← Oyuna dön · Back to the game · English · Kullanım Şartları · Terms

Gizlilik ve Aydınlatma Metni

Sürüm 2026-10-28

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.10 ve AB Genel Veri Koruma Tüzüğü (GDPR) m.13 uyarınca, Tactic Boss'ta kişisel verilerinin nasıl işlendiğini anlatır.

1. Veri sorumlusu

Tactic Boss, Ankara. İletişim: [email protected]

2. Hangi verileri işliyoruz

Hesap: kullanıcı adı, e-posta adresi ve doğrulandığı zaman, şifrenin geri çevrilemez özeti (scrypt; şifrenin kendisi saklanmaz), kayıt tarihi, kullanım şartlarını kabul ettiğin tarih ve sürüm. Platform yöneticileri için ayrıca iki adımlı doğrulama (TOTP) sırrı.
Google ile giriş (sadece seçersen): Google hesap kimliğin ve Google'ın doğruladığı e-posta adresin.
Oturum: tarayıcındaki oturum çerezinin sunucuda saklanan özeti ve süresi.
Oyun: ligin, kulübün, taktiklerin, transferlerin, sanal bütçen ve kulis hareketlerin, sohbet mesajların, müzen. Ligin sayfası şu an sende açık mı (Tribün'de ligin üyeleri görür; sayfayı kapatınca düşer, kaydedilmez). Ligine son girdiğin zaman (lig yöneticisi görür; uzun süre girmeyen üyeleri ligden çıkarmak için). Lig yönetiminin işlem kaydı: hangi yöneticinin ne yaptığı, hesap numarasıyla, son 200 işlem; lig üyeleri görür.
Şikayetler: gönderdiğin ya da hakkında gönderilen şikayetler; şikayet edilen mesajın metni dahil.
Askı ve itiraz: hesabın askıya alınırsa bitiş tarihi ve platform yöneticisinin yazdığı gerekçe (giriş yapmayı denediğinde sana gösterilir); itiraz edersen itirazının metni, kararı ve yöneticinin yanıtı.
Geri bildirim: gönderdiğin öneri, istek ve hata bildirimleri; o an hangi ligde ve hangi sekmede olduğun.
Flare: bakiyen ve her hareketi (satın alma, paket, iade, ters ibraz, platform düzeltmesi ve gerekçesi), tarihiyle. Satın almada ödeme sağlayıcısının işlem numarası, paket, tutar ve para birimi; kart bilgilerin bize gelmez.
Davet: hesabının davet kodu; senin bağlantınla kimlerin geldiği (her biri için tarih, ödül koşullarındaki ilerlemesi: kulübünün oynadığı maç sayısı, e-postasını doğrulayıp doğrulamadığı, oyunda bir şey yaptığı gün sayısı) ve ödülün durumu. Bağlantınla gelip ödül kazandıran davet sayısına göre profilinde bir rozet (Davetçi, Kadro kurucu, Taraftar lideri) herkese görünür; sayı ve kimlerin geldiği görünmez. Davet sayfanda, bağlantınla gelenlerin kullanıcı adlarını ve bu ilerlemeyi görürsün; sen birinin bağlantısıyla geldiysen o hesap da seninkini görür. Kayıtta tarayıcının, davet edenin kullandığı bir tarayıcı olup olmadığı not edilir.
Ağ bilgisi: IP adresin saklanmaz. Lig yöneticisini aynı ağdan açılan hesaplara karşı uyarmak için, adresin ligine özel anahtarlı bir özeti (geri çevrilemez) tutulur; aynı ağdan iki hesap arasında takas, kiralama, satın alma ya da şike olursa bu iki hesap lig yöneticilerine not olarak gösterilir. Hile önleme için ayrıca adresin her ligde aynı olan anahtarlı bir özeti tutulur (son 30 günde geldiğin ağlar).
Hile önleme: başka menajerlerle yaptığın her işlem (satış, kiralama, takas, şike) ve oyuncu değerine göre ne kadar değer aktardığı; hangi saatlerde hangi dakikalarda işlem yaptığın ve işlemlerin arasındaki süreler; tarayıcındaki tb_dev çerezinin anahtarlı özeti (aynı tarayıcıdan açılan hesapları görmek için). Bunlardan günde bir kez otomatik bir tarama, bir kişinin birden çok hesap oynaması, hesaplar arası değer aktarımı ya da otomatik oynama belirtisi gösteren hesap ya da hesap çiftlerini bir puanla platform yöneticilerine listeler.
Sunucu kayıtları: hesap ve lig numarası içeren işlem kayıtları (ör. şifre değişikliği, askıya alma, lig yöneticisi işlemleri, bir hesaba 10 dakikada kaç yanlış şifre girildiği; serbest metin olmadan) ve hatalar; yanlış ayarlanmış vekil sunucu uyarılarında bağlanan IP adresi.

