KVKK Aydınlatma Metni
Privacy Notice (Turkish DPA)

Türkçe

Worvento Kişisel Verilerin Korunması Aydınlatma Metni

Sürüm: 1.0 · Yürürlük: 8 Ağustos 2026 · Son güncelleme: 8 Ağustos 2026

Özet — bir bakışta

Bu özet, aşağıdaki ayrıntılı bölümlerin yerine geçmez; onlara giriş niteliğindedir. Bağlayıcı olan ayrıntılı bölümlerdir.

0. Bu metin nedir, ne değildir

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (kısaca "Kanun") 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in (RG 10.03.2018/30356) 4. ve 5. maddeleri uyarınca hazırlanmış bir bilgilendirmedir.

Bu metin bir onay veya rıza belgesi değildir. Sizden bu metin için "kabul ediyorum" demeniz istenmez; yalnızca okuduğunuzu ve anladığınızı beyan etmeniz istenir. Bunun nedeni, Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararıdır (Resmî Gazete 24.03.2026 / 33203): aydınlatma metni ile açık rıza metni ayrı belgeler olmak zorundadır, birleştirilemez ve tek bir onay kutusuyla sunulamaz.

Yalnızca iki işleme faaliyeti için sizden açık rıza istiyoruz: profil fotoğrafı ve kişiselleştirilmiş reklam. Onlar ayrı bir belgede, Açık Rıza Metni'nde toplanmıştır: https://worvento.com/legal/acik-riza. Bu metni okumak, o rızaları vermiş sayılmanıza yol açmaz. Yurt dışına aktarım için sizden açık rıza istemiyoruz; nedeni 8.2 bölümünde yazılıdır.

Kullanım Koşulları sözleşmesi de ayrı bir belgedir: https://worvento.com/legal/terms

İlgili diğer belgeler:

• Hesap ve veri silme akışı: https://worvento.com/legal/veri-silme
• Uygulamada kullanılan üçüncü taraf bileşenlerin (yazılım geliştirme kitlerinin) ve cihazda

saklanan verilerin ayrıntılı listesi: https://worvento.com/legal/izleme-teknolojileri

• İlgili kişi başvuru formu: https://worvento.com/legal/basvuru

1. Veri sorumlusunun kimliği (Kanun m.10/1-a)

Worvento uygulamasının (com.worvento.app) veri sorumlusu bir gerçek kişidir; tüzel kişi değildir.

Kayıtlı elektronik posta (KEP) adresimiz bulunmamaktadır; bu nedenle KEP üzerinden başvuru alamıyoruz. Kabul edilen başvuru kanallarının tamamı 10.2 bölümündedir.

Dağıtım bölgesi. Worvento; Avrupa Birliği/Avrupa Ekonomik Alanı, Birleşik Krallık, İsviçre, Japonya, Güney Kore, Çin ve Suudi Arabistan'da dağıtılmamaktadır ve bu ülkelerdeki kullanıcılara yönelik değildir. Türkiye dışındaki kullanıcılar için ek bilgiler 12. bölümdedir.

2. Kişisel verileri hangi yolla topluyoruz (Kanun m.10/1-ç; Aydınlatma Tebliği m.5/1-h)

Aydınlatma Tebliği m.5/1-h, verinin hangi yolla elde edildiğinin açıkça yazılmasını ister. Worvento'da iki yol vardır:

1. Tamamen otomatik yolla — verinin büyük bölümü buraya girer: uygulamayı kullanmanız

sırasında istemci uygulamasının sunucuya gönderdiği veriler (kayıt ve giriş formu alanları, çalışma sonuçları, oyun sonuçları, cihaz tanımlayıcıları, IP adresi, saat dilimi kayması, satın alma makbuzu, reklam ödülü doğrulaması) ve sunucunun kendi ürettiği kayıtlar (oturum kayıtları, güvenlik sayaçları, işletim logları).

1. Veri kayıt sisteminin parçası olarak otomatik olmayan yolla — destek ve şikâyet

mesajlarında olduğu gibi, sizin serbest metin olarak yazıp bize ilettiğiniz ve sonrasında e-posta kutusunda düzenli biçimde saklanan veriler.

Aşağıdaki tabloların "Toplama yöntemi" kolonu her satır için bu ikisinden hangisinin geçerli olduğunu gösterir.

3. İşleme faaliyetleri tablosu (Kanun m.10/1-b, 1-c, 1-ç)

Aşağıdaki tablolarda her satır beş bilgiyi birlikte taşır: hangi veri, hangi somut amaç, hangi hukuki sebep (bent numarasıyla), hangi yolla toplandığı ve hangi alıcı grubuna aktarıldığı. Hukuki sebep kolonunda toplu atıf yapılmaz; her satırda ilgili bent tek tek yazılıdır.

Alıcı grubu kısaltmaları: [YB] yurt dışı barındırma sağlayıcısı · [YD] yurt dışı nesne depolama sağlayıcısı · [EP] e-posta gönderim altyapısı · [RS] reklam sağlayıcısı · [MS] mağaza ve ödeme sağlayıcısı · [DK] uygulamanın diğer kullanıcıları. Bu grupların kim olduğu 8. bölümdedir.

3.1 Hesap açma ve kimlik doğrulama

Erişim anahtarınızın içinde e-posta adresiniz de taşınır. Bu anahtar cihazınızda şifreli depoda tutulur ve her istekte sunucuya gönderilir.

Canlı maç ve düello bildirimleri için kurulan WebSocket bağlantısında bu anahtar adres satırının sorgu kısmında taşınır. Bunun sonucu şudur: ters vekil sunucunun erişim kayıtlarına anahtar düşebilir.

3.2 Öğrenme verisi

3.3 Oyunlaştırma ve uygulama içi ekonomi

Saat dilimi kayması hakkında dürüst uyarı: konum verisi toplamıyoruz, fakat saat dilimi kaymasından kaba bir coğrafi çıkarım yapılabilir. Bunu 6. bölümde ayrıca yazıyoruz.

3.4 Sosyal katman ve herkese açık gösterim

Şikâyet gerekçesi hakkında dürüst uyarı: yazdığınız serbest metin, yönetici ekranında şikâyet eden ve şikâyet edilen kullanıcı adlarıyla birlikte görüntülenir. Kişisel bilgi yazmamanızı öneririz.

3.5 Güvenlik, kötüye kullanımın önlenmesi ve işletim

Bağlantı kontrolü. Uygulama, internet bağlantınızın çalıştığını doğrulamak için düzenli olarak küçük bir istek gönderiyor. Bu istek yalnız kendi sunucumuza gidiyor (/health), yaklaşık 45 saniyede bir. Üçüncü tarafa hiçbir şey gitmiyor.

Bu metnin daha önceki sürümünde, kullandığımız kütüphanenin varsayılanları değiştirilmediği için bu kontrolün IP adresinizi dört üçüncü taraf adrese (one.one.one.one, icanhazip.com, jsonplaceholder.typicode.com, pokeapi.co) yaklaşık on saniyede bir gönderdiği yazıyordu. O tasarım kusuru düzeltildi; orada beyan edilen dört aktarım artık yapılmıyor.

3.6 Satın almalar

Ödeme bilgileriniz bize hiç gelmez. Kart numarası, adınız, adresiniz ve vergi bilginiz mağazada kalır. Bize yalnızca mağazanın verdiği makbuz metni, işlem kimliği ve ürün kimliği ulaşır.

Uygulama içi satın alma kayıtları, hesabınızı sildiğinizde de silinmez; vergi ve muhasebe mevzuatı ile iade süreçleri bunu gerektirir. Ayrıntı 5. bölümdedir.

3.7 Reklam

Reklam sağlayıcısına gönderilen kullanıcı numarası hakkında dürüst uyarı: ödüllü reklamın sonunda ödülü sunucunun verebilmesi için reklam sağlayıcısına iç kullanıcı numaranız düz metin olarak gönderiliyor. Yani bu veri takma adlı değildir; reklam sağlayıcısı tarafındaki kayıt doğrudan hesabınızla eşleşebilir.

