MASAPLAYTavla · Okey · 101 · Batak · King · Pişti

Gizlilik Politikası

Son güncelleme: 8 Kasım 2026 · Veri sorumlusu: Mehmet Fatih İçin (bireysel geliştirici) · İletişim: support@mfatihicin.com

MasaPlay; Tavla, Okey, 101, Batak, King, Pişti, İsim Şehir, Anlat Bakalım ve Sahtekar gibi masa ve parti oyunlarını ve tek kişilik bulmacaları oynamanı sağlayan bir mobil uygulamadır. Oyunları botlara karşı internetsiz, ya da arkadaşlarınla veya herkese açık masalarda online oynayabilirsin. Bu politika hangi verileri neden işlediğimizi, kimlerle paylaştığımızı, ne kadar sakladığımızı ve haklarını anlatır. Verilerini satmayız.

8 Kasım 2026 güncellemesi: online masa sohbeti, yaş grubu sorusu, uygulama içi veri talebi formu, geçiş reklamları ve jeton paketleri eklendi; reklam ağları ve ülkeleri adıyla yazıldı; saklama süreleri netleştirildi; hukuki sebepler ve yurt dışına aktarım bilgisi gerçeğe uygun hâle getirildi; destek adresi support@mfatihicin.com oldu. KVKK kapsamındaki resmî bilgilendirme ayrıca KVKK Aydınlatma Metni sayfasındadır. Önceki sürüm: 31 Ekim 2026.

Kısaca:

  • Kayıt zorunlu değil; uygulama otomatik bir misafir hesapla çalışır.
  • Online masalarda sohbet vardır: hazır mesajlar, emojiler ve — açıksa — serbest metin. Mesajlar yalnızca o masadakilere görünür ve 30 gün sonra silinir. Sohbeti Ayarlar'dan kapatabilirsin.
  • Online özellikler için yaşını öğreniriz (cihazın/mağazanın yaş bilgisi ya da doğum yılı) ama yalnızca yaş grubunu saklarız.
  • Reklamlar kişiselleştirilmemiş olarak istenir; iOS'ta takip izni (ATT) istemeyiz.
  • Konum, rehber, mikrofon veya kameraya erişmeyiz; üçüncü taraf analiz aracı kullanmayız.
  • Hesabını istediğin an Ayarlar → Hesabımı sil ile kalıcı olarak silebilirsin.

1Veri sorumlusu

MasaPlay bir şirket tarafından değil, tek bir kişi tarafından geliştirilir ve yayımlanır.