3. Amaçlar ve hukuki sebepler

Hesabını açmak, oyunu oynatmak, e-posta ile doğrulama ve şifre sıfırlama: sözleşmenin kurulması ve ifası (KVKK m.5/2-c; GDPR m.6/1-b).
Güvenlik, kötüye kullanımın önlenmesi, hız sınırları, şikayetlerin incelenmesi, aynı ağ uyarısı, askıya alma: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
Geri bildirimleri okuyup oyunu düzeltmek ve geliştirmek: meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
Yetkili makamların talepleri: hukuki yükümlülük (KVKK m.5/2-ç; GDPR m.6/1-c).
Hile taraması (çoklu hesap, hesaplar arası değer aktarımı, otomatik oynama): oyunun herkes için adil kalması, meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f).
Davet ödülünü vermek ve kötüye kullanılmasını önlemek: sözleşmenin ifası ve meşru menfaat (KVKK m.5/2-c, f; GDPR m.6/1-b, f).

Reklam ve verilerin satışı yoktur. Hile taraması dışında profil çıkarılmaz. Tarama kimseyi kendiliğinden cezalandırmaz: yalnızca platform yöneticilerine incelenecek vakalar gösterir, her kararı (ör. askıya alma) bir insan verir (GDPR m.22). Vakalara itiraz için [email protected] adresine yazabilirsin.

4. Kimlere aktarılır

Brevo (Sendinblue SAS, Fransa): e-postaların gönderimi; adresin ve e-postanın içeriği.
Google (Google ile girişi seçersen): kimliğinin doğrulanması.
Barındırma sağlayıcısı: sunucu ve yedekler.
Ödeme hizmeti sağlayıcısı (Flare satın alırsan): ödemenin alınması; tutar, paket ve hesap numaran. Kart bilgilerini doğrudan sağlayıcıya girersin.
Yetkili kamu kurumları: kanunen zorunlu olduğunda.

Bu sağlayıcılar yurt dışındadır. Türkiye'den aktarım KVKK m.9 uyarınca Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmelerle; Google'a (ABD) AB'den aktarım AB Komisyonu'nun standart sözleşme maddeleriyle yapılır. Brevo verileri AB içinde işler. Fontlar ve diğer dosyalar bu sitenin kendisinden yüklenir; ziyaretin başka bir siteye bildirilmez.

5. Saklama süreleri

Hesap ve oyun verileri: hesabını silene kadar. Silince hemen silinir; ligdeki eski kayıtlarda adın "Silinmiş kullanıcı" olur.
E-posta adresi hiç doğrulanmayan ve hiçbir lige girmeyen hesap: kayıttan 14 gün sonra silinir.
Yedekler: 14 gün; silinen veriler bu süre sonunda yedeklerden de çıkar. Yedeklerde oturum, bağlantı, iki adımlı doğrulama sırrı ve ağ bilgisi bulunmaz.
Ağ özeti: son ziyaretten itibaren 30 gün; aynı ağ notları 30 gün.
Hile önleme: ağ ve tarayıcı özetleri ile işlem saatlerin 30 gün (yedeklere girmez); işlemlerin 180 gün (hesabını silince işlemlerden hesap numaran çıkarılır, karşı tarafın kaydı kalır); kapatılan vakalar 1 yıl, hesabını silince hemen; hesabını sildiğinde açık olan bir vaka, platform yöneticisi kapatana ya da son bulgudan 30 gün sonra kendiliğinden kapanana kadar kalır, kapandıktan sonra 1 yıl tutulur.
Davet kayıtları: hesabın silinene kadar. Getirdiğin hesap silinirse kayıttan onun hesap numarası çıkarılır; sen hesabını silersen getirdiklerinle ilgili kayıtlar silinir.
Instagram takip hediyesi: aldığın zaman ve lig, hesabın silinene kadar. Hediyenin aynı adrese ikinci kez verilmemesi için e-posta adresinin anahtarlı tek yönlü bir özeti (adresin kendisi değil) hesabın silinse de saklanır.
Oturumlar: son kullanımdan 30 gün, en fazla 180 gün.
Doğrulama ve sıfırlama bağlantıları: 24 saat ve 1 saat.
Kapatılan şikayetler: 1 yıl; şikayet edilen mesajın metni kapatıldıktan 30 gün sonra silinir. Hesabını silince gönderdiğin şikayetler silinir; hakkındaki şikayetler bu süre boyunca kalır (kötüye kullanımın önlenmesi). Askıdaki hesap silinemez.
İtirazlar: karara bağlandıktan sonra 1 yıl; hesabını silince hemen. Askı gerekçesi askı kaldırılınca silinir; süresi dolan askınınki bir sonraki askıya kadar kalır; hesabınla birlikte silinir.
Geri bildirim: kapatıldıktan sonra 1 yıl, kapatılmazsa gönderildikten sonra 2 yıl. Hesabını silince hemen silinir.
Flare bakiyesi ve hareketleri: hesabını silene kadar; silince hemen silinir. Ödeme kayıtları (tutar, tarih, işlem numarası) vergi mevzuatı gereği 10 yıl saklanır; hesabın silinince hesabınla bağı kaldırılır.
Sunucu kayıtları: işletmecinin ayarladığı süre, 30 gün.

