Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca hazırlanmıştır.
Aynı konuyu günlük dille anlatan bir metin de var: Gizlilik Politikası. İkisi çelişirse bu metin esas alınır.
1. Veri sorumlusunun kimliği
Kanun anlamında veri sorumlusu, Kahveee uygulamasını işleten Kahveee’dir.
2. İşlenen kişisel veriler, amaçları ve hukuki sebepleri
Aşağıdaki tabloda, işlenen her veri kategorisinin yanında hangi amaçla işlendiği ve Kanun’un hangi hükmüne dayandığı gösterilmiştir.
Veri
İşleme amacı
Hukuki sebep
Kimlik ve iletişim verisi Google kullanıcı kimliği, görünen ad, profil fotoğrafı adresi, e-posta adresi
Üyeliğin kurulması ve sürdürülmesi; kullanıcının her girişte tanınması; oyun içinde diğer oyunculara gösterilecek adın belirlenmesi; destek taleplerinin karşılanması
m. 5/2-(c): sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması
İşlem güvenliği verisi Oturum anahtarının özeti, oturumun açılma ve son kullanım zamanı
Oturumun sürdürülmesi; yetkisiz erişimin önlenmesi; hesabın başka bir cihazdan ele geçirilmesinin tespiti
m. 5/2-(c) ve m. 5/2-(f): veri sorumlusunun meşru menfaati
Oyun verisi Oturulan masalar, koltuk, maçın seyri ve sonucu
Oyunun oynatılması; yarıda kalan maçın sürdürülmesi; anlaşmazlıkların çözümü; hilenin ve kural dışı davranışın tespiti
m. 5/2-(c) ve m. 5/2-(f)
Çay hareketleri Masaya giriş, kazanç, yeniden giriş, satın alma, günlük çay, referans ödülü
Oyun içi bakiyenin hesaplanması; her hareketin denetlenebilir olması; hatalı veya çift kayıt yapılmasının önlenmesi
m. 5/2-(c) ve m. 5/2-(e): bir hakkın tesisi, kullanılması veya korunması
Sohbet verisi Lobide yazılan mesajlar, bildirilen mesajlar, sohbet hakkının süresi
Mesajın diğer kullanıcılara iletilmesi; bildirilen içeriğin incelenmesi; kural dışı içeriğin kaldırılması ve gerekirse hesabın kısıtlanması
m. 5/2-(c) ve m. 5/2-(f)
Satın alma verisi Mağaza, işlem numarası, ürün, adet, tarih
Satın alınan oyun içi ürünün hesaba geçirilmesi; aynı işlemin iki kez işlenmemesi; iade hâlinde karşılığının düzeltilmesi; mali mevzuatın gerektirdiği kayıtların tutulması
m. 5/2-(c) ve m. 5/2-(ç): hukuki yükümlülüğün yerine getirilmesi
Sıra, masa ve oyunla ilgili bildirimlerin kullanıcının cihazına ulaştırılması
m. 5/1: açık rıza (cihaz izni verildiğinde). İzin verilmezse bu veri hiç işlenmez.
Referans verisi Kullanıcının referans kodu, girdiği kod, davet eden kullanıcı
Referans ödülünün her iki tarafa bir kez verilmesi; aynı kişinin birden çok kez ödül almasının engellenmesi
m. 5/2-(c) ve m. 5/2-(f)
Özel nitelikli kişisel veri işlenmez. Kanun’un 6. maddesinde sayılan verilerin (sağlık, din, ırk, biyometrik veri vb.) hiçbiri talep edilmez, toplanmaz ve saklanmaz.
Otomatik karar yoktur. Kişisel verileriniz, münhasıran otomatik sistemlerle analiz edilerek aleyhinize sonuç doğuran bir işleme tabi tutulmaz. Hesabın kapatılması ya da sohbetin kısıtlanması gibi kararlar bir kişi tarafından verilir.
3. Kişisel verilerin toplanma yöntemi
Kişisel verileriniz tamamen otomatik yollarla, aşağıdaki kanallardan toplanır:
Google ile Oturum Aç akışı. Kimlik ve iletişim verisi, girişi tamamladığınızda Google tarafından uygulamamıza iletilir.
Uygulamanın kendisi. Oyun verisi, çay hareketleri, sohbet ve referans verisi, siz uygulamayı kullandıkça oluşur.
Google Play ve App Store. Satın alma verisi, siz bir satın alma tamamladığınızda ilgili mağazadan doğrulanarak alınır.
m. 5/2-(c); bildirimler bakımından m. 5/1 (açık rıza)
Apple
iOS tarafındaki satın almanın doğrulanması
m. 5/2-(c)
Sunucu barındırma sağlayıcısı
Verilerin tutulduğu sunucunun işletilmesi
m. 5/2-(c) ve m. 5/2-(f)
Yetkili kamu kurum ve kuruluşları
Mahkeme kararı veya kanunun açıkça yetkilendirdiği talep üzerine, talebin kapsamıyla sınırlı olarak
m. 5/2-(a) ve m. 5/2-(ç)
Oyunun veritabanı Türkiye’de bulunan bir sunucudadır. Google ve Apple, hizmetlerinin niteliği gereği verinin bir bölümünü yurt dışındaki sunucularında işleyebilir. Bu kapsamdaki yurt dışına aktarım, Kanun’un 9. maddesinde öngörülen şartlara uygun olarak yapılır.
