Wavvy Wavvy Vault — Privacy Policy
Last Updated: 13 October 2026
1. Introduction
Wavvy Vault is a password manager for Android phones and tablets. It keeps your passwords, PINs, cards and secure notes in an encrypted vault, organized by category and institution (for example Bank → your bank → your login).
Your vault never leaves your device. Wavvy Vault has no account, no cloud sync and no vault server. Everything you store in the vault is encrypted on your device and stays there. We never receive, see or store your vault contents or your master password. The only copies of your vault that exist outside the app are the backup files you choose to export yourself.
No ads. Wavvy Vault contains no advertising and no advertising SDK, and it does not use your device's advertising ID.
Who is responsible for your data
Wavvy Vault is developed and published by Mustafa Terzi, an independent individual developer based in Rize, Türkiye. "Rize Teknoloji" is only a brand name used by the developer; it is not a company. The same developer also publishes Wavvy TV Plus, Wavvy IP Camera and Wavvy Player. The apps use the same Google Firebase project, and each app keeps its own data separately.
- Developer and data controller: Mustafa Terzi
- Based in: Rize, Türkiye
- Privacy contact: privacy@rizeteknoloji.com.tr
- App support: wavvyvault-support@rizeteknoloji.com.tr
- Data deletion: Data deletion page
Your use of the app is also governed by our Terms of Use.
This policy is also published in Turkish further down this page. Both versions have the same content; in the event of any discrepancy, the Turkish version prevails.
2. Information We Process
A. Your Vault (on Your Device Only)
Vault contents. Everything you add to the vault stays on your device: categories, institutions, entry names, user names, passwords, PINs, card details, secure notes, web addresses, password history (older passwords with the date they were changed) and the pictures you choose as icons. None of this is ever sent to us or to any of our service providers.
Encryption. The vault is encrypted with AES-256-GCM. A random 256-bit data key encrypts the vault. That data key is itself locked ("wrapped") with a key derived from your master password using Argon2id (64 MB memory, 3 iterations, 4 lanes). Your master password is never stored anywhere, neither on your device nor with us.
Icons. The app does not ship or download bank or company logos. An entry's icon is its initials, a generic symbol, a picture you pick from your gallery, or the icon of an app installed on your device. A picture you pick is stored encrypted inside the vault on your device. An app icon is read locally. To offer app icons, the app can see only the apps that appear in your launcher; it does not request access to the full list of installed packages.
B. Unlocking
Master password. Only you know it. We cannot see, reset or recover it (see Section 3).
Quick unlock. You can unlock with your fingerprint, an app PIN (6–12 digits) or a pattern. These unlock a key kept in the Android Keystore (in StrongBox secure hardware when your device has it). Fingerprint unlock uses Android's BiometricPrompt and accepts only strong (Class 3) biometrics. Biometric data is handled by Android and never reaches the app or us. A PIN or pattern is not stored as such; it is protected by two layers (Argon2id plus the hardware key).
C. Anonymous Identifier
When you first open the app, Firebase Anonymous Authentication creates a random anonymous user ID. It is not linked to your name, email address or phone number. There is no sign-in, no Google account link and no user profile.
D. The Anonymous Cloud Record
Under that anonymous ID, the app keeps one small document in Google Firebase Cloud Firestore. It contains only:
- The time your free trial started
- Whether Pro is active (a yes/no flag)
- A summary of your security settings: auto-lock time, lock-when-leaving time, clipboard-clear time, how often the master password is asked again, the type of quick unlock (a label such as "fingerprint" or "PIN", never the PIN itself) and the app version
It never contains vault contents, entry names, institution names, passwords, PINs or your master password.
E. Free Trial Device Record
New installs get a 7-day free trial. To stop the trial from being restarted by reinstalling the app or changing the device clock, we store a device record in Cloud Firestore: a one-way SHA-256 hash of your device's Android ID combined with a salt specific to this app, together with the time it was first seen. The raw Android ID never leaves your device and cannot be recovered from the hash. The record is not linked to your name or email and expires automatically about 400 days after it is created.
To read the current time reliably, the app also asks Android for network time and sends a short request to Google's connectivity check address (clients3.google.com/generate_204). Only the response's date is used.
F. Online Status Counter
While the app is open, it may keep one small record in Firebase Realtime Database so we can see how many people are using it right now. The record contains a random installation ID created by the app, your app version, the platform, the country of your device's region setting (a two-letter code, not derived from your IP address or GPS), your access type (free trial, Pro or free version) and the general kind of screen that is open, never its contents. It contains no personal data and is deleted automatically when you leave or close the app.
G. Usage Statistics and Crash Reports
Usage statistics. We use Google Firebase Analytics to understand how the app is used. Events contain only fixed labels and rounded counts, for example "entry added, type = login, number of entries 10–49", or that the Pro screen was shown or a purchase was completed. They never contain vault contents, entry or institution names, user names, passwords, web addresses or notes. Firebase Analytics uses an app instance ID and may derive your approximate location from your IP address. Advertising ID collection and ad personalization signals are switched off in Firebase Analytics.
Crash reports. We use Firebase Crashlytics. When the app crashes or hits an unexpected error, we receive the type of error and the technical trace of where it happened in our code, your device model, Android version and app version. Error messages are removed before sending, so that no text from your vault can end up in a crash report.
Remote settings. The app downloads settings from Firebase Remote Config so that we can adjust features without an update. This request carries the app instance ID and basic device information, but no personal content.
Notifications. If you allow notifications, the app can remind you to back up your vault and tell you about your free trial and Pro. These reminders are scheduled on your device: no server decides them and nothing about your vault is sent anywhere. For occasional announcements we use Firebase Cloud Messaging: the app registers a messaging token with Google and subscribes to general topics (all users, and your app language). We do not store this token on our own servers and it is not linked to your vault. Notifications never contain vault contents. You can turn them off at any time in Android settings or in the app under Settings → Notifications; if they are off, the app does not subscribe to any topic.
H. Information We Do Not Collect
- Your vault or anything in it, and your master password, PIN or pattern
- Biometric data (handled only by Android)
- GPS or precise location. The app requests no location permission
- Contacts, photos or files on your device, except a picture you explicitly pick as an icon, which stays encrypted in your vault on your device
- The list of all installed apps
- Your advertising ID. The app contains no ads or advertising SDK and does not access the advertising ID
- Payment card details for purchases (handled only by Google Play). Card details you store in your vault stay in your vault
3. Your Master Password Cannot Be Recovered
Because we never receive your master password or your vault, there is no "forgot password" option and no reset. If you forget your master password and have no quick unlock available, your vault cannot be opened by you, by us or by anyone else. To help you remember it, the app asks for the master password again every 7 days by default and after your phone restarts (you can change this in Settings). Keep an up-to-date backup file (Section 4) and keep your master password in a safe place.
4. Backups, Import and Export
Android backup is switched off. The app's data is excluded from Android's automatic cloud backup and device-to-device transfer, so your vault is not copied to any cloud by the system.
Encrypted backup (.wvault). You can export an encrypted backup file. It is encrypted with your master password and you choose where to keep it: your own Google Drive, a USB drive, a computer or anywhere else. To restore, for example on a new phone or after reinstalling, you open the file and enter the master password used when it was made. We have no copy of it.
KeePass export (.kdbx). You can export your vault as a KeePass-compatible .kdbx file, protected by a password.
CSV export (unencrypted). You can also export your entries as a plain CSV file for another password manager. The app warns you first and asks for your master password: the file is not encrypted, so anyone who gets it can read it. Keep it only as long as you need it and delete it afterwards.
KeePass key file. When importing a .kdbx file you may select a key file; it is read only to open that file and is not stored.
2FA codes (TOTP). Time-based one-time codes are computed on your device from a secret you store in the entry; the secret is encrypted in the vault like every other secret and never leaves the device.
Import. You can import a KeePass .kdbx file or a CSV file exported from another password manager (such as Google Password Manager, Chrome, Bitwarden, 1Password, Firefox, Proton Pass or LastPass). The file is read on your device and nothing from it is sent to us. CSV files are not encrypted: anyone who opens them can read your passwords. Delete the CSV file after importing it, including from your Downloads folder and any cloud copy.
Files you export leave your device only where you send them. Their protection then depends on where you store them and on the strength of your master password.
5. Autofill
If you turn it on, Wavvy Vault works as your Android Autofill service and offers to fill user names and passwords in other apps and browsers. Filling always requires unlocking the vault. The web address of a page is trusted only when it comes from a known browser, which helps protect you from look-alike (phishing) apps. The autofill request is handled on your device; nothing about the app or web page you fill is sent to us.
6. How the Vault Is Protected on Your Device
- Screens are hidden from screenshots, screen recording and the recent-apps preview. This is always on
- Auto-lock when you leave the app (immediately by default), after a period of inactivity (5 minutes by default) and when the screen turns off
- Clipboard: a copied password is cleared after 30 seconds by default (you can change this) and, on Android 13 and later, marked as sensitive so it is not shown in the clipboard preview
- Wrong tries: after 5 wrong PIN or pattern attempts, quick unlock is turned off and the master password is required. Wrong master passwords cause increasing waits, from 30 seconds up to 15 minutes
7. Third Parties We Share Data With
We do not sell your personal data. We share it only with the providers below, only for the purposes stated. None of them receives your vault contents. We do not share data with advertisers or advertising networks.
| Recipient | What they receive | Why |
|---|---|---|
| Google Firebase (Authentication, Cloud Firestore, Realtime Database, Remote Config, Analytics, Crashlytics, Cloud Messaging) | Anonymous user ID, the cloud record in Section 2D, the device trial record in Section 2E, the online status record in Section 2F, usage events, crash reports and the messaging token for notifications in Section 2G | Free trial, Pro status, counting active users, improving the app, fixing crashes and delivering notifications you allowed |
| Google Play Billing | Purchase transactions | Subscriptions and purchases |
| Google (connectivity check) | Your IP address, as part of a standard web request | Reading the current time |
8. Subscriptions and Purchases
Free trial. New installs get 7 days of full Pro. No payment card is needed.
Free version. Up to 10 entries. All unlock methods, autofill, encrypted backup and restore and KeePass export are free forever. You never lose access to your own data.
Pro. Unlimited entries, full password history, 2FA (TOTP) codes, KeePass and CSV import without limit, your own categories and icons, and the security report. Available as a monthly or yearly subscription, or as a one-time lifetime purchase. Subscriptions renew automatically until you cancel them in Google Play. Purchases follow your Google Play account, so Pro also applies on your other phones and tablets signed in with the same account. Your vault itself is not transferred; move it with a backup file.
