Privacy notice

Last updated 12 September 2026. Prepared under Article 10 of Turkish Law No. 6698 on the Protection of Personal Data (KVKK).

The short version

We keep as little as we can get away with. We do not store your email address. We do not sell anything to anyone. We are legally required to log who sends what, we do, and we say so on every page where a message can be sent.

If you send someone a message

You do not need an account, and we do not ask who you are. What we record:

• Your IP address, the timestamp, and your browser's user-agent. Required by Law No. 5651, which makes us a hosting provider (yer sağlayıcı) with an obligation to keep traffic records. Kept for two years, then deleted automatically by a scheduled job.
• The message itself — its text, or the lines of your drawing. Drawings are stored as the geometry of your strokes, never as an image file.
• A random sender token in a cookie, so the recipient can block you without ever learning who you are. It identifies nothing about you outside this site.

The recipient never sees any of the first item. Nobody sees the sender token but the server.

If you have an account

• Your Google account identifier, so you can sign back in.
• A hash of your email address, used only to look up your Gravatar picture. We do not store the address itself. It is turned into a hash at sign-in and discarded.
• Your handle, bio, theme and widget settings — the page you built.
• Who invited you, because membership is invite-based and that link is how coordinated abuse gets traced.
• Session records — an identifier, the IP and user-agent of the sign-in, and an expiry — so a session can be ended immediately when it needs to be.
• The messages you receive, until you delete them.
• A notification subscription, only if you switch notifications on: the address your browser's push service gave us and the keys to encrypt for it, tied to the session that switched them on.
• Staff notes the psst team may keep about an account for moderation. A note marked public shows on your page, unsigned.
• A ban appeal, if your account is banned and you write one, and the team's answer.

Why we are allowed to hold it

• Legal obligation (KVKK art. 5/2-ç) for the traffic records under Law No. 5651.
• Performance of the service (art. 5/2-c) for your account and your messages.
• Legitimate interest (art. 5/2-f) for moderation, abuse prevention and the report log that lets us show what we did about a complaint.

Who else sees it

Inside psst, an admin may open an account's received messages when something needs checking for moderation, for example after a report or a sign of abuse. Every look needs a written reason and goes in the staff log: who looked, whose inbox, when and why. Moderators cannot do this, and opening an inbox does not show who sent any of the messages.

Outside the psst team, nobody, with two exceptions. Our hosting provider, Hetzner Online GmbH in Germany, physically holds the server — this means your data is processed inside the EU. And if a Turkish court or prosecutor makes a lawful demand, we comply. There are no advertisers, no analytics services, and no third-party trackers on this site.

If you switch notifications on, your browser's own push service (Google for Chrome, Mozilla for Firefox, Apple for Safari, Microsoft for Edge) carries an encrypted notice to your device. It only says a new psst arrived, the service cannot read even that, and the message itself never leaves our server.

Cookies

All strictly functional, none for tracking or advertising: a signed session cookie if you are signed in, the anonymous sender token described above, your language choice stored in your browser, and two short-lived ones that only exist while you appeal a ban (one hour) or recover your account (thirty minutes).

How long we keep things

• Traffic records: 2 years, then deleted automatically.
• Messages: until you delete them, the team removes one for breaking the rules, or your account goes.
• Reports: kept while open, and for a period after resolution so we can show what was done. A report keeps a copy of what was reported even if the message is deleted — otherwise the evidence disappears with the thing complained about.
• Sessions: 90 days, or immediately when you sign out or are banned.
• Notification subscriptions: until you switch them off, or the session they belong to ends.

Your rights

Under KVKK Article 11 you may ask whether we hold data about you, what it is, why we have it, and who it has gone to; ask for it to be corrected or deleted; and object to decisions made about it. Write to the contact address below and we will answer within 30 days. You can also complain to the Turkish Data Protection Authority (KVKK).

One honest limit: if you sent a message anonymously and want the traffic record deleted, we usually cannot do it before the two years are up, because keeping it is the legal obligation described above.

Aydınlatma metni

Son güncelleme: 12 Eylül 2026. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi uyarınca hazırlanmıştır.

Kısa hâli

Mümkün olan en azını tutuyoruz. E-posta adresini saklamıyoruz. Hiçbir şeyi kimseye satmıyoruz. Kimin ne gönderdiğini kaydetmek yasal zorunluluğumuz; kaydediyoruz ve mesaj gönderilebilen her sayfada bunu söylüyoruz.

Birine mesaj gönderirsen

Hesaba ihtiyacın yok ve kim olduğunu sormuyoruz. Kaydettiklerimiz:

• IP adresin, zaman damgası ve tarayıcı bilgin. 5651 sayılı kanun gereği — bu kanun bizi yer sağlayıcı yapar ve trafik kaydı tutma yükümlülüğü getirir. İki yıl saklanır, sonra zamanlanmış bir görev tarafından otomatik silinir.
• Mesajın kendisi — metni ya da çiziminin çizgileri. Çizimler resim dosyası olarak değil, çizgi geometrisi olarak saklanır.
• Rastgele bir gönderen belirteci (çerezde), böylece alıcı kim olduğunu asla öğrenmeden seni engelleyebilir. Bu site dışında hiçbir şeyi tanımlamaz.

