Gizlilik Politikası

1. Kapsam ve sorumlu kişi

Bu metin Kaç Kaç Olur mobil uygulaması ve kackacolur.com tanıtım sitesi içindir. Bireysel geliştirici/veri sorumlusu: Serdarhan Dikmen. Başvuru adresi: [BAŞVURU ADRESİ]. E-posta: gizlilik@kackacolur.com. Ayrıntılı amaç/hukuki sebep değerlendirmesi KVKK sayfasındadır.

2. Hangi veriler işlenir?

• Hesap ve güvenlik: e-posta, hesap kimliği, parola doğrulamasına ilişkin kayıtlar, oturum ve doğrulama/kurtarma işlemleri. E-posta/parola girişi ve altı haneli e-posta koduyla doğrulama kullanılır.
• Profil ve sosyal kullanım: kullanıcı adı, isteğe bağlı avatar, gizlilik tercihleri, takip ilişkileri/istekleri, engellemeler ve bildirim/şikâyet tercihleri.
• Tahmin ve performans: kullanıcının kaydettiği skorlar, maç/işlem tarihleri, tahmin sonuçları, yıldız puanları, dönemsel sıralamalar, rozet ve profil kişiselleştirme seçimleri.
• Analiz erişimi: açılan analizler, ücretsiz hak kullanımı, kredi hareketleri ve varsa doğrulanmış Premium erişimi.
• Bildirim: izin durumu, kurulum kimliği, Expo cihaz belirteci, seçilen bildirim türleri, okuma/teslim bilgileri.
• İletişim: destek veya gizlilik e-postalarının göndereni, içeriği, ekleri ve işlem takibi. Gereksiz kişisel bilgi, parola veya tek kullanımlık kod göndermeyin.

3. Toplama yöntemi ve amaçlar

Bilgiler kayıt/giriş formları, profil ve skor tahmini işlemleri, cihaz bildirim izinleri, güvenli sunucu çağrıları ve doğrudan gönderdiğiniz e-postalar yoluyla toplanır. Hesaba erişim sağlamak, tahmin/puan geçmişini sunmak, gizlilik ayarlarına göre sosyal özellikleri işletmek, analiz haklarını yönetmek, güvenliği korumak ve destek/silme başvurularını değerlendirmek için kullanılır. Oturum bilgileri mobil cihazda saklanır; web renk demosu hesap verisi oluşturmaz.

4. Profil ve sıralama görünürlüğü

Sıralama ve sosyal keşif alanlarında kullanıcı adı, puan ve dönem performansı görünebilir. Gizli profil seçimi her sıralama satırını kendiliğinden gizler anlamına gelmez. Profil ayrıntıları, tahmin geçmişi, takip ve engelleme kontrolleri uygulamadaki izin kurallarına tabidir. E-posta adresi sosyal kullanıcı adı olarak gösterilmez. Tanıtım sitesindeki demo kullanıcılar ve sayılar örnek verilerdir.

5. Hizmet sağlayıcıları ve paylaşım

Supabase

Hesap doğrulama, kullanıcı veritabanı, sunucu işlevleri ve isteğe bağlı profil görsellerinin depolanması. Proje ana bölgesi AWS Londra (Birleşik Krallık).

Google Gemini

Sunucudan gönderilen takım, maç ve istatistik verilerinden Türkçe maç yorumu üretimi. İncelenen istek gövdesinde hesap e-postası, kullanıcı adı, avatar veya kişinin skor tahmini bulunmaz.

Resend

Supabase Auth üzerinden kayıt doğrulama ve parola kurtarma e-postalarının gönderimi. E-posta adresi ve doğrulama iletisinin işlenmesi söz konusudur. Gelen destek posta kutusu hizmetinden ayrıdır. Aktarım durumu için 6. bölüme bakın.

Expo / Apple / Google

İzin verildiğinde mobil push bildirimi iletimi. Cihaz belirteçleri, bildirim içeriği, teslimat bilgileri ve bazı kişisel sonuç bildirimlerinde alıcı kimliği iletilebilir.

Hostinger Business Email

Destek, iletişim ve gizlilik başvurularının e-posta içeriği, gönderen adresi ve ileti üst bilgileriyle alınması ve yanıtlanması. İletişim/gizlilik adresleri aynı ana kutuya ulaşan rumuzlardır.

