01Özet
02Cihazınızda saklanan veriler
- Girdiğiniz kasa kayıtları: giriş bilgileri, şifreler, notlar, ödeme kartları, banka hesapları, kimlik belgeleri, adresler, Wi-Fi anahtarları, kripto cüzdanları, doğrulayıcı (TOTP) gizli anahtarları ve geçiş anahtarları (passkey).
- Bu kayıtlar, ana şifrenizden türetilen bir anahtarla (PBKDF2) AES-256-GCM kullanılarak şifrelenir. Android'de veritabanı ayrıca SQLCipher ile şifrelenir.
- Yerel bir güvenlik günlüğü (örneğin kilit açma denemeleri ve senkron sonuçları) ve uygulama ayarlarınız. Şifreli bir yedeğin ya da Android sistem yedeğinin (4. bölüm) parçası olmadıkça cihazınızdan çıkmaz.
03Google ile giriş ve Google Drive yedeği (isteğe bağlı)
Bulut senkronunu açarsanız Google hesabınızla giriş yaparsınız ve SyncPass şu izinleri ister:
openid,userinfo.email,userinfo.profile: yedeğin hangi Google hesabına ait olduğunu belirlemek için.drive.appdata: sizin Google Drive'ınızdaki gizli uygulama verisi klasöründe tek bir yedek dosyası oluşturmak ve güncellemek için. SyncPass Drive'ınızdaki diğer dosyaları göremez.
Yedek, yüklenmeden önce cihazınızda şifrelenir. OstlerTech sunucularında değil, Google hesabınızda saklanır ve yalnızca ana şifrenizle çözülebilir.
Yedeği istediğiniz zaman Google Drive'dan silebilirsiniz: bilgisayarda drive.google.com'da dişli simge → Ayarlar → Uygulamaları yönet → SyncPass'in yanındaki Seçenekler → Gizli uygulama verilerini sil. SyncPass'in erişimini myaccount.google.com/permissions adresinden kaldırabilirsiniz.
SyncPass'in içinde Google Drive'daki yedeği silen bir düğme yoktur. Android'deki "Bağlantıyı Kes" düğmesi yalnızca SyncPass'in o telefondaki Google oturumunu kapatır; Drive'daki yedeği silmez ve Google hesabınızdaki erişim iznini kaldırmaz.
SyncPass'in Google API'lerinden aldığı bilgileri kullanması ve başka bir uygulamaya aktarması, Sınırlı Kullanım (Limited Use) şartları dahil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası'na uygundur. Google API'leri aracılığıyla alınan veriler yalnızca yedekleme ve senkron özelliği için kullanılır; reklam için kullanılmaz, satılmaz ve insanlar tarafından okunmaz.
04Çevrimiçi özellikler ve üçüncü taraf hizmetler
Bazı özellikler dış hizmetlerle iletişim kurar. Yalnızca burada belirtilen veriler gönderilir.
Sızdırılmış şifre kontrolü (Have I Been Pwned)
SyncPass, bir şifrenin SHA-1 özetinin yalnızca ilk 5 karakterini api.pwnedpasswords.com adresine gönderir ve sonuçları cihazınızda karşılaştırır. Şifrenin kendisi asla gönderilmez.
E-posta sızıntı kontrolü (Android, premium, isteğe bağlı)
Kendi Have I Been Pwned API anahtarınızı ekleyip bu kontrolü çalıştırırsanız, kasanızda kullanıcı adı olarak kayıtlı e-posta adresleri haveibeenpwned.com adresine gönderilir. Anahtar kayıtlıyken ve kasanız açıkken bu kontrol haftada bir kendiliğinden de çalışır. Kasanızda başka kişilere ait e-posta adresleri varsa onlar da gönderilir. Kontrolü durdurmak için API anahtarını Kişisel Bilgiler ekranından silin.
Web sitesi simgeleri
Logolar cihazdaki marka kütüphanesinden veya sizin seçtiğiniz görsellerden gösterilir. Kasanızdaki alan adları hiçbir simge hizmetine gönderilmez.
