Gizlilik politikası
Son güncelleme: 2 Ekim 2026
Kısaca
- Reklam yok, analitik yok, verilerini kimseye satmıyoruz.
- Uygulama senden en fazla bir izin ister: günlük hatırlatmayı açarsan, Android 13 ve sonrasında bildirim izni. İnternete bağlanır, indirmeleri arka planda sürdürür, hatırlatmayı açtıysan günde en fazla bir bildirim gösterir; rehberine, konumuna, kamerana, mikrofonuna ya da dosyalarına erişmez.
- Hesap açmadan oynayabilirsin. Hesap açarsan senden yalnızca bir e-posta adresi ve bir kullanıcı adı isteriz.
- Hesabını uygulamanın içinden, anında silebilirsin.
Veri sorumlusu
Hodri, Türkiye'de yerleşik bireysel geliştirici Burak Karabekir tarafından geliştirilir ve işletilir. Bu politika ve verilerinle ilgili her konuda: destek@hodri.app.
Hangi verileri işliyoruz
| Veri | Ne zaman | Neden |
|---|---|---|
| Rastgele bir oyuncu kimliği | Uygulamayı ilk açtığında | Hesap açmadan oynayabilmen ve ilerlemenin bir yere bağlanabilmesi için |
| Misafir doğrulama kayıtları: kontrolün sonucu (Google Play Integrity etiketleri ya da reCAPTCHA puanı ve gerekçeleri), sunucunun kararı ile neden ve hata kodları, kaydın zamanı, tek kullanımlık rastgele bir değer, kayıt isteğine özgü ikinci bir rastgele kimlik ve IP adresinin anahtarlı özeti (hash; IPv6'da ağ bloğunun). Kayıtta adresin kendisi yer almaz. | Yeni bir oyuncu kaydı oluşturulmak istendiğinde, çoğunlukla uygulamayı ilk açtığında | Botların toplu hâlde sahte misafir oluşturmasını önlemek için |
| Oturum bilgileri: her oturumun IP adresi ve uygulama ya da tarayıcı bilgisi (user agent) | Oturum açıldığında ve her yenilendiğinde, misafirler dâhil | Oturum güvenliği için. Supabase Auth bunları oturum sürdükçe tutar; çıkış yaptığında ya da hesabın veya misafir kaydın silindiğinde silinir. |
| E-posta adresi ve şifre | Yalnızca hesap açarsan | Giriş yapabilmen ve şifreni sıfırlayabilmen için. Şifren bizde okunabilir biçimde tutulmaz; yalnızca özeti (hash) saklanır. |
| Kullanıcı adı | Yalnızca hesap açarsan | Sıralamada ve düellolarda diğer oyunculara görünen adın olarak |
| Oyun kayıtları: düellolar, verdiğin cevaplar ve süreleri, puanın, galibiyetlerin | Oynadıkça | Düelloyu sunucuda hakemlik ederek adil tutmak, puanını ve sıralamayı hesaplamak için |
| Dil tercihin (Türkçe / İngilizce) | Oturum açıldığında | Sana gönderilen e-postaların doğru dilde olması için |
| Çökme ve performans raporları: telefon modeli, Android sürümü, uygulama sürümü, hatanın teknik dökümü, kuruluma özgü rastgele bir kimlik | Uygulama çöktüğünde; performans ölçümleri oturumların yaklaşık onda birinde | Hataları bulup düzeltmek için. Bu raporlar e-postanı, kullanıcı adını ya da cevaplarını içermez; ekran görüntüsü alınmaz. |
| Kendi yazdığın desteler: başlık, açıklama, sorular ve cevaplar | Yalnızca bir deste oluşturursan (hesap gerekir) | Desteni telefonların arasında taşımak ve kodla davet ettiğin arkadaşlarına oynatmak için. Deste yalnızca sana ve davet ettiklerine görünür; herkese açık listelenmez. Sildiğinde 30 gün içinde kalıcı olarak silinir. |
| İstek sayaçları | Sunucuya her istekte | Kötüye kullanımı sınırlamak için. Birkaç saat içinde silinir. |
İndirdiğin desteler; tema, ses, titreşim ve hatırlatma ayarların; hatırlatmanın kullandığı bilgiler (son oynadığın gün, son hatırlatmanın ne zaman gösterildiği, üst üste oynanmadan geçen hatırlatma sayısı, hatırlatma kartının gösterilip gösterilmediği ve bildirim iznini reddedip reddetmediğin) yalnızca telefonunda durur ve bize gönderilmez.