Payment data. All payments are processed by Google Play Billing. We never see or store your card number or any financial record. For each purchase, Google Play tells us only the product and plan, the country, the amount paid, the order number and whether the purchase is active. Only a one-way hash of your account ID, not the ID itself, is attached to the purchase. In addition, at the time of purchase the app passes Google Play the number of days since you first opened the app (for example "7.21"); this is only a number, does not identify you, and helps us understand how long people use the app before buying.
9. How Long We Keep Your Data
| Data | Retention |
|---|---|
| Your vault on your device | Until you delete entries, erase the vault, clear the app's data or uninstall the app |
| Backup and export files | Wherever you store them, until you delete them. We have no copy |
| Anonymous user ID and cloud record | Removed periodically after a period of inactivity, or earlier on request |
| Free trial device record | Expires automatically about 400 days after it is created |
| Online status record | Deleted automatically when you leave or close the app |
| Analytics event data | 2 months |
| User-level analytics data | 14 months |
| Crash reports | Per Firebase Crashlytics defaults (up to 90 days) |
10. International Data Transfers
We are established in Türkiye. Google processes data on servers in the United States and other countries, which may not offer the same level of protection as your own. Where required, these transfers rely on the European Commission's Standard Contractual Clauses or an equivalent safeguard offered by the provider. For users in Türkiye, transfers are made in accordance with KVKK Article 9. Your vault is never transferred, because it never leaves your device.
11. Your Rights
Depending on where you live, including under the Turkish Personal Data Protection Law (KVKK) and the EU General Data Protection Regulation (GDPR), you have the right to:
- Access the personal data we hold about you
- Correct data that is inaccurate
- Delete your data (see Section 12)
- Object to or restrict processing
- Portability — receive your data in a machine-readable form. Your vault itself you can export at any time in the app
- Complain to your data protection authority — in Türkiye, the KVKK (Kişisel Verileri Koruma Kurumu); in the EU, your national supervisory authority
Because the data we hold is anonymous, we may need a little information from you, such as your device model and approximate install date, to find it.
For residents of California and other US states with equivalent laws: We do not sell your personal information and we do not share it for cross-context behavioral advertising. The app contains no ads and does not use your advertising ID.
To exercise any right, email privacy@rizeteknoloji.com.tr. We respond within 30 days.
12. Deleting Your Data
On your device. Open Settings → Erase vault to delete the vault and every entry from this device right away. This also deletes the anonymous cloud record in Section 2D (Pro flag and settings summary); only the trial device record stays. Clearing the app's storage in Android Settings or uninstalling the app also removes everything the app stored on the device. This cannot be undone: without your own backup file, deleted data cannot be recovered by anyone.
Your backup files. Files you exported (.wvault, .kdbx, CSV) are stored where you put them. We cannot reach them; delete them there.
In our cloud. Uninstalling the app or clearing its storage ends the link between your device and the anonymous record in Section 2D, and anonymous records are removed periodically. If you want it deleted sooner, use our data deletion page or email privacy@rizeteknoloji.com.tr. We complete requests within 30 days. No account is needed.
13. Children's Privacy
Wavvy Vault is intended for adults and is not directed to anyone under 18 (or under the age of majority in your country, where that is higher). We do not knowingly collect personal data from children. If you believe a child has given us personal data, email privacy@rizeteknoloji.com.tr and we will delete it.
14. Security
- The vault is encrypted on your device with AES-256-GCM, using a key derived from your master password with Argon2id
- Quick unlock keys are kept in the Android Keystore, in StrongBox secure hardware when available
- Vault contents are never uploaded, so there is no copy of your vault on any server that could be breached
- Our small cloud records are protected by Firebase security rules that limit each anonymous ID to its own data, and all connections use HTTPS
Your vault is only as strong as your master password and the security of your device. Use a long master password that you do not use anywhere else, keep your device's screen lock on and your Android system up to date.
No system is perfectly secure. If we become aware of a breach affecting your personal data, we will notify you and the relevant authority as required by law.
15. Permissions
| Permission | Why |
|---|---|
| Internet and network state | Free trial, Pro status, statistics and crash reports. The vault never uses the network |
| Biometric | Fingerprint unlock, if you turn it on |
| Notifications (asked on Android 13 and later) | Backup reminders and information about your trial and Pro, only if you allow them |
| Google Play Billing | Buying Pro |
| Added by SDKs (not requested by us): wake lock, foreground service, install referrer | Standard Google Play services and Firebase declarations; no location, contacts, camera or files |
The app requests no location, contacts, camera, microphone, phone or all-files permission. The advertising ID permission (including Android's ad services ad ID and attribution permissions) is explicitly removed from the app.
16. Changes to This Policy
We may update this policy as the app changes. When we do, we revise the "Last Updated" date at the top. If a change materially affects how we handle your data, we will tell you in the app before it takes effect.
17. Contact Us
Privacy questions and data requests: privacy@rizeteknoloji.com.tr
App support: wavvyvault-support@rizeteknoloji.com.tr
Data deletion: Data deletion page
Developer: Mustafa Terzi
Based in: Rize, Türkiye
Wavvy Vault — Gizlilik Politikası
Son Güncelleme: 13 Ekim 2026
1. Giriş
Wavvy Vault, Android telefon ve tabletler için bir şifre yöneticisidir. Şifrelerinizi, PIN'lerinizi, kartlarınızı ve gizli notlarınızı kategori ve kuruma göre düzenlenmiş (örneğin Banka → bankanız → giriş bilgileriniz) şifreli bir kasada saklar.
