Gizlilik Politikası ve KVKK Aydınlatma Metni

castle, tarayıcıda oynanan, piksel sanatlı bir strateji oyunudur; 13 yaş ve üstü içindir. Bu metin, castle'ı kullanırken hangi kişisel verilerin işlendiğini, neden işlendiğini, kimlerle paylaşıldığını ve haklarınızı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında açıklar.

1. Veri sorumlusu

enginar (Can Başoğlu), İzmir, Türkiye · İletişim: hello@enginar.dev

2. Hangi verileri işliyoruz?

Yalnızca castle'ın çalışması için gerekenleri tutarız:

Kullanıcı adı: hesabı tanımak ve giriş. Gerçek adını kullanıcı adı yapma.
Parolanın özeti (Argon2id): giriş. Parolanın kendisi saklanmaz; özet geri çevrilemez.
Yaş grubu (13–17 ya da 18 ve üstü): hesabın hangi yolla onaylanacağını bilmek. Yaşın kendisi saklanmaz. 13 yaşından küçükler hesap açamaz; bu durumda hiçbir bilgi kaydedilmez.
E-posta adresi (13–17 yaşta velinin, 18 yaş ve üstünde oyuncunun kendi adresi): hesabı onaylamak, parola sıfırlama bağlantısı göndermek ve silme isteğinde hesabı tanımak. Pazarlama e-postası göndermeyiz.
Onay durumu ve zamanları: hesabın açıldığı, onay e-postasının gönderildiği, hesabın onaylandığı ve en son kullanıldığı zaman. Onaylanmamış ve uzun süre kullanılmayan hesapları zamanında silmek, e-posta gönderimini sınırlamak için.
Onay ve parola sıfırlama bağlantılarının özeti ve geçerlilik süresi: bağlantıyı doğrulamak. Bağlantının kendisi saklanmaz.
Kale kaydı: sefer, gün, yapılar, kapılar, tehdit defteri ve son kaydedildiği zaman; kaldığın yerden devam edebilmen için.
Oturum: tarayıcındaki rastgele kimliğin özeti, oturumun açıldığı ve sona ereceği zaman; giriş yapmış kalman için.
Giriş denemesi sınırları: bir kullanıcı adına yapılan başarısız deneme sayısı ve kilit süresi; parola tahminini engellemek için. Kullanıcı adının kendisi değil, geri çevrilemez bir özeti tutulur.
Gönderilen e-postaların zamanı ve türü (onay, parola sıfırlama, bildirim): bir adrese çok sayıda e-posta gönderilmesini engellemek için. Adresin kendisi değil, geri çevrilemez bir özeti tutulur.
Davet listesi: kapalı testte kimin hesap açabileceğini bilmek için davet edilen e-posta adresleri. Adres, sahibi hello@enginar.dev'e davet için yazdığında eklenir.
Sunucu kayıtları: kısaltılmış IP adresi (IPv4'te son bölümü, IPv6'da ilk 48 bit dışındaki kısmı silinmiş), zaman, istek türü, alan adı, sorgu bilgisi olmadan sayfa, yanıt durumu, aktarılan veri miktarı, geldiğin sayfa, tarayıcı bilgisi ve yanıt süresi; hizmetin güvenliği ve hataların bulunması için.

IP adresin hesabınla birlikte saklanmaz: kısa süreli deneme sınırları için yalnızca sunucunun belleğinde ve geri çevrilemez biçimde kullanılır, sunucu yeniden başlayınca silinir. Oyunun sunucusu kendi kayıtlarına kullanıcı adını, e-posta adresini, IP adresini, kale kaydını ya da gönderdiğin bilgileri yazmaz; yalnızca istek türünü, sayfanın şablonunu, yanıt durumunu ve süresini yazar.

castle'da reklam, analitik, takip çerezi ve yapay zekâ yoktur. Oyunda sohbet yoktur; oyuncular birbirinin bilgilerini görmez. Verilerini satmayız; reklam ya da profil çıkarma için kullanmayız.

3. Veli onayı (13–17 yaş)

13–17 yaşında bir oyuncu hesap açtığında, verdiği veli e-posta adresine bir onay bağlantısı göndeririz. Veli bağlantıyı açıp onaylayana kadar hesapla oyun oynanamaz ve kale sunucuya kaydedilmez. Onaylanmayan hesaplar, bağlantının süresi dolunca (7 gün) bütün bilgileriyle silinir. Parola sıfırlama bağlantıları da veli adresine gider. Bir veli adresiyle en fazla 3 hesap açılabilir.

18 yaş ve üstü oyuncular kendi e-posta adreslerini aynı yolla onaylar.

4. Verileri kimlerle paylaşıyoruz?

Verileri yalnızca hizmeti sunmak için çalıştığımız şu sağlayıcılarla, gereken ölçüde paylaşırız:

Hetzner (Almanya): castle'ın ve veritabanının çalıştığı sunucu; bu metinde sayılan verilerin tamamı burada tutulur.
Resend (ABD): onay ve parola sıfırlama e-postalarının gönderilmesi. Giden: e-postanın gideceği adres, kullanıcı adı ve e-postadaki bağlantı.
Cloudflare (ABD): alan adı kayıtları ve hello@enginar.dev adresine gönderilen e-postaların yönlendirilmesi. Oyunun trafiği Cloudflare'den geçmez.
Google (ABD): hello@enginar.dev'e gönderilen e-postalar (davet ve silme istekleri dahil), Cloudflare üzerinden e-posta kutumuza (Gmail) iletilir.
Cloudflare R2 (Avrupa Birliği): veritabanının şifreli günlük yedekleri. Yedekler bizim anahtarımızla şifrelenir.