2Topladığımız veriler

VeriNe zaman ve neden
Hesap kimliği (rastgele kullanıcı kimliği)İlk açılışta otomatik bir misafir hesap oluşturulur. İlerlemen ve satın alımların bu hesaba bağlanır.
Giriş bilgisi (isteğe bağlı): e-posta ve şifre, ya da Google/Apple hesap kimliği, e-postası ve bu hizmetin paylaştığı ad (Google'da profil fotoğrafı bağlantısı da gelir)Yalnızca hesabını bağlamayı seçersen, hesabını cihazlar arasında korumak için. Şifren şifrelenmiş özet olarak saklanır; biz göremeyiz. Google'dan gelen ad ve fotoğraf bağlantısını oyunda göstermeyiz. Apple ile girişte "E-postamı gizle"yi kullanabilirsin.
Profil: görünen ad, emoji avatar, arkadaş koduSeni masada, arkadaş listesinde ve sıralamalarda göstermek için. Diğer oyuncular görebilir. Gerçek adını görünen ad olarak kullanmamanı öneririz.
Yaş grubu (13 altı / 13–14 / 15–17 / 18+)Online özellikleri yaşına uygun açmak için doğum yılını sorarız; doğum yılını saklamayız, yalnızca yaş grubunu kaydederiz (bkz. 10. bölüm).
Oyun ve ilerleme: maç sonuçları, derece puanı, XP ve seviye, jeton bakiyesi ve hareketleri, eşyalar, günlük ödül serisi, tek kişilik seviye ödülleriOyunları ve sıralamaları çalıştırmak, sanal ekonomiyi sunucuda hileye karşı korumak için.
Online masa verileri: oda kodu, masadaki oyuncular, hamleler, oyunda yazdığın cevap ve ipuçları, oda davetleriOnline masaları gerçek zamanlı çalıştırmak için.
Sohbet mesajları: hazır mesajlar, emojiler ve — serbest metin açıksa — yazdığın mesaj (en çok 200 karakter); gönderenin görünen adı ve zamanıMasa içi sohbet için. Yalnızca o masada oturanlara görünür; engellediğin oyuncunun mesajları sana gösterilmez. Serbest metin sunucuda küfür filtresinden geçer ve uygunsuz kelimeler maskelenir. Serbest metin sohbeti uzaktan kapatılabilir; kapalıyken yalnızca hazır mesajlar ve emojiler çalışır.
Sohbet trafik kaydı: kullanıcı kimliği, masa kimliği, gönderim zamanı, mesaj türü (metin/hazır/emoji), isteğin geldiği IP adresi — mesaj içeriği yoktur5651 sayılı Kanun'un trafik bilgisi saklama yükümlülüğü ve yetkili makam talepleri için. 1 yıl saklanır.
Sosyal ve güvenlik: arkadaşlıklar ve istekler, engellediğin oyuncular, şikayetlerArkadaş, engelleme ve şikayet özellikleri için. Bir oyuncuyu sohbetten şikayet ettiğinde, şikayet edilen oyuncunun o masadaki son 10 mesajının ve görünen adının kopyası incelenmek üzere şikayete eklenir.
Veri talepleri: talep türü, açıklama, isteğe bağlı yanıt e-postası, uygulama sürümü, platformUygulama içi "Veri talebi gönder" formundan gelen KVKK başvurularını yanıtlamak ve yanıtladığımızı ispat etmek için.
Bildirim jetonu ve cihaz platformuYalnızca bildirimlere izin verirsen. Masa daveti, arkadaşlık isteği ve "sıra sende" gibi hizmet bildirimleri için. Pazarlama bildirimi göndermeyiz.
Satın alma bilgisi: Premium, Reklamsız, jeton paketi ve başlangıç paketi alımları, işlem kimliği, iade bilgisiSatın alımı doğrulamak, teslim etmek, geri yüklemek ve iade kötüye kullanımını önlemek için. Kart bilgilerin Apple ve Google'dadır; biz göremeyiz.
Reklam ve cihaz verileri: IP adresi, cihaz modeli, işletim sistemi, dil; Android'de reklam kimliği (GAID), iOS'ta satıcı kimliği (IDFV); ödüllü reklamın sunucuda doğrulanması için kullanıcı kimliğinReklam ortaklarımızca reklam göstermek, ödülü doğrulamak ve sahtekarlığı önlemek için işlenir (bkz. 4. bölüm). iOS reklam kimliğine (IDFA) erişmeyiz.
Hata raporları: hata mesajı ve konumu, uygulama ve işletim sistemi sürümü, platformUygulama hata verirse, hatayı düzeltebilmek için kendi sunucumuza gönderilir. 30 gün saklanır.
Teknik kayıtlar: IP adresi, istek zamanı, hata kodları, hız sınırı sayaçlarıSunucu güvenliği, kötüye kullanımın önlenmesi ve hata ayıklama için. Kısa süre tutulur.

Toplamadıklarımız: konum, rehber, mikrofon ve kamera, sağlık verisi, tarama geçmişi. Fotoğraf kütüphanene yalnızca puan kartını oraya kaydetmeyi seçersen yazarız; fotoğraflarını okumayız. Uygulamada üçüncü taraf analiz veya çökme raporlama aracı (Firebase Analytics, Crashlytics, Sentry gibi) yoktur.

Yalnızca cihazında kalanlar: internetsiz oyun kayıtları, tek kişilik bulmaca ilerlemesi, dil, tema, ses ve sohbet tercihleri, favoriler ve bot seviyeleri. Uygulama, test cihazlarında gerçek reklam istememek için cihaz kimliğini yalnızca cihazda bir listeyle karşılaştırır; bu kimlik sunucuya gönderilmez.

Özel nitelikli veri: MasaPlay sağlık, din, siyasi görüş gibi özel nitelikli veri istemez. Lütfen sohbette bu tür bilgileri, telefon numaranı, adresini veya sosyal medya hesabını paylaşma.

3Amaçlar ve hukuki sebepler

  • Hizmetin sunulması — sözleşmenin kurulması ve ifası (KVKK m.5/2-c; GDPR m.6/1-b): hesap, profil, yaş grubu, oyunlar, online masalar, sohbet, arkadaşlar, hizmet bildirimleri, satın almalar.
  • Meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f): hile ve kötüye kullanımın önlenmesi; topluluk güvenliği (engelleme, şikayet, kelime filtresi, moderasyon); sunucu güvenliği ve hata ayıklama; ücretsiz sürümü finanse eden kişiselleştirilmemiş reklamlar.
  • Hukuki yükümlülük (KVKK m.5/2-ç): sohbet trafik kaydı (5651 sayılı Kanun m.5), KVKK başvurularının ve silme işlemlerinin kaydı, yetkili makam talepleri.
  • Bir hakkın tesisi, kullanılması veya korunması (KVKK m.5/2-e): şikayet kayıtları ve hukuki uyuşmazlıklar.