Başkalarının gördükleri
Hesap açtıysan kullanıcı adın, puanın ve galibiyet sayın sıralamada diğer oyunculara görünür. Bir düelloda rakibin kullanıcı adını görür. Kaydedilmiş bir turun, rakip bulunamadığında başka bir oyuncunun karşısına "hayalet" olarak çıkabilir ve bu her zaman açıkça belirtilir. E-posta adresin hiçbir zaman başka bir oyuncuya gösterilmez.
Verilerini kimler işler
Verilerini satmıyoruz ve reklam amacıyla kimseyle paylaşmıyoruz. Uygulamayı çalıştırmak için şu şirketlerle çalışıyoruz; aksi belirtilmedikçe her biri verilerini bizim adımıza, hizmet sağlayıcımız olarak işler:
- Supabase — veritabanı, oturum açma ve sunucu işlevleri. Veriler Frankfurt, Almanya'da tutulur.
- Sentry — çökme ve performans raporları. Veriler Almanya'da tutulur.
- Resend — doğrulama ve şifre sıfırlama kodlarını içeren e-postaların gönderimi. Bu amaçla e-posta adresin ABD merkezli bu şirkete aktarılır.
- Google Play Integrity — misafir doğrulaması. Yeni bir misafirin değiştirilmemiş Hodri uygulamasından ve gerçek bir Android cihazdan geldiğini doğrular. Bunun için telefonundaki Google Play, Google'a şunları gönderir: uygulamanın paket adı, sürümü ve imza sertifikası; cihazın bütünlük sinyalleri (Google Play hizmetlerinin ürettiği bir cihaz onay belirteci ve bir anahtar onay sertifikası); telefonda oturum açmış Google hesapları için uygulamanın Google Play lisans durumu. Her bağlantıda olduğu gibi, Google Play bağlandığında Google telefonun IP adresini de görür. Uygulamamız bu isteğe yalnızca tek kullanımlık rastgele bir değerden türetilmiş bir özet ekler; oyuncu kimliğini, e-postanı ya da kullanıcı adını eklemez. Sunucumuz oluşan belirteci, çözmesi için Google'a gönderir ve yanına IP adresini eklemez. Google Play bu işlemi bizim adımıza değil, Google Play Hizmet Şartları ve Google Gizlilik Politikası kapsamında kendisi yürütür; Google'ın açıklamasına göre bu veriler hiçbir üçüncü tarafa aktarılmaz.
