Giriş ekranı olmayan bir mobil oyun bile her açılışta kişisel veri işler. Reklam kimliği, cihaz modeli ve dili, IP adresi, oturum ve seviye telemetrisi, satın alma geçmişi, çökme kayıtları ve oyunda arkadaş listesi ya da sohbet varsa mesajlar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında kimliği belirlenebilir bir kişiye bağlanır ve çoğu, free-to-play bir işin onsuz yürüyemediği analitik, atıf ve reklam SDK’ları üzerinden milisaniyeler içinde Türkiye’den çıkar. Türk stüdyoları bunu tarihsel olarak SDK satıcısının sorunu saydı. Değil: veri sorumlusu stüdyodur, satıcılar onun veri işleyenleri ya da reklam ağları için bağımsız veri sorumlularıdır ve 7499 sayılı Kanunla 2024’te yeniden yazılan yurt dışına aktarım rejimi her akışın altına hukuka uygun bir mekanizma koymayı stüdyonun sorumluluğu yapar. Bu yazı bir oyunun topladığı veriyi haritalıyor, her amaç için bir hukuki sebep belirliyor, m.9 aktarım mekaniğini ve standart sözleşme bildirimini açıklıyor, küçükleri, güvenlik ve ihlal yükümlülüklerini ele alıyor ve stüdyonun bir sonraki yatırımcı istemeden önce hazır etmesi gereken belgelerle bitiyor. Beş iş günlük standart sözleşme bildirimi, veri işleyen sözleşmeleri ve saklama ve imha yazılarımızdan yararlanıyor.
Free-to-play oyunun veri haritası
KVKK m.3 kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar; Kurul uygulaması ve doktrine göre belirlenebilirlik, veri sorumlusunun ve alıcılarının makul olarak erişebildiği araçlarla sınanır. Bu ölçütle reklam kimliği (IDFA ya da GAID), satıcı kimliği, IP adresi, push token’ı ve kalıcı oyuncu kimliği, stüdyo hiçbir zaman isim öğrenmese de kişisel veridir; bunlara bağlı davranış izleri de öyledir: yükleme kaynağı, oturumlar, ilerleme, satın almalar, reklam gösterim ve tıklamaları, oyun içi sohbet ve destek talepleri. m.6’daki özel nitelikli veriler oyunlarda nadir ama yok değil: yüz filtresi özelliği biyometrik veri, sağlık ve fitness bağlantısı sağlık verisi işler, sohbet kaydı ise oyuncuların kendileri hakkında yazdığı her şeyi içerebilir. Harita SDK bazında kurulmalıdır: build’deki her kütüphane için ne topladığı, hangi amaçla, stüdyo için mi (analitik, çökme raporu, müşteri desteği) yoksa kendisi için mi (reklam ağları, veriyi tüm müşteri tabanında kullanan atıf ortakları) hareket ettiği ve sunucularının nerede olduğu. Bu harita Kurulun m.16 ve Sicil Yönetmeliği kapsamında beklediği kişisel veri işleme envanteridir ve mağazanın gizlilik etiketlerinin arkasındaki gerçektir; SDK listesiyle çelişen bir App Store ya da Play gizlilik beyanı iki mecrada da stüdyo aleyhine delildir.
Her amaç için bir hukuki sebep
KVKK m.5 diğerlerinin yanında ilgili kişiyle sözleşmenin ifası için zorunlu olduğunda (m.5/2-c), veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olduğunda (5/2-ç) ya da ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olduğunda (5/2-f) açık rıza olmadan işlemeye izin verir; aksi hâlde m.5/1 uyarınca açık rıza gerekir. Oyuna uygulandığında: oyunu çalıştırmak, ilerlemeyi kaydetmek, satın almaları teslim etmek ve hileyi önlemek sözleşmenin ifasıdır; çökme raporu, güvenlik kayıtları ve toplu ürün analitiği bir denge notuyla belgelenen meşru menfaattir; satın almaların vergi kayıtları hukuki yükümlülüktür. Kişiselleştirilmiş reklam ve reklam kimlikleriyle uygulamalar arası izleme tartışmalı kategoridir. Kurumun çerez ve benzeri teknolojiler rehberi reklam ve siteler ya da uygulamalar arası izleme için kullanılan tanımlayıcıları açık rıza gerektiren tanımlayıcılar olarak ele alır ve platformların kendi çerçeveleri (Apple’ın App Tracking Transparency istemi, Google’ın reklam kimliği kontrolleri) rıza anını teknik olarak mümkün kıldı; kişiselleştirilmiş reklamı yalnızca meşru menfaatle çalıştıran stüdyo hem Kurula hem mağazaya karşı açıktadır. KVKK’da açık rıza bilgilendirilmiş, belirli konuya ilişkin ve özgür iradeyle verilmiş olmalıdır; Kurul uygulaması kullanım koşullarına gömülü rızayı reddeder. Tasarım cevabı, ilk açılışta analitiği kişiselleştirilmiş reklamdan ayıran, seçimi zaman damgasıyla kaydeden ve oyuncunun ayarlardan değiştirmesine izin veren bir rıza katmanıdır; m.10 aydınlatma metni aynı ekrandan ulaşılabilir olmalı ve alıcı kategorileri ile yurt dışına aktarımı adıyla söylemelidir.