Bildirimler için işletim sisteminin sorduğu izin teknik bir izindir; istediğin zaman cihaz ayarlarından geri alabilirsin. Kişiselleştirilmiş reklam, profilleme veya otomatik karar alma yapmayız. Bunlardan birini ileride kullanırsak öncesinde ayrıca açık rızanı isteriz.

4Reklamlar

  • Reklam türleri: Ücretsiz sürümde isteğe bağlı ödüllü reklamlar vardır: jeton veya ipucu kazanmak için reklam izlemeyi sen seçersin. Bazı oyunların bitiminde sınırlı sayıda geçiş reklamı da gösterilebilir. Banner reklam yoktur.
  • Kim sunar: Reklamlar Unity LevelPlay (ironSource) aracılığıyla sunulur. LevelPlay reklamı Unity Ads, Liftoff (Vungle) ve Yandex Ads ağlarından getirebilir. Uygulamada BIGO Ads bağdaştırıcısı da bulunur; şu an bu ağdan reklam istenmez.
  • Kişiselleştirme yok: Reklamları her zaman kişiselleştirilmemiş olarak isteriz (rıza = hayır, "verilerimi satma/paylaşma" = evet). iOS'ta takip izni istemeyiz. Yaş grubu 13 altı olan kullanıcılar için reklam istekleri ayrıca "çocuğa yönelik" olarak işaretlenir.
  • Ağların işlediği veriler: Reklam ağları, reklamı göstermek, ölçmek ve sahtekarlığı önlemek için 2. bölümdeki cihaz verilerini ve IP adresine dayalı yaklaşık konum gibi verileri kendi gizlilik politikaları kapsamında işleyebilir; bu işlemler bakımından kendi adlarına veri sorumlusudur.
  • Android reklam kimliği: Cihazının Ayarlar → Gizlilik (veya Google) → Reklamlar bölümünden sıfırlayabilir veya silebilirsin.
  • Reklamsız kullanım: Reklamsız veya Premium satın alırsan geçiş reklamı gösterilmez. Ödüllü reklamı yine de kendi isteğinle izleyebilirsin.

5Verileri kimlerle paylaşırız

Diğer oyuncular: görünen adın, avatarın, maç sonuçların ve sıralaman diğer oyunculara görünür. Sohbet mesajların yalnızca o masadakilere görünür.

Hizmet sağlayıcılar (yalnızca hizmeti sunmak için gerektiği kadar):

SağlayıcıAmaçKonum
Supabase Inc. (AWS altyapısı)Kimlik doğrulama, veritabanı, online masalar, sohbet, sunucu fonksiyonlarıAlmanya (Frankfurt veri merkezi); şirket ABD'de
Google Firebase Cloud MessagingBildirim iletimi (bildirim jetonu ve bildirim metni, ör. davet edenin adı)ABD ve diğer ülkeler
Apple Inc. (App Store, Apple ile Giriş, APNs) ve Google LLC (Google Play, Google ile Giriş)Dağıtım, ödeme, giriş, bildirimABD ve diğer ülkeler
RevenueCat Inc.Satın alma doğrulama ve geri yükleme (kullanıcı kimliğin, mağaza makbuzu)ABD
Unity Technologies (LevelPlay / ironSource, Unity Ads)Reklam aracılığı ve gösterimi, ödül doğrulama, sahtekarlık önlemeABD, İsrail ve diğer ülkeler
Liftoff Monetize (Vungle)Reklam ağıABD
Yandex Mobile Ads (AppMetrica bileşenleri dahil)Reklam ağıYandex şirketler grubu; işleyen şirkete göre Rusya Federasyonu, BAE veya diğer ülkeler
BIGO AdsReklam ağı — bağdaştırıcısı uygulamada var, şu an kullanılmıyorSingapur
GitHub Inc. (GitHub Pages)Bu web sayfalarının ve davet bağlantısı sayfasının barındırılması (ziyaretçi IP adresi)ABD

Yetkili kamu kurumları: Kanunen yetkili kurumlara ve yargı mercilerine, yalnızca hukuki yükümlülük kapsamında ve talep edildiğinde aktarılır.

6Yurt dışına aktarım

Hizmet sağlayıcılarımızın sunucuları Türkiye dışındadır; yukarıda sayılan verilerin Almanya, ABD, İsrail, Rusya Federasyonu, BAE ve diğer ülkelere aktarılması uygulamanın çalışması için teknik bir gerekliliktir. Ana veritabanımız Avrupa Birliği'nde (Frankfurt) bulunur.

