StudyBuddy Privacy NoticeStudyBuddy KVKK Aydınlatma Metni

English

1. Who operates StudyBuddy

StudyBuddy is operated independently. For privacy questions, rights requests, deletion requests, or complaints, contact partner.studybuddy@gmail.com.

2. Data we process

• Account and profile data: Firebase Auth email and account identifiers, display name, and optional avatar/profile data when you register. A guest can use the room features without creating an account.
• Room collaboration data: room name and settings, members and display names, timer state, contributors, chat messages, shared tasks, typing indicators, and moderation actions. Guest names and guest identity hashes are used to keep a guest seat tied to the same browser identity. Guest rooms auto-close after about 6 hours of inactivity; signed-in users' persistent rooms auto-close after 30 days with no activity.
• Chat safeguards: chat messages are checked for abuse and spam before saving. Image sharing in chat is limited to signed-in users. Chat images are stored on Cloudinary and automatically moderated (including automated content checks such as AWS Rekognition via Cloudinary) before the message is accepted; rejected images are not saved as chat messages and may be deleted from storage.
• Account activity: signed-in users' study sessions, task statistics, and leaderboard data. Optional Web Push tokens are stored only if a VAPID key is configured and you opt in; no key is configured today, so no tokens are written and no push is sent. The wiring remains so a key can be added later.
• Social and service records: user profiles, display-name reservations, presence, and the Pro waitlist. Friendship, mute, social-request, and in-app room-invitation documents are no longer created — those features were removed on 28 August 2026. Rows written before then may still sit in the database; they cannot be read (the access rules were removed, so the default deny applies) and they are deleted when you delete your account. Pro sales are currently closed while payment support is prepared.
• Payment and entitlement records: StudyBuddy may store plan, subscriptionStatus, currentPeriodEnd, lifetimeAt, entitlementSource, and customerPortalUrl. Your email address is sent to Lemon Squeezy at checkout to identify the purchase and reconcile access. Lemon Squeezy processes payment details as merchant of record; card details never reach or pass through StudyBuddy servers.
• Security, abuse prevention, and moderation: user reports, email verification/change records, rate-limit counters, room-level bans/kicks, and a global ban list used to block abusive accounts from creating or joining rooms. Platform operators may review reported content and, for signed-in users, recent chat history needed for safety decisions. For rate limiting, the client IP is normalized to an IPv4 /24 or IPv6 /64 network key where possible; these counters are not a user-visible activity log.
• Browser storage: necessary local/session storage such as guest name and guest identity, the active-room resume key, theme, daily goal, sound/PWA preferences, and analytics consent.
• Diagnostics: technical error events may be sent to Sentry only when a Sentry DSN is configured. Server and browser scrubbers remove account identity, request bodies, headers, cookies, free-form context, and other sensitive fields before sending.

3. Why we process it (and legal bases under GDPR)

We process data to provide real-time rooms, timers, chat, tasks, authentication, statistics, email controls, and account deletion; to prevent spam, fraud, unauthorized access, and service disruption; to moderate harmful content and enforce global bans where necessary for safety; and to respond to support or legal requests. Optional analytics are activated only after your consent.

• Contract: providing the room, timer, chat, tasks, authentication, stats, email preferences, account deletion, and any Pro checkout and entitlement you request.
• Legitimate interests: security, abuse prevention, moderation (including automated image checks), rate limiting, and global bans needed to keep the service usable and safe. You may object where applicable.
• Legal obligation: retaining or disclosing information when required by applicable law or a valid legal request.
• Consent: optional analytics (Google Analytics 4 and PostHog), and optional Pro launch / product emails if you join the waitlist with the separate, unchecked consent box. Submitting the waitlist form without that box is not consent. You can withdraw email consent at any time via the unsubscribe link in those emails (no login required). Analytics stay off until you allow them via the consent controls.

