Gizlilik Politikası ve KVKK Aydınlatma Metni

Yürürlük ve son güncelleme tarihi: 27 Eylül 2026 · Sürüm 2.2

Bu metin; Toffee Town mobil oyunu ("Oyun"), toffeetown.online internet sitesi ("Site") ve bunlara bağlı sunucu hizmetleri (birlikte "Hizmetler") kapsamında kişisel verilerinizin nasıl işlendiğini açıklar. Metin; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") m.10 uyarınca aydınlatma yükümlülüğünün yerine getirilmesi, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü ("GDPR") m.13-14, Birleşik Krallık GDPR'ı ve ABD Kaliforniya Tüketici Gizliliği Yasası ("CCPA/CPRA") dikkate alınarak hazırlanmıştır.

Kısaca: Oyun için adınızı, e-postanızı, telefon numaranızı, konumunuzu, rehberinizi, fotoğraflarınızı ya da cihazınızın donanım kimliklerini toplamıyoruz. Oyun, kendi ürettiği rastgele bir kimlikle çalışır. Verilerinizi satmayız. Oyunda yalnız sizin seçtiğiniz ödüllü reklamlar vardır (Google AdMob); AB/AEA ve Birleşik Krallık'ta kişiselleştirilmiş reklam için önce onayınız istenir. İstatistik gönderimini Ayarlar'dan kapatabilir, verilerinizin silinmesini toffeetown.online/delete üzerinden isteyebilirsiniz.

İçindekiler

1. Veri sorumlusu
2. İşlenen veriler
3. Amaçlar ve hukuki sebepler
4. Toplama yöntemi
5. Aktarım ve alıcılar
6. Yurt dışına aktarım
7. Saklama süreleri
8. Güvenlik
9. Haklarınız ve başvuru
10. Veri silme
11. Satın alımlar
12. Reklamlar ve üçüncü taraf SDK'lar
13. Bildirimler
14. Site ve çerezler
15. Çocukların gizliliği
16. Otomatik karar verme
17. ABD (Kaliforniya) sakinleri
18. Değişiklikler
19. İletişim

1. Veri sorumlusu

KVKK m.3 ve GDPR m.4(7) anlamında veri sorumlusu: [Geliştirici adı / şirket unvanı], [açık adres] ("biz"). İletişim: destek@toffeetown.online.

2. İşlediğimiz kişisel veriler

KVKK m.6 ve GDPR m.9 kapsamındaki özel nitelikli kişisel verileri (sağlık, biyometrik, inanç vb.) işlemeyiz. Sunucumuz cihazınızın reklam kimliğini (GAID/IDFA), IMEI, MAC adresini, telefon numaranızı ya da hassas konumunuzu toplamaz; reklam kimliğini yalnız ödüllü reklamları sunan Google AdMob işler (§12).

3. İşleme amaçları ve hukuki sebepler

Meşru menfaate dayanan işlemelerde menfaat dengesi testi yapılmıştır: veriler takma adlıdır (pseudonymous), yalnız toplu istatistiğe dönüştürülür ve sizi reklam amacıyla profillemek için kullanılmaz. Ayarlar → "İstatistik gönderimi" anahtarı ile olay gönderimini dilediğiniz an durdurabilirsiniz (GDPR m.21 itiraz hakkı). Oyunun temel işleyişi için gerekli ilerleme ve lig verileri bu anahtardan etkilenmez.

4. Toplama yöntemi

Veriler; Oyun'un sunucumuzla şifreli (HTTPS/TLS) bağlantı üzerinden kurduğu otomatik iletişimle, kısmen otomatik yollarla ve e-posta ile bize yazdığınızda doğrudan sizden toplanır. Oyun çevrimdışıyken olaylar cihazınızda en fazla 500 kayıtlık bir kuyrukta bekletilir ve bağlantı kurulunca gönderilir.

5. Kişisel verilerin aktarıldığı alıcılar

Verileriniz, KVKK m.8-9 ve GDPR m.28 çerçevesinde yalnız aşağıdaki alıcı gruplarıyla ve yalnız belirtilen amaçla paylaşılır:

Diğer oyuncular yalnız oyuncu adınızı ve lig puanınızı haftalık lig tablosunda görür. Verilerinizi satmayız, kiralamayız ve üçüncü kişilerle pazarlama amacıyla paylaşmayız.

