KVKK ve Çerez Yönetimi: E-Ticaret Siteleri İçin Uyum Rehberi
E-ticaret siteleri; ad, adres, telefon, e-posta, sipariş geçmişi ve ödeme bilgileri gibi çok sayıda kişisel veriyi her gün işler. Bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), e-ticaret işletmelerinin uyması gereken temel düzenlemelerden biridir. Çerezler de ziyaretçinin cihazında kişisel veri işlenmesine yol açabildiği için KVKK kapsamında değerlendirilir. Bu rehberde e-ticaret sitelerinin KVKK kapsamındaki temel yükümlülüklerini, çerez yönetiminin nasıl yapılması gerektiğini ve pazarlama izinlerini sade bir dille özetliyoruz.
Not: Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kişisel Verileri Koruma Kurumu’nun güncel rehberlerini ve hukuk danışmanınızın görüşünü esas alın.
E-Ticaret Sitesi Hangi Kişisel Verileri İşler?
| Veri türü | Örnek | İşleme amacı |
|---|---|---|
| Kimlik ve iletişim | Ad-soyad, telefon, e-posta, adres | Siparişin teslimi, faturalandırma, iletişim |
| Müşteri işlem | Sipariş geçmişi, iade talepleri | Sözleşmenin ifası, müşteri hizmetleri |
| Finansal | Ödeme işlem bilgileri | Ödemenin alınması (kart bilgileri genellikle ödeme kuruluşunda işlenir) |
| Pazarlama | İleti izinleri, ilgi alanları | Kampanya ve kişiselleştirilmiş iletişim |
| İşlem güvenliği | IP adresi, oturum bilgileri | Güvenlik ve dolandırıcılık önleme |
Temel Yükümlülükler
1. Aydınlatma yükümlülüğü
Kişisel veri toplanırken ilgili kişiye; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin hakları hakkında bilgi verilmelidir. E-ticaret sitelerinde bu bilgi, üyelik ve ödeme adımlarında erişilebilen bir aydınlatma metniyle sağlanır.
2. Hukuki sebep ve açık rıza
Siparişin teslimi ve faturalandırma gibi işlemler sözleşmenin kurulması ve ifası ile hukuki yükümlülük gibi hukuki sebeplere dayanır; bu işlemler için ayrıca açık rıza alınması gerekmez. Pazarlama amaçlı profilleme veya zorunlu olmayan çerezler gibi işlemlerde ise genellikle açık rıza gerekir. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Hizmetin sunulmasını açık rızaya bağlamak veya rızayı aydınlatma metniyle aynı onay kutusunda almak doğru değildir.
3. Veri güvenliği
Kişisel verilerin yetkisiz erişime, kayba ve hukuka aykırı işlenmeye karşı korunması için gerekli teknik ve idari tedbirler alınmalıdır: erişim yetkilendirmesi, şifreleme, güvenli barındırma, düzenli yedekleme ve çalışanların bilgilendirilmesi bunların başında gelir. Site güvenliğinin teknik boyutunu ayrıca ele alacağız.
4. Yurt dışına aktarım
Kullanılan bulut sunucu, e-posta pazarlama veya analiz araçları verileri yurt dışında işliyorsa bu bir yurt dışına aktarımdır. 2024’te yapılan kanun değişikliğiyle yurt dışına aktarım rejimi yeniden düzenlendi ve standart sözleşme gibi araçlar getirildi. Kullandığınız yazılım ve servislerin veri konumunu ve sözleşme yapısını kontrol edin.
5. İlgili kişi başvuruları
Müşteriler verilerinin işlenip işlenmediğini öğrenme, düzeltme ve silinmesini isteme gibi haklara sahiptir. Başvurular için bir kanal belirleyin ve yanıt sürecini tanımlayın.
Çerez Yönetimi: Banner Nasıl Olmalı?
Kişisel Verileri Koruma Kurumu’nun çerez uygulamalarına ilişkin rehberi, çerezleri amaçlarına göre değerlendirir. Sitenin çalışması için zorunlu olan çerezler (sepet, oturum, güvenlik) için açık rıza gerekmezken; analitik, kişiselleştirme ve pazarlama çerezleri için genellikle açık rıza aranır.
| Çerez türü | Örnek | Rıza gerekir mi? |
|---|---|---|
| Zorunlu | Sepet, oturum, güvenlik | Genellikle hayır |
| İşlevsel | Dil ve tercih hatırlama | Kullanım amacına göre değerlendirilir |
| Analitik | Ziyaret istatistikleri | Genellikle evet |
| Pazarlama / reklam | Yeniden pazarlama, reklam ölçümü | Evet |
İyi bir çerez banner’ının özellikleri
- “Kabul et” ve “Reddet” seçenekleri eşit görünürlükte sunulur.
