Bu yazıdan aklınızda kalacaklar
- Uyum veri envanteriyle başlar: veri, amaç, hukuki sebep, aktarılan taraf, saklama; VERBİS yükümlülüğü eşiğe göre kontrol edilir.
- Aydınlatma her toplama noktasında; açık rıza yalnızca pazarlama, profilleme ve zorunlu olmayan çerezler için; sözleşme ifası için rıza istenmez; önceden işaretli kutu geçersiz.
- Çerez banner'ı izin verilmeden analitik ve reklam çerezlerini yüklememeli, kabul ve ret eşit; pazarlama iletisi İYS onayıyla ve kanal bazlı; yurt dışı araçlara aktarım şartları.
- Saklama ve imha politikası, 30 günde başvuru cevabı, 72 saatte ihlal bildirimi, yetki matrisi ve loglar; uyum metinden çok sistem mekanizmalarıyla.
E-ticaret sitesi, günde yüzlerce kişisel veri işler: ad, adres, telefon, e-posta, sipariş geçmişi, ödeme bilgisi, IP, çerezle davranış, pazarlama izinleri. Kişisel Verilerin Korunması Kanunu (KVKK) bu verilerin nasıl toplanacağını, saklanacağını, kime aktarılacağını ve müşteriye ne söyleneceğini düzenler; çerez ve elektronik ticari ileti kuralları da buna eklenir. Uyumsuzluğun bedeli, Kişisel Verileri Koruma Kurulu'nun idari para cezaları (yüz binlerden milyonlarca TL'ye), veri ihlali bildirim yükümlülüğü ve itibar kaybıdır; ihlaller sıklıkla bir müşteri şikayetiyle ortaya çıkar. Bu yazı, e-ticaret için KVKK ve çerez uyumunu pratik düzeyde anlatıyor: veri envanteri ve işleme amaçları, VERBİS kaydı, aydınlatma metni ve açık rıza (neye rıza gerekir neye gerekmez), çerez politikası ve çerez banner'ı (kategoriler, izin yönetimi, izinsiz yükleme yasağı), pazarlama izinleri ve İYS, veri aktarımı (kargo, ödeme, pazaryeri, yurt dışı araçlar), saklama ve imha, müşteri hakları ve başvuru süreci, veri ihlali, teknik ve idari tedbirler, sistemin rolü, sık hatalar ve kontrol listesi.
Kısaca
Önce veri envanteri: hangi veri, hangi amaçla, nereden, kime aktarılıyor, ne kadar saklanıyor. VERBİS kaydı yükümlülüğü eşik ve faaliyete göre; çoğu e-ticaret işletmesi için kayıt gerekebilir. Aydınlatma metni her veri toplama noktasında (üyelik, sipariş, form, çerez); açık rıza yalnızca sözleşme ve yasal yükümlülük dışındaki işlemeler için (pazarlama, profilleme, bazı çerezler); sözleşme ifası için rıza istenmez. Çerez banner'ı zorunlu olmayan çerezleri (analitik, reklam) izin verilmeden yüklememeli; kabul ve ret eşit kolaylıkta; tercihler değiştirilebilir. Pazarlama iletisi İYS onayıyla; kargo ve ödeme gibi aktarımlar aydınlatmada; yurt dışı araçlar (analitik, e-posta, yapay zeka) için aktarım kuralları. Saklama süreleri tanımlı, süre dolunca imha. Müşteri başvurusuna 30 gün içinde cevap; veri ihlalinde 72 saat içinde Kurul'a bildirim. Sistem bunları alanlarla, loglarla ve izin yönetimiyle taşımalı.