Alıcı ilk maddedekilerin hiçbirini görmez. Gönderen belirtecini sunucudan başka kimse görmez.

Hesabın varsa

• Google hesap kimliğin, tekrar giriş yapabilmen için.
• E-posta adresinin özeti (hash), yalnızca Gravatar resmini bulmak için. Adresin kendisini saklamıyoruz. Girişte özete çevrilir ve atılır.
• Kullanıcı adın, biyografin, teman ve kutu ayarların — kurduğun sayfa.
• Seni kimin davet ettiği, çünkü üyelik davete dayalı ve örgütlü kötüye kullanım bu bağ üzerinden takip ediliyor.
• Oturum kayıtları — bir kimlik, girişin IP'si ve tarayıcı bilgisi, bir de bitiş zamanı — gerektiğinde oturumun anında kapatılabilmesi için.
• Aldığın mesajlar, sen silene kadar.
• Bildirim aboneliği, sadece bildirimleri açarsan: tarayıcının bildirim hizmetinin bize verdiği adres ve ona şifreli gönderebilmemiz için anahtarlar; bildirimleri açan oturuma bağlıdır.
• Personel notları — psst ekibinin moderasyon için bir hesap hakkında tutabileceği kısa notlar. Açık olarak işaretlenen not sayfanda imzasız görünür.
• Yasak itirazı, hesabın yasaklanır ve itiraz yazarsan, ekibin cevabıyla birlikte.

Hangi hukuki sebeple

• Hukuki yükümlülük (KVKK m. 5/2-ç): 5651 kapsamındaki trafik kayıtları.
• Sözleşmenin ifası (m. 5/2-c): hesabın ve mesajların.
• Meşru menfaat (m. 5/2-f): moderasyon, kötüye kullanımın önlenmesi ve bir şikayet hakkında ne yaptığımızı gösterebilmemizi sağlayan kayıt.

Başka kim görüyor

psst içinde, moderasyon için bir şeyin kontrol edilmesi gerektiğinde (örneğin bir şikayetten ya da kötüye kullanım belirtisinden sonra) bir yönetici bir hesabın aldığı mesajları açabilir. Her bakış için yazılı bir sebep gerekir ve personel kaydına geçer: kim baktı, kimin kutusuna, ne zaman ve neden. Moderatörler bunu yapamaz ve gelen kutusunu açmak mesajları kimin gönderdiğini göstermez.

psst ekibi dışında, iki istisna dışında kimse. Sunucuyu fiziksel olarak barındıran hizmet sağlayıcımız Almanya'daki Hetzner Online GmbH — yani verilerin AB içinde işleniyor. Bir de Türk mahkemesi veya savcılığı hukuka uygun bir talepte bulunursa uyarız. Bu sitede reklamcı, analitik hizmeti veya üçüncü taraf takip kodu yoktur.

Bildirimleri açarsan, tarayıcının kendi bildirim hizmeti (Chrome için Google, Firefox için Mozilla, Safari için Apple, Edge için Microsoft) cihazına şifreli bir haber taşır. Bu haber sadece yeni bir psst geldiğini söyler, hizmet bunu bile okuyamaz ve mesajın kendisi sunucumuzdan hiç çıkmaz.

Çerezler

Hepsi işlevsel, hiçbiri takip ya da reklam için değil: giriş yaptıysan imzalı bir oturum çerezi, yukarıda anlatılan anonim gönderen belirteci, tarayıcında tutulan dil tercihin ve sadece bir yasağa itiraz ederken (bir saat) ya da hesabını kurtarırken (otuz dakika) var olan iki kısa ömürlü çerez.

Ne kadar saklıyoruz

• Trafik kayıtları: 2 yıl, sonra otomatik silinir.
• Mesajlar: sen silene, ekip kuralları çiğnediği için kaldırana ya da hesabın gidene kadar.
• Şikayetler: açık olduğu sürece ve sonuçlandıktan sonra bir süre daha, ne yapıldığını gösterebilmek için. Bir şikayet, mesaj silinse bile neyin bildirildiğinin bir kopyasını tutar — yoksa kanıt, şikayet edilen şeyle birlikte kaybolur.
• Oturumlar: 90 gün, ya da çıkış yaptığında veya yasaklandığında hemen.
• Bildirim abonelikleri: sen kapatana ya da bağlı olduğu oturum bitene kadar.

Haklarım

KVKK 11. madde uyarınca hakkında veri işlenip işlenmediğini, ne olduğunu, neden tutulduğunu ve kimlere aktarıldığını öğrenebilir; düzeltilmesini veya silinmesini isteyebilir; işlenen veriler üzerinden çıkan sonuçlara itiraz edebilirsin. Aşağıdaki adrese yaz, 30 gün içinde cevaplayalım. Ayrıca Kişisel Verileri Koruma Kurumu'na şikayette bulunabilirsin.

Dürüst bir sınır: anonim bir mesaj gönderdiysen ve trafik kaydının silinmesini istiyorsan, iki yıl dolmadan bunu genellikle yapamayız, çünkü onu tutmak yukarıda anlatılan yasal yükümlülüğün ta kendisi.