3.8 Profil fotoğrafı

Fotoğraf yüklemek isteğe bağlıdır; yüklemezseniz uygulamanın tüm işlevleri açık kalır. Fotoğrafınızın hukuken önemli dört özelliğini burada açıkça yazıyoruz:

• Fotoğraf yükleme ücretli bir özelliktir. Yükleme yalnızca premium (reklamsız erişim veya

sezon pass) hakkı bulunan hesaplara açıktır ve bu sınır sunucuda uygulanır: hakkınız yoksa yükleme bileti hiç üretilmez, sunucu talebi reddeder. Fotoğrafı kaldırmak ücretsizdir ve her zaman yapılabilir; yani rızanızı geri almak için ödeme yapmanız gerekmez. Bir işleme faaliyetinin ücrete bağlanmasının rıza hukuku bakımından doğurduğu sorun Açık Rıza Metni'nin

1. bölümündeki avukat notunda ayrıca işaretlenmiştir.

• Fotoğraf, yurt dışındaki bir nesne depolama hizmetinde, herkesin okumasına açık bir alanda

saklanır. Erişim kontrolü "adresi bilmek" üzerinedir; adres rastgele ve tahmin edilemez üretilir. Bu bir kimlik doğrulaması değildir: adresi eline geçiren herkes, hesabı olmasa bile fotoğrafı görebilir. Bu nedenle "fotoğrafınızı yalnız premium kullanıcılar görebilir" biçiminde bir koruma iddia etmiyoruz.

• Sunucu, tam çözünürlüklü kopyanın adresini yalnız fotoğrafın sahibine ve premium hakkı olan

görüntüleyicilere gönderir; küçük kopya ise avatar olarak herkese görünür. Bu bir erişim kontrolü değil, adres gizliliğidir (yukarıdaki maddeye bakınız).

• Fotoğrafı sildiğinizde asıl kopya silinir, fakat içerik dağıtım ağındaki önbellek kopyası

bir yıla kadar yaşayabilir. Kopya, oluşturulurken bir yıllık ve değiştirilemez önbellek ömrüyle işaretlenir.

Fotoğrafınızı yüz tanıma veya benzeri bir teknik işlemden geçirmiyoruz; kimliğinizi tekil olarak belirlemek veya doğrulamak için kullanmıyoruz. Fotoğraftan ırk, etnik köken, din, sağlık veya benzeri bir çıkarım da yapmıyoruz.

3.9 Destek

Destek mesajınız veritabanına kaydedilmez; e-posta olarak destek adresine iletilir ve o e-posta kutusunda kalır. Kutu, bir e-posta altyapısı sağlayıcısında barındırılmaktadır.

Dürüst uyarı: e-posta gönderim yapılandırması kapalı olduğunda destek mesajınızın tam metni sunucunun işletim loglarına da yazılır. Bu loglar yedi gün tutulur.

3.10 Cihazınızda kalan veriler

Bazı veriler cihazınızdan hiç çıkmaz; sunucuya gönderilmez. Yine de kişisel verinizdir ve uygulamayı kaldırmadıkça cihazda kalır. Bunların hiçbiri hesabınızı sildiğinizde temizlenmez; cihazdan silmenin tek yolu uygulamayı kaldırmaktır. iOS'ta cihaz parmak izi, uygulamayı kaldırsanız bile kalır.

Tam liste bu metnin sonundaki Ek A bölümündedir.

4. Herkese açık olan veriler — kapatma ayarı yok

Bunu açıkça yazıyoruz çünkü kullanıcıların en sık yanıldığı nokta budur. Aşağıdaki veriler, uygulamayı kullanan diğer kullanıcılar tarafından görülebilir ve şu an bunu kapatan bir ayar uygulamada bulunmamaktadır:

Ek olarak: bir düello sonucunu paylaştığınızda rakibinizin kullanıcı adı, oluşturulan görsele gömülü biçimde sizin seçtiğiniz uygulamaya gider. Rakibinize bu konuda bildirim gitmez ve onayı sorulmaz.

5. Saklama süreleri (Kanun m.7; Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği)

Bu tabloda yalnızca uygulamanın gerçekten yaptığı süreler yazılıdır. Bir kalem için süre tanımlı değilse bunu açıkça yazıyoruz; uydurma bir sayı vermiyoruz.

Dürüstçe söylemek gerekir ki, günlük lig satırları ve ortak listeden sildiğiniz kelimeler için kodun içinde "kısa süre tutulur" yönünde açıklamalar bulunsa da, bu temizlik işlemi henüz yazılmamıştır. Bu yüzden yukarıdaki tabloda "silme süresi yoktur" satırına dahildirler. Ortak listeden bir kelimeyi sildiğinizde kelime fiilen silinmez, "silinmiş" olarak işaretlenir.

İmha yöntemi. Saklama süresi sona eren veya silinmesini talep ettiğiniz veriler için uygulanan yöntemler şunlardır: veritabanı kayıtları için silme (satırın veritabanından kaldırılması); nesne deposundaki fotoğraflar için silme (nesnenin depodan kaldırılması); log dosyaları için yok etme (dosya döngüsü dolduğunda dosyanın bütün olarak kaldırılması); önbellekteki geçici kayıtlar için süre dolduğunda otomatik silme. Vergi ve muhasebe mevzuatı nedeniyle tutulması zorunlu satın alma kayıtları için amaçlanan yöntem anonim hale getirmedir: kullanıcı numarasının kişiyle bağının koparılması.

5.1 Hesabınızı sildiğinizde ne olur — gerçeği

Hesap silme iki adımlıdır: önce parolanızı teyit edersiniz, ardından e-postanıza gelen kodu girersiniz. Tek dokunuşla silme yoktur. Silme akışının adım adım anlatımı ayrı bir belgededir: https://worvento.com/legal/veri-silme. Bu bölümdeki liste ile o belgedeki liste birebir aynı olmak zorundadır; aralarında fark oluşursa o belge esas alınır ve bu bölüm güncellenir.

Gerçekten silinenler: hesap satırınız ve bu satırın içindeki her şey (deneyim puanı, altın, jokerler, rozetler, seriler, IP adresleriniz, cihaz parmak iziniz, tercihleriniz, evcil hayvan durumu, kozmetikler, sezon ve görev durumu, hediye geçmişi, itibar puanı); arkadaşlık kayıtları; engelleme kayıtları; taraf olduğunuz şikâyet kayıtları; oturum yenileme kayıtları; günlük lig satırları; günlük 60 saniye sonuçları; boss sınavı sonuçları; Günün Kelimesi ve Wordle sonuçları; Mini Çengel sonuçları; Kelime Kulesi koşuları; evcil hayvan kaydı; davet kodunuz; ortak liste üyelikleriniz; profil fotoğrafı nesneleri (elden gelen çabayla).

Silinmeyenler — bunu saklamıyoruz:

6. Toplamadığımız veriler

Kullanıcıların en çok sorduğu kalemlerin hiçbirini toplamıyoruz: konum, rehber, telefon numarası, sağlık verisi, mikrofon ve ses kaydı, takvim, kısa mesaj, biyometrik doğrulama, kurulu uygulama listesi, cihazın donanım kimlikleri, pano içeriği, analitik ve çökme raporlama verisi, başka bir hesapla giriş. Kalem kalem tam liste Ek B bölümündedir.

(Bildirim gönderebilmek için cihazınıza ait bir bildirim anahtarı saklıyoruz — bu listede değil; ayrıntısı 3. bölümde.)

Bir istisnayı açıkça yazıyoruz: konum toplamıyoruz, fakat cihazınızın saat dilimi kaymasını günlük sıfırlama için sunucuya gönderiyoruz. Bu değerden kaba bir coğrafi çıkarım yapılabilir. Ayrıca IP adresiniz hem bizim sunucumuza hem de 3.5 bölümünde yazılı dört bağlantı kontrolü adresine ulaşır; IP adresinden de kaba bir konum çıkarımı mümkündür.

7. Bildirim kanalları

Uygulamanın size ulaşabildiği kanallar şunlardır ve hepsini burada yazıyoruz:

1. Uygulama içi gerçek zamanlı olaylar — uygulama açık ve ön plandayken, canlı maç daveti ve

maç durumu güncellemesi bir WebSocket bağlantısıyla iletilir.