  • Türkiye'deki kullanıcılar için: Bu ülkeler için Kişisel Verileri Koruma Kurulu'nun verdiği bir yeterlilik kararı bulunmamaktadır. Bu aktarımlar KVKK m.9 kapsamındadır. Bugün itibarıyla sağlayıcılarla imzalanmış ve Kurum'a bildirilmiş bir KVKK standart sözleşmesi bulunmamaktadır; aktarımlarda sağlayıcıların sözleşmelerinde yer alan veri koruma taahhütlerine (veri işleme sözleşmeleri ve bunlara dayalı teknik ve idari güvenlik önlemleri) dayanıyoruz. KVKK m.9'da öngörülen standart sözleşmenin imzalanmasını sağlayıcılardan talep ediyoruz; bir sözleşme imzalanırsa Kanun gereği 5 iş günü içinde Kurum'a bildirilecek ve bu metin güncellenecektir. Aktarılan veriyi, hizmetin gerektirdiği en az düzeyde tutmaya çalışıyoruz.
  • AB/AEA'daki kullanıcılar için: Aktarımlar, sağlayıcıların sunduğu AB Standart Sözleşme Maddeleri veya AB-ABD Veri Gizliliği Çerçevesi gibi güvencelere dayanır.

7Saklama süreleri

VeriSüre
Hesap, profil, yaş grubu, ilerleme, maç sonuçları, arkadaşlar, engellemeler, satın alma haklarıHesabın var olduğu sürece; hesabını silince hemen silinir. 24 ay boyunca hiç kullanılmayan ve satın alımı olmayan misafir hesaplar otomatik silinir.
Jeton hareketleriGünlük ödül, reklam, harcama ve maç hareketleri 24 ay; satın alma ve tek seferlik ödül kayıtları (bir ödülün iki kez verilmesini önler) hesabın süresince
Ekonomi ve ödüllü reklam olay kayıtları12 ay
Online masa verileri (oda, oyuncular, hamleler)Oyun bittikten veya masa terk edildikten sonra en fazla 24 saat
Oda davetleri1 gün
Sohbet mesajları30 gün; hesabını silersen hemen
Sohbet trafik kaydı (içeriksiz)1 yıl (5651 sayılı Kanun); hesabın silinse de bu süre boyunca kalır
Şikayetler ve mesaj alıntıları12 ay; şikayet eden veya şikayet edilen hesabını silerse şikayet kaydı da silinir
Moderasyon kararları (sohbet kısıtlaması, geçici askıya alma)Süresi bitince en geç 12 ay; hesap silinince hemen
Bildirim jetonuHesap silinene, oturum kapatılana veya bildirim izni kaldırılana kadar; 270 gün yenilenmeyen jetonlar otomatik silinir
Bildirim gönderim kaydı2 gün
Hata raporları30 gün
Veri talepleri (KVKK başvuruları)3 yıl (ispat için); hesabın silinirse talep kaydındaki kullanıcı bağlantısı kaldırılır
Silme kaydı (tarih, sebep ve kullanıcı kimliğinin geri çevrilemeyen özeti)3 yıl
Sunucu günlükleri ve veritabanı yedekleriSupabase'in işletim süreleri boyunca (kısa süreli; günler ile birkaç hafta arası), sonra otomatik silinir

Süre dolunca veriler silinir veya anonim hâle getirilir. Apple, Google, RevenueCat ve reklam ağları, kendi hizmetleri kapsamında tuttukları verileri kendi politikalarına göre saklar.

8Hesap ve veri silme

Hesabını ve sunucudaki verilerini uygulamada Ayarlar → Hesabımı sil ile anında silebilirsin; misafir hesaplar da dahildir. Silme; profilini, ilerlemeni, jetonlarını, arkadaşlıklarını, sohbet mesajlarını, bildirim jetonunu ve RevenueCat'teki müşteri kaydını kapsar. Apple ile giriş yaptıysan, MasaPlay'in Apple hesabına bağlantısını iPhone'da Ayarlar → [adın] → Apple ile Giriş bölümünden de kaldırabilirsin.

Silmenin istisnaları 7. bölümde yazılıdır: sohbet trafik kaydı (1 yıl), veri talebi kayıtları ve silme kaydı (3 yıl). Premium ve Reklamsız mağaza hesabına bağlıdır; "Satın alımı geri yükle" ile geri açabilirsin. Satın alınmış jeton paketleri hesapla birlikte silinir ve geri yüklenemez.

