Gizlilik / Aydınlatma metni

1. Veri sorumlusu

Veri sorumlusu: Ahmet Melih Afşar. İletişim: [email protected]. Adres: İstanbul, Türkiye.

Kelime Masası ücretsiz bir kelime oyunudur. Misafir olarak oynamak için hesap açman gerekmez; Google ile giriş isteğe bağlıdır.

2. İşlenen veriler

Misafir oyuncu: Oyunda yazdığın takma ad, tarayıcında rastgele üretilen oyuncu anahtarı (sunucuda yalnızca SHA-256 özeti saklanır), masa kodları, hamleler, kelimeler, puanlar, sıra ve süre bilgisi, bağlantı durumu (çevrimiçi/çevrimdışı) ve emoji tepkileri. Takma ad masa kaydında rakibine ve masayı izleyenlere görünür.

Kalıcı cihaz profili: Oyun geçmişini ve istatistiklerini oyunlar arasında gösterebilmek ve geri dönüşü yalnızca toplu olarak ölçebilmek için bu cihazda rastgele bir gizli anahtar üretilir ve tarayıcının yerel depolamasında saklanır (çerez veya parmak izi kullanılmaz); bu anahtar sunucuya gönderilmez. Ondan türetilen bir “profil kimliği” oyun kurarken, katılırken ve rövanşta sunucuya iletilir; sunucu kimliğin kendisini değil yalnızca tek yönlü özetini (hash) oyun kaydıyla ve room_profiles tablosunda masa kodu ve oyuncu sırasıyla birlikte saklar. “Tüm oyunlarım” ekranı yalnızca senin son 100 oyununa ait toplu istatistikleri ve rakip takma adlarını gösterir. Bu kimlik başka sitelerle paylaşılmaz. İstatistik ekranındaki “Profil kimliğini sıfırla” seçeneğiyle veya tarayıcı verilerini silerek kimliği istediğin zaman yenileyebilirsin; bundan sonraki oyunların önceki oyunlarınla ilişkilendirilmez. Profil kodunu kopyalayıp başka bir cihaza taşırsan bu kod bir şifre gibidir; yalnızca kendi cihazlarında kullan.

Hesap (Google ile giriş yaparsan): Google’ın verdiği ad, e-posta adresi, e-posta doğrulama durumu ve profil görseli bağlantısı; Google hesap kimliği ve şifrelenmiş erişim/yenileme/kimlik belirteçleri; oturum kaydı (oturum belirteci, süre sonu, IP adresi ve tarayıcı bilgisi). E-posta adresin diğer oyunculara gösterilmez. Hesabına bağladığın masalar, turnuvalar ve skorlar hesabınla ilişkilendirilir.

İsteğe bağlı özellikler: Arkadaş profili (takma ad ve arkadaş kodu), arkadaş istekleri, engellemeler, meydan okumalar, eşleşme kuyruğu, oyuncu şikâyetleri (sabit bir neden listesinden seçilen neden, şikâyet eden ve edilen), kelime defteri (kaydettiğin kelimeler ve tekrar takvimi), kelime bildirimleri, günün masası skor tablosu (takma ad, skor), turnuva kayıtları ve izleme bağlantısı.

Bildirimler: Sıra bildirimi açarsan tarayıcının verdiği web push abonelik kaydı (bildirim uç noktası adresi ve şifreleme anahtarları), cihaz kimliği, bildirim dili ve sıradaki süre sonu saklanır. Bildirim izni tarayıcından verilir ve her zaman geri alınabilir.

Günün kelimesi bildirimi (isteğe bağlı): Bu bildirimi yalnızca sen açarsan, günde en fazla bir kez, yaklaşık 10:00’da (Türkiye saati) bir kelime göndeririz. Bunun için tarayıcının web push aboneliğini (adres ve şifreleme anahtarları), arayüz dilini, bu bildirimin açık olduğu bilgisini ve kelime defterinde tekrar zamanı gelmiş bir kelime olup olmadığını kullanırız; defterindeki kelime yalnızca bildirimin metninde sana gösterilir. Bunlar başka bir amaçla kullanılmaz. Menüdeki anahtarı kapatarak ya da bildirimdeki “Bu bildirimleri kapat” düğmesiyle istediğin zaman vazgeçebilirsin; kayıt silinir. Sıra bildirimlerinden bağımsızdır.

