Gizlilik Politikası ve KVKK Aydınlatma Metni
Son güncelleme: 5 Ekim 2026
Bu metin; sonatrio.com web sitesi, Sonatrio Android uygulaması ve Sonatrio masaüstü (Windows / Steam) uygulamasında kişisel verilerinin nasıl işlendiğini, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve AB Genel Veri Koruma Tüzüğü (GDPR) kapsamında açıklar.
1. Veri sorumlusu
Veri sorumlusu, Sonatrio'yu geliştiren ve işleten Kubilay Elmas'tır (Türkiye). Her türlü soru ve başvuru için: sonatriowebraining@gmail.com
2. Hesap açmadan kullanım
Sonatrio'yu hesap açmadan kullanabilirsin. Bu durumda ayarların, içe aktardığın MIDI dosyaları, rekorların ve pratik ilerlemen yalnızca kendi cihazında (tarayıcı depolaması / uygulama verisi) tutulur; bize gönderilmez. MIDI klavye ve dokunmatik girişler cihazında işlenir, hiçbir yere iletilmez.
Mikrofon
Mikrofonla dinle özelliğini açarsan, gerçek enstrümanında çaldığın notaları tanımak için mikrofon sesi yalnızca cihazında, anlık olarak analiz edilir. Ses kaydedilmez, saklanmaz ve hiçbir yere (bize dahil) gönderilmez. Mikrofon yalnızca bu özelliği açtığında ve cihazın izin istediğinde onay verirsen kullanılır; özelliği istediğin an kapatabilir, izni cihaz ayarlarından geri alabilirsin.
Canlı düet
Canlı düette aynı oda koduyla bağlanan iki cihaz arasında yalnızca birlikte başlama zamanı, duraklatma/yeniden başlatma komutları, çalarken anlık puan ve şarkı sonunda sonuç bilgisi iletilir (Supabase Realtime üzerinden). Arkadaşın "Gerçek ses" seçeneğini açarsa, arkadaşının cihazında çalınabilmesi için bastığın notalar (hangi nota, ne kadar güçlü, ne zaman) da iletilir. Mikrofon sesi hiçbir durumda iletilmez; bu mesajların hiçbiri saklanmaz. Hesabın varsa kullanıcı adın odadaki arkadaşına görünür.
Hata raporları
Uygulama çöktüğünde veya beklenmeyen bir hata oluştuğunda, hatayı bulup düzeltebilmemiz için kısa bir hata raporu gönderilir: hata mesajı ve teknik yığın izi, uygulamada açık olan sayfanın yolu, uygulama sürümü, platform (web / Android / masaüstü), dil, tarayıcı/cihaz bilgisi (user agent) ve ekran çözünürlüğü; giriş yaptıysan hesap kimliğin. Raporlar şarkılarını, notalarını veya ses verisini içermez, reklam ya da profil çıkarma için kullanılmaz ve 90 gün sonra otomatik silinir. Bu işlemenin hukuki sebebi uygulamanın güvenli ve hatasız çalışmasındaki meşru menfaatimizdir (KVKK m.5/2-f; GDPR m.6/1-f).
3. Hesap açarsan işlenen veriler
| Veri | Amaç | Hukuki sebep |
|---|---|---|
| E-posta adresi, kullanıcı adı, şifre (şifrelenmiş/özetlenmiş olarak) | Hesap oluşturma, giriş, şifre sıfırlama | Sözleşmenin ifası (KVKK m.5/2-c; GDPR m.6/1-b) |
| Google ile girişte: Google'ın paylaştığı e-posta, ad ve profil fotoğrafı bağlantısı | Google hesabınla giriş | Sözleşmenin ifası |
| Yüklemeyi seçersen profil fotoğrafın (256×256 piksele küçültülmüş kopya) ve kullanıcı adının son değiştirilme tarihi | Hesabında ve arkadaşlarının listesinde seni göstermek; kullanıcı adının 6 ayda bir değiştirilebilmesi. Fotoğraf, bağlantısını bilen herkesin açabileceği bir adreste tutulur; dilediğin an kaldırabilirsin. | Sözleşmenin ifası |
| Eşitlenen ayarlar, pratik süresi, günlük seri, skorlar ve başarımlar | Verilerini cihazların arasında eşitlemek | Sözleşmenin ifası |
| Buluta yüklediğin MIDI dosyaları, dosya adı ve boyutu (yalnızca bulut özelliği açık hesaplarda) | Dosyalarını saklamak ve cihazlarına indirmek | Sözleşmenin ifası |