Uygulamaya erişemiyorsan Hesap silme sayfasındaki yolu izle.

9Güvenlik

Tüm trafik TLS ile şifrelenir. Veritabanı erişimi satır düzeyi güvenlik (RLS) kurallarıyla sınırlandırılır; jeton, Premium ve maç sonucu yalnızca sunucuda değiştirilebilir. Sohbet mesajlarını yalnızca o masadakiler okuyabilir. Hiçbir sistem %100 güvenli değildir; makul teknik ve idari önlemleri alırız. Bir veri ihlali olursa, KVKK gereği Kişisel Verileri Koruma Kurulu'na 72 saat içinde, etkilenen kullanıcılara da en kısa sürede bildirim yaparız.

10Çocuklar ve yaş grupları

  • MasaPlay 13 yaşından küçük çocuklara yönelik değildir ve mağazaların çocuk kategorilerinde yer almaz.
  • Online özelliklere girerken doğum yılını sorarız ve yalnızca yaş grubunu saklarız. 13 yaşından küçükler online oynayamaz; botlara karşı ve tek kişilik oyunlar açıktır. 13–14 yaş: herkese açık masalar ve serbest metin sohbet kapalıdır; arkadaşlarla davet veya kodla oynanabilir, hazır mesajlar ve emojiler kullanılabilir. 15 yaş ve üstü: tüm özellikler açıktır. Cihazın veya mağazanın yaş bilgisi varsa (iOS 26 ve sonrasında Apple'ın "Yaş Aralığı" özelliği, Android'de Google Play yaş sinyalleri) ve sen paylaşmaya izin verirsen önce onu kullanırız; yoksa doğum yılını sorarız. Her iki durumda da yalnızca yaş grubu saklanır; daha genç bir yaş bilgisi gelirse kısıtlama sıkılaşır.
  • Yaş beyanı bir resmî kimlik doğrulaması değildir. 18 yaşından küçüksen uygulamayı velinin bilgisi ve gözetimiyle kullanmalısın; satın almalar için mağazanın ebeveyn denetimlerini (Apple "Satın Almadan Önce Sor", Google Play ebeveyn denetimleri) öneririz.
  • 13 yaşından küçük bir çocuğa ait veri işlediğimizi öğrenirsek bu veriyi sileriz. Velisiysen support@mfatihicin.com adresine yazabilirsin.

11Hakların ve başvuru

KVKK m.11 kapsamında şu haklara sahipsin: kişisel verilerinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi isteme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini, KVKK m.7 çerçevesinde silinmesini veya yok edilmesini ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etme. AB/AEA'daysan GDPR kapsamında ayrıca erişim, düzeltme, silme, kısıtlama, itiraz ve taşınabilirlik hakların vardır.

  • Uygulama içinden: Ayarlar → Gizlilik ve KVKK → Veri talebi gönder (uygulamanın güncel sürümlerinde). Talep hesabına bağlı olarak gelir; hesabını bulmamızı kolaylaştırır.
  • E-posta: support@mfatihicin.com (varsa hesabına bağlı e-posta adresinden göndermen kimliğini doğrulamayı kolaylaştırır).

Başvurunda adını, iletişim bilgini ve talebini yaz; e-postayla yazıyorsan arkadaş kodunu ekle. Kimliğini doğrulamak için ek bilgi isteyebiliriz. Başvurunu en geç 30 gün içinde, yazılı veya elektronik olarak ve ücretsiz cevaplarız; işlem ayrıca bir maliyet gerektirirse yalnızca Kurul'un belirlediği tarife uygulanabilir. Başvurun reddedilir, cevabımızı yetersiz bulursan veya süresinde cevap alamazsan Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsin (KVKK m.14). AB/AEA'da kendi ülkendeki veri koruma otoritesine de başvurabilirsin.

Kaliforniya: Kişisel bilgileri satmayız ve bağlamlar arası davranışsal reklam için paylaşmayız.

12Değişiklikler

Bu politikayı, işleme amaçları veya alıcılar değiştiğinde güncelleriz. Önemli değişikliklerde güncelleme tarihini değiştirir ve uygulama içinde bildiririz. Amaç değişikliği olursa veriyi yeni amaçla işlemeden önce seni bilgilendiririz.

13İletişim

Mehmet Fatih İçin · support@mfatihicin.com · Destek sayfası · KVKK Aydınlatma Metni

Privacy Policy

Last updated: 8 November 2026 · Data controller: Mehmet Fatih İçin (independent developer) · Contact: support@mfatihicin.com

MasaPlay is a mobile app for playing table and party games — Tavla (backgammon), Okey, 101, Batak, King, Pişti, İsim Şehir, Anlat Bakalım, Sahtekar — and solo puzzles. You can play offline against bots, or online with friends or at public tables. This policy explains what data we process and why, who we share it with, how long we keep it, and your rights. We do not sell your data.

