ZomRush.io Gizlilik Politikası

Yürürlük tarihi: 10 Kasım 2026

Kısaca: Oyun oynarken reklam çıkmaz; uygulamada yalnız sen seçersen (ör. "Reklam izle, devam et") Google AdMob'un ödüllü reklamı gösterilir. Oyun, ilerlemeni saklamak için rastgele bir cihaz kodu ve seçtiğin takma adı kullanır; takma adın sıralamada ve online'da herkese görünür. Uygulamada oyunu iyileştirmek ve reklam kampanyalarımızın sonucunu ölçmek için Google Analytics for Firebase'i ve iOS'ta Meta'nın ölçüm kitini kullanırız; iOS'ta reklam kimliği (IDFA) yalnız izin verirsen kullanılır. Giriş isteğe bağlıdır; Apple ya da Google ile girersen e-posta adresin giriş hizmetimizde (Google Firebase) tutulur, oyun sunucumuza kaydedilmez. Hesabını ve verilerini oyunun içinden ya da e-postayla sildirebilirsin.

1. Veri sorumlusu ve iletişim

ZomRush.io (iOS ve Android uygulaması ve guzelapps.com/zomrush/play adresindeki web sürümü) Sevgi Güzel (Sarıyer, İstanbul, Türkiye) tarafından geliştirilir ve işletilir. Gizlilikle ilgili her soru ve talep için: support@guzelapps.com.

2. Hangi verileri işliyoruz

2.1 Cihaz kodu

Oyun ilk açılışta rastgele bir cihaz kodu üretir ve cihazında saklar. Bu kod adın, e-postan ya da cihazının donanım kimliği değildir; yalnız ilerlemenin anahtarıdır. Kod, oyun sunucusuna şifreli bağlantıyla (HTTPS/WSS) gönderilir. Sunucu kodun kendisini değil, yalnız tek yönlü özetini (SHA-256) saklar. Kodunu Sığınak → Yerleşim → "Cihaz kodu" ekranında görebilirsin.

2.2 Takma ad

Oyunu ilk açtığında seçtiğin takma ad (2–16 karakter; her oyuncuda farklı) sunucuda saklanır ve başka oyunculara görünür: sıralamada (lider tablosu), aynı odadaki oyunculara, açık odalar listesinde ve kurduğun yerleşimin bölge haritasında. Uygunsuz adlar bir süzgeçle engellenir; oyuncular sıralamadaki bir adı bildirebilir, üç ayrı oyuncu bildirince ad kaldırılır ve sahibinden yeni ad seçmesi istenir (sunucu bildiren ve bildirilen oyuncunun cihaz kodu özetini saklar). Lütfen gerçek adını ya da kişisel bir bilgiyi takma ad olarak kullanma.

2.3 Oyun verisi

Sunucuda, cihaz kodunun özetine bağlı olarak şunlar saklanır: karakter seviyesi ve deneyimi, oyuncu seviyesi (kalıcı tecrübe), Altın bakiyesi, açık karakterler ve kostümler, kalıcı gelişimler ve Altın hareketleri (hangi turdan ya da geceden ne kadar kazanıldığı), tek kişilik turun özeti (süre, öldürme sayısı, dalga, yenilen bosslar; Altın ve tecrübe hesabı için), sıralamadaki en iyi turun (haftalık ve tüm zamanlar: dalga, süre, öldürme, karakter), yerleşimlerin (konum, yapılar, malzemeler, gece sayısı, davet kodu) ve üyelikler, ilk ve son görülme zamanı.

2.4 Hesap (isteğe bağlı)

Giriş zorunlu değildir. Apple ile Giriş ya da Google ile girersen giriş, Google'ın Firebase Authentication hizmetiyle yapılır. Firebase hesabında giriş sağlayıcının verdiği bilgiler tutulur: e-posta adresi (Apple'da "e-postamı gizle" seçersen Apple'ın yönlendirme adresi), sağlayıcının verdiyse adın, sağlayıcı kimliği ve giriş zamanları. Oyun sunucumuz giriş sırasında kimliğini doğrular ama e-posta adresini ya da adını kaydetmez; yalnız Firebase kullanıcı kimliğinin özetini, sağlayıcının türünü (Apple/Google) ve tarihleri saklar. Bağlı hesabın e-postası, hesap ekranında göstermek için yalnız cihazında saklanır.

