Gizlilik Politikası ve Aydınlatma Metni

Sürüm: 4.4 — Yürürlük: 3 Kasım 2026

Bu metin, NOYGG hizmetinde hangi kişisel verilerin neden işlendiğini anlatan KVKK md. 10 ve GDPR md. 13 kapsamındaki aydınlatma metnidir. E-posta, görünen ad, parola ve kayıt modu gerektiriyorsa davet kodu sunucuya gönderilmeden önce gösterilir.

“Okudum ve bilgi edindim” beyanı yalnızca aydınlatmanın yapıldığını gösterir; açık rıza veya Kullanım Şartları kabulü değildir. Kullanım Şartları kabulü ve 16 yaşını doldurduğuna ilişkin beyan ayrı ayrı alınır.

Veri sorumlusu, NOYGG hizmetini işleten gerçek kişi Mikail Agbal'dır. Başvuru ve iletişim kanalı: support@noygg.com

1. Ses nasıl işlenir

Odalardaki konuşmalar kaydedilmiyor. Odadaki ses, Almanya'daki kendi LiveKit sunucumuz üzerinden diğer katılımcılara gerçek zamanlı iletilir. Bu geçici iletim sırasında ses işlenir; ancak kaydedilmez, dosyaya yazılmaz ve sonradan dinlenemez. Uygulamada konuşma kaydı, transkript veya tekrar oynatma özelliği yoktur. Ses Google Firebase'e gönderilmez.

Özel mesajda paylaştığın sesli mesaj bir konuşma kaydı değil, görsel gibi senin paylaştığın içeriktir; aşağıda Özel mesajlar altında anlatılır.

Android uygulamasında oda ekranı açıkken ekran görüntüsü ve ekran kaydı engellenir, oda sesi aynı telefondaki başka uygulamaların yakalamasına kapalı işaretlenir. iPhone uygulamasında Apple ekran kaydının engellenmesine izin vermez; bunun yerine ekranın kaydedildiği fark edilir ve kayıt sürdükçe o cihazda oda sesi kapanır, oda içeriği gösterilmez. Ekran yansıtılırken (örneğin AirPlay) yalnız oda sesi kapanır. Odadayken ekran kaydı alındığı fark edildiğinde (iPhone'da; Android'de Android 15 ve sonrasında) bu, odanın sahibine ve oda moderatörlerine gösterilir ve NOYGG yönetimine bildirilir (aşağıda Ekran kaydı bildirimi). Bu önlemler kaydı zorlaştırır ama ikinci bir cihazla kayıt alınmasını imkânsız kılamaz; iPhone'da ekran görüntüsü engellenemez ve işletim sisteminin böyle bir koruma sunmadığı ortamlarda uygulanamaz. İzinsiz kayıt ve paylaşım Kullanım Şartları'nda yasaktır ve şikâyet edilebilir.

2. İşlenen veri kategorileri

Hesap ve kayıt

• E-posta adresi, adresin doğrulanıp doğrulanmadığı, okunabilir düz parola yerine parola doğrulama verisi, görünen ad ve isteğe bağlı tanıtım metni
• Görünen ad geçmişi: adını değiştirdiğinde eski ad, yeni ad, değişikliğin zamanı ve değişikliği senin mi yoksa bir yetkilinin mi yaptığı. Bu geçmiş diğer üyelere gösterilmez; yalnız yaptırım yetkisi olan yetkililer kişi özetinde son adları görür. Amacı, ad değiştirerek şikâyet ve moderasyon izinin koparılmasını önlemektir
• İsteğe bağlı avatar seçimi: uygulamanın sunduğu hazır görsellerden hangisini seçtiğin. Seçim bir numaradır, görsel değildir; görseller uygulamayla birlikte gelir. Seçmezsen adının baş harfleri gösterilir
• İsteğe bağlı profil fotoğrafı: yüklemeyi seçersen tek bir kare görsel dosyası. Fotoğraf senin cihazında kırpılır, 512×512 piksele küçültülür ve yeniden kodlanır; konum dahil bütün EXIF bilgileri silinir ve orijinal dosya sunucuya hiç gönderilmez. Sunucu da aynı kuralları denetler; ölçüyü aşan ya da gizli bilgi taşıyan dosyayı kabul etmez. Fotoğraf yüklemek zorunlu değildir ve dilediğin zaman kaldırabilirsin
• Davetli kayıt modu açıksa üyelik davet kodu ve seni davet eden hesap; davet oluşturma özelliği açıksa oluşturduğun davetlerin durumu
• Yeni hesap için e-posta adresine gönderilen kısa ömürlü ve tek kullanımlık doğrulama bağlantısı. Bağlantı kullanılana kadar hesap etkin değildir
• Kabul edilen Kullanım Şartları sürümü ve sunucu zamanı
• Okunup bilgi edinilen gizlilik sürümü, dil ve sunucu zamanı
• 16+ beyanı ve sunucu zamanı; doğum tarihi istenmez

Oda ve güvenlik

• Oda başlığı, açık/özel durumu, sahibi ile açılış ve kapanış zamanları
• Planlı oda: ileri bir saate kurduğun odanın adı, açıklaması, başlangıç saati, kapıların ne zaman açılacağı ve varsa topluluğu. Planlı odalar herkese açıktır ve Odalar'daki “Yaklaşan” listesinde görünür. “Hatırlat”a dokunduğunda hesabın o planın hatırlatma listesine yazılır; listede kimlerin olduğunu başkası görmez, oda sahibi yalnız kaç kişi olduğunu görür
• Aktif odadaki katılımcı, rol, el kaldırma ve sahne daveti durumu
• Münazara ve Söyleşi odaları: oda sahibinin seçtiği oda türü ve ayarları (taraf adları, koltuk sayısı, konuşma süreleri, aşamalar, oylama ve soru ayarları), oturumun o anki durumu (hangi aşamada olduğu, kimin sırada olduğu, konuşma sayaçları, kimin hangi tarafta oturduğu) ve dinleyicilerin tarafa katılma istekleri. Bu durum odanın katılımcılarına görünür ve odayla yaşar; oda kapanınca silinir. Soru sormak için el kaldırdığında ya da yazılı soru yazdığında o odada kaç soru sorduğun sayılır (kişi başına soru sınırı için); sayaç odayla silinir
• Soru havuzu: Münazara ve Söyleşi odasında yazdığın soru metni (en çok 200 karakter, bağlantı yok), sorunun kime yöneltildiği, yazar adın, zamanı, sorunun durumu (bekliyor, soruldu, cevaplandı, konuşuldu) ve başka sorulara verdiğin +1 işaretleri. Sorular odanın katılımcılarına görünür; yöneten sıralayabilir, benzerlerini birleştirebilir, konuşulduğunu işaretleyebilir ya da gizleyebilir. Geri çektiğin ya da yönetenin gizlediği soru başkalarına gösterilmez. Sorular ve +1'ler oda kapanınca silinir; yönetenin gizlediği sorunun metni inceleme için 30 gün saklanır ve yalnız oda yönetimi ile şikâyeti inceleyen yetkili görür
• Seyirci oyu: Münazara odasında oylama açıksa başlamadan önce ve kapanıştan sonra verdiğin oy (taraf ya da kararsız) hesabına bağlı tutulur ki kişi başına tek oy sayılsın ve oyunu değiştirebilesin. Kimin ne oy verdiği kimseye gösterilmez; herkes yalnız toplam yüzdeleri görür. Oylar oda kapanınca silinir
• Konuşmacı ve konuk daveti: planlı bir Münazara'ya konuşmacı ya da planlı bir Söyleşi'ye konuk olarak davet edilen kişiler, hangi tarafa davet edildikleri, davetin durumu (bekliyor, kabul, ret, geri alındı) ve cevabın zamanı. Davet edecek kişiyi takip ettiklerinin arasından ya da üyeler arasında adıyla arayarak seçebilirsin; seni engelleyen ya da senin engellediğin kişi aramada çıkmaz ve davet edilemez. Davetli kabul ettiğinde planın hatırlatma listesine eklenir. Davetler planla birlikte, planın 7 günlük saklama süresi sonunda silinir
• Özel oda davetleri, engeller, odadan çıkarma ve oda yasağı kayıtları
• Takip ilişkileri: takip ettiğin hesaplar ve seni takip eden hesaplar. Bu listeler herkese açık bir keşif dizini değildir; yalnız ilişkinin tarafları kendi “Takipçiler” ve “Takip Edilenler” ekranlarında görür. Odada birinin kartını açtığında, senin takip ettiğin kişilerden onu takip edenleri (“ortak takip”) görürsün; bu satır o kişinin listesini açmaz, sana yalnız zaten takip ettiğin kişileri gösterir. Yani seni takip eden biri, senin takip ettiğin başka bir kişinin kartında adını görebilir
• Adla arama: üyeler seni görünen adınla arayıp bulabilir. Arama sonucunda adın, varsa tanıtım metninin ilk satırı ve seni takip eden biri için herkese açık bir odada olup olmadığın görünür. Seni engelleyen ya da senin engellediğin kişi seni aramada yine görür ama takip edemez. Aramalar kaydedilmez
• Web oynatıcı (yayıncının sitesi): oda sahibi isterse herkese açık odasını kendi sitesindeki NOYGG kartından hesapsız dinletebilir; gizli odalar ve yalnız üyelere açık topluluk odaları web'e açılmaz. Odada herkes "web'de dinleniyor" işaretini görür; sahneye çıkan kişi önceden uyarılır ve sesi ile görünen adı NOYGG dışında da duyulabilir. Web'den dinleyen kişi hesap açmaz; listede görünmez, konuşamaz, yazamaz. Ondan kişisel veri saklanmaz: IP adresi yalnız ses ve web sunucularının günlüklerinde bu metindeki sürelerle kalır. Yayıncının kendi sitesi kendi verisini kendi işler, NOYGG'dan bağımsızdır. Ses kaydedilmez. Kart için kalıcı bir anahtar, yeni odalar için başlangıç tercihi ve sahip isterse kartın çalışacağı alan adları saklanır; alan adı yazılmazsa kart her sitede çalışır. Sahip web'i kapatınca ya da oda bitince dinleme hemen biter
• Özel odanın paylaşım bağlantısı anahtarı (sahibi iptal edince ya da yenileyince silinir; oda kapanınca geçersizleşir ve oda kaydıyla birlikte silinir; bağlantıyla giriş davet kaydı olarak tutulur)
• Oda sohbeti mesajları: odada yazdığın metin (en çok 200 karakter), yazar adın ve zamanı; yanıtladıysan alıntılanan mesajın adı ve kısa metni; mesaja verilen tepkiler (kişi başına tek emoji). Bir mesaja verdiğin tepkiyi mesajın sahibi adınla görür; diğer katılımcılar yalnız sayıyı görür. Mesajda etiketlediğin kişilerin (en çok üç, o an odada olanlar) hesap kimliği ve görünen adı mesajla birlikte tutulur; oda sahibinin bütün odayı etiketlemesi tek bir işarettir, kişi listesi yazılmaz. Etiket telefon bildirimi göndermez. Sohbet odanın katılımcılarına görünür ve oda kapanınca mesajlar silinir. Kendi sildiğin mesajın metni saklanmaz. Oda sahibinin ya da bir moderatörün sildiği, şikâyet edilmiş veya şikâyet eşiğini aşan mesajın metni inceleme için 30 gün saklanır; şikâyet edilmiş bir mesajı silmek bu kopyayı ortadan kaldırmaz. Saklanan metni yalnız oda sahibi, moderatörler ve şikâyeti inceleyen yetkili görür. Oda sahibinin sohbet ayarları (kim yazabilir, yavaş mod, sabit mesaj) ve sohbet susturması oda kaydının parçasıdır; susturma odadan çıkıp yeniden girince de sürer
• Oda sohbetinde görsel: gönderdiğin ya da yapıştırdığın tek JPG veya PNG dosyası senin cihazında en çok 2048 piksele küçültülür, konum dahil bütün üstveri silinir ve yeniden kodlanır; orijinal dosya sunucuya gönderilmez. Sunucu da ölçüyü ve gizli bilgiyi denetler. Görselin ölçüleri mesajla birlikte tutulur. Görsel korumalıdır: yalnız odanın katılımcıları kısa ömürlü bir erişim anahtarıyla açabilir; silinen görsel katılımcılara kapanır, saklanıyorsa yalnız oda sahibi, moderatörler ve şikâyeti inceleyen yetkili görür. Saklama süreleri mesaj metniyle aynıdır (5. bölüm); şikâyet edilen görselin dosyası şikâyet açık kaldıkça silinmez
• Görsellerin otomatik denetimi: oda sohbetine ya da özel mesaja gönderdiğin görsel, kaydedilmeden önce kendi sunucumuzda çalışan bir yazılımla cinsel içerik olasılığı için puanlanır; görsel üçüncü tarafa gönderilmez, yazılım görseli saklamaz. Puan yüksekse görsel bulanık gösterilir ve dokunan açabilir. Oda sohbetinde oda sahibi ve moderatörler görür ve karar verir; özel mesajda görsel yalnız alıcıya bulanık görünür ve NOYGG yönetimi onu ancak alıcı şikâyet ederse görür. Puan mesajla birlikte tutulur ve onunla silinir. Denetim kendiliğinden hiçbir görseli silmez ve hesabına işlem yapmaz; yazılım yanılabilir
• Metinlerin otomatik denetimi: oda sohbetine yazdığın mesaj, kaydedilmeden önce kendi sunucumuzdaki küfür ve hakaret sözcük listesiyle karşılaştırılır; eşleşen sözcükler yıldızlanır ve mesaj oda sahibi ile moderatörlere işaretlenir. Metin üçüncü tarafa gönderilmez, orijinal hâli saklanmaz. Denetim mesajı silmez ve hesabına işlem yapmaz; yazılım yanılabilir, kararı oda yönetenleri verir.
• Şüpheli bağlantı denetimi: oda sohbetinde, özel mesajda, oda adında veya açıklamasında bir bağlantı gönderdiğinde adres zararlı adres listeleriyle karşılaştırılır. Sayfa açılmaz, indirilmez. Listede bulunan bağlantıyı içeren mesaj gönderilmez ve ayrıca kaydedilmez. Karşılaştırmanın nasıl yapıldığı ve Google'a ne gittiği 4. bölümde anlatılır
• Şikâyetin tarafları, oda, sebep, isteğe bağlı not, inceleme durumu ve işlem
• Yaptırım türü (askı ya da kısmi kısıt), süresi, kategorisi ve yönetici gerekçesi
• Ekran kaydı bildirimi: odadayken cihazının ekranı kaydedilirse, kayıt sürdüğü sürece odanın sahibi ve oda moderatörleri adını “ekran kaydı alıyor” diye görür (kaydı alan kendi bildirimini görmez; konuşmacılar ve dinleyiciler görmez). NOYGG yönetimi için şunlar tutulur: hangi odada (oda adı), kaydın ne zaman başlayıp bittiği, cihaz türü (iPhone ya da Android) ve oda sahibi olup olmadığın. Kaydın kendisi, ekranındaki içerik ya da cihazındaki başka uygulamalar hakkında bilgi alınmaz. Ekran yansıtma bildirilmez
• Moderasyon işlem kaydı: yetkililerin yaptığı işlemler kaydedilir — yaptırım uygulanması ve kaldırılması, özel mesaj şikâyetinin kanıtının açılması ve içeriğin kaldırılması, şikâyet edilen oda sohbeti görselinin açılması, yetki değişikliği, kademe tanımı değişikliği, platform ayarı değişikliği, davet hakkı değişikliği, yetkilinin bir odayı kapatması, gerekçeli oda sorgusu ve kişi dökümü alınması, topluluk kararları (kısıtlama, askı, kaldırma, yeniden açma, kapak görselinin kaldırılması, üye çıkarma ve engelleme) ve gizli üyeler dahil gerekçeli tam üye listesi sorgusu. Topluluk sahibinin ve moderatörlerinin topluluk yönetimi işlemleri de (kapatma, moderatör atama ve alma, kapak görseli yükleme ve kaldırma, üye çıkarma ve engelleme) aynı kayda yazılır. Her kayıtta işlemi yapan yetkilinin kimliği ve rolü, işlemin hedefi, türü, kategorisi, süresi ve zamanı bulunur. Bu kayıt yöneticiler dahil herkesi kapsar ve sonradan değiştirilemez; bir düzeltme gerekirse eski kayıt silinmez, yanına yeni bir kayıt yazılır. Amacı kararların denetlenebilir olması ve yetkinin kötüye kullanılmasını tespit edebilmektir.