Update of 8 November 2026: added online table chat, the age-group question, the in-app data request form, interstitial ads and coin packs; ad networks and their countries are now named; retention periods clarified; legal bases and the international-transfer statement corrected; the support address is now support@mfatihicin.com. The formal notice under Turkish law is on the KVKK Notice page. Previous version: 31 October 2026.

In short:

  • No sign-up is required; the app runs on an automatic guest account.
  • Online tables have chat: quick phrases, emoji and — when enabled — free text. Messages are visible only to that table and are deleted after 30 days. You can turn chat off in Settings.
  • For online features we learn your age (your device's/store's age signal or your year of birth) but store only your age group.
  • Ads are requested non-personalized; we never show the iOS tracking (ATT) prompt.
  • No access to your location, contacts, microphone or camera; no third-party analytics.
  • You can permanently delete your account any time via Settings → Delete my account.

1Data controller

MasaPlay is developed and published by one individual, not by a company.

2Data we collect

DataWhen and why
Account ID (random user identifier)A guest account is created automatically on first launch; your progress and purchases are tied to it.
Sign-in details (optional): e-mail and password, or your Google/Apple account ID, e-mail and the name that service shares (Google also sends a profile-photo link)Only if you choose to link your account, so you can keep it across devices. Your password is stored as an encrypted hash; we cannot see it. We do not show the Google name or photo link in the game. With Sign in with Apple you can use "Hide My Email".
Profile: display name, emoji avatar, friend codeTo show you at tables, in friend lists and leaderboards. Other players can see them. We suggest not using your real name as display name.
Age group (under 13 / 13–14 / 15–17 / 18+)We ask your year of birth to enable online features suitable for your age; we do not store the year, only the age group (see section 10).
Gameplay and progress: match results, rating, XP and level, coin balance and transactions, items, daily-reward streak, solo level rewardsTo run the games and leaderboards and to protect the virtual economy server-side against cheating.
Online table data: room code, players at the table, moves, answers and hints you type in games, table invitesTo run online tables in real time.
Chat messages: quick phrases, emoji and — when free text is enabled — the message you type (max. 200 characters); the sender's display name and timeFor table chat. Visible only to players seated at that table; messages from players you blocked are not shown to you. Free text passes a server-side profanity filter and offensive words are masked. Free-text chat can be switched off remotely; then only quick phrases and emoji work.
Chat traffic log: user ID, table ID, time sent, message type (text/quick/emoji), the IP address of the request — no message contentFor the traffic-data retention duty under Turkish Law No. 5651 and requests from competent authorities. Kept for 1 year.
Social and safety: friendships and requests, players you block, reportsFor friends, blocking and reporting. When you report a player from the chat, a copy of that player's last 10 messages at that table and their display name is attached to the report for review.
Data requests: request type, description, optional reply e-mail, app version, platformTo answer privacy requests sent with the in-app "Send a data request" form and to prove that we answered.
Push token and device platformOnly if you allow notifications. For service notifications such as table invites, friend requests and "your turn". We never send marketing notifications.
Purchase info: Premium, Ad-free, coin pack and starter pack purchases, transaction ID, refund infoTo verify, deliver and restore purchases and to prevent refund abuse. Card details stay with Apple and Google; we never see them.
Ad and device data: IP address, device model, OS, language; on Android the advertising ID (GAID), on iOS the identifier for vendor (IDFV); your user ID for server-side verification of rewarded adsProcessed by our ad partners to serve ads, verify rewards and prevent fraud (see section 4). We do not access the iOS advertising ID (IDFA).
Error reports: error message and location, app and OS version, platformSent to our own server when the app hits an error, so we can fix it. Kept for 30 days.
Technical logs: IP address, request time, error codes, rate-limit countersFor server security, abuse prevention and debugging. Kept briefly.

What we don't collect: location, contacts, microphone and camera, health data, browsing history. We write to your photo library only if you choose to save a score card there; we never read your photos. The app contains no third-party analytics or crash-reporting SDK (such as Firebase Analytics, Crashlytics or Sentry).

Stored only on your device: offline game saves, solo puzzle progress, language, theme, sound and chat settings, favourites and bot levels. To avoid requesting real ads on test devices, the app compares the device ID with a list on the device only; this ID is never sent to our server.

Sensitive data: MasaPlay does not ask for special categories of data such as health, religion or political opinions. Please don't share such information, your phone number, address or social media accounts in chat.

