Privacy Policy
This Privacy Policy explains how Mehmet Ugur Kebir collects, uses, and protects your personal data when you use devocab.com. We comply with the EU General Data Protection Regulation (GDPR) and the German Bundesdatenschutzgesetz (BDSG).
1. Data Controller
Mehmet Ugur Kebir
Peter-Dörfler-Str. 24
88161 Lindenberg im Allgäu, Germany
support@devocab.com
We are a small operation and not legally required to appoint a Data Protection Officer (DPO). Direct all privacy enquiries to the email above.
2. What We Collect
You can use the free tier without an account (guest mode). A guest's progress and settings stay in their browser; nothing about them is stored on our servers.
At signup
- Email address
- Your name: e-mail sign-up asks for your first and last name; Google or Facebook sign-in passes us the name on that account. It is shown as your display name, which you can change in Settings.
- Authentication session tokens (managed by Supabase)
During use
Where this data is kept depends on your plan. With a free account, your study data stays in your browser, as it does for a guest; our servers hold your account, your time-zone setting, and any error reports or promotional codes you submit. With Premium, your study data is also synced to our servers so that it is the same on all your devices.
- Study progress: for each word you have studied, its Leitner box, how many times you have answered it and how many of those answers were correct, when you last answered it, and when it is next due
- User-added synonyms (translations you have explicitly accepted)
- App settings: language, theme, current level and time zone
- Per-day activity: the dates you studied, how many answers you gave (and how many were correct) on each day, your daily study plan, the missed days a streak repair bridged and the day you accepted it, and whether your account was Premium on that day
- Statistics derived from your study activity: counts, streaks, points and your player level, and adaptive-learning metrics (e.g. a rolling 14-day accuracy and review-load signal used to size your personalised daily plan)
- Usage timing. So that the app can show you your own study statistics,
we record how much time you actively spend studying, in three forms:
- a per-day total (e.g. "24 July: 754 seconds");
- a running total per hour of the day (e.g. "21:00–22:00: 4,180 seconds in total"), summed across your whole history; and
- for each hour of the day, the number of days on which you studied in that hour (e.g. "21:00–22:00: 12 days").
- A daily counter of premium-vocabulary fetches per account (used solely for abuse detection and rate limiting; see §10).
- Vocabulary watermark seed (premium users only). When a premium user first downloads the gated vocabulary set, we generate a small random seed (a number, not derived from any personal data) and store it on the account. The seed is used to select a per-account subset of marker words that are merged into the premium copy. This lets us trace an unauthorised public copy back to the originating account (see Terms §6). The seed is never shared with third parties and cannot be read by any other user.
- Error reports. If you are signed in and report a vocabulary error from the study screen, we store the report — the word, the kind of error, your suggested correction and any note you write, the level, language and app version — with your account ID and the time. Reports are used only to correct the vocabulary.
- Level clips. When you complete a level with Premium, the app plays a short clip. We record that your account unlocked that level's clip: the level, the interface language, whether it was unlocked when you completed the level or later from the Statistics page, and when. The record lets you watch the clip again while you have Premium; it is not removed when your Premium ends, so the clip plays again if you subscribe again. We also count the clip requests an account makes each day, to limit abuse.
- Level-completion offer. If we offer you a discount for completing a level, we record the level, the discount created at Paddle for your account, when the offer expires, and whether and in which transaction it was used. That discount at Paddle carries your account ID.
- The map. When you open a state or a district on the map, we record which place you opened, in which interface language, how many keys it cost, when, the study day its card shows, and the payment it was opened under. The record keeps the place and its card yours on every device, also after your Premium ends; a place opened under a payment that is later refunded or charged back is locked again (see "Payments" below). We also count the card requests an account makes each day, to limit abuse.
At purchase
Payment is processed entirely by Paddle. We do not see, store, or have any access to your payment card data. From Paddle's webhooks we receive only:
- Paddle customer ID and subscription ID
- Subscription status (trial, active, paused, cancelled, expired)
- Subscription end date
- For each completed transaction: its Paddle ID, the amount and currency charged, and when it was billed
- For each refund or chargeback: its Paddle ID, the transaction it concerns, its kind (for example a full or partial refund, a chargeback, or a chargeback being reversed), its status, the amount and currency, and when it happened
Checkout. When you open checkout, our server creates the Paddle transaction for your account and keeps a record of that checkout: the plan, whether it was a regular purchase, a level-completion offer or a promotional code, its status, the Paddle transaction, price, discount, customer and subscription IDs, and the times it was created and last changed. Paddle's events are attached to your account through this record only. We also count the checkouts an account opens each day, to limit abuse. We pass Paddle your email address and your account ID. When you open the customer portal, we pass Paddle your interface language so that the portal and Paddle's emails use it.
Payments. For each payment that gives your account Premium — a Paddle payment, a promotional code, or Premium we grant by hand — we record its kind, the Paddle transaction or the code it came from, its date, and for a Paddle payment the amount, the currency and the subscription it paid for. Together with the refund and chargeback records above, this tells us whether a payment was kept: a full refund, a chargeback or a chargeback warning (Paddle returns the money in each case) cancels the subscription at once, ends Premium, and locks again what was unlocked under that payment, such as a place on the map or a level clip. A partial refund changes nothing.
Promotional codes. If you redeem a code, we store which code you redeemed, the Premium period it granted and when, plus a daily count of failed attempts (to stop codes from being guessed). A discount code is checked against Paddle's discount list; a code that grants Premium directly involves no payment and no Paddle subscription.
Emails we send you
We send email to the address on your account for two purposes:
- Service notices — what you need to know about your account and the Service: changes to our Terms or this Privacy Policy, security incidents, outages and billing problems. They go to every account with a confirmed email address and carry no advertising.
- News and offers — for example new features, offers or tips. These go only to accounts that have explicitly asked for them and confirmed that request through a link we emailed (double opt-in). Every such email contains a link to unsubscribe, and mail programs with a one-click "Unsubscribe" button can use that instead; either takes effect immediately. You can also unsubscribe by writing to us.
For this we store:
- Your choice about news and offers: whether you asked for them, confirmed or withdrew, and when.
- For each email sent to you: the mailing it belongs to, whether it was handed to our email provider, skipped or failed (with the provider's reason if it failed), the number of attempts, and the provider's message ID.
The operator writes each mailing and chooses its recipients in the administration tool, using the account-list fields described under "Operator access to your account data" below (for example the subscription status or the date you last studied).
Website analytics
On devocab.com, our hosting provider Cloudflare (§4) measures visits and page load times with Cloudflare Web Analytics, for visitors outside the European Union only: visitors from the EU are not measured, and the measurement script is not loaded for them. It sets no cookies and stores nothing on your device, does not fingerprint you, and does not follow you across other websites. It records the page address without its query string, the referring page, the browser and device type, the country derived from your IP address, and loading times, and shows them to us only as aggregate figures.
We do NOT collect
- IP addresses for tracking, profiling, or advertising. (Our hosting providers and the third-party services listed in §4 necessarily receive your IP address when your browser connects to them — to load the app or a script — but we do not use it to track or profile you and do not store it for analytics.)
- Browsing history outside the app
- Precise location, contacts, biometric data
- Marketing analytics: we set no tracking cookies, and our only measurement is the cookieless website analytics described above. (Paddle's checkout script, which loads only when you open the upgrade window, brings Paddle's own analytics — see §4 and §9.)
- A log of your individual answers. For each word we keep only its current state, including when you last answered it — not a history of your answers — and there is no day-by-day breakdown of the hours you were active.