4. Optional analytics and essential storage

Google Analytics 4 and PostHog are opt-in. They are loaded or activated only after you choose Allow analytics; Necessary only keeps them disabled. Withdrawing consent disables capture and clears known provider storage. PostHog remains inactive when its public key is not configured. Sentry is separate from analytics; it is a no-op when no Sentry DSN is configured.

Necessary local/session storage is used for room resume, guest continuity, preferences, and the consent choice itself. It can be cleared in the browser, but clearing it may remove a guest's saved name or room-resume information.

5. Service providers and international transfers

These providers may process data in other countries under their own terms and safeguards. International transfers rely on each provider’s published transfer mechanisms (for example standard contractual clauses where they offer them) and on your choices where processing is consent-based (analytics). StudyBuddy does not sell personal data.

6. Retention and deletion

Room collaboration data is kept while the room is active. Guest rooms are removed after about 6 hours of inactivity; persistent rooms (owned by a signed-in user) after about 30 days with no activity. Expiring verification and rate-limit records are cleaned by their relevant expiry/window jobs. Retired social-graph documents from the former friends and in-app invitation features are no longer written; leftover rows stay until the account is deleted. Signed-in account data remains while the account exists unless you request deletion. Global ban records may be retained as long as needed for safety.

Chat messages are short-lived: a daily job deletes every message older than 24 hours, so what is said in a room is not kept as a long-term record. Separately, once everyone has left a room and somebody opens it again, that room’s chat and shared checklist are cleared before the new session begins. The room keeps its code, its name and its settings; it does not keep the previous session’s messages or tasks. Your own study statistics are not affected by either of these.

Account deletion removes the Firebase account and associated profile, presence, leaderboard, leftover social-graph documents from retired features (including the matching row on another account, which a recursive delete cannot reach), email-change/waitlist records, user subcollections, and the account's room/member/message records. Moderation reports may be retained for safety, but the deleted account's reporter or target identity is scrubbed and shown as “Deleted user”.

7. Your rights

You may request access, correction, deletion, information about processing or recipients, and objection where applicable. Send requests to partner.studybuddy@gmail.com in a way that lets us verify you are the person concerned (for example from the email on the account, or with enough detail to identify the account). Account holders can also start deletion from Profile. We respond within 30 days of a valid request (or the longer period allowed by applicable law if the request is complex).

If you are in the EU/EEA or the UK, you may also lodge a complaint with your local data protection supervisory authority if you believe processing does not comply with the law.

8. Children and guests

StudyBuddy is intended for people who can lawfully use online services and manage their own account. It is not directed at children who require guardian consent. If you create an account, you confirm that you are at least 13 years old. Guests are first-class users of room features; creating an account is not required for timers, chat, tasks, or joining a room.

9. Changes

Material changes are posted on this page with a new effective date. Continued use after the effective date means the updated notice applies.

Türkçe — KVKK Aydınlatma Metni

1. Veri sorumlusu ve iletişim

StudyBuddy bağımsız olarak işletilen bir web uygulamasıdır. Kayıtlı bir şirket tarafından işletilmemektedir. KVKK kapsamındaki başvurularınızı partner.studybuddy@gmail.com adresine iletebilirsiniz.

