Shawk · Gizlilik politikası / Privacy policy

Shawk uygulamasını ve hizmetini Onur Özdemir (gerçek kişi) işletir (“biz”). Kişisel verilerin için veri sorumlusu odur.

2. Topladığımız veriler

3. Neden kullanıyoruz (hukuki dayanak)

4. Çerezler ve cihazda saklananlar

Web sürümü yalnız bir zorunlu çerez kullanır: oturumunu açık tutan, JavaScript'in okuyamadığı (HttpOnly) bir oturum çerezi. Reklam ya da takip çerezi yoktur. Uygulama ayarların ve haritanın yerel kopyası cihazında saklanır. Giriş güvenlik kontrolü Cloudflare'in kendi adresinde çalışır. Cloudflare'in Turnstile gizlilik ekine göre kontrolün topladığı bilgiler yalnız botları ayırt etmek için kullanılır; kişiyi tanımak, profillemek ya da hedeflemek için kullanılmaz. Cloudflare, kendi adresinde koyabileceği güvenlik çerezlerini çerez politikasında zorunlu çerez olarak tanımlar.

5. Hata raporları

Uygulama çöktüğünde ya da beklenmeyen bir hata olduğunda, hatayı bulup düzeltebilmemiz için teknik bir hata raporu gönderilir. Raporda hatanın türü, hatanın uygulama kodumuzun neresinde olduğunu gösteren teknik iz, uygulama sürümü, platform (web, masaüstü, Android, iOS), işletim sistemi ve tarayıcı sürümü bulunur. Haritalarının içeriği (node ve cluster metinleri, görseller), e-posta adresin, hesap kimliğin ve IP adresin rapora konmaz. Sentry IP adresini saklamaz, ancak bağlantının IP adresinden kaba bir konum (ülke ve şehir) çıkarır ve bunu raporla birlikte tutar. Raporlar kullanıcı ya da cihazla ilişkilendirilmez; cihazına bu amaçla kalıcı bir kimlik ya da çerez yazılmaz. Raporlar hizmet sağlayıcımız Functional Software, Inc. (Sentry) tarafından Avrupa Birliği'nde (Frankfurt, Almanya) saklanır ve en fazla 90 gün sonra silinir.

Hata raporları varsayılan olarak açıktır. Ayarlar › Gizlilik › “Hata raporları” ile bu cihazda istediğin zaman kapatabilirsin; kapalıyken hiçbir rapor gönderilmez, gönderilmeyi bekleyenler de dahil. Ayar cihaz başınadır.

6. Anonim kullanım verisi (yalnız izinle)

Amaç	Veriler	Dayanak (KVKK m.5 / GDPR m.6)
Hesap, giriş, senkron, haritaların saklanması	hesap, haritalar, oturumlar	sözleşmenin kurulması ve ifası (m.5/2-c / m.6/1-b)
Abonelik, ödeme, faturalama	abonelik, hesap kimliği	sözleşmenin ifası; vergi kayıtları için hukuki yükümlülük (m.5/2-ç / m.6/1-c, Paddle'da)
Kötüye kullanımı önleme, güvenlik	IP adresi, oturum ve giriş kayıtları, güvenlik kontrolü	meşru menfaat (m.5/2-f / m.6/1-f)
Hataları bulup düzeltme	hata raporları	meşru menfaat (m.5/2-f / m.6/1-f)
Uygulamayı geliştirmek için kullanım sayıları (şu an etkin değil)	anonim kullanım verisi	açık rıza (m.5/1 / m.6/1-a); istediğin an geri alınır

Şu an etkin değil. Uygulamaya bir kullanım verisi sağlayıcısı bağlı değildir; Ayarlar › Gizlilik › “Kullanım verisi paylaş” açık olsa bile hiçbir kullanım verisi gönderilmez. Etkinleştirirsek bu sayfayı yeni tarihle güncelleriz; o zaman aşağıdaki kurallar geçerlidir.