Veri envanteri
Uyumun temeli tablo: veri kategorisi (kimlik, iletişim, müşteri işlem, finans, pazarlama, işlem güvenliği), veri (ad, telefon, adres, sipariş, kart bilgisinin sağlayıcıda tutulması, IP, çerez kimliği), toplama noktası (üyelik, sipariş, form, asistan, çerez), amaç (sözleşme ifası, fatura, kargo, pazarlama, analiz, güvenlik), hukuki sebep (sözleşme, yasal yükümlülük, meşru menfaat, açık rıza), aktarılan taraf (kargo, ödeme kuruluşu, muhasebe, pazaryeri, e-posta ve analitik araçları, yapay zeka servisleri), yurt dışı aktarım var mı, saklama süresi, tedbirler. Bu envanter VERBİS kaydının, aydınlatma metninin ve saklama politikasının kaynağıdır.
VERBİS kaydı
Veri Sorumluları Sicili'ne kayıt, çalışan sayısı ve yıllık bilanço eşiğine ya da ana faaliyetin özel nitelikli veri işlemesine bağlı; eşik altı işletmeler için muafiyet olabilir; güncel eşikler Kurul duyurusuyla. Kayıt, veri envanterindeki kategorilerin ve amaçların bildirilmesidir; kayıt yükümlüsü olup kayıt yaptırmamak yaptırım konusu. Hukuk danışmanı ile durum tespiti.
Aydınlatma metni ve açık rıza
Aydınlatma: Veri toplanan her noktada (üyelik formu, misafir sipariş, iletişim formu, bülten, çerez, kamera varsa mağaza) kısa aydınlatma ve tam metne bağlantı; içeriği: veri sorumlusu kimliği, amaç, hukuki sebep, aktarılan taraflar, toplama yöntemi, haklar. Genel ve kopyala yapıştır metin işletmenin gerçek işlemesini yansıtmıyorsa geçersiz sayılabilir.
Açık rıza gereken ve gerekmeyen:
| İşleme | Hukuki sebep | Rıza? |
|---|---|---|
| Sipariş, teslimat, fatura | Sözleşme ifası, yasal yükümlülük | Hayır |
| Kargo firmasına ad ve adres aktarımı | Sözleşme ifası | Hayır (aydınlatmada) |
| Sipariş durumu bildirimi (SMS, e-posta) | Sözleşme ifası | Hayır |
| Pazarlama e-postası ve SMS | Açık rıza (İYS onayı) | Evet |
| Davranışsal profilleme ve kişiselleştirilmiş reklam | Açık rıza | Evet |
| Analitik ve reklam çerezleri | Açık rıza | Evet |
| Zorunlu çerezler (sepet, oturum) | Meşru menfaat | Hayır |
| Dolandırıcılık önleme | Meşru menfaat | Hayır (aydınlatmada) |
| Yorum ve içerik yayını | Açık rıza / sözleşme | Duruma göre |
Rıza, belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle; önceden işaretli kutu ve "sipariş vermek için pazarlama rızası" bağlaması geçersiz. Rıza kaydı (tarih, IP, metin sürümü) tutulur; geri çekilebilir.
Çerez politikası ve banner
Kurul'un çerez rehberi: zorunlu olmayan çerezler (analitik, reklam, kişiselleştirme, sosyal medya) kullanıcı izni olmadan yüklenmez; banner'da kategoriler, kabul ve ret eşit kolaylıkta (yalnızca "kabul" düğmesi ve gizli ret yanıltıcı), tercih ekranı, tercihlerin sonradan değiştirilebilmesi, izin kaydı; çerez politikası metni: hangi çerez, amaç, süre, üçüncü taraf. Teknik olarak izin yönetimi platformu (CMP) ve etiket yöneticisiyle izin bazlı yükleme (Google izin modu dahil); izin verilmeden analitik ve reklam etiketleri çalışmaz; izin oranı düşünce ölçüm boşluğu izin modu ve sunucu taraflı ölçümle kısmen kapatılır (GA4 e-ticaret kurulumu). Çerez politikası.