6. Yurt dışına aktarım

Sunucularımız Avrupa Birliği'nde (Belçika) bulunduğundan, Türkiye'de bulunan kullanıcıların verileri yurt dışına aktarılmış olur. Bu aktarım, KVKK m.9 (7499 sayılı Kanun ile değişik) uyarınca Kurul'ca ilan edilen standart sözleşmeler ve kanunda öngörülen diğer uygun güvenceler çerçevesinde yapılır. Google'ın destek ya da bakım amacıyla veriye AB dışından (ör. ABD) erişebilmesi hâlinde AB Komisyonu'nun Standart Sözleşme Hükümleri (SCC) ve Google LLC'nin katıldığı AB-ABD Veri Gizliliği Çerçevesi uygulanır. Güvencelerin bir örneğini bize yazarak isteyebilirsiniz.

7. Saklama süreleri

Süreler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve GDPR m.5(1)(e) "sınırlı saklama" ilkesi gözetilerek belirlenmiştir.

8. Veri güvenliği

KVKK m.12 ve GDPR m.32 uyarınca aldığımız başlıca teknik ve idari tedbirler: tüm iletişimde TLS şifrelemesi; Google altyapısında bekleyen verinin şifrelenmesi; cihaz anahtarının yalnız anahtarlı özetinin saklanması; imzalı ve süreli oturum belirteçleri; yönetim arayüzüne yalnız gizli anahtarla erişim ve bu anahtarın Secret Manager'da saklanması; yetki ve işlem kayıtlarının tutulması; istek hız sınırlaması; veri minimizasyonu. Bir veri ihlali durumunda KVKK m.12/5 ve GDPR m.33-34'teki bildirim yükümlülüklerini yerine getiririz.

9. Haklarınız ve başvuru yolu

KVKK m.11 uyarınca: kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde/dışında aktarıldığı üçüncü kişileri bilme; eksik ya da yanlış işlenmişse düzeltilmesini isteme; KVKK m.7 çerçevesinde silinmesini ya da yok edilmesini isteme; bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhinize bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

GDPR kapsamında ayrıca: erişim (m.15), düzeltme (m.16), silme (m.17), kısıtlama (m.18), veri taşınabilirliği (m.20), itiraz (m.21) ve rızaya dayalı işlemelerde rızayı geri çekme (m.7/3) haklarınız vardır.

Başvuru: Taleplerinizi destek@toffeetown.online adresine, oyun içinde Ayarlar ekranının altında görünen oyuncu kimliğinizi (ID) belirterek yazılı olarak iletebilirsiniz; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de sayılan diğer yollar (yazılı dilekçe, KEP) da kullanılabilir. Başvurular en geç 30 gün içinde ücretsiz sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarife uygulanabilir. Kimliğinizi doğrulamak için makul ek bilgi isteyebiliriz. Oyun hesabınız anonim olduğundan, oyuncu kimliğiniz olmadan sizi eşleştiremeyebiliriz.

Şikâyet: Başvurunuzun reddedilmesi, yanıtın yetersiz bulunması ya da süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na (kvkk.gov.tr) şikâyette bulunabilirsiniz. AB/AEA ve Birleşik Krallık'taki kullanıcılar yaşadıkları ülkenin veri koruma otoritesine başvurabilir.

10. Verilerinizin silinmesi

Sunucudaki verilerinizi üç yoldan sildirebilirsiniz: (1) Oyun içinden: Ayarlar → Hesap → "Hesabımı sil" (anında); (2) toffeetown.online/delete sayfasındaki talimatla; (3) oyuncu kimliğinizle e-posta ile. Silme; oyuncu profilinizi, ilerleme özetinizi, cihaz anahtarı özetinizi, hesap bağlantınızı, bulut yedeğinizi, bildirim bilgilerinizi, posta kutunuzu, lig kayıtlarınızı ve size ait ham olayları kapsar. Kişisel veri içermeyen toplu istatistikler ile yasal saklama yükümlülüğüne tabi satın alma kayıtları silinmez. Cihazınızdaki kayıt dosyası oyunu kaldırdığınızda silinir.

11. Uygulama içi satın alımlar

Satın alımlar Google Play veya Apple App Store üzerinden, bu platformların kendi gizlilik politikalarına tabi olarak gerçekleştirilir. Kart ve fatura bilgilerinizi görmeyiz ve saklamayız. Satın alımın doğrulanması için platformun bize ilettiği işlem kimliği, ürün kimliği, tutar ve para birimi işlenir.

12. Reklamlar ve üçüncü taraf SDK'lar

Oyun'da yalnız ödüllü reklamlar vardır: reklamı siz seçersiniz (ör. "Reklam izle · +1 can"); oyun kendiliğinden reklam açmaz, afiş (banner) ya da geçiş reklamı yoktur. Reklamları Google AdMob sunar. AdMob, reklam göstermek, ölçmek ve sahtekârlığı önlemek için cihazınızın reklam kimliğini (Android Advertising ID / iOS IDFA), IP adresini, cihaz ve uygulama bilgilerini ve reklam etkileşimlerini işler; bu işlemede Google bağımsız veri sorumlusudur (Google'ın ortak sitelerde veri kullanımı, Google Gizlilik Politikası).

Onay: AB/AEA, Birleşik Krallık ve İsviçre'de oyunun ilk açılışında Google'ın IAB TCF uyumlu onay ekranı (UMP) gösterilir; onay vermezseniz yalnız kişiselleştirilmemiş reklamlar gösterilir. Tercihinizi daha sonra aynı ekrandan değiştirebilirsiniz. Hukuki dayanak: kişiselleştirilmiş reklam için açık rıza (KVKK m.5/1, GDPR m.6(1)(a)); kişiselleştirilmemiş reklam ve sahtekârlık önleme için meşru menfaat. Reklam kimliğinizi cihaz ayarlarından sıfırlayabilir ya da silebilirsiniz. iOS'ta App Tracking Transparency izniniz olmadan takip yapılmaz.

Satın almalar Google Play Faturalandırma ile yapılır; satın almanın gerçekliği sunucumuzda Google Play'e sorularak doğrulanır. Oyunda başka bir üçüncü taraf analiz ya da takip SDK'sı yoktur.

13. Bildirimler

Bazı hatırlatmalar (ör. canlar doldu) cihazınızda yerel olarak planlanır. Diğer bildirimler (lig bitiyor, hediyen var, oyuna dönüş hatırlatması, kampanyalar) sunucumuzdan Firebase Cloud Messaging aracılığıyla, yalnız bildirim izni verdiyseniz, oyun dilinizde ve yerel saatinize göre sessiz saatler (21:00–10:00) dışında gönderilir; günlük ve haftalık gönderim sınırı uygulanır. Bildirimleri Ayarlar → Bildirimler'den ya da cihaz ayarlarından dilediğiniz an kapatabilirsiniz; kapattığınızda sunucumuz size bildirim göndermez.

14. Site ve çerezler

toffeetown.online sitesi çerez, piksel ya da üçüncü taraf takip aracı kullanmaz. Sayfaları sunarken yalnız §2'deki teknik kayıtlar (IP adresi dahil) güvenlik amacıyla 30 gün tutulur. Siteyi ziyaret etmeniz bir hesap oluşturmaz.

15. Çocukların gizliliği

Oyun genel kitleye yöneliktir; 13 yaşından küçük çocuklara yönelik değildir ve bilerek bu yaştaki çocuklardan kişisel veri toplamayız (ABD COPPA). AB/AEA'da dijital hizmetlere rıza yaşı ülkeden ülkeye 13 ile 16 arasında değişir; bu yaşın altındaysanız Oyun'u ebeveyninizin ya da vasinizin gözetiminde kullanmalısınız. Bir çocuğun bize veri ilettiğini fark eden ebeveynler bize yazabilir; ilgili verileri gecikmeksizin sileriz.

16. Otomatik karar verme ve profilleme

Sizin hakkınızda hukuki ya da benzer ölçüde önemli sonuç doğuran, yalnız otomatik işlemeye dayalı bir karar (GDPR m.22) vermiyoruz. Lig gruplarının oluşturulması ve hile tespitine yönelik basit sınır kontrolleri yalnız oyun deneyimini etkiler; bir kararın yanlış olduğunu düşünüyorsanız insan incelemesi isteyebilirsiniz.