Kasanız cihazınızdan hiçbir zaman çıkmaz. Wavvy Vault'ta hesap, bulut eşitleme veya kasa sunucusu yoktur. Kasaya kaydettiğiniz her şey cihazınızda şifrelenir ve orada kalır. Kasanızın içeriğini veya ana şifrenizi hiçbir zaman almayız, görmeyiz ve saklamayız. Kasanızın uygulama dışındaki tek kopyaları, kendiniz dışa aktarmayı seçtiğiniz yedek dosyalarıdır.
Reklam yok. Wavvy Vault hiçbir reklam ve reklam SDK'sı içermez; cihazınızın reklam kimliğini kullanmaz.
Verilerinizden kim sorumlu
Wavvy Vault, Rize, Türkiye'de bulunan bağımsız bireysel geliştirici Mustafa Terzi tarafından geliştirilir ve yayınlanır. "Rize Teknoloji" geliştiricinin kullandığı bir marka adıdır, şirket değildir. Aynı geliştirici Wavvy TV Plus, Wavvy IP Camera ve Wavvy Player'ı da yayınlar. Uygulamalar aynı Google Firebase projesini kullanır ve her uygulama kendi verisini ayrı tutar.
- Geliştirici ve veri sorumlusu: Mustafa Terzi
- Bulunduğu yer: Rize, Türkiye
- Gizlilik iletişimi: privacy@rizeteknoloji.com.tr
- Uygulama desteği: wavvyvault-support@rizeteknoloji.com.tr
- Veri silme: Veri silme sayfası
Uygulamayı kullanımınız ayrıca Kullanım Koşullarımıza tabidir.
Bu politikanın İngilizcesi bu sayfanın yukarısında yayımlanmıştır. İki sürümün içeriği aynıdır; herhangi bir uyuşmazlık hâlinde Türkçe sürüm esas alınır.
2. İşlediğimiz Veriler
A. Kasanız (Yalnızca Cihazınızda)
Kasa içeriği. Kasaya eklediğiniz her şey cihazınızda kalır: kategoriler, kurumlar, kayıt adları, kullanıcı adları, şifreler, PIN'ler, kart bilgileri, gizli notlar, web adresleri, şifre geçmişi (eski şifreler ve değiştirildikleri tarih) ve simge olarak seçtiğiniz resimler. Bunların hiçbiri bize veya hizmet sağlayıcılarımızdan herhangi birine asla gönderilmez.
Şifreleme. Kasa AES-256-GCM ile şifrelenir. Kasayı rastgele üretilmiş 256 bitlik bir veri anahtarı şifreler. Bu veri anahtarı da ana şifrenizden Argon2id (64 MB bellek, 3 tur, 4 kanal) ile türetilen bir anahtarla kilitlenir. Ana şifreniz hiçbir yerde saklanmaz; ne cihazınızda ne de bizde.
Simgeler. Uygulama banka veya şirket logosu içermez ve indirmez. Bir kaydın simgesi; baş harfleri, genel bir sembol, galerinizden seçtiğiniz bir resim ya da cihazınızda yüklü bir uygulamanın simgesidir. Seçtiğiniz resim cihazınızda kasanın içinde şifreli olarak saklanır. Uygulama simgesi cihazda okunur. Uygulama simgelerini sunabilmek için uygulama yalnızca ana ekranınızda (başlatıcıda) görünen uygulamaları görebilir; yüklü paketlerin tam listesine erişim istemez.
B. Kilit Açma
Ana şifre. Yalnızca siz bilirsiniz. Onu göremez, sıfırlayamaz ve kurtaramayız (bkz. Bölüm 3).
Hızlı kilit açma. Kasayı parmak izinizle, bir uygulama PIN'iyle (6–12 hane) veya bir desenle açabilirsiniz. Bunlar Android Keystore'da (cihazınızda varsa StrongBox güvenli donanımında) tutulan bir anahtarı açar. Parmak iziyle açma Android'in BiometricPrompt özelliğini kullanır ve yalnızca güçlü (Sınıf 3) biyometriyi kabul eder. Biyometrik veriler Android tarafından işlenir; uygulamaya da bize de hiç ulaşmaz. PIN veya desen olduğu gibi saklanmaz; iki katmanla (Argon2id ve donanım anahtarı) korunur.
C. Anonim Kimlik
Uygulamayı ilk açtığınızda Firebase Anonymous Authentication rastgele bir anonim kullanıcı kimliği oluşturur. Bu kimlik adınıza, e-posta adresinize veya telefon numaranıza bağlı değildir. Giriş yapma, Google hesabı bağlama veya kullanıcı profili yoktur.
D. Anonim Bulut Kaydı
Uygulama bu anonim kimlik altında Google Firebase Cloud Firestore'da tek bir küçük belge tutar. Belgede yalnızca şunlar bulunur:
- Ücretsiz denemenizin başladığı zaman
- Pro'nun etkin olup olmadığı (evet/hayır)
- Güvenlik ayarlarınızın özeti: otomatik kilit süresi, uygulamadan çıkınca kilit süresi, pano temizleme süresi, ana şifrenin hangi sıklıkla yeniden sorulduğu, hızlı kilit açma türü ("parmak izi" veya "PIN" gibi bir etiket; PIN'in kendisi asla) ve uygulama sürümü
Bu belgede kasa içeriği, kayıt adları, kurum adları, şifreler, PIN'ler veya ana şifreniz asla bulunmaz.