2.5 Uygulama içi satın alma (iOS ve Android)

Oyunun içinden Altın paketleri, Destekçi Paketi, karakterler ve kostümler satın alınabilir. Ödemeyi Apple ya da Google Play alır; kart ve ödeme bilgilerin bize ya da RevenueCat'e gelmez. Satın alma altyapısı RevenueCat'e uygulama açılınca anonim bir kullanıcı kimliği (giriş yaptıysan Firebase kullanıcı kimliğin) ile uygulama ve sistem sürümü, dil ve mağaza ülkesi gibi teknik bilgiler, satın alınca da ürün, tarih ve mağazanın (Apple ya da Google Play) işlem kimliği gider. Oyun sunucumuz satın almayı RevenueCat'e sorarak doğrular ve oyuncu kaydında ürünü, işlem kimliğini ve tarihi saklar (Altın bir kez yazılsın, satın alımlar geri yüklenebilsin diye). Reklam kimliği RevenueCat'e gönderilmez.

2.6 Kullanım ölçümü ve reklam kimliği (yalnız uygulama)

iOS ve Android uygulamasında Google'ın Google Analytics for Firebase hizmetini kullanırız: uygulama kurulum kimliği, oturumlar, oyundaki olaylar (tur bitişi ve dalga sayısı, seviye atlama, takma ad seçimi), satın almalar ve cihaz bilgileri (model, sistem sürümü, dil, IP'den yaklaşık ülke). Amacımız oyunu iyileştirmek ve reklam kampanyalarımızın (ör. Google Ads) kaç oyuncu getirdiğini ölçmektir. iOS'ta reklam kimliği (IDFA) yalnız "Takip etme izni" penceresinde izin verirsen kullanılır; izni istediğin zaman Ayarlar → Gizlilik ve Güvenlik → Takip'ten geri alabilirsin. Android'de reklam kimliğini cihaz ayarlarından sıfırlayabilir ya da silebilirsin. Web sürümünde ölçüm yoktur.

iOS uygulamasında Google'ın Firebase Crashlytics hizmetiyle çökme ve hata raporu toplarız: çökmenin ya da hatanın teknik ayrıntısı, uygulama ve sistem sürümü, cihaz modeli ve Crashlytics'in kurulum kimliği. Raporlar seni tanımlamaz, reklam ya da takip için kullanılmaz; yalnız hataları bulup düzeltmek içindir.

Meta reklam ölçümü (yalnız iOS uygulaması). Instagram ve Facebook reklamlarımızın kaç oyuncu getirdiğini ölçmek için Meta'nın Facebook SDK'sını (App Events) kullanırız. Meta'ya uygulamanın kurulduğu ve açıldığı, uygulama içi satın almalar, cihaz bilgileri (model, sistem sürümü, dil, saat dilimi, IP adresi) ve Meta'nın bu uygulamaya özel anonim kimliği gider; reklam kimliği (IDFA) yalnız takip izni verdiysen. İzin yoksa Meta sonucu yalnız Apple'ın SKAdNetwork'ü üzerinden, seni tanımadan ve toplu olarak görür. Uygulamada Facebook ile giriş ya da paylaşım yoktur; Facebook hesabın gerekmez ve oyuna bağlanmaz.

Ödüllü reklam (Google AdMob, yalnız uygulama). Oyunun ortasında reklam çıkmaz. Ölünce "Reklam izle, devam et" ya da tur sonunda "Reklam izle, Altın ×2" düğmesine kendin dokunursan Google'ın AdMob hizmeti bir reklam gösterir. Bunun için Google'a cihaz ve uygulama bilgileri (model, sistem sürümü, dil, IP adresi), reklamla etkileşimin (gösterim, tıklama, izleme süresi) ve reklam kimliği gider: iOS'ta IDFA yalnız takip izni verdiysen, Android'de cihazın reklam kimliği. İzin yoksa Google kişiselleştirilmemiş reklam gösterir. Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'de reklamdan önce Google'ın onay penceresi çıkar. Reklam düğmesine dokunmazsan reklam gösterilmez. Web sürümünde reklam yoktur.

2.7 Bildirimler

İzin verirsen uygulama cihazında yerel hatırlatmalar kurar (ör. "Zombiler seni bekliyor", "Haftalık sıralama yarın sıfırlanıyor"). Bunlar cihazında oluşturulur; sunucuya bildirim kimliği gönderilmez. İzni cihaz ayarlarından kapatabilirsin.