17. ABD (Kaliforniya) sakinleri için ek bilgi

Son 12 ayda topladığımız kişisel bilgi kategorileri: tanımlayıcılar (rastgele oyuncu kimliği, IP adresi), internet ve ağ etkinliği (oyun olayları), çıkarımlar içermeyen oyun ilerleme bilgisi. Kişisel bilgilerinizi satmıyoruz; hassas kişisel bilgi toplamıyoruz. Ödüllü reklamları sunan Google AdMob, reklam kimliğinizi kişiselleştirilmiş reklam için kullanabilir; bu, CCPA anlamında "paylaşım" sayılabilir. Bundan cihazınızın reklam ayarlarından (Android: "Reklam kimliğini sil"; iOS: "Uygulamaların izlemek için izin istemesine izin ver" kapalı) vazgeçebilirsiniz; o durumda yalnız kişiselleştirilmemiş reklam gösterilir. Bilme, silme, düzeltme ve ayrımcılığa uğramama haklarınızı §9'daki yolla kullanabilirsiniz.

18. Politikadaki değişiklikler

Bu politikayı mevzuat ya da Hizmetler değiştikçe güncelleyebiliriz. Güncel metin her zaman bu sayfada, yürürlük tarihiyle birlikte yayımlanır. Önemli değişiklikleri Oyun içinde ya da uygulama mağazası sürüm notlarında ayrıca duyururuz; rızaya dayalı yeni bir işleme başlatmadan önce rızanızı alırız.

19. İletişim

[Geliştirici adı / şirket unvanı] · [açık adres] · destek@toffeetown.online · Destek sayfası

Privacy Policy

Effective and last updated: 27 September 2026 · Version 2.2

This policy explains how personal data is processed in connection with the Toffee Town mobile game (the "Game"), the toffeetown.online website (the "Site") and the related server services (together, the "Services"). It is written to meet the transparency requirements of the EU General Data Protection Regulation 2016/679 ("GDPR") Art. 13-14, the UK GDPR, the Turkish Personal Data Protection Law No. 6698 ("KVKK") and the California Consumer Privacy Act as amended by the CPRA ("CCPA"). If the Turkish and English versions differ, the Turkish version prevails to the extent permitted by the law applicable to you.

In short: we do not collect your name, email, phone number, location, contacts, photos or device hardware identifiers for the Game. The Game works with a random identifier it creates itself. We do not sell your data or share it with data brokers. The Game only has rewarded ads that you choose to watch (Google AdMob); in the EU/EEA and UK your consent is asked before any personalised ads. You can turn off statistics in Settings and request deletion at toffeetown.online/delete.

1. Controller

[Developer name / company], [full address] ("we"). Contact: destek@toffeetown.online.

2. Personal data we process

We do not process special categories of data (GDPR Art. 9). Our server does not collect your advertising ID (GAID/IDFA; only Google AdMob processes it to serve rewarded ads, see §12), IMEI, MAC address, phone number or precise location.

3. Purposes and legal bases

For processing based on legitimate interests we carried out a balancing test: the data is pseudonymous, used only for aggregate statistics and never for advertising profiling. You can stop event sending at any time with Settings → "Send statistics" (your right to object, Art. 21). Progress and league data needed for the Game to work are not affected by this switch.

4. How we collect data

Automatically, through the Game's encrypted (HTTPS/TLS) connection to our server, and directly from you when you email us. While offline, events wait in an on-device queue of at most 500 entries and are sent when a connection is available.

5. Recipients

Other players see only your player name and league score in the weekly league table. We do not sell or rent your data and do not share it with third parties for marketing.

6. International transfers

Our servers are located in the European Union (Belgium). Where Google may access data from outside the EEA (e.g. the US) for support or maintenance, the European Commission's Standard Contractual Clauses and Google LLC's certification under the EU-U.S. Data Privacy Framework apply. For users in Türkiye, transfers are made under KVKK Art. 9 using the standard contracts announced by the Turkish DPA and other appropriate safeguards. You may request a copy of the safeguards.

7. Retention

8. Security

Our measures under GDPR Art. 32 include: TLS encryption in transit; encryption at rest on Google infrastructure; storing only a keyed hash of the device key; signed, expiring session tokens; admin access only with a secret key kept in Secret Manager; audit logs of admin actions; rate limiting; data minimisation. In the event of a personal data breach we will notify the competent authority and, where required, you (GDPR Art. 33-34; KVKK Art. 12(5)).

