Mobolo
Last updated / Son güncelleme: 2026-10-06
Privacy policy
Mobolo is a small browser game. You can play without an account: then your progress is stored only in your browser on this device (local storage) and never sent to us. Unless you turn it off, the game sends anonymous usage statistics and error reports (see below). This policy explains both, and what happens when you create an account to save your progress across devices. It is written for the EU General Data Protection Regulation (GDPR) and the Turkish Personal Data Protection Law No. 6698 (KVKK).
Who is responsible
The developer of Mobolo is the data controller. Contact: [email protected].
What we store and why
| Data | Why | How long |
|---|---|---|
| Email address | Signing in, email verification codes, password reset emails | Until you delete the account |
| Password (only as a one-way argon2id hash; we never see or store the password itself) | Signing in | Until you delete the account |
| Display name and avatar choice | Shown to you (and to the friend you play co-op with) | Until you change it or delete the account |
| Game save (unlocks, best waves, settings, counters) | Your progress on every device | Until you delete the account |
| Sessions (a hashed sign-in token, creation and last-use time) | Keeping you signed in | 90 days after last use, or until you log out |
| Password reset links (hashed) | Resetting a forgotten password | 1 hour, single use |
| Email verification codes (hashed) and when your email was verified | Confirming that the email address is yours (needed for the leaderboards) | Codes: valid 15 minutes, deleted after 2 days; the verified date: with your account |
| Server logs (request method and path) and our hosting provider's network logs, which can include IP addresses; IP addresses are also used briefly in memory for rate limiting | Security, abuse protection, fixing errors | At most 14 days |
| Co-op match results (wave reached, time) | Game statistics | Kept without your name after account deletion |
| Friends: your friend code, friend requests (who, when, answered or not), your friends list, the players you blocked, your two friends privacy settings | Adding friends, showing them to you, blocking | Until you remove them or delete the account (answered requests are kept with your account for the daily request limit) |
| Online status ("online", "in a co-op lobby", "playing") and the time you were last seen, only while you are signed in and the game is open | Showing your friends that you are online, co-op invites | Only in the server's memory: about 75 seconds after the game stops sending it; gone when the server restarts |
| Co-op invites (who invited whom, the room code) | Inviting a friend to play together | Only in the server's memory, 2 minutes |
Legal basis: performance of the service you asked for (GDPR Art. 6(1)(b); KVKK Art. 5(2)(c)) and our legitimate interest in keeping the service secure (GDPR Art. 6(1)(f); KVKK Art. 5(2)(f)).
Anonymous usage statistics and error reports
To see which parts of the game work (how far runs get, which characters and weapons are picked, which devices to optimise for) and to fix crashes, the web version at mobolo.io sends anonymous events to our own server. No third-party analytics or crash service is involved; the data stays in our own database.
| Data | Why | How long |
|---|---|---|
| A random install id (stored in your browser) and a random id per visit | Counting players and sessions without knowing who you are | Raw events: 90 days |
| A daily visitor code: a one-way hash of your IP address and browser name mixed with a random value that changes every day (UTC) and is then deleted. Only the hash is stored, never the IP address or the browser string | Counting a person who opens several tabs, uses a private window or clears the browser storage once per day instead of several times. Because the random value is thrown away each day, codes from different days cannot be linked and cannot be turned back into an IP address | With the raw events: 90 days (the daily random value: deleted when its day ends) |
| Game events: session start, run start / end (mode, character, weapons, wave, kills, level, duration, what defeated you), boss fights, co-op room created / joined / disconnected, quick-match queue (mode, wait time, a bot joined), versus matches (Zombie Duel / Arena Final: result, rounds, rating change, sabotage bought, your build), a "still playing" ping every minute during a run or match | Balancing and improving the game | Raw events: 90 days; daily totals (counts only) are kept |
| Device type (phone / tablet / desktop), operating system and browser family, in-app browser (e.g. Instagram), language, screen orientation, whether the game runs installed / fullscreen, game build | Knowing which devices to support and test | Raw events: 90 days |
| Error reports: error message and code location (with emails, tokens and link parameters removed), where in the game it happened (scene, wave), game build, device type | Finding and fixing bugs | Until 180 days after the error was last seen; the list of affected install ids 90 days |
We do not collect names, email addresses or IP addresses with these events. Your IP address is used only for a moment in memory to limit abuse and to compute the daily visitor code above, and is never stored. Visits from automated browsers, bots, our test copies and admin accounts are marked and left out of the statistics. If you are signed in, events are linked to your account so that progress statistics stay correct across devices; if you delete the account, that link is removed. Legal basis: our legitimate interest in running, securing and improving the game (GDPR Art. 6(1)(f); KVKK Art. 5(2)(f)).
