Who is responsible?

Data controller: [DOLDURULACAK — legal entity and address]. Privacy contact: [DOLDURULACAK — email]. These details must be completed before publication. Chess65 can be played as a guest; an account is needed for ranked play and saved progression.

What we collect and why

• Account: username, Firebase user ID, provider and email (where supplied), a hashed session token, settings, deck, owned items, rating, XP and season progress. Used to authenticate you, save progress and provide the game. Passwords are handled by Firebase Authentication and are not stored in our game database.
• Matches: player identifiers and names, moves, card actions, result, ratings and timestamps. Used for matches, rankings, dispute resolution and each opponent’s match history.
• Chat: short messages or preset messages, sender name and time in a match room. Used to deliver chat and moderate abuse.
• Technical data: IP address in short-term rate-limit keys, request information processed by Cloudflare, and local browser settings including language, sound, guest puzzle streak and consent choice. Used to operate, secure and remember preferences.
• Payments, if enabled: purchase status, item, amount, currency and Stripe customer reference. Payment card details go to Stripe; they are not stored in the game database.

Under GDPR, account and match processing generally supports performance of the service contract; security, abuse prevention and integrity rely on legitimate interests; legal accounting records rely on legal obligations; optional analytics relies on consent. Under KVKK, processing must also meet the applicable conditions of Law No. 6698; optional analytics is used only with explicit choice. Exact legal bases and cross-border arrangements require review by the controller before launch.

Providers and transfers

Cloudflare serves the website and runs game infrastructure. Google/Firebase provides sign-in. If payments are switched on, Stripe processes checkout and billing. Google Analytics 4 is loaded only after analytics consent. Sentry error reporting is disabled while no DSN is configured; if enabled later, this notice will be updated before use. These providers may process data outside your country; transfer mechanisms and locations: [DOLDURULACAK].

How long data stays

• Game sessions expire after 30 days; expired sessions are removed on subsequent account activity.
• Rate-limit windows last 15 minutes or one hour; expired keys are removed during later rate-limited requests.
• Chat is limited to the most recent 60 messages in a room; an inactive room and its chat are removed after about 24 hours.
• Account and progression remain until account deletion. On deletion, match records keep the opponent’s history but your ID is removed and your displayed name becomes “Deleted player.”
• Payment records, where applicable, may need longer legal retention: [DOLDURULACAK — period and legal basis]. Firebase and provider backups follow their applicable retention rules.

Cookies, local storage and choices

Essential browser storage remembers your game preferences and session. Optional analytics is off until you accept it. Accept, reject and settings are offered on the consent banner; you can change your choice here at any time: Cookie settings. Rejecting analytics does not stop the game. The consent choice is stored in your browser. The full list of keys and cookies is in the Cookie policy.

Your rights

Depending on the law that applies, you can ask for access, correction, deletion, restriction, objection and portability, and withdraw optional consent. KVKK Article 11 also gives rights to learn whether data is processed, its purpose and recipients, request correction or deletion, object to certain automated results, and seek compensation where conditions apply. Use the in-game account deletion control or contact [DOLDURULACAK — email]. You may complain to your data protection authority; in Türkiye this is the KVKK, and in the EEA it is your supervisory authority. Some records may have to be retained where law requires it.

Official references: KVKK information duty and GDPR.

Veri sorumlusu

Veri sorumlusu: [DOLDURULACAK — tüzel kişi ve adres]. Gizlilik iletişimi: [DOLDURULACAK — e-posta]. Yayın öncesinde bu bilgiler tamamlanmalıdır. Chess65 misafir olarak oynanabilir; dereceli oyun ve kayıtlı ilerleme için hesap gerekir.

Hangi veriler, hangi amaçla?

