PUKABU Global Gizlilik Politikası

PUKABU Global Gizlilik Politikası

Global çekirdek + Türkiye/KVKK + AB/AEA/GDPR + koşullu ABD/eyalet ekleri

NİHAİ METİN: Bu belge, Türkiye'de Kader Narin tarafından işletmeci ve veri sorumlusu sıfatıyla yayımlanır ve yayın tarihinde yürürlüğe girer. İletişim: pukabupuzzle@gmail.com.

1. Global ortak veri işleme gerçekleri

PUKABU, çevrimdışı ağırlıklı altı oyun içeren genel kitle bir bulmaca uygulamasıdır. bu politika, uygulamanın doğrulanmış doğrulanmış bağımlılık envanterinde görülen yerel profil, ilerleme, mağaza ödemesi, isteğe bağlı analiz/hata raporlama, reklam ve web bileşenlerini tek global çekirdekte açıklar.

Firebase Analytics, Firebase Crashlytics, Google Mobile Ads ve UMP production sürümünde etkin hizmetlerdir. Yerel profil ve oyun ilerlemesi cihazda kalır; yerel hukuka özgü haklar ayrı eklerde yer alır.

2. Veri sorumlusu ve iletişim

PUKABU hizmetinin işletmecisi ve veri sorumlusu Kader Narin'dir. İşletmeci Türkiye'dedir.

Genel gizlilik ve veri sahibi talepleri için elektronik başvuru kanalı: pukabupuzzle@gmail.com.

3. Toplanan ve toplanmayan veri kategorileri

Uygulama hesabı, sunucu tarafı kullanıcı profili veya sosyal paylaşım hizmeti sunulduğu doğrulanmamıştır. Yerel kullanıcı adı, avatar tercihi, oyun ilerlemesi, ayarlar, başarı ve puan verileri cihazda tutulur.

PUKABU uygulaması kredi kartı numarası, CVV veya ödeme kartı kimlik bilgisi istemez, işlemez veya saklamaz. Ödeme verileri Google Play veya Apple tarafından kendi sözleşmeleri kapsamında işlenir.

4. Yerel profil, kullanıcı adı ve galeri avatarı

Profil adı ve seçilen kuzgun/galeri avatarı cihaz içi kişiselleştirme içindir. Galeriden seçilen görsel, profil avatarına dönüştürülmek üzere cihaz üzerinde işlenir; mevcut ürün mimarisinde uygulama sunucusuna yükleme kanıtı yoktur. Fotoğrafın işletim sistemi seçicisi tarafından erişilebilir hâle getirilmesi, cihaz platformunun kendi izin ve gizlilik kontrollerine tabidir.

Kullanıcı, yerel profil verisini uygulama içindeki sıfırlama/silme işlevleri veya cihaz uygulama verisini temizleme araçlarıyla kaldırabilir. İlgili özellik sunulmadan öncende iOS fotoğraf kütüphanesi izin açıklaması ve platform bildirimleri son kez doğrulanmalıdır.

5. Shared Preferences ve cihaz içi ilerleme

Shared Preferences; dil, tema, seçilmiş profil, puan, rozet ve benzersiz tamamlanan puzzle kimlikleri gibi küçük yerel tercih/ilerleme kayıtları için kullanılır. Bu kayıtların olağan akışta PUKABU sunucusuna aktarımı gösterilmemiştir. Uygulamayı kaldırma veya platform verisini temizleme bu kayıtları silebilir.

6. StoreKit ve Google Play Billing

Premium satın alma ve abonelik işlemleri Apple StoreKit veya Google Play Billing üzerinden yürür. PUKABU, mağazanın döndürdüğü ürün, işlem durumu ve hak sahipliği bilgisini premium erişimini sağlamak ve satın almayı geri yüklemek amacıyla kullanabilir. Ödeme aracı verileri PUKABU tarafından alınmaz.