1. Ana ekran widget'ı — widget'ı eklerseniz, günlük seri gün sayınız cihazınızın widget

deposuna yazılır ve kilit ekranında görünebilir.

1. E-posta — doğrulama kodu, şifre sıfırlama kodu, hesap silme onay kodu, parola değişikliği

bildirimi ve destek yanıtı.

1. İşletim sistemi bildirimleri (anlık bildirim) — cihazınızın bildirim merkezinde görünen

bildirimler. İki ayrı gruba ayrılmıştır ve ayrı ayrı açılıp kapatılır:

| Sürüm güncelleme duyuruları | yeni sürüm yayımlandığında bilgilendirme | Sunucumuz bir kez gönderir; ardından cihazınız güncelleme yapılana kadar günde en fazla bir hatırlatma kurar | hizmetin işleyişine bağlı — ayrıca onay alınmaz |

İlk iki grubu Ayarlar → Bildirimler bölümünden istediğiniz an kapatabilirsiniz. Sürüm güncelleme duyuruları hizmetin doğru ve güvenli çalışmasına bağlı olduğundan uygulama içinden kapatılamaz; cihazınızın sistem ayarlarından uygulamanın tüm bildirimlerini kapatabilirsiniz. 22:00 – 08:00 arasında bildirim gönderilmez, günde en fazla iki hatırlatıcı gönderilir ve o gün uygulamayı kullandıysanız kalan hatırlatıcılar iptal edilir. Sürüm güncelleme duyurusu bu iki hatırlatıcıdan ayrıdır ve günde en fazla birdir; güncelleme yapıldığı anda durur.

Anlık bildirimlere ilişkin onay (Kurul'un 14.01.2026 tarihli kamuoyu duyurusu). "Hatırlatıcılar ve ipuçları" grubu, hizmetin işleyişi için zorunlu olmayan, kullanımı özendirmeye yönelik bildirimler içerir. Bu nedenle arkadaş ve oyun bildirimlerinden ayrı, kendi anahtarıyla sunulur ve kurulumda açık gelir; ilk açılışta bu konuda bilgilendirilir, dilediğiniz an Ayarlar > Bildirimler'den kapatabilirsiniz. Kapatma tercihiniz ile onay tarihiniz ve onayladığınız metin sürümü cihazınızda kaydedilir. Gruplar tek bir onaya bağlanmaz; işletim sistemi bildirim izni ayrıca istenir.

Sürüm güncelleme duyuruları neden ayrı onaya bağlı değil. Bu duyurular kullanımı özendirmeye değil, hizmetin sözleşmeye uygun, doğru ve güvenli sunulmasına yöneliktir: eski sürümlerde ödül, ödeme ve güvenlik akışları bozulabilir; kullanıcının bundan haberdar edilmesi hizmetin bir parçasıdır. Bu nedenle işleme dayanağı açık rıza değil, KVKK m.5/2-c (sözleşmenin ifası için gerekli olma) ve m.5/2-f (veri sorumlusunun meşru menfaati) hükümleridir. Kapsamı dardır: yalnız sürüm bilgisi, günde en fazla bir bildirim, gece gönderim yok, güncelleme yapıldığı anda son. Pazarlama içeriği taşımaz.

Pazarlama veya kampanya e-postası göndermiyoruz. Göndermeye başlarsak, bunun için ayrıca ve ayrı bir kutucukla onayınızı isteyeceğiz.

8. Kişisel verilerin aktarıldığı alıcı grupları ve yurt dışına aktarım

Kişisel verilerinizi satmıyoruz. Verinizi veri tacirlerine, reklam borsalarına veya herhangi bir üçüncü kişiye satmıyor, kiralamıyor ve takas etmiyoruz.

Buna karşılık veri paylaşılıyor ve bunu gizlemiyoruz: uygulamayı çalıştırabilmek için aşağıda sayılan alıcılara, aşağıda sayılan kadar veri gidiyor. Bunların bir kısmı bizim adımıza çalışan hizmet sağlayıcılarıdır (veri işleyen); bir kısmı ise verinizi kendi amaçlarıyla da işleyen bağımsız veri sorumlusudur. Reklam sağlayıcısı ikinci gruptadır; bu ayrımı tabloda açıkça gösteriyoruz.

8.1 Alıcı grupları ve aktarım amaçları (Kanun m.10/1-c; Aydınlatma Tebliği m.5/1-ğ)

Ek olarak, siz "paylaş" dediğinizde oluşturulan görsel ve metin, sizin seçtiğiniz uygulamaya (mesajlaşma uygulaması, sosyal ağ, e-posta) gider. Bu aktarımı siz başlatırsınız; alıcı uygulama bağımsız veri sorumlusudur. Bir kelimeyi sesli okuttuğunuzda kelimenin metni cihazınıza yüklü sesli okuma motoruna gider; motor buluta bağlanıyorsa kelime metni cihaz dışına çıkabilir.

Kullanıcıya açık gizlilik politikaları:

• Hetzner: https://www.hetzner.com/legal/privacy
• Cloudflare: https://www.cloudflare.com/privacypolicy/
• Google (Gmail, Play, genel): https://policies.google.com/privacy
• Google reklam ortakları: https://policies.google.com/technologies/partner-sites
• Apple: https://www.apple.com/legal/privacy

8.2 Yurt dışına aktarım — Kanun m.9 tablosu

Aşağıdakiler Türk hukuku bakımından yurt dışına aktarımdır. Ağustos 2026 itibarıyla Kurul hiçbir ülke, sektör veya uluslararası kuruluş için yeterlilik kararı vermemiştir; bu nedenle doğrudan uygun güvence kademesine (m.9/3-4) geçilir.

Aşağıdaki tablonun son kolonu planlanan dayanağı gösterir: standart sözleşmelerin imzalanması ve imza tarihinden itibaren beş iş günü içinde Kurum'a bildirilmesi işlemi henüz yapılmamıştır.

Kanun m.9/6'daki açık rızaya dayanan yol bu aktarımlar için kullanılamaz. 7499 sayılı Kanunla 1 Haziran 2024'te yürürlüğe giren değişiklikten sonra açık rıza, yurt dışına aktarımda ancak arızi hallerde başvurulabilecek istisnai bir yoldur. Barındırma, depolama, reklam ve e-posta gönderimi sürekli ve düzenli aktarımlar olduğu için "arızi" sayılamaz. Bu nedenle sizden yurt dışına aktarım için açık rıza istemiyoruz; doğru yol standart sözleşmedir.

Aktarımın taşıdığı riskler: verinizin bulunduğu ülkenin veri koruma rejimi Türkiye'den farklı olabilir; oradaki kamu makamlarının erişim yetkileri farklı olabilir; haklarınızı o ülkede kullanmanız ve etkili başvuru yollarına erişmeniz Türkiye'ye kıyasla güç olabilir. Amerika Birleşik Devletleri merkezli sağlayıcılar bakımından, Amerikan makamlarının veri talebi mevzuatı ayrıca değerlendirilmelidir.

9. Otomatik sistemlerle yapılan değerlendirmeler

Aşağıdaki kararlar, insan incelemesi olmadan, otomatik olarak verilebilir:

• Çoklu hesap sinyali: aynı cihaz parmak izinde eşiği aşan sayıda hesap açıldığında bir uyarı

kaydı üretilir. Bu tek başına hesabınızı engellemez.

• Askıya alma yayılımı: bir hesap askıya alındığında, aynı cihaz parmak izini taşıyan diğer

hesaplar da askıya alınabilir.

• Deneyim puanı kabul tavanı: günlük tavanı aşan puan senkronizasyonu reddedilir ve kaydedilir.
• Hız sınırlama ve hesap kilidi: çok sayıda başarısız girişte hesap geçici olarak kilitlenir;

belirli uçlarda istek sayısı sınırlanır.

• Davet kodu sınırı: aynı cihazdan yapılan davet kodu kullanımı sınırlanır.
• Ödül ve satın alma tekrar kontrolü: aynı reklam ödülü veya aynı makbuz ikinci kez

işlenmez.