9. Your rights

You have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20), to object (Art. 21) and, where processing is based on consent, to withdraw consent at any time (Art. 7(3)). Users in Türkiye have the rights listed in KVKK Art. 11.

How to make a request: email destek@toffeetown.online and include your player ID, shown at the bottom of the Settings screen in the Game. We respond within one month (30 days under KVKK) free of charge. We may ask for reasonable information to verify the request. Because your game account is anonymous, we may be unable to identify you without your player ID.

Complaints: you may lodge a complaint with the data protection authority of your country of residence or workplace (in Türkiye: the Personal Data Protection Authority, kvkk.gov.tr; in the UK: the ICO).

10. Deleting your data

You can delete your server-side data in three ways: (1) in the Game: Settings → Account → "Delete my account" (immediate); (2) following the steps at toffeetown.online/delete; (3) by email with your player ID. Deletion covers your player profile, progress summary, device key hash, account link, cloud backup, notification data, mailbox, league records and raw events linked to you. Aggregate statistics containing no personal data and purchase records subject to statutory retention are not deleted. The save file on your device is removed when you uninstall the Game.

11. In-app purchases

Purchases are made through Google Play or the Apple App Store and are subject to their privacy policies. We never see or store your card or billing details. To verify a purchase we process the transaction ID, product ID, amount and currency provided by the platform.

12. Advertising and third-party SDKs

The Game only has rewarded ads: you choose to watch them (e.g. "Watch an ad · +1 life"); the Game never opens an ad on its own and has no banner or interstitial ads. Ads are served by Google AdMob. To show and measure ads and prevent fraud, AdMob processes your device's advertising ID (Android Advertising ID / iOS IDFA), IP address, device and app information and ad interactions; Google acts as an independent controller for this processing (how Google uses data from partner apps, Google Privacy Policy).

Consent: in the EU/EEA, UK and Switzerland, Google's IAB TCF-compliant consent screen (UMP) is shown on first launch; if you do not consent, only non-personalised ads are shown. You can change your choice later from the same screen. Legal basis: consent for personalised ads (GDPR Art. 6(1)(a)); legitimate interests for non-personalised ads and fraud prevention. You can reset or delete your advertising ID in your device settings. On iOS, no tracking happens without App Tracking Transparency permission.

Purchases use Google Play Billing; we verify each purchase with Google Play from our server. The Game contains no other third-party analytics or tracking SDK.

13. Notifications

Some reminders (e.g. lives refilled) are scheduled locally on your device. Other notifications (league ending, gift waiting, come-back reminders, campaigns) are sent from our server via Firebase Cloud Messaging, only if you allowed notifications, in your game language and outside quiet hours (21:00–10:00 your local time), with daily and weekly limits. You can turn them off at any time in Settings → Notifications or in your device settings; our server then sends you none.

14. Website and cookies

toffeetown.online uses no cookies, pixels or third-party trackers. When serving pages, only the technical logs described in §2 (including IP address) are kept for 30 days for security purposes.

15. Children

The Game is intended for a general audience and is not directed to children under 13; we do not knowingly collect personal data from them (US COPPA). The age of digital consent in the EU/EEA ranges from 13 to 16 depending on the country; if you are below that age, use the Game under the supervision of a parent or guardian. Parents who believe their child has provided data to us can contact us and we will delete it without undue delay.

16. Automated decision-making

We do not make decisions based solely on automated processing that produce legal or similarly significant effects (Art. 22). League grouping and simple anti-cheat limit checks only affect gameplay; you may request human review.

17. Notice to California residents

Categories collected in the last 12 months: identifiers (random player ID, IP address), internet or network activity (game events) and game progress information. We do not sell personal information and collect no sensitive personal information. Google AdMob, which serves the rewarded ads, may use your advertising ID for personalised ads, which may count as "sharing" under the CCPA. You can opt out in your device's ad settings (Android: "Delete advertising ID"; iOS: turn off "Allow Apps to Request to Track"); only non-personalised ads are then shown. You may exercise your rights to know, delete and correct, and to non-discrimination, as described in §9.

18. Changes

We may update this policy when the law or the Services change. The current version is always published on this page with its effective date. We will announce material changes in the Game or in the store release notes, and ask for your consent before starting any new consent-based processing.

19. Contact

[Developer name / company] · [full address] · destek@toffeetown.online · Support