E. Ücretsiz Deneme Cihaz Kaydı
Yeni kurulumlar 7 günlük ücretsiz deneme alır. Denemenin uygulamayı yeniden kurarak veya cihaz saatini değiştirerek baştan başlatılmasını önlemek için Cloud Firestore'da bir cihaz kaydı tutarız: cihazınızın Android kimliğinin, bu uygulamaya özel bir tuzla birleştirilmiş tek yönlü SHA-256 özeti ve ilk görüldüğü zaman. Asıl Android kimliği cihazınızdan hiç çıkmaz ve özetten geri elde edilemez. Kayıt adınıza veya e-postanıza bağlı değildir ve oluşturulduktan yaklaşık 400 gün sonra kendiliğinden silinir.
Saati güvenilir biçimde okuyabilmek için uygulama ayrıca Android'den ağ saatini ister ve Google'ın bağlantı kontrol adresine (clients3.google.com/generate_204) kısa bir istek gönderir. Yanıttan yalnızca tarih bilgisi kullanılır.
F. Çevrimiçi Kullanıcı Sayacı
Uygulama açıkken, o anda kaç kişinin kullandığını görebilmemiz için Firebase Realtime Database'de küçük bir kayıt tutabilir. Kayıtta uygulamanın ürettiği rastgele bir kurulum kimliği, uygulama sürümünüz, platform, cihazınızın bölge ayarındaki ülke (iki harfli kod; IP adresinizden veya GPS'ten türetilmez), erişim türünüz (ücretsiz deneme, Pro veya ücretsiz sürüm) ve açık olan ekranın genel türü bulunur; ekranın içeriği asla bulunmaz. Kişisel veri içermez ve uygulamadan çıktığınızda veya uygulamayı kapattığınızda otomatik olarak silinir.
G. Kullanım İstatistikleri ve Çökme Raporları
Kullanım istatistikleri. Uygulamanın nasıl kullanıldığını anlamak için Google Firebase Analytics kullanıyoruz. Olaylar yalnızca sabit etiketler ve yuvarlanmış sayılar içerir; örneğin "kayıt eklendi, tür = giriş, kayıt sayısı 10–49" ya da Pro ekranının gösterildiği veya bir satın almanın tamamlandığı. Kasa içeriği, kayıt veya kurum adı, kullanıcı adı, şifre, web adresi veya not asla içermez. Firebase Analytics bir uygulama örneği kimliği kullanır ve IP adresinizden yaklaşık konumunuzu çıkarabilir. Firebase Analytics'te reklam kimliği toplama ve reklam kişiselleştirme sinyalleri kapalıdır.
Çökme raporları. Firebase Crashlytics kullanıyoruz. Uygulama çöktüğünde veya beklenmeyen bir hatayla karşılaştığında hatanın türünü ve kodumuzda nerede oluştuğunu gösteren teknik izi, cihaz modelinizi, Android sürümünüzü ve uygulama sürümünü alırız. Hata mesajları gönderilmeden önce silinir; böylece kasanızdan hiçbir metin çökme raporuna giremez.
Uzaktan ayarlar. Özellikleri güncelleme yayınlamadan ayarlayabilmek için uygulama Firebase Remote Config üzerinden ayar indirir. Bu istek uygulama örneği kimliğini ve temel cihaz bilgilerini taşır, kişisel içerik taşımaz.
Bildirimler. Bildirimlere izin verirseniz uygulama size kasanızı yedeklemenizi hatırlatabilir ve ücretsiz denemeniz ile Pro hakkında bilgi verebilir. Bu hatırlatmalar cihazınızda zamanlanır: hiçbir sunucu karar vermez ve kasanızla ilgili hiçbir şey bir yere gönderilmez. Ara sıra yapılan duyurular için Firebase Cloud Messaging kullanıyoruz: uygulama Google'a bir mesajlaşma belirteci kaydeder ve genel konulara (tüm kullanıcılar ve uygulama diliniz) abone olur. Bu belirteci kendi sunucularımızda saklamayız ve kasanızla ilişkilendirilmez. Bildirimler asla kasa içeriği taşımaz. Bildirimleri istediğiniz zaman Android ayarlarından veya uygulamada Ayarlar → Bildirimler'den kapatabilirsiniz; kapalıyken uygulama hiçbir konuya abone olmaz.
H. Toplamadığımız Veriler
- Kasanız veya içindeki herhangi bir şey; ana şifreniz, PIN'iniz veya deseniniz
- Biyometrik veriler (yalnızca Android işler)
- GPS veya hassas konum. Uygulama konum izni istemez
- Cihazınızdaki kişiler, fotoğraflar veya dosyalar; simge olarak açıkça seçtiğiniz resim hariç, o da cihazınızda kasanın içinde şifreli kalır
- Yüklü uygulamaların tam listesi
- Reklam kimliğiniz. Uygulamada reklam veya reklam SDK'sı yoktur; reklam kimliğine erişilmez
- Satın almalar için ödeme kartı bilgileri (yalnızca Google Play işler). Kasanıza kaydettiğiniz kart bilgileri kasanızda kalır
3. Ana Şifreniz Kurtarılamaz
Ana şifrenizi ve kasanızı hiçbir zaman almadığımız için "şifremi unuttum" seçeneği ve sıfırlama yoktur. Ana şifrenizi unutursanız ve kullanılabilir bir hızlı kilit açma yönteminiz yoksa kasanız ne sizin, ne bizim, ne de başka birinin tarafından açılabilir. Hatırlamanıza yardımcı olmak için uygulama ana şifreyi varsayılan olarak 7 günde bir ve telefonunuz yeniden başladıktan sonra tekrar sorar (Ayarlar'dan değiştirebilirsiniz). Güncel bir yedek dosyası (Bölüm 4) tutun ve ana şifrenizi güvenli bir yerde saklayın.