3Purposes and legal bases

  • Providing the service — performance of a contract (KVKK Art. 5/2-c; GDPR Art. 6(1)(b)): account, profile, age group, games, online tables, chat, friends, service notifications, purchases.
  • Legitimate interests (KVKK Art. 5/2-f; GDPR Art. 6(1)(f)): preventing cheating and abuse; community safety (blocking, reporting, word filter, moderation); server security and debugging; non-personalized ads that fund the free version.
  • Legal obligation (KVKK Art. 5/2-ç): the chat traffic log (Law No. 5651, Art. 5), records of privacy requests and deletions, requests from authorities.
  • Establishing, exercising or defending a right (KVKK Art. 5/2-e): report records and legal disputes.

The notification permission asked by your operating system is a technical permission; you can withdraw it any time in your device settings. We do not use personalized ads, profiling or automated decision-making. If we ever do, we will ask for your explicit consent first.

4Advertising

  • Ad types: The free version has optional rewarded ads: you choose to watch an ad to earn coins or hints. A limited number of interstitial ads may also appear at the end of some games. There are no banner ads.
  • Who serves them: Ads are served through Unity LevelPlay (ironSource), which may fetch ads from Unity Ads, Liftoff (Vungle) and Yandex Ads. The app also contains a BIGO Ads adapter; no ads are currently requested from that network.
  • No personalization: We always request non-personalized ads (consent = no, "do not sell/share" = yes). We never ask for iOS tracking permission. For users whose age group is under 13, ad requests are additionally flagged as child-directed.
  • Data the networks process: Ad networks may process the device data in section 2 and data such as approximate location derived from your IP address under their own privacy policies, to serve and measure ads and prevent fraud; for this processing they act as independent controllers.
  • Android advertising ID: You can reset or delete it in your device's Settings → Privacy (or Google) → Ads.
  • Ad-free use: If you buy Ad-free or Premium, no interstitial ads are shown. You can still watch rewarded ads if you want.

5Who we share data with

Other players: your display name, avatar, match results and ranking are visible to other players. Your chat messages are visible only to players at that table.

Service providers (only as far as needed to provide the service):

ProviderPurposeLocation
Supabase Inc. (AWS infrastructure)Authentication, database, online tables, chat, server functionsGermany (Frankfurt data centre); company in the USA
Google Firebase Cloud MessagingNotification delivery (push token and notification text, e.g. the inviter's name)USA and other countries
Apple Inc. (App Store, Sign in with Apple, APNs) and Google LLC (Google Play, Google Sign-In)Distribution, payment, sign-in, notificationsUSA and other countries
RevenueCat Inc.Purchase verification and restore (your user ID, store receipt)USA
Unity Technologies (LevelPlay / ironSource, Unity Ads)Ad mediation and delivery, reward verification, fraud preventionUSA, Israel and other countries
Liftoff Monetize (Vungle)Ad networkUSA
Yandex Mobile Ads (incl. AppMetrica components)Ad networkYandex group; depending on the processing company, Russian Federation, UAE or other countries
BIGO AdsAd network — adapter included, not currently usedSingapore
GitHub Inc. (GitHub Pages)Hosting these web pages and the invite-link page (visitor IP address)USA

Public authorities: data is disclosed to competent authorities and courts only where the law requires it and on request.

6International transfers

Our service providers' servers are outside Türkiye, so transferring the data listed above to Germany, the USA, Israel, the Russian Federation, the UAE and other countries is technically necessary for the app to work. Our main database is in the European Union (Frankfurt).

  • Users in Türkiye: The Turkish Personal Data Protection Board has not issued an adequacy decision for these countries. These transfers fall under Article 9 of Law No. 6698 (KVKK). As of today, no KVKK standard contract has been signed with these providers and notified to the Authority; for these transfers we rely on the data-protection commitments in the providers' own terms (data processing agreements and the technical and organisational security measures based on them). We are asking the providers to sign the standard contract published by the Board under Article 9; if one is signed, it will be notified to the Authority within 5 business days as the law requires, and this policy will be updated. We try to keep the transferred data to the minimum the service needs.
  • Users in the EU/EEA: transfers rely on the safeguards offered by the providers, such as the EU Standard Contractual Clauses or the EU-U.S. Data Privacy Framework.