Varsayılan kapalıdır ve yalnız izin verirsen çalışır; Ayarlar › Gizlilik › “Kullanım verisi paylaş” ile istediğin zaman açıp kapatabilirsin. Kapalıyken hiçbir şey gönderilmez ve cihaza yazılmaz.

Sağlayıcı: PostHog Inc., Avrupa Birliği sunucusu (Frankfurt), çerezsiz ve IP adresi atılarak. Saklama: PostHog'un ücretsiz planında 1 yıl; süresi dolan olayları PostHog hemen değil, toplu silme sırasında siler. Başka bir plana geçersek süre o planın süresi olur ve bu sayfada yazılır.

Gönderilen olaylar: uygulama açıldı; bir ücretsiz plan sınırına ulaşıldı (hangi sınır); Premium ekranı görüldü (nereden açıldığı); satın alma başladı / bitti / geri yükleme (dönem, kanal, sonuç); abonelik değişti (başladı, bitti, yenileme açık/kapalı, ödeme sorunu); abonelik yönetimi açıldı; hesap silindi; Unity haritası ya da harita dosyası içe aktarıldı (kaba sayı aralıkları).

Her olayla: platform, dil, plan (ücretsiz / premium), giriş yapılmış mı, uygulama sürümü ve kaba bir “ilk kullanımdan bu yana gün” aralığı. Kimlik, e-posta, harita içeriği, başlık, dosya adı ya da cihaz kimliği gönderilmez; günler arası seni tanıyan bir kimlik üretilmez.

7. Kimlerle paylaşıyoruz ve veriler nerede

Verilerini satmayız ve reklam için paylaşmayız. Hizmeti şu sağlayıcılarla sunarız; her biri yalnız kendi işi için gereken veriyi görür.

Hizmet	Ne için	Yer
Supabase	hesap, giriş, veritabanı, dosyalar	AB (Frankfurt, Almanya)
Fly.io	senkron sunucusu	AB (Frankfurt, Almanya)
Sentry	hata raporları	AB (Frankfurt, Almanya)
PostHog	anonim kullanım verisi, yalnız izinle (şu an etkin değil)	AB (Frankfurt, Almanya)
Cloudflare	web sitesi, masaüstü indirmeleri, giriş güvenlik kontrolü (Turnstile)	dünya geneli ağ; şirket ABD
Resend	giriş kodu e-postaları	AB (İrlanda); şirket ABD
RevenueCat	abonelik durumu (hesap kimliğiyle)	ABD
Paddle	web ve masaüstü ödemesi, satıcı (Merchant of Record)	Birleşik Krallık şirketi
Apple, Google	telefonda ödeme; Apple / Google ile giriş; cihaz yedeği	ABD şirketleri

Yurt dışına aktarım. Türkiye'den kullanıyorsan verilerin Türkiye dışında (yukarıdaki yerlerde) işlenir; bu, KVKK anlamında yurt dışına aktarımdır. AB'den kullanıyorsan veriler büyük ölçüde AB içinde kalır; AB dışındaki sağlayıcılara (ABD, Birleşik Krallık) aktarım, AB Komisyonu'nun yeterlilik kararları ya da standart sözleşme maddeleriyle yapılır.

8. Ne kadar saklıyoruz

9. Hakların

KVKK m.11 ve GDPR kapsamında verilerine erişme, düzeltme, silme, taşıma, işlemeye itiraz ve rızanı geri alma hakların var. Haritalarını her zaman uygulama içinden dışa aktarabilir ve hesabını uygulama içinden silebilirsin. Diğer talepler için: [email protected]; en geç 30 gün içinde yanıtlarız. Şikâyet için Kişisel Verileri Koruma Kurumu'na ya da bulunduğun AB ülkesinin veri koruma otoritesine başvurabilirsin.

10. Yaş sınırı

Shawk hesabı 16 yaş ve üzeri içindir. 16 yaşından küçüksen hesap açma. 16 yaşından küçük birinin hesap açtığını öğrenirsek hesabı ve verilerini sileriz.

