Web sitesinde KVKK ve zorunlu metinler: neler bulunmalı?

Bir e-posta geliyor: "Sitenizde aydınlatma metnini bulamadım." Ya da teklif formunu dolduran biri arıyor, bıraktığı telefon numarasının şu anda kimde durduğunu soruyor ve verecek net bir cevabınız olmuyