HeartShard

Gizlilik Politikası ve KVKK Aydınlatma Metni

Sürüm 2026-11-03 · Son güncelleme: 3 Kasım 2026

Kısaca: Oyunu oynatmak için gereken kadar veri tutarız. E-posta adresini ve şifrenin tek yönlü özetini yalnızca hesabını kalıcı yaparsan alırız. Veriler Almanya'da (Nürnberg, AB) bir sunucuda durur; yedeklerin şifreli bir kopyası Finlandiya'dadır (Helsinki, AB). Oyunda reklam göstermeyiz, verini satmayız ve izleme aracı ya da reklam pikseli kullanmayız; reklamlarımızın işe yarayıp yaramadığını yalnızca linkteki kampanya etiketiyle ve toplu sayılarla ölçeriz. Hesabını oyunun içinden silebilirsin.

1. Veri sorumlusu

HeartShard, bağımsız bir geliştirici tarafından geliştirilen ve işletilen bir tarayıcı oyunudur ("biz"). 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve AB Genel Veri Koruma Tüzüğü ("GDPR") bakımından veri sorumlusu biziz. Her türlü soru ve başvuru için: support@heartshard.com.

2. Hangi verileri işliyoruz

• Misafir hesap: rastgele üretilen bir oturum anahtarı ve hesap numarası. Anahtar tarayıcının yerel deposunda (localStorage) durur; sunucuda yalnızca tek yönlü özeti (SHA-256) saklanır.
• Kalıcı hesap: e-posta adresin, şifrenin Argon2 ile alınmış tek yönlü özeti (şifrenin kendisini saklamayız, göremeyiz), doğum yılın (yalnızca yaş sınırı için) ve Kullanım Koşulları ile bu metni hangi tarihte ve hangi sürümüyle onayladığın.
• Google ile giriş: "Google ile giriş"i ya da "Google ile kalıcı yap"ı seçersen Google bize Google hesabının değişmeyen kimlik numarasını ("sub") ve Google'ın doğruladığı e-posta adresini gönderir. Bu ikisini, her girişte seni aynı hesaba almak ve aynı e-postayla açılmış bir hesabı Google hesabına bağlamak için saklarız. Google'daki adın, profil fotoğrafın ya da başka bilgilerin saklanmaz; Google şifreni hiçbir zaman görmeyiz. Google ile açılan hesabın şifresi olmaz ve doğum yılı sorulmaz.
• Oyun verileri: karakter adların ve görünümleri, seviyeler, eşyalar, altın, banka, görevler, haritadaki konum, oynama süresi; arkadaş, lonca, oyun içi posta, müzayede ve takas kayıtları.
• Hesaptaki ayarlar ve engel listesi: her cihazda aynı olsun diye tuş atamaların, ses, sohbet ve küfür süzgeci, oyun ayarların ve engellediğin oyuncular hesabında saklanır; arayüz düzeni, arayüz boyutu, kamera ve kare hızı cihaz türüne göre (bilgisayar, tablet, telefon) ayrı saklanır. Dil seçimi yalnızca cihazında kalır.
• Giriş kayıtları: oyuna her girişte saat, giriş türü (şifre, Google, misafir, kayıt), cihaz türü (yalnızca "Chrome · Android" gibi tarayıcı ve işletim sistemi ailesi), IP adresinin maskeli hali (ör. 85.105.x.x) ve IP adresinin gizli bir anahtarla alınmış tek yönlü özeti. Ayarlar → Hesap'ta son girişlerini görmen, "Bütün cihazlardan çık" ve yasaklı bir hesabın yeni bir hesapla dönmesini fark etmek için kullanılır. Moderatörler bu kayıtları göremez.
• Reklam kaynağı: oyuna bir reklam ya da paylaşım linkiyle geldiysen, hesabın açılırken linkteki kampanya etiketi (utm_source, utm_medium, utm_campaign ya da ref; ör. "instagram/kasim") bir kez hesabına yazılır; davet linkiyle geldiysen "davet", linksiz geldiysen "doğrudan". Reklam platformlarının tıklama kimlikleri (gclid, fbclid, ttclid, msclkid gibi) okunmaz ve adres çubuğundan silinir. Etiket cihazına yazılmaz.
• Şifre sıfırlama: "Şifremi unuttum"u kullanırsan, e-posta adresin bir hesaba aitse o adrese 6 haneli bir kod göndeririz. Kodun yalnızca tek yönlü, tuzlu özetini (SHA-256), hangi hesaba ait olduğunu, yanlış deneme sayısını ve ne zaman geçersiz olacağını saklarız. E-posta adresini yalnızca giriş ve şifre sıfırlama için kullanırız; bülten ya da reklam göndermeyiz.
• Sohbet: sohbet mesajları sunucuda saklanmaz. Bir oyuncu birini şikâyet ettiğinde, şikâyetin öncesindeki sohbet satırları incelenmek üzere şikâyetle birlikte kaydedilir.
• Oyuncu mektupları: oyuncular arasındaki mektuplar (konu, metin, ekler) sunucuda saklanır: okuyan silene kadar; okunmamış ya da içinde ek bekleyenler en çok 30 gün (sonra yazana döner ya da biter). Okuyan silince yazı hemen silinir. Hesap silinince posta kutun ve yazdığın mektupların yazısı ve adın silinir. Yönetim paneli mektup yazısını görmez; büyük mektupların kaydında yalnızca kim, kime, ne olduğu vardır.
• Hata bildirimleri: yazdığın metin, karakterin, harita ve konum, oyun sürümü, tarayıcı bilgisi (user agent), ekran boyutu, dil ve saat.
• Çökme raporları: oyun sayfası beklenmedik bir hatayla karşılaşırsa hatanın iletisi ve yeri, oyun sürümü, karakter numaran ve kaba bir cihaz sınıfı (telefon, tablet ya da bilgisayar; Chrome ya da Safari gibi tarayıcı ailesi; tarayıcının bildirdiği cihaz belleği, GB) otomatik gönderilir. Aynı hatalar tek kayıtta toplanır; 30 gün görülmeyen kayıt silinir.
• Hile denetimi: sunucu, oyunun kurallarına uymayan hareketleri (ör. çok hızlı hareket ya da istek) karakter ve hesap numarasıyla, türü ve zamanıyla kaydeder. Bu kayıtlar 30 gün sonra silinir; onlardan hesaplanan ve zamanla azalan şüphe puanı karakterle birlikte silinir.
• Moderasyon ve güvenlik: uyarı, susturma ve uzaklaştırma kayıtları; yönetim işlemlerinin denetim kaydı. IP adresin bağlantı ve kötüye kullanım sınırları için anlık olarak işlenir; sunucu günlüklerinde kısa süre kalabilir. Yasaklı bir hesapla aynı IP özetinden ya da tarayıcıda kalmış yasaklı bir oturumdan açılan yeni hesap incelenmek üzere işaretlenir; bu otomatik bir yasak değildir, kararı bir insan verir.
• Moderatörler: oyunun düzeni için görevlendirdiğimiz moderatörler oyuncuları ve şikâyetleri görür; uyarır, en çok 24 saat susturur, oyundan çıkarır, şikâyetleri ve hata bildirimlerini kapatır. E-posta adreslerini ve IP bilgilerini göremez, yasaklayamaz. Şikâyetin ya da hata bildirimin kapanınca sana oyun içi bir mektup gider; mektup şikâyet ettiğin oyuncunun adını ya da notunu içermez.
• İstatistik: hangi gün oynandığı (hesap numarasıyla) ve çevrimiçi oyuncu sayısı gibi toplu sayılar; bir gün açılan hesapların kaçının 1., 7. ve 30. gün döndüğü (reklam kaynağına göre) ve yeni oyuncuların ana hikâyenin hangi perdesinde bıraktığı yalnızca toplu sayı olarak tutulur.