11. Değişiklikler

Bu politikayı değiştirirsek güncel hâli bu sayfada, yeni tarihle yer alır.

Last updated: 9 November 2026

1. Who we are

The Shawk app and service are operated by Onur Özdemir, an individual (“we”), who is the data controller for your personal data.

Postal address: Kavacık Mah. Kayabey Sk. No: 16 Daire 1, 34000 Beykoz/İstanbul, Türkiye
E-mail: [email protected]

2. What we collect

Account: your e-mail address; with Apple or Google sign-in, the identifier and e-mail that service provides. Sign-up is invite-only for now: invited e-mail addresses stay on the invitation list even if no account is created; deleting the account removes the address from the list as well.
Your maps: nodes, clusters, connections, stickers and the images you add. With an account they are stored on our servers to sync; without one they stay on your device.
Sessions and sign-in records: for every session, the browser / operating system, the last activity and the IP address of the connection. Account › Devices does not show the IP address, but our authentication service (Supabase) keeps it in the session record and in its sign-in audit records (sign-in, sign-out, code requests).
Connection logs: on every connection your IP address reaches our infrastructure providers (Cloudflare, Fly.io, Supabase) and may appear in their short-lived technical logs. Our sync server uses the IP address only in memory, to limit the number of connections from one address; it does not store it.
Sign-in security check: when you request an e-mail sign-in code, Cloudflare Turnstile runs a short check to tell that the request is not from a bot. Cloudflare processes the connection's IP address, its TLS fingerprint and the browser's User-Agent; we only receive a pass / fail answer.
Subscription and payment: plan, period, renewal state. We never see payment details; the App Store / Google Play handle them on phones, Paddle on the web and desktop. When you buy on the web or desktop, your account ID (a random number) goes to RevenueCat and Paddle in the address of the payment link, to link the subscription to your account. As the merchant of record, Paddle processes your name, e-mail, billing address and payment details under its own responsibility and privacy policy.
Device backup (phones): the Android and iOS apps put a recovery copy of your map into the phone's backup (Google backup, iCloud backup); if backup is on, the copy goes to your Google or Apple account. We cannot see that backup; it is managed in Google's or Apple's settings.
Crash reports (section 5) and, only if you agree, anonymous usage data (section 6).

3. Why (legal basis)

Account, sign-in, sync and storing your maps: performance of the contract (GDPR Art. 6(1)(b); KVKK Art. 5(2)(c)).
Subscription, payment, invoicing: performance of the contract; legal obligation for tax records (Art. 6(1)(c), at Paddle).
Preventing abuse and security (IP addresses, session and sign-in records, the security check): legitimate interest (Art. 6(1)(f)).
Finding and fixing errors (crash reports): legitimate interest.
Usage counts to improve the app (not active at present): consent (Art. 6(1)(a)), which you can withdraw at any time.

4. Cookies and device storage

The web version uses a single essential cookie: an HttpOnly session cookie that JavaScript cannot read and that keeps you signed in. No advertising or tracking cookies. Your settings and a local copy of your map are stored on your device. The sign-in security check runs on Cloudflare's own address. According to Cloudflare's Turnstile privacy addendum, the signals it collects are used only to detect bots, not to identify, profile or target anyone. Cloudflare's cookie policy lists the security cookies it may set on its own address as strictly necessary.

5. Crash reports

When the app crashes or an unexpected error occurs, a technical error report is sent so that we can find and fix the problem. It contains the type of error, a technical trace showing where in our code it happened, the app version, the platform (web, desktop, Android, iOS), and the operating system and browser version. The content of your maps (node and cluster text, images), your e-mail address, your account ID and your IP address are not included. Sentry does not keep the IP address, but it derives a coarse location (country and city) from the connection's IP address and stores that with the report. Reports are not linked to you or your device, and no persistent identifier or cookie is stored on your device for this purpose. Reports are stored by our service provider Functional Software, Inc. (Sentry) in the European Union (Frankfurt, Germany) and deleted after at most 90 days.