Kanun m.11/1-g uyarınca, münhasıran otomatik sistemler aracılığıyla yapılan bir değerlendirme aleyhinize bir sonuç doğurursa buna itiraz etme hakkınız vardır. İtirazınızı 10. bölümdeki kanallardan iletebilirsiniz; talebiniz insan tarafından incelenir.

10. Haklarınız ve başvuru yolu (Kanun m.11, m.13, m.14)

10.1 Kanun m.11'deki haklarınız

Veri sorumlusu olarak bize başvurarak:

a) Kişisel verinizin işlenip işlenmediğini öğrenme, b) İşlenmişse buna ilişkin bilgi talep etme, c) İşlenme amacını ve verinizin amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında verinizin aktarıldığı üçüncü kişileri bilme, d) Verinizin eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme, e) Kanun m.7'deki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, verinizin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) Münhasıran otomatik sistemler aracılığıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz etme, ğ) Kanuna aykırı işleme sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme

haklarına sahipsiniz.

10.2 Başvuruyu nasıl yaparsınız

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ (RG 10.03.2018/30356) m.5 uyarınca kabul edilen kanallar:

1. Hesabınızda kayıtlı e-posta adresinizden worvento.info@gmail.com adresine gönderilen

elektronik ileti ile — en pratik yol budur, çünkü kimliğiniz hesabınız üzerinden doğrulanabilir,

1. Güvenli elektronik imza ile,
2. Mobil imza ile.

Posta adresi yayımlanmadığı için ıslak imzalı yazılı başvuru kanalı fiilen işletilmemektedir; yazılı başvurular da yukarıdaki e-posta kanalından alınır.

Tebliğ m.5 bir kanal olarak kayıtlı elektronik posta (KEP) adresini de sayar; ancak bizim bir KEP adresimiz bulunmamaktadır, bu nedenle KEP üzerinden başvuru alamıyoruz.

Başvurunuzda şunlar bulunmalıdır: ad ve soyadınız; başvuru yazılıysa imzanız; Türkiye Cumhuriyeti kimlik numaranız (yabancıysanız uyruğunuz ile pasaport veya kimlik numaranız); tebligata esas yerleşim yeri veya iş yeri adresiniz; varsa bildirime esas elektronik posta adresiniz, telefon ve faks numaranız; talep konunuz. Konuya ilişkin bilgi ve belgeleri başvurunuza eklersiniz.

Başvuru dili Tebliğ m.5 uyarınca Türkçedir. Buna karşılık İngilizce yapılan başvuruları da kabul ediyoruz.

10.2.1 Kimliğinizi nasıl doğrularız

Başvuruyu hesabınızda kayıtlı e-posta adresinizden gönderirseniz kimliğiniz o hesap üzerinden doğrulanır; ek belge istemeyiz. Başvuru başka bir adresten veya yazılı olarak gelirse, verinin gerçekten size ait olduğunu anlayabilmek için kimlik teyidi isteriz — aksi halde başka birinin verisini yanlış kişiye vermiş oluruz.

Başkası adına başvuru. İlgili kişi adına vekil olarak başvuruyorsanız, başvuruya bu konuda özel yetki içeren bir vekâletname eklemeniz gerekir. Velayet hakkı sahibi olarak 16 yaşından küçük biri adına başvuruyorsanız 13. bölüme bakınız.

10.3 Süre ve ücret

Talebinizi en kısa sürede ve her halde en geç otuz gün içinde sonuçlandırırız (Kanun m.13/2). Talebin kabulü veya gerekçeli reddi size yazılı olarak veya elektronik ortamda bildirilir.

Başvuru kural olarak ücretsizdir. İşlem ayrıca bir maliyet gerektirirse Kurulca belirlenen tarifedeki ücret alınabilir (Başvuru Tebliği m.7): yazılı cevapta ilk on sayfa ücretsizdir, on sayfanın üzerindeki her sayfa için 1 Türk lirası işlem ücreti alınabilir; cevap bir kayıt ortamında verilecekse kayıt ortamının maliyeti talep edilebilir. Hata bizden kaynaklanıyorsa alınan ücret iade edilir.

10.4 Kurula şikâyet

Başvurunuz reddedilirse, verilen cevabı yetersiz bulursanız veya süresinde cevap verilmezse; cevabı öğrendiğiniz tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (Kanun m.14). Kurul: https://www.kvkk.gov.tr

10.5 Uygulama içi kısa yollar

Uygulama içinden şu işlemleri yapabilirsiniz: profil fotoğrafını kaldırma, hesabı silme (iki adımlı onayla), oturumu kapatma ve destek mesajı gönderme.

11. Veri güvenliği ve veri ihlali (Kanun m.12)

Kanun m.12 uyarınca, kişisel verilerinizin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla teknik ve idari tedbirler almakla yükümlüyüz.

Uygulamada bulunan tedbirler: cihaz ile sunucu arasındaki tüm iletişim TLS ile şifrelenir; parolanız düz metin olarak saklanmaz, BCrypt ile özetlenir; erişim ve oturum yenileme anahtarları cihazda şifreli depoda tutulur; oturum anahtarları iptal edilebilir; başarısız giriş denemeleri sayılır ve hesap geçici olarak kilitlenir; istek sayısı sınırlanır; doğrulama kodları veritabanında özetlenerek tutulur ve on beş dakikada geçersizleşir; ödül ve satın alma işlemlerinde tekrar koruması vardır; profil fotoğrafı adresleri tahmin edilemez üretilir.

Bilinen eksikleri gizlemiyoruz. Bu metnin 3.5, 3.9 ve 5. bölümlerinde işaretlenen noktalar (altı haneli kodların ve destek mesajının işletim loglarına düz metin yazılması, IP adresinin güvenilir olmaması, saklama sürelerinin tanımlı olmaması, hesap silmenin bazı tabloları kapsamaması) giderilmemiştir.

Veri ihlali halinde ne yaparız: kişisel verilerinizin hukuka aykırı olarak başkaları tarafından elde edildiğini öğrendiğimizde, gecikmeksizin ve en geç yetmiş iki saat içinde Kişisel Verileri Koruma Kurulu'na bildiririz (Kanun m.12/5; Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı). Etkilendiğiniz belirlenirse, makul olan en kısa sürede size de bildiririz; bildirimde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, olası sonuçları, alınan ve almanızı önerdiğimiz tedbirler ile bilgi alabileceğiniz iletişim bilgileri yer alır (Kurul'un 18.09.2019 tarihli ve 2019/271 sayılı kararı).

12. Türkiye dışındaki kullanıcılar

Worvento, Türkiye dışında da bazı ülkelerde yayınlanıyor (yukarıdaki Dağıtım bölgesi notunda sayılan ülkeler hariç). Yayın yapılan bazı ülkelerin kendi veri koruma yasaları var — örneğin Brezilya (LGPD), Hindistan (DPDP), Kanada (PIPEDA), Birleşik Arap Emirlikleri (PDPL).

Bu metin 6698 sayılı Kanun esas alınarak yazıldı. Şeffaflık, haklarınız ve verinizin silinmesi konularında bu yasaların istediklerini işlevsel olarak karşılıyor; ancak ülkeye özel ayrı bölümler içermiyor. Hangi ülkede olursanız olun başvuru kanalı aynıdır: worvento.info@gmail.com, ve talebiniz en geç 30 gün içinde sonuçlandırılır.

Amerika Birleşik Devletleri'nde yaşıyorsanız: Kaliforniya (CCPA/CPRA) ve benzeri eyalet yasalarının yıllık ciro (25 milyon ABD doları) ve tüketici sayısı (100.000) eşiklerinin çok altındayız; bu nedenle bu yasalar bakımından kapsamda değiliz. Bu yasaların en kritik noktası olan veri satışı konusunda tutumumuz her hâlde nettir: kişisel verilerinizi satmıyoruz.

13. Çocuklar

Worvento 16 yaşından küçükler için değildir. Kullanım Koşulları'nda 16 yaşını doldurmuş olduğunuzu taahhüt etmeniz istenir.

16 yaşından küçük olduğu tespit edilen bir hesabı askıya alır ve verisini silecek şekilde işleme alırız. Velayet hakkı sahibi olarak 16 yaşından küçük birinin verisinin işlendiğini düşünüyorsanız worvento.info@gmail.com adresine yazın; talebinizi 10. bölümdeki süre içinde sonuçlandırırız.