6. Çerezler

Sadece hizmetin çalışması için zorunlu çerezler kullanılır (adlar HTTPS'te geçerlidir); reklam ya da analiz çerezi yoktur, bu yüzden onay istenmez.

__Host-ml_session: oturumun; son kullanımdan 30 gün.
__Host-ml_oauth: Google ile girişin sürerken; en fazla 15 dakika.
__Host-tb_dev: rastgele bir tarayıcı numarası, güvenlik ve hile önleme için (aynı tarayıcıdan oynanan hesaplar); 2 yıl. Sunucuda sadece anahtarlı özeti 30 gün tutulur.
Tarayıcının yerel deposunda görünüm tercihlerin (dil, son sekme) ve okundu işaretleri; sunucuya gönderilmez.

7. Yaş

Tactic Boss 16 yaşından küçükler için değildir; kayıt olurken 16 yaşından büyük olduğunu beyan edersin.

8. Hakların

KVKK m.11 ve GDPR m.15–22 uyarınca verilerine erişme, düzeltilmesini, silinmesini isteme, işlenmesine itiraz etme ve verilerini taşınabilir biçimde alma hakların vardır. Hesabını ve verilerini Ayarlar'dan silebilir ya da indirebilirsin. Diğer talepler için [email protected] adresine yaz; en geç 30 gün içinde cevap veririz. Kişisel Verileri Koruma Kurulu'na ya da AB'de bulunduğun ülkenin veri koruma otoritesine şikayette bulunabilirsin.

Privacy Notice

Version 2026-10-28

This notice tells you how Tactic Boss processes your personal data, under Turkey's Law No. 6698 on the Protection of Personal Data (KVKK, art. 10) and the EU General Data Protection Regulation (GDPR, art. 13).

1. Controller

Tactic Boss, Ankara. Contact: [email protected]

2. What we process

Account: username, e-mail address and when it was verified, a one-way hash of your password (scrypt; the password itself is never stored), when you signed up, and when and which version of the terms you accepted. For platform admins, also the two-step sign-in (TOTP) secret.
Signing in with Google (only if you choose it): your Google account ID and the e-mail address Google verified.
Session: a hash of your browser's session cookie, kept on the server, and when it ends.
Game: your league, club, tactics, transfers, virtual budget and backstage moves, chat messages and museum. Whether you have your league open right now (shown to its members in the Stands; it is cleared when you close the page and is not stored). When you last visited your league (shown to its admins; used to remove members who stay away). The league's admin log: which admin did what, by account number, the last 200 actions; members can see it.
Reports: reports you send or that are sent about you, including the text of the reported message.
Suspensions and appeals: if your account is suspended, until when and the reason the platform admin wrote (shown to you when you try to sign in); if you appeal, your appeal's text, the decision and the admin's reply.
Feedback: the ideas, requests and bug reports you send, and which league and tab you were in at the time.
Flare: your balance and every transaction (purchase, pack, refund, chargeback, a platform correction and its reason), with its date and time. For a purchase, the payment provider's transaction number, the bundle, the amount and currency; your card details never reach us.
Invites: your account's invite code; who came with your link (for each, the date and how far they are toward the reward: the matches their club played, whether they verified their e-mail, on how many days they did something in the game) and the reward's state. Your profile shows everyone an inviter badge (Inviter, Squad builder, Crowd leader) by how many of your invites won a reward; neither the count nor who came is shown. Your invite page shows the usernames of those who came with your link and that progress; if you came with someone's link, that account sees yours. At sign-up it is noted whether your browser is one the inviter used.
Network: your IP address is not stored. To warn a league's admins about accounts opened from one network, a keyed one-way hash of it, specific to your league, is kept; when two accounts from one network trade, loan, buy from each other or fix a match, the pair is shown to the league's admins as a note. To prevent cheating, a keyed hash of it that is the same in every league is also kept (the networks you came from in the last 30 days).
Preventing cheating: every deal you make with other managers (sales, loans, swaps, match fixing) and how much value it moved, measured by the players' worth; in which minutes of which hours you acted and the time between your actions; a keyed hash of the tb_dev cookie in your browser (to see accounts played from one browser). Once a day an automated scan lists for the platform's admins, with a score, accounts or pairs of accounts that show signs of one person playing several accounts, value moved between accounts or automated play.
Server logs: records with account and league numbers (e.g. password changes, suspensions, league admins' actions, how many wrong passwords an account got in 10 minutes; no free text) and errors; the connecting IP address in warnings about a misconfigured proxy.