- Google reCAPTCHA (Google Cloud Fraud Defense'ın parçası) — yedek misafir doğrulaması. Play Integrity kullanılamadığında, örneğin telefonda Google Play yoksa ya da Play kontrolü başarısız olursa devreye girer. Kontrolü, Google'ın uygulamaya eklenmiş reCAPTCHA yazılımı (reCAPTCHA SDK) yapar ve ekranda hiçbir şey göstermez. Bu yazılım Google'a şunları gönderir: IP adresin, yazılımın sürümü, uygulamanın paket adı, doğrulanan işlemin adı (burada yeni kayıt), Google Play hizmetlerinden alınan bir cihaz bütünlüğü yanıtı, uygulamayı nasıl kullandığına dair bilgiler (örneğin bir ekranı kaç kez açtığın ya da nereye dokunduğun), telefonunda yüklü bazı uygulamalar hakkında bilgiler (zararlı uygulamalar dâhil) ve cihaz tanımlayıcıları. Yazılım, kontrol için telefonunda uygulamanın kendi deposuna veri kaydedebilir; bu veriler uygulamanın verileri silinene kadar kalabilir. Uygulamanın eski test sürümleri (210 ve 222) bu kontrolü yazılım yerine hodri.app'teki gizli bir doğrulama sayfasında yapar: oradaki reCAPTCHA Google'a IP adresini, tarayıcı ve cihaz bilgilerini gönderir ve uygulamanın web deposunda çerezler ya da benzeri veriler saklayabilir; bunlar da uygulamanın verileri silinene kadar kalabilir. Sunucumuz sonucu Google'a sorarken IP adresini de iletir. Google bu verileri bizim adımıza, Google Cloud Hizmet Şartları, Google Cloud Veri İşleme Eki ve Google Cloud Hizmete Özel Şartlar (45. bölüm) uyarınca, yalnızca bu hizmeti sunmak, sürdürmek ve yeni tehditlere karşı etkili tutmak için işler; kişiselleştirilmiş reklam için kullanmaz. Bu uygulama reCAPTCHA ile korunmaktadır.
- GitHub — hodri.app web sitesinin barındırılması. Siteyi ziyaret ettiğinde ya da uygulamanın eski test sürümleri sitedeki doğrulama sayfasını arka planda açtığında, her web sitesi ziyaretinde olduğu gibi IP adresin ve tarayıcı bilgilerin ABD merkezli bu şirkete ulaşır. GitHub, ziyaretçilerin IP adreslerini kendi güvenliği için kaydeder ve saklar; bunu bizim adımıza değil, GitHub Gizlilik Bildirimi kapsamında yapar.
Google Play Integrity ve reCAPTCHA kontrollerinde Google'a ulaşan veriler Türkiye dışında, Google'ın ya da alt işleyicilerinin tesislerinin bulunduğu ülkelerde işlenebilir.
Uygulama ile sunucular arasındaki tüm trafik şifrelidir (HTTPS); şifrelenmemiş bağlantılar uygulama tarafından reddedilir.
Ne kadar süre saklıyoruz
- Hesap verilerin, hesabını silene kadar saklanır.
- Hiç oynanmamış misafir kayıtları 60 gün hareketsizlikten sonra silinir.
- Çökme raporları en fazla 90 gün içinde kendiliğinden silinir.
- Misafir doğrulama kayıtları, oluşturulduktan yaklaşık 2 gün sonra silinir. Bu kayıtlar oyuncu kimliğinle ya da hesabınla birlikte saklanmaz.
- Kontrolün ürettiği belirteçler veritabanımıza hiç yazılmaz: her biri bir kez kullanılır ve oyuncu kaydın oluşturulmadan önce silinir. Belirteç yalnızca ilk oturum anahtarının içinde telefonuna bir kez geri döner ve bu anahtar değişene kadar sunucumuza giden isteklerde yer alır; uygulama anahtarı hemen, bu olmazsa bir sonraki yenilemede değiştirir.
- Google, Play Integrity verilerini sabit bir saklama süresinin sonunda siler (Google'ın Play Integrity veri açıklaması); reCAPTCHA verilerini ise Google Cloud Veri İşleme Eki'nin silme hükümlerine göre siler.
- Hesabını sildiğinde bitmiş düellolar, rakibinin geçmişi bozulmasın diye adın olmadan kalır. Ayrıntılar: Hesabını sil.
Hakların
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 11. maddesi ve uygulanabildiği ölçüde AB Genel Veri Koruma Tüzüğü (GDPR) kapsamında; verilerinin işlenip işlenmediğini öğrenme, bunlara erişme, düzeltilmesini ya da silinmesini isteme ve işlenmesine itiraz etme hakkına sahipsin. Bunun için destek@hodri.app adresine yazabilirsin; en geç 30 gün içinde yanıtlarız. Hesabını silmek için bize yazmana gerek yok: uygulamanın içinden anında silebilirsin. Yanıtımızdan memnun kalmazsan Kişisel Verileri Koruma Kurulu'na ya da bulunduğun ülkenin veri koruma otoritesine şikâyette bulunabilirsin.