4. Yedekleme, İçe ve Dışa Aktarma
Android yedeklemesi kapalıdır. Uygulamanın verileri Android'in otomatik bulut yedeklemesinin ve cihazdan cihaza aktarımın dışında tutulur; yani kasanız sistem tarafından hiçbir buluta kopyalanmaz.
Şifreli yedek (.wvault). Şifreli bir yedek dosyası dışa aktarabilirsiniz. Dosya ana şifrenizle şifrelenir ve nerede tutacağınızı siz seçersiniz: kendi Google Drive'ınız, USB bellek, bilgisayar veya başka bir yer. Geri yüklemek için (örneğin yeni telefonda veya yeniden kurduktan sonra) dosyayı açar ve yedeği alırken kullandığınız ana şifreyi girersiniz. Bizde bir kopyası yoktur.
KeePass'e aktarma (.kdbx). Kasanızı şifreyle korunan, KeePass uyumlu bir .kdbx dosyası olarak dışa aktarabilirsiniz.
CSV dışa aktarma (şifresiz). Kayıtlarınızı başka bir şifre yöneticisi için düz CSV dosyası olarak da dışa aktarabilirsiniz. Uygulama önce sizi uyarır ve ana şifrenizi ister: dosya şifreli değildir, eline geçiren herkes okuyabilir. Yalnızca gerektiği kadar saklayın ve sonra silin.
KeePass anahtar dosyası. Bir .kdbx dosyasını içe aktarırken anahtar dosyası seçebilirsiniz; yalnızca o dosyayı açmak için okunur, saklanmaz.
2FA kodları (TOTP). Zamana dayalı tek kullanımlık kodlar, kayıtta sakladığınız gizli anahtardan cihazınızda hesaplanır; anahtar kasada diğer sırlar gibi şifrelenir ve cihazdan çıkmaz.
İçe aktarma. Bir KeePass .kdbx dosyasını veya başka bir şifre yöneticisinden (Google Şifre Yöneticisi, Chrome, Bitwarden, 1Password, Firefox, Proton Pass veya LastPass gibi) dışa aktarılmış bir CSV dosyasını içe aktarabilirsiniz. Dosya cihazınızda okunur ve içinden hiçbir şey bize gönderilmez. CSV dosyaları şifresizdir: açan herkes şifrelerinizi okuyabilir. İçe aktardıktan sonra CSV dosyasını, İndirilenler klasörü ve buluttaki kopyaları dahil, silin.
Dışa aktardığınız dosyalar cihazınızdan yalnızca sizin gönderdiğiniz yere gider. Bundan sonra korunmaları, onları nerede sakladığınıza ve ana şifrenizin gücüne bağlıdır.
5. Otomatik Doldurma
Açarsanız Wavvy Vault, Android Otomatik Doldurma hizmetiniz olarak çalışır ve diğer uygulamalarda ve tarayıcılarda kullanıcı adı ve şifre doldurmayı önerir. Doldurmak için kasanın kilidini açmak her zaman gerekir. Bir sayfanın web adresine yalnızca bilinen bir tarayıcıdan geliyorsa güvenilir; bu, sizi taklit (oltalama) uygulamalarından korumaya yardımcı olur. Otomatik doldurma isteği cihazınızda işlenir; doldurduğunuz uygulama veya web sayfası hakkında bize hiçbir şey gönderilmez.
6. Kasanız Cihazınızda Nasıl Korunur
- Ekranlar gizlenir: ekran görüntüsü, ekran kaydı ve son uygulamalar önizlemesinde görünmez. Bu her zaman açıktır
- Otomatik kilit: uygulamadan çıktığınızda (varsayılan olarak hemen), bir süre işlem yapılmadığında (varsayılan 5 dakika) ve ekran kapandığında
- Pano: kopyalanan bir şifre varsayılan olarak 30 saniye sonra silinir (değiştirebilirsiniz) ve Android 13 ve sonrasında pano önizlemesinde görünmemesi için hassas olarak işaretlenir
- Hatalı denemeler: 5 hatalı PIN veya desen denemesinden sonra hızlı kilit açma kapanır ve ana şifre istenir. Hatalı ana şifre girişleri, 30 saniyeden 15 dakikaya kadar artan bekleme sürelerine yol açar
7. Verileri Paylaştığımız Üçüncü Taraflar
Kişisel verilerinizi satmıyoruz. Yalnızca aşağıdaki sağlayıcılarla, yalnızca belirtilen amaçlarla paylaşıyoruz. Hiçbiri kasanızın içeriğini almaz. Reklamverenlerle veya reklam ağlarıyla veri paylaşmıyoruz.