Turning it off: Settings → "Anonymous usage stats" → OFF stops all events and error reports from this browser. If your browser sends a Do Not Track or Global Privacy Control signal, nothing is sent at all.
Friends and profiles
With a verified account you can add friends by their friend code or exact display name, accept or decline requests and invite friends to co-op. Your public profile shows your display name, avatar, the month you joined, your best solo and co-op waves, how many runs you played, your favourite character and your rank on this week's leaderboard. It never shows your email address. Accounts with an unverified email have no public profile.
- Online status is shown to your friends only, never to anyone else. Turn off "Show my online status to friends" (Friends → Privacy) and your friends see you as offline, without a last-seen time.
- Who may send you requests: everyone, only people you played co-op with, or nobody (Friends → Privacy).
- Block: a blocked player sees only what anyone sees on your public profile (never your online status), and their friend requests and invites never reach you. Blocking also ends the friendship.
- "Recently played with" lists the accounts you played co-op with (from the co-op match results above), so you can add them.
Legal basis: performance of the service you asked for (GDPR Art. 6(1)(b); KVKK Art. 5(2)(c)).
Sign in with Google
If you choose "Sign in with Google", Google sends us a signed token with your Google account id, email address and whether the email is verified. We use it only to sign you in; we do not get your Google password, contacts or anything else. Google's own privacy policy applies to the sign-in window, which is provided by Google.
Ads and the "Remove ads" purchase (iOS and Android apps only)
The website has no ads. The free iOS and Android apps show one full-screen ad when you leave the death screen of a solo run (never during a run, in the shop or in co-op, and never in your very first run). The ads come from Google AdMob (Google Ireland Ltd. / Google LLC), which receives your device's advertising identifier (Android advertising ID / Apple IDFA, only if you allow tracking on iOS), IP address, device and app information and how you interact with the ad, under Google's policy for partner apps. In the EEA, the UK and other regions where it is required, the app first asks for your consent with Google's consent form; you can then choose non-personalised ads. On iPhone and iPad the app asks for permission to track (App Tracking Transparency) before personalised ads; if you say no, you get non-personalised ads. You will see the same number of ads either way. We do not receive your advertising identifier ourselves. The app is not directed at children; ads are limited to content suitable for ages 9 and up.
Remove ads is a one-time purchase through Google Play or the App Store. The store handles the payment; we never see your card or payment details. The app remembers the purchase on your device; if you are signed in, the app sends the store's purchase receipt to our server, which checks it with Google or Apple and stores the product, the platform, the store's transaction id and the check result with your account, so ads stay off on your other devices. Legal basis: performance of the purchase contract (GDPR Art. 6(1)(b); KVKK Art. 5(2)(c)). Kept until you delete your account (tax records of the sale are kept by Google / Apple, not by us). Restore purchases (Settings) asks the store again, for example after reinstalling.
Apart from that: no third-party analytics and no third-party trackers, and we never sell your data. The app also sends anonymous ad statistics (an ad was shown or not, a purchase succeeded or not) as part of the usage statistics above, which you can turn off. Our server and database are hosted by a cloud provider (Railway) on our behalf; verification and password reset emails are sent through an email delivery service (Resend). They process the data only to provide that service. These providers may store data outside your country (for example in the EU or the USA) under standard contractual safeguards.
Your rights
- Download your data: in the game, Account → "Download my data" gives you a JSON file with everything we store about you, including your friends, requests, blocks and linked purchases.
- Delete your account: Account → "Delete account" deletes your account, sign-ins, sessions, cloud save, friends, friend requests and blocks at once and for good (your progress stays in this browser as a guest save).
- Correct: you can change your display name and avatar in the game at any time.
- You can also ask us by email for access, correction, deletion, restriction or objection, and you may complain to your data protection authority (in Türkiye: KVKK, the Personal Data Protection Authority).
Children
Accounts are not meant for children under 13 (under 16 where the law requires). Ask a parent before creating one.
Changes
If this policy changes, the new version is published on this page with a new date.
Gizlilik politikası
Mobolo küçük bir tarayıcı oyunudur. Hesap açmadan oynayabilirsin: bu durumda ilerlemen yalnızca bu cihazdaki tarayıcında (yerel depolama) tutulur ve bize gönderilmez. Kapatmadığın sürece oyun anonim kullanım istatistikleri ve hata raporları gönderir (aşağıya bak). Bu metin bunları ve ilerlemeni cihazlar arasında saklamak için hesap açtığında ne olduğunu açıklar. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve AB Genel Veri Koruma Tüzüğü (GDPR) esas alınmıştır.