14. Bu metnin sürümü, güncellenmesi ve gösterildiğinin kaydı

Bu metnin sürümü ve yürürlük tarihi en üstte yazılıdır. İşleme amaçlarımız değişirse, değişikliği uygulamaya almadan önce bu metni güncelleriz ve size uygulama içinde bildiririz (Aydınlatma Tebliği m.5/1-b). Yeni bir özellik, yeni bir alıcı veya yeni bir üçüncü taraf bileşen eklenmesi de bu kapsamdadır.

Bu metin Türkçe ve İngilizce olarak yayımlanmıştır. Çeviri bilgi amaçlıdır; çelişki halinde Türkçe metin geçerlidir.

Aydınlatmanın yerine getirildiğinin ispatı bize aittir (Aydınlatma Tebliği m.5/1-e). Bu nedenle bu metnin hangi sürümünün size ne zaman ve hangi ekranda gösterildiği, sunucu tarafında hesabınıza bağlı olarak kaydedilir. Bu kayıt yalnız ispat amacıyla tutulur ve içeriğinde metin sürümü, gösterim zamanı, kanal ve dil bilgisi bulunur.

15. Bu metin için sizden ne isteniyor

Sizden bu metin için onay, kabul veya rıza istenmiyor. İstenen tek beyan şudur:

☐ Worvento Kişisel Verilerin Korunması Aydınlatma Metni'ni okudum ve anladım.

Bu kutucuk bir rıza kutucuğu değildir; bir bilgilendirme beyanıdır. İşaretlemeniz, herhangi bir işleme faaliyetine rıza verdiğiniz anlamına gelmez. Yalnızca açık rızaya dayanan üç işleme faaliyeti için, ayrı bir belgede ve ayrı ayrı kutucuklarla tercihiniz sorulur: https://worvento.com/legal/acik-riza

15.1 Kayıt ekranında nasıl görünmesi gerekir

Kurul'un 2026/347 sayılı ilke kararı, aşağıdaki yapıyı zorunlu kılar. Kayıt ekranında tek bir birleşik onay kutusu bulunamaz; "Okudum, kabul ediyorum ve açık rıza veriyorum" biçiminde tek bir buton kararda kötü uygulama örneği olarak gösterilmiştir.

Doğru yapı, üç ayrı ve birbirinden görsel olarak ayrılmış bloktan oluşur:

1. blok — Kullanım Koşulları (sözleşme). Ayrı başlık, ayrı bağlantı, ayrı kutucuk. Zorunlu olabilir; hizmetin sözleşmesel temelidir.

☐ Kullanım Koşulları'nı okudum, kabul ediyorum. (zorunlu)

2. blok — Aydınlatma Metni (bilgilendirme). Ayrı başlık, ayrı bağlantı, ayrı beyan alanı. Buraya "kabul ediyorum" yazılamaz.

☐ Kişisel Verilerin Korunması Aydınlatma Metni'ni okudum ve anladım.

3. blok — Açık Rıza (isteğe bağlı). Ayrı başlık altında, iki ayrı ve önceden işaretsiz kutucuk. Hiçbiri kayıt olmanın koşulu değildir; hepsi boş bırakılarak kayıt tamamlanabilir. Ayrıntı Açık Rıza Metni'ndedir.

Üç blok arasında görsel bir ayırıcı bulunur; hiçbir blok diğerinin içine yerleştirilmez.

Ek A — Cihazınızda kalan verilerin tam listesi (3.10 bölümünün eki)

Aşağıdakiler cihazınızdan çıkmaz; sunucuya gönderilmez:

Ayrıca:

• Ana ekran widget'ı. Widget'ı eklerseniz, günlük seri gün sayınız cihazın widget deposuna

yazılır ve kilit ekranında görünebilir. Günün kelimesi, siz cevaplayana kadar widget'ta gizli tutulur.

• Paylaşım kartı dosyası. Ekran görüntüsü kartı paylaşırsanız, paylaşma anında oluşan görsel

dosyası cihazın geçici dizininde kalır ve otomatik silinmez.

• Şifreli depo. Erişim ve oturum yenileme anahtarlarınız cihazın şifreli deposunda tutulur;

çıkış yaptığınızda silinir.

Hesabınızı sildiğinizde bunların hiçbiri temizlenmez. Cihazdan silmenin tek yolu uygulamayı kaldırmaktır; iOS'ta cihaz parmak izi buna rağmen kalır.

Ek B — Toplamadığımız veri kalemlerinin tam listesi (6. bölümün eki)

Aşağıdakilerin hiçbirini toplamıyoruz. Liste, uygulamanın bağımlılıkları ve izinleri taranarak hazırlanmıştır:

• Uydu (GPS) veya ağ tabanlı konum; konum izni uygulamada hiç istenmez
• Rehber ve kişiler
• Telefon numarası
• Sağlık ve hareket verisi
• Mikrofon ve ses kaydı — sesli okuma yalnız çıkış yönündedir, sesinizi dinlemiyoruz
• Takvim, kısa mesaj, çağrı kaydı, telefon durumu
• Biyometrik doğrulama ve biyometrik işleme
• Cihazınızdaki kurulu uygulamaların listesi
• Donanım kimliği, seri numarası, IMEI, ağ donanımı adresi ve işletim sisteminin cihaz kimliği
• Panonuzun içeriği
• Analitik ve çökme raporlama verisi — uygulamada hiçbir analitik veya çökme raporlama bileşeni

bulunmamaktadır

• Başka bir hesapla giriş (federe kimlik) — yalnız e-posta ve parola ile giriş vardır
• Ödeme bilgileri — kart numarası, adınız, adresiniz ve vergi bilginiz mağazada kalır, bize

hiç gelmez

Bu listenin istisnası 6. bölümde yazılıdır: saat dilimi kayması ve IP adresi kaba bir konum çıkarımı sağlayabilir.

16. Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.3, 4, 5, 6, 7, 9, 10, 11, 12, 13, 14, 18)
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ

(RG 10.03.2018/30356; RG 28.04.2019/30758 ile değişik) m.4, 5, 6

• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ (RG 10.03.2018/30356) m.5, 6, 7
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

(RG 28.10.2017/30224)

• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik

(RG 10.07.2024/32598); KVKK Yurt Dışına Aktarım Rehberi (02.01.2025)

• Kişisel Verileri Koruma Kurulu 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı

(RG 24.03.2026/33203)

• Kişisel Verileri Koruma Kurulu 24.01.2019 t. 2019/10; 18.09.2019 t. 2019/271;

25.12.2025 t. 2025/2451 sayılı kararları (veri ihlali bildirimi)

• Kişisel Verileri Koruma Kurulu 10.03.2022 t. 2022/229; 28.09.2023 t. 2023/1645 sayılı kararları
• KVKK Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi (21.03.2019)
• KVKK Kişisel Veri Güvenliği Rehberi — Teknik ve İdari Tedbirler (19.01.2018)
• KVKK Çerez Uygulamaları Hakkında Rehber (20.06.2022)
• KVKK Mobil Uygulamalarda Mahremiyetin Korunmasına Yönelik Tavsiyeler Rehberi (Aralık 2023)
• KVKK Biyometrik Verilerin İşlenmesi Rehberi (Eylül 2021); Özel Nitelikli Kişisel Veriler

Rehberi (26.02.2025)

• KVKK Kamuoyu Duyurusu 14.01.2026 — Mobil Uygulamalar Üzerinden Gönderilen Anlık Bildirimler

English

Worvento Privacy Notice (Turkish Data Protection Law — Information Notice)

Sürüm: 1.0 · Yürürlük: 8 Ağustos 2026 · Son güncelleme: 8 Ağustos 2026 (Version 1.0 · Effective: 8 August 2026 · Last updated: 8 August 2026)

This is an information-only English translation. In case of any conflict, the Turkish original prevails.

The Turkish original is at https://worvento.com/legal/aydinlatma.

Summary — at a glance

This summary does not replace the detailed sections below; it is an introduction to them. The detailed sections are the binding ones.