2. İşlenen veri kategorileri

• Hesap ve profil: kayıt olunduğunda Firebase Auth e-postası ve hesap kimliği, görünen ad ve isteğe bağlı profil/avatar verisi.
• Oda iş birliği: oda adı ve ayarları, üyeler ve görünen adlar, sayaç durumu, katkı kayıtları, sohbet mesajları, ortak görevler, yazıyor göstergeleri ve moderasyon işlemleri. Misafir adı ile güvenli misafir kimliği özeti, misafir koltuğunu korumak için kullanılabilir. Misafir odaları yaklaşık 6 saat hareketsizlikten sonra; giriş yapmış kullanıcılara ait kalıcı odalar yaklaşık 30 gün hareketsizlikten sonra otomatik kapanır.
• Sohbet güvenlikleri: sohbet metni kaydedilmeden önce kötüye kullanım/spam kontrolünden geçer. Sohbette resim paylaşımı yalnızca giriş yapmış kullanıcılarla sınırlıdır. Resimler Cloudinary’de saklanır ve otomatik olarak moderasyon (Cloudinary üzerinden AWS Rekognition gibi otomatik içerik kontrolleri dahil) edilir; reddedilen resimler sohbet mesajı olarak kaydedilmez ve depodan silinebilir.
• Hesap etkinliği: giriş yapmış kullanıcıların çalışma oturumları, görev istatistikleri ve liderlik tablosu. İsteğe bağlı Web Push token’ları yalnızca bir VAPID anahtarı tanımlıysa ve siz izin verirseniz saklanır; bugün anahtar yok, dolayısıyla token yazılmaz ve push gönderilmez. Altyapı, bir gün anahtar girilebilsin diye duruyor.
• Sosyal ve hizmet kayıtları: kullanıcı profilleri, görünen ad rezervasyonları, presence ve Pro bekleme listesi. Arkadaşlık, susturma, sosyal-istek ve uygulama-içi oda-daveti belgeleri artık yazılmıyor — bu özellikler 28 Ağustos 2026’da kaldırıldı. Daha önce yazılmış satırlar veritabanında durabilir; okunamazlar (erişim kuralları silindi, varsayılan ret geçerlidir) ve hesap silindiğinde kaldırılırlar. Pro satışları ödeme desteği hazırlanırken kapalıdır.
• Ödeme ve yetki kayıtları: StudyBuddy plan, subscriptionStatus, currentPeriodEnd, lifetimeAt, entitlementSource ve customerPortalUrl alanlarını saklayabilir. Satın alımı eşleştirmek ve erişimi uzlaştırmak için checkout sırasında e-posta adresiniz Lemon Squeezy’ye iletilir. Ödeme ayrıntılarını Merchant of Record olarak Lemon Squeezy işler; kart bilgileri StudyBuddy sunucularına hiçbir zaman ulaşmaz veya bu sunuculardan geçmez.
• Güvenlik, kötüye kullanım önleme ve moderasyon: kullanıcı raporları, e-posta doğrulama ve değişiklik kayıtları, hız sınırı sayaçları, oda içi ban/kick ve kötüye kullanan hesapların oda oluşturma/katılmasını engelleyen global ban listesi. Platform işletmecileri güvenlik kararları için bildirilen içeriği ve giriş yapmış kullanıcıların yakın sohbet geçmişini inceleyebilir. IP, mümkün olduğunda IPv4 için /24, IPv6 için /64 ağ anahtarına normalize edilir.
• Tarayıcı depolaması: misafir adı ve kimliği, aktif oda devam anahtarı, tema, günlük hedef, ses/PWA tercihleri ve analitik rıza tercihi.
• Tanılama: Sentry DSN yapılandırıldığında teknik hata olayları gönderilebilir; kimlik ve hassas alanlar scrub edilir. DSN yoksa Sentry çalışmaz.

3. İşleme amaçları ve hukuki sebepler

Veriler; gerçek zamanlı oda, sayaç, sohbet, görev, kimlik doğrulama, istatistik, e-posta tercihleri ve hesap silme hizmetlerini sunmak; spam, dolandırıcılık, yetkisiz erişim ve hizmet kesintilerini önlemek; zararlı içeriği moderasyon etmek ve gerektiğinde global ban uygulamak; destek ve hukuki talepleri yanıtlamak amaçlarıyla işlenir. İsteğe bağlı analitik yalnızca açık rıza sonrasında etkinleştirilir.

• KVKK m.5/2-c (sözleşmenin ifası): oda, sayaç, sohbet, görev, hesap, istatistik ile talep edilen Pro checkout ve yetkisinin sunulması.
• KVKK m.5/2-f (meşru menfaat): güvenlik, kötüye kullanım önleme, moderasyon (otomatik görsel kontroller dahil), hız sınırları ve global ban.
• KVKK m.5/2-a / ilgili mevzuat: yasal talepler ve zorunlu kayıtlar.
• Açık rıza (KVKK m.5/1): Google Analytics 4 ve PostHog analitiği; ayrıca Pro bekleme listesine ayrı, önceden işaretlenmemiş bir kutuyla katıldığınızda Pro lansman / ürün e-postaları. Kutuyu işaretlemeden “katıl”a basmak rıza sayılmaz. E-posta rızasını bu e-postalardaki çıkış bağlantısıyla (oturum açmadan) geri alabilirsiniz. Analitik, rıza kontrollerinden izin verene kadar kapalı kalır.

