the purpose of processing and whether data is used in line with that purpose,
• ç) know the third parties to whom data is transferred in Türkiye or abroad,
• d) request correction of incomplete or inaccurate data,
• e) request erasure or destruction of data under the conditions in KVKK Art. 7,
• f) request that the actions under (d) and (e) be notified to third parties to whom data was transferred,
• g) object to a result against you arising from analysis of data exclusively by automated systems,
• ğ) claim compensation for damage caused by unlawful processing.

9. How to apply

You may submit requests in Turkish, in line with the Communiqué on the Procedures and Principles of Application to the Data Controller, stating your identity (the verification details we request together with your in-game nickname [DOĞRULANACAK: identity verification method, as no e-mail is registered]), via:

• E-mail: [email protected]
• KEP: [DOLDURULACAK] (with secure electronic or mobile signature)
• In writing, with a wet-signed letter to: [DOLDURULACAK: address]

Requests are concluded free of charge as soon as possible and within 30 days at the latest; if the action involves an additional cost, the fee in the tariff set by the Personal Data Protection Board may be charged. If your request is rejected, the response is insufficient or no timely response is given, you may file a complaint with the Board under KVKK Art. 14.

In-app deletion: Without submitting a request, you can instantly delete your account and all your data on our server (nickname, flag, avatar, scores, badges, session records, synced save) in the app via Settings › Delete account and data; the app is reset and this cannot be undone. You can change your ad consent via Settings › Ad consent preferences or in your device's privacy settings.