0. What this document is and is not

This document is an information notice prepared under Article 10 of Turkish Law No. 6698 on the Protection of Personal Data (the "Law") and Articles 4 and 5 of the Communiqué on the Principles and Procedures to Be Followed in Fulfilling the Obligation to Inform (Official Gazette 10.03.2018/30356).

This is not a consent document. You are not asked to "accept" it; you are only asked to declare that you have read and understood it. The reason is Principle Decision No. 2026/347 of the Turkish Personal Data Protection Board, dated 18.02.2026 (Official Gazette 24.03.2026 / 33203): the information notice and the explicit consent statement must be separate documents; they cannot be merged, nested, or presented under a single approval.

We ask for your explicit consent for only two processing activities: the profile photograph and personalised advertising. Those live in a separate document, the Explicit Consent Statement: https://worvento.com/legal/acik-riza. Reading this notice does not mean you have given any of those consents. We do not ask for your explicit consent for cross-border transfers; the reason is set out in section 8.2.

The Terms of Use is a separate document as well: https://worvento.com/legal/terms

Other related documents:

• Account and data deletion flow: https://worvento.com/legal/veri-silme
• A detailed list of the third-party components (software development kits) used in the application

and the data stored on your device: https://worvento.com/legal/izleme-teknolojileri

• Data subject application form: https://worvento.com/legal/basvuru

1. Identity of the data controller (Law Art. 10/1-a)

The data controller of the Worvento application (com.worvento.app) is a natural person, not a legal entity.

We do not have a registered electronic mail (KEP) address, so we cannot receive applications by KEP. The full list of accepted application channels is in section 10.2.

Distribution territory. Worvento is not distributed in the European Union / European Economic Area, the United Kingdom, Switzerland, Japan, South Korea, China or Saudi Arabia, and is not directed at users in those countries. Additional information for users outside Türkiye is in section 12.

2. How we collect personal data (Law Art. 10/1-ç; Information Communiqué Art. 5/1-h)

Article 5/1-h of the Communiqué requires us to state explicitly by which means data is obtained. In Worvento there are two:

1. By fully automated means — most of the data: what the client application sends to the server

while you use it (registration and login form fields, study results, game results, device identifiers, IP address, time zone offset, purchase receipt, ad reward verification) and what the server itself produces (session records, security counters, operational logs).

1. By non-automated means as part of a data recording system — as with support and abuse-report

messages: free text you write and send to us, which is then kept in an orderly manner in a mailbox.

The "Collection method" column in the tables below shows which of the two applies to each row.

3. Processing activities table (Law Art. 10/1-b, 1-c, 1-ç)

Each row carries five pieces of information together: which data, which concrete purpose, which legal ground (with the exact sub-paragraph), by which means it is collected, and to which recipient group it is transferred. No blanket reference is made in the legal ground column; each row names its own sub-paragraph.

Recipient group abbreviations: [YB] foreign hosting provider · [YD] foreign object storage provider · [EP] e-mail delivery infrastructure · [RS] advertising provider · [MS] store and payment provider · [DK] other users of the application. Who these are is set out in section 8.

3.1 Account creation and authentication

Your access key also carries your e-mail address inside it. The key is kept in encrypted storage on your device and is sent to the server on every request.

On the WebSocket connection used for live match and duel events, this key is carried in the query part of the address. The consequence is this: the key may appear in the reverse proxy's access logs.

3.2 Learning data

3.3 Gamification and in-app economy

An honest warning about the time zone offset: we do not collect location data, but a rough geographic inference can be drawn from a time zone offset. This is set out separately in section 6.

3.4 Social layer and public display

An honest warning about report reasons: the free text you write is displayed on the administrator screen together with the usernames of the reporter and the reported user. We advise you not to write personal information there.

3.5 Security, abuse prevention and operations

Connectivity check. The application sends a small request regularly to confirm that your internet connection works. That request goes only to our own server (/health), roughly every 45 seconds. Nothing goes to any third party.

An earlier version of this notice stated that this check sent your IP address to four third-party addresses (one.one.one.one, icanhazip.com, jsonplaceholder.typicode.com, pokeapi.co) roughly every ten seconds, because the defaults of the library we use had not been changed. That design flaw has been fixed; the four transfers declared there no longer happen.

3.6 Purchases

Your payment details never reach us. Card number, your name, address and tax details stay with the store. Only the receipt text issued by the store, the transaction id and the product id reach us.

In-app purchase records are not deleted when you delete your account; tax and accounting legislation and refund processes require this. Details are in section 5.

3.7 Advertising

An honest warning about the user number sent to the advertising provider: so that the server can grant the reward at the end of a rewarded ad, your internal user number is sent to the advertising provider in plain text. This data is therefore not pseudonymised; the record on the advertising provider's side can be matched directly to your account.

3.8 Profile photograph

Uploading a photograph is optional; if you do not upload one, every function of the application remains available. We state four legally important properties of your photograph plainly here:

• Uploading a photograph is a paid feature. Uploading is available only to accounts that hold a

premium entitlement (ad-free access or a season pass), and this limit is enforced on the server: without the entitlement no upload ticket is issued at all and the server rejects the request. Removing the photograph is free and can always be done; you do not have to pay in order to withdraw your consent. The problem this creates under consent law is flagged separately in the lawyer note in section 2 of the Explicit Consent Statement.

• The photograph is stored in a foreign object storage service, **in an area open to public read

access. Access control rests on "knowing the address"; the address is generated randomly and unpredictably. This is not authentication: anyone who obtains the address can see the photograph, even without an account.** For that reason we make no claim of the form "only premium users can see your photograph".

• The server sends the address of the full-resolution copy only to the owner of the photograph

and to viewers holding a premium entitlement; the thumbnail is visible to everyone as your avatar. This is address secrecy, not access control (see the point above).

• When you delete the photograph the original copy is deleted, but the copy in the content delivery

network cache may live on for up to one year. The copy is marked with a one-year, immutable cache lifetime when it is created.

We do not put your photograph through facial recognition or any similar technical process; we do not use it to uniquely identify or verify you. Nor do we draw inferences about race, ethnic origin, religion, health or similar matters from it.

3.9 Support

Your support message is not stored in the database; it is delivered by e-mail to the support address and remains in that mailbox. The mailbox is hosted by an e-mail infrastructure provider.

An honest warning: when the e-mail delivery configuration is off, the full text of your support message is also written to the server's operational logs. Those logs are kept for seven days.

3.10 Data that stays on your device

Some data never leaves your device and is not sent to the server. It is still your personal data and remains on the device unless you uninstall the application. None of it is cleared when you delete your account; the only way to remove it from the device is to uninstall the application. On iOS the device fingerprint survives uninstallation.

The full list is in Appendix A at the end of this notice.

4. Data that is public — there is no switch to turn it off

We state this plainly because it is where users are most often mistaken. The following data can be seen by other users of the application, and there is currently no setting in the application that turns this off:

In addition: when you share a duel result, your opponent's username is embedded in the generated image and goes to the application you choose. Your opponent receives no notification and is not asked for consent.

5. Retention periods (Law Art. 7; Regulation on Erasure, Destruction or Anonymisation)

This table states only what the application actually does. Where no period is defined, we say so plainly; we do not invent a number.

To be honest about it, although the code contains comments suggesting that daily league rows and words you delete from a shared list are "kept for a short period", that cleanup job has not been written. They therefore fall under the "no deletion period" row above. When you delete a word from a shared list, the word is not actually deleted; it is marked as deleted.

Method of destruction. The methods applied to data whose retention period has ended or whose erasure you request are: erasure for database records (removal of the row from the database); erasure for photographs in the object store (removal of the object from storage); destruction for log files (removal of the whole file when the rotation completes); and automatic erasure on expiry for temporary cache records. For purchase records that must be retained under tax and accounting legislation, the intended method is anonymisation: severing the link between the user number and the person.

5.1 What happens when you delete your account — the truth

Account deletion has two steps: first you confirm your password, then you enter the code sent to your e-mail. There is no one-tap deletion. The deletion flow is described step by step in a separate document: https://worvento.com/legal/veri-silme. The list in this section and the list in that document must be identical; if they diverge, that document prevails and this section is updated.