Veri sorumlusu
Veri sorumlusu Mobolo'nun geliştiricisidir. İletişim: [email protected].
Neleri, neden saklıyoruz
| Veri | Amaç | Süre |
|---|---|---|
| E-posta adresi | Giriş, e-posta doğrulama kodları, şifre sıfırlama e-postaları | Hesabı silene kadar |
| Şifre (yalnızca tek yönlü argon2id özeti; şifrenin kendisini asla görmeyiz ve saklamayız) | Giriş | Hesabı silene kadar |
| Görünen ad ve avatar seçimi | Sana (ve birlikte oynadığın arkadaşına) gösterilir | Değiştirene veya hesabı silene kadar |
| Oyun kaydı (açılanlar, en iyi dalgalar, ayarlar, sayaçlar) | Her cihazda ilerlemen | Hesabı silene kadar |
| Oturumlar (özetlenmiş giriş anahtarı, oluşturulma ve son kullanım zamanı) | Girişte kalman | Son kullanımdan 90 gün sonra veya çıkış yapana kadar |
| Şifre sıfırlama bağlantıları (özetlenmiş) | Unutulan şifreyi sıfırlama | 1 saat, tek kullanımlık |
| E-posta doğrulama kodları (özetlenmiş) ve e-postanın doğrulandığı tarih | E-posta adresinin sana ait olduğunu doğrulama (sıralamalar için gerekli) | Kodlar: 15 dakika geçerli, 2 gün sonra silinir; doğrulama tarihi: hesabınla birlikte |
| Sunucu kayıtları (istek yöntemi ve yolu) ve barındırma sağlayıcımızın IP adresi içerebilen ağ kayıtları; IP adresleri hız sınırı için kısa süre bellekte de kullanılır | Güvenlik, kötüye kullanım koruması, hata giderme | En fazla 14 gün |
| Ortak oyun sonuçları (ulaşılan dalga, zaman) | Oyun istatistikleri | Hesap silinince adın olmadan saklanır |
| Arkadaşlar: arkadaş kodun, arkadaşlık istekleri (kimden, ne zaman, yanıtlandı mı), arkadaş listen, engellediğin oyuncular, iki arkadaş gizlilik ayarın | Arkadaş eklemek, onları sana göstermek, engellemek | Sen kaldırana veya hesabı silene kadar (yanıtlanmış istekler günlük istek sınırı için hesabınla birlikte tutulur) |
| Çevrim içi durumun ("çevrim içi", "ortak oyun lobisinde", "oynuyor") ve en son görülme zamanın; yalnızca giriş yapmışken ve oyun açıkken | Arkadaşlarına çevrim içi olduğunu göstermek, ortak oyun davetleri | Yalnızca sunucunun belleğinde: oyun göndermeyi bıraktıktan yaklaşık 75 saniye sonrasına kadar; sunucu yeniden başlayınca silinir |
| Ortak oyun davetleri (kim kimi davet etti, oda kodu) | Bir arkadaşı birlikte oynamaya davet etmek | Yalnızca sunucunun belleğinde, 2 dakika |
Hukuki sebep: talep ettiğin hizmetin sunulması (KVKK m. 5/2-c; GDPR m. 6/1-b) ve hizmetin güvenliğini sağlamaktaki meşru menfaatimiz (KVKK m. 5/2-f; GDPR m. 6/1-f).
Anonim kullanım istatistikleri ve hata raporları
Oyunun hangi kısımlarının işe yaradığını (oyunların ne kadar ilerlediğini, hangi karakter ve silahların seçildiğini, hangi cihazlar için iyileştirme yapmamız gerektiğini) görmek ve çökmeleri düzeltmek için mobolo.io web sürümü kendi sunucumuza anonim olaylar gönderir. Üçüncü taraf analiz veya hata raporlama hizmeti kullanılmaz; veriler kendi veritabanımızda kalır.