3. Purposes and legal bases

Running your account and the game, e-mail verification and password resets: performing our contract with you (KVKK 5/2-c; GDPR 6(1)(b)).
Security, preventing abuse, rate limits, handling reports, same-network warnings, suspensions: legitimate interests (KVKK 5/2-f; GDPR 6(1)(f)).
Reading feedback to fix and improve the game: legitimate interests (KVKK 5/2-f; GDPR 6(1)(f)).
Requests from authorities: legal obligation (KVKK 5/2-ç; GDPR 6(1)(c)).
The scan for cheating (several accounts, value moved between accounts, automated play): keeping the game fair for everyone, legitimate interests (KVKK 5/2-f; GDPR 6(1)(f)).
Giving the invite reward and preventing its abuse: performing our contract and legitimate interests (KVKK 5/2-c, f; GDPR 6(1)(b), (f)).

There is no advertising and no sale of data. There is no profiling beyond the scan for cheating. The scan punishes no one by itself: it only shows the platform's admins cases to look into, and a person makes every decision (such as a suspension) (GDPR art. 22). To contest a case, write to [email protected].

4. Who receives it

Brevo (Sendinblue SAS, France): sending e-mails; your address and the e-mail's content.
Google (if you sign in with Google): verifying who you are.
Our hosting provider: the server and its backups.
The payment service provider (if you buy Flare): taking the payment; the amount, the bundle and your account number. You enter your card details with the provider directly.
Public authorities, where the law requires it.

These providers are outside Turkey. Transfers from Turkey use the standard contracts announced by Turkey's Personal Data Protection Board under KVKK art. 9; transfers from the EU to Google (USA) use the European Commission's standard contractual clauses. Brevo processes data within the EU. Fonts and every other file load from this site itself; your visit is not reported to any other site.

5. How long we keep it

Account and game data: until you delete your account. It is deleted at once; in old league records your name becomes "Deleted user".
An account whose e-mail address is never verified and that never joins a league: deleted 14 days after signing up.
Backups: 14 days, after which deleted data is gone from them too. Backups hold no sessions, links, two-step secrets or network data.
Network hash: 30 days from your last visit; same-network notes 30 days.
Preventing cheating: network and browser hashes and the times of your actions, 30 days (never in backups); your deals, 180 days (when you delete your account your number is taken off them; the other side's record stays); closed cases, 1 year, or at once when you delete your account; a case still open when you delete it stays until a platform admin closes it or it closes by itself 30 days after its last finding, then 1 year.
Invite records: until your account is deleted. If an account you brought in is deleted, its number is taken off the record; if you delete yours, the records of those you brought in are deleted.
Instagram follow gift: when you took it and in which league, until your account is deleted. So that the gift is not given to the same address twice, a keyed one-way hash of your e-mail address (not the address itself) is kept even after your account is deleted.
Sessions: 30 days from last use, 180 days at most.
Verification and reset links: 24 hours and 1 hour.
Closed reports: 1 year; the reported message's text is deleted 30 days after closing. When you delete your account the reports you filed are deleted; reports about you stay for that period (preventing abuse). A suspended account cannot be deleted.
Appeals: 1 year after they are decided; at once when you delete your account. A suspension's reason is deleted when the suspension is lifted; the reason for one that ran out stays until the next suspension replaces it; it is deleted with your account.
Feedback: 1 year after it is closed, or 2 years after it was sent if it never is. Deleted at once when you delete your account.
Flare balance and moves: until you delete your account; then deleted at once. Payment records (amount, date, transaction number) are kept 10 years as tax law requires; once your account is deleted they are no longer tied to it.
Server logs: as the operator sets them, 30 days.

6. Cookies

Only cookies the service needs to work are used (names as on HTTPS); there are no advertising or analytics cookies, so no consent is asked.

__Host-ml_session: your session; 30 days from last use.
__Host-ml_oauth: while you sign in with Google; 15 minutes at most.
__Host-tb_dev: a random browser number, for security and preventing cheating (accounts played from one browser); 2 years. The server keeps only a keyed hash of it, for 30 days.
Your display preferences (language, last tab) and read markers, in your browser's local storage; never sent to the server.

7. Age

Tactic Boss is not for anyone under 16; you declare that you are 16 or older when you sign up.

8. Your rights

Under KVKK art. 11 and GDPR arts. 15–22 you may access your data, have it corrected or erased, object to its processing and receive it in a portable form. You can delete or download your account and data from Settings. For anything else write to [email protected]; we answer within 30 days. You may complain to Turkey's Personal Data Protection Authority or, in the EU, to the data protection authority of your country.