| Alıcı | Aldığı veri | Amaç |
|---|---|---|
| Google Firebase (Authentication, Cloud Firestore, Realtime Database, Remote Config, Analytics, Crashlytics, Cloud Messaging) | Anonim kullanıcı kimliği, Bölüm 2D'deki bulut kaydı, Bölüm 2E'deki cihaz deneme kaydı, Bölüm 2F'deki çevrimiçi kaydı, Bölüm 2G'deki kullanım olayları, çökme raporları ve bildirimler için mesajlaşma belirteci | Ücretsiz deneme, Pro durumu, aktif kullanıcı sayımı, uygulamayı geliştirme, çökmeleri giderme ve izin verdiğiniz bildirimleri iletme |
| Google Play Billing | Satın alma işlemleri | Abonelik ve satın almalar |
| Google (bağlantı kontrolü) | Standart bir web isteğinin parçası olarak IP adresiniz | Güncel saati okumak |
8. Abonelikler ve Satın Almalar
Ücretsiz deneme. Yeni kurulumlar 7 gün boyunca tam Pro alır. Ödeme kartı gerekmez.
Ücretsiz sürüm. En fazla 10 kayıt. Tüm kilit açma yöntemleri, otomatik doldurma, şifreli yedekleme ve geri yükleme ile KeePass'e aktarma sonsuza dek ücretsizdir. Kendi verilerinize erişiminizi asla kaybetmezsiniz.
Pro. Sınırsız kayıt, tam şifre geçmişi, 2FA (TOTP) kodları, sınırsız KeePass ve CSV içe aktarma, kendi kategorileriniz ve simgeleriniz ve güvenlik raporu. Aylık veya yıllık abonelik ya da tek seferlik ömür boyu satın alma olarak sunulur. Abonelikler, Google Play'den iptal edene kadar otomatik olarak yenilenir. Satın almalar Google Play hesabınıza bağlıdır; aynı hesapla giriş yapılmış diğer telefon ve tabletlerinizde de Pro geçerlidir. Kasanın kendisi aktarılmaz; onu bir yedek dosyasıyla taşırsınız.
Ödeme verileri. Tüm ödemeler Google Play Billing tarafından işlenir. Kart numaranızı veya herhangi bir finansal kaydınızı asla görmeyiz ve saklamayız. Google Play bize her satın alma için yalnızca şunları iletir: ürün ve plan, ülke, ödenen tutar, sipariş numarası ve satın almanın etkin olup olmadığı. Satın almaya hesap kimliğinizin kendisi değil, yalnızca tek yönlü bir özeti eklenir. Ayrıca uygulama, satın alma sırasında Google Play'e uygulamayı ilk açtığınızdan bu yana geçen gün sayısını (örneğin "7,21") iletir; bu yalnızca bir sayıdır, sizi tanımlamaz ve kullanıcıların uygulamayı ne kadar süre kullandıktan sonra satın aldığını anlamamıza yarar.
9. Verilerinizi Ne Kadar Süreyle Saklıyoruz
| Veri | Saklama süresi |
|---|---|
| Cihazınızdaki kasanız | Kayıtları silene, kasayı silene, uygulama verilerini temizleyene veya uygulamayı kaldırana kadar |
| Yedek ve dışa aktarma dosyaları | Onları sakladığınız yerde, siz silene kadar. Bizde kopyası yoktur |
| Anonim kullanıcı kimliği ve bulut kaydı | Bir süre kullanılmadıktan sonra periyodik olarak silinir; talep ederseniz daha önce |
| Ücretsiz deneme cihaz kaydı | Oluşturulduktan yaklaşık 400 gün sonra kendiliğinden silinir |
| Çevrimiçi kaydı | Uygulamadan çıktığınızda veya uygulamayı kapattığınızda otomatik silinir |
| Analitik olay verileri | 2 ay |
| Kullanıcı düzeyindeki analitik veriler | 14 ay |
| Çökme raporları | Firebase Crashlytics varsayılanlarına göre (90 güne kadar) |
10. Yurt Dışına Veri Aktarımı
Türkiye'de yerleşiğiz. Google verileri Amerika Birleşik Devletleri ve diğer ülkelerdeki sunucularda işler; bu ülkeler kendi ülkenizle aynı düzeyde koruma sunmayabilir. Gerekli olduğu hâllerde bu aktarımlar Avrupa Komisyonu'nun Standart Sözleşme Hükümlerine veya sağlayıcının sunduğu eşdeğer bir güvenceye dayanır. Türkiye'deki kullanıcılar bakımından aktarımlar KVKK Madde 9 uyarınca gerçekleştirilir. Kasanız cihazınızdan hiç çıkmadığı için hiçbir zaman aktarılmaz.
11. Haklarınız
Bulunduğunuz yere bağlı olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve AB Genel Veri Koruma Tüzüğü (GDPR) dahil, şu haklara sahipsiniz:
- Hakkınızda tuttuğumuz kişisel verilere erişme
- Yanlış verilerin düzeltilmesini isteme
- Verilerinizin silinmesini isteme (bkz. Bölüm 12)
- İşlemeye itiraz etme veya işlemeyi kısıtlatma
- Taşınabilirlik — verilerinizi makinece okunabilir biçimde alma. Kasanızın kendisini uygulamadan istediğiniz zaman dışa aktarabilirsiniz
- Veri koruma otoritesine şikâyette bulunma — Türkiye'de Kişisel Verileri Koruma Kurumu (KVKK), AB'de ulusal denetim makamınız
Tuttuğumuz veriler anonim olduğu için onları bulabilmemiz amacıyla sizden cihaz modeliniz ve yaklaşık kurulum tarihiniz gibi küçük bilgiler isteyebiliriz.