Netlify

Tanıtım sitesinin barındırılması ve HTTPS sunumu. İstek sırasında IP adresi, tarayıcı/cihaz üst bilgileri ve erişim kayıtları barındırma hizmetince işlenebilir.

RevenueCat / App Store / Google Play

Abonelik entegrasyonunun kodu bulunur. İncelenen sürümde gerçek satın alma kapalıdır; yetkili sandbox testleri gerçek satış değildir. Geliştirme modundaki katalog önizlemesi veya yetkili sandbox testi de RevenueCat bağlantısı kurabilir; satışın kapalı olması hiç veri aktarılmadığını göstermez. SDK kurulumunda uygulama kullanıcı kimliği kullanılabilir. Etkin bir mağaza işleminde ürün/işlem kimliği, kullanıcıyla bağlantı, abonelik durumu ve yenileme bilgileri işlenebilir; kart numarası bu web sitesinde alınmaz.

6. Yurt dışına aktarım

Bu metnin tarihi itibarıyla Kişisel Verileri Koruma Kurulu’nun yayımladığı bir yeterlilik kararı bulunmamaktadır. Yeterlilik kararı yoksa yurt dışına aktarım ancak uygun güvencelerle yapılabilir: Kurul’un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla yayımlanan standart sözleşmeler (imzadan sonra Kurula bildirilir), bağlayıcı şirket kuralları veya Kurul onaylı yazılı taahhütname. Arızi, yani tek seferlik ve düzenli olmayan aktarım istisnaları (örneğin açık rıza), hesap e-postası ve bildirim gibi sürekli aktarımlar için dayanak yapılamaz. Genel DPA veya Avrupa Birliği standart sözleşmeleri tek başına Türkiye bakımından uygunluk kanıtı değildir. Kurul’un yurt dışına aktarım açıklaması.

Supabase

Hesap, veritabanı, dosya depolama ve sunucu işlevleri. Proje ana bölgesi AWS Londra (eu-west-2, Birleşik Krallık). Sağlayıcının yayımlanan DPA’sı Avrupa Birliği standart sözleşme maddeleri ve Birleşik Krallık ekine dayanır; Türkiye standart sözleşmesinin imzalandığı veya Kurula bildirildiği doğrulanmamıştır.

Resend

Doğrulama ve parola kurtarma e-postaları. Sağlayıcı, saklanan verinin ABD’de tutulduğunu, gönderim bölgesi seçiminin saklama konumunu değiştirmediğini ve Türkiye KVKK standart sözleşmesini imzalamadığını açıklar. Bu akış için Türkiye bakımından uygun güvence bulunmamaktadır; Türkiye’de barındırılan veya Türkiye standart sözleşmesini imzalayan bir sağlayıcıya geçiş değerlendirilmektedir. Resend güvenlik açıklaması.

Google Gemini

İncelenen istek yalnız takım, maç ve istatistik verisi içerir; hesap e-postası, kullanıcı adı, avatar veya kişinin skor tahmini gönderilmez. Bu akışla kullanıcıya ait kişisel veri Gemini’ye aktarılmaz; sağlayıcının teknik istek kayıtları ayrıdır.

Expo / Apple / Google

Push bildirimi: cihaz belirteci, bildirim metni ve bazı sonuç bildirimlerinde alıcı kimliği. Ülke, alt işleyen ve sözleşme güvenceleri doğrulanmamıştır.

Hostinger

Destek ve gizlilik e-postaları. Sağlayıcının DPA’sı Avrupa Birliği standart sözleşme çerçevesindedir; posta verisinin fiziksel konumu ve Türkiye bakımından güvence doğrulanmamıştır.

Netlify

Tanıtım sitesi erişim kayıtları (IP adresi, tarayıcı üst bilgileri). DPA mevcuttur; Türkiye bakımından güvence ve kayıt süreleri doğrulanmamıştır.

RevenueCat / mağazalar

Gerçek satış kapalıdır; test/sandbox işlemleri ve katalog önizlemesi uygulama kullanıcı kimliğini aktarabilir. Güvenceler doğrulanmamıştır.