Özel mesajlar

• Konuşmanın iki tarafı, konuşmayı kimin başlattığı, oluşturma ve son mesaj zamanı; her taraf için en son okuma anı, sessize alma tercihi ve konuşmayı ya da tek tek mesajları yalnız kendi görünümünden silme bilgisi
• Mesaj: yazdığın metin (en çok 1000 karakter) ve zamanı; yanıtladıysan alıntılanan mesajın yazarının adı, kısa metni ve türü; mesaja verilen tepkiler (kişi başına tek emoji)
• Görsel: seçtiğin tek JPG veya PNG dosyası senin cihazında en çok 2048 piksele küçültülür, konum dahil bütün üstveri silinir ve yeniden kodlanır; orijinal dosya sunucuya gönderilmez. Sunucu da ölçüyü ve gizli bilgiyi denetler. Görselin ölçüleri mesajla birlikte tutulur
• Sesli mesaj: paylaştığın en çok 1 dakikalık ses dosyası (16 kHz, tek kanal), süresi ve cihazında hesaplanan ses yüksekliği çubukları (balondaki dalga çizimi). Ses senin cihazında kaydedilir; mikrofon yalnız kayıt düğmesine bastığında açılır, gönderince ya da silince kapanır. Göndermediğin kayıt hiçbir yere gitmez. Sesinden kimlik tespiti (ses izi) çıkarılmaz, ses yazıya dökülmez
• Sesli mesaj onayının zamanı (ilk sesli mesajdan önce bir kez alınır)
• "Görüldü" bilgisini gizleme tercihin
• Görsel ve ses dosyaları korumalıdır: yalnız konuşmanın iki tarafı, kısa ömürlü bir erişim anahtarıyla açabilir
• Herkesten sildiğin mesaj: karşı taraftan hemen kaldırılır; metni ve dosyası 30 gün gizli tutulur ve yalnız karşı taraf o konuşmayı şikâyet ederse yetkili görür. Amacı tacizin silinerek kanıtsız bırakılmasını önlemektir
• Mesaj şikâyeti: bir mesajı bildirdiğinde seçtiğin mesajlar (en çok 10) ve her birinin öncesindeki en çok 5 mesaj, şikâyet anında kopyalanır; herkesten silinmiş bir mesajın gizli metni de bu kopyaya girer. Şikâyete konu görsel ve sesin dosyası şikâyet açık kaldıkça silinmez. Yetkili konuşmanın kendisine erişemez, yalnız bu kopyayı görür

Yetkili oda erişimi

• Kapalı bir odaya yetkili erişimi olduğunda şunlar kaydedilir: erişen görevlinin kimliği ve kademesi, oda, gerekçe kategorisi ve yazılı gerekçe, iznin ve gerçek girişin başladığı an, süreli gizliliğin bittiği ve görevlinin görünür olduğu an, odadaki uyarının belirmesi için hesaplanan ve gerçekten belirdiği an, oda sahibine bildirim gidip gitmediği
• Bu kayıt yöneticiler dahil herkesi kapsar ve sonradan değiştirilemez
• Görevli, yalnız kapalı odaya gerçekten girdikten sonra başlayan ve yönetim ayarına göre en çok 15 dakika süren ilk bölümde diğer katılımcılardan gizlenebilir. Süre dolunca görevli odadaysa görünür olur. Uyarı gecikmesi bu görünürlük anından sonra başlar
• Görevli uyarı belirmeden ayrılırsa sonradan “yetkili bu odada” uyarısı gösterilmez. Gerçek giriş olmuşsa oda sahibine bir kez, görevlinin odada bulunduğunu geçmiş zamanlı anlatan bildirim gider; hiç girilmeyen bir izin bildirim üretmez. Bildirimde oda başlığı yer almaz
• Odada konuşulanlar kaydedilmez. Erişim, sesin kaydedilmesi ya da saklanması anlamına gelmez; yetkili odaya diğer katılımcılar gibi girer ve ses yalnız o an iletilir

Yetki ve talepler

• Hesabına bir yetkili kademesi verilmişse bu bilgi hesap kaydında tutulur (örneğin moderatör). Kademen yalnız sana ve yetki dağıtan yöneticiye görünür; diğer üyelere gösterilmez
• Yetki verildiğinde ya da alındığında bu işlem, kimin yaptığıyla birlikte moderasyon işlem kaydına yazılır
• İtiraz ve destek talepleri: açtığın talebin türü (itiraz/destek), konusu, yazdığın mesajlar ve yetkilinin yanıtları; itirazsa hangi yaptırıma karşı açıldığı ve sonucu (karar korundu / geri alındı)
• İtirazı inceleyen yetkilinin kimliği sana gösterilmez; yalnız "yetkili" olduğu görünür
• İtirazın sonucu, yazışmadan ayrı olarak moderasyon işlem kaydına da yazılır
• Hak ihlali bildirimleri (Kullanım Şartları 8.1): e-postayla bildirim gönderen kişinin adı, e-posta adresi ve bildirimin içeriği. Amaç bildirimi incelemek ve hukuka aykırı içeriğe karşı işlem yapmaktır; hukuki sebep yer sağlayıcı olarak hukuki yükümlülüğümüz ve meşru menfaatimizdir. İçeriği kaldırılan kişiye gerekçe bildirilir, bildirenin e-posta adresi paylaşılmaz. Bildirim ve yazışma işlem bittikten sonra 3 yıl saklanır, sonra silinir

Hesap güvenlik olayları

• Kendi hesabında şu olaylar kaydedilir: üyelik kaydı, giriş, başarısız giriş denemesi, oturum yenileme (uygulama açılışında oturumun tazelenmesi; aynı IP ve cihazdan saatte en çok bir kez yazılır), parola değişikliği, parola sıfırlama ve tüm cihazlardan çıkış
• Her olayla birlikte olayın zamanı, isteğin geldiği IP adresi ve bağlantı portu tutulur. Port, mobil operatörlerin bir IP adresini aynı anda birçok kişiye paylaştırması nedeniyle gerekir; portsuz bir IP kaydı tek bir bağlantıyı göstermez
• IP adresi sunucumuzdaki yerel ülke veritabanıyla iki harfli ülke koduna çevrilir ve olayla birlikte tutulur; şehir ya da koordinat çıkarılmaz, IP bu amaçla başka bir hizmete gönderilmez. VPN kullanıyorsan kod VPN çıkışının ülkesidir. Kodu Hesap güvenliği ekranında sen de görürsün
• Olayla birlikte cihazın işletim sistemi sürümü ve uygulama sürümü tutulur; cihaz modeli ya da donanım kimliği tutulmaz
• Bu kayıtları uygulamada yalnızca sen görürsün (Ayarlar → Hesap güvenliği) ve sana maskelenmiş olarak gösterilir: adresin son bölümü kaldırılır, tam adres uygulamaya hiç gönderilmez. Moderatörlere kapalıdır. Aşağıdaki iki durum istisnadır ve ikisi de kayda geçer: kendi verinin kopyasını istemen, ve 4. bölümde anlatılan geçerli bir resmi talep
• Var olmayan bir e-posta adresiyle yapılan giriş denemesi kaydedilmez; böylece bu kayıtlar bir adresin kayıtlı olup olmadığını sorgulamaya yaramaz
• Amacı hesabına yetkisiz erişim olup olmadığını görebilmen ve kaba kuvvet denemelerini tespit edebilmemizdir

Teknik kayıtlar ve istatistik

• Bağlantı IP adresi, istek zamanı, yol ve durum kodu ile hata/güvenlik günlüklerinde gerekli olduğunda hesap veya oda kimliği
• Günlük toplamlar: açılan oda, odaya katılım, gönderilen oda daveti, yeni üye, üretilen üyelik davet kodu, odalarda geçen toplam süre ve açılan şikâyet sayısı. Bu sayılar kimlik taşımaz
• Günlük tekil kullanıcı sayısı için kimlik yalnız o gün tutulur, gece silinir; sonra yalnız toplu sayı kalır
• Odaya yeni bir katılım olduğunda bağlantı IP adresi, sunucumuzdaki yerel ülke veritabanıyla yalnız iki harfli ülke koduna çevrilir. İstatistik tablosuna sadece gün + ülke kodu + katılım sayısı yazılır; IP adresi, hesap/oda kimliği, şehir, koordinat veya kesin konum bu tabloya yazılmaz. 5'ten küçük ülke grupları istatistik ekranında tek tek gösterilmez, “Diğer” altında birleştirilir. VPN veya mobil ağ geçidi nedeniyle ülke tahmini hatalı olabilir. Ülke veritabanı yerel çalışır; IP bu amaçla başka bir hizmete gönderilmez. Kendi açtığın odalar için bu kod odaya bağlı geçici bir ziyaret satırına yazılır; oda kapanınca yalnız ülke başına dinleyici sayısı kalır (aşağıda Kişisel istatistikler)

Kişisel istatistikler (yalnız sana görünür)

• Açtığın odalar için oda başına kimliksiz özet: süre, farklı dinleyici sayısı, aynı anda en çok kişi, sahneye çıkan sayısı, tepki sayısı, dakikalık "aynı anda bağlı" sayısı ve ülke başına dinleyici sayısı. Özet katılımcı adı veya hesabı içermez; ülke dağılımı yalnız en az üç farklı ülke varsa ve yalnız toplam olarak gösterilir
• Kendi hesabın için aylık sayaçlar: açtığın ve katıldığın oda sayısı, odalarda dinleyici olarak bağlı geçirdiğin süre, yayın yetkili rolde (sahnede) bağlı geçirdiğin süre ve sahneye çıkış sayısı. Sunucu mikrofonun ne zaman açık olduğunu bilmez; "sahnede" geçen süre bir konuşma kaydı değil, rol süresidir
• Bu sayılar oda açıkken odaya bağlı geçici bir ziyaret satırından türetilir; oda kapanıp özet çıkarıldığında ziyaret satırı silinir. Sıralama, başkasıyla karşılaştırma veya üçüncü tarafa aktarım yoktur; bu sayfayı sen dışında kimse göremez, moderatörler dahil

Sorun bildirimi (yalnız sen gönderirsen)

Uygulamada bir bağlantı veya ses sorunu yaşarsan ya da uygulama beklenmedik şekilde kapanırsa Sorun bildir ile teknik bir anlık görüntü gönderebilirsin. Bu veri pasif olarak toplanmaz: yalnız sen düğmeye bastığında ve gönderilecek her satırı ekranda gördükten sonra iletilir.

• Cihazın üreticisi, modeli ve işletim sistemi sürümü (Android ya da iOS)
• Son teknik olayların listesi: yalnız olay kodları ve zamanları (örneğin "yeniden bağlanılıyor", "mikrofon izni reddedildi"), bulunduğun odanın kimliği; uygulama beklenmedik şekilde kapandıysa kapanmanın türü (örneğin "çöktü", "odadayken sistem tarafından kapatıldı") ve zamanı; uygulama çöktüyse çökmenin uygulama kodundaki yeri (kitaplık adı ve kod adresi — senin hakkında bilgi içermez)
• Yazdığın açıklama metni (isteğe bağlı)

Bu liste cihazında geçici olarak tutulur, uygulamayı kapattığında silinir ve bildirimi gönderdikten sonra temizlenir. Tek istisna beklenmedik kapanmadır: cihaz yalnız kapanmanın türünü, zamanını ve çöktüyse kod içindeki yerini hatırlar, bir sonraki açılışta listeye ekler. Çökme raporları açıksa bu kapanış ayrıca aşağıda anlatıldığı gibi kimliksiz olarak bize de bildirilir; kapalıysa yalnız sen gönderirsen iletilir. Ses kaydı, konuşulanlar, IP adresin, konumun ve kişi listen gönderilmez. Bildirim bir destek talebi olarak açılır; yalnız yöneticiler teknik anlık görüntüyü görebilir — moderatörler göremez. Beklenmedik kapanma bildiriminin kendisini de yalnız yöneticiler görür.