Abonelik yönetimi, iptal ve uygun olduğu ölçüde iade süreçleri ilgili mağaza hesabı ve zorunlu tüketici hukuku kapsamında yürür.

7. Firebase Analytics ve Crashlytics

Firebase Analytics production sürümünde anonim uygulama kullanım olaylarını ölçmek için; Firebase Crashlytics ise teknik çökme, hata ve performans tanılarını toplamak için etkindir. Bu akışlar uygulama/sürüm, cihazın teknik özellikleri, olay veya oturum bilgileri ve hata kayıtları gibi teknik verileri işleyebilir.

PUKABU Firebase setUserId kullanmaz; kullanıcı adı, e-posta, profil fotoğrafı, serbest kullanıcı içeriği veya oyun ilerlemesini Analytics ya da Crashlytics'e göndermez. Reklam kişiselleştirme sinyalleri varsayılan olarak kapalıdır.

8. Google Mobile Ads ve UMP

Ücretsiz sürümde reklam sunumu için Google Mobile Ads (AdMob) kullanılır; Premium sürüm reklam göstermez ve Premium etkin olduğunda yeni reklam isteği yapılmaz. Banner yalnız ana sayfadaki reklam alanında, interstitial yalnız gerçek oyun tamamlanmasından sonra kullanılabilir.

AEA, Birleşik Krallık ve İsviçre'de Google User Messaging Platform (UMP) rıza akışı reklam isteğinden önce uygulanır. UMP, yasal reklam ve veri işleme tercihlerini toplar; Apple App Tracking Transparency (ATT) izninin yerine geçmez. iOS'ta UMP tercihi takip edilebilir reklama izin veriyorsa ve ATT durumu henüz belirlenmemişse Apple'ın ayrı ATT sistem izni istenir. ATT reddedilmiş, kısıtlanmış veya belirlenmemişse IDFA kullanılmaz, uygulamalar arası tracking yapılmaz ve yalnız kişiselleştirilmemiş/sınırlı reklam istenir.

9. Image Picker, URL Launcher ve Package Info

Image Picker yalnız kullanıcının seçtiği yerel görseli profil avatarı amacıyla cihaz üzerinde işlemek için kullanılır. URL Launcher, e-posta veya mağaza/abonelik bağlantısını işletim sistemi ya da harici uygulamaya devreder; bu noktadan sonraki işleme ilgili sağlayıcının politikalarına tabidir. Package Info, uygulama adı ve sürümü gibi teknik bilgileri cihazdan okur.

10. Web CanvasKit/CDN aktarımı

Web sürümünde Flutter CanvasKit bileşenleri www.gstatic.com gibi bir CDN'den alınabilir. Bu istek sırasında IP adresi, kullanıcı aracısı, zaman ve istek başlığı gibi olağan HTTP metadata'sı CDN sağlayıcısına ulaşabilir. Self-hosting veya CDN seçimi ilgili özellik etkinleştirilmeden önce kesinleştirilmeli ve mağaza/web beyanlarıyla uyumlu olmalıdır.

11. Hukuki dayanaklar

Cihaz içi oyun ve profil işlevleri sözleşmenin kurulması/ifası veya kullanıcının talep ettiği hizmet; güvenlik ve hata önleme meşru menfaat; mağaza işlemleri sözleşme ve hukuki yükümlülük kapsamında değerlendirilir. Anonim kullanım ölçümü, teknik tanılama ve reklam için uygulanabilir hukukun gerektirdiği rıza ve UMP seçenekleri uygulanır; rıza olmadan reklam kişiselleştirmesi yapılmaz.

Bir özelliğin dayanağı mevcut yapılandırma ve gerçek veri akışıyla eşleşmiyorsa özellik etkinleştirilmez; politika ve izin akışı önce güncellenir.