Teknik veriler: Kötüye kullanımı önlemek için isteklerin IP adresi, Cloudflare’ın hız sınırlama hizmetine geçici olarak anahtar olarak verilir; kendi veritabanımıza veya günlüklerimize yazılmaz (Google oturum ve giriş hız sınırı kayıtları hariç, bkz. Saklama süreleri). Arkadaş, kelime defteri, eşleşme ve oyuncu şikâyeti işlemlerinde günlük işlem sınırı sayaçları, oyuncu veya hesap anahtarının SHA-256 özetinden türetilen takma adlı (pseudonymous) bir tanımlayıcı ve günle birlikte veritabanında tutulur; diğer genel kullanım sınırı sayaçları kişisel veri içermez.

3. İşleme amaçları

Oyunu sunmak ve masaları yürütmek (hamle doğrulama, sıra, puan, tekrar oynatma); masaya geri dönebilmeni sağlamak; hesap girişi ve cihazlar arası devam; arkadaş, meydan okuma, eşleşme ve turnuva özellikleri; sıra bildirimleri; kelime defteri ve öğrenme özellikleri; sözlük hatalarını ve kötü davranışı incelemek; hizmet güvenliği, kötüye kullanım ve aşırı yük önleme (IP tabanlı ve kimliğe bağlı hız/günlük sınırlar, bot doğrulaması); hata ayıklama ve hizmetin sürekliliği (yedekleme ve felaket sonrası kurtarma); ürün ölçümü (anonim toplu ziyaret sayıları ve yedeklerden yerel olarak hesaplanan toplu kullanım ölçümleri).

Verilerin reklam, profilleme veya üçüncü kişilere satış için kullanılmaz.

4. Hukuki sebepler

KVKK md. 5/2 kapsamında: oyun hizmetinin sunulması için gerekli olduğu ölçüde sözleşmenin kurulması veya ifası (c); hizmet güvenliği ve kötüye kullanımın önlenmesi için veri sorumlusunun meşru menfaati (f); yasal yükümlülüklerin yerine getirilmesi (ç). Web push bildirimleri tarayıcıda verdiğin izne (açık rıza) dayanır; izni istediğin zaman kaldırabilirsin.

5. Aktarım ve hizmet sağlayıcılar

Cloudflare, Inc.: Barındırma (Workers, Pages, statik varlıklar), veritabanı (D1, zaman içinde geri dönme geçmişi dahil), hız sınırlama, kayıt/gözlem (Workers Observability) ve botlara karşı doğrulama (Turnstile). Turnstile üretimde etkindir: doğrulama gerektiğinde tarayıcın challenges.cloudflare.com adresinden Cloudflare’ın betiğini yükler ve betik, bot olup olmadığını anlamak için tarayıcı ve ortam sinyalleri toplar; sunucumuz sonucu doğrulamak için doğrulama belirtecini ve ziyaretçinin IP adresini Cloudflare’a gönderir. Amaç otomatik kötüye kullanımı önlemektir; bu veriler Cloudflare’ın Turnstile gizlilik ekine ve koşullarına göre işlenir. Cloudflare’ın belgeleri Turnstile bileşeni için çerez veya yerel depolama kullanımı belirtmez (yalnızca kullanmadığımız ön onay özelliği çerez kullanır). Verilerin bu nedenle yurt dışındaki sunucularda işlenmesi söz konusu olabilir.

Google LLC: Yalnızca Google ile giriş yaparsan kimlik doğrulama için devreye girer; Google’a giriş sırasında ve Google’ın kendi koşullarına göre veri gider.

Tarayıcı bildirim servisleri: Bildirimleri açarsan bildirim, tarayıcı üreticisinin web push servisi (ör. Google, Mozilla, Apple) üzerinden cihazına iletilir; bildirim içeriği sıra bildiriminde yalnızca sıranın sende olduğunu ve masa kodunu, günün kelimesi bildiriminde ise başlığı ve gösterilecek kelimeyi içerir.

Verilerin kişisel veri olarak başka üçüncü kişilerle paylaşılmaz veya satılmaz.

Yurt dışına aktarım: Cloudflare ve Google’ın sunucuları Türkiye dışında (ör. ABD ve Avrupa Birliği) bulunabilir; bu nedenle verilerin bu hizmet sağlayıcılar tarafından yurt dışında işlenir. Bu hizmet sağlayıcılarla KVKK md. 9 kapsamında Kurul’un yayımladığı standart sözleşme henüz imzalanmamıştır; veriler şu an sağlayıcıların kendi veri işleme koşulları ve güvenlik önlemleri altında işlenir. Standart sözleşme imzalandığında bu bölüm güncellenecektir.