Çökme raporları (otomatik; Ayarlar'dan kapatılabilir)

Uygulama çökerse ya da donup işletim sistemi tarafından kapatılırsa, bir sonraki açılışta teknik bir çökme raporu Google Firebase Crashlytics'e gönderilir. Bu, Sorun bildir'den ayrıdır ve senin bir şey yapmanı gerektirmez; Ayarlar → Gizlilik ve güvenlik → Çökme raporları anahtarıyla her an kapatılabilir ve kapatmak hiçbir işlevi kısıtlamaz. Web sürümünde bu özellik yoktur. Rapor şunları içerir:

• Çökmenin uygulama kodundaki yeri (yığın izi) ve çökmenin türü
• Cihaz modeli, işletim sistemi sürümü, uygulama sürümü; çökme anında boş bellek ve depolama, ekran yönü, uygulamanın önde mi arkada mı olduğu
• Çökmeden önceki son teknik olay kodları (Sorun bildir'dekiyle aynı kodlar; oda kimliği ve açıklama olmadan)
• Google'ın bu kuruluma verdiği rastgele bir Crashlytics kimliği ve zaman damgaları
• Kurulumuna özgü rastgele bir tanı kodu (Ayarlar'da görünür). Kod hesabınla, adınla ya da cihazının kimliğiyle ilişkili değildir; yalnız sen destek yazarken bu kodu verirsen raporu bulabiliriz

Beklenmedik kapanış kaydı (aynı anahtara bağlı). Uygulama beklenmedik şekilde kapandıysa, bir sonraki açılışta kapanmanın türü (örneğin çökme, bellek yetersizliği, donma) ve zamanı, o sırada odada olup olmadığın, cihaz modeli, işletim sistemi ve uygulama sürümü, çöktüyse kod içindeki yeri ve kapanıştan önceki son teknik olay kodları, yukarıdaki tanı koduyla birlikte kendi sunucumuza kimliksiz bir kayıt olarak gönderilir. Kayıt hesabına bağlanmaz, Google'a gitmez, yalnız yöneticiler görür ve 90 gün sonra silinir. Anahtarı kapatırsan bu kayıt da gönderilmez.

Hesap kimliğin, adın, e-postan, ses, mesajlar ve konumun gönderilmez; rapor NOYGG hesabınla ilişkilendirilmez ve bizim tarafımızda da bir hesaba bağlanmaz. Amaç uygulamanın kararlı çalışmasını sağlamaktır. Google bu veriyi veri işleyen olarak işler ve 90 gün sonra siler (bkz. 4. bölüm).

İsteğe bağlı bildirim verisi

• Kendi sunucumuzda FCM bildirim jetonu, cihaz platformu (Android ya da iPhone) ve uygulama dili
• Google tarafında Firebase Installation ID (FID)
• Hesabına bağlı dört bildirim tercihi: doğrudan oda daveti, takip ettiğin kişinin herkese açık oda açması, konuşmacı daveti ve takip ettiğin kişinin herkese açık bir odaya katılması. Yalnız doğrudan oda daveti başlangıçta açıktır; diğer üçü kapalıdır ve her birini sonradan değiştirebilirsin. Yeni takipçi bildirimi yoktur
• Takip edilen kişinin herkese açık oda etkinliği için kendi sunucumuzdaki kısa ömürlü dağıtım kuyruğunda kişinin hesap kimliği, oda kimliği, aktif katılım kaydı ve teknik teslim durumu tutulur. Özel odalar bu kuyruğa hiç alınmaz
• Google'a bildirim metni ve bildirimin doğru ekranı açması için gereken teknik alanlar (type, roomId, threadId, scheduledId ve tag) gönderilir. Takip ettiğin kişinin herkese açık oda etkinliği bildiriminde metin, o kişinin görünen adını ve odanın başlığını içerir; ikisi de herkese açık bilgidir. Doğrudan oda daveti ve konuşmacı daveti bildiriminde metin, daveti gönderenin görünen adını içerir; odanın başlığı yer almaz. Planlı odada “Hatırlat”a dokunduysan başlamasına 15 dakika kala, saati değişince ve oda başlamadan düşünce bildirim gider; metin odanın adını, 15 dakika kala bildirimi oda sahibinin görünen adını da içerir. Oda sahibine 15 dakika kala giden bildirim odanın adını ve hatırlatma isteyen kişi sayısını içerir; bunlar Yaklaşan listesinde zaten görünen bilgilerdir. Başlama saati geldiğinde oda sahibi salonda değilse ve bekleyen varsa sahibe bir kez giden bildirim odanın adını ve bekleyen kişi sayısını içerir. Planlı Münazara ya da Söyleşi daveti bildiriminde metin, daveti gönderenin görünen adını, planın adını ve davetin konuşmacı mı konuk mu olduğunu içerir; davetli kabul ya da ret edince davet edene giden bildirim davetlinin görünen adını ve planın adını içerir; kapılar açılınca kabul eden davetliye giden bildirim planın adını içerir. Bildirimdeki oda ya da plan adında bağlantı yer almaz; ad yalnız bir bağlantıdan oluşuyorsa uygulamadaki gibi oda sahibinin görünen adıyla (“Bahar'ın odası”) yazılır. Özel mesaj bildiriminde metin "Yeni mesaj" ve gönderenin görünen adıdır; mesajın içeriği, görsel veya ses gönderilmez. Sessize aldığın konuşma bildirim göndermez. Hesap kimliği, e-posta ve ses gönderilmez. Moderasyon bildirimleri genel metinle kalır. Bildirim içeriğinin kilit ekranında görünmesini cihazının bildirim ayarlarından kapatabilirsin
• Doğrudan oda daveti en fazla bir saat, konuşmacı daveti 60 saniye, takip edilen kişinin herkese açık oda etkinliği en fazla 15 dakika geçerlidir

Şehir, kesin konum, rehber, reklam kimliği, reklam veya davranış profili amaçlı analiz olayı ya da izleme çerezi toplanmaz. Yukarıda açıklanan ülke kodu toplu katılım sayacı ve yalnız sana görünen kişisel istatistikler içindir; kişi profiline bağlanmaz ve başka hiçbir amaçla kullanılmaz. Firebase Analytics kapalıdır. Cihazındaki fotoğraf galerisi taranmaz veya okunmaz: yalnızca senin seçtiğin tek dosya işlenir ve o dosya da konum bilgisi silinerek gönderilir. Panodaki görsel de yalnız sen yapıştırdığında okunur ve gönderilmeden önce sana gösterilir.

İsteğe bağlı kategoriler ve topluluklar

• Takip ettiğin kategori, katıldığın topluluk, sahiplik, ilişki zamanları, her ilişki için görünürlük ve topluluğa özel susturma tercihi hesabınla ilişkilendirilir. Kategori takibi, topluluk üyeliği ve kişi takibi ayrı işlemlerdir; biri diğerini otomatik oluşturmaz.
• Oluşturduğun topluluğun adı, açıklaması, kuralları, kategorisi, isteğe bağlı kapak görseli, kurucu adının gösterilme tercihi ve sahiplik bilgisi; moderatör atamaları; sahiplik teklifinin tarafları, süresi ve sonucu; kapatılmışsa kapatma zamanı ve kapatanın sahip mi yetkili mi olduğu işlenir. Kapak görseli herkese açık bir dosyadır; gömülü konum veya cihaz üstverisi taşıyan görseller yükleme sırasında reddedilir.
• Bu seçimler, özellikle serbest topluluk adı/açıklamasıyla birlikte, siyasi görüş veya inanç gibi özel nitelikli bilgileri ortaya çıkarabilir. Üyelik tek başına belirli bir görüşe sahip olduğunun kanıtı sayılmaz.
• Ayrı rıza kaydında hesap, amaç sürümü, son kabul ve varsa geri çekme sunucu zamanı ile kayıt revizyonu tutulur. Bu kayıtta IP veya konum yoktur; bütün geçmiş kararların ayrı ayrı saklandığı bir günlük değildir.
• Topluluk kısıtları, üyelik engelleri ve itirazlarda kararın gerekçesi, zamanı, tarafları, başvuru/yanıt ve sonuç tutulur. Karar kanıtı, işlem anındaki topluluk adını ve bazı işlemlerde üyenin görünen adını içerebilir. Olağan kategori takipleri ve katılmalar moderasyon günlüğüne kopyalanmaz.
• Topluluk oda duyuruları ve topluluk güncellemeleri için mevcut dört bildirim tercihine iki ayrı tercih eklenir; ikisi de başlangıçta kapalıdır. Topluluğu susturma ve cihaz bildirim izni ayrıca uygulanır. Kendi sunucumuzdaki geçici kuyruk; topluluk, oda/olay, ilgili hesap ve teknik teslim bilgilerini tutar. Google FCM'ye bildirim metni ile teknik yönlendirme alanları gider. Topluluk oda duyurusunda metin, topluluğun adını ve odanın başlığını içerir; ikisi de herkese açık bilgidir. Topluluk güncellemesi bildirimi genel metinle kalır; üye listesi, e-posta, karar/itiraz gerekçesi veya ses gönderilmez.

3. Amaçlar ve hukuki sebepler

• Hesap, e-posta doğrulaması, varsa davet, kişiden kişiye takip ilişkileri, temel bildirim tercihleri, oda, planlı oda ve hatırlatma listesi ve geçici ses iletimi, özel mesajlar (metin, görsel ve sesli mesaj); istediğin hizmeti kurmak ve sunmak için işlenir (KVKK md. 5/2-c; GDPR md. 6/1-b). Sesli mesaj ilk kullanımdan önce ayrıca onayına bağlanır; onay, kaydın senin isteğinle başladığını belgeler.
• Engelleme, şikâyet (özel mesaj şikâyetinin kanıt kopyası dahil), herkesten silinen özel mesajın 30 günlük gizli kopyası, görünen ad geçmişi, şüpheli bağlantı denetimi, görsellerin ve metinlerin otomatik denetimi, ekran kaydı bildirimi, yasak, askı ve güvenlik günlükleri; topluluğu korumak, kötüye kullanımı önlemek ve hukuki yükümlülükleri yerine getirmek için işlenir (KVKK md. 5/2-ç ve 5/2-f; GDPR md. 6/1-c ve 6/1-f). Meşru menfaat, kullanıcıların güvenli hizmet beklentisiyle sınırlı ve ölçülü uygulanır.
• Hukuki metin sürümü ve yaş beyanı; kabulü ve kayıt uygunluğunu kanıtlamak için tutulur (sözleşmenin kurulması ve hukuki yükümlülük).
• Resmi taleplerin değerlendirilmesi, kaydı ve yerine getirilmesi ile mühürlü saklama; hukuki yükümlülük kapsamında işlenir (KVKK md. 5/2-ç; GDPR md. 6/1-c; mühür için GDPR md. 17/3-e). Hayati tehlike bildirimi kişilerin hayati çıkarlarını korumak için yapılır (KVKK md. 5/2-b; GDPR md. 6/1-d).
• Kimlik taşımayan kullanım ve ülke toplamları; hizmetin hangi dönemlerde ve hangi ülkelerde kullanıldığını anlayıp kapasiteyi planlamak için meşru menfaat kapsamında işlenir (KVKK md. 5/2-f; GDPR md. 6/1-f). Şehir veya kişi profili çıkarılmaz ve küçük ülke grupları yönetim ekranında birleştirilir.
• Kişisel istatistikler (açtığın ve katıldığın odaların sayıları ve süreleri, odalarına gelen dinleyicilerin ülke toplamları); yalnız sana sunulan bir hizmet özelliği olarak sözleşmenin ifası kapsamında işlenir (KVKK md. 5/2-c; GDPR md. 6/1-b). Başkasına gösterilmez, sıralama yapılmaz.
• Çökme raporları uygulamanın kararlı çalışması ve hataların bulunması için meşru menfaat kapsamında işlenir (KVKK md. 5/2-f; GDPR md. 6/1-f). Ayarlar'dan kapatılabilir; kapatmak hiçbir işlevi kısıtlamaz. Hesabınla ilişkilendirilmez.
• FCM yalnız cihazın bildirim iznini verdiğinde etkinleşir. Bu veri, isteğe bağlı bildirimi sunmak için işlenir. İzni işletim sistemi ayarından geri almak bildirimin teslimini engeller; uygulama bunu bir sonraki denetimde görüp FCM'yi kapatır ve teknik tanımlayıcıların temizlenmesini ister. Geçici ağ veya platform hatası bu temizliği geciktirebilir.
• Hesap içindeki dört bildirim tercihi cihaz izninden ayrıdır. Bir kategoriyi kapatmak o türün gönderimini durdurur; diğer açık kategoriler çalışabilsin diye FCM jetonu sunucuda kayıtlı kalabilir.

E-posta, görünen ad, parola, e-posta doğrulaması, ayrı Kullanım Şartları kabulü ve 16+ beyanı hesap açmak için zorunludur. Davet kodu yalnız davetli kayıt modunda zorunludur; açık kayıt modunda istenmez. Tanıtım metni, konuşmacı olmak ve FCM bildirimi isteğe bağlıdır. Zorunlu veriler verilmezse hesap veya ilgili özellik sunulamaz.

Topluluk işlemleri için ayrı açık rıza. Kategori takiplerini, topluluk üyeliklerini ve sahipliğini hesabınla ilişkilendirerek keşif, Topluluklarım ve topluluk yönetimini sunmak, ortaya çıkabilecek hassas ilgi bilgileri dahil, isteğe bağlı ve ayrı açıklanmış işleme amacıdır. Bunun için açık rızan istenir; genel Kullanım Şartları kabulü veya bu metni okuman rıza yerine geçmez (GDPR md. 6/1-a ve özel nitelikli veri için md. 9; KVKK md. 5 ve 6 kapsamındaki açık rıza şartları).