IBAN algılama (Android)
Kasanız açıkken SyncPass panonuzda bir IBAN olup olmadığını kontrol eder. Bu kontrol tamamen cihazınızda yapılır; pano içeriği hiçbir yere gönderilmez.
Google Gemini kullanan isteğe bağlı özellikler (yalnızca Android; SyncPass Masaüstü'nde yoktur)
- Yardım ekranı: uygulama içi yardım ekranına yazdığınız serbest metin, hazır yanıtlarla karşılanmayan sorularda Google Gemini API'sine gönderilir. Göndermeden önce kart numarası, e-posta adresi, IP adresi ve "password: ..." gibi ifadeler silinir; bu süzgeç her parolayı ya da kişisel bilgiyi yakalayamaz. Yardım ekranına parola veya kişisel bilgi yazmayın.
- Kasa güvenlik raporu (premium): yalnızca sayılar ve evet/hayır bilgileri gönderilir: güvenlik puanı, kayıt sayısı, zayıf, tekrar kullanılan ve sızmış şifre sayısı, e-posta sızıntı sayısı ile biyometrik kilidin, bulut senkronunun ve acil durum erişiminin açık olup olmadığı. Şifreler, kullanıcı adları, kayıt adları ve e-posta adresleri gönderilmez.
Gemini'ye gönderilen içerik, Google tarafından Gemini API Ek Hizmet Şartları kapsamında işlenir. Bu şartlar Google'ın içeriği hizmetlerini geliştirmek için kullanmasına izin verebilir.
Önceki sürümler (Android)
18 Eylül 2026'dan önce yayımlanan Android sürümlerinde, kasadaki web sitelerinin alan adları logolar için Google'ın www.google.com üzerindeki simge hizmetine gönderiliyordu. Panoda bir IBAN bulunduğunda pano metni ayrıştırılmak üzere Gemini'ye gönderiliyordu. Bu tarihten sonra yayımlanan sürümlerde bunların hiçbiri yapılmaz; uygulamayı güncellemenizi öneririz. Android'in eski sürümlerinde bulunan kayıt paylaşım kodu özelliği uygulamadan kaldırılmıştır.
Belge ve QR tarama (Android)
Kart, kimlik ve QR kodu tarama, cihazınızda çalışan Google ML Kit ile yapılır; SyncPass bu görüntüleri yüklemez. ML Kit, Google'a kişiyi tanımlamayan tanılama ve kullanım bilgileri (kurulum başına bir kimlik dahil) gönderebilir.
Geçiş anahtarı (passkey) ve otomatik doldurma (Android)
SyncPass, Google'ın tarayıcı listesini www.gstatic.com adresinden yaklaşık 7 günde bir kendiliğinden indirir; bu istekle bir bilgi gönderilmez. Bir uygulama bir site adına geçiş anahtarı isterse, SyncPass o sitenin herkese açık /.well-known/assetlinks.json dosyasını o siteden okur. Kasa içeriği gönderilmez.
Android sistem yedeği (Android)
Telefonunuzda Android'in kendi otomatik yedeği açıksa Android, Google hesabınıza uygulama ayarlarınızı, ana şifrenizi doğrulamak için kullanılan tuz ve doğrulama değerini ve kurtarma anahtarı oluşturduysanız kurtarma anahtarıyla sarılmış kasa anahtarını yedekleyebilir. Kasa veritabanı bu yedeğe girmez; ana şifreniz de girmez. Yedeği ele geçiren biri tuz ve doğrulama değeriyle ana şifre tahmini deneyebilir (her deneme 600.000 turluk anahtar türetme maliyetindedir); sarılı kasa anahtarı ise kurtarma QR kodunuz olmadan açılmaz. Bu yedeği Android'in yedekleme ayarlarından kapatabilirsiniz.