2.8 Teknik veriler

IP adresi: Sunucu, kötüye kullanımı sınırlamak için (çok sık giriş, oda ya da yerleşim açma denemeleri) IP adresini kısa süre bellekte tutar; veritabanına yazmaz. Oyun sunucusunun adreslerinde web sunucusu erişim günlüğü kapalıdır. Web sürümünün sayfaları (bu sayfa dahil) olağan web sunucusu günlüğüne (IP adresi, zaman, istenen sayfa, tarayıcı bilgisi) düşer.
Sunucu günlüğü: Oyun sunucusunun çalışma günlüğünde oda kodu ve oyuncu adı (odaya giriş/çıkış) yer alabilir. Günlük boyutu sınırlıdır ve kendiliğinden döner (eski kayıtlar silinir).
Cihazında: Ayarlar (ses, titreşim, kamera, kontrol, pil tasarrufu), rekorların, seçtiğin karakter, oyuncu adın, cihaz kodun, gönderilmeyi bekleyen tur özetleri ve bağlı hesabın bilgisi (sağlayıcı, e-posta, Firebase kimliği) cihazının yerel depolamasında tutulur. Uygulamayı silince bunlar da silinir.

2.9 İşlemediğimiz veriler

Konum, kişiler, fotoğraf, kamera, mikrofon, sağlık ya da ödeme bilgisi istemiyoruz. Reklam yalnız 2.6'daki ödüllü reklamdır, hata raporlama yalnız 2.6'daki Crashlytics'tir. Oyunda sohbet ve mesajlaşma yoktur.

3. Neden işliyoruz (amaç ve hukuki sebep)

Oyunu sunmak: ilerlemeni, Altın'ını, gelişimlerini ve yerleşimini saklamak, online odaları çalıştırmak (sözleşmenin ifası, KVKK m. 5/2-c; GDPR m. 6/1-b).
İsteğe bağlı hesap: ilerlemeni cihazlar arasında taşımak ve telefon değişince kurtarmak (açık isteğinle başlatılan sözleşme; KVKK m. 5/2-c; GDPR m. 6/1-b).
Güvenlik ve kötüye kullanımı önleme: IP'ye göre hız sınırları, sahte Altın taleplerini sınırlama, uygunsuz adların bildirilmesi (meşru menfaat; KVKK m. 5/2-f; GDPR m. 6/1-f).
Kullanım ölçümü: oyunu iyileştirmek ve reklam kampanyalarımızın toplu sonucunu ölçmek (meşru menfaat); reklam kimliğiyle reklam kampanyası ölçümü yalnız açık rızanla (iOS takip izni; KVKK m. 5/1; GDPR m. 6/1-a).
Ödüllü reklam: senin isteğinle gösterilen reklam karşılığında ödül vermek (sözleşmenin ifası); kişiselleştirilmiş reklam yalnız açık rızanla (iOS takip izni, AEA/BK'da Google'ın onay penceresi; KVKK m. 5/1; GDPR m. 6/1-a).

Verilerini satmıyoruz. Reklam kimliği yalnız izin verirsen reklam kampanyalarımızın ölçümü ve kişiselleştirilmiş ödüllü reklam için kullanılır.