Madde 9: her SDK bir aktarımdır
7499 sayılı Kanunla 2024’te değişen KVKK m.9 yurt dışına aktarıma üç kademede izin verir. Kurul hedef ülke, sektör ya da uluslararası kuruluş için yeterlilik kararı vermişse aktarım yalnızca m.5 ve 6’ya göre hukuki sebep ister (m.9/1); stüdyolar bu kademeye dayanmadan önce Kurulun yayımlanmış kararlarını kontrol etmeli ve bir satıcının ülkesini kapsayan karar Resmî Gazete’de çıkmadıkça bu yolun kapalı olduğunu varsaymalıdır. Yeterlilik yoksa m.9/4, ilgili kişinin hedef ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunması kaydıyla dört uygun güvenceden birinin varlığında aktarıma izin verir: Kurul izniyle kamu kurumları arası anlaşma, grup içinde Kurulca onaylanan bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme ya da Kurul izniyle yazılı taahhütname. Yurt dışındaki analitik ya da reklam satıcısına veri gönderen stüdyo için araç standart sözleşmedir: 2024 Yurt Dışına Aktarım Yönetmeliği’nin 14. maddesi sözleşmenin üzerinde hiçbir değişiklik yapılmaksızın kullanılmasını, iki tarafın imzaya yetkili kişilerince imzalanmasını ve imzadan itibaren beş iş günü içinde (Kanun m.9/5) Kuruma bildirilmesini ister; sözleşme aksini belirlemedikçe bildirim veri aktarana aittir. m.9/6, riskler hakkında bilgilendirme sonrasında açık rızayla ya da ilgili kişiyle sözleşmenin ifası için zorunluluk gibi hâllerde güvencesiz arızi aktarıma izin verir; ancak “arızi”, bir SDK’nın ürettiği sürekli akışı dışlar. İki pratik sonuç çıkar. Birincisi, stüdyonun kişisel veri alan her yabancı satıcıyla imzalı ve zamanında bildirilmiş bir standart sözleşmeye ihtiyacı vardır; Türk formunu imzalamayan satıcılar değiştirilmeli ya da yalnızca anonim veri alacak şekilde yapılandırılmalıdır. İkincisi, satıcının kendi alt işleyenlerine sonraki aktarımları sözleşmede kapsanmalı ve reklam ağlarına veri sorumlusundan veri sorumlusuna akışlar için stüdyonun standart sözleşmenin o sürümüne ihtiyacı vardır. Bildirim rehberimiz usulü anlatıyor.
Küçükler
KVKK’da rıza için yaş eşiği yoktur. Ehliyet Medeni Kanun’a tabidir; ayırt etme gücüne sahip küçük yasal temsilcisinin rızası olmadan borç altına giremez ve Kurul uygulaması çocuğun geçerli rıza veremediği yerde ebeveyn katılımı bekler. Çocuklara yönelik olan ya da derecelendirmesinden ve verisinden pek çok oyuncusunun çocuk olduğunu bilen oyun bu yüzden reklam kimlikleri için oyuncunun açık rızasına dayanmamalı, toplamayı sözleşmenin ifasının gerektirdiğiyle sınırlamalı, bu kitle için kişiselleştirilmiş reklamı varsayılan olarak kapatmalı ve çocuklar ve yaş güvencesi yazımızda ele aldığımız gibi riskle orantılı bir yaş güvencesi yaklaşımı uygulamalıdır. Sohbet özellikleri moderasyon ve bildirim yükümlülükleri, oyun büyük kitlelere ulaşıyorsa 5651 oyun platformu rehberimizde anlattığımız platform yükümlülüklerini ekler.
Güvenlik, ihlaller ve saklama
KVKK m.12 veri sorumlusunun hukuka aykırı işlenmeyi ve erişimi önlemek ve muhafazayı sağlamak için gerekli her türlü teknik ve idari tedbiri almasını, denetim yapmasını ya da yaptırmasını ve veri işleyenlerin uyumunu sağlamasını ister; veri başkaları tarafından hukuka aykırı yollarla elde edildiğinde veri sorumlusu en kısa sürede ilgili kişilere ve Kurula bildirir; Kurulun 24 Ocak 2019 tarihli kararı bunu öğrenmeden itibaren yetmiş iki saat olarak belirler. Stüdyo için bu, tutulan veriyle orantılı hesap güvenliği kontrolleri (ödeme verisi hiç tutulmamalı; mağazalar ve ödeme sağlayıcıları tutar), analitik dışa aktarımlarında oyuncu kimliklerinin şifrelenmesi, SDK panellerinin yönetici erişimlerinin kontrolü, oyuncu hesaplarına credential-stuffing saldırılarını kapsayan bir ihlal planı ve satıcıları stüdyonun yetmiş iki saati tutmasına imkân veren sürede olay bildirmeye zorlayan veri işleyen sözleşmeleri demektir. Saklama, Silme Yönetmeliği’ni izler: telemetrinin belirtilmiş saklama süresi ve periyodik imha döngüsü, hareketsiz hesapların silme kuralı, sohbet kayıtlarının kısa ömrü olmalıdır; lansmandan beri her olayı tutan stüdyo, due diligence’ta keşfedeceği bir saklama sorunu taşır.