Rıza vermemek veya geri çekmek normal hesabını ve bağımsız oda kullanımını engellemez; yalnız bu isteğe bağlı ilişkileri kurma/sürdürme işlevleri kullanılamaz. Görünürlük ve bildirim tercihleri rızadan ayrıdır. Mevcut bir hesabın olması da topluluk rızası sayılmaz.

Rıza kararının kanıtı, mevcut bir yaptırımın uygulanması ve itirazın incelenmesi ayrı amaçlardır; bunlara ait sınırlı kayıtlar aşağıdaki saklama kurallarına tabidir. Bu kayıtlar geri çekilen rızaya dayanarak keşif veya ilgi ilişkilerini sürdürmek için kullanılamaz. Hakların tesisi, kullanılması ve korunması için zorunlu kayıtlar bakımından KVKK md. 5/2-e ve GDPR md. 6/1-f; özel nitelikli veri söz konusuysa ayrıca md. 6 ve GDPR md. 9'daki uygulanabilir şartlar değerlendirilir. Rızanın geri çekilmesi, önceki rızaya dayalı işlemenin geçmişteki hukuka uygunluğunu etkilemez.

Seçtiğin ilgi ilişkileri yukarıdaki amaçla işlenir; bunlardan reklam profili veya otomatik hassas görüş çıkarımı yapılmaz. Hukuki ya da benzer önemli sonuç doğuran yalnızca otomatik karar verme yapılmaz; moderasyon kararlarını bir insan verir.

4. Kimler görür ve veri nerede işlenir

Ana PocketBase veritabanı ve canlı ses sunucusu Almanya'dadır. Giriş yapmış üyeler, hizmetin yapısı gereği görünen adını, tanıtımını, seçtiğin avatarı, varsa yüklediğin profil fotoğrafını, erişebildikleri oda bilgilerini ve o odadaki rolünü görebilir. E-posta ve parola diğer üyelere gösterilmez. Takip ilişkisini yalnız ilişkinin iki tarafı kendi takipçi veya takip edilen listesinde görür; bildirim tercihlerini ve geçici bildirim kuyruğunu diğer üyeler göremez. Özel mesajları yalnız konuşmanın iki tarafı görür; kimin kiminle yazıştığı profilde, takip listelerinde veya odalarda gösterilmez. Yetkililer konuşmalara erişemez: yalnız taraflardan biri şikâyet ettiğinde, şikâyet anında kopyalanan mesajları görür ve kopyayı her açışı ile görsel veya sesi her açışı moderasyon işlem kaydına yazılır. Hesap güvenlik olaylarını (giriş, başarısız giriş, parola işlemleri) yalnızca hesabın sahibi görür; bunlar diğer üyelere de, moderatörlere de gösterilmez. Kişisel istatistik sayfanı ve açtığın odaların özetlerini de yalnızca sen görürsün. İtiraz ve destek yazışmalarını yalnızca sen ve talebi inceleme yetkisi olan yetkililer görür; kararı veren kişi kendi kararına yapılan itirazı inceleyemez — bunun mümkün olmadığı durumda incelemenin aynı kişi tarafından yapıldığı sana açıkça bildirilir. Yetkili yönetici; üyelik, güvenlik ve moderasyon için gerekli kayıtlara erişebilir. Yetkili makamlara veri verilmesi aşağıda Resmi talepler başlığında anlatılır.

Topluluk görünürlüğü. Kişisel Topluluklarım listesi herkese açık değildir. Kategori/topluluk kişi dizinindeki görünürlüğün, sahip olsan bile, her ilişki için başlangıçta kapalıdır. Ayrı olarak açarsan, aynı kategori veya topluluğa katılan ve erişim şartlarını sağlayan kişiler profil özetini görebilir; iki yönlü engeller uygulanır. Kişi dizini e-posta veya platform kademesi göstermez. Keşfe açık topluluğun adı, açıklaması, kategorisi, kapak görseli ve üye sayısı topluluk tanıtımının parçasıdır. Kurucunun görünen adı başlangıçta gösterilmez; sahip bunu açabilir. Üye dizinini gizlemek seni üye sayısının dışında bırakmaz; topluluk sahipliği yetkililere her zaman görünür.

Topluluk sahipliği, platform moderatörlüğü veya gizli üyelerin listesini görme yetkisi vermez. Yetkililer yalnız kendilerine tanımlanan topluluk işlemlerini yapabilir; NOYGG Yönetimi ayrı ve daha geniş bir yetkidir. Bu yetkiye sahip bir yetkili, yazılı gerekçeyle gizli üyeler dahil tam üye listesini 15 dakika boyunca görebilir; sorgu, gerekçesiyle birlikte moderasyon işlem kaydına yazılır ve sahibe ya da moderatöre gösterilmez. İtirazın ve karar ayrıntıların ilgili kişiye ve bunları incelemeye yetkili görevlilere açıktır; sahiplik tek başına başkasının itirazını okuma hakkı vermez. Yetkili veri dökümüne topluluk ilişkileri ve rıza kararı da girer; gerekçe ve işlem kaydı şartları sürer.

E-posta doğrulama, parola sıfırlama ve yeni konumdan giriş güvenlik bildirimleri yapılandırılmış posta hizmeti üzerinden gönderilir. E-posta adresini değiştirme işlemini başlatırsan değişiklik onayı; tek kullanımlık parola ile giriş özelliği etkinleştirilirse istediğin giriş kodu da aynı hizmetle gönderilir. Alıcı e-posta adresi, standart SMTP teslim bilgileri, ileti türü ve giriş bildiriminde yer alan güvenlik ayrıntıları yalnız bu iletileri ulaştırmak için posta hizmeti sağlayıcısı tarafından işlenebilir. Otomatik iletilerin gönderen adresi noreply@noygg.com, yardım kanalı support@noygg.com adresidir.

Verinin kopyasını isteme. Bir kişinin verisi birden çok yerde tutulduğu için, talep hâlinde tamamı tek bir dökümde toplanır. Bu döküm yalnız yönetici tarafından alınabilir, yazılı gerekçe ister ve dökümün kendisi moderasyon işlem kaydına yazılır — yani kimin dökümünün ne zaman ve hangi gerekçeyle alındığı sonradan denetlenebilir. Döküm özel mesajlarını da kapsar. Döküm parola ya da oturum anahtarı içermez; bunlar hesabın kilididir, verin değildir.

Resmi talepler (yetkili makamlar). NOYGG Almanya'da işletilir ve verisi Almanya'dadır; savcılık, mahkeme ve kolluk gibi makamlardan gelen veri talepleri support@noygg.com adresine yazılı olarak gelir ve Alman ile Avrupa Birliği hukukuna göre değerlendirilir. Veri yalnız geçerli bir hukuki dayanak varsa ve yalnız talebin kapsadığı kişi, veri türü ve dönemle sınırlı olarak verilir; gönüllü paylaşım yapılmaz. Her talepte önce talebin gerçekliği (gönderen makam, yetkili ve imza) ile hukuki dayanağı ve gerekçesi denetlenir; doğrulanamayan talep yerine getirilmez. Teslim şifreli yapılır ve paket en çok 30 gün tutulur. Talebin kendisi, verilen karar ve teslim edilen kapsam 3 yıl saklanır; bu kayıt hesabına değil talep dosyasına bağlıdır. Hukuken mümkün olduğu ve makam gizlilik şartı koymadığı sürece sana bilgi verilir. Açık bir şikâyette ya da bir makamın koruma emrinde kanıt olan veri, hesabını silsen bile şikâyet kapanana ya da emir süresi dolana kadar — en çok 90 gün, makam kararı daha uzun bir süre öngörüyorsa o süre — mühürlü tutulur ve sonra silinir; mühürlü veri olağan işleyişte okunmaz. Bir makam kararıyla kaldırılan içeriğin sahibine uygulama içinde ve e-postayla bildirilir; içeriğin yerinde kısa bir not kalır. Bir kişinin yaşamına ya da güvenliğine yönelik somut ve acil bir tehdit öğrenirsek yetkili makama kendiliğimizden bildirim yapabiliriz; bu adım da işlem kaydına yazılır. Ses baştan kaydedilmediği için oda konuşmalarının geçmişe dönük ya da canlı teslimi mümkün değildir; verilebilecek olan bu metinde sayılan kayıtlardır.

Google Safe Browsing (şüpheli bağlantı denetimi). Bağlantının adresi Google'a gönderilmez: adresin kurallı biçiminden üretilen SHA-256 özetinin yalnız ilk 4 baytı gönderilir; Google bu önekle eşleşebilecek tam özetleri döner ve karşılaştırma bizim sunucumuzda yapılır. Sorgu sunucumuzdan gider; IP adresin, hesabın veya mesajın Google'a gitmez. NOYGG adresleri hiç sorulmaz. Yanıt en çok bir saat sunucu belleğinde tutulur. İkinci kaynak olarak kullanılan zararlı adres listesi (abuse.ch URLhaus) sunucumuza indirilir ve karşılaştırma yerelde yapılır; bu kaynağa hiçbir adres gönderilmez. Denetim kesin bir güvence değildir; yeni açılmış zararlı bir adres listelere girene kadar geçebilir.

Google Firebase Cloud Messaging. FCM otomatik başlatma ilk kurulumda kapalıdır. Yalnız güncel aydınlatma gösterildikten ve cihaz bildirim izni verildikten sonra jeton ile FID oluşturulur. İzin vermezsen uygulamanın temel işlevleri çalışır; arka plan sesi ve kapalıyken oda daveti bildirimi kısıtlanabilir.

FCM küresel Google altyapısıdır; veriler Google veya alt işleyenlerinin tesis bulundurduğu ülkelerde işlenebilir. Almanya'daki ana sunucu, FCM verisini Almanya ile sınırlamaz. Google, müşteri verisi için genel olarak veri işleyen olduğunu; kısıtlı Avrupa aktarımlarında geçerli aktarım çözümü ve gerektiğinde standart sözleşme maddeleri kullandığını belirtir. Google ayrıca hizmetin işletilmesi sırasında oluşan hizmet verisini kendi şartları kapsamında işler. Aktarım güvenceleri hakkında bilgi support@noygg.com adresinden istenebilir.

Apple Push Notification service (iPhone). iPhone'da bildirimi cihaza Apple'ın bildirim servisi (APNs) ulaştırır: FCM, bildirim metnini ve yukarıdaki teknik alanları cihazın Apple bildirim jetonuyla APNs'e iletir. Apple bu jetonu o cihazdaki uygulama için üretir; hesap kimliğin, e-postan ve ses Apple'a gönderilmez. iPhone'da bildirim izni ilk kullanımda sorulur; Ayarlar → Bildirimler bölümünden her an kapatılabilir. APNs, Apple'ın küresel altyapısında çalışır ve Apple'ın kendi gizlilik koşullarına tabidir.

Google Firebase Crashlytics (çökme raporları). 2. bölümde anlatılan çökme raporları Google'ın küresel altyapısında işlenir; Google bu veriyi veri işleyen olarak işler ve 90 gün sonra siler. Firebase Analytics kapalıdır, reklam kimliği kullanılmaz ve rapor hesabınla ilişkilendirilmez. Aktarım güvenceleri FCM ile aynıdır. Anahtarı kapattığında yeni rapor gönderilmez; daha önce gönderilmiş raporlar süreleri dolunca silinir.