4. Kimlerle paylaşılır (hizmet sağlayıcılar)

Sağlayıcı	Ne için	Hangi veri
Google LLC — Firebase Authentication, Google ile Giriş	İsteğe bağlı giriş	E-posta, ad (verildiyse), sağlayıcı kimliği, giriş zamanları, teknik bağlantı verileri
Apple — Apple ile Giriş	İsteğe bağlı giriş (yalnız iOS)	Apple'ın sana sorduğu ad ve e-posta (gizlenebilir)
Google LLC — Google Analytics for Firebase	Kullanım ölçümü, reklam kampanyası ölçümü (yalnız uygulama)	Uygulama kurulum kimliği, oyun olayları, satın almalar, cihaz bilgileri, yaklaşık ülke; iOS'ta izinle reklam kimliği (IDFA), Android'de reklam kimliği
Google LLC — Google AdMob	Ödüllü reklam (yalnız uygulama, yalnız sen seçersen)	Cihaz ve uygulama bilgileri, IP adresi, reklam etkileşimleri; izinle reklam kimliği (iOS IDFA, Android reklam kimliği)
Google LLC — Firebase Crashlytics	Çökme ve hata raporları (yalnız iOS uygulaması)	Çökme/hata ayrıntısı, uygulama ve sistem sürümü, cihaz modeli, Crashlytics kurulum kimliği
Meta Platforms Ireland Ltd. — Facebook SDK (App Events)	Instagram/Facebook reklam kampanyası ölçümü (yalnız iOS uygulaması)	Kurulum ve açılış, uygulama içi satın almalar, cihaz bilgileri, IP adresi, Meta anonim kimliği; izinle reklam kimliği (IDFA)
Cloudflare, Inc.	Web sitesi ve web oyununun iletimi, güvenlik	IP adresi, tarayıcı bilgisi, istenen sayfa (kısa süreli teknik kayıt)
RevenueCat, Inc.	Uygulama içi satın alma altyapısı (iOS ve Android)	Anonim kimlik ya da Firebase kimliği, satın alınan ürün, tarih ve işlem kimliği, uygulama/sistem sürümü, dil, mağaza ülkesi
Sunucu barındırma	Oyun sunucusunun çalıştığı kiralık sunucu	Sunucudaki oyun verisi (bölüm 2.1–2.3)

Google, Meta ve RevenueCat verileri ABD dahil yurt dışındaki sunucularda işleyebilir; bu aktarım, ilgili sağlayıcıların standart sözleşme hükümleri ve kendi gizlilik politikalarıyla yapılır (Firebase, Meta, RevenueCat, Apple). Yasal bir zorunluluk olmadıkça verilerini başka kimseyle paylaşmayız.

5. Saklama süresi

Sunucudaki oyun verisi ve hesap bağı, sen silene ya da silinmesini isteyene kadar saklanır.
Sunucu her güncellemeden önce veritabanının yedeğini alır; en son 10 yedek tutulur, eskiler silinir. Silinen veriler bu yedeklerden zamanla kendiliğinden düşer.
Firebase hesabı, hesabını silene kadar Google'da kalır. Google Analytics verisi en geç 14 ay içinde kendiliğinden silinir. RevenueCat verisi, RevenueCat'in saklama kurallarına tabidir; silme talebinde oradan da sildiririz.
Cihazındaki veriler uygulamayı silince silinir.

6. Hesabını ve verilerini silme

Hesapla girdiysen (oyunun içinden): Ana menü (ya da duraklatma menüsü) → HESAP → Hesabımı sil → EVET, SİL. Onay için aynı Apple ya da Google hesabıyla bir kez daha giriş istenir. Silmede sunucudaki karakterin, Altın'ın, gelişimlerin, yerleşim üyeliklerin, cihaz eşlemelerin ve hesap bağın silinir; kurduğun yerleşimin başka üyesi varsa yerleşim en eski üyeye geçer, yoksa silinir. Ardından Firebase hesabın silinir ve Apple ile girdiysen Apple'daki yetkin iptal edilir. İşlem geri alınamaz.

Hesapsız oynadıysan ya da oyuna erişemiyorsan (e-postayla): support@guzelapps.com adresine "veri silme" konulu bir e-posta gönder. Hesapsız verinin sahibini ancak cihaz koduyla bulabiliriz: kodunu Sığınak → Yerleşim → Cihaz kodu → KOPYALA ile alıp e-postaya ekle (kodu yalnız bize gönder, başkasıyla paylaşma). Talebi en geç 30 gün içinde yerine getirir ve sana yazarız.

Uygulamayı silmek yalnız cihazdaki verileri siler; sunucudaki veri için yukarıdaki yollardan birini kullan.

7. Hakların

6698 sayılı KVKK'nın 11. maddesi ve (AB/AEA'daysan) GDPR kapsamında; verilerinin işlenip işlenmediğini öğrenme, bilgi ve kopya isteme, düzeltme, silme, işlemenin kısıtlanması ve itiraz haklarına sahipsin. Talebini support@guzelapps.com adresine gönderebilirsin. Ayrıca Kişisel Verileri Koruma Kurumu'na ya da bulunduğun ülkenin veri koruma otoritesine şikâyette bulunabilirsin.

8. Çocuklar

Oyun çizgi film tarzında zombi şiddeti içerir ve 13 yaşından küçük çocuklara yönelik değildir. 13 yaşından küçük bir çocuğa ait veri olduğunu düşünüyorsan bize yaz, sileriz.