12. Saklama ve silme

Yerel profil ve ilerleme, kullanıcı silene, uygulama verisini temizleyene veya uygulamayı kaldırana kadar cihazda kalabilir. Mağaza işlem kayıtları mağazanın ve zorunlu mali mevzuatın sürelerine tabidir. İletişim talepleri, talebin sonuçlandırılması ve hukuki uyuşmazlık/savunma süreleri kadar tutulur.

Firebase Analytics, Crashlytics ve AdMob tarafından işlenen teknik veriler ilgili sağlayıcı konsollarındaki yapılandırılmış saklama/silme kontrollerine ve uygulanabilir hukuka tabidir. Veri talepleri pukabupuzzle@gmail.com üzerinden iletilebilir; cihazdaki yerel profil ve oyun ilerlemesi bu SDK saklama akışına gönderilmez.

13. Uluslararası aktarım

Yerel profil, avatar, puan ve oyun ilerlemesi geliştirici sunucusuna gönderilmez. StoreKit/Google Play, CDN, Firebase Analytics/Crashlytics ve AdMob/UMP teknik hizmetleri farklı ülkelerde sağlayıcı altyapısı kullanabilir; aktarım, uygulanabilir KVKK/GDPR güvenceleri, sağlayıcı sözleşmeleri ve rıza/bildirim koşullarıyla sınırlıdır.

14. Güvenlik

Veri minimizasyonu, yerel saklama, erişim sınırlaması, bağımlılık sürüm takibi ve platform güvenlik kontrolleri uygulanır. Hiçbir teknik yöntem mutlak güvenlik garantisi vermez. Şüpheli olaylar ve veri talepleri pukabupuzzle@gmail.com adresine bildirilebilir.

15. 13+ hedef kitle ve çocuklara ilişkin politika

PUKABU genel kitle uygulamasıdır ve minimum yaş 13'tür. 13 yaş altındaki çocukları özellikle hedeflemez ve 13 yaş altından bilerek kişisel veri toplamaz. Uygulanabilir ülkede dijital rıza yaşı 13'ten yüksekse kullanıcı o yaş şartını sağlamalı veya gereken ebeveyn/vasi iznine sahip olmalıdır.

13 yaş altına ait kişisel veri işlendiği öğrenilirse ilgili kullanım durdurulur, veri işleme kaynağı incelenir ve veri hukuken saklama zorunluluğu yoksa silinir. Ebeveyn/vasi pukabupuzzle@gmail.com üzerinden başvurabilir. Bu yaklaşım, çocuklara yönelik bir hizmet veya COPPA ebeveyn onay sistemi kurulduğu anlamına gelmez.

Mağaza yaş derecelendirmesi ayrı bir içerik/mağaza sınıflandırmasıdır ve minimum kullanıcı yaşı kararının yerine geçmez.

16. Kullanıcı talepleri

Talepler pukabupuzzle@gmail.com adresine gönderilebilir. Kimlik doğrulama için talep ve riskle orantılı ek bilgi istenebilir; gereksiz kimlik belgesi toplanmaz. KVKK başvuruları en kısa sürede ve en geç 30 günde; GDPR uygulanıyorsa talepler kural olarak bir ay içinde yanıtlanır. Ret hâlinde gerekçe ve uygulanabilir şikâyet/yargı yolu bildirilir.

17. Türkiye / KVKK eki

Türkiye'deki işlemeler bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil düzenlemeler uygulanabildiği ölçüde geçerlidir. İlgili kişi; işleme olup olmadığını öğrenme, bilgi talep etme, amacı ve uygun kullanımı öğrenme, aktarım alıcılarını bilme, düzeltme, silme/yok etme ve bildirim isteme, münhasıran otomatik analiz sonucu aleyhe sonuca itiraz ve zararın giderilmesini talep haklarını kullanabilir.

Türkiye'ye özgü KVKK Aydınlatma Metni ve KVKK Başvuru Formu ayrı canonical belgelerdir. Yabancı dil sürümleri yalnız Türkiye'ye özgü bilgilendirici çeviridir; GDPR, CCPA/CPRA veya başka ülke hak/başvuru mekanizmasının yerine geçmez.