• Hesap: kullanıcı adı, Firebase kullanıcı kimliği, sağlayıcı ve verilmişse e-posta, özetlenmiş oturum anahtarı, ayarlar, deste, sahiplikler, puan, XP ve sezon ilerlemesi. Kimlik doğrulama, ilerlemeyi saklama ve oyunu sunmak için kullanılır. Şifreleri Firebase Authentication işler; oyun veritabanında şifre tutulmaz.
• Maçlar: oyuncu kimlikleri ve adları, hamleler, kart eylemleri, sonuç, puanlar ve zamanlar. Maç, sıralama, uyuşmazlık inceleme ve rakibin geçmişi için kullanılır.
• Sohbet: kısa ya da hazır mesaj, gönderen adı ve zamanı. Maç sohbetini iletmek ve kötüye kullanımı sınırlamak için kullanılır.
• Teknik veriler: kısa süreli hız sınırı anahtarında IP adresi, Cloudflare tarafından işlenen istek bilgisi ve tarayıcıdaki dil, ses, misafir bulmaca serisi ve izin tercihi. Hizmeti işletmek, korumak ve tercihleri hatırlamak için kullanılır.
• Ödeme etkinse: satın alma durumu, ürün, tutar, para birimi ve Stripe müşteri referansı. Kart bilgisi Stripe’a gider; oyun veritabanında tutulmaz.

GDPR kapsamında hesap ve maç verileri esasen hizmet sözleşmesinin ifası; güvenlik ve kötüye kullanım önleme meşru menfaat; yasal muhasebe kayıtları hukuki yükümlülük; isteğe bağlı analitik açık rıza temelinde değerlendirilir. KVKK kapsamında ayrıca 6698 sayılı Kanun’daki ilgili işleme şartları aranır; isteğe bağlı analitik yalnızca açık tercihle kullanılır. Kesin hukuki sebepler ve yurt dışı aktarım düzeni yayın öncesinde veri sorumlusu tarafından incelenmelidir.

Hizmet sağlayıcılar ve aktarımlar

Cloudflare siteyi sunar ve oyun altyapısını çalıştırır. Google/Firebase giriş sağlar. Ödemeler açılırsa Stripe ödeme ve faturalamayı işler. Google Analytics 4 yalnızca analitik izninden sonra yüklenir. Sentry için DSN tanımlanmadığı sürece hata raporlama kapalıdır; ileride açılırsa bu metin önceden güncellenir. Bu sağlayıcılar verileri ülkeniz dışında işleyebilir; aktarım mekanizmaları ve konumlar: [DOLDURULACAK].

Saklama süreleri

• Oyun oturumları 30 gün sonra geçersizleşir; süresi dolan kayıtlar sonraki hesap etkinliğinde temizlenir.
• Hız sınırı pencereleri 15 dakika veya bir saattir; süresi dolan anahtarlar sonraki sınırlandırılmış isteklerde temizlenir.
• Sohbette odanın son 60 mesajı tutulur; etkin olmayan oda ve sohbeti yaklaşık 24 saat sonra silinir.
• Hesap ve ilerleme, hesap silinene kadar kalır. Silmede rakibin geçmişi için maç kaydı korunur; kimliğiniz çıkarılır ve adınız “Silinmiş oyuncu” olur.
• Etkinse ödeme kayıtları yasal yükümlülük nedeniyle daha uzun tutulabilir: [DOLDURULACAK — süre ve hukuki sebep]. Firebase ve sağlayıcı yedekleri kendi saklama kurallarına tabidir.

Çerezler, yerel depolama ve tercihler

Zorunlu tarayıcı depolaması oyun ayarlarını ve oturumu hatırlar. İsteğe bağlı analitik, kabul edene kadar kapalıdır. İzin bandında kabul, ret ve ayarlar bulunur; seçiminizi buradan her zaman değiştirebilirsiniz: Çerez ayarları. Analitiği reddetmek oyunu engellemez. Tercih tarayıcınızda saklanır. Anahtarların ve çerezlerin tam listesi Çerez politikasında.

Haklarınız

Uygulanan hukuka göre erişim, düzeltme, silme, işlemeyi sınırlama, itiraz ve taşınabilirlik talep edebilir; isteğe bağlı rızayı geri çekebilirsiniz. KVKK 11. madde kapsamında ayrıca verinin işlenip işlenmediğini, amacını ve aktarılan kişileri öğrenme, düzeltme veya silme isteme, belirli otomatik sonuçlara itiraz etme ve koşulları varsa zararın giderilmesini isteme hakları bulunur. Oyun içindeki hesap silme aracını kullanın ya da [DOLDURULACAK — e-posta] adresine başvurun. Türkiye’de KVKK’ya, AEA’da yetkili veri koruma kurumuna şikâyet edebilirsiniz. Kanuni zorunluluk bulunan bazı kayıtlar saklanabilir.

Resmî kaynaklar: KVKK aydınlatma yükümlülüğü ve GDPR.