9. Güvenlik

Uygulama ile sunucu arasındaki bütün bağlantılar şifrelidir (HTTPS/WSS). Sunucu cihaz kodunu ve Firebase kimliğini yalnız tek yönlü özet olarak saklar. Cihaz kodun ilerlemenin anahtarıdır: kimseyle paylaşma.

10. Değişiklikler

Bu politikayı değiştirirsek bu sayfayı ve yürürlük tarihini güncelleriz. 26 Ekim 2026: uygulama içi satın alma eklendi (bölüm 2.5), oyunun adı ZombieZumbi'den ZomRush.io'ya değişti. 27 Ekim 2026: takma ad, sıralama ve ad bildirme (2.2, 2.3), kullanım ölçümü ve izinle reklam kimliği (2.6), yerel bildirimler (2.7). 4 Kasım 2026: Android uygulamasında Google Play'den satın alma (2.5). 5 Kasım 2026: politika ve oyunun web adresi www.guzelapps.com'a taşındı, web iletiminde Cloudflare eklendi. 9 Kasım 2026: uygulamada isteğe bağlı ödüllü reklam (Google AdMob, 2.6). 10 Kasım 2026: iOS uygulamasında Meta reklam ölçümü (Facebook SDK, 2.6).

ZomRush.io Privacy Policy

Effective date: November 10, 2026

In short: No ads interrupt gameplay; in the app, a Google AdMob rewarded ad is shown only if you choose one (e.g. "Watch ad, continue"). It uses a random device code and the nickname you choose to save your progress; your nickname is visible to everyone on the leaderboard and online. In the app we use Google Analytics for Firebase, and on iOS Meta's measurement kit, to improve the game and measure our ad campaigns; on iOS the advertising identifier (IDFA) is used only if you allow it. Signing in is optional; if you sign in with Apple or Google, your email address is kept by our sign-in service (Google Firebase) and is not stored on our game server. You can delete your account and data from inside the game or by email.

1. Who we are

ZomRush.io (the iOS and Android apps and the web version at guzelapps.com/zomrush/play) is developed and operated by Sevgi Güzel (Sarıyer, İstanbul, Türkiye). For any privacy question or request: support@guzelapps.com.

2. What we process

2.1 Device code

On first launch the game creates a random device code and stores it on your device. It is not your name, email or a hardware identifier; it is only the key to your progress. The code is sent to the game server over an encrypted connection (HTTPS/WSS). The server does not store the code itself, only a one-way hash (SHA-256). You can see your code under Shelter → Settlement → "Device code".

2.2 Nickname

The nickname you choose when you first open the game (2–16 characters; unique per player) is stored on the server and is visible to other players: on the leaderboard, in the same room, in the list of open rooms, and on the region map of a settlement you founded. Inappropriate names are blocked by a filter; players can report a name on the leaderboard, and when three different players report it, the name is removed and its owner is asked to choose a new one (the server stores the hashed device codes of the reporter and the reported player). Please do not use your real name or other personal information as your nickname.

2.3 Game data

Linked to the hash of your device code, the server stores: character level and experience, player level (permanent XP), Gold balance, unlocked characters and costumes, permanent upgrades and Gold history (how much was earned from which run or night), a summary of single-player runs (duration, kills, waves, bosses defeated; used to calculate Gold and XP), your best run on the leaderboard (weekly and all-time: wave, time, kills, character), settlements (position, buildings, materials, nights survived, invite code) and memberships, and first/last seen times.

2.4 Account (optional)

Signing in is not required. If you use Sign in with Apple or Google, sign-in is handled by Google's Firebase Authentication. Your Firebase account holds what the provider shares: email address (Apple's relay address if you choose "Hide My Email"), your name if the provider shares it, the provider's user ID and sign-in times. Our game server verifies your identity at sign-in but does not store your email address or name; it stores only a hash of your Firebase user ID, the provider type (Apple/Google) and dates. The email of the linked account is kept only on your device, to show it on the account screen.

2.5 In-app purchases (iOS and Android)

Gold packs, a Supporter Pack, characters and costumes can be bought inside the game. Apple or Google Play takes the payment; your card and payment details never reach us or RevenueCat. Our purchase framework, RevenueCat, receives an anonymous user ID (your Firebase user ID if you are signed in) and technical details such as app and OS version, language and store country when the app starts, and the product, date and the store's (Apple or Google Play) transaction ID when you buy. Our game server verifies the purchase with RevenueCat and keeps the product, transaction ID and date with your player record (so Gold is credited once and purchases can be restored). The advertising identifier is not sent to RevenueCat.