Pazarlama izinleri ve İYS
Elektronik ticari ileti (e-posta, SMS, arama, bildirim) için önceden onay; onaylar İleti Yönetim Sistemi'ne (İYS) kaydedilir; her iletide ret (çıkış) yolu; ret anında işlenir; onaysız gönderim şikayeti Ticaret Bakanlığı yaptırımı. Kanal bazlı onay (e-posta ayrı, SMS ayrı); onay kaydı (tarih, kaynak, IP); sipariş bildirimi ile pazarlama iletisini karıştırmamak (sipariş bildirimine kampanya eklemek pazarlama sayılır). E-posta pazarlaması, SMS pazarlaması ve İYS.
Veri aktarımı
Yurt içi aktarım (kargo, ödeme kuruluşu, muhasebe, çağrı merkezi, pazaryeri, kargo takibi): aydınlatmada belirtilir, veri işleyenle sözleşme (gizlilik ve tedbir hükümleri). Yurt dışı aktarım (yabancı analitik, e-posta, CRM, bulut, yapay zeka API'leri): Kanun'daki aktarım şartları (yeterli koruma kararı, standart sözleşme ve Kurul'a bildirim, açık rıza gibi seçenekler; mevzuat güncellemeleriyle değişir); hangi araçların veriyi nerede işlediği envanterde; mümkünse anonimleştirilmiş ya da kişisel veri içermeyen kullanım (yapay zeka üretiminde müşteri adı ve telefonu gönderilmez). Yapay zeka satış asistanı kurulumunda hangi verinin modele gittiği tanımlanır.
Saklama ve imha
Saklama politikası: sipariş ve fatura verisi yasal süre (Vergi Usul Kanunu ve Türk Ticaret Kanunu, tipik 10 yıl), üyelik verisi ilişki süresi ve sonrası tanımlı süre, pazarlama rızası geri çekilince durdurma, çerez süreleri, logların süresi; periyodik imha (6 ayda bir gözden geçirme tipik), imha kaydı; anonimleştirme (analitik için). Sistem, süresi dolan verileri işaretleyip imha listesi üretmeli.
Müşteri hakları ve başvuru
Bilgi alma, düzeltme, silme, aktarım bilgisi, itiraz, zararın giderilmesi; başvuru yazılı ya da belirlenen yöntemle; 30 gün içinde cevap; kimlik doğrulama; silme talebinde yasal saklama zorunluluğu olan veriler (fatura) tutulur, diğerleri silinir; başvuru kaydı. Hesap sayfasında "verilerimi indir / hesabımı sil" akışı işi kolaylaştırır.
Veri ihlali
Yetkisiz erişim, sızıntı, kayıp: 72 saat içinde Kurul'a bildirim, etkilenen kişilere makul sürede bilgi; ihlal kaydı; olay müdahale planı (kim, ne, hangi sırayla); yaygın senaryolar: çalışan hesabı ele geçirilmesi, eklenti açığı, yanlış kişiye gönderilen sipariş bilgisi, açık yedek dosyası. Site güvenliği ve ters ibraz yönetimi.
Teknik ve idari tedbirler
Yetki matrisi (kim hangi veriyi görür; müşteri hizmeti telefonu görür, kart bilgisi kimse görmez), iki faktörlü giriş, log kayıtları, şifreleme (SSL, veritabanı ve yedek), güvenli yedek ve erişim, personel gizlilik taahhüdü ve eğitim, veri işleyen sözleşmeleri, kişisel cihaz ve kişisel WhatsApp'ta müşteri verisi yasağı, düzenli sızma ve açık taraması, çıkan personelin yetkilerinin kapatılması.
Sistemin rolü
Aydınlatma ve rıza alanları formlarda (versiyonlu metin, kayıt), çerez izin yönetimi ve izin bazlı etiketler, İYS entegrasyonu ve çıkış yönetimi, yetki matrisi ve loglar, saklama süresi ve imha listesi, veri indirme ve hesap silme akışı, veri işleyen listesinin yönetimi, yapay zeka servislerine giden verinin maskelenmesi. Uyum, metinden çok bu mekanizmalarla sağlanır.