Satın almalar (Android)
Premium satın almalar Google Play Faturalandırma ile yapılır; biz ödeme bilgilerinizi değil, yalnızca satın alma durumunu görürüz.
Çökme raporları (Windows ve Android)
- Windows: SyncPass Masaüstü çökerse, Windows ayarlarınıza bağlı olarak Windows Hata Raporlama (Windows Error Reporting) çökmeyle ilgili teknik bilgileri Microsoft'a gönderebilir. Microsoft bu bilgilerin bir kısmını Windows Desktop Application Program kapsamında bize sunar.
- Android: Google Play, Android'in topladığı çökme ve donma bilgilerini (cihaz modeli, Android sürümü, hata kaydı) bize gösterir.
Bu bilgileri yalnızca hataları bulmak ve düzeltmek için kullanırız; kimseyle paylaşmayız ve sizi tanımak için kullanmayız. Genellikle yalnızca hata sayılarına, sürüme, hata koduna ve hatanın oluştuğu kod satırlarına bakarız. Bir hatayı çözmek için kişisel bilgi içerebilecek bir veriyi (ör. bellek dökümü) incelememiz gerekirse onu en fazla 30 gün, şifreli ve yalnızca geliştiricinin erişebildiği bir yerde tutar, sonra sileriz. SyncPass Masaüstü, kasa içeriğinin çökme dosyalarına girmemesi için bellek dökümü almaz ve kendi çökme kayıtlarını bilgisayarınızda en fazla 30 gün tutar.
Tarayıcı eklentisi ve otomatik yazma (Masaüstü)
SyncPass tarayıcı eklentisi (Chrome) kayıtlarınızı doğrudan bilgisayarınızdaki SyncPass Masaüstü uygulamasından alır; bu bağlantı tarayıcının yerel ileti kanalıyla ve yalnızca aynı bilgisayarda (127.0.0.1) kurulur, internete çıkmaz ve bize hiçbir veri gelmez. Eklenti, açık sayfanın adresini yalnızca o siteye ait kayıtları bulmak için masaüstü uygulamasına iletir; şifre yalnızca o siteye ait bir kaydı seçtiğinizde ve kasanız açıkken verilir. Kasa kilitliyken eklenti hiçbir bilgi alamaz. Eklenti tarama geçmişi toplamaz, analiz ya da reklam amaçlı veri göndermez.
Otomatik yazma kısayolları, öndeki pencerenin başlığına bakarak uygun kaydı bulur ve klavyeden yazar gibi doldurur; pano kullanılmaz, hiçbir bilgi bilgisayardan çıkmaz.
Premium lisansı (Masaüstü)
SyncPass Masaüstü Premium, ostlertech.com üzerinden yetkili satıcımız Paddle.com aracılığıyla satılır. Lisans kodu girdiğinizde uygulama, lisansı doğrulamak için yaklaşık haftada bir sunucumuza yalnızca lisans kodunu, kendi ürettiği rastgele bir cihaz numarasını ve uygulama sürümünü gönderir. Kasanızın içeriği gönderilmez. Ücretsiz sürüm bu sunucuya hiç bağlanmaz. Lisans kayıtları lisans bitiminden sonra 1 yıl saklanır.
05Yapmadıklarımız
- Reklam göstermeyiz; reklam veya analiz amaçlı izleme yazılımları kullanmayız.
- Verilerinizi satmayız, kiralamayız; veriler yalnızca bu metinde sayılan hizmetlere gider.
- SyncPass'i kullanmak için SyncPass'e kayıt olmanız gerekmez; kasanızın kopyası sunucularımızda tutulmaz.
06Acil durum erişimi
Acil durum erişimi bu sürümde güvendiğiniz kişiye kasanıza erişim vermez ve bu özellik için cihazınızdan veri çıkmaz. Girdiğiniz acil durum kişisinin e-posta adresi yalnızca telefonunuzda, uygulamanın özel alanında saklanır.