6. Saklama süreleri

Otomatik silinenler (her gece çalışan temizlik işiyle): masadaki çevrimiçi/son görülme kayıtları (30 gün sonra); izleme davetleri (süre sonundan 1 gün sonra); bildirim abonelikleri (bildirimi kapatınca, masa bitince ya da 60 gündür yenilenmemişse ve masa sürmekte olan bir oyun değilse); günün kelimesi abonelikleri (bildirimi kapatınca veya tarayıcı aboneliği geçersiz olunca); Google oturumlarındaki IP adresi ve tarayıcı bilgisi (30 gün sonra silinir; oturum kaydı süresi dolunca silinir; oturum en çok 30 gün geçerlidir); doğrulama kayıtları (süresi dolunca); giriş hız sınırı sayaçları (24 saat sonra); kullanım sınırı sayaçları, takma adlı oyuncu/hesap tanımlayıcılı günlük işlem sayaçları dahil (süre sonundan 2 gün sonra); kelime bildirimleri (30 gün); oyuncu şikâyetleri (90 gün); meydan okumalar (süre sonundan 30 gün sonra); eşleşme kuyruğu (süre sonundan 1 gün sonra); bildirim kuyruğu (süre sonunda veya 3 başarısız denemeden sonra); her masada yalnızca son 20 emoji tepkisi; toplu ziyaret sayıları (400 gün sonra); hata raporları (90 gün sonra).

Süresiz saklananlar: oyun geçmişin, yani masa kayıtları (takma adlar, hamleler, kelimeler ve profil kimliği özeti dahil; biten, arşivlenen ve terk edilmiş masalar da), günün masası skorları, turnuvalar, arkadaş profilleri, arkadaşlıklar, engellemeler, kelime defteri, hesap ve Google profil/bağlantı kayıtları. Bunları, ilk oyunundan itibaren oyun geçmişini ve istatistiklerini sana gösterebilmek için saklarız; otomatik silme süreleri yoktur. Hizmet çalıştığı sürece, hesabını silene veya silme talep edene kadar saklanır; silme talepleri en geç 30 gün içinde yerine getirilir. Biten masalar 7 gün sonra sıkıştırılarak arşivlenir; arşivleme silme değildir ve bitmemiş bir masa sistem tarafından silinmez veya kapatılmaz.

Yedekler ve kurtarma: Yayın öncesi alınan veritabanı yedekleri ve bunlardan üretilen, uzak bir D1’e geri yüklenebilir tam kopyalar işletmecinin bilgisayarında yalnızca sahibine okuma/yazma izinli (0600) dosyalar olarak ve kod deposunun dışında tutulur; bunlar bütün tabloları, yani yukarıdaki kişisel verileri de içerir. Felaket sonrası kurtarma yeni bir uzak D1 oluşturarak yapılır ve eski veritabanı geçişten sonra silinmeden bir süre korunur. Yedekler ve bunlardan üretilen kopyalar en fazla 30 gün saklanır ve sonra otomatik olarak silinir (zamanlanmış yedekleme durursa yalnızca en son yedek, yenisi alınana kadar korunur); kurtarma sonrası eski veritabanı da geçişten en geç 30 gün sonra silinir. Ayrıca Cloudflare D1, kendi zaman içinde geri dönme (Time Travel) geçmişini Cloudflare’ın saklama süresince tutar (Cloudflare belgelerine göre ücretsiz planda 7, ücretli planda 30 gün). Ürün ölçüm raporları yerelde bu yedeklerden hesaplanır ve yalnızca toplu sayılar içerir. Bir silme talebinden sonra verilerin yedeklerde en fazla 30 gün daha kalabilir; bu süre dolunca yedeklerle birlikte silinir.

7. Çerezler ve yerel depolama

Reklam veya izleme çerezi kullanmıyoruz. Yalnızca zorunlu çerezler vardır: Google ile giriş yaparsan kelime.session_token oturum çerezi (HttpOnly, en çok 30 gün) ve giriş sırasında kısa süreli teknik çerezler; bot doğrulaması gerektiğinde km_bot doğrulama çerezi (HttpOnly, 15 dakika; Cloudflare Turnstile için bkz. 5. bölüm); yönetici girişinde 15 dakikalık yönetim çerezi (yalnızca işletmeci).

Tarayıcının yerel depolaması (localStorage/sessionStorage) cihazında kalır: rastgele misafir anahtarı, kalıcı cihaz profili gizli anahtarı, bildirim cihaz kimliği, kayıtlı masa kodları ve oyuncu belirteçleri, takma adın, dil/tema/ses/oyun ayarların, istatistik ve kararların, taslak hamlelerin, gizlenen masalar ve eğitim/yükleme tercihleri. Servis çalışanı (service worker) yalnızca oyun dosyalarını ve dil tercihini önbelleğe alır. Tarayıcı verilerini silerek bunları kaldırabilirsin; misafir anahtarın silinirse masalarına bu cihazdan erişimin kapanır.