5. Saklama süreleri
Hesap, oturum, oyun, çay, sohbet, bildirim ve referans verisi: üyelik devam ettiği sürece. Hesabın silinmesiyle birlikte silinir.
Satın alma verisi: üyelik sona erse dahi, kaydın kullanıcıyla bağı koparılarak, mali mevzuatın ve mağaza kurallarının gerektirdiği süre boyunca saklanır.
Maç kayıtlarındaki koltuk: aynı maç diğer dört oyuncunun da verisi olduğundan maç kaydı korunur; ancak silinen kullanıcıyı gösteren ad ve hesap bağı kaldırılır, geriye kimseyi tanımlamayan bir koltuk kalır.
Sunucunun teknik erişim kayıtları: arıza ve güvenlik incelemesi için gereken kısa süre.
Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.
6. Hesabın silinmesi
Kullanıcı, başvuru yapmasına gerek kalmadan, uygulamanın içinden kendi hesabını silebilir. Silme işlemi geri alınamaz ve yukarıdaki iki istisna dışında kullanıcıyı tanımlayan bütün verileri kaldırır. Hâlen oynanmakta olan bir masada oturuluyorsa silme işlemi maçın bitmesinden sonraya bırakılır; bunun sebebi, yarıda kalan elin masadaki diğer oyuncuları da etkilemesidir.
7. İlgili kişinin hakları
Kanun’un 11. maddesi uyarınca, veri sorumlusuna başvurarak şu haklara sahipsiniz:
Kişisel verinizin işlenip işlenmediğini öğrenme,
Kişisel veriniz işlenmişse buna ilişkin bilgi talep etme,
Kişisel verinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verinizin aktarıldığı üçüncü kişileri bilme,
Kişisel verinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
Kanun’un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verinizin silinmesini veya yok edilmesini isteme,
(e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.
8. Başvuru yolu
Yukarıdaki haklarınıza ilişkin taleplerinizi, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun olarak info@kahveee.com adresine iletebilirsiniz. Başvurunuzu, sistemimizde kayıtlı e-posta adresinizden — yani hesabınıza bağlı adresten — göndermeniz, kimliğinizi doğrulamamızı kolaylaştırır.
Başvurunuzda aşağıdakilerin bulunması gerekir:
Ad, soyad ve başvuru yazılı ise imza,
Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası; yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası,
Tebligata esas yerleşim yeri veya iş yeri adresi,
Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
Talep konusu.
Başvurunuz, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. İşlem ayrıca bir maliyet gerektirmiyorsa ücret alınmaz; gerektiriyorsa Kişisel Verileri Koruma Kurulu’nca belirlenen tarifedeki ücret uygulanır.
Başvurunuz reddedilir, verdiğimiz cevabı yetersiz bulursanız veya otuz gün içinde cevap verilmezse; cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.
9. Değişiklikler
Bu aydınlatma metni gerektiğinde güncellenir. Güncel metin her zaman bu adreste yayımlanır ve en üstteki tarih değişir.
Data Protection Notice
Last updated: 27 September 2026
This notice is given under article 10 of the Turkish Personal Data Protection Act no. 6698 (“the Act”) and the Communiqué on the Procedures and Principles to be Followed in Fulfilling the Obligation to Inform.
The same ground is covered in plainer language in the Privacy Policy. Where the two differ, this notice governs.
This is a translation, provided for convenience. The is the one that has legal effect.
1. Identity of the data controller
The data controller for the purposes of the Act is Kahveee, who runs the Kahveee app.
2. Personal data processed, the purposes, and the legal grounds
The table below sets out each category of data processed, why it is processed, and which provision of the Act it rests on.
Data
Purpose of processing
Legal ground
Identity and contact data Google user id, display name, profile picture address, e-mail address
Creating and maintaining the membership; recognising the user at each sign-in; settling the name shown to other players in the game; answering support requests
Art. 5/2-(c): directly related to the conclusion or performance of a contract
Transaction security data Digest of the session key, times the session was opened and last used
Keeping the session; preventing unauthorised access; detecting an account taken over from another device
Art. 5/2-(c) and art. 5/2-(f): the controller’s legitimate interests
Game data Tables sat at, seat, the course and result of a match
Running the game; carrying on an interrupted match; resolving disputes; detecting cheating and conduct against the rules
Calculating the in-game balance; keeping every movement auditable; preventing mistaken or duplicate entries
Art. 5/2-(c) and art. 5/2-(e): necessary for the establishment, exercise or protection of a right
Chat data Messages written in the lobby, messages reported, duration of chat access
Delivering the message to other users; reviewing reported content; removing content against the rules and, where needed, restricting the account
Art. 5/2-(c) and art. 5/2-(f)
Purchase data Store, transaction number, product, quantity, date
Crediting the in-game product bought; making sure one transaction is not processed twice; correcting the balance on a refund; keeping the records required by tax law
Art. 5/2-(c) and art. 5/2-(ç): compliance with a legal obligation
Device notification data Notification token, platform (iOS / Android)
Delivering notifications about turns, tables and the game to the user’s device
Art. 5/1: explicit consent (given through the device permission). Without that permission this data is never processed.