- Zorunlu olmayan çerezler, kullanıcı onay vermeden çalıştırılmaz.
- Önceden işaretlenmiş onay kutuları kullanılmaz.
- Kullanıcı çerez tercihlerini sonradan kolayca değiştirebilir.
- Çerez politikası hangi çerezlerin hangi amaçla kullanıldığını açıkça anlatır.
Pazarlama çerezleri reddedildiğinde reklam ölçümü azalır. Bu nedenle sunucu taraflı ölçüm çözümleri gibi alternatifleri yine izin çerçevesinde değerlendirmek gerekir. Ölçüm altyapısı için Meta Pixel ve Conversions API yazımıza ve GA4 rehberimize bakabilirsiniz.
Pazarlama İletileri: KVKK ve İYS Birlikte
E-posta, SMS ve arama yoluyla ticari elektronik ileti gönderebilmek için alıcının önceden onayı gerekir ve bu onayların İleti Yönetim Sistemi’ne (İYS) kaydedilmesi zorunludur. KVKK kapsamındaki pazarlama amaçlı veri işleme rızası ile ticari ileti onayı birbirinden farklı kavramlardır; ikisini de ayrı ve açık biçimde almak en güvenli yöntemdir. Sepet hatırlatma gibi iletişimlerde izin kurallarını terk edilen sepet rehberimizde ele aldık.
Veri Saklama ve İmha
Kişisel veriler, işlenme amacının gerektirdiği süre kadar saklanmalıdır. Fatura ve muhasebe kayıtları gibi verilerin yasal saklama süreleri vardır; pazarlama amaçlı veriler ise rıza geri alındığında veya amaç ortadan kalktığında silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Saklama sürelerini veri kategorisi bazında belirleyen bir politika oluşturmak, hem uyumu kolaylaştırır hem de gereksiz veri birikimini önler.
E-Ticaret Siteleri İçin KVKK Kontrol Listesi
- Üyelik, ödeme ve bülten formlarında güncel aydınlatma metni var mı?
- Açık rıza gerektiren işlemler ayrı ve isteğe bağlı onay kutularıyla mı alınıyor?
- Çerez banner’ı zorunlu olmayan çerezleri onaydan önce engelliyor mu?
- Ticari ileti onayları İYS’ye kaydediliyor mu?
- Kullanılan yazılım ve servislerin veri konumu ve sözleşmeleri kontrol edildi mi?
- Panel erişimleri yetki bazında sınırlandırıldı mı?
- Veri saklama ve imha süreleri belirlendi mi?
- İlgili kişi başvuruları için bir iletişim kanalı ve süreç var mı?
Sık Sorulan Sorular
Sipariş için açık rıza almam gerekir mi?
Siparişin teslimi ve faturalandırma gibi işlemler sözleşmenin ifası ve hukuki yükümlülük kapsamındadır; bu işlemler için ayrıca açık rıza alınması gerekmez. Ancak aydınlatma yükümlülüğü her durumda geçerlidir.
Google Analytics kullanmak için çerez onayı gerekir mi?
Analitik çerezler genellikle zorunlu çerez kabul edilmez ve açık rıza gerektirir. Uygulamanızı Kurum rehberi ve hukuk danışmanınızla değerlendirin.
Küçük bir e-ticaret sitesi de KVKK’ya tabi mi?
Evet. Kişisel veri işleyen her gerçek ve tüzel kişi KVKK’ya tabidir. VERBİS kaydı gibi bazı yükümlülükler ise Kurul’un belirlediği eşiklere göre değişebilir.
Sonuç
KVKK uyumu, e-ticaret sitesinin hem yasal güvencesi hem de müşteri güveninin temelidir. Aydınlatma metinlerini güncel tutan, açık rızayı doğru alan, çerezleri kullanıcının tercihine göre çalıştıran ve verileri güvenli altyapıda saklayan işletmeler hem yaptırım riskini azaltır hem de müşterilerine güven verir. Kampanya ve reklam kurallarıyla ilgili güncel düzenlemeler için reklam yönetmeliği yazımıza göz atabilirsiniz.