| Arkadaşlıkların ve arkadaşlık istekleri; kütüphanedeki şarkılarda haftalık en iyi skorların; gönderdiğin ve aldığın düellolar ile canlı düet davetleri | Arkadaş listesi, haftalık sıralama, skor düellosu ve canlı düet. Kullanıcı adın ve bu skorlar yalnızca arkadaşlarına görünür. | Sözleşmenin ifası |
| Pro / bulut durumu, kota bilgisi; Pro deneme süresinin bitiş tarihi | Ücretli özellikleri ve yeni hesaplara verilen 1 haftalık ücretsiz denemeyi açmak | Sözleşmenin ifası |
| Bir arkadaşının davet linkiyle üye olduysan seni davet eden kişi; davetlerle kazandığın ek Pro günleri | İki tarafa da hediye Pro günü vermek ve sizi arkadaş yapmak | Sözleşmenin ifası |
| Gönderdiğin şikâyetler (sebep, yazdığın ayrıntı, şikâyet edilen kişinin o anki kullanıcı adı ve fotoğrafı) ve engellediğin üyeler | Topluluk kurallarını uygulamak, kötüye kullanımı önlemek; engellenen kişinin sana istek, düello ve davet gönderememesi. Kimin şikâyet ettiği şikâyet edilen kişiye söylenmez. | Meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f) |
| Android uygulamasında Pro satın alırsan: Google Play sipariş numarası ve satın alma belirteci (kart bilgilerini Google işler, biz görmeyiz) | Ödemeyi doğrulamak, Pro'yu hesabına bağlamak, geri yüklemek | Sözleşmenin ifası |
| Giriş zamanları, IP adresi ve teknik kayıtlar (altyapı sağlayıcısının sistem günlükleri) | Güvenlik, kötüye kullanımı önleme, hata ayıklama | Meşru menfaat (KVKK m.5/2-f; GDPR m.6/1-f) |
Yöneticiler, destek ve kötüye kullanımla mücadele amacıyla hesap bilgilerini (e-posta, kullanıcı adı, giriş yöntemi, son giriş zamanı) görebilir ve kullanım koşullarına aykırı içerik şüphesinde buluttaki dosyaları inceleyebilir. Şikâyet üzerine uygunsuz profil fotoğrafını kaldırabilir, kullanıcı adını sıfırlayabilir veya hesabı askıya alabilir. Bu işlemler kayıt altına alınır.
4. Reklam, analiz ve çerezler
Sonatrio reklam göstermez, üçüncü taraf analiz/takip aracı ve takip çerezi kullanmaz, verilerini satmaz ve pazarlama amacıyla paylaşmaz. Tek otomatik gönderim, yukarıda anlatılan ve yalnızca bizim sunucumuza giden hata raporlarıdır. Cihazında yalnızca uygulamanın çalışması için zorunlu kayıtlar (oturum anahtarı, ayarlar, şarkılar, bekleyen davet) tutulur.
5. Verilerin aktarıldığı hizmet sağlayıcılar
| Sağlayıcı | Ne için | Konum |
|---|---|---|
| Supabase Inc. | Hesap, veritabanı ve dosya depolama | Sunucular İrlanda'da (AB, eu-west-1) |
| GitHub Inc. (GitHub Pages) | sonatrio.com web sitesinin barındırılması; ziyaret sırasında teknik kayıtlar (IP) | ABD |
| Google LLC | Google ile giriş (yalnızca bu yöntemi seçersen); Android uygulamasının Google Play üzerinden dağıtımı ve Pro ödemelerinin Google Play Faturalandırma ile alınması | ABD / global |
| Valve Corporation (Steam) | Steam sürümünde başarımlar ve uygulama dağıtımı; Steam hesabın Valve'ın kendi politikasına tabidir, Steam kimliğin bizde saklanmaz | ABD / global |
Bu sağlayıcıların sunucuları yurt dışında bulunduğundan, hesap açtığında verilerin hizmetin sunulabilmesi için yurt dışına aktarılır (KVKK m.9). Aktarım yalnızca yukarıdaki tabloda yazan, hizmeti sunmak için gerekli verilerle sınırlıdır. Hesap verilerinin tutulduğu Supabase sunucuları AB'de (İrlanda) bulunur ve GDPR'ye tabidir. Hesap açmadan kullanırsan cihazındaki veriler yurt dışına aktarılmaz.