18. AB/AEA / GDPR eki

GDPR, AB/AEA'da yerleşik kişilere mal veya hizmet sunulması ya da davranışlarının izlenmesi gibi durumlarda ülke dışındaki bir işletmeciye uygulanabilir. İlgili özellik sunulmadan önce hedef pazar, mağaza dağıtımı, dil/para birimi ve gerçek izleme faaliyetleri temelinde Madde 3 değerlendirmesi belgelenmelidir.

GDPR uygulanıyorsa veri sorumlusu, amaç/dayanak, veri kategorileri, alıcılar, üçüncü ülke aktarım güvenceleri, saklama süresi ve erişim, düzeltme, silme, kısıtlama, itiraz, taşınabilirlik, rızayı geri çekme ve denetim makamına şikâyet hakları bildirilir. Hukuki veya benzer önemli etki doğuran yalnız otomatik karar/profil oluşturma bugün doğrulanmamıştır.

AB/AEA'da yerleşiklik yokken GDPR Madde 3(2) kapsamına girilirse Madde 27 temsilcisi gerekip gerekmediği, ara sıra ve düşük riskli işleme istisnası dâhil somut veri akışıyla değerlendirilmelidir. Bugün AB temsilcisi ve DPO atanmış değildir; var olmayan kişi/kurum yazılamaz. Gereklilik doğarsa atama ve iletişim bilgisi sunumdan önce giderilmesi gereken bir koşuldur.

19. ABD ve eyalet hakları - yalnız uygulanabildiği ölçüde

CCPA/CPRA'nın uygulanması otomatik kabul edilmez. 1 Ocak 2025 itibarıyla yıllık brüt gelir eşiği 26.625.000 USD'dir. Buna alternatif olarak 100.000 veya daha fazla California sakini/hanesinin kişisel bilgisini satın alma, satma veya paylaşma ya da yıllık gelirin en az yüzde 50'sini bu satış/paylaşımdan elde etme ölçütleri değerlendirilir.

Gelir, California kullanıcı/hanesi sayısı ve satış/paylaşım olguları doğrulanmadan CCPA hakkı varmış gibi beyan verilmez. Mevcut yerel-ağırlıklı mimaride kişisel bilgi satışı doğrulanmamıştır. Reklam etkinleştirilirse California 'sharing' tanımı, opt-out, hassas veri ve 16 yaş altı kullanıcı kuralları ayrıca incelenmelidir.

20. Değişiklikler ve yürürlük

Bu politika yayın tarihinde yürürlüğe girer. Yürürlükteki sürüm ve esaslı değişiklik özeti uygulama içi Hukuk Merkezi ile public hukuk sayfalarında eşzamanlı yayımlanır. Esaslı değişikliklerde uygulanabilir hukukun gerektirdiği bildirim ve rıza yenileme süreçleri işletilir.

Resmî referanslar

GDPR tam metin: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679

Avrupa Komisyonu - veri sahibi talepleri: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/dealing-requests-individuals_en

Avrupa Komisyonu - çocuk verileri: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/legal-grounds-processing-data/are-there-any-specific-safeguards-data-about-children_en

FTC - COPPA SSS: https://www.ftc.gov/business-guidance/resources/complying-coppa-frequently-asked-questions

California CPPA - 2025 eşikleri: https://cppa.ca.gov/announcements/2024/20241217.html

KVKK Kurumu - başvuru hakkı: https://www.kvkk.gov.tr/Icerik/2062/Basvuru-Hakki

KVKK Kurumu - cevaplama yükümlülüğü: https://www.kvkk.gov.tr/Icerik/2046/Ilgili-Kisiler-Tarafindan-Yapilan-Basvurularin-Cevaplanmasi-Yukumlulugu