Bir müşterimiz (kozmetik, 40 bin üye) tek "kabul" düğmeli banner, önceden işaretli pazarlama kutusu ve kişisel WhatsApp'ta sipariş bilgisi paylaşımıyla çalışıyordu; envanter, VERBİS kaydı, noktaya özel aydınlatma, izin bazlı çerez yönetimi, İYS ve kanal bazlı onay, yetki matrisi, iş WhatsApp hesabı ve saklama politikasıyla üç ayda uyum sağlandı; bir müşteri başvurusu 30 gün içinde belgeli cevaplandı ve şikayete dönmedi.
Sık hatalar
- Envanter olmadan kopyala yapıştır aydınlatma metni
- Sipariş için pazarlama rızasını zorunlu kılmak
- Önceden işaretli rıza kutuları
- Analitik ve reklam çerezlerini izin olmadan yüklemek; gizli ret
- Sipariş bildirimine kampanya eklemek
- Kişisel telefon ve WhatsApp'ta müşteri verisi
- Yurt dışı araçlara kişisel veri gönderirken aktarım şartını düşünmemek
- Saklama süresi olmadan sonsuza dek tutmak
- Müşteri başvurusuna 30 günü geçirmek
- VERBİS yükümlülüğünü kontrol etmemek
Uyum kontrol listesi
Veri envanteri var mı? VERBİS durumu netleşti mi? Her toplama noktasında aydınlatma var mı? Rıza yalnızca gereken işlemelerde ve kayıtlı mı? Çerez banner'ı izin vermeden zorunlu olmayan çerezleri engelliyor mu? İYS onayları ve çıkış çalışıyor mu? Veri işleyen sözleşmeleri ve yurt dışı aktarım şartları tamam mı? Saklama ve imha politikası işliyor mu? Başvuru ve ihlal süreçleri yazılı mı? Yetki matrisi ve loglar var mı?
Aydınlatma ve rıza kayıtları, çerez izin yönetimi, İYS entegrasyonu, yetki matrisi, saklama ve imha listesi, veri indirme ve hesap silme akışı e-ticaret sistemimizde hazır. İlgili: yasal metinler, GA4 kurulumu, site güvenliği. Terimler: KVKK, çerez politikası, İYS.
Sık sorulan sorular
E-ticaret sitesi için KVKK'da ilk adım nedir?
Veri envanteri: hangi veri hangi amaçla nereden toplanıyor, kime aktarılıyor, ne kadar saklanıyor ve hukuki sebebi ne; aydınlatma, VERBİS ve saklama politikası bu tablodan türetilir.
Sipariş için açık rıza almak gerekir mi?
Hayır; sipariş, teslimat, fatura ve kargoya aktarım sözleşme ifası ve yasal yükümlülük kapsamındadır, aydınlatma yeterlidir. Rıza pazarlama iletisi, profilleme ve zorunlu olmayan çerezler için gerekir.
Çerez banner'ı zorunlu mu?
Zorunlu olmayan çerezler (analitik, reklam, kişiselleştirme) kullanıcı izni olmadan yüklenemez; banner kategorileri, eşit kolaylıkta kabul ve ret ve sonradan değiştirme imkanı sunmalı, izin kaydı tutulmalıdır.
Yurt dışı analitik ve yapay zeka araçları kullanılabilir mi?
Evet, ancak yurt dışına kişisel veri aktarımı Kanun'daki şartlara (yeterlilik kararı, standart sözleşme ve bildirim, açık rıza gibi seçenekler) bağlıdır; mümkünse kişisel veri içermeyen ya da anonim kullanım tercih edilir.
Müşteri verilerinin silinmesini isterse ne yapılır?
Kimlik doğrulanır, 30 gün içinde cevap verilir; yasal saklama zorunluluğu olan veriler (fatura) tutulur, diğerleri silinir ya da anonimleştirilir; başvuru ve işlem kaydı saklanır.