6. Saklama süresi ve silme
Hesap verilerin hesabın açık kaldığı sürece saklanır. Hesabını istediğin an silebilirsin: Hesap → Hesabı sil (web sitesinde ve uygulamalarda). Silme işlemiyle e-postan, kullanıcı adın, profil fotoğrafın, buluttaki MIDI dosyaların, eşitlenen ayarların, ilerleme kayıtların, arkadaşlıkların, skorların, düelloların, engellemelerin ve hakkındaki şikâyetler veritabanımızdan hemen silinir; altyapı sağlayıcısının yedeklerinden en geç 30 gün içinde kalkar. Gönderdiğin şikâyetler ve hata raporları hesabınla bağı koparılarak (anonim) kalır; hata raporları en geç 90 gün sonra silinir. Ayrıntılar: Hesap silme. Güvenlik kayıtları sağlayıcının sistemlerinde sınırlı bir süre (genellikle 90 günden az) tutulur.
7. Haklarınız (KVKK m.11 / GDPR)
Verilerinin işlenip işlenmediğini öğrenme, bilgi ve kopya talep etme, düzeltme, silme, işlemenin kısıtlanması, itiraz etme, verilerin taşınması ve zarara uğraman hâlinde giderilmesini talep etme haklarına sahipsin. Başvurularını sonatriowebraining@gmail.com adresine gönderebilirsin; en geç 30 gün içinde yanıtlanır. Ayrıca Kişisel Verileri Koruma Kurulu'na veya AB'de yaşıyorsan bulunduğun ülkenin veri koruma otoritesine şikâyette bulunabilirsin.
8. Çocuklar
Sonatrio hesap açmadan herkes tarafından kullanılabilir. Hesap açmak için en az 13 yaşında olmalısın; 18 yaşından küçüksen hesap açmadan önce velinin onayını almalısın. 13 yaşından küçük bir çocuğa ait hesap fark edersek sileriz.
9. Güvenlik
Bağlantılar HTTPS ile şifrelenir, şifreler düz metin olarak saklanmaz ve her kullanıcı yalnızca kendi verisine erişebilir (satır düzeyinde erişim kuralları).
10. Değişiklikler
Bu metni güncelleyebiliriz; önemli değişiklikleri uygulamada veya sitede duyururuz. Güncel sürüm her zaman bu sayfadadır.
Privacy Policy
Last updated: October 5, 2026
This policy explains how personal data is processed on the sonatrio.com website, the Sonatrio Android app and the Sonatrio desktop app (Windows / Steam), under the EU General Data Protection Regulation (GDPR) and the Turkish Personal Data Protection Law No. 6698 (KVKK).
1. Controller
The controller is Kubilay Elmas (Türkiye), who develops and operates Sonatrio. For any question or request: sonatriowebraining@gmail.com
2. Using Sonatrio without an account
You can use Sonatrio without an account. Your settings, imported MIDI files, best scores and practice progress then stay only on your device (browser storage / app data) and are never sent to us. MIDI keyboard and touch input is processed on your device and not transmitted anywhere.
Microphone
If you turn on Listen with microphone, the microphone signal is analysed only on your device, in real time, to recognise the notes you play on your real instrument. The audio is never recorded, stored or sent anywhere (including to us). The microphone is used only while this feature is on and only after you grant the permission your device asks for; you can turn the feature off at any time and revoke the permission in your device settings.
Live duet
In a live duet, the two devices connected with the same room code exchange only the shared start time, pause/restart commands, the running score while playing and the result at the end of the song (through Supabase Realtime). If your partner turns on "Real sound", the notes you press (which note, how hard and when) are sent too, so their device can play them. Microphone audio is never sent, and none of these messages are stored. If you have an account, your username is shown to your partner in the room.
Error reports
When the app crashes or hits an unexpected error, a short error report is sent so we can find and fix the problem: the error message and technical stack trace, the path of the page that was open, the app version, the platform (web / Android / desktop), language, browser/device information (user agent) and screen resolution, plus your account ID if you are signed in. Reports contain none of your songs, notes or audio, are never used for ads or profiling, and are deleted automatically after 90 days. The legal basis is our legitimate interest in keeping the app secure and working (GDPR Art. 6(1)(f)).