2.6 Usage measurement and advertising identifier (app only)

In the iOS and Android apps we use Google's Google Analytics for Firebase: an app-instance ID, sessions, in-game events (run end and wave count, level-ups, choosing a nickname), purchases and device details (model, OS version, language, approximate country from the IP address). We use it to improve the game and to measure how many players our ad campaigns (e.g. Google Ads) bring. On iOS the advertising identifier (IDFA) is used only if you allow it in the "Allow tracking" prompt; you can withdraw this any time under Settings → Privacy & Security → Tracking. On Android you can reset or delete the advertising ID in your device settings. The web version has no measurement.

In the iOS app we collect crash and error reports with Google's Firebase Crashlytics: the technical details of the crash or error, app and system version, device model and the Crashlytics installation ID. Reports do not identify you and are not used for advertising or tracking; they are only for finding and fixing bugs.

Meta ad measurement (iOS app only). To measure how many players our Instagram and Facebook ads bring, we use Meta's Facebook SDK (App Events). It sends Meta that the app was installed and opened, in-app purchases, device details (model, OS version, language, time zone, IP address) and Meta's anonymous ID for this app; the advertising identifier (IDFA) only if you allowed tracking. Without that permission Meta sees results only through Apple's SKAdNetwork, aggregated and without identifying you. The app has no Facebook login or sharing; you do not need a Facebook account and none is linked to the game.

Rewarded ads (Google AdMob, app only). No ads appear during play. If you tap "Watch ad, continue" after dying or "Watch ad, Gold ×2" at the end of a run, Google's AdMob service shows an ad. For this, device and app details (model, OS version, language, IP address), your interaction with the ad (impression, click, watch time) and the advertising ID go to Google: on iOS the IDFA only if you granted tracking permission, on Android the device advertising ID. Without permission Google shows non-personalized ads. In the European Economic Area, the UK and Switzerland, Google's consent form appears before ads. If you don't tap an ad button, no ad is shown. The web version has no ads.

2.7 Notifications

If you allow it, the app schedules local reminders on your device (e.g. "The zombies are waiting!", "Weekly leaderboard resets tomorrow"). They are created on your device; no notification token is sent to our server. You can turn them off in your device settings.

2.8 Technical data

IP address: To limit abuse (too many sign-in, room or settlement attempts), the server keeps IP addresses briefly in memory; they are not written to the database. Web server access logging is off for the game server's addresses. Pages of the web version (including this one) appear in the usual web server log (IP address, time, page requested, browser details).
Server log: The game server's operational log may contain room codes and player names (joining and leaving rooms). The log has a fixed size and rotates automatically (old entries are deleted).
On your device: Settings (sound, haptics, camera, controls, battery saver), your records, chosen character, player name, device code, run summaries waiting to be sent, and linked-account details (provider, email, Firebase ID) are kept in the device's local storage. Deleting the app deletes them.

2.9 What we do not process

We do not ask for location, contacts, photos, camera, microphone, health or payment information. The only ads are the rewarded ads in 2.6 and the only crash reporting is Crashlytics in 2.6. There is no chat or messaging in the game.

3. Why (purposes and legal bases)

Providing the game: saving your progress, Gold, upgrades and settlement, running online rooms (performance of a contract; GDPR Art. 6(1)(b); KVKK Art. 5(2)(c)).
Optional account: carrying your progress between devices and restoring it on a new phone (contract, started at your request; GDPR Art. 6(1)(b)).
Security and abuse prevention: rate limits by IP, limiting fake Gold claims, reporting inappropriate names (legitimate interest; GDPR Art. 6(1)(f); KVKK Art. 5(2)(f)).
Usage measurement: improving the game and measuring our ad campaigns in aggregate (legitimate interest); measuring ad campaigns with the advertising identifier only with your consent (iOS tracking permission; GDPR Art. 6(1)(a); KVKK Art. 5(1)).
Rewarded ads: giving the reward for an ad you asked to watch (performance of a contract); personalized ads only with your consent (iOS tracking permission, Google's consent form in the EEA/UK; GDPR Art. 6(1)(a); KVKK Art. 5(1)).