| Veri | Amaç | Süre |
|---|---|---|
| Rastgele bir kurulum kimliği (tarayıcında saklanır) ve her ziyaret için rastgele bir kimlik | Kim olduğunu bilmeden oyuncu ve oturum saymak | Ham olaylar: 90 gün |
| Günlük ziyaretçi kodu: IP adresin ve tarayıcı adının, her gün (UTC) değişen ve sonra silinen rastgele bir değerle karıştırılmış tek yönlü özeti. Yalnızca özet saklanır; IP adresi veya tarayıcı bilgisi asla saklanmaz | Birkaç sekme açan, gizli pencere kullanan ya da tarayıcı depolamasını silen bir kişiyi gün içinde birden çok kez değil bir kez saymak. Rastgele değer her gün atıldığı için farklı günlerin kodları birbirine bağlanamaz ve IP adresine geri çevrilemez | Ham olaylarla birlikte: 90 gün (günlük rastgele değer: günü bitince silinir) |
| Oyun olayları: oturum başlangıcı, oyun başlangıcı / sonu (mod, karakter, silahlar, dalga, öldürme, seviye, süre, seni neyin yendiği), boss dövüşleri, ortak oyun odası açma / katılma / bağlantı kopması, hızlı oyun sırası (mod, bekleme süresi, bot katıldı mı), versus maçları (Zombi Düellosu / Arena Finali: sonuç, turlar, puan değişimi, alınan sabotajlar, kurduğun dizilim), oyun ya da maç sırasında dakikada bir "hâlâ oynuyor" sinyali | Oyunu dengelemek ve geliştirmek | Ham olaylar: 90 gün; günlük toplamlar (yalnızca sayılar) saklanır |
| Cihaz türü (telefon / tablet / masaüstü), işletim sistemi ve tarayıcı ailesi, uygulama içi tarayıcı (ör. Instagram), dil, ekran yönü, oyunun yüklü / tam ekran çalışıp çalışmadığı, oyun sürümü | Hangi cihazları destekleyip test edeceğimizi bilmek | Ham olaylar: 90 gün |
| Hata raporları: hata mesajı ve kod konumu (e-posta, anahtar ve bağlantı parametreleri çıkarılmış), oyunda nerede olduğu (sahne, dalga), oyun sürümü, cihaz türü | Hataları bulup düzeltmek | Hata son görüldükten 180 gün sonrasına kadar; etkilenen kurulum kimlikleri listesi 90 gün |
Bu olaylarla birlikte ad, e-posta adresi veya IP adresi toplamayız. IP adresin yalnızca kötüye kullanımı sınırlamak ve yukarıdaki günlük ziyaretçi kodunu hesaplamak için bellekte kısa süre kullanılır ve asla saklanmaz. Otomatik tarayıcılar, botlar, test kopyalarımız ve yönetici hesaplarından gelen ziyaretler işaretlenir ve istatistiklere katılmaz. Giriş yaptıysan, ilerleme istatistikleri cihazlar arasında doğru kalsın diye olaylar hesabına bağlanır; hesabını silersen bu bağ kaldırılır. Hukuki sebep: oyunu işletme, güvenliğini sağlama ve geliştirmedeki meşru menfaatimiz (KVKK m. 5/2-f; GDPR m. 6/1-f).
Kapatmak için: Ayarlar → "Anonim kullanım verisi" → KAPALI bu tarayıcıdan tüm olayları ve hata raporlarını durdurur. Tarayıcın "Do Not Track" veya "Global Privacy Control" sinyali gönderiyorsa hiçbir şey gönderilmez.
Arkadaşlar ve profiller
Doğrulanmış bir hesapla arkadaş kodu veya tam görünen adla arkadaş ekleyebilir, istekleri kabul edip reddedebilir ve arkadaşlarını ortak oyuna davet edebilirsin. Herkese açık profilin görünen adını, avatarını, katıldığın ayı, tek kişilik ve ortak oyundaki en iyi dalgalarını, kaç oyun oynadığını, en sevdiğin karakteri ve bu haftaki sıralamandaki yerini gösterir. E-posta adresini asla göstermez. E-postası doğrulanmamış hesapların herkese açık profili yoktur.
- Çevrim içi durumun yalnızca arkadaşlarına gösterilir, başka kimseye değil. "Çevrimiçi durumumu arkadaşlarıma göster" ayarını kapatırsan (Arkadaşlar → Gizlilik) arkadaşların seni en son görülme zamanı olmadan çevrim dışı görür.
- Sana kimlerin istek gönderebileceği: herkes, yalnızca birlikte ortak oyun oynadıkların veya hiç kimse (Arkadaşlar → Gizlilik).
- Engelleme: engellediğin oyuncu herkese açık profilinde yalnızca herkesin gördüğünü görür (çevrimiçi durumunu asla görmez); arkadaşlık istekleri ve davetleri sana hiç ulaşmaz. Engellemek arkadaşlığı da bitirir.
- "Son oynadıkların", yukarıdaki ortak oyun sonuçlarından birlikte oynadığın hesapları listeler; böylece onları ekleyebilirsin.
Hukuki sebep: talep ettiğin hizmetin sunulması (KVKK m. 5/2-c; GDPR m. 6/1-b).