07Saklama ve silme
Verileriniz, siz silene, uygulamayı sıfırlayana veya kaldırana kadar cihazınızda kalır. Verilerinizi biz tutmadığımız için sizin adınıza silemez veya dışa aktaramayız; bunları kendiniz yaparsınız:
- Cihazınızdaki kayıtları uygulama içinden silebilirsiniz. Android'de kasanızı şifreli bir yedek dosyası olarak dışa da aktarabilirsiniz; SyncPass Masaüstü'nde dosyaya dışa aktarma yoktur.
- Google Drive'daki bulut yedeği uygulama içinden silinmez. Kasayı sıfırlamak, "Bağlantıyı Kes" düğmesi ya da uygulamayı kaldırmak da onu silmez. Yedek, siz 3. bölümdeki yoldan Google Drive'dan silene kadar Google Drive'ınızda kalır.
- Uygulamayı kaldırmak ya da verilerinizi silmek Google Play'deki Premium aboneliğinizi iptal etmez; aboneliği Google Play'den iptal edersiniz.
Çökme raporlarından elimize geçebilecek kişisel bilgileri en fazla 30 gün tutar, sonra sileriz (4. bölüm).
08Güvenlik
Sektör standardı şifreleme kullanırız ve ana şifrenizi asla saklamayız. Ana şifrenizi unutursanız verileriniz, OstlerTech dahil hiç kimse tarafından kurtarılamaz.
09Çocuklar
SyncPass 18 yaşından küçük kişilere yönelik değildir ve bilerek onların verilerini toplamayız.
10Haklarınız
Bulunduğunuz yere göre (örneğin KVKK veya GDPR kapsamında) kişisel verilerinize erişme, bunları düzeltme ve silme haklarınız vardır. Kasanız cihazlarınızda ve kendi Google hesabınızda saklandığı için bu hakları kendiniz kullanırsınız: cihazınızdaki kayıtlar için uygulama içinden, Google Drive'daki yedek için 3. bölümdeki Google Drive yolundan. Her türlü sorunuz için aşağıdaki adresten bize ulaşabilirsiniz.
11Değişiklikler
Bu politikayı güncelleyebiliriz. Güncellemelerde yukarıdaki yürürlük tarihini değiştirir, önemli değişiklikleri uygulama içinde bildiririz.
10 Kasım 2026 güncellemesi: Google Drive'daki yedeğin uygulama içinden değil Google Drive'dan silindiği (silme yolu uygulamadaki anlatımla aynı yazıldı), "Bağlantıyı Kes" düğmesinin yedeği silmediği, SyncPass Masaüstü'nde dosyaya dışa aktarma olmadığı ve uygulamayı kaldırmanın Google Play aboneliğini iptal etmediği açıkça yazıldı (3., 7. ve 10. bölümler).
30 Ekim 2026 güncellemesi: Android sistem yedeği ve geçiş anahtarı bağlantıları eklendi; kasa raporu ve yardım ekranının Gemini'ye ne gönderdiği koda uygun olarak düzeltildi; Play Integrity ve kayıt paylaşım kodu anlatımları kaldırıldı; iletişim adresi güncellendi.
12İletişim
OstlerTech · www.ostlertech.com · destek@ostlertech.com
SyncPass Privacy Policy
Android · Desktop · Effective 10 November 2026
01Summary
02Data stored on your device
- Vault items you enter: logins, passwords, notes, payment cards, bank accounts, identity documents, addresses, Wi-Fi keys, crypto wallets, authenticator (TOTP) secrets and passkeys.
- These items are encrypted with AES-256-GCM using a key derived from your master password (PBKDF2). On Android the database is additionally encrypted with SQLCipher.
- A local security log (for example unlock attempts and sync results) and your app settings. They never leave your device unless they are part of an encrypted backup or the Android system backup (section 4).
03Google Sign-In and Google Drive backup (optional)
If you turn on cloud sync, you sign in with your Google account and SyncPass requests these permissions:
openid,userinfo.email,userinfo.profile: to identify which Google account the backup belongs to.drive.appdata: to create and update one backup file in the hidden application-data folder of your Google Drive. SyncPass cannot see any of your other Drive files.