We do not sell your data. The advertising identifier is used only if you allow it, to measure our ad campaigns and for personalized rewarded ads.

4. Who receives data (service providers)

Provider	Purpose	Data
Google LLC — Firebase Authentication, Google Sign-In	Optional sign-in	Email, name (if shared), provider ID, sign-in times, technical connection data
Apple — Sign in with Apple	Optional sign-in (iOS only)	Name and email Apple asks you to share (email can be hidden)
Google LLC — Google Analytics for Firebase	Usage and ad campaign measurement (app only)	App-instance ID, in-game events, purchases, device details, approximate country; on iOS the IDFA with your permission, on Android the advertising ID
Google LLC — Google AdMob	Rewarded ads (app only, only if you choose)	Device and app details, IP address, ad interactions; with permission the advertising ID (iOS IDFA, Android advertising ID)
Google LLC — Firebase Crashlytics	Crash and error reports (iOS app only)	Crash/error details, app and system version, device model, Crashlytics installation ID
Meta Platforms Ireland Ltd. — Facebook SDK (App Events)	Instagram/Facebook ad campaign measurement (iOS app only)	Installs and app opens, in-app purchases, device details, IP address, Meta anonymous ID; with permission the advertising identifier (IDFA)
Cloudflare, Inc.	Delivery and security of the website and web game	IP address, browser details, requested page (short-lived technical logs)
RevenueCat, Inc.	In-app purchase framework (iOS and Android)	Anonymous ID or Firebase ID, purchased product, date and transaction ID, app/OS version, language, store country
Server hosting	Rented server running the game server	Game data on the server (sections 2.1–2.3)

Google, Meta and RevenueCat may process data on servers outside your country, including the United States, under their standard contractual terms and privacy policies (Firebase, Meta, RevenueCat, Apple). We do not share your data with anyone else unless the law requires it.

5. Retention

Game data and the account link on the server are kept until you delete them or ask us to.
The server backs up its database before each update; the latest 10 backups are kept and older ones deleted. Deleted data drops out of these backups over time.
Your Firebase account stays with Google until you delete your account. Google Analytics data is deleted automatically within 14 months at most. RevenueCat data follows RevenueCat's retention rules; on a deletion request we also delete it there.
Data on your device is deleted when you delete the app.

6. Deleting your account and data

If you signed in (inside the game): Main menu (or pause menu) → ACCOUNT → Delete my account → YES, DELETE. To confirm, you sign in once more with the same Apple or Google account. This deletes your character, Gold, upgrades, settlement memberships, device links and account link from the server; a settlement you founded passes to its oldest member, or is deleted if it has no other members. Your Firebase account is then deleted, and if you used Apple, the app's authorization with Apple is revoked. This cannot be undone.

If you played without an account, or cannot open the game (by email): send an email with the subject "data deletion" to support@guzelapps.com. Without an account we can only find your data by its device code: copy it via Shelter → Settlement → Device code → COPY and include it in the email (send the code only to us, never share it with anyone else). We will complete the request within 30 days and reply to you.

Deleting the app removes only the data on your device; for data on the server use one of the options above.

7. Your rights

Under the GDPR (if you are in the EU/EEA), Turkish KVKK Art. 11 and similar laws, you can ask whether we process your data, request access and a copy, correction, deletion, restriction, and object to processing. Send requests to support@guzelapps.com. You can also complain to your local data protection authority.

8. Children

The game contains cartoon zombie violence and is not directed at children under 13. If you believe we hold data from a child under 13, contact us and we will delete it.

9. Security

All connections between the app and the server are encrypted (HTTPS/WSS). The server stores your device code and Firebase ID only as one-way hashes. Your device code is the key to your progress: do not share it.

10. Changes

If we change this policy, we will update this page and its effective date. October 26, 2026: in-app purchases were added (section 2.5) and the game was renamed from ZombieZumbi to ZomRush.io. October 27, 2026: nicknames, leaderboard and name reporting (2.2, 2.3), usage measurement and the advertising identifier with permission (2.6), local notifications (2.7). November 4, 2026: purchases through Google Play in the Android app (2.5). November 5, 2026: this policy and the web game moved to www.guzelapps.com; Cloudflare added for web delivery. November 9, 2026: optional rewarded ads in the app (Google AdMob, 2.6). November 10, 2026: Meta ad measurement in the iOS app (Facebook SDK, 2.6).