Stüdyonun ihtiyacı olan belgeler
Bir sonraki yatırım turu ya da yayıncı incelemesinden önce stüdyo şunları çıkarabilmelidir: SDK veri haritası ve işleme envanteri; eşikler gerektiriyorsa VERBİS kaydı; oyun içinde ve mağazada ulaşılabilir, Türkçe ve İngilizce m.10 aydınlatma metni; rıza katmanı tasarımı ve rıza kayıtları; analitik ve hile önleme için meşru menfaat değerlendirmesi; veri işleyenlerle veri işleyen sözleşmeleri ve yabancı alıcılarla standart sözleşmeler, Kurumun bildirim teyitleriyle; saklama ve imha politikası; ihlal planı; ve haritayla uyumlulaştırılmış mağaza gizlilik beyanları. Hiçbiri uzun değildir, hepsi kontrol edilir ve aktarım sözleşmelerinin yokluğu şu anda incelemelerimizde en sık çıkan bulgudur.
Analitik satıcımız yalnızca anonim veri aldığını söylüyor. Yine standart sözleşme gerekir mi?
Yalnızca veri KVKK anlamında anonimse, yani başka verilerle birleştirilse bile kişiyle ilişkilendirilemiyorsa gerekmez. Reklam kimlikleri, cihaz parmak izleri ve kalıcı oyuncu kimlikleri anonim değildir. Satıcı bunlardan birini alıyorsa sözleşme ve bildirim gerekir.
Çökme raporu için rıza gerekir mi?
Genellikle hayır; oyunu çalışır tutmak, çökme yükü asgariye indirilmiş ve belgelenmişse meşru menfaattir. Çökme raporuna reklam kimliği ya da sohbet içeriği eklemek onu rızaya doğru geri iter.
Aynı rıza ekranını dünya çapında kullanabilir miyiz?
Büyük ölçüde evet: analitiği kişiselleştirilmiş reklamdan ayıran, seçimleri kaydeden ve aydınlatmaya bağlanan ekran KVKK’yı karşılar ve GDPR ile platformların istediğine yakındır. Metni yerelleştirin, alıcıları ve yurt dışı aktarımları adıyla yazın.
İlgili: çerezler ve tanımlayıcılar · yurt dışı veri aktarımı · profilleme · VERBİS · oyunlarda yapay zeka ve oyuncu verisi.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu (m.3–6, 9–12, 16; 7499 sayılı Kanunla değişik); Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.7.2024/32598; m.6, 10, 14–16); Kişisel Verileri Koruma Kurulu, 24.1.2019 tarihli veri ihlali bildirimi kararı; Kişisel Verileri Koruma Kurumu, çerez uygulamaları rehberi; 4721 sayılı Türk Medeni Kanunu (m.16).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz. Somut bir durumun değerlendirilmesi için hukuki destek alınmalıdır.
Yazar
Daha fazla Vircon İçgörüleri
Şirket Verisini Modele Vermek: KVKK Dayanağı, Yurt Dışı Aktarım ve Az Önce Yüklediğiniz Ticari Sır
5 Ekim 2026KVKK'da Veri İşleyen Sözleşmesi (DPA): GDPR m.28'den Farkı ve Eklere Neler Yazılmalı
2 Ekim 2026Yeni Kurulan Oyun Stüdyosu Yatırım Alırken: Kurucular Hâlâ Başka Bir Stüdyoda Çalışıyorsa Fikrî Mülkiyet Zinciri
30 Eylül 2026Loot Box, Gacha ve Türkiye'de Şans Oyunu Sınırı: 7258 sayılı Kanun, TCK m.228 ve Reklam Kurulu
20 Ekim 2026Oyun Yayıncı Sözleşmesinin Anatomisi: Gelir Paylaşımı, Recoupment, Minimum Garanti ve IP Kimde Kalır (FSEK m.48–52)
19 Ekim 2026Coğrafi Veri İzinleri Yönetmeliği: Konum Verisiyle Çalışan Şirketler Neyi Kontrol Etmeli?
16 Ekim 2026İlgili Hizmet Alanlarımız
Oyun ve Espor Hukuku
Stüdyo yatırım turları, mülkiyet zinciri, yayıncı ve platform sözleşmeleri, espor.
Hizmet sayfası →Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →Birleşme ve Devralmalar
M&A danışmanlığı: due diligence, yapılandırma, dokümantasyon, müzakere.
Hizmet sayfası →