The backup is encrypted on your device before it is uploaded. It is stored in your Google account, not on OstlerTech servers, and it can only be decrypted with your master password.
You can delete the backup at any time in Google Drive: on a computer at drive.google.com, gear icon → Settings → Manage apps → Options next to SyncPass → Delete hidden app data. You can remove SyncPass's access at myaccount.google.com/permissions.
SyncPass has no button that deletes the backup in Google Drive. "Disconnect" on Android only signs SyncPass out of Google on that phone; it does not delete the backup in Drive and does not remove SyncPass's access from your Google account.
SyncPass's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Data obtained through Google APIs is used only to provide the backup and sync feature; it is not used for advertising, not sold, and not read by people.
04Online features and third-party services
Some features contact outside services. Only the data described here is sent.
Leaked password check (Have I Been Pwned)
SyncPass sends only the first 5 characters of the SHA-1 hash of a password to api.pwnedpasswords.com and compares the results on your device. The password itself is never sent.
Email breach check (Android, premium, optional)
If you add your own Have I Been Pwned API key and run this check, email addresses saved as usernames in your vault are sent to haveibeenpwned.com. While a key is saved and your vault is unlocked, this check also runs automatically once a week. If your vault contains other people's email addresses, those are sent too. To stop it, remove the API key on the Personal Info screen.
Website icons
Logos come from a brand library on your device or from images you pick. The domain names in your vault are never sent to an icon service.
IBAN detection (Android)
While your vault is unlocked, SyncPass checks whether your clipboard contains an IBAN. This check runs entirely on your device; clipboard content is never sent anywhere.
Optional features using Google Gemini (Android app only; not in SyncPass Desktop)
- Help screen: the free text you type in the in-app help screen is sent to the Google Gemini API when a question is not answered by the built-in replies. Before sending, card numbers, email addresses, IP addresses and expressions such as "password: ..." are removed; this filter cannot catch every password or piece of personal information. Do not type passwords or personal information into the help screen.
- Vault security report (premium): only numbers and yes/no values are sent: the security score, the number of items, the number of weak, reused and leaked passwords, the email breach count, and whether biometric unlock, cloud sync and emergency access are turned on. Passwords, usernames, item names and email addresses are not sent.
Content sent to Gemini is processed by Google under the Gemini API Additional Terms of Service, which may allow Google to use it to improve its services.
Earlier versions (Android)
In Android versions released before 18 September 2026, the domain names of websites in your vault were sent to Google's favicon service at www.google.com to show logos, and clipboard text containing an IBAN was sent to Gemini to be parsed. Versions released after that date do neither; we recommend updating the app. The record share-code feature of older Android versions has been removed from the app.
Document and QR scanning (Android)
Card, ID and QR code scanning uses Google ML Kit on your device; SyncPass does not upload these images. ML Kit may send diagnostic and usage information that does not identify you (including a per-installation identifier) to Google.
Passkeys and autofill (Android)
SyncPass automatically downloads Google's browser list from www.gstatic.com about once every 7 days; nothing is sent with this request. If an app asks for a passkey for a website, SyncPass reads that site's public /.well-known/assetlinks.json file from the site. No vault content is sent.
Android system backup (Android)
If Android's own automatic backup is turned on on your phone, Android may back up to your Google account your app settings, the salt and verification value used to check your master password, and, if you created a recovery key, the vault key wrapped with that recovery key. The vault database is not included in this backup, and neither is your master password. Someone who obtains the backup could try to guess the master password using the salt and verification value (each guess costs 600,000 rounds of key derivation); the wrapped vault key cannot be opened without your recovery QR code. You can turn this backup off in Android's backup settings.
Purchases (Android)
Premium purchases are handled by Google Play Billing; we receive the purchase status, not your payment details.