Crash reports are on by default. You can turn them off on this device any time in Settings › Privacy › “Crash reports”; while off, no report is sent, including any still waiting to be sent. The choice is per device.

6. Anonymous usage data (only with consent)

Not active at present. No usage data provider is connected to the app; no usage data is sent, even with Settings › Privacy › “Share usage data” on. If we turn it on, we update this page with a new date, and the rules below apply.

Off by default and only with your consent; you can change it any time in Settings › Privacy › “Share usage data”. While off, nothing is sent or written to your device.

Provider: PostHog Inc., EU servers (Frankfurt), cookieless and with IP addresses discarded. Retention: 1 year on PostHog's free plan; PostHog deletes expired events in batches, not at once. If we move to another plan, its period applies and is stated on this page.

Events: app opened; a free plan limit reached (which one); Premium screen viewed (where from); purchase started / finished / restored (period, channel, result); subscription changed (started, expired, renewal on/off, billing issue); subscription management opened; account deleted; Unity map or map file imported (coarse count ranges).

With every event: platform, language, plan (free / premium), signed in or not, app version and a coarse “days since first use” range. No identifier, e-mail, map content, titles, file names or device ID is sent, and no identifier that recognises you across days is created.

7. Who we share with and where your data is

We do not sell your data or share it for advertising. We run the service with these providers; each sees only what its job needs: Supabase (account, sign-in, database, files; EU, Frankfurt), Fly.io (sync server; EU, Frankfurt), Sentry (crash reports; EU, Frankfurt), PostHog (anonymous usage data, only with consent, not active at present; EU, Frankfurt), Cloudflare (website, desktop downloads, sign-in security check; global network, US company), Resend (sign-in code e-mails; EU, Ireland; US company), RevenueCat (subscription state, with your account ID; US), Paddle (web and desktop payment, merchant of record; UK company), Apple and Google (phone payments; Apple / Google sign-in; device backup; US companies).

International transfers. If you use Shawk from Turkey, your data is processed outside Turkey (in the places above), which is a transfer abroad under the KVKK. If you use it from the EU, the data mostly stays in the EU; transfers to providers outside the EU (US, UK) rely on the European Commission's adequacy decisions or standard contractual clauses.

8. Retention

Your account, maps, images and subscription record: until you delete your account.
Deleted content stays in the trash for 30 days, then is permanently deleted.
Version history: 7 days on the free plan, 30 days on Premium (the oldest go sooner if the space for history is full).
Session record (with the IP address): until you sign out of that session or it ends; at once when the account is deleted.
Sign-in audit records (details such as e-mail, IP address and time of the event): not written to our database. Our authentication service Supabase keeps them in its own logging system for security for at most 7 days, after which they are deleted automatically.
Crash reports: at most 90 days (section 5).
Deleting your account removes your account, maps, images, version history and subscription records from our servers at once, and your customer record at RevenueCat.
Backups: we keep backups of the database and files on an encrypted disk; a deleted account leaves the backups when they age out, after at most 30 days.
What we cannot delete for you:
- Paddle, as the merchant, keeps purchase and invoice records for as long as tax law requires; deleting your account does not delete your customer record at Paddle.
- Copies of your map on other devices: deleting removes only the copy on the device you deleted from. Other devices keep the map and its recovery copy until you remove the app or the local map there.
- The recovery copy in your phone's backup (section 2) stays until the Google or Apple backup is replaced or you delete it.

9. Your rights

You may access, correct, delete and port your data, object to processing and withdraw consent. You can export your maps and delete your account inside the app at any time. Other requests: [email protected]; we answer within 30 days. You may complain to the Turkish Personal Data Protection Authority or to the data protection authority of your EU country.

10. Age limit

A Shawk account is for people aged 16 and over. If you are under 16, do not create an account. If we learn that someone under 16 has created an account, we delete the account and its data.

11. Changes

If we change this policy, the current version is on this page with a new date.

Gizlilik politikası

1. Biz kimiz