3. Data processed when you create an account
| Data | Purpose | Legal basis |
|---|---|---|
| E-mail address, username, password (stored hashed) | Creating the account, signing in, password reset | Contract (GDPR Art. 6(1)(b)) |
| With Google sign-in: e-mail, name and profile picture link shared by Google | Signing in with your Google account | Contract |
| If you choose to upload one: your profile photo (a copy scaled down to 256×256 pixels) and when you last changed your username | Showing you in your account and in your friends' lists; limiting username changes to once every 6 months. The photo is stored at an address anyone with the link can open; you can remove it at any time. | Contract |
| Synced settings, practice time, daily streak, scores and achievements | Syncing your data between devices | Contract |
| MIDI files you upload to the cloud, their names and sizes (accounts with cloud storage only) | Storing your files and downloading them to your devices | Contract |
| Your friendships and friend requests; your best weekly scores on library songs; challenges you send and receive, and live duet invitations | Friends list, weekly leaderboard, score challenges and live duets. Your username and these scores are visible only to your friends. | Contract |
| Pro / cloud status, quota; when your Pro trial ends | Unlocking paid features and the free one-week trial given to new accounts | Contract |
| If you signed up through a friend's invite link: who invited you; bonus Pro days you earned from invites | Giving both of you bonus Pro days and making you friends | Contract |
| Reports you send (reason, the details you write, the reported member's username and photo at that moment) and members you block | Enforcing community rules and preventing abuse; stopping blocked members from sending you requests, challenges and invites. The reported member is never told who reported them. | Legitimate interest (Art. 6(1)(f)) |
| If you buy Pro in the Android app: the Google Play order number and purchase token (card details are handled by Google and never reach us) | Verifying the payment, linking Pro to your account, restoring it | Contract |
| Sign-in times, IP address and technical logs (system logs of our infrastructure provider) | Security, abuse prevention, debugging | Legitimate interest (Art. 6(1)(f)) |
For support and abuse prevention, administrators can see account details (e-mail, username, sign-in method, last sign-in) and may review cloud files suspected of breaking the terms of use. After a report they may remove an inappropriate profile photo, reset a username or suspend the account. These actions are logged.
4. Ads, analytics and cookies
Sonatrio shows no ads, uses no third-party analytics or tracking tools and no tracking cookies, and never sells your data or shares it for marketing. The only automatic transmission is the error reports described above, which go only to our own server. Only the records the app needs to work (session token, settings, songs, a pending invite) are kept on your device.
5. Service providers
| Provider | Used for | Location |
|---|---|---|
| Supabase Inc. | Accounts, database and file storage | Servers in Ireland (EU, eu-west-1) |
| GitHub Inc. (GitHub Pages) | Hosting sonatrio.com; technical logs (IP) when you visit | USA |
| Google LLC | Google sign-in (only if you choose it); distributing the Android app through Google Play and taking Pro payments with Google Play Billing | USA / global |
| Valve Corporation (Steam) | Achievements and distribution of the Steam version; your Steam account is governed by Valve's own policy and your Steam ID is not stored by us | USA / global |
Because these providers' servers are located abroad, creating an account means your data is transferred outside Türkiye to provide the service (KVKK Art. 9). Transfers are limited to the data listed above that the service needs. The Supabase servers holding account data are in the EU (Ireland) and subject to the GDPR. If you use Sonatrio without an account, the data on your device is not transferred anywhere.
6. Retention and deletion
Account data is kept while your account exists. You can delete your account at any time: Account → Delete account (on the website and in the apps). This immediately removes your e-mail, username, profile photo, cloud MIDI files, synced settings, progress, friendships, scores, challenges, blocks and reports about you from our database; they disappear from the provider's backups within 30 days. Reports you sent and error reports are kept with the link to your account removed (anonymous); error reports are deleted after 90 days at the latest. Details: Account deletion. Security logs are kept by the provider for a limited time (usually less than 90 days).
7. Your rights
You have the right to access, rectify, erase, restrict and object to the processing of your data, to data portability, and to withdraw consent where processing is based on it. Send requests to sonatriowebraining@gmail.com; we reply within 30 days. You can also lodge a complaint with your local data protection authority (in Turkey: the Personal Data Protection Authority, KVKK).
8. Children
Anyone can use Sonatrio without an account. You must be at least 13 to create an account (or the higher minimum age of digital consent in your country), and under 18 you need a parent's permission first. If we learn that an account belongs to a child under 13, we delete it.
9. Security
Connections are encrypted with HTTPS, passwords are never stored in plain text, and each user can access only their own data (row-level access rules).
10. Changes
We may update this policy and will announce significant changes in the app or on the site. The current version is always on this page.