5. Saklama ve hesap silme

• E-posta adresini doğrulamayan yeni hesap ve onunla ilişkilendirilmiş kayıt kanıtları 48 saat sonra otomatik silinir. Davetli modda kullanılmış bir kod yeniden kullanıma açılmaz; ancak hesap gerçek üyeye dönüşmediği için davet sahibinin harcanan hakkı geri verilir.
• Aktif oda katılım kaydı ayrılınca, oda kapanınca veya sunucu uzlaştırmasıyla silinir. Ses içeriği baştan kaydedilmez.
• Planlı oda ve hatırlatma listesi, plan iptal edildikten, sahibi gelmediği için başlamadan düştükten ya da kapıları açıldıktan 7 gün sonra silinir. Hesabını sildiğinde kurduğun planlar ve kurduğun hatırlatmalar hemen silinir.
• Münazara/Söyleşi durumu, soru havuzu ve seyirci oyları odayla yaşar: oda kapanınca silinir. Yönetenin gizlediği sorunun metni 30 gün sonra kendiliğinden silinir. Konuşmacı davetleri planla birlikte silinir. Hesabını sildiğinde soruların, +1'lerin, oyların ve davetlerin hemen silinir.
• Ekran kaydı bildirimi oda yönetiminin ekranından kayıt bitince, odadan çıkınca ya da oda kapanınca kalkar; NOYGG yönetimi için tutulan satır 90 gün sonra silinir.
• Günlük tekil istatistik kimliği ertesi günlük temizlikte silinir; kişi içermeyen günlük ve ülke bazlı toplu sayaçlar kalabilir.
• Kapanmış oda üst verisi ve davet kayıtları için sabit otomatik silme süresi yoktur; hesap açıkken hizmet, güvenlik ve inceleme amacı sürdüğü ölçüde tutulur. Aşağıda belirtilen özel saklama süreleri ve silme kuralları önceliklidir.
• Kişisel istatistik sayaçları ve oda özetleri hesabın açık olduğu sürece tutulur ve hesabını sildiğinde silinir. Oda açıkken tutulan geçici ziyaret satırı, oda kapanıp özet çıkarıldığında (en geç birkaç dakika içinde) silinir.
• Hesabını sildiğinde 90 gün süren bir iz kalır: e-posta adresinin sunucudaki gizli bir anahtarla üretilmiş tek yönlü özeti, son görünen adın, silme tarihi ve o an süren bir askı ya da kısıt varsa bitiş tarihi ile kategorisi. E-posta adresinin kendisi tutulmaz; özet bu anahtar olmadan bir adrese geri çevrilemez. Amacı tek: hesabı silip aynı e-postayla hemen yeniden üye olarak süren bir yaptırımdan kurtulmayı önlemek. Aynı e-postayla 90 gün içinde yeniden üye olursan süren askı veya kısıt yeni hesaba aynı bitiş tarihiyle taşınır ve yeni hesapta "silinen bir hesabın devamı" işareti ile silme tarihi tutulur; bu işareti yalnız yaptırım yetkisi olan yetkililer görür. İz 90 gün sonra otomatik silinir; sonrasında açılan hesapla hiçbir bağ kurulmaz.
• Oda sohbeti odayla yaşar: oda kapanınca mesajlar ve görseller silinir. Kendi sildiğin mesajın metni ve görseli hemen silinir. Sahibin ya da moderatörün sildiği, şikâyet edilmiş ve şikâyet eşiğini aşan mesajların metni ve görseli 30 gün sonra kendiliğinden silinir; şikâyet edilen görsel, şikâyet açık kaldıkça beklenir. Mesaja bağlı şikâyet kaydı şikâyet kurallarına tabidir.
• Özel mesajlar: konuşma, taraflardan biri hesabını silene ya da 12 ay boyunca hiç mesaj yazılmayana kadar tutulur. "Konuşmayı sil" ve "Benden sil" yalnız senin görünümünden kaldırır; karşı tarafta kalır. Herkesten silinen mesajın gizli metni ve dosyası 30 gün sonra silinir. Görsel ve sesli mesaj dosyaları 90 gün sonra silinir ve iki tarafta "Süresi doldu" görünür; açık bir şikâyetin kanıtıysa şikâyet kapanana kadar beklenir. Mesaj şikâyetinin kanıt kopyası şikâyet kapandıktan 30 gün sonra boşaltılır. Hesabını sildiğinde tarafı olduğun bütün konuşmalar senin için hemen silinir; karşı tarafta mesajlar, görseller ve sesler 14 gün daha kalır — bu sürede şikâyet edilebilir; böyle bir şikâyetin vakası ve kanıt kopyası doğrudan 4. bölümdeki mühür kuralına girer ve en çok 90 gün tutulur — ve sonra tamamen silinir. Bu bekleme, bir konuşmanın hesap silinerek şikâyet edilemez hâle getirilmesini önlemek içindir. Karşı taraf da hesabını silerse konuşma hemen silinir. Sesli mesaj onayı ve görüldü tercihi hesapla birlikte silinir.
• Görünen ad geçmişi 90 gün sonra kendiliğinden silinir; hesabını sildiğinde hemen silinir.
• Teknik günlükler otomatik silinir. Sunucu isteklerinin günlüğü (bağlantı IP adresi ve hesap kimliğini içerir) en çok 5 gün, web sunucusu erişim günlüğü (IP ve istenen adres) en çok 14 gün, işletim sistemi günlüğü (başarısız giriş denemelerinin kaynak adresi dahil) en çok 30 gün tutulur. Canlı ses sunucusunun günlüğü süreyle değil boyutla sınırlıdır ve yalnızca yerel ağ adreslerini içerir. Bu süreler hizmetin işletilmesi ve kötüye kullanımın tespiti için gereken en az ölçüdür.
• Çökme raporları Google Firebase Crashlytics'te 90 gün sonra silinir. Hesabınla bağlı olmadığı için hesap silme bunları etkilemez; Ayarlar'daki anahtar yeni gönderimi durdurur.
• Hesap güvenlik olaylarında ayrıca cihaz sınıfı tutulur: girişin uygulamadan mı tarayıcıdan mı geldiği ve tarayıcı ailesi (örneğin “NOYGG uygulaması (Android)” ya da “Chrome”). Bu kaba bir etikettir; tarayıcının gönderdiği ayrıntılı tanıtım dizesi ve cihaz modeli saklanmaz, işletim sistemi ve uygulama sürümü ise olayla birlikte tutulur (bkz. 2. bölüm). Amacı tek: “Hesap güvenliği” ekranında bir girişi tanıyıp tanımadığını anlayabilmen. İki harfli ülke kodu dışında konum çıkarılmaz ve tutulmaz.
• Hesap güvenlik olaylarında iki ayrı süre işler: olayın IP adresi, portu ve ülke kodu 30 gün sonra silinir; olayın kendisi (türü, zamanı, cihaz sınıfı ve sürümler) 365 gün tutulur. Kısa süre kaba kuvvet incelemesi için, uzun süre "hesabıma ne oldu" sorusunu cevaplayabilmen içindir. Hesabını sildiğinde bu kayıtların tamamı seninle birlikte silinir — bunlar senin verin ve tek okuyucusu sensin.
• Hesap yaptırımı itirazları ve destek yazışmaları (topluluk itirazları için bkz. 5.1) hesabın açık olduğu sürece tutulur ve hesabını sildiğinde tamamen silinir — bunlar senin yazışmandır. Yalnızca itirazın SONUCU (hangi karara itiraz edildi, korundu mu geri mi alındı) moderasyon işlem kaydında aşağıdaki süre boyunca kalır; o kayıt yetkililerin denetlenmesi içindir.
• Yetkili kademesi hesap kaydının bir parçasıdır; hesap silinince o da silinir. Yetki verme/alma işleminin kaydı moderasyon işlem kaydında kalır.
• Moderasyon işlem kaydı 365 gün tutulur ve süresi dolan kayıtlar otomatik silinir. Bu süre, bir karara itiraz edilebilmesi ve yetki kullanımının denetlenebilmesi için gereken en az ölçüdür.
• Hesabını silsen de moderasyon işlem kaydı kalır (yukarıdaki 365 gün boyunca): hakkında uygulanan yaptırımın türü, kategorisi, zamanı ve işlemi yapan yetkilinin kimliği. Sebebi şudur — bu kayıt yetkililerin denetlenmesi içindir ve hesap silinerek yok edilebilseydi bir yetkili kendi işlem geçmişini silebilirdi. Kimlik bağı teknik kimlik içerir; ancak özellikle topluluk işlemlerinde karar anındaki ad veya gerekçe de tutulabilir. Dolayısıyla kalan kaydın tamamen anonim olduğu söylenemez (bkz. 5.1).
• Resmi talep kayıtları (talep, karar ve teslim edilen kapsam) 3 yıl tutulur; hesabını silmen bu kaydı etkilemez, çünkü kayıt hukuki yükümlülüğümüzün kanıtıdır. Şifreli teslim paketi en çok 30 gün sonra silinir.
• Mühürlü veri: açık bir şikâyetin ya da resmi koruma emrinin kanıtı olan kayıtlar, hesabını silsen bile 4. bölümdeki süre boyunca mühürlü tutulur ve süre sonunda silinir.
• Şikâyetler için sabit otomatik son kullanma süresi yoktur. Şikâyetin iki tarafından biri hesabını sildiğinde kapanmış şikâyetin satırı, notu ve bağlamı tamamen silinir; açık bir şikâyetin kanıtı 4. bölümdeki mühür kuralına göre en çok 90 gün bekler, sonra silinir; takma adlı arşiv, vaka özeti veya sayaç tutulmaz.
• Takip ilişkisi, takipten çıkıldığında silinir. Taraflardan biri diğerini engellediğinde iki yöndeki takip de aynı işlemde kaldırılır. Hesap silinince o hesabın bütün takip ilişkileri ve bildirim tercihleri silinir.
• Takip edilen kişinin herkese açık oda etkinliği için açılan geçici dağıtım kaydı; işlendiğinde, geçersiz hâle geldiğinde veya en geç 15 dakikalık penceresi dolduğunda silinir. Özel oda etkinliği için böyle bir kayıt baştan oluşturulmaz.
• Çıkışta, işletim sistemi bildirim izni geri alındığında, hesap silindiğinde veya Google jetonu geçersiz bildirdiğinde istemci FCM'yi kapatır; kendi sunucumuzdaki bildirim jetonunun ve FID'nin silinmesini ister. Tek tek hesap bildirim tercihlerini kapatmak bu teknik tanımlayıcıları silmez. Her temizleme adımı ayrı yürütülür; geçici ağ veya platform hatası işlemi sonraki uygun denemeye kadar geciktirebilir. Google, FID silme isteğinden sonra FID'nin canlı ve yedek sistemlerden kaldırılmasının 180 güne kadar sürebileceğini belirtir.

Hesabı silme. Ayarlar → Hesabımı sil onaylandığında oturum erişimi hemen kesilir. Ana veritabanı temizliği normalde aynı işlemde tamamlanır; geçici bir hata olursa hesap kilitli kalır ve temizlik arka planda tamamlanır. Sahibi olduğun bütün odalar kapanır, rastgele bir kişiye devredilmez. Canlı ses sunucusundaki oda ve yetki temizliği ana silme kararından sonra arka planda tamamlanabilir.

Yedekler en çok 30 gün tutulur. Silinen bir veri en geç 30 gün sonra yedeklerden de çıkar. Yedekler yalnız felaket kurtarma içindir ve olağan işleyişte okunmaz. Yedeklerin güncel durumu support@noygg.com adresinden istenebilir.

5.1. Topluluklar: geri çekme ve ayrı saklama süreleri

Ayarlar → Topluluk gizlilik tercihleri → Rızamı geri çek yolunu kullanabilirsin. Başarılı geri çekmede kategori takiplerin, topluluk üyeliklerin, tarafı olduğun devirler, hesabına bağlı topluluk bildirim kuyruğu/tekrar önleme kayıtları ve topluluk bildirim tercihlerin silinir. Sahiplik bağın kaldırılır; topluluk hemen sahipsiz ve keşfe kapalı olur. Hesabın, oturumun, mevcut odaların ve ses bağlantın kapanmaz. Yeniden rıza vermek eski üyelikleri veya sahipliği geri getirmez.

• Takibi bırakmak/ayrılmak yalnız ilgili ilişkiyi kaldırır. Görünürlüğü kapatmak yalnız kişi dizininde gösterimi durdurur; üyeliği silmez.
• Son rıza kararının sürümü/zamanı ve revizyonu hesap silinene kadar tutulur; geri çekmek bu son karar kanıtını silmez.
• 30 gün sahipsiz kalan topluluğun ad/açıklaması, bağlı üyelikleri, devirleri ve geçici bildirim kayıtları temizlik kapsamına girer. Ad, kişisel olmayan sabit bir kaldırılma etiketiyle değiştirilir. Mevcut odaların değişmez bağlantısını koruyan erişime kapalı teknik kayıt kalır; odalar sırf bu nedenle silinmez veya kapatılmaz. Bu sürede yetkili kurtarma teklifi ve yeni sahibin açık kabulüyle sahiplenilirse sahipsiz içerik temizliği uygulanmaz. Eski sahibin rızası veya üyeliği geri kurulmaz.
• Sahibin ya da yetkilinin kapattığı topluluk da aynı 30 günlük temizliğe girer: süre kapatma anından başlar, bu sürede sahip (yalnız kendi kapattıysa) ya da yetkili yeniden açabilir ve yeniden açılırsa silinmemiş üyelikler geri gelir. Kapak görseli temizlikte dosyasıyla birlikte silinir; sahip kapağı kaldırdığında ya da yetkili gerekçeyle kaldırdığında dosya hemen silinir.
• Bu 30 günlük kural hesap silinmesiyle sahipsiz kalan topluluğa da uygulanır. Hesap silme, geri çekmeden farklı olarak hesabı ve kişinin hâlen sahibi olduğu odaları kapatır.
• Sahiplik teklifi 24 saat sonra kabul edilemez; bakımda temizlenir. Topluluk oda duyurusu 15 dakika, diğer topluluk güncellemesi 24 saat sonra gönderilemez. Tekrar önleme kaydı 10 dakika sürer; işlenen/geçersiz kuyruk kayıtları temizlenir.
• Topluluk üyelik engeli kaldırılınca veya hedef hesap/topluluk silinince aktif engel kaydı silinir. Aktör hesabı silinirse aktör bağı boşaltılır. Aktif engelin yaşa bağlı otomatik silme süresi yoktur.
• Topluluk itirazları başvuran hesap/topluluk silinince silinir. Sonuçlanan başvurular sonuçtan 365 gün sonra temizlenir; açık başvurular bu süre nedeniyle silinmez. Karar veren/inceleyen hesabın silinmesi ilgili kimlik bağını kaldırır.
• Moderasyon işlem kayıtları 365 gün kuralını izler. Rızayı geri çekmek veya sahipsiz topluluğun adını temizlemek, önceki kararın kanıtını, aktif engeli veya itirazı kendiliğinden silmez. Bu kayıtlar eski topluluk/üye adını ya da yazılmış gerekçeyi içerebilir; tamamı anonim değildir. Ayrı saklama, ilgi takibine devam etmek için kullanılamaz.
• Süre dolunca silme, düzenli bakım çalıştığında yapılır; yoğunluk veya arıza bunu geciktirebilir. Süresi dolmuş teklif kabul edilmez ve bildirim gönderilmez. Erişime kapalı teknik kayıt, topluluğun tamamen silinmesi değildir. Yedekler için yukarıdaki açıklama geçerlidir.

6. Hakların

KVKK md. 11 ve uygulanabildiği ölçüde GDPR md. 15-21 kapsamında verine erişme, kopya alma, düzeltme, silme, işlemeyi kısıtlama, taşınabilirlik ve itiraz haklarına sahipsin. Bir işlem rızaya dayanıyorsa rızanı ileriye etkili olarak geri çekebilirsin. Ayrıca yetkili veri koruma makamına şikâyette bulunabilirsin.

Talebini support@noygg.com adresine gönder. Kimliğini ve başkasının verisini korumak için makul doğrulama istenebilir. Hesabın için en doğrudan silme yolu: Ayarlar → Hesabımı sil.

7. Çocuklar

Hizmet 16 yaşından küçükler için değildir. Kayıtta doğum tarihi değil, 16 yaşını doldurduğuna ilişkin ayrı bir beyan alınır. 16 yaşından küçük birine ait olduğunu öğrendiğimiz hesap silinir.

8. Değişiklikler

Önemli bir değişiklikte yeni metin kullanım öncesi gösterilir ve yalnızca okuyup bilgi edindiğin beyanı alınır. Gizlilik metnini “kabul etmen” istenmez; gerekli ayrı bir rıza varsa kendi amacıyla ayrı sunulur.

9. İletişim

Veri koruma talepleri ve sorular için: support@noygg.com

Privacy Policy and Notice

Version: 4.4 — Effective: 3 November 2026

This is the privacy notice required by KVKK art. 10 and GDPR art. 13. It explains what personal data NOYGG processes and why. It is shown before your email, display name, password and, where the registration mode requires one, invite code are sent to the server.