3. Cihazında tutulanlar

Çerez kullanmayız. Tarayıcının yerel deposunda oturum anahtarın, son oynadığın karakter ve oyun ayarların durur; "Bilgilerimi kaydet"i seçersen e-posta adresin de. Şifren, seçersen yalnızca tarayıcının kendi şifre yöneticisinde tutulur; biz onu yerel depoya yazmayız. Yazı tipleri de dahil oyunun bütün dosyaları kendi sunucumuzdan gelir. Tek istisna Google ile giriştir: düğmesi yalnızca başlangıç ekranında ve misafir hesabını kaydetme formunda Google'ın sunucusundan (accounts.google.com) yüklenir; Google bu sırada IP adresini ve tarayıcı bilgilerini kendi gizlilik politikasına göre işler ve kendi çerezlerini kullanabilir. Oyunun geri kalanında başka bir şirketin sunucusuna istek gitmez. Reklam, analiz ya da izleme hizmeti kullanmayız: reklam platformlarının pikseli ya da etiketi (Meta, Google, TikTok gibi) oyunda yoktur, cihaz parmak izi almayız. Linkteki kampanya etiketi cihazına yazılmaz.

4. Amaçlar ve hukuki sebepler

• Oyunu sunmak, hesabını ve ilerlemeni (hesaptaki ayarların ve engel listen dahil) saklamak, giriş yapmanı sağlamak (Google ile giriş dahil): sözleşmenin kurulması ve ifası (KVKK m.5/2-c; GDPR m.6/1-b).
• Hesabını korumak (son girişler, bütün cihazlardan çıkış), yasak kaçışını fark etmek, hangi reklamın oyuncu getirdiğini ve oyuncuların oyunda kalıp kalmadığını toplu sayılarla ölçmek: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
• Yaş sınırını uygulamak, onayını kayıt altına almak: hukuki yükümlülük ve meşru menfaat (KVKK m.5/2-ç ve f; GDPR m.6/1-c ve f).
• Hile ve kötüye kullanımı önlemek, oyuncuları korumak, şikâyetleri ve hata bildirimlerini incelemek, sistemin güvenliği ve yedeklenmesi: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
• Yasal taleplere yanıt vermek: hukuki yükümlülük (KVKK m.5/2-ç; GDPR m.6/1-c).
• Şifreni unuttuğunda hesabına yeniden girebilmen için e-posta adresine sıfırlama kodu göndermek: sözleşmenin ifası (KVKK m.5/2-c; GDPR m.6/1-b).

Verilerini pazarlama için kullanmayız ve açık rızaya dayanan bir işleme yapmayız.

5. Verilerin nerede tutulduğu ve aktarım

Oyunun sunucusu ve veritabanı, Hetzner'in Nürnberg (Almanya, AB) veri merkezinde kiraladığımız sunucudadır. Hetzner bizim için barındırma hizmeti verir ve verilerini kendi amaçları için kullanamaz. Gecelik yedeklerin şifreli bir kopyası, yine Hetzner'in Helsinki (Finlandiya, AB) veri merkezindeki bir depolama alanında tutulur; şifre anahtarı yalnızca bizdedir. Türkiye'den oynayanlar için bu, yurt dışına bir aktarımdır; aktarım KVKK m.9'daki şartlara uygun olarak ve yalnızca hizmeti sunmak için gerektiği ölçüde yapılır.

Google ile giriş yaparsan giriş işlemini Google LLC (ABD) kendi gizlilik politikasına göre yürütür ve bu işlem için bağımsız veri sorumlusudur; bize yalnızca 2. bölümdeki iki bilgiyi iletir. Biz Google'a oyundaki verilerini göndermeyiz.

Verilerini satmayız ve reklam amacıyla kimseyle paylaşmayız. Yalnızca yasal bir zorunluluk olduğunda yetkili mercilerle paylaşabiliriz.

E-posta gönderimi: şifre sıfırlama e-postaları heartshard.com alan adının Google Workspace hesabı üzerinden gönderilir. Google bu iş için bizim adımıza veri işleyendir: e-posta adresini ve e-postanın içeriğini yalnızca e-postayı iletmek için işler ve kendi amaçları için kullanamaz. Google'ın sunucuları AB ve Türkiye dışında da olabildiğinden bu bir yurt dışı aktarımıdır; aktarım KVKK m.9'daki şartlara uygun olarak ve yalnızca e-postayı iletmek için gerektiği ölçüde yapılır.