Kaliforniya ve eşdeğer yasaları olan diğer ABD eyaletlerindeki kullanıcılar için: Kişisel bilgilerinizi satmıyoruz ve bağlamlar arası davranışsal reklam için paylaşmıyoruz. Uygulamada reklam yoktur ve reklam kimliğiniz kullanılmaz.
Herhangi bir hakkınızı kullanmak için privacy@rizeteknoloji.com.tr adresine yazın. 30 gün içinde yanıt veriyoruz.
12. Verilerinizi Silme
Cihazınızda. Kasayı ve içindeki tüm kayıtları bu cihazdan hemen silmek için Ayarlar → Kasayı sil bölümünü açın. Bu işlem Bölüm 2D'deki anonim bulut kaydını (Pro işareti ve ayar özeti) da siler; yalnızca deneme cihaz kaydı kalır. Android Ayarları'ndan uygulamanın depolama alanını temizlemek veya uygulamayı kaldırmak da uygulamanın cihazda sakladığı her şeyi siler. Bu işlem geri alınamaz: kendi yedek dosyanız yoksa silinen veriler hiç kimse tarafından geri getirilemez.
Yedek dosyalarınız. Dışa aktardığınız dosyalar (.wvault, .kdbx, CSV) onları koyduğunuz yerde durur. Bunlara biz ulaşamayız; oradan silin.
Bulutumuzda. Uygulamayı kaldırmak veya depolamasını temizlemek, cihazınızla Bölüm 2D'deki anonim kayıt arasındaki bağı koparır; anonim kayıtlar da periyodik olarak silinir. Daha önce silinmesini istiyorsanız veri silme sayfamızı kullanın veya privacy@rizeteknoloji.com.tr adresine yazın. Talepleri 30 gün içinde sonuçlandırıyoruz. Hesap gerekmez.
13. Çocukların Gizliliği
Wavvy Vault yetişkinlere yöneliktir ve 18 yaşın altındakilere yönelik değildir (ülkenizde reşitlik yaşı daha yüksekse, o yaşın altındakilere). Çocuklardan bilerek kişisel veri toplamayız. Bir çocuğun bize kişisel veri verdiğini düşünüyorsanız privacy@rizeteknoloji.com.tr adresine yazın, veriyi sileriz.
14. Güvenlik
- Kasa cihazınızda, ana şifrenizden Argon2id ile türetilen bir anahtar kullanılarak AES-256-GCM ile şifrelenir
- Hızlı kilit açma anahtarları Android Keystore'da, varsa StrongBox güvenli donanımında tutulur
- Kasa içeriği hiçbir zaman yüklenmez; bu yüzden herhangi bir sunucuda ele geçirilebilecek bir kasa kopyanız yoktur
- Küçük bulut kayıtlarımız, her anonim kimliği yalnızca kendi verisiyle sınırlayan Firebase güvenlik kurallarıyla korunur ve tüm bağlantılar HTTPS kullanır
Kasanız ancak ana şifreniz ve cihazınızın güvenliği kadar güçlüdür. Başka hiçbir yerde kullanmadığınız uzun bir ana şifre seçin, cihazınızın ekran kilidini açık tutun ve Android sisteminizi güncel tutun.
Hiçbir sistem kusursuz biçimde güvenli değildir. Kişisel verilerinizi etkileyen bir ihlalden haberdar olursak, yasanın gerektirdiği şekilde sizi ve ilgili makamı bilgilendiririz.
15. İzinler
| İzin | Neden |
|---|---|
| İnternet ve ağ durumu | Ücretsiz deneme, Pro durumu, istatistikler ve çökme raporları. Kasa ağı hiç kullanmaz |
| Biyometrik | Açarsanız parmak iziyle kilit açma |
| Bildirimler (Android 13 ve sonrasında sorulur) | Yedek hatırlatmaları ve deneme / Pro bilgilendirmesi, yalnızca izin verirseniz |
| Google Play Billing | Pro satın alma |
| SDK'ların eklediği (bizim istemediğimiz): uyanık kalma, ön plan servisi, yükleme kaynağı | Standart Google Play hizmetleri ve Firebase beyanları; konum, kişiler, kamera veya dosya izni yok |
Uygulama konum, kişiler, kamera, mikrofon, telefon veya tüm dosyalara erişim izni istemez. Reklam kimliği izni (Android reklam servislerinin reklam kimliği ve atıf izinleri dahil) uygulamadan açıkça çıkarılmıştır.
16. Bu Politikadaki Değişiklikler
Uygulama değiştikçe bu politikayı güncelleyebiliriz. Güncellediğimizde en üstteki "Son Güncelleme" tarihini değiştiririz. Bir değişiklik verilerinizi işleme şeklimizi esaslı biçimde etkiliyorsa, yürürlüğe girmeden önce uygulama içinde sizi bilgilendiririz.
17. İletişim
Gizlilik soruları ve veri talepleri: privacy@rizeteknoloji.com.tr
Uygulama desteği: wavvyvault-support@rizeteknoloji.com.tr
Veri silme: Veri silme sayfası
Geliştirici: Mustafa Terzi
Bulunduğu yer: Rize, Türkiye