“I have read and understood” only records that the notice was provided; it is not consent and not acceptance of the Terms of Use. Acceptance of the Terms and the declaration that you are 16 or older are collected separately.

The data controller is Mikail Agbal, the individual who operates the NOYGG service. Requests and contact: support@noygg.com

1. How audio is processed

Room audio is relayed in real time to the other participants through our own LiveKit server in Germany. Audio is processed transiently for that delivery, but it is not recorded, written to a file or available for replay. The app has no conversation recording, transcript or replay feature. Audio is not sent to Google Firebase.

A voice message you share in a private conversation is not a recording of a conversation; like a photo, it is content you share, described under Private messages below.

In the Android app, while the room screen is open, screenshots and screen recording are blocked and room audio is marked as not capturable by other apps on the same phone. In the iPhone app Apple does not allow screen recording to be blocked; instead, the recording is detected and, while it lasts, room audio is turned off and the room's content is hidden on that device. While the screen is mirrored (for example AirPlay) only room audio is turned off. When a screen recording is detected in a room (on iPhone; on Android from Android 15), it is shown to the room's host and room moderators and reported to NOYGG staff (see Screen recording notice below). These measures make recording harder but cannot prevent a second device from recording; screenshots cannot be blocked on iPhone, and the measures cannot be applied where the operating system offers no such protection. Recording or sharing without permission is prohibited by the Terms and can be reported.

2. Categories of data processed

Account and registration

• Email address, whether that address has been verified, password verification data rather than a readable plain-text password, display name, and optional bio
• Display name history: when you change your name, the old name, the new name, the time and whether you or a staff member made the change. This history is not shown to other members; only staff with authority to apply measures see recent names in the person summary. Its purpose is to stop a name change from breaking the trail of reports and moderation
• Optional avatar choice: which of the built-in illustrations you picked. The choice is a number, not an image; the illustrations ship with the app. If you pick none, your initials are shown
• Optional profile picture: a single square image file, if you choose to upload one. The photo is cropped, scaled to 512×512 pixels and re-encoded on your own device; all EXIF data, including location, is removed and the original file is never sent to the server. The server enforces the same rules and refuses a file that is too large or still carries hidden data. Uploading a picture is never required and you can remove it at any time
• When invited registration is enabled, the membership invite code and the account that invited you; when invite creation is enabled, the status of invites you create
• The short-lived, single-use verification link sent to the email address for a new account. The account remains inactive until the link is used
• Accepted Terms version and server timestamp
• Privacy notice version, language and server timestamp recording that it was read and understood
• 16+ declaration and server timestamp; no date of birth is requested

Rooms and safety

• Room title, public/private status, owner, and opening and closing times
• Scheduled room: the name, description, start time, when the doors open and, if any, the community of a room you set up for a later time. Scheduled rooms are public and appear in the “Upcoming” list on the Rooms tab. When you tap “Remind me”, your account is added to that plan's reminder list; no one else sees who is on the list, and the room owner only sees how many people are on it
• Participant, role, raised-hand and stage-invite state in an active room
• Debate and Talk rooms: the room type and settings chosen by the host (side names, number of seats, speech lengths, phases, vote and question settings), the current state of the session (which phase it is in, whose turn it is, speech timers, who sits on which side) and listeners' requests to join a side. This state is visible to the room's participants and lives with the room; it is deleted when the room closes. When you raise your hand to ask or write a question, the number of questions you have asked in that room is counted (for the per-person question limit); the counter is deleted with the room
• Question pool: in a Debate or Talk room, the text of the question you write (at most 200 characters, no links), who it is addressed to, your author name, the time, the question's status (waiting, asked, answered, discussed) and the +1 marks you give to other questions. Questions are visible to the room's participants; hosts can reorder them, merge similar ones, mark them as discussed or hide them. A question you withdraw or a host hides is not shown to others. Questions and +1s are deleted when the room closes; the text of a question hidden by a host is kept for 30 days for review and is visible only to the room's management and the staff member reviewing a report
• Audience vote: if voting is enabled in a Debate room, the vote you cast before the start and after the closing (a side or undecided) is tied to your account so that one vote per person is counted and you can change it. Who voted for what is shown to no one; everyone sees only the overall percentages. Votes are deleted when the room closes
• Speaker and guest invitation: the people invited as speakers to a scheduled Debate or as guests to a scheduled Talk, which side they are invited to, the invitation's status (pending, accepted, declined, withdrawn) and the time of the answer. You can pick the person among those you follow or search members by name; someone who blocked you or whom you blocked does not appear in the search and cannot be invited. When an invitee accepts, they are added to the plan's reminder list. Invitations are deleted with the plan, at the end of the plan's 7-day retention
• Private-room invites, blocks, removals and room bans
• Follow relationships: the accounts you follow and the accounts that follow you. These lists are not a public discovery directory; only the parties to the relationship see them in their own Followers and Following screens. When you open someone's card in a room, you see which of the people you follow also follow them (“followed by people you follow”); this row does not open that person's list and only shows you people you already follow. In other words, someone who follows you may see your name on the card of another person you follow
• Search by name: members can find you by searching your display name. A search result shows your name, the first line of your bio if you have one and, to someone who follows you, whether you are in a public room. Someone who blocked you or whom you blocked still sees you in search but cannot follow you. Searches are not recorded
• Web player (the host's own site): a host may let people listen to their public room, without an account, through the NOYGG card on the host's own website; private rooms and members-only community rooms never open to the web. Everyone in the room sees the "listened on the web" mark; anyone going on stage is warned first, and their voice and display name may be heard outside NOYGG. A web listener has no account, is not listed, cannot speak or write. No personal data is stored about them: the IP address stays only in the audio and web server logs for the periods in this document. The host's own website processes its own data, independently of NOYGG. Audio is not recorded. For the card, a permanent key, the host's default for new rooms and, if the host chooses, the domain names the card may run on are stored; with no domain listed the card works on any site. When the host turns the web off or the room ends, listening stops at once
• The private room's share-link key (deleted when the owner cancels or renews it; it stops working when the room closes and is deleted together with the room record; joining through the link is stored as an invite record)
• Room chat messages: the text you write in a room (up to 200 characters), your author name and the time; if you replied, the quoted message's name and a short excerpt; reactions to the message (one emoji per person). The author of a message sees your name with the reaction you gave it; other participants only see the count. Chat is visible to the room's participants and messages are deleted when the room closes. The account id and display name of people you tag in a message (up to three, who are in the room at that moment) are stored with the message; the host tagging the whole room is a single flag and no list of people is written. Tags do not send phone notifications. The text of a message you delete yourself is not kept. The text of a message deleted by the host or a moderator, one that has been reported, or one that crossed the report threshold, is kept for 30 days for review; deleting a reported message does not remove that copy. Only the host, moderators and the staff member reviewing the report see it. The host's chat settings (who can write, slow mode, pinned message) and chat mutes are part of the room record; a mute stays in place if you leave and rejoin
• Images in room chat: the single JPG or PNG file you send or paste is resized to at most 2048 pixels on your device, all metadata including location is removed and it is re-encoded; the original file is never sent to the server. The server checks the size and hidden data as well. The image's dimensions are stored with the message. The image is protected: only the room's participants can open it, with a short-lived access key; a deleted image is closed to participants and, where it is kept, only the host, moderators and the staff member reviewing a report see it. Retention is the same as for message text (section 5); the file of a reported image is not deleted while the report is open
• Automatic image check: an image you send in room chat or a private message is scored for the likelihood of sexual content by software running on our own server before it is saved; the image is not sent to a third party and the software does not keep it. If the score is high, the image is shown blurred and anyone can tap to open it. In room chat the host and moderators see it and decide; in a private message it is blurred only for the recipient, and NOYGG staff see it only if the recipient reports it. The score is stored with the message and deleted with it. The check never deletes an image or takes action on your account by itself; the software can be wrong
• Automatic text check: a message you write in room chat is compared against a list of profane and abusive words on our own server before it is saved; matching words are starred and the message is flagged to the host and moderators. The text is not sent to a third party and the original is not kept. The check never deletes a message or takes action on your account by itself; the software can be wrong, and the room's hosts decide.
• Suspicious link check: when you send a link in room chat, a private message, or a room name or description, the address is compared against lists of malicious addresses. The page is not opened or downloaded. A message containing a listed link is not sent and is not stored separately. Section 4 explains how the comparison works and what reaches Google
• Parties to a report, room, reason, optional note, review status and action
• Measure type (suspension or partial restriction), its duration, category and administrator reason
• Screen recording notice: if your device's screen is recorded while you are in a room, the room's host and room moderators see your name as “recording the screen” for as long as the recording lasts (the person recording does not see their own notice; speakers and listeners do not see it). For NOYGG staff we keep: which room (room name), when the recording started and ended, the device type (iPhone or Android) and whether you are the room's host. The recording itself, the content of your screen and information about other apps on your device are not collected. Screen mirroring is not reported
• Moderation action log: actions taken by staff are recorded — applying and lifting a measure, opening the evidence of a private-message report and removing content, opening a reported room chat image, changing someone's role, changing a tier definition, changing a platform setting, changing an invite quota, a staff member closing a room, a justified room lookup, taking a person export, community decisions (restriction, suspension, closure, reopening, cover removal, member removal and bans) and a justified full member list lookup that includes hidden members. Community owners' and moderators' governance actions (closing, appointing and removing moderators, uploading and removing the cover, removing and banning members) are written to the same log. Each entry holds the identity and role of the staff member who acted, the target, the type, category, duration and time of the action. This log covers everyone, administrators included, and cannot be altered afterwards; where a correction is needed the original entry is not deleted, a new entry is written beside it. Its purpose is to make decisions auditable and to detect misuse of authority.

Private messages

• The two parties of a conversation, who started it, when it was created and its latest message time; for each party the latest read time, the mute preference, and whether the conversation or single messages were deleted from their own view only
• Message: the text you write (up to 1000 characters) and its time; if you replied, the quoted message's author name, a short excerpt and its type; reactions to the message (one emoji per person)
• Photo: the single JPG or PNG file you pick is scaled to at most 2048 pixels on your own device, all metadata including location is removed and it is re-encoded; the original file is never sent to the server. The server checks size and hidden data as well. The image dimensions are stored with the message
• Voice message: the audio file of up to 1 minute (16 kHz, mono) that you share, its duration, and loudness bars computed on your device (the waveform drawn in the bubble). The audio is recorded on your device; the microphone opens only when you tap record and closes when you send or discard it. A recording you do not send goes nowhere. No voiceprint is derived from your voice and it is not transcribed
• The time you agreed to voice messages (asked once, before your first voice message)
• Your preference to hide "Seen"
• Photo and audio files are protected: only the two parties of the conversation can open them, with a short-lived access key
• A message you delete for everyone disappears from the other person immediately; its text and file are kept hidden for 30 days, and staff see them only if the other person reports that conversation. The purpose is to stop harassment from being deleted to leave no evidence
• Reporting a message: when you report, the messages you select (up to 10) and up to 5 messages before each are copied at that moment; the hidden text of a message deleted for everyone is included in this copy. The photo and audio files of reported messages are not deleted while the report is open. Staff cannot access the conversation itself; they see only this copy

Staff access to rooms

• When staff access a private room, we record: the staff member's identity and level, the room, the reason category and the written reason, when the grant and actual entry started, when the limited hidden period ended and the staff member became visible, the moment calculated for the in-room notice to appear and the moment it actually appeared, and whether the room owner was notified
• This record covers everyone including administrators and cannot be altered afterwards
• Only after actually joining a private room, the staff member may be hidden from other participants for an initial period set by administrators and limited to 15 minutes. If still in the room when it ends, the staff member becomes visible. The notice delay starts from that visibility time
• If the staff member leaves before the notice appears, a “staff is in this room” notice is not shown afterwards. After a real entry, the room owner receives one past-tense notification that staff were present; a grant that was never used sends no notification. The notification contains no room title
• What is said in the room is not recorded. Access does not mean audio is captured or stored; the staff member joins like any other participant and audio is only relayed live

Authorisation and requests

• If your account has been given a staff level (for example moderator), that is stored on the account record. Your level is visible only to you and to the administrator who grants roles; it is not shown to other members
• Granting or removing a role is written to the moderation action log together with who did it
• Appeals and support requests: the type (appeal/support), subject, the messages you write and the staff replies; for an appeal, which measure it concerns and its outcome (upheld / reversed)
• The identity of the staff member reviewing your appeal is not shown to you; you only see that it was staff
• The outcome of an appeal is also written to the moderation action log, separately from the conversation
• Infringement notices (Terms of Use 8.1): the name, email address and content of a notice sent by email. The purpose is to review the notice and act against unlawful content; the legal basis is our legal obligation as a hosting provider and our legitimate interest. The person whose content is removed is told why; the notifier's email address is not shared. Notices and correspondence are kept for 3 years after the case is closed, then deleted

Account security events

• The following events on your own account are recorded: registration, sign-in, failed sign-in attempt, session refresh (your session being renewed when the app opens; written at most once per hour per IP and device), password change, password reset and sign-out of all devices
• Each event stores its time, the IP address the request came from and the connection port. The port is needed because mobile carriers share one IP address among many people at the same time; an IP record without the port does not identify a single connection
• The IP address is converted to a two-letter country code with the local country database on our server and kept with the event; no city or coordinates are derived, and the IP is not sent to any other service for this. If you use a VPN, the code is the country of the VPN exit. You can see the code yourself on the Account security screen
• The event also records the device's operating system version and app version; the device model and hardware identifiers are not stored
• In the app only you can see these records (Settings → Account security) and they are shown masked: the last part of the address is removed and the full address is never sent to the app. Moderators cannot see them. Two situations are exceptions and both are recorded: you asking for a copy of your own data, and a valid official request as described in section 4
• A sign-in attempt using an email address that does not exist is not recorded, so these records cannot be used to test whether an address is registered
• Their purpose is to let you see whether anyone else has accessed your account, and to let us detect brute-force attempts

Technical records and statistics

• Connection IP address, request time, path and status, and where needed account or room identifiers in error and security logs
• Daily totals: rooms opened, room joins, room invites sent, new members, membership invite codes issued, total time spent in rooms and reports opened. These numbers carry no identity
• To count daily unique users an identifier is kept for that day only and deleted overnight; after that only the aggregate remains
• When a new room join occurs, the connection IP address is resolved only to a two-letter country code using a country database on our own server. The statistics table receives only day + country code + join count; it does not receive the IP address, account or room id, city, coordinates or precise location. Country groups below 5 are not shown separately in the statistics view and are merged into “Other”. VPNs and mobile gateways can make the country estimate inaccurate. Resolution is local and the IP is not sent to another service for this purpose. For rooms you host, the code is written to a temporary visit row tied to the room; once the room closes only a per-country listener count remains (see Personal statistics below)

Personal statistics (visible only to you)

• For rooms you host, an identity-free summary per room: length, number of distinct listeners, most people at once, how many took the stage, reaction count, a per-minute "connected at the same time" count and a per-country listener count. The summary contains no participant names or accounts; the country breakdown is shown only when at least three different countries are present and only as totals
• For your own account, monthly counters: rooms you hosted and joined, time spent connected as a listener, time spent connected in a publishing role (on stage) and how many times you took the stage. The server does not know when your microphone was on; "on stage" is role time, not a speech record
• These numbers are derived from a temporary visit row tied to the room while it is open; when the room closes and the summary is produced, the visit row is deleted. There is no ranking, no comparison with others and no transfer to third parties; nobody but you can see this page, moderators included

Problem reports (only when you send one)

If you run into a connection or audio problem, or the app closes unexpectedly, you can send a technical snapshot using Report a problem. This is not collected passively: it is sent only when you press the button, and only after you have seen every line that will be sent on screen.