What is actually deleted: your account row and everything inside it (experience points, gold, jokers, badges, streaks, your IP addresses, your device fingerprint, your preferences, pet status, cosmetics, season and quest status, gift history, reputation points); friendship records; block records; report records where you are a party; session refresh records; daily league rows; daily 60-second results; boss exam results; Word of the Day and Wordle results; Mini Crossword results; Word Tower runs; the pet record; your invitation code; your shared list memberships; profile photograph objects (on a best-effort basis).

What is not deleted — we are not hiding this:

6. Data we do not collect

We collect none of the items users ask about most: location, contacts, telephone number, health data, microphone and audio recording, calendar, SMS, biometric authentication, the list of installed applications, the device's hardware identifiers, clipboard contents, analytics and crash reporting data, or sign-in with another account. The full item-by-item list is in Appendix B.

(We do store a device notification token so that we can send you notifications — it is not in this list; details in section 3.)

We state one exception plainly: we do not collect location, but we do send your device's time zone offset to the server for daily resets. A rough geographic inference can be drawn from that value. In addition, your IP address reaches both our server and the four connectivity check addresses named in section 3.5; a rough location inference is possible from an IP address as well.

7. Notification channels

These are all the channels through which the app can reach you:

1. In-app real-time events — while the app is open and in the foreground, live match

invitations and match state updates are delivered over a WebSocket connection.

1. Home screen widget — if you add the widget, your daily streak count is written to your

device's widget store and may be visible on the lock screen.

1. Email — verification code, password reset code, account deletion confirmation code,

password change notice and support replies.

1. Operating system notifications (push) — notifications shown in your device's

notification centre. They are split into two groups that are turned on and off separately:

You can turn either group off at any time under Settings → Notifications. No reminders are sent between 22:00 and 08:00, at most two reminders per day are sent, and any remaining reminders are cancelled if you have used the app that day.

Consent for push notifications (Turkish DPA public announcement of 14 January 2026). The "Reminders and nudges" group contains notifications that are not necessary for the operation of the service and are intended to encourage use. For this reason it is offered separately from friend and game notifications, with its own switch, and is off by default; when you turn it on, the date of your consent and the version of the text you consented to are recorded on your device. The two groups are never tied to a single consent.

We do not send marketing or campaign emails. If we start doing so, we will ask for your consent separately, with its own checkbox.

8. Recipient groups and cross-border transfers

We do not sell your personal data. We do not sell, rent or barter your data to data brokers, ad exchanges or any third party.

Data is, however, shared, and we do not hide it: in order to run the application, the data listed below goes to the recipients listed below. Some of them are service providers acting on our behalf (data processors); others are independent controllers that also process your data for their own purposes. The advertising provider falls in the second group; we mark that distinction plainly in the table.

8.1 Recipient groups and transfer purposes (Law Art. 10/1-c; Information Communiqué Art. 5/1-ğ)

In addition, when you tap "share" the generated image and text go to the application you select (a messaging app, a social network, e-mail). You initiate that transfer; the receiving application is an independent controller. When you have a word read aloud, the text of the word goes to the text-to-speech engine installed on your device; if that engine connects to the cloud, the word text may leave the device.

Publicly available privacy policies:

• Hetzner: https://www.hetzner.com/legal/privacy
• Cloudflare: https://www.cloudflare.com/privacypolicy/
• Google (Gmail, Play, general): https://policies.google.com/privacy
• Google advertising partners: https://policies.google.com/technologies/partner-sites
• Apple: https://www.apple.com/legal/privacy

8.2 Cross-border transfers — the Law Art. 9 table

The following are cross-border transfers under Turkish law. As of August 2026 the Board has issued no adequacy decision for any country, sector or international organisation; the analysis therefore moves directly to the appropriate safeguards tier (Art. 9/3-4).

The last column of the table below shows the planned basis: the standard contracts have not yet been signed, nor notified to the Authority within five business days of signature.

The explicit-consent route in Law Art. 9/6 cannot be used for these transfers. Since the amendment introduced by Law No. 7499, in force on 1 June 2024, explicit consent is an exceptional route available only for incidental transfers. Hosting, storage, advertising and e-mail delivery are continuous and regular transfers and cannot be characterised as "incidental". We therefore do not ask for your explicit consent for cross-border transfers; the correct route is the standard contract.

Risks the transfer carries: the data protection regime of the country where your data sits may differ from Türkiye's; the access powers of public authorities there may differ; exercising your rights and reaching effective remedies in that country may be harder than in Türkiye. For US-headquartered providers, US government data access legislation must also be assessed.

9. Decisions taken by automated systems

The following decisions may be taken automatically, without human review:

• Multi-account signal: when more accounts than the threshold are created on the same device

fingerprint, a warning record is produced. This alone does not block your account.

• Suspension propagation: when one account is suspended, other accounts carrying the same device

fingerprint may also be suspended.

• Experience point acceptance cap: point synchronisation above the daily cap is rejected and

recorded.

• Rate limiting and account lockout: after many failed logins the account is temporarily locked;

request counts are limited on certain endpoints.

• Invitation code limit: invitation code use from the same device is limited.
• Reward and purchase duplicate control: the same ad reward or the same receipt is not processed

a second time.

Under Law Art. 11/1-g you have the right to object if an assessment made solely by automated systems produces an adverse result for you. You may submit your objection through the channels in section 10; your request will be reviewed by a human.

10. Your rights and how to apply (Law Art. 11, 13, 14)

10.1 Your rights under Law Art. 11

By applying to us as data controller you have the right to:

a) learn whether your personal data is being processed, b) request information if it has been processed, c) learn the purpose of processing and whether your data is used in line with that purpose, ç) know the third parties to whom your data is transferred, in Türkiye or abroad, d) request rectification if your data has been processed incompletely or inaccurately, e) request erasure or destruction within the conditions of Law Art. 7, f) request that the operations carried out under (d) and (e) be notified to the third parties to whom your data has been transferred, g) object to an adverse outcome arising from analysis carried out solely by automated systems, ğ) claim compensation for damage suffered as a result of unlawful processing.

10.2 How to apply

Channels accepted under Article 5 of the Communiqué on the Principles and Procedures for Applications to the Data Controller (Official Gazette 10.03.2018/30356):

1. By electronic message sent from the e-mail address registered to your account to

worvento.info@gmail.com — this is the most practical route, because your identity can be verified through your account,

1. By secure electronic signature,
2. By mobile signature.

Because no postal address is published, the hand-signed written channel is not operated in practice; written applications are also received through the e-mail channel above.

Article 5 of the Communiqué also lists a registered electronic mail (KEP) address as a channel; however we do not have a KEP address, so we cannot receive applications by KEP.

Your application must contain: your name and surname; your signature if it is written; your Turkish identity number (if you are a foreign national, your nationality and passport or identity number); your address of residence or place of business for service of notice; your e-mail address, telephone and fax number if any; and the subject of your request. Attach any relevant information and documents.

The language of application is Turkish under Article 5 of the Communiqué. However, we also accept applications made in English.

10.2.1 How we verify your identity

If you send your application from the e-mail address registered to your account, your identity is verified through that account and we ask for no further document. If the application arrives from another address or in writing, we ask for identity confirmation so that we can establish that the data really is yours — otherwise we would be handing someone else's data to the wrong person.

Applications on behalf of another person. If you apply as a representative of the data subject, you must attach a power of attorney containing specific authority for this purpose. If you are applying as the holder of parental authority on behalf of someone under 16, see section 13.

10.3 Time limit and fees

We will conclude your request as soon as possible and in any event within thirty days (Law Art. 13/2). Acceptance or a reasoned rejection will be communicated to you in writing or electronically.

Applications are free of charge as a rule. If the operation requires an additional cost, the fee in the tariff set by the Board may be charged (Communiqué Art. 7): in a written reply the first ten pages are free and a processing fee of 1 Turkish lira may be charged for each page beyond ten; if the reply is provided on a recording medium, the cost of the medium may be charged. If the error is attributable to us, any fee charged is refunded.