- Whether you open our emails or click their links: they contain no tracking pixels and no tracked links.
The statistics described in this section are shown to you, on your own Statistics page. We do not use your study times to profile you, to make automated decisions producing legal or similarly significant effects about you (GDPR Art. 22), for advertising, or for any purpose beyond operating the Service. They are never sold or shared with third parties other than the infrastructure processors in §4, who store them on our behalf.
Operator access to your account data
Besides you, the operator named in §1 can access the data held on your account, through an internal administration tool. This access exists so that we can run the Service: answering your support requests, investigating a fault you report, detecting abuse of the premium vocabulary (see §10), and sending the emails described above. It is limited to what those purposes require:
- The account list shows, for every account: email address and display name, subscription status, longest streak, number of study days, words seen, points and player level, the dates the account last studied and was last seen, today's premium-vocabulary fetch count, and whether an abuse alert is open.
- An individual account's detail view additionally shows: join date and subscription end date; learning progress (Leitner box distribution, number of reviews, accuracy); for each level and language, the current and longest streak, number of study days, last-studied date, when that level last synced, the adaptive-learning metrics described above, and points; total study time; abuse alerts; and the number of error reports filed.
- Error reports you submit are reviewed together with your account ID.
- Mailings. The operator can select the recipients of an email by the account-list fields above, and sees whom a mailing went to and whether each delivery succeeded. Sending or cancelling a mailing is recorded in the audit log described below, with the kind of mailing, the number of recipients and the selection used — not the email's text.
- Aggregated across all users only, never per account: the hour-of-day study pattern and the day-by-day study-time breakdown. These are used to understand how the Service is used overall (for example, "most studying happens between 20:00 and 23:00"), and the administration tool offers no way to view either of them for an individual account.
- Premium without a recorded source. Our security check lists the Premium accounts that no completed checkout or redeemed promotional code explains, such as Premium we granted by hand (see Slack in §4). When the operator has checked one, that is recorded with the account ID, a fingerprint (a hash) of the subscription details checked (status, end date, provider and subscription), the time and an optional note; the record is deleted with the account.
- Access to an account is logged. Whenever an administrator opens an individual account's detail view or decides on an error report, that access is recorded in an internal audit log along with the administrator's identity and the time. Viewing the account list or the list of error reports is not logged. As database administrator, the operator can also reach the database directly (for example through the database host's console) for maintenance and incident handling; such access is not recorded in that audit log.
The tool is reachable only by the operator, over an identity-verified connection protected by multi-factor authentication. It cannot read your password (we never hold it in a readable form — see §10) or your payment data (held by Paddle — see §2 "At purchase").
3. Legal Basis (GDPR Art. 6)
- Contract (Art. 6(1)(b)): account creation, study features, subscription management. This includes the progress, streak, study-time and study-hour statistics: they are part of the learning product you sign up for, are shown back to you in the app, and are synced across your devices so your account behaves consistently.
- Legitimate interest (Art. 6(1)(f)): fraud prevention, service improvement, aggregate website analytics, security logging, the operator access described in §2. Our interest is in being able to operate, support and protect the Service. We balanced it against your interests by restricting per-account access to the fields listed in §2, keeping the more revealing hour-of-day and day-by-day figures aggregate-only, logging every opening of an individual account's detail view, and making no automated decisions about you on this basis. You may object to this processing under Art. 21 — see §7.
- Service notices by email: Art. 6(1)(b) for information about your account and our contract with you (such as changes to our Terms); Art. 6(1)(c) where the law requires us to inform you (such as a data breach, Art. 34); and Art. 6(1)(f) for security and outage notices, in our interest in keeping you and the Service safe.
- Consent (Art. 6(1)(a)): only where explicitly requested in-app, and for news and offers by email (together with §7(2) of the German Act against Unfair Competition, UWG). You can withdraw your consent at any time with effect for the future (Art. 7(3)); we keep a record of your consent and of its withdrawal so that we can prove and honour them (Art. 7(1), Art. 6(1)(c)).
4. Third-Party Processors
To deliver the Service we use the following third-party services, each handling your data under its own privacy terms; the data protection agreements that apply are described below the list:
- Supabase — Authentication and database hosting; our database is hosted in the EU (Ireland). Privacy Policy
- Paddle — Payment processing as Merchant of Record. Paddle's checkout script, which the app loads only when you open the upgrade window, also loads Paddle's analytics script (ProfitWell), which may set its own cookies. Privacy Policy
- Google LLC — OAuth sign-in (only if you choose "Sign in with Google"). Google may set its own cookies and process data on its domain under its policy. Privacy Policy
- Meta Platforms Ireland Limited (Facebook) — OAuth sign-in (only if you choose "Sign in with Facebook"). Meta may set its own cookies and process data on its domain under its policy. We receive your email address, your name and the OAuth identifier; no friend list or social-graph data is requested. Privacy Policy
- Cloudflare, Inc. — Web application hosting, CDN and cookieless website analytics (Cloudflare Web Analytics, §2). Privacy Policy
- Volentio JSD Limited (jsDelivr) — Public CDN that serves the open-source Supabase client library the app loads on every visit; it receives your IP address in delivering that file. Privacy Policy
- Slack Technologies Limited (Slack) — Receives our automated operational alerts: when abuse detection flags an account, that account's ID and its premium-vocabulary fetch count for the day; billing alerts (for example a refund, a chargeback, a double purchase, or a payment or subscription our records cannot match), with the account ID, the Paddle IDs concerned (transaction, subscription, customer, price, discount, refund or chargeback) and the kinds, statuses and amounts involved; the Premium accounts that no completed checkout or redeemed promotional code explains, with their account ID, subscription status, end date, provider and subscription ID; changes to promotional codes and how often they are redeemed (no account ID); and summaries of new error reports (word, error type, language and level — no account ID). Privacy Policy
- GitHub, Inc. — Runs our scheduled maintenance jobs (abuse detection and error-report summaries); a job's log can contain the ID of an account that abuse detection flagged. Privacy Statement
- Amazon Web Services EMEA SARL (Amazon SES) — Sends our emails from its EU (Frankfurt) region. It receives each recipient's email address and the email itself (subject, text and, for news and offers, a personal unsubscribe link). If an email to an address bounces or is reported as spam, Amazon SES adds that address to our account's suppression list so that we stop emailing it. Privacy Notice
- AI tools — Used offline by us to generate or refine vocabulary synonyms and example sentences, the map's images and the sentences on its cards before publication. No personal data, study progress, or user-generated content is ever sent to them. Only impersonal content is processed: German vocabulary, and places with their public sources.
Our infrastructure processors provide GDPR Article 28 Data Processing Agreements (DPAs) as part of their service terms, governing their processing of personal data on our behalf: Cloudflare's DPA is incorporated by reference into its Self-Serve Subscription Agreement, Amazon Web Services' DPA into the AWS Service Terms, and Supabase's DPA is accepted through its self-service legal flow. Paddle acts as our Merchant of Record; for the payment transaction it is largely an independent controller, and its DPA applies to any data processed on our behalf. Google and Meta are independent controllers for the OAuth sign-in step. jsDelivr, Slack and GitHub receive only the limited data described above.
Pronunciation uses your browser's built-in speech synthesis, and the app prefers the browser's online voices where available. Such a voice is a service of your browser or operating-system vendor (for example Google, Apple or Microsoft), which then receives the German text being spoken — never your account data.
5. International Transfers
Where data is transferred outside the EU/EEA (e.g. via Cloudflare, Paddle, jsDelivr, Slack, GitHub or Amazon Web Services infrastructure), we rely on the EU Standard Contractual Clauses and our processors' adequacy mechanisms, such as the EU–US Data Privacy Framework.
6. Storage and Retention
- Active account data is retained while your account exists.
- Deleting your account. You can delete your account yourself in Settings ("Hesabımı sil" / "Delete my account"). Deletion is immediate: any Paddle subscription is cancelled first, then your account and the data linked to it are removed from the live production database. If you ask us by email instead, we do this within 30 days. Exceptions: records we must keep by law (e.g. tax-relevant records: up to 10 years per Abgabenordnung §147; payment records held by Paddle), and the error reports you submitted, which are kept without your account ID because they document corrections to the shared vocabulary (a note you wrote stays with its report). The delivery records of emails sent to you are unlinked from your account and expire as described under "Emails" below. The records of the checkouts you opened and of your payments (§2 "At purchase"), the refund and chargeback records of those payments, your level-clip unlocks, the places you opened on the map and your level-completion offers are deleted with your account; as Merchant of Record, Paddle keeps its own records of your transactions (§4). A refund or chargeback that Paddle reports after your account was deleted is linked to no account here, and is deleted 90 days after it happened.
- Backups. Our database host (Supabase) currently keeps no backups of our database, so data removed from the live database is not retained in a backup copy.
- Administrative audit log. The record of operator accesses described in §2 is kept for 12 months and then deleted. It stores only which administrator opened which account, decided on which error report, or sent or cancelled which mailing (with its kind, number of recipients and selection), and when — it holds no copy of your study data or of any email's text.
- Emails. The delivery record of each email sent to you is deleted 90 days after its mailing finishes; the mailing's totals (how many emails were handed over, failed or skipped) and its text remain, with no data about you. Your choice about news and offers, with the times you gave or withdrew consent, is kept while your account exists and deleted with it. An entry on Amazon SES's suppression list (see §4) stays until we remove it, which we do on request.
- Operational alerts and logs. The Slack alerts and GitHub job logs described in §4, and our server functions' logs, can contain an account ID. They are not deleted with your account; they are kept for as long as those services retain them.
- Website analytics. Cloudflare keeps the measurements described in §2 in full for 7 days and afterwards only as a reduced sample.
- Signing out removes the study data this app keeps in your browser (localStorage and IndexedDB). "Bu seviyeyi sıfırla" / "Reset this level" in Settings clears only that level's progress for the current interface language.
- Resetting a level erases its statistics. For Premium accounts, whose data is synced, "Reset this level" also deletes that level's stored record on our server for the current interface language — its progress, study days, study time and hour-of-day totals — not only the local copy. Accepted answers (synonyms) you added are kept. If your Premium has ended, a reset clears only the device, and the copy on our server is deleted with your account or on request. Study statistics are otherwise kept for as long as the account exists and are deleted with it.
7. Your Rights (GDPR Art. 15–22)
You have the right to:
- Access your personal data (Art. 15)
- Rectify inaccurate data (Art. 16)
- Erase your data ("right to be forgotten", Art. 17)
- Restrict processing (Art. 18)
- Data portability — receive your data in a structured, machine-readable format. The app's JSON export (Settings → Export progress) gives you your progress in every level and both languages as one file at any time; for a complete copy of the data held on your account, email us. (Art. 20)
- Object to processing (Art. 21)
- Withdraw consent at any time
To exercise any of these rights, email support@devocab.com. We respond within 30 days as required by law.
8. Supervisory Authority
You have the right to lodge a complaint with a supervisory authority. The competent authority for us is:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Germany
www.lda.bayern.de
9. Cookies and Local Storage
We set no cookies of our own. The app keeps data in your browser with localStorage and IndexedDB (browser APIs, not cookies) for:
- Authentication session tokens (necessary)
- Application state, your study progress and user settings (necessary)
- Pending sync queue (necessary; Premium)
- The premium vocabulary, cached so that it works offline, and a signed entitlement token that keeps Premium working offline for a limited time (necessary; Premium)
- The level clips you unlocked, cached so that they play without downloading again, and removed when your Premium ends or you sign out (necessary; Premium)
- The map's cards you opened, cached so that they show without downloading again; kept when your Premium ends, removed when you sign out or another account signs in on the device, and a card is also removed when its place is locked again (necessary)
If you pick a plan before signing in, that choice is kept in sessionStorage for the current tab only, so that checkout can continue after sign-in.
We do not use marketing or analytics cookies. Third parties may set cookies on their own domains: Supabase for its sign-in flow, Google or Facebook when you use their sign-in, and Paddle — including its analytics script (ProfitWell) — once you open the upgrade window or checkout.
10. Security
We apply technical and organisational measures appropriate to the risk:
- HTTPS / TLS 1.2+ for all data in transit.
- Database access restricted by Postgres Row-Level Security: each user can read and write only their own data.
- Subscription status fields are written only by our server-side functions — when Paddle sends an HMAC-signed webhook, or when you redeem a promotional code — never by the app itself; clients cannot modify them.
- Authentication uses industry-standard JWT bearer tokens. Passwords (where you use the e-mail/password sign-in option) are never seen or stored by us in plaintext; they are hashed and salted by Supabase Auth using bcrypt before storage. We have no access to your password. OAuth sign-in (Google, Facebook) does not involve a password held by us at all.
- Service-role database credentials and third-party API keys are never included in the app or sent to the browser; they are kept in our server-side configuration and the operator's administration tooling.
- Premium vocabulary delivery is rate-limited per account; abnormal access patterns trigger an alert to the operator (see Slack in §4).
No security measure is perfect; despite our efforts we cannot guarantee that data transmission or storage will be free from unauthorised access.
11. Data Breach Notification
In the event of a personal-data breach that is likely to result in a risk to your rights and freedoms, we will:
- Notify the competent supervisory authority (BayLDA, see §8) within 72 hours of becoming aware of the breach, in accordance with Article 33 GDPR; and
- Notify affected users without undue delay where the breach is likely to result in a high risk to their rights and freedoms, in accordance with Article 34 GDPR — via the e-mail address on the affected account and, where appropriate, an in-app notice.
The notification will describe the nature of the breach, the categories and approximate number of users and records concerned, the likely consequences, and the measures taken or proposed to address it.
12. Children
The Service is not directed to children under 16. We do not knowingly collect data from children. If you become aware that a child has registered, please contact us and the account will be deleted.
13. Changes
Material changes to this Privacy Policy will be communicated by email or an in-app notice. Continued use after the effective date constitutes acceptance.
Gizlilik Politikası
Bu Gizlilik Politikası, devocab.com'u kullandığınızda Mehmet Ugur Kebir'in kişisel verilerinizi nasıl topladığını, kullandığını ve koruduğunu açıklar. AB Genel Veri Koruma Tüzüğü'ne (GDPR) ve Alman Federal Veri Koruma Kanunu'na (Bundesdatenschutzgesetz, BDSG) uyarız.
1. Veri Sorumlusu
Mehmet Ugur Kebir
Peter-Dörfler-Str. 24
88161 Lindenberg im Allgäu, Almanya
support@devocab.com
Küçük bir işletmeyiz ve yasal olarak bir Veri Koruma Görevlisi (DPO) atamakla yükümlü değiliz. Gizlilikle ilgili tüm sorularınızı yukarıdaki e-posta adresine gönderin.
2. Topladığımız Veriler
Ücretsiz sürümü hesap açmadan (misafir modunda) kullanabilirsiniz. Bir misafirin ilerlemesi ve ayarları kendi tarayıcısında kalır; misafirle ilgili hiçbir şey sunucularımızda saklanmaz.
Kayıt sırasında
- E-posta adresi
- Adınız: e-postayla kayıtta adınız ve soyadınız sorulur; Google veya Facebook ile girişte o hesaptaki ad bize iletilir. Bu ad, Ayarlar'dan değiştirebileceğiniz görünen adınız olarak gösterilir.
- Oturum doğrulama belirteçleri (Supabase tarafından yönetilir)
Kullanım sırasında
Bu verilerin nerede tutulduğu planınıza bağlıdır. Ücretsiz hesapta çalışma verileriniz, bir misafirde olduğu gibi tarayıcınızda kalır; sunucularımızda hesabınız, saat dilimi ayarınız ve gönderdiğiniz hata bildirimleri veya promosyon kodları bulunur. Premium'da çalışma verileriniz, tüm cihazlarınızda aynı olması için sunucularımızla da eşitlenir.
- Çalışma ilerlemesi: çalıştığınız her kelime için Leitner kutusu, kaç kez cevapladığınız ve bunlardan kaçının doğru olduğu, en son ne zaman cevapladığınız ve bir sonraki tekrarın ne zaman olduğu
- Kullanıcının eklediği eş anlamlılar (açıkça kabul ettiğiniz çeviriler)
- Uygulama ayarları: dil, tema, güncel seviye ve saat dilimi
- Günlük etkinlik: çalıştığınız tarihler, her gün kaç cevap verdiğiniz (ve kaçının doğru olduğu), günlük çalışma planınız, bir seri onarımının köprülediği kaçırılmış günler ve onarımı kabul ettiğiniz gün, ayrıca hesabınızın o gün Premium olup olmadığı
- Çalışma etkinliğinizden türetilen istatistikler: sayılar, seriler, puanlar ve oyuncu seviyeniz, ayrıca uyarlanır öğrenme ölçümleri (örneğin kişiselleştirilmiş günlük planınızın boyutunu belirlemek için kullanılan 14 günlük kayan doğruluk oranı ve tekrar yükü göstergesi)
- Kullanım süreleri. Uygulamanın size kendi çalışma istatistiklerinizi gösterebilmesi için,
aktif olarak çalışmaya ayırdığınız süreyi üç biçimde kaydederiz:
- günlük toplam (örneğin "24 Temmuz: 754 saniye");
- günün her saati için tüm geçmişiniz boyunca toplanan bir toplam (örneğin "21:00–22:00: toplam 4.180 saniye"); ve
- günün her saati için, o saatte çalıştığınız günlerin sayısı (örneğin "21:00–22:00: 12 gün").
- Hesap başına Premium kelime indirmelerinin günlük sayacı (yalnızca kötüye kullanım tespiti ve istek sınırlaması için kullanılır; bkz. §10).
- Kelime filigranı tohum değeri (yalnızca Premium kullanıcılar). Bir Premium kullanıcı korumalı kelime setini ilk kez indirdiğinde, küçük bir rastgele tohum değeri (kişisel verilerden türetilmeyen bir sayı) üretir ve hesapta saklarız. Bu tohum, Premium kopyaya eklenen ve her hesaba özel olan işaret kelimelerinin seçilmesinde kullanılır. Böylece izinsiz yayımlanan bir kopyanın hangi hesaptan çıktığını bulabiliriz (bkz. Kullanım Şartları §6). Tohum değeri hiçbir üçüncü tarafla paylaşılmaz ve başka hiçbir kullanıcı tarafından okunamaz.
- Hata bildirimleri. Giriş yapmışken çalışma ekranından bir kelime hatası bildirirseniz, bildirimi — kelimeyi, hatanın türünü, önerdiğiniz düzeltmeyi ve yazdığınız notu, seviyeyi, dili ve uygulama sürümünü — hesap kimliğiniz ve bildirim zamanıyla birlikte saklarız. Bildirimler yalnızca kelimeleri düzeltmek için kullanılır.
- Seviye klipleri. Premium ile bir seviyeyi tamamladığınızda uygulama kısa bir klip oynatır. Hesabınızın o seviyenin klibini açtığını kaydederiz: seviyeyi, arayüz dilini, klibin seviyeyi tamamladığınızda mı yoksa daha sonra İstatistik sayfasından mı açıldığını ve ne zaman açıldığını. Bu kayıt, Premium'unuz sürdükçe klibi yeniden izlemenizi sağlar; Premium'unuz sona erdiğinde silinmez, böylece yeniden abone olursanız klip yine oynar. Kötüye kullanımı sınırlamak için bir hesabın her gün yaptığı klip isteklerini de sayarız.
- Seviye tamamlama teklifi. Bir seviyeyi tamamladığınız için size bir indirim sunarsak, seviyeyi, hesabınız için Paddle'da oluşturulan indirimi, teklifin ne zaman sona erdiğini ve kullanılıp kullanılmadığını, kullanıldıysa hangi işlemde kullanıldığını kaydederiz. Paddle'daki bu indirim hesap kimliğinizi taşır.
- Harita. Haritada bir eyaleti veya ilçeyi açtığınızda hangi yeri açtığınızı, hangi arayüz dilinde açtığınızı, kaç anahtara mal olduğunu, ne zaman açıldığını, kartında görünen çalışma gününü ve hangi ödemeyle açıldığını kaydederiz. Bu kayıt sayesinde yer ve kartı, Premium'unuz sona erdikten sonra da her cihazda sizin kalır; daha sonra iade edilen veya ters ibraz edilen bir ödemeyle açılmış bir yer yeniden kilitlenir (bkz. aşağıda "Ödemeler"). Kötüye kullanımı sınırlamak için bir hesabın her gün yaptığı kart isteklerini de sayarız.
Satın alma sırasında
Ödeme tamamen Paddle tarafından işlenir. Ödeme kartı verilerinizi görmeyiz, saklamayız ve bu verilere hiçbir şekilde erişimimiz yoktur. Paddle'ın webhook bildirimlerinden yalnızca şunları alırız:
- Paddle müşteri kimliği ve abonelik kimliği
- Abonelik durumu (deneme, etkin, duraklatılmış, iptal edilmiş, süresi dolmuş)
- Abonelik bitiş tarihi
- Tamamlanan her işlem için: Paddle kimliği, tahsil edilen tutar ve para birimi ve faturalandırıldığı zaman
- Her iade veya ters ibraz (chargeback) için: Paddle kimliği, ilgili olduğu işlem, türü (örneğin tam veya kısmi iade, ters ibraz ya da geri alınan bir ters ibraz), durumu, tutarı ve para birimi ve ne zaman gerçekleştiği
Ödeme sayfası. Ödeme sayfasını açtığınızda sunucumuz hesabınız için Paddle işlemini oluşturur ve bu ödeme girişiminin bir kaydını tutar: planı, normal bir satın alma mı, seviye tamamlama teklifi mi yoksa promosyon kodu mu olduğunu, durumunu, Paddle işlemini, fiyatı, indirimi, müşteri ve abonelik kimliklerini, oluşturulduğu ve son değiştiği zamanları. Paddle olayları hesabınıza yalnızca bu kayıt üzerinden bağlanır. Kötüye kullanımı sınırlamak için bir hesabın her gün açtığı ödeme sayfalarını da sayarız. Paddle'a e-posta adresinizi ve hesap kimliğinizi iletiriz. Müşteri portalını açtığınızda, portalın ve Paddle e-postalarının arayüz dilinizi kullanması için Paddle'a bu dili iletiriz.
Ödemeler. Hesabınıza Premium veren her ödeme için — bir Paddle ödemesi, bir promosyon kodu veya elle verdiğimiz Premium — türünü, geldiği Paddle işlemini veya kodu, tarihini ve bir Paddle ödemesinde tutarı, para birimini ve ödediği aboneliği kaydederiz. Yukarıdaki iade ve ters ibraz kayıtlarıyla birlikte bu, bir ödemenin elde tutulup tutulmadığını bize gösterir: tam iade, ters ibraz veya ters ibraz uyarısı (Paddle her durumda parayı iade eder) aboneliği hemen iptal eder, Premium'u sona erdirir ve o ödemeyle açılmış olanları, örneğin haritadaki bir yeri veya bir seviye klibini, yeniden kilitler. Kısmi bir iade hiçbir şeyi değiştirmez.
Promosyon kodları. Bir kod kullanırsanız hangi kodu kullandığınızı, kodun verdiği Premium süresini ve ne zaman verdiğini, ayrıca (kodların tahmin edilmesini önlemek için) başarısız denemelerin günlük sayısını saklarız. İndirim kodu Paddle'ın indirim listesine göre kontrol edilir; doğrudan Premium veren bir kod ödeme ve Paddle aboneliği içermez.
Size gönderdiğimiz e-postalar
Hesabınızdaki adrese iki amaçla e-posta göndeririz:
- Hizmet bildirimleri — hesabınız ve Hizmet hakkında bilmeniz gerekenler: Şartlar'ımızdaki veya bu Gizlilik Politikası'ndaki değişiklikler, güvenlik olayları, kesintiler ve ödeme sorunları. Bu e-postalar e-posta adresi doğrulanmış her hesaba gider ve reklam içermez.
- Haberler ve teklifler — örneğin yeni özellikler, teklifler veya ipuçları. Bunlar yalnızca bunları açıkça isteyen ve bu isteği e-postayla gönderdiğimiz bir bağlantıyla onaylayan hesaplara gider (çift onay). Bu e-postaların her birinde abonelikten çıkma bağlantısı bulunur; tek tıkla "Abonelikten çık" düğmesi olan e-posta programları bunun yerine o düğmeyi kullanabilir; ikisi de hemen geçerli olur. Bize yazarak da abonelikten çıkabilirsiniz.
Bunun için şunları saklarız:
- Haberler ve tekliflerle ilgili tercihiniz: bunları isteyip istemediğiniz, onaylayıp onaylamadığınız veya geri çekip çekmediğiniz ve ne zaman.
- Size gönderilen her e-posta için: ait olduğu gönderim, e-posta sağlayıcımıza teslim edilip edilmediği, atlanıp atlanmadığı veya başarısız olup olmadığı (başarısızsa sağlayıcının belirttiği nedenle birlikte), deneme sayısı ve sağlayıcının ileti kimliği.
İşletmeci her gönderimi yazar ve alıcılarını yönetim aracında, aşağıda "İşletmecinin hesap verilerinize erişimi" başlığı altında açıklanan hesap listesi alanlarını kullanarak seçer (örneğin abonelik durumu veya en son çalıştığınız tarih).
Web sitesi analitiği
devocab.com'da barındırma sağlayıcımız Cloudflare (§4), ziyaretleri ve sayfa yüklenme sürelerini Cloudflare Web Analytics ile yalnızca Avrupa Birliği dışındaki ziyaretçiler için ölçer: AB'den gelen ziyaretçiler ölçülmez ve ölçüm betiği onlar için yüklenmez. Çerez kullanmaz ve cihazınızda hiçbir şey saklamaz, parmak izi çıkarmaz ve sizi başka web sitelerinde izlemez. Sorgu dizesi olmadan sayfa adresini, sizi yönlendiren sayfayı, tarayıcı ve cihaz türünü, IP adresinizden çıkarılan ülkeyi ve yüklenme sürelerini kaydeder ve bunları bize yalnızca toplu rakamlar olarak gösterir.
Şunları toplamayız
- İzleme, profil oluşturma veya reklam amacıyla IP adresleri. (Barındırma sağlayıcılarımız ve §4'te listelenen üçüncü taraf hizmetler, tarayıcınız onlara bağlandığında — uygulamayı veya bir betiği yüklemek için — IP adresinizi zorunlu olarak alır; ancak biz bunu sizi izlemek veya profilinizi çıkarmak için kullanmayız ve analitik amacıyla saklamayız.)
- Uygulama dışındaki tarama geçmişiniz
- Kesin konum, rehberinizdeki kişiler, biyometrik veriler
- Pazarlama analitiği: izleme çerezi kullanmayız; tek ölçümümüz yukarıda açıklanan çerezsiz web sitesi analitiğidir. (Yalnızca Premium'a yükseltme penceresini açtığınızda yüklenen Paddle ödeme betiği, Paddle'ın kendi analitiğini getirir — bkz. §4 ve §9.)
- Tek tek cevaplarınızın kaydı. Her kelime için yalnızca güncel durumunu, en son ne zaman cevapladığınız dâhil, tutarız — cevaplarınızın geçmişini değil — ve etkin olduğunuz saatlerin gün gün dökümü yoktur.
- E-postalarımızı açıp açmadığınız veya bağlantılarına tıklayıp tıklamadığınız: e-postalarımızda izleme pikseli ve izlenen bağlantı yoktur.
Bu bölümde açıklanan istatistikler size, kendi İstatistik sayfanızda gösterilir. Çalışma sürelerinizi sizin profilinizi çıkarmak, hakkınızda hukuki ya da benzer ölçüde önemli sonuçlar doğuran otomatik kararlar vermek (GDPR Madde 22), reklam veya Hizmet'i işletmenin ötesinde herhangi bir amaçla kullanmayız. Bunlar asla satılmaz ve bunları bizim adımıza saklayan §4'teki altyapı hizmet sağlayıcıları dışında üçüncü taraflarla paylaşılmaz.
İşletmecinin hesap verilerinize erişimi
Sizin dışınızda, §1'de adı geçen işletmeci de hesabınızda tutulan verilere dâhilî bir yönetim aracı üzerinden erişebilir. Bu erişim Hizmet'i yürütebilmemiz içindir: destek taleplerinizi yanıtlamak, bildirdiğiniz bir arızayı incelemek, Premium kelimelerin kötüye kullanımını tespit etmek (bkz. §10) ve yukarıda açıklanan e-postaları göndermek. Erişim, bu amaçların gerektirdiği ile sınırlıdır:
- Hesap listesi her hesap için şunları gösterir: e-posta adresi ve görünen ad, abonelik durumu, en uzun seri, çalışma günü sayısı, görülen kelimeler, puanlar ve oyuncu seviyesi, hesabın en son çalıştığı ve en son görüldüğü tarihler, bugünkü Premium kelime indirme sayısı ve açık bir kötüye kullanım uyarısı olup olmadığı.
- Tek bir hesabın ayrıntı görünümü ayrıca şunları gösterir: katılma tarihi ve abonelik bitiş tarihi; öğrenme ilerlemesi (Leitner kutularının dağılımı, tekrar sayısı, doğruluk oranı); her seviye ve dil için güncel ve en uzun seri, çalışma günü sayısı, en son çalışılan tarih, o seviyenin en son ne zaman eşitlendiği, yukarıda açıklanan uyarlanır öğrenme ölçümleri ve puanlar; toplam çalışma süresi; kötüye kullanım uyarıları ve gönderilen hata bildirimi sayısı.
- Gönderdiğiniz hata bildirimleri hesap kimliğinizle birlikte incelenir.
- Gönderimler. İşletmeci bir e-postanın alıcılarını yukarıdaki hesap listesi alanlarına göre seçebilir; bir gönderimin kime gittiğini ve her teslimatın başarılı olup olmadığını görür. Bir gönderimin gönderilmesi veya iptal edilmesi, aşağıda açıklanan denetim kaydına gönderimin türü, alıcı sayısı ve kullanılan seçimle birlikte yazılır — e-postanın metni yazılmaz.
- Yalnızca tüm kullanıcılar genelinde toplu olarak, asla hesap bazında değil: günün saatlerine göre çalışma düzeni ve gün gün çalışma süresi dökümü. Bunlar Hizmet'in genel olarak nasıl kullanıldığını anlamak için kullanılır (örneğin "çalışmaların çoğu 20:00 ile 23:00 arasında yapılıyor"); yönetim aracı bunların hiçbirini tek bir hesap için görüntülemenin bir yolunu sunmaz.
- Kaydedilmiş bir kaynağı olmayan Premium. Güvenlik kontrolümüz, tamamlanmış bir satın alma işleminin veya kullanılmış bir promosyon kodunun açıklamadığı Premium hesapları, örneğin elle verdiğimiz Premium'u, listeler (bkz. §4'teki Slack). İşletmeci bu hesaplardan birini kontrol ettiğinde bu kontrol, hesap kimliğiyle, kontrol edilen abonelik bilgilerinin (durum, bitiş tarihi, sağlayıcı ve abonelik) bir parmak iziyle (bir özet değeri), zamanıyla ve isteğe bağlı bir notla birlikte kaydedilir; bu kayıt hesapla birlikte silinir.
- Bir hesaba erişim kaydedilir. Bir yönetici tek bir hesabın ayrıntı görünümünü her açtığında veya bir hata bildirimi hakkında karar verdiğinde, bu erişim yöneticinin kimliği ve erişim zamanıyla birlikte dâhilî bir denetim kaydına yazılır. Hesap listesinin veya hata bildirimleri listesinin görüntülenmesi kaydedilmez. Veritabanı yöneticisi olarak işletmeci, bakım ve olay müdahalesi için veritabanına doğrudan da erişebilir (örneğin veritabanı sağlayıcısının konsolu üzerinden); bu tür erişim o denetim kaydına yazılmaz.
Araca yalnızca işletmeci, çok faktörlü kimlik doğrulamayla korunan ve kimliği doğrulanmış bir bağlantı üzerinden erişebilir. Araç parolanızı (parolanızı hiçbir zaman okunabilir biçimde tutmayız — bkz. §10) veya ödeme verilerinizi (Paddle'da tutulur — bkz. §2 "Satın alma sırasında") okuyamaz.
3. Hukuki Dayanak (GDPR Madde 6)
- Sözleşme (Madde 6(1)(b)): hesap oluşturma, çalışma özellikleri, abonelik yönetimi. İlerleme, seri, çalışma süresi ve çalışma saati istatistikleri de buna dâhildir: bunlar kaydolduğunuz öğrenme ürününün bir parçasıdır, uygulamada size gösterilir ve hesabınızın tutarlı davranması için cihazlarınız arasında eşitlenir.
- Meşru menfaat (Madde 6(1)(f)): dolandırıcılığın önlenmesi, hizmetin iyileştirilmesi, toplu web sitesi analitiği, güvenlik kayıtları ve §2'de açıklanan işletmeci erişimi. Menfaatimiz, Hizmet'i işletebilmek, destekleyebilmek ve koruyabilmektir. Bu menfaati sizin menfaatlerinizle şu yollarla dengeledik: hesap bazında erişimi §2'de listelenen alanlarla sınırladık, daha çok şey açığa çıkarabilecek saat bazında ve gün gün rakamları yalnızca toplu tuttuk, tek bir hesabın ayrıntı görünümünün her açılışını kaydediyoruz ve bu dayanağa göre hakkınızda otomatik karar vermiyoruz. Bu işlemeye Madde 21 uyarınca itiraz edebilirsiniz — bkz. §7.
- E-postayla hizmet bildirimleri: hesabınız ve sizinle olan sözleşmemiz hakkındaki bilgiler için (örneğin Şartlar'ımızdaki değişiklikler) Madde 6(1)(b); yasanın sizi bilgilendirmemizi gerektirdiği durumlar için (örneğin bir veri ihlali, Madde 34) Madde 6(1)(c); güvenlik ve kesinti bildirimleri için, sizi ve Hizmet'i güvende tutma menfaatimize dayanarak Madde 6(1)(f).
- Açık rıza (Madde 6(1)(a)): yalnızca uygulama içinde açıkça istendiği durumlarda ve e-postayla haberler ve teklifler için (Alman Haksız Rekabetle Mücadele Kanunu, UWG §7(2) ile birlikte). Rızanızı istediğiniz zaman ileriye dönük olarak geri çekebilirsiniz (Madde 7(3)); rızanızı ve geri çekilmesini kanıtlayabilmek ve bunlara uyabilmek için kaydını tutarız (Madde 7(1), Madde 6(1)(c)).
4. Üçüncü Taraf Hizmet Sağlayıcılar
Hizmet'i sunmak için aşağıdaki üçüncü taraf hizmetleri kullanırız; her biri verilerinizi kendi gizlilik koşullarına göre işler. Geçerli veri koruma sözleşmeleri listenin altında açıklanmıştır:
- Supabase — Kimlik doğrulama ve veritabanı barındırma; veritabanımız AB'de (İrlanda) barındırılır. Gizlilik Politikası
- Paddle — Satıcı (Merchant of Record) olarak ödeme işleme. Uygulamanın yalnızca Premium'a yükseltme penceresini açtığınızda yüklediği Paddle ödeme betiği, Paddle'ın analitik betiğini (ProfitWell) de yükler; bu betik kendi çerezlerini yerleştirebilir. Gizlilik Politikası
- Google LLC — OAuth ile giriş (yalnızca "Google ile giriş yap"ı seçerseniz). Google kendi çerezlerini yerleştirebilir ve kendi alan adında verileri kendi politikasına göre işleyebilir. Gizlilik Politikası
- Meta Platforms Ireland Limited (Facebook) — OAuth ile giriş (yalnızca "Facebook ile giriş yap"ı seçerseniz). Meta kendi çerezlerini yerleştirebilir ve kendi alan adında verileri kendi politikasına göre işleyebilir. E-posta adresinizi, adınızı ve OAuth tanımlayıcısını alırız; arkadaş listesi veya sosyal ağ verisi istenmez. Gizlilik Politikası
- Cloudflare, Inc. — Web uygulaması barındırma, içerik dağıtım ağı (CDN) ve çerezsiz web sitesi analitiği (Cloudflare Web Analytics, §2). Gizlilik Politikası
- Volentio JSD Limited (jsDelivr) — Uygulamanın her ziyarette yüklediği açık kaynaklı Supabase istemci kütüphanesini sunan herkese açık CDN; bu dosyayı iletirken IP adresinizi alır. Gizlilik Politikası
- Slack Technologies Limited (Slack) — Otomatik işletim uyarılarımızı alır: kötüye kullanım tespiti bir hesabı işaretlediğinde o hesabın kimliğini ve o günkü Premium kelime indirme sayısını; ödeme uyarılarını (örneğin bir iade, bir ters ibraz, mükerrer bir satın alma ya da kayıtlarımızla eşleşmeyen bir ödeme veya abonelik) hesap kimliği, ilgili Paddle kimlikleri (işlem, abonelik, müşteri, fiyat, indirim, iade veya ters ibraz) ve ilgili tür, durum ve tutarlarla; tamamlanmış bir satın alma işleminin veya kullanılmış bir promosyon kodunun açıklamadığı Premium hesapları hesap kimliği, abonelik durumu, bitiş tarihi, sağlayıcı ve abonelik kimliğiyle; promosyon kodlarındaki değişiklikleri ve kodların ne sıklıkla kullanıldığını (hesap kimliği olmadan); ayrıca yeni hata bildirimlerinin özetlerini (kelime, hata türü, dil ve seviye — hesap kimliği olmadan). Gizlilik Politikası
- GitHub, Inc. — Zamanlanmış bakım işlerimizi (kötüye kullanım tespiti ve hata bildirimi özetleri) çalıştırır; bir işin kaydı, kötüye kullanım tespitinin işaretlediği bir hesabın kimliğini içerebilir. Gizlilik Bildirimi
- Amazon Web Services EMEA SARL (Amazon SES) — E-postalarımızı AB (Frankfurt) bölgesinden gönderir. Her alıcının e-posta adresini ve e-postanın kendisini (konu, metin ve haberler ile tekliflerde kişisel abonelikten çıkma bağlantısı) alır. Bir adrese gönderilen e-posta geri dönerse veya istenmeyen e-posta olarak bildirilirse, Amazon SES o adresi hesabımızın engelleme listesine ekler; böylece o adrese e-posta göndermeyi bırakırız. Gizlilik Bildirimi
- Yapay zekâ araçları — Yayımlanmadan önce kelime eş anlamlılarını ve örnek cümleleri, haritanın resimlerini ve kartlarındaki cümleleri üretmek veya iyileştirmek için tarafımızdan çevrim dışı kullanılır. Bu araçlara hiçbir kişisel veri, çalışma ilerlemesi veya kullanıcı içeriği gönderilmez. Yalnızca kişisel olmayan içerik işlenir: Almanca kelimeler ve herkese açık kaynaklarıyla birlikte yerler.
Altyapı hizmet sağlayıcılarımız, bizim adımıza kişisel veri işlemelerini düzenleyen GDPR Madde 28 Veri İşleme Sözleşmelerini (DPA) hizmet koşullarının bir parçası olarak sunar: Cloudflare'in DPA'sı Self-Serve Subscription Agreement'a atıfla dâhil edilmiştir, Amazon Web Services'in DPA'sı AWS Service Terms'e, Supabase'in DPA'sı ise kendi çevrim içi hukuki süreciyle kabul edilmiştir. Paddle satıcımız (Merchant of Record) olarak hareket eder; ödeme işlemi için büyük ölçüde bağımsız bir veri sorumlusudur ve bizim adımıza işlediği veriler için DPA'sı geçerlidir. Google ve Meta, OAuth giriş adımı için bağımsız veri sorumlularıdır. jsDelivr, Slack ve GitHub yalnızca yukarıda açıklanan sınırlı verileri alır.
Telaffuz, tarayıcınızın yerleşik konuşma sentezini kullanır ve uygulama, mümkün olduğunda tarayıcının çevrim içi seslerini tercih eder. Böyle bir ses, tarayıcınızın veya işletim sisteminizin sağlayıcısının (örneğin Google, Apple veya Microsoft) bir hizmetidir ve bu sağlayıcı seslendirilen Almanca metni alır — hesap verilerinizi asla almaz.
5. Uluslararası Aktarımlar
Verilerin AB/AEA dışına aktarıldığı durumlarda (örneğin Cloudflare, Paddle, jsDelivr, Slack, GitHub veya Amazon Web Services altyapısı üzerinden), AB Standart Sözleşme Maddelerine ve hizmet sağlayıcılarımızın AB–ABD Veri Gizliliği Çerçevesi gibi yeterlilik mekanizmalarına dayanırız.
6. Verilerin Saklanması ve Saklama Süreleri
- Etkin hesap verileri, hesabınız var olduğu sürece saklanır.
- Hesabınızı silmek. Hesabınızı Ayarlar'dan kendiniz silebilirsiniz ("Hesabımı sil"). Silme işlemi hemen gerçekleşir: varsa Paddle aboneliğiniz önce iptal edilir, ardından hesabınız ve ona bağlı veriler canlı üretim veritabanından kaldırılır. Bunun yerine bizden e-postayla isterseniz bunu 30 gün içinde yaparız. İstisnalar: yasal olarak saklamak zorunda olduğumuz kayıtlar (örneğin vergiyle ilgili kayıtlar: Alman Vergi Usul Kanunu, Abgabenordnung §147 uyarınca 10 yıla kadar; Paddle'ın tuttuğu ödeme kayıtları) ve gönderdiğiniz hata bildirimleri; bu bildirimler ortak kelime veritabanında yapılan düzeltmeleri belgelediği için hesap kimliğiniz olmadan saklanır (yazdığınız not, bildirimiyle birlikte kalır). Size gönderilen e-postaların teslim kayıtları hesabınızdan ayrılır ve aşağıda "E-postalar" başlığında açıklandığı gibi süresi dolar. Açtığınız ödeme sayfalarının ve ödemelerinizin kayıtları (§2 "Satın alma sırasında"), bu ödemelerin iade ve ters ibraz kayıtları, seviye klibi açma kayıtlarınız, haritada açtığınız yerler ve seviye tamamlama teklifleriniz hesabınızla birlikte silinir; satıcı (Merchant of Record) olarak Paddle işlemlerinizin kendi kayıtlarını tutar (§4). Hesabınız silindikten sonra Paddle'ın bildirdiği bir iade veya ters ibraz burada hiçbir hesaba bağlanmaz ve gerçekleşmesinden 90 gün sonra silinir.
- Yedekler. Veritabanı sağlayıcımız (Supabase) şu anda veritabanımızın yedeğini tutmamaktadır; bu nedenle canlı veritabanından kaldırılan veriler bir yedek kopyada saklanmaz.
- Yönetim denetim kaydı. §2'de açıklanan işletmeci erişimlerinin kaydı 12 ay saklanır ve ardından silinir. Bu kayıt yalnızca hangi yöneticinin hangi hesabı açtığını, hangi hata bildirimi hakkında karar verdiğini veya hangi gönderimi (türü, alıcı sayısı ve seçimiyle birlikte) gönderdiğini ya da iptal ettiğini ve ne zaman yaptığını tutar — çalışma verilerinizin veya herhangi bir e-postanın metninin kopyasını tutmaz.
- E-postalar. Size gönderilen her e-postanın teslim kaydı, gönderimi tamamlandıktan 90 gün sonra silinir; gönderimin toplamları (kaç e-postanın teslim edildiği, başarısız olduğu veya atlandığı) ve metni, sizinle ilgili hiçbir veri içermeden kalır. Haberler ve tekliflerle ilgili tercihiniz, rıza verdiğiniz veya geri çektiğiniz zamanlarla birlikte, hesabınız var olduğu sürece saklanır ve hesabınızla birlikte silinir. Amazon SES'in engelleme listesindeki bir kayıt (bkz. §4) biz kaldırana kadar kalır; talep üzerine kaldırırız.
- İşletim uyarıları ve kayıtları. §4'te açıklanan Slack uyarıları ve GitHub iş kayıtları ile sunucu fonksiyonlarımızın kayıtları bir hesap kimliği içerebilir. Bunlar hesabınızla birlikte silinmez; o hizmetler onları sakladığı sürece kalır.
- Web sitesi analitiği. Cloudflare, §2'de açıklanan ölçümleri 7 gün boyunca tam olarak, sonrasında yalnızca küçültülmüş bir örneklem olarak tutar.
- Oturumu kapatmak, bu uygulamanın tarayıcınızda tuttuğu çalışma verilerini (localStorage ve IndexedDB) kaldırır. Ayarlar'daki "Bu seviyeyi sıfırla" yalnızca güncel arayüz dili için o seviyenin ilerlemesini temizler.
- Bir seviyeyi sıfırlamak istatistiklerini de siler. Verileri eşitlenen Premium hesaplarda "Bu seviyeyi sıfırla", yalnızca yerel kopyayı değil, güncel arayüz dili için o seviyenin sunucumuzdaki kaydını da siler — ilerlemesini, çalışma günlerini, çalışma süresini ve saat bazında toplamlarını. Eklediğiniz kabul edilen cevaplar (eş anlamlılar) korunur. Premium'unuz sona erdiyse sıfırlama yalnızca cihazı temizler; sunucumuzdaki kopya hesabınızla birlikte veya talep üzerine silinir. Bunun dışında çalışma istatistikleri hesap var olduğu sürece saklanır ve hesapla birlikte silinir.
7. Haklarınız (GDPR Madde 15–22)
Şu haklara sahipsiniz:
- Kişisel verilerinize erişim (Madde 15)
- Yanlış verilerin düzeltilmesi (Madde 16)
- Verilerinizin silinmesi ("unutulma hakkı", Madde 17)
- İşlemenin kısıtlanması (Madde 18)
- Veri taşınabilirliği — verilerinizi yapılandırılmış, makine tarafından okunabilir bir biçimde almak. Uygulamanın JSON dışa aktarımı (Ayarlar → İlerlemeyi dışa aktar), tüm seviyelerdeki ve iki dildeki ilerlemenizi istediğiniz zaman tek dosya olarak verir; hesabınızda tutulan verilerin tam bir kopyası için bize e-posta gönderin. (Madde 20)
- İşlemeye itiraz (Madde 21)
- Rızanızı istediğiniz zaman geri çekmek
Bu haklardan herhangi birini kullanmak için support@devocab.com adresine e-posta gönderin. Yasanın gerektirdiği gibi 30 gün içinde yanıt veririz.
8. Denetim Makamı
Bir denetim makamına şikâyette bulunma hakkınız vardır. Bizim için yetkili makam şudur:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Almanya
www.lda.bayern.de
9. Çerezler ve Yerel Depolama
Kendimize ait hiçbir çerez yerleştirmeyiz. Uygulama, verileri tarayıcınızda localStorage ve IndexedDB (çerez değil, tarayıcı API'leri) ile şunlar için tutar:
- Oturum doğrulama belirteçleri (gerekli)
- Uygulama durumu, çalışma ilerlemeniz ve kullanıcı ayarlarınız (gerekli)
- Bekleyen eşitleme kuyruğu (gerekli; Premium)
- Çevrim dışı çalışabilmesi için önbelleğe alınan Premium kelimeler ve Premium'un sınırlı bir süre çevrim dışı çalışmasını sağlayan imzalı bir yetki belirteci (gerekli; Premium)
- Açtığınız seviye klipleri; yeniden indirilmeden oynatılabilmeleri için önbelleğe alınır ve Premium'unuz sona erdiğinde veya oturumu kapattığınızda kaldırılır (gerekli; Premium)
- Haritada açtığınız kartlar; yeniden indirilmeden görünebilmeleri için önbelleğe alınır, Premium'unuz sona erdiğinde kalır, oturumu kapattığınızda veya cihazda başka bir hesap oturum açtığında kaldırılır; yeri yeniden kilitlenen bir kart da kaldırılır (gerekli)
Giriş yapmadan önce bir plan seçerseniz, ödemenin girişten sonra devam edebilmesi için bu seçim yalnızca açık sekme için sessionStorage'da tutulur.
Pazarlama veya analitik çerezleri kullanmayız. Üçüncü taraflar kendi alan adlarında çerez yerleştirebilir: oturum açma akışı için Supabase, onların girişini kullandığınızda Google veya Facebook ve Premium'a yükseltme penceresini ya da ödeme sayfasını açtığınızda — analitik betiği (ProfitWell) dâhil — Paddle.
10. Güvenlik
Riske uygun teknik ve organizasyonel önlemler uygularız:
- Aktarılan tüm veriler için HTTPS / TLS 1.2+.
- Postgres satır düzeyinde güvenlikle (Row-Level Security) kısıtlanan veritabanı erişimi: her kullanıcı yalnızca kendi verilerini okuyabilir ve yazabilir.
- Abonelik durumu alanlarını yalnızca sunucu tarafı fonksiyonlarımız yazar — Paddle HMAC imzalı bir webhook gönderdiğinde veya siz bir promosyon kodu kullandığınızda —; uygulamanın kendisi asla yazmaz; istemciler bu alanları değiştiremez.
- Kimlik doğrulama, sektör standardı JWT taşıyıcı belirteçleri kullanır. Parolalar (e-posta/parola ile giriş seçeneğini kullandığınızda) tarafımızdan asla açık metin olarak görülmez veya saklanmaz; saklanmadan önce Supabase Auth tarafından bcrypt ile tuzlanarak özetlenir (hash). Parolanıza erişimimiz yoktur. OAuth ile giriş (Google, Facebook) bizde tutulan bir parola içermez.
- Hizmet rolü veritabanı kimlik bilgileri ve üçüncü taraf API anahtarları hiçbir zaman uygulamaya eklenmez veya tarayıcıya gönderilmez; sunucu tarafı yapılandırmamızda ve işletmecinin yönetim araçlarında tutulur.
- Premium kelimelerin indirilmesi hesap başına sınırlıdır; olağan dışı erişimlerde işletmeciye bir uyarı gönderilir (bkz. §4'teki Slack).
Hiçbir güvenlik önlemi kusursuz değildir; çabalarımıza rağmen veri aktarımının veya saklamanın yetkisiz erişimden tamamen arınmış olacağını garanti edemeyiz.
11. Veri İhlali Bildirimi
Haklarınız ve özgürlükleriniz için risk oluşturması muhtemel bir kişisel veri ihlali durumunda:
- GDPR Madde 33 uyarınca, ihlalden haberdar olduktan sonra 72 saat içinde yetkili denetim makamını (BayLDA, bkz. §8) bilgilendiririz; ve
- İhlalin haklarınız ve özgürlükleriniz için yüksek bir risk oluşturması muhtemelse, GDPR Madde 34 uyarınca etkilenen kullanıcıları gecikmeksizin, etkilenen hesaptaki e-posta adresi ve uygun durumlarda uygulama içi bildirim yoluyla bilgilendiririz.
Bildirim; ihlalin niteliğini, ilgili kullanıcıların ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçlarını ve ihlali gidermek için alınan veya önerilen önlemleri açıklar.
12. Çocuklar
Hizmet 16 yaşın altındaki çocuklara yönelik değildir. Çocuklardan bilerek veri toplamayız. Bir çocuğun kayıt olduğunu fark ederseniz lütfen bizimle iletişime geçin; hesap silinecektir.
13. Değişiklikler
Bu Gizlilik Politikası'ndaki önemli değişiklikler e-posta veya uygulama içi bildirimle duyurulur. Yürürlük tarihinden sonra Hizmet'i kullanmaya devam etmeniz, değişiklikleri kabul ettiğiniz anlamına gelir.