Bu metnin hazırlandığı tarihte, Türkiye standart sözleşmesinin imzalandığı ve Kurula bildirildiği doğrulanmış bir alıcı bulunmamaktadır. Bu eksiklik giderilene kadar metin taslak olarak kalır.

7. Bildirimler, çerezler ve site demosu

Telefon push bildirimleri izin verilmesine ve tercihlere bağlıdır; varsayılan push tercihi kapalıdır. İzni telefon ayarlarından kaldırabilir, türleri uygulamada yönetebilirsiniz. Her cihazda veya her beta ortamında bildirim teslimi garanti değildir.

İncelenen tanıtım sitesi kodunda analitik/reklam izleyicisi, çerez yazımı veya yerel depolamaya veri kaydı bulunmaz. Font ve görseller kendi site varlıklarından yüklenir. Renk demosu bellekte çalışır; gerçek profile kayıt yapmaz. Netlify erişim/güvenlik kayıtları bu açıklamadan ayrıdır; hosting panelindeki ek analitik hizmetlerinin durumu yayın öncesinde ayrıca kontrol edilmelidir.

8. Saklama ve hesap silme

Hesap silindiğinde şu kayıtlar silinir:

• Giriş kaydı (e-posta adresi, parola doğrulama verisi) ve oturumlar.
• Profil, kullanıcı adı, sosyal profil, takip ve engelleme kayıtları ile profil fotoğrafı dosyası.
• Skor tahminleri, puanlar, sıralama kimliği, rozet ve vitrin seçimleri, profil görünümü ayarları.
• Açılan analiz (ücretsiz hak) kayıtları.
• Bildirim tercihleri, cihaz kayıtları, gelen kutusu ve bildirim kuyruğu satırları.

Silinmeyen veya ayrı değerlendirilen kayıtlar:

• Rastgele bir hesap kapatma kimliği, kapatma ve silinme zamanı ile kapatma anındaki kalan ücretsiz hak ve kredi bakiyesi. Bu kayıtta e-posta adresi tutulmaz.
• Kredi defteri hareketleri (kapatma kimliğine bağlıdır).
• Satın alma/abonelik kayıtları ve olay gövdeleri; işlem kimlikleri ve olay gövdesinde uygulama hesap kimliği bulunabilir. Gerçek satış kapalı olduğundan mevcut kayıtlar test/sandbox işlemlerine aittir.
• Moderasyon kayıtları: şikâyet gerekçesi, tarihi, durumu ve moderatör eylemleri. Şikâyet edenin ve moderatörün kimliği boşaltılır; hedef hesabın kullanıcı adı anlık kaydı değiştirilir.
• Silme makbuzu özeti: cihazda üretilen rastgele sırrın özeti (en fazla iki adet); yalnız tamamlanma durumunu doğrulamak içindir.
• Sağlayıcı yedekleri ve sistem günlükleri ile destek yazışmaları.

Kalan kayıtların tamamen anonim olduğu varsayılmaz; hesapla yeniden bağlanabilme ihtimali ayrıca değerlendirilir.

Süreler: Kodda tanımlı tek otomatik süre, bildirim olay kuyruğundaki kayıtlardan 30 günden eski olanların silinmesidir (temizlik işlevi çalıştığında). Diğer kayıtlar için kesin saklama süresi ve hukuki gerekçe henüz belirlenmemiştir; belirlendiğinde bu sayfada yayımlanacaktır. Sürenin belirlenmemiş olması sınırsız saklama anlamına gelmez. Bir bildirimin gönderim süresinin dolması kaydının silindiği anlamına gelmez. Sağlayıcı yedeklerinden ve teslim edilmiş kopyalardan silinme sağlayıcının sürelerine bağlıdır ve hesap silmeyle aynı anda gerçekleşmez.

Hesabınızı silme veya e-posta ile silme talebi başlatma adımlarını inceleyin.

9. Haklarınız ve iletişim

KVKK kapsamındaki bilgi, düzeltme, silme ve diğer haklarınız ile başvuru yöntemleri KVKK hakları bölümünde açıklanır. Gizlilik başvuruları: gizlilik@kackacolur.com. Genel destek: destek@kackacolur.com. Metinde önemli değişiklik yapılırsa güncel sürüm ve tarihi bu sayfada gösterilir.