7Retention

DataPeriod
Account, profile, age group, progress, match results, friends, blocks, purchase entitlementsWhile your account exists; deleted immediately when you delete your account. Guest accounts with no activity and no purchase for 24 months are deleted automatically.
Coin transactionsDaily-reward, ad, spending and match entries 24 months; purchase and one-time reward entries (which stop a reward being paid twice) while the account exists
Economy and rewarded-ad event logs12 months
Online table data (room, players, moves)At most 24 hours after the game ends or the table is abandoned
Table invites1 day
Chat messages30 days; immediately if you delete your account
Chat traffic log (no content)1 year (Law No. 5651); stays for this period even if you delete your account
Reports and message excerpts12 months; deleted earlier if the reporting or the reported player deletes their account
Moderation decisions (chat restriction, temporary suspension)Up to 12 months after they expire; immediately when the account is deleted
Push tokenUntil you delete your account, sign out or remove notification permission; tokens not refreshed for 270 days are deleted automatically
Notification send log2 days
Error reports30 days
Data requests (privacy requests)3 years (as proof); if you delete your account the link to your user is removed from the request record
Deletion log (date, reason and a one-way hash of the user ID)3 years
Server logs and database backupsFor Supabase's operational periods (short; from days to a few weeks), then deleted automatically

When a period ends, data is deleted or anonymised. Apple, Google, RevenueCat and the ad networks keep the data they hold for their own services under their own policies.

8Account and data deletion

You can instantly delete your account and server-side data in the app via Settings → Delete my account; guest accounts are included. Deletion covers your profile, progress, coins, friendships, chat messages, push token and your RevenueCat customer record. If you signed in with Apple, you can also remove MasaPlay's link to your Apple Account on your iPhone under Settings → [your name] → Sign in with Apple.

The exceptions are listed in section 7: chat traffic log (1 year), data request records and the deletion log (3 years). Premium and Ad-free are tied to your store account; you can get them back with "Restore purchase". Purchased coin packs are deleted with the account and cannot be restored.

If you can't access the app, follow the steps on the account deletion page.

9Security

All traffic is encrypted with TLS. Database access is restricted by Row Level Security rules; coins, Premium and match results can only be changed server-side. Only players at a table can read its chat. No system is 100% secure; we take reasonable technical and organisational measures. If a data breach occurs, we will notify the Turkish Personal Data Protection Board within 72 hours as KVKK requires, and affected users as soon as possible.

10Children and age groups

  • MasaPlay is not directed to children under 13 and is not listed in the stores' children's categories.
  • When you enter online features we ask your year of birth and store only the age group. Under 13: no online play; offline games against bots and solo games stay available. 13–14: public tables and free-text chat are off; you can play with friends by invite or code and use quick phrases and emoji. 15 and over: all features are available. If your device or store provides an age signal (Apple's Declared Age Range on iOS 26 and later, Google Play Age Signals on Android) and you allow it to be shared, we use that first; otherwise we ask your year of birth. Either way only the age group is stored; if a younger age signal arrives later, restrictions only get stricter.
  • The age you enter is a declaration, not an official identity check. If you are under 18, please use the app with the knowledge and supervision of a parent or guardian; for purchases we recommend the stores' parental controls (Apple "Ask to Buy", Google Play parental controls).
  • If we learn that we process data of a child under 13, we will delete it. Parents can write to support@mfatihicin.com.

11Your rights and how to make a request

Under Article 11 of the KVKK you have the right to: learn whether your personal data is processed and, if so, request information about it; learn the purpose of processing and whether data is used accordingly; know the third parties in Türkiye or abroad to whom it is transferred; ask for incomplete or inaccurate data to be corrected, for data to be erased or destroyed under Article 7, and for these actions to be notified to the third parties it was transferred to; object to a result against you arising solely from automated analysis; and claim compensation if you suffer damage because of unlawful processing. In the EU/EEA you also have the GDPR rights of access, rectification, erasure, restriction, objection and portability.

  • In the app: Settings → Privacy & data → Send a data request (in current app versions). The request carries your account, which helps us find it.
  • E-mail: support@mfatihicin.com (sending from the e-mail linked to your account, if any, helps us verify you).

Include your name, contact details and your request; if you write by e-mail, add your friend code. We may ask for extra information to verify your identity. We answer within 30 days, in writing or electronically, free of charge; only if the action involves an extra cost may the fee set by the Board apply. If your request is refused, you find our answer insufficient or we do not answer in time, you may complain to the Turkish Personal Data Protection Board (KVKK Art. 14). People in the EU/EEA may also complain to their local data protection authority.

California: we do not sell personal information or share it for cross-context behavioural advertising.

12Changes

We update this policy when purposes or recipients change. For significant changes we update the date and tell you in the app. If a purpose changes, we inform you before processing data for the new purpose.

13Contact

Mehmet Fatih İçin · support@mfatihicin.com · Support page · KVKK Notice