• Your device's manufacturer, model and operating system version (Android or iOS)
• A list of recent technical events: event codes and their times only (for example "reconnecting", "microphone permission denied"), and the id of the room you were in; if the app closed unexpectedly, the kind of exit (for example "crashed", "closed by the system while in a room") and its time; if the app crashed, where in the app's code it crashed (library name and code address — nothing about you)
• The description you write (optional)

The list is kept temporarily on your device, is erased when you close the app, and is cleared after you send a report. The one exception is an unexpected exit: the device remembers only the kind of exit, its time and, after a crash, where in the code it happened, and adds it to the list the next time the app opens. If crash reports are on, that exit is also reported to us without identity, as described below; if they are off, it is sent only if you send a report. Audio recordings, what was said, your IP address, your location and your contacts are not sent. The report opens as a support request; only administrators can see the technical snapshot — moderators cannot. A report about an unexpected exit is itself visible only to administrators.

Crash reports (automatic; can be turned off in Settings)

If the app crashes, or freezes and is closed by the operating system, a technical crash report is sent to Google Firebase Crashlytics the next time the app starts. This is separate from Report a problem and needs nothing from you; you can turn it off at any time with Settings → Privacy & security → Crash reports, and turning it off restricts nothing. The web version does not have this feature. A report contains:

• Where in the app's code the crash happened (stack trace) and the kind of crash
• Device model, operating system version, app version; free memory and storage at the time of the crash, screen orientation, whether the app was in the foreground
• The most recent technical event codes before the crash (the same codes as in Report a problem; without room id or description)
• A random Crashlytics identifier that Google assigns to this installation, and timestamps
• A random diagnostic code specific to your installation (shown in Settings). The code is not tied to your account, your name or your device's identity; we can find a report only if you give us the code when you write to support

Unexpected-exit record (same switch). If the app closed unexpectedly, the next time it starts, the kind of exit (for example crash, low memory, freeze) and its time, whether you were in a room, device model, operating system and app version, where in the code it happened after a crash, and the most recent technical event codes before the exit are sent to our own server as a record without identity, together with the diagnostic code above. The record is not linked to your account, does not go to Google, is visible only to administrators and is deleted after 90 days. If you turn the switch off, this record is not sent either.

Your account id, name, e-mail, audio, messages and location are not sent; the report is not linked to your NOYGG account, on our side either. The purpose is to keep the app stable. Google processes this data as a processor and deletes it after 90 days (see section 4).

Optional notification data

• On our server, the FCM registration token, device platform (Android or iPhone) and app language
• At Google, a Firebase Installation ID (FID)
• Four account-bound notification preferences: a direct room invitation, a person you follow starting a public room, a speaker invitation, and a person you follow joining a public room. Only direct room invitations are enabled initially; the other three are off, and you can change each one later. There is no new-follower notification
• For public-room activity by a person you follow, our server's short-lived delivery queue holds that person's account id, the room id, the active participant record and technical delivery state. Private rooms never enter this queue
• Google receives the notification text and the technical fields needed to open the right screen (type, roomId, threadId, scheduledId and tag). For public-room activity by a person you follow, the text contains that person's display name and the room title; both are public information. For direct room invitations and speaker invitations, the text contains the display name of the person who sent the invitation; the room title is not included. If you tapped “Remind me” on a scheduled room, you get a notification 15 minutes before it starts, when its time changes and when it is called off before starting; the text contains the room's name and, 15 minutes before, the owner's display name. The owner's 15-minute notification contains the room's name and how many people asked for a reminder; this is information already shown in the Upcoming list. When the start time comes and the owner is not in the waiting room while people are waiting, the one-time notification to the owner contains the room's name and how many people are waiting. For an invitation to a scheduled Debate or Talk, the text contains the inviter's display name, the plan's name and whether you are invited as a speaker or a guest; when the invitee accepts or declines, the notification to the inviter contains the invitee's display name and the plan's name; when the doors open, the notification to an invitee who accepted contains the plan's name. Room and plan names in notifications never include a link; if the name is only a link, it is written with the owner's display name, as in the app (“Bahar's room”). For a private message, the text is "New message" and the sender's display name; the message content, photo or audio is not sent. A conversation you muted sends no notification. Account ids, email and audio are not sent. Moderation notifications keep generic text. You can hide notification content on the lock screen in your device's notification settings
• A direct room invitation is valid for at most one hour, a speaker invitation for 60 seconds, and followed public-room activity for at most 15 minutes

We do not collect city or precise location, contacts, an advertising identifier, analytics events for advertising or behavioural profiling, or tracking cookies. The country code described above is used for the aggregate join counter and for the personal statistics visible only to you; it is not linked to a person profile and is not used for any other purpose. Firebase Analytics is disabled. Your photo gallery is never scanned or read: only the single file you pick is processed, and it is sent with its location data stripped. An image on your clipboard is only read when you paste it, and it is shown to you before it is sent.

Optional categories and communities

• Categories you follow, community memberships, ownership, relationship timestamps, visibility for each relationship and per-community muting are linked to your account. Following a category, joining a community and following a person are separate actions; none automatically creates another.
• A community you create has a name, description, rules, category, an optional cover image, a preference for showing the founder's name, and ownership information; moderator appointments; ownership offers with their parties, expiry and outcome; and, if closed, the time of closure and whether the owner or staff closed it. The cover image is a public file; images carrying embedded location or device metadata are rejected at upload.
• These choices, especially alongside free-text community names and descriptions, may reveal sensitive information such as political opinions or beliefs. Membership alone is not proof of a particular view.
• The separate consent record contains the account, purpose version, last acceptance and any withdrawal server timestamps, and record revision. It contains no IP address or location and is not a complete history of every previous consent decision.
• Community restrictions, membership bans and appeals hold grounds, times, parties, submissions/responses and outcomes. Decision evidence may include the community name and, for some actions, the member's display name at the time. Ordinary category follows and joins are not copied into the audit log.
• Community room announcements and community updates add two separate notification preferences to the existing four; both start off. Per-community muting and device permission apply separately. Our temporary delivery queue holds community, room/event, related account and technical delivery details. Google FCM receives the notification text and technical routing fields. A community room announcement contains the community name and the room title; both are public information. Community update notifications keep generic text; member lists, email, decision/appeal reasons and audio are not sent.

3. Purposes and legal bases

• Account, email verification, any applicable invite, person-to-person follow relationships, basic notification preferences, rooms, scheduled rooms and their reminder lists, transient audio processing, and private messages (text, photos and voice messages) are necessary to set up and provide the service you request (KVKK art. 5(2)(c); GDPR art. 6(1)(b)). Voice messages additionally require your agreement before first use; it records that the recording starts at your request.
• Blocks, reports (including the evidence copy of a private-message report), the 30-day hidden copy of a private message deleted for everyone, display name history, the suspicious link check, the automatic image and text checks, the screen recording notice, bans, suspensions and security logs protect the community, prevent abuse and meet legal duties (KVKK art. 5(2)(ç) and 5(2)(f); GDPR art. 6(1)(c) and 6(1)(f)). Legitimate interests are applied proportionately and balanced against users' rights and safety expectations.
• Legal-document versions and the age declaration are kept to prove account eligibility and the contractual record (contract performance and legal obligations).
• Assessing, recording and fulfilling official requests, and sealed retention, are processed under our legal obligations (KVKK art. 5(2)(ç); GDPR art. 6(1)(c); for sealing, GDPR art. 17(3)(e)). An emergency notification is made to protect people's vital interests (KVKK art. 5(2)(b); GDPR art. 6(1)(d)).
• Non-identifying usage and country totals are processed under legitimate interests to understand when and from which countries the service is used and to plan capacity (KVKK art. 5(2)(f); GDPR art. 6(1)(f)). No city or person profile is created, and small country groups are merged in the management view.
• Personal statistics (counts and durations of rooms you hosted and joined, country totals of listeners in your rooms) are processed as a service feature offered only to you, under performance of the contract (KVKK art. 5(2)(c); GDPR art. 6(1)(b)). They are not shown to others and there is no ranking.
• Crash reports are processed under legitimate interest to keep the app stable and find faults (KVKK art. 5/2-f; GDPR art. 6/1-f). They can be turned off in Settings; turning them off restricts nothing. They are not linked to your account.
• FCM is enabled only after you grant the device notification permission. The data is processed to provide that optional feature. Revoking permission in the operating-system settings blocks delivery; when the app next checks the permission, it disables FCM and requests cleanup of the technical identifiers. A temporary network or platform error may delay that cleanup.
• The four in-account notification preferences are separate from the device permission. Turning off one category stops that type of message; the FCM token may remain registered so that other enabled categories can work.

An email, display name, password, email verification, separate acceptance of the Terms and the 16+ declaration are required to create an account. An invite code is required only in invited-registration mode and is not requested in open-registration mode. A bio, speaking in a room and FCM notifications are optional. If required data is not provided, the account or relevant feature cannot be provided.

Separate explicit consent for community processing. Linking your category follows, community memberships and ownership to your account to provide discovery, My communities and community management, including sensitive interests those choices may reveal, is an optional, separately explained purpose. We ask for explicit consent; accepting the general Terms or reading this notice is not consent (GDPR art. 6(1)(a), and art. 9 for special-category data; the explicit-consent conditions in KVKK arts. 5 and 6).

Declining or withdrawing consent does not prevent normal account use or independent room use; only the optional functions that create or maintain these relationships become unavailable. Visibility and notification choices are separate from consent. Having an existing account is not community consent.

Evidence of the consent decision, enforcing an existing measure and reviewing an appeal serve separate purposes, with limited records subject to the retention rules below. Those records cannot be used to continue discovery or interest relationships based on withdrawn consent. Where records are necessary to establish, exercise or defend rights, KVKK art. 5(2)(e) and GDPR art. 6(1)(f) are considered; special-category data additionally requires an applicable condition under KVKK art. 6 and GDPR art. 9. Withdrawal does not affect the lawfulness of processing based on consent before withdrawal.

Your chosen interest relationships are processed for the purpose above, not to create advertising profiles or automatically infer sensitive views. There is no solely automated decision-making with legal or similarly significant effects; a human makes moderation decisions.

4. Who sees data and where it is processed

The primary PocketBase database and live-audio server are in Germany. Authenticated members can see your display name, bio, the avatar you chose, your profile picture if you uploaded one, rooms they are allowed to access and your role in those rooms as needed for the service. Your email and password are not shown to other members. A follow relationship is visible only to its two parties in their own follower or following list; other members cannot see your notification preferences or the temporary delivery queue. Private messages are visible only to the two parties of the conversation; who writes to whom is not shown on profiles, follow lists or in rooms. Staff cannot access conversations: only when one of the parties reports do they see the messages copied at that moment, and each opening of the copy and of a photo or voice message is written to the moderation audit log. Account security events (sign-ins, failed sign-ins, password activity) are visible to the account holder only — not to other members and not to moderators. Your personal statistics page and the summaries of rooms you hosted are likewise visible only to you. Appeal and support conversations are visible to you and to staff authorised to review them; whoever made a decision cannot review the appeal against it — where that is not possible, you are told plainly that the review was carried out by the same person. An authorised administrator can access records needed for membership, security and moderation. Disclosure to competent authorities is described under Official requests below.

Community visibility. Your personal My communities list is not public. Visibility in each category/community people directory starts off, including for owners. If you enable it separately, people who have joined the same category or community and meet the access conditions can see your profile summary; blocks in both directions apply. The directory does not show email addresses or platform tiers. A discoverable community's name, description, category, cover image and member count are part of its presentation. The founder's display name is hidden by default; the owner can choose to show it. Hiding your directory membership does not exclude you from the member count, and community ownership is always visible to staff.

Community ownership does not grant platform moderation powers or access to hidden membership lists. Staff may perform only the community actions assigned to them; NOYGG Management is a separate, broader permission. A staff member holding that permission may view the full member list, hidden members included, for 15 minutes with a written reason; the lookup is written to the moderation audit log together with its reason and is never shown to the owner or moderators. Appeal and decision details are available to the affected person and authorised reviewers; ownership alone does not allow reading somebody else's appeal. Authorised data exports include community relationships and the consent decision, with the existing reason and audit requirements.

Email-verification, password-reset and new-location sign-in security notices are sent through the configured mail service. If you start an email-address change, its confirmation message is sent through the same service; if one-time-password sign-in is enabled, so is the sign-in code you request. The recipient address, standard SMTP delivery information, message type and the security details included in a sign-in notice may be processed by the mail-service provider solely to deliver those messages. The sender for automated messages is noreply@noygg.com and the support channel is support@noygg.com.