Google ile giriş
"Google ile giriş"i seçersen Google bize Google hesap kimliğini, e-posta adresini ve e-postanın doğrulanıp doğrulanmadığını içeren imzalı bir anahtar gönderir. Bunu yalnızca giriş için kullanırız; Google şifreni, kişilerini veya başka bir bilgini almayız. Giriş penceresini Google sağlar ve orada Google'ın gizlilik politikası geçerlidir.
Reklamlar ve "Reklamları kaldır" satın alımı (yalnızca iOS ve Android uygulamaları)
Web sitesinde reklam yoktur. Ücretsiz iOS ve Android uygulamaları, tek kişilik bir oyunun ölüm ekranından çıkarken tam ekran bir reklam gösterir (oyun sırasında, dükkânda veya co-op'ta asla; ilk oyununda da asla). Reklamları Google AdMob (Google Ireland Ltd. / Google LLC) sunar; AdMob cihazının reklam kimliğini (Android reklam kimliği / Apple IDFA, iOS'ta yalnızca izlemeye izin verirsen), IP adresini, cihaz ve uygulama bilgilerini ve reklamla etkileşimini Google'ın iş ortağı uygulamalar politikası kapsamında alır. AB, Birleşik Krallık ve gerektiren diğer bölgelerde uygulama önce Google'ın onay formuyla iznini ister; kişiselleştirilmemiş reklamları seçebilirsin. iPhone ve iPad'de uygulama kişiselleştirilmiş reklamlardan önce izleme izni ister (App Tracking Transparency); hayır dersen kişiselleştirilmemiş reklamlar görürsün. Reklam sayısı her iki durumda da aynıdır. Reklam kimliğini biz almayız. Uygulama çocuklara yönelik değildir; reklamlar 9 yaş ve üzeri için uygun içerikle sınırlıdır.
Reklamları kaldır, Google Play veya App Store üzerinden tek seferlik bir satın alımdır. Ödemeyi mağaza alır; kart veya ödeme bilgilerini asla görmeyiz. Uygulama satın alımı cihazında hatırlar; giriş yaptıysan mağazanın satın alma makbuzunu sunucumuza gönderir, sunucu bunu Google veya Apple ile doğrular ve ürünü, platformu, mağazanın işlem kimliğini ve doğrulama sonucunu hesabınla birlikte saklar; böylece diğer cihazlarında da reklamlar kapalı kalır. Hukuki sebep: satın alma sözleşmesinin ifası (KVKK m. 5/2-c; GDPR m. 6/1-b). Hesabını silene kadar saklanır (satışın vergi kayıtlarını biz değil Google / Apple tutar). Ayarlar'daki "Satın alımları geri yükle" mağazaya yeniden sorar (örneğin yeniden yüklemeden sonra).
Bunun dışında üçüncü taraf analiz aracı veya izleyici yoktur ve verilerini asla satmayız. Uygulama, kapatabildiğin kullanım istatistiklerinin parçası olarak anonim reklam istatistikleri de gönderir (reklam gösterildi mi, satın alma başarılı oldu mu). Sunucumuz ve veritabanımız bizim adımıza bir bulut sağlayıcısında (Railway) barındırılır; doğrulama ve şifre sıfırlama e-postaları bir e-posta gönderim hizmetiyle (Resend) gönderilir. Bu hizmetler veriyi yalnızca bu hizmeti sunmak için işler ve veriler yurt dışında (örneğin AB veya ABD) standart sözleşme güvenceleriyle saklanabilir; yurt dışına aktarım KVKK m. 9 kapsamındadır.
Hakların
- Verilerini indir: oyunda Hesap → "Verilerimi indir" hakkında sakladığımız her şeyi (arkadaşların, isteklerin, engellemelerin ve bağlı satın alımların dahil) içeren bir JSON dosyası verir.
- Hesabını sil: Hesap → "Hesabı sil" hesabını, giriş yöntemlerini, oturumlarını, bulut kaydını, arkadaşlarını, arkadaşlık isteklerini ve engellemelerini hemen ve kalıcı olarak siler (ilerlemen bu tarayıcıda misafir kaydı olarak kalır).
- Düzelt: görünen adını ve avatarını oyunda istediğin zaman değiştirebilirsin.
- KVKK m. 11 kapsamındaki bilgi alma, düzeltme, silme, itiraz gibi taleplerin için bize e-posta gönderebilir, Kişisel Verileri Koruma Kurumu'na şikâyette bulunabilirsin.
Çocuklar
Hesaplar 13 yaşından küçük çocuklar için değildir. Hesap açmadan önce bir yetişkine sor.
Değişiklikler
Bu politika değişirse yeni sürüm bu sayfada yeni tarihle yayımlanır.