Crash reports (Windows and Android)
- Windows: if SyncPass for Windows crashes, Windows Error Reporting may send technical crash information to Microsoft, depending on your Windows settings. Microsoft makes part of this information available to us through the Windows Desktop Application Program.
- Android: Google Play shows us crash and freeze information collected by Android (device model, Android version, error log).
We use this information only to find and fix bugs; we do not share it and do not use it to identify you. Usually we only look at error counts, version, error code and the code lines where the error happened. If we need to examine data that may contain personal information (such as a memory dump) to fix a bug, we keep it for at most 30 days, encrypted and accessible only to the developer, and then delete it. SyncPass for Windows does not write memory dumps, so vault contents stay out of crash files, and keeps its own crash logs on your computer for at most 30 days.
Browser extension and auto-type (Desktop)
The SyncPass browser extension (Chrome) gets your logins directly from the SyncPass desktop app on your computer, through the browser's native messaging channel and only on the same computer (127.0.0.1); nothing goes over the internet and nothing reaches us. The extension passes the address of the open page to the desktop app only to find the logins for that site; a password is given only when you choose a login for that site and your vault is open. While the vault is locked the extension gets nothing. The extension does not collect browsing history and sends no analytics or advertising data.
Auto-type shortcuts find the matching login from the title of the front window and type it as if from the keyboard; the clipboard is not used and nothing leaves your computer.
Premium license (Desktop)
SyncPass for Windows Premium is sold on ostlertech.com through our reseller and Merchant of Record, Paddle.com. Once you enter a license key, the app contacts our server about once a week to check it, sending only the license key, a random device number it generated itself and the app version. Your vault contents are never sent. The free version never contacts this server. License records are kept for 1 year after the license ends.
05What we do not do
- We do not show ads and do not include advertising or analytics tracking SDKs.
- We do not sell or rent your data; data goes only to the services listed in this policy.
- You do not need to register with SyncPass to use it, and a copy of your vault is not kept on our servers.
06Emergency access
In this version, emergency access does not give the person you trust access to your vault, and no data leaves your device for this feature. The emergency contact email you enter is stored only on your phone, in the app's private storage.
07Retention and deletion
Your data stays on your device until you delete it, reset the app or uninstall it. Because we do not hold your data, we cannot delete or export it for you; you do this yourself:
- You can delete the items on your device within the app. On Android you can also export your vault as an encrypted backup file; SyncPass Desktop has no export to a file.
- The cloud backup in Google Drive cannot be deleted from within the app, and resetting the vault, the "Disconnect" button or uninstalling the app does not delete it either. It stays in your Google Drive until you delete it there as described in section 3.
- Uninstalling the app or deleting your data does not cancel a Premium subscription on Google Play; you cancel it in Google Play.
Personal information that may reach us through crash reports is kept for at most 30 days and then deleted (section 4).
08Security
We use industry-standard encryption and never store your master password. If you forget your master password, your data cannot be recovered, including by OstlerTech.
09Children
SyncPass is not directed at anyone under 18 and we do not knowingly collect their data.
10Your rights
Depending on where you live (for example under the GDPR or Turkey's KVKK), you have rights to access, correct and delete your personal data. Since your vault is stored on your devices and in your own Google account, you exercise these rights yourself: within the app for the items on your devices, and in Google Drive, as described in section 3, for the backup stored there. For any question, contact us using the address below.
11Changes
We may update this policy. We will change the effective date above and, for significant changes, notify you in the app.
Update of 10 November 2026: made clear that the backup in Google Drive is deleted in Google Drive, not within the app (the steps now match the app's own instructions), that the "Disconnect" button does not delete it, that SyncPass Desktop has no export to a file, and that uninstalling the app does not cancel a Google Play subscription (sections 3, 7 and 10).
Update of 30 October 2026: added the Android system backup and passkey connections; corrected what the vault report and help screen send to Gemini to match the code; removed the Play Integrity and record share-code descriptions; updated the contact address.
12Contact
OstlerTech · www.ostlertech.com · destek@ostlertech.com