6. Saklama süreleri

• Hesap verileri, hesabın açık olduğu sürece saklanır.
• Hesap silme: Ayarlar → Hesap → "Hesabımı sil" ile şifreni yazarak (Google ile açılmış, şifresi olmayan hesapta düğmeyi basılı tutarak) hesabını silebilirsin. Hesap 30 gün bekler; bu sürede giriş yaparsan (Google ile de) silme iptal olur. 30 günün sonunda hesap, karakterler ve onlara bağlı veriler kalıcı olarak silinir ve karakter adların başkaları için boşa çıkar. Misafir hesap, onaydan hemen sonra silinir.
• Yedekler: veritabanının her gece yedeği alınır; yedekler ve şifreli uzak kopyaları (Helsinki) 14 gün saklanır. Silinen veriler bu yüzden en geç 14 gün sonra yedeklerden de çıkar.
• Giriş kayıtları 30 gün sonra silinir.
• Reklam kaynağı etiketi hesap açıldıktan 35 gün sonra hesaptan silinir; geriye yalnızca kaynağa ve güne göre toplu sayılar kalır.
• Hangi gün oynandığının hesap numarasıyla kaydı 3 gün sonra silinir; ondan sayılan toplu sayılar kalır.
• Şifre sıfırlama kodları 15 dakika geçerlidir; kullanılınca hemen, süresi dolunca en geç bir saat içinde silinir.
• Yönetim paneli girişlerinin IP adresleri 30 gün sonra silinir.
• Başka oyuncuları ilgilendiren kayıtlar (şikâyet edilen bir sohbet, hesap numarasıyla tutulan moderasyon kaydı), oyunun düzeni ve güvenliği için hesabın silindikten sonra da kalabilir.
• Uzun süre (en az 12 ay) kullanılmayan misafir hesapları silinebilir.

7. Güvenlik

Bağlantılar HTTPS ile şifrelenir. Şifreler Argon2 ile, oturum anahtarları SHA-256 ile tek yönlü özet olarak saklanır; giriş kayıtlarındaki IP özeti, sunucudaki gizli bir anahtarla alınır. Uzak yedek kopyası şifrelidir. Veritabanı internete açık değildir; sunucuya yalnızca yetkili kişi anahtarla erişir. Hiçbir sistem tam güvenli değildir; bir veri ihlali olursa yasaların öngördüğü şekilde seni ve yetkili kurumu bilgilendiririz.

8. Yaş sınırı

Kalıcı hesap 16 yaş ve üstü içindir; kayıtta doğum yılını sorarız ve 16 yaşından küçükler kalıcı hesap açamaz. Misafir olarak ya da Google ile oynayan da 16 yaşında ya da daha büyük olduğunu onaylamış olur. 16 yaşından küçük birine ait veri tuttuğumuzu öğrenirsek o hesabı sileriz.

9. Hakların

KVKK m.11 uyarınca; verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmişse düzeltilmesini, silinmesini ya da yok edilmesini ve bunların aktarıldığı kişilere bildirilmesini isteme, yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etme haklarına sahipsin. GDPR kapsamında ayrıca işlemenin kısıtlanmasını, verilerin taşınabilir bir biçimde verilmesini isteme ve meşru menfaate dayanan işlemeye itiraz etme hakların vardır.

Başvurunu, hesabına kayıtlı e-posta adresinden support@heartshard.com adresine yazarak yapabilirsin; en geç 30 gün içinde yanıtlarız. Yanıtımızı yeterli bulmazsan Kişisel Verileri Koruma Kurulu'na ya da AB'de yaşıyorsan bulunduğun ülkenin veri koruma otoritesine şikâyette bulunabilirsin.

10. Değişiklikler

Bu metni değiştirirsek yeni sürümü bu sayfada yayımlar ve sürüm tarihini güncelleriz. Kalıcı hesaplara bir sonraki girişte yeni sürüm gösterilir ve onay istenir.