Çocuklar
Hodri 13 yaşından küçük çocuklara yönelik değildir ve bilerek onlardan veri toplamayız. 13 yaşından küçük bir çocuğun hesap açtığını düşünüyorsan bize yaz, hesabı silelim.
Bu politikadaki değişiklikler
Bu politikayı değiştirirsek yeni hâlini bu sayfada yayımlar ve yukarıdaki tarihi güncelleriz. Topladığımız veriyi artıran bir değişiklikte bunu uygulamanın içinde de duyururuz.
Privacy policy
Last updated: 2 October 2026
In short
- No ads, no analytics, and we do not sell your data to anyone.
- The app asks you for one permission at most: on Android 13 and later, notifications, and only if you turn on the daily reminder. It connects to the internet, keeps downloads going in the background and, if you turned the reminder on, shows at most one notification a day; it cannot reach your contacts, location, camera, microphone or files.
- You can play without an account. If you create one, we ask for an email address and a username, and nothing more.
- You can delete your account from inside the app, instantly.
Who is responsible
Hodri is developed and operated by Burak Karabekir, an individual developer based in Türkiye. For anything about this policy or your data: destek@hodri.app.
What we process
| Data | When | Why |
|---|---|---|
| A random player id | The first time you open the app | So you can play without an account and your progress has something to attach to |
| Guest verification records: the result of the check (Google Play Integrity labels, or a reCAPTCHA score and its reasons), the server's decision with its reason and error codes, the time, a one-time random value, a second random id for the sign-up request and a keyed hash of your IP address (for IPv6, of its network block). The record does not hold the address itself. | Whenever a new player record is about to be created, usually the first time you open the app | To stop bots from creating fake guests in bulk |
| Session details: the IP address and the app or browser details (user agent) of each sign-in session | When a session starts and each time it is refreshed, guests included | For session security. Supabase Auth keeps them while the session lasts; they are deleted when you sign out or when your account or guest record is deleted. |
| Email address and password | Only if you create an account | So you can sign in and reset your password. We never hold your password in readable form; only a hash of it is stored. |
| Username | Only if you create an account | As the name other players see on the leaderboard and in duels |
| Game records: duels, the answers you gave and how long they took, your rating, your wins | As you play | To referee duels on the server so they stay fair, and to work out ratings and the leaderboard |
| Your language choice (Turkish / English) | When a session starts | So the emails we send you are in the right language |
| Crash and performance reports: phone model, Android version, app version, a technical trace of the error, a random id specific to the installation | When the app crashes; performance measurements in roughly one session in ten | To find and fix faults. These reports do not contain your email, your username or your answers, and no screenshots are taken. |
| Decks you write yourself: title, description, questions and answers | Only if you create a deck (an account is required) | To carry your deck between your phones and let the friends you invite by code play it. The deck is visible only to you and to the people you invite; it is never listed publicly. When you delete it, it is removed for good within 30 days. |
| Request counters | On every request to the server | To limit abuse. Deleted within a few hours. |
The decks you download; your theme, sound, vibration and reminder settings; and what the reminder keeps (the last day you played, when it last showed a reminder, how many reminders in a row passed without a game, whether its card was shown and whether you refused the notification permission) stay on your phone and are not sent to us.
What other players see
If you have an account, your username, rating and number of wins are visible to other players on the leaderboard. In a duel your opponent sees your username. A recorded run of yours may be played against another player as a "ghost" when no live opponent is found, and that is always clearly marked. Your email address is never shown to another player.
Who processes your data
We do not sell your data or share it with anyone for advertising. We rely on these companies to run the app; unless an entry says otherwise, each processes your data on our behalf, as our service provider:
- Supabase — database, sign-in and server functions. Data is held in Frankfurt, Germany.
- Sentry — crash and performance reports. Data is held in Germany.
- Resend — delivery of the emails that carry verification and password reset codes. For that purpose your email address is transferred to this US-based company.