10.4 Complaint to the Board

If your application is rejected, if you find the reply insufficient, or if no reply is given in time, you may complain to the Personal Data Protection Board within thirty days of learning the reply and in any event within sixty days of the date of application (Law Art. 14). The Board: https://www.kvkk.gov.tr

10.5 In-app shortcuts

Inside the application you can: remove your profile photograph, delete your account (with two-step confirmation), log out, and send a support message.

11. Data security and data breaches (Law Art. 12)

Under Law Art. 12 we are obliged to take technical and administrative measures to prevent unlawful processing of your personal data, to prevent unlawful access to it, and to ensure its preservation.

Measures present in the application: all communication between device and server is encrypted with TLS; your password is not stored in plain text but hashed with BCrypt; access and session refresh keys are kept in encrypted storage on the device; session keys can be revoked; failed login attempts are counted and the account is temporarily locked; request counts are limited; verification codes are stored hashed in the database and expire in fifteen minutes; ad and purchase operations have replay protection; profile photograph addresses are generated unpredictably.

We are not hiding the known gaps. The points flagged in sections 3.5, 3.9 and 5 of this notice (six-digit codes and support message bodies written to operational logs in plain text, the IP address being unreliable, retention periods being undefined, account deletion not covering certain tables) have not been remedied.

What we do in the event of a breach: when we learn that your personal data has been unlawfully obtained by others, we notify the Personal Data Protection Board without delay and within seventy-two hours at the latest (Law Art. 12/5; Board decision no. 2019/10 of 24.01.2019). If you are found to be affected, we also notify you as soon as reasonably possible; the notification states when the breach occurred, which data categories were affected, its likely consequences, the measures taken and those we recommend you take, and contact details from which you can obtain information (Board decision no. 2019/271 of 18.09.2019).

12. Users outside Türkiye

Worvento is published in some countries outside Türkiye (other than those listed in the Distribution territory note above). Some of those countries have their own data protection laws — for example Brazil (LGPD), India (DPDP), Canada (PIPEDA) and the United Arab Emirates (PDPL).

This notice was written on the basis of Law No. 6698. In matters of transparency, your rights and the deletion of your data it meets what those laws require in substance, but it does not contain country-specific chapters. Wherever you are, the request channel is the same: worvento.info@gmail.com, and your request is concluded within 30 days at the latest.

If you live in the United States: we are far below the annual revenue (USD 25 million) and consumer-count (100,000) thresholds of the California statutes (CCPA/CPRA) and comparable state laws, so we are out of their scope. On the point that matters most under those laws — the sale of data — our position is unambiguous in any case: we do not sell your personal data.

13. Children

Worvento is not for people under 16. The Terms of Use ask you to warrant that you are at least 16.

If an account is found to belong to a person under 16, we suspend it and process it for erasure. If you hold parental authority and believe the data of a person under 16 is being processed, write to worvento.info@gmail.com; we will conclude your request within the period in section 10.

14. Version, updates and the record that this notice was shown

The version and effective date of this notice are at the top. If our processing purposes change, we update this notice and inform you inside the application before putting the change into effect (Information Communiqué Art. 5/1-b). Adding a new feature, a new recipient or a new third-party component falls within this too.

This notice is published in Turkish and English. The translation is for information; in case of conflict the Turkish text prevails.

The burden of proving that the duty to inform was fulfilled rests on us (Information Communiqué Art. 5/1-e). For that reason, which version of this notice was shown to you, when and on which screen is recorded on the server against your account. This record is kept solely for evidentiary purposes and contains the text version, the time it was shown, the channel and the language.

15. What we ask of you for this notice

We do not ask for your approval, acceptance or consent for this notice. The only declaration requested is:

☐ I have read and understood the Worvento Privacy Notice.

This checkbox is not a consent box; it is a declaration of having been informed. Ticking it does not mean you have consented to any processing activity. Your preferences are asked separately, in a separate document and with separate checkboxes, for the two processing activities that do rest on explicit consent: https://worvento.com/legal/acik-riza

15.1 How it must appear on the registration screen

Board Principle Decision No. 2026/347 makes the following structure mandatory. The registration screen cannot contain a single combined approval box; a single button reading "I have read, I accept and I give my explicit consent" is cited in the decision as an example of bad practice.

The correct structure consists of three separate, visually distinct blocks:

Block 1 — Terms of Use (contract). Separate heading, separate link, separate checkbox. It may be mandatory; it is the contractual basis of the service.

☐ I have read and accept the Terms of Use. (mandatory)

Block 2 — Privacy Notice (information). Separate heading, separate link, separate declaration area. "I accept" cannot be written here.

☐ I have read and understood the Privacy Notice.

Block 3 — Explicit consent (optional). Under its own heading, two separate and pre-unchecked boxes. None of them is a condition of registering; registration can be completed with all of them left empty. Details are in the Explicit Consent Statement.

A visual separator sits between the three blocks; no block is nested inside another.

Appendix A — Full list of data that stays on your device (annex to section 3.10)

The following never leaves your device and is not sent to the server:

In addition:

• Home screen widget. If you add the widget, your daily streak day count is written to the

device's widget store and may be visible on the lock screen. The word of the day is kept hidden in the widget until you answer it.

• Share card file. If you share a score card, the image file created at the moment of sharing

remains in the device's temporary directory and is not deleted automatically.

• Encrypted storage. Your access and refresh tokens are held in the device's encrypted store and

are deleted when you log out.

None of this is cleared when you delete your account. The only way to remove it from the device is to uninstall the application; on iOS the device fingerprint survives even then.

Appendix B — Full list of data we do not collect (annex to section 6)

We collect none of the following. The list was compiled by scanning the application's dependencies and permissions:

• Satellite (GPS) or network-based location; the application never requests a location permission
• Contacts
• Telephone number
• Health and fitness data
• Microphone and audio recording — text-to-speech is output-only; we do not listen to your voice
• Calendar, SMS, call log, phone state
• Biometric authentication and biometric processing
• The list of applications installed on your device
• **Hardware identifier, serial number, IMEI, network hardware address and the operating system device

identifier**

• The contents of your clipboard
• Analytics and crash reporting data — the application contains no analytics or crash reporting

component at all

• Sign-in with another account (federated identity) — login is by e-mail and password only
• Payment details — your card number, name, address and tax details stay with the store and never

reach us

The exception to this list is stated in section 6: the time-zone offset and your IP address may allow a coarse location inference.

16. Sources

• Law No. 6698 on the Protection of Personal Data (Arts. 3, 4, 5, 6, 7, 9, 10, 11, 12, 13, 14, 18)
• Communiqué on the Principles and Procedures to Be Followed in Fulfilling the Obligation to Inform

(Official Gazette 10.03.2018/30356; amended by Official Gazette 28.04.2019/30758), Arts. 4, 5, 6

• Communiqué on the Principles and Procedures for Applications to the Data Controller

(Official Gazette 10.03.2018/30356), Arts. 5, 6, 7

• Regulation on the Erasure, Destruction or Anonymisation of Personal Data

(Official Gazette 28.10.2017/30224)

• Regulation on the Principles and Procedures for the Transfer of Personal Data Abroad

(Official Gazette 10.07.2024/32598); KVKK Guidelines on Transfers Abroad (02.01.2025)

• Personal Data Protection Board Principle Decision No. 2026/347 of 18.02.2026

(Official Gazette 24.03.2026/33203)

• Personal Data Protection Board decisions No. 2019/10 of 24.01.2019; No. 2019/271 of 18.09.2019;

No. 2025/2451 of 25.12.2025 (data breach notification)

• Personal Data Protection Board decisions No. 2022/229 of 10.03.2022; No. 2023/1645 of 28.09.2023
• KVKK Guidelines on Fulfilling the Obligation to Inform (21.03.2019)
• KVKK Personal Data Security Guidelines — Technical and Administrative Measures (19.01.2018)
• KVKK Guidelines on Cookie Practices (20.06.2022)
• KVKK Recommendations on Protecting Privacy in Mobile Applications (December 2023)
• KVKK Guidelines on the Processing of Biometric Data (September 2021); Guidelines on Special

Categories of Personal Data (26.02.2025)

• KVKK Public Announcement of 14.01.2026 — Instant Notifications Sent Through Mobile Applications