Requesting a copy of your data. Because a person's data is held in more than one place, on request all of it is gathered into a single export. Only an administrator can produce that export, it requires a written reason, and the export itself is written to the moderation audit log — so whose data was exported, when, and on what grounds can be audited afterwards. The export also covers your private messages. The export never contains passwords or session keys; those are the lock on your account, not your data.

Official requests (competent authorities). NOYGG is operated in Germany and its data is held in Germany; data requests from prosecutors, courts, police and similar authorities arrive in writing at support@noygg.com and are assessed under German and European Union law. Data is provided only where there is a valid legal basis, and only for the person, data type and period the request covers; nothing is shared voluntarily. For every request we first check that the request is genuine (issuing authority, official and signature) and that it states its legal basis and reasons; a request that cannot be verified is not fulfilled. Delivery is encrypted and the package is kept for at most 30 days. The request itself, our decision and the scope delivered are kept for 3 years; that record is tied to the request file, not to your account. Where the law allows and the authority has not imposed confidentiality, you are informed. Data that is evidence in an open report or subject to an authority's preservation order is kept sealed even if you delete your account, until the report closes or the order expires — at most 90 days, or longer where an official decision requires it — and is then deleted; sealed data is not read in normal operation. If content is removed by an official decision, its owner is told in the app and by email, and a short note remains in its place. If we learn of a concrete and imminent threat to someone's life or safety, we may notify the competent authority on our own initiative; that step is also written to the audit log. Because audio is never recorded, room conversations cannot be handed over retrospectively or live; what can be provided is limited to the records listed in this notice.

Google Safe Browsing (suspicious link check). The link's address is not sent to Google: only the first 4 bytes of the SHA-256 hash of the address's canonical form are sent; Google returns the full hashes that may match that prefix and the comparison is made on our server. The query comes from our server; your IP address, account or message does not reach Google. NOYGG addresses are never queried. The answer is kept in server memory for at most one hour. The malicious address list used as a second source (abuse.ch URLhaus) is downloaded to our server and compared locally; no address is sent to that source. The check is not a guarantee; a newly created malicious address can pass until it reaches the lists.

Google Firebase Cloud Messaging. FCM automatic initialisation is off on a fresh install. A token and FID are created only after the current notice has been shown and the device notification permission is granted. If you decline, the app's core functions still work; background audio and room invite notifications while the app is closed may be limited.

FCM uses Google's global infrastructure, and data may be processed in any country where Google or its subprocessors maintain facilities. Hosting the primary server in Germany does not confine FCM data to Germany. Google states that it generally acts as processor for customer data and uses a valid data transfer solution and, where needed, Standard Contractual Clauses for restricted European transfers. Google separately processes service data under its own terms. Information about transfer safeguards can be requested at support@noygg.com.

Apple Push Notification service (iPhone). On iPhone, Apple's notification service (APNs) delivers the notification to the device: FCM passes the notification text and the technical fields above to APNs together with the device's Apple notification token. Apple creates this token for the app on that device; your account id, email and audio are not sent to Apple. On iPhone the notification permission is asked on first use and can be turned off at any time in Settings → Notifications. APNs runs on Apple's global infrastructure and is subject to Apple's own privacy terms.

Google Firebase Crashlytics (crash reports). The crash reports described in section 2 are processed on Google's global infrastructure; Google processes this data as a processor and deletes it after 90 days. Firebase Analytics is off, no advertising identifier is used and the report is not linked to your account. Transfer safeguards are the same as for FCM. When you turn the switch off, no new report is sent; reports already sent are deleted when their retention ends.

5. Retention and account deletion

• A new account that does not verify its email address, together with its associated registration evidence, is deleted automatically after 48 hours. In invited-registration mode, a consumed code is not made reusable; because the account never became a member, the inviter's spent allowance is returned.
• An active room-participation record is removed when you leave, the room closes or server reconciliation completes. Audio content is never recorded.
• A scheduled room and its reminder list are deleted 7 days after the plan is cancelled, is called off because its owner did not come, or opens its doors. When you delete your account, the plans you set up and the reminders you set are deleted immediately.
• Debate/Talk state, the question pool and audience votes live with the room: they are deleted when the room closes. The text of a question hidden by a host is deleted automatically after 30 days. Speaker invitations are deleted with the plan. When you delete your account, your questions, +1s, votes and invitations are deleted immediately.
• The screen recording notice disappears from the room's management view when the recording stops, you leave or the room closes; the row kept for NOYGG staff is deleted after 90 days.
• The identifier used for the daily unique-user count is cleared by the next daily purge; non-personal daily and country aggregate counts may remain.
• There is no fixed automated expiry for closed-room metadata and invitations; while an account is active, they are kept only for as long as the service, security and review purpose continues. Specific retention periods and deletion rules below take precedence.
• Personal statistics counters and room summaries are kept while your account is active and deleted when you delete your account. The temporary visit row kept while a room is open is deleted once the room closes and its summary is produced (within a few minutes at most).
• When you delete your account, a trace remains for 90 days: a one-way digest of your email address produced with a secret key held on the server, your last display name, the deletion date and, if a suspension or restriction was in force at that moment, its end date and category. The email address itself is not kept, and the digest cannot be turned back into an address without that key. Its only purpose is to stop someone from escaping an ongoing sanction by deleting the account and immediately re-registering with the same email. If you register again with the same email within 90 days, an ongoing suspension or restriction is carried over to the new account with the same end date, and the new account keeps a "continues a deleted account" mark with the deletion date; only staff with sanction permission see that mark. The trace is deleted automatically after 90 days; an account created after that is not linked in any way.
• Room chat lives with the room: messages and images are deleted when the room closes. The text and image of a message you delete yourself are deleted immediately. The text and image of messages deleted by the host or a moderator, reported, or past the report threshold are deleted automatically after 30 days; a reported image waits while the report is open. A report tied to a message follows the report rules.
• Private messages: a conversation is kept until one of the parties deletes their account or no message has been written for 12 months. "Delete conversation" and "Delete for me" remove it from your view only; it remains for the other person. The hidden text and file of a message deleted for everyone are deleted after 30 days. Photo and voice message files are deleted after 90 days and both sides see "Expired"; if they are evidence in an open report, deletion waits until the report closes. The evidence copy of a message report is emptied 30 days after the report closes. When you delete your account, every conversation you are part of is deleted for you immediately; for the other person its messages, photos and voice messages remain for 14 more days — during which they can be reported; the case and evidence copy of such a report go straight under the sealing rule in section 4 and are kept for at most 90 days — and are then deleted completely. That wait exists so that a conversation cannot be made unreportable by deleting the account. If the other person also deletes their account, the conversation is deleted at once. Your voice message agreement and Seen preference are deleted with the account.
• Display name history is deleted automatically after 90 days, and immediately when you delete your account.
• Technical logs are deleted automatically. The server request log (which contains the connection IP address and the account identifier) is kept for at most 5 days, the web server access log (IP and requested path) for at most 14 days, and the operating system log (including source addresses of failed sign-in attempts) for at most 30 days. The live-audio server's log is capped by size rather than time and contains only local network addresses. These periods are the minimum needed to operate the service and detect abuse.
• Crash reports are deleted from Google Firebase Crashlytics after 90 days. They are not linked to your account, so account deletion does not affect them; the switch in Settings stops new reports.
• Account security events also record a device class: whether the sign-in came from the app or a browser, and the browser family (for example "NOYGG app (Android)" or "Chrome"). This is a coarse label; the detailed identification string the browser sends and the device model are not stored, while the operating system and app version are kept with the event (see section 2). Its only purpose is to let you recognise a sign-in on the "Account security" screen. Apart from the two-letter country code, no location is inferred or kept.
• Account security events run on two clocks: the IP address, port and country code of an event are deleted after 30 days, while the event itself (its type, time, device class and versions) is kept for 365 days. The short period serves brute-force investigation, the long one lets you answer "what happened to my account". Deleting your account deletes all of these records with it — they are your data and you are their only reader.
• Account-sanction appeals and support conversations (see 5.1 for community appeals) are kept while your account exists and are deleted completely when you delete your account — they are your correspondence. Only the OUTCOME of an appeal (which decision it concerned, upheld or reversed) remains in the moderation action log for the period below; that log exists to hold staff accountable.
• Your staff level is part of the account record and is deleted with the account. The record of granting or removing a role remains in the moderation action log.
• The moderation action log is kept for 365 days and expired entries are deleted automatically. This period is the minimum needed for a decision to be appealed and for the use of authority to be audited.
• The moderation action log survives account deletion (for the 365 days above): the type, category and time of the measure applied to you and the identity of the staff member who acted. The reason is that this log exists to hold staff accountable, and if deleting an account erased it a staff member could erase their own history. The identity link includes a technical identifier, but particularly for community actions the name or reason at the time may also be retained. The remaining record therefore cannot be described as entirely anonymous (see 5.1).
• Official request records (the request, the decision and the scope delivered) are kept for 3 years; deleting your account does not affect them, because they prove our compliance with a legal obligation. The encrypted delivery package is deleted after at most 30 days.
• Sealed data: records that are evidence in an open report or subject to an official preservation order are kept sealed for the period in section 4 even if you delete your account, and deleted when it ends.
• Reports have no fixed automatic expiry. If either person involved deletes their account, the row, note and context of a closed report are erased completely; the evidence of an open report waits under the sealing rule in section 4 for at most 90 days and is then deleted; no pseudonymous archive, case summary or counter is retained.
• A follow relationship is deleted when either person unfollows. If either person blocks the other, follows in both directions are removed in the same operation. Deleting an account deletes all its follow relationships and notification preferences.
• A temporary delivery record for followed public-room activity is deleted when processed, when it becomes ineligible, or no later than the end of its 15-minute window. No such record is created for private-room activity.
• When you sign out, revoke the operating-system notification permission, delete the account, or Google marks the token invalid, the client disables FCM and requests deletion of both the registration token on our server and the FID. Turning individual account notification preferences off does not delete those technical identifiers. Each cleanup step runs independently; a temporary network or platform error may delay it until the next suitable attempt. Google states that after an FID deletion request, removal from its live and backup systems may take up to 180 days.

Deleting the account. Once you confirm Settings → Delete my account, access to the account ends immediately. Primary database cleanup normally finishes in the same operation; if a temporary error occurs, the account stays locked and the cleanup completes in the background. Every room you own closes and is not transferred to a random participant. Room and permission cleanup on the live-audio server may finish in the background after the primary deletion decision.

Backups are kept for at most 30 days. Deleted data leaves the backups no later than 30 days afterwards. Backups exist only for disaster recovery and are not read in normal operation. You may ask about the current state of backups at support@noygg.com.

5.1. Communities: withdrawal and separate retention periods

Use Settings → Community privacy preferences → Withdraw my consent. A successful withdrawal deletes your category follows, community memberships, transfers involving you, account-linked community delivery/cooldown records and community notification preferences. Your ownership link is removed; the community immediately becomes ownerless and undiscoverable. Your account, session, existing rooms and audio connection stay open. Consenting again does not restore old memberships or ownership.

• Unfollowing/leaving removes only that relationship. Hiding your membership only stops its directory display and does not delete the membership.
• The last consent decision's version/timestamps and revision remain until account deletion; withdrawal does not erase that last decision evidence.
• Once a community has been ownerless for 30 days, its name/description, memberships, transfers and temporary notification records become eligible for cleanup. Its name is replaced with a fixed, non-personal removal label. An inaccessible technical record remains to preserve existing rooms' immutable links; those rooms are not deleted or closed solely by this cleanup. If an authorised recovery offer and the new owner's explicit acceptance restore ownership during that period, ownerless-content cleanup does not apply. The previous owner's consent or membership is not restored.
• A community closed by its owner or by staff enters the same 30-day cleanup: the period starts at closure, the owner (only if they closed it themselves) or staff can reopen it during that time, and reopening restores memberships that have not been deleted. The cover image is deleted with its file during cleanup; when the owner removes the cover or staff remove it with a reason, the file is deleted immediately.
• The same 30-day rule applies to communities left ownerless by account deletion. Unlike withdrawal, account deletion closes the account and rooms the person still owns.
• An ownership offer cannot be accepted after 24 hours and is cleaned by maintenance. Community room announcements cannot be sent after 15 minutes, other community updates after 24 hours. Cooldowns last 10 minutes; processed/ineligible queue records are cleaned up.
• An active community membership ban is deleted when lifted or when the target account/community is deleted. Deleting the actor's account clears the actor link. Active bans have no automatic age-based expiry.
• Community appeals are deleted when the applicant account/community is deleted. Resolved submissions are cleaned 365 days after resolution; open submissions are not deleted just because that period passes. Deleting an issuer/reviewer account clears the corresponding identity link.
• Moderation audit records follow the 365-day rule. Withdrawal or cleanup of an ownerless community's name does not itself erase previous decision evidence, an active ban or an appeal. Records may contain a former community/member name or a written reason; they are not all anonymous. Separate retention must not be used to continue tracking interests.
• Once a period ends, deletion happens when regular maintenance runs; backlog or failures can delay it. Expired offers cannot be accepted and expired messages cannot be sent. An inaccessible technical record is not complete community deletion. The backup explanation above still applies.

6. Your rights

Under KVKK art. 11 and, where applicable, GDPR arts. 15-21, you may request access, a copy, correction, erasure, restriction, portability, or object to processing. Where processing relies on consent, you may withdraw it for the future. You may also complain to the competent data protection authority.

Send a request to support@noygg.com. Reasonable verification may be required to protect your data and other people's data. The direct account deletion path is Settings → Delete my account.

7. Children

The service is not for anyone under 16. Registration asks for a separate declaration that you are at least 16, not a date of birth. If we learn that an account belongs to someone under 16, it is deleted.

8. Changes

If this notice changes materially, the new version is shown before further use and you are asked only to confirm that you have read and understood it. You are not asked to “accept” a privacy notice; any consent that is actually required is presented separately for its specific purpose.

9. Contact

Privacy requests and questions: support@noygg.com