Referral data The user’s referral code, the code entered, the inviting user
Giving the referral reward once to each side; preventing the same person collecting it repeatedly
Art. 5/2-(c) and art. 5/2-(f)
No special categories of personal data are processed. None of the data listed in article 6 of the Act (health, religion, race, biometric data and so on) is requested, collected or stored.
There are no automated decisions. Your personal data is not subjected to processing that analyses it solely by automated means and produces a result against you. Decisions such as closing an account or restricting chat are taken by a person.
3. Method of collection
Your personal data is collected wholly by automated means, through the following channels:
The Sign in with Google flow. Identity and contact data is passed to the app by Google when you complete the sign-in.
The app itself. Game data, cay movements, chat and referral data come into being as you use the app.
Google Play and the App Store. Purchase data is taken, verified, from the relevant store when you complete a purchase.
Your device’s notification service. When you allow notifications, the notification token is passed to the app.
4. Transfers
Your personal data is not sold and is not shared for marketing. Transfers happen only in the cases below and only to the extent needed:
Recipient
Data transferred and purpose
Legal ground
Google
Verifying the sign-in; delivering notifications (Firebase Cloud Messaging); verifying purchases on Android
Art. 5/2-(c); for notifications, art. 5/1 (explicit consent)
Apple
Verifying purchases on iOS
Art. 5/2-(c)
Hosting provider
Running the server the data is held on
Art. 5/2-(c) and art. 5/2-(f)
Competent public authorities
On a court order or a request the law expressly authorises, limited to the scope of that request
Art. 5/2-(a) and art. 5/2-(ç)
The game’s database is on a server in Türkiye. Google and Apple may, by the nature of their services, process part of the data on servers abroad. Transfers abroad on that footing are made in accordance with article 9 of the Act.
5. Retention
Account, session, game, cay, chat, notification and referral data: for as long as the membership continues. It is deleted when the account is deleted.
Purchase data: kept even after the membership ends, with the link to the user cut, for as long as tax law and the stores’ rules require.
The seat in a match record: the match is also the data of the other four players, so the match record is kept; the name and the account link identifying the deleted user are removed, leaving a seat that identifies nobody.
The server’s technical access logs: the short time needed for fault and security investigation.
When the period ends the data is deleted, destroyed or anonymised.
6. Deleting the account
A user can delete their own account from inside the app, without having to make a request. Deletion cannot be undone and removes every piece of data identifying the user, apart from the two exceptions above. If the user is sitting at a match that is still being played, the deletion is deferred until the match has ended; that is because an abandoned hand affects the other players at the table.
7. Rights of the data subject
Under article 11 of the Act, by applying to the data controller you have the right to:
learn whether your personal data is being processed,
request information if it has been processed,
learn the purpose of the processing and whether the data is used in line with that purpose,
know the third parties, in the country or abroad, to whom your data has been transferred,
ask for your data to be corrected if it is incomplete or inaccurate,
ask for your data to be erased or destroyed, within the conditions of article 7 of the Act,
ask that anything done under (e) and (f) be notified to the third parties your data was transferred to,
object to a result against you arising from your data being analysed solely by automated means,
claim compensation if you suffer loss because your data has been processed unlawfully.
8. How to apply
Requests concerning the rights above can be sent to info@kahveee.com, in line with the Communiqué on the Procedures and Principles of Application to the Data Controller. Sending your request from the e-mail address registered in our system — the one attached to your account — makes it easier for us to verify who you are.
Your application should contain:
your name and surname, and your signature if the application is in writing,
your Turkish Republic identity number, or for foreign nationals your nationality, passport number or identity number if you have one,
your residential or business address for notification,
your e-mail address, telephone or fax number for notification, if any,
the subject of your request.
Your application will be concluded as soon as possible and within thirty days at the latest, depending on its nature. No fee is charged unless the work involves a cost; where it does, the tariff set by the Personal Data Protection Board applies.
If your application is refused, if you find our answer insufficient, or if no answer is given within thirty days, you may complain to the Personal Data Protection Board within thirty days of learning the answer and in any event within sixty days of the date of your application.
9. Changes
This notice is updated where needed. The current text is always published here and the date at the top changes with it.