Bu sağlayıcıların hepsi Türkiye dışındadır; onlara yapılan aktarımlar KVKK'nın 9. maddesi kapsamında yurt dışına aktarımdır.

E-postalar ABD'den gönderilir. Onay ve parola sıfırlama e-postaları Resend aracılığıyla gider. Resend ABD'de bir şirkettir; bu yüzden e-posta adresin, kullanıcı adın ve e-postadaki bağlantı, e-posta gönderilirken ABD'ye aktarılır. Bu aktarım olmadan hesap onaylanamaz ve parola sıfırlanamaz.

5. Hukuki sebep

Hesap ve oyun verileri: kaydolduğun hizmetin sunulması, yani sözleşmenin kurulması ve ifası (KVKK md. 5/2-c; GDPR md. 6/1-b).
Veli onayı: veli e-postadaki bağlantıyla onaylayana kadar 13–17 yaşındaki oyuncunun hesabı kullanılamaz; bu onay velinin açık rızasıdır (KVKK md. 5/1; GDPR md. 6/1-a ve md. 8).
Sunucu kayıtları ve güvenlik: erişim kayıtları, giriş denemesi ve e-posta gönderim sınırları, hizmetin güvenliği ve kötüye kullanımın önlenmesindeki meşru menfaatimize dayanır (KVKK md. 5/2-f; GDPR md. 6/1-f).
Yurt dışına aktarım: 4. bölümde sayılan sağlayıcılara yapılır ve KVKK'nın 9. maddesine tabidir.

6. Ne kadar saklıyoruz?

Hesap ve kale kaydı: hesap silinene kadar. 12 ay boyunca kullanılmayan hesap, kale kaydı ve oturumlarıyla birlikte kendiliğinden silinir.
Onaylanmamış hesaplar: onay bağlantısının süresi dolunca (son onay e-postasından 7 gün sonra) silinir.
Parola sıfırlama bağlantıları: 1 saat geçerlidir; kullanılınca ya da süresi dolunca silinir.
Oturumlar: 30 gün kullanılmazsa, her durumda girişten 90 gün sonra sona erer; çıkış yapınca hemen silinir.
Giriş denemesi sınırları: en geç kilit bittikten bir saat sonra silinir.
Gönderilen e-postaların zamanı: 24 saat sonra silinir.
Davet listesi: kapalı test sürdükçe. Davetinin silinmesini istersen hemen sileriz.
Sunucu kayıtları: erişim kayıtları 14 gün sonra silinir.
Yedekler: veritabanı her gün yedeklenir. Yedekler şifrelenir, Cloudflare R2'de Avrupa Birliği içinde saklanır ve 30 gün sonra kendiliğinden silinir. Bu nedenle silinen bir hesap silindikten sonra en fazla 30 gün boyunca yedeklerde kalabilir.

7. Tarayıcında saklananlar

Giriş yaptığında tarayıcına tek bir çerez koyarız: __Host-castle_sid. Tek amacı oturumunu tanımaktır; içinde rastgele bir kimlik vardır, adın ya da başka bir bilgin yoktur ve sayfanın kendisi onu okuyamaz. Reklam, analitik ya da takip çerezi yoktur.

Sunucuya henüz gönderilemeyen son değişiklikler (örneğin bağlantın koptuysa) kısa süre tarayıcında, localStorage içinde bekler ve gönderilince silinir. Çıkış yapınca bu tarayıcıdaki bekleyen kayıt da silinir. Hesaplar açılmadan önce hesapsız oynadığın bir kale bu tarayıcıda duruyorsa, ilk girişte onu hesabına taşımak isteyip istemediğin bir kez sorulur; seçiminden sonra tarayıcıdan silinir. Hesap açarken 13 yaşından küçük olduğunu seçersen, aynı sekmede yeniden denenmesin diye yalnızca bu sekme açık kaldıkça bir işaret tutulur (sessionStorage); yaşın yazılmaz.

8. Haklarınız

KVKK'nın 11. maddesi uyarınca verilerinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltilmesini ya da silinmesini isteme, aktarıldığı üçüncü kişileri öğrenme ve itiraz etme haklarına sahipsin.

Hesabını oyundaki Hesap ekranından istediğin an silebilirsin: hesabın, kale kaydın ve oturumların hemen silinir.
Aynı ekrandan kaleni ve hesap bilgilerini (yaş grubu ve e-posta dahil) dosya olarak indirebilirsin.
Hesabın silinmesini e-postayla da isteyebilirsin: hesaptaki e-posta adresinden (13–17 yaşta velinin adresinden) hello@enginar.dev'e yazman yeterli.

İsteklerine en geç 30 gün içinde yanıt veririz.

9. Değişiklikler

Bu metni değiştirirsek güncel hâlini bu sayfada yayımlar, önemli değişiklikleri hesaptaki e-posta adresine bildiririz.

castle bir enginar ürünü. Son güncelleme: 19 Ekim 2026.