- Google Play Integrity — guest verification. It checks that a new guest comes from an unmodified Hodri app on a genuine Android device. For that, Google Play on your phone sends Google the app's package name, version and signing certificate; the device's integrity signals (a device attestation token that Google Play services generates, and a key attestation certificate); and the app's Google Play licence status for the Google accounts signed in on the phone. As with any connection, Google also sees the phone's IP address when Google Play contacts it. Our app adds only a hash derived from a one-time random value; it adds no player id, email or username. Our server sends the resulting token to Google to be decoded and does not send your IP address with it. Google Play does this processing itself, not on our behalf, under the Google Play Terms of Service and the Google Privacy Policy; according to Google, this data is not transferred to any third parties.
- Google reCAPTCHA (part of Google Cloud Fraud Defense) — fallback guest verification. It takes over when Play Integrity cannot be used, for example when the phone has no Google Play or the Play check fails. The check is run by Google's reCAPTCHA software built into the app (the reCAPTCHA SDK), which shows nothing on screen. It sends Google your IP address, its own version, the app's package name, the name of the action being checked (here, signing up), a device integrity response from Google Play services, information about how you use the app (for example, how often you open a screen or where you tap), information about some of the apps installed on your phone (malicious ones included) and device identifiers. It may save data for the check in the app's own storage on your phone, where it can stay until the app's data is cleared. Earlier test versions of the app (210 and 222) run this check on a hidden verification page on hodri.app instead: reCAPTCHA there sends Google your IP address and browser and device information, and may keep cookies or similar data in the app's web storage, where they too can stay until the app's data is cleared. When our server asks Google for the result, it passes on your IP address too. Google processes this data on our behalf under the Google Cloud Terms of Service, the Google Cloud Data Processing Addendum and the Google Cloud Service Specific Terms (section 45), only to provide and maintain the service and keep it effective against new threats, and not for personalised advertising. This app is protected by reCAPTCHA.
- GitHub — hosting of the hodri.app website. When you visit the site, or when earlier test versions of the app open its verification page in the background, your IP address and browser information reach this US-based company, as with any website visit. GitHub logs and stores visitors' IP addresses for its own security, not on our behalf, under the GitHub Privacy Statement.
For both Google checks, the data that reaches Google may be processed outside Türkiye, in any country where Google or its subprocessors have facilities.
All traffic between the app and the servers is encrypted (HTTPS); the app refuses unencrypted connections.
How long we keep it
- Account data is kept until you delete your account.
- Guest records that never played are deleted after 60 days of inactivity.
- Crash reports expire on their own within 90 days at most.
- Guest verification records are deleted about 2 days after they are made. These records are not stored with your player id or your account.
- The tokens the check produces are never written to our database: each one is used once and deleted before your player record is created. A token comes back to your phone only once, inside the first session key, and goes with the app's requests to our server until that key is replaced; the app replaces it straight away, or at the next refresh if that fails.
- Google deletes Play Integrity data after a fixed retention period (Google's note on Play Integrity data), and deletes reCAPTCHA data under the deletion terms of the Google Cloud Data Processing Addendum.
- When you delete your account, finished duels are kept without your name so that your opponent's history is not broken. Details: Delete your account.
Your rights
Under Article 11 of Turkish Law No. 6698 on the Protection of Personal Data (KVKK) and, where it applies, the EU General Data Protection Regulation (GDPR), you have the right to learn whether your data is processed, to access it, to have it corrected or deleted, and to object to its processing. Write to destek@hodri.app and we will answer within 30 days at the latest. You do not need to write to us to delete your account: you can do it instantly inside the app. If our answer does not satisfy you, you may complain to the Turkish Personal Data Protection Board or to the data protection authority of the country you live in.
Children
Hodri is not directed at children under 13 and we do not knowingly collect data from them. If you believe a child under 13 has created an account, write to us and we will delete it.
Changes to this policy
If we change this policy we will publish the new version on this page and update the date above. If a change increases the data we collect, we will also announce it inside the app.