8. Günlükler ve anonim ziyaret sayımı

Hizmet Cloudflare Workers üzerinde çalışır ve Workers Observability günlükleri kalıcı olarak açıktır (istek başına çağrı günlükleri kapalıdır). Uygulamanın kendi yazdığı günlük satırları şunlardır: API istekleri için adres yolu (masa kodu :code ile maskelenir), yöntem, durum kodu ve gerçek zamanlı süre (durationMs); istek hatalarında yol ve yöntem; hata sınıfı adları. Bu satırlara başlık, çerez, oyuncu belirteci, istek gövdesi, sorgu dizesi, IP adresi ve masa kodu yazılmaz. Cloudflare ayrıca platform düzeyinde kendi istek ve altyapı günlüklerini ve analizlerini tutar (IP adresi dahil olabilir); bunların kapsamı ve süresi Cloudflare’ın kendi politikasına tabidir.

Anonim, çerezsiz, toplu ziyaret sayımı: Oyun sayfası her açılışta bir kez, tarayıcın “Takip Etme” (DNT) veya Global Privacy Control (GPC) sinyali göndermiyorsa, /api/v adresine küçük bir bildirim gönderir. Yalnızca toplu sayaç artırılır: gün (UTC), kanal (doğrudan/bilinmeyen, oda daveti, sosyal veya kampanya), giriş türü (ana sayfa veya davetle katılma), arayüz dili ve varsa izin verilen listedeki bir kampanya adı. Sayaçlar veritabanındaki visit_counts tablosunda tutulur ve 400 gün sonra silinir. Günlük sayaç üst sınırına (20.000) ulaşılırsa o gün için kimlik içermeyen tek bir işaret satırı eklenir ve sonraki ziyaretler o gün sayılmaz. Çerez, kimlik, kullanıcı aracısı, adres, yönlendiren sayfa veya masa kodu saklanmaz ve sayım bir kişiyle ilişkilendirilemez. Bu istek de diğer API istekleri gibi genel IP tabanlı hız sınırından geçer: IP adresi Cloudflare’ın hız sınırlama hizmetine geçici olarak anahtar olarak verilir, sayaç tablosuna yazılmaz.

Hata raporları: Oyun sayfanda bir hata oluşursa tarayıcın, hatanın türünü, kişisel veri içerebilecek her şeyden (sayılar, tırnak içi metinler, adresler, e-postalar, oda kodları, kelimeler) arındırılmış kısa bir açıklamasını, kendi kodumuzdaki en çok üç konumu, sürüm numarasını, sayfa türünü (ana sayfa, oyun, rehber veya diğer) ve arayüz dilini bize bildirir. Bu bilgiler veritabanındaki error_fingerprints ve error_counts tablolarında, hata başına bir kayıt ve günlük sayaçlar olarak tutulur ve 90 gün sonra silinir. Adresin, oda kodun, takma adın, IP adresin, tarayıcı bilgin veya bir tanımlayıcı gönderilmez ve saklanmaz; çerez kullanılmaz ve rapor bir kişiyle ilişkilendirilemez. Raporlar yalnızca oyunu çalışır tutmak ve hataları düzeltmek için kullanılır. Tarayıcında “Takip Etme” (DNT) veya Global Privacy Control (GPC) açıksa hiçbir hata raporu gönderilmez. Bu istek de diğer API istekleri gibi genel IP tabanlı hız sınırından geçer; IP adresi yalnızca geçici olarak Cloudflare’ın hız sınırlama hizmetine anahtar olarak verilir ve sayaç tablolarına yazılmaz.

9. Haklarınız ve başvuru

KVKK md. 11 uyarınca: verilerinin işlenip işlenmediğini öğrenme; işlenmişse bilgi isteme; amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; KVKK md. 7 çerçevesinde silinmesini veya yok edilmesini isteme; bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme; otomatik sistemlerle analiz sonucu aleyhine bir sonuca itiraz etme; kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etme haklarına sahipsin.

Başvuru ve silme talebi: [email protected] adresine, takma adını, varsa Google hesabının e-posta adresini ve ilgili masa kodlarını belirterek yaz. Otomatik bir hesap silme veya veri indirme ekranı şu an yoktur; talepler elle işlenir ve en geç 30 gün içinde yanıtlanır. Misafir verilerinde (anahtar yalnızca cihazında olduğu için) kimliğini doğrulamak için masa kodu ve takma ad gibi bilgiler istenebilir. Kişisel Verileri Koruma Kurulu’na şikâyet hakkın saklıdır.

10. Değişiklikler ve yürürlük

Bu metin 18 Ekim 2026 tarihinde yürürlüğe girmiştir. Değişiklikler bu sayfada yayımlanır ve güncelleme tarihi yukarıda belirtilir.