4. Hizmet sağlayıcılar ve yurt dışına aktarım

Bu sağlayıcılar verileri ülke dışında işleyebilir. Yurt dışına aktarım, her sağlayıcının yayımladığı aktarım güvencelerine (örneğin sundukları standart sözleşme maddeleri) ve rızaya dayalı işlemlerde (analitik) sizin tercihinize dayanır. StudyBuddy kişisel veri satmaz.

5. Saklama ve silme

Oda verileri oda aktif olduğu sürece tutulur. Misafir odaları yaklaşık 6 saat, kalıcı odalar (giriş yapmış kullanıcıya ait) yaklaşık 30 gün hareketsizlikten sonra otomatik temizlenir. Süresi dolan doğrulama ve hız sınırı kayıtları ilgili temizlik işleriyle silinir. Eski arkadaşlık ve uygulama-içi oda daveti özellikleri 28 Ağustos 2026’da kaldırıldı; yeni kayıt yazılmaz, kalan satırlar okunamaz (erişim kuralları silindi, varsayılan ret geçerlidir) ve hesap silindiğinde tamamen kaldırılır — başka bir hesaptaki ters kenar dahil, çünkü özyinelemeli silme oraya ulaşamaz. Global ban kayıtları güvenlik için gerekli olduğu sürece tutulabilir. Hesap silme; hesap, profil, presence, liderlik tablosu, bu eski sosyal-graf satırları, bekleme listesi/e-posta değişikliği kayıtları, kullanıcı alt koleksiyonları ile hesaba ait oda/üyelik/mesaj kayıtlarını siler. Güvenlik amacıyla raporlar tutulabilir; silinen hesabın kimliği “Deleted user” olarak anonimleştirilir.

Sohbet mesajları kısa ömürlüdür: günlük çalışan bir iş, 24 saatten eski tüm mesajları siler; odada söylenenler uzun süreli bir kayıt olarak tutulmaz. Ayrıca bir odadan herkes çıktıktan sonra odaya yeniden girildiğinde, o odanın sohbeti ve ortak görev listesi yeni oturum başlamadan temizlenir. Oda kodu, adı ve ayarları kalır; önceki oturumun mesajları ve görevleri kalmaz. Bunların hiçbiri çalışma istatistiklerinizi etkilemez.

6. Haklarınız, başvuru usulü ve şikayet

6698 sayılı KVKK’nın 11. maddesi kapsamındaki kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme/yok etme, aktarılan üçüncü kişileri bilme, otomatik analiz sonucuna itiraz etme ve zararın giderilmesini talep etme haklarınız için partner.studybuddy@gmail.com adresine başvurabilirsiniz. Başvurunun Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun, kimliğinizi doğrulayacak şekilde (örneğin hesaptaki e-posta adresinden veya hesabı tanımlamaya yetecek ayrıntıyla) yapılması gerekir. Geçerli başvurulara en geç 30 gün içinde yanıt verilir.

Başvurunuzun reddedildiğini veya yeterli yanıtlanmadığını düşünüyorsanız, KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu’na şikayette bulunma hakkınız vardır.

7. Misafirler ve değişiklikler

Misafirler oda sayaçları, sohbet ve görevler dahil oda özelliklerini hesap açmadan kullanabilir. Hesap oluşturursanız en az 13 yaşında olduğunuzu beyan edersiniz. Esaslı değişiklikler bu sayfada yeni yürürlük tarihiyle yayımlanır.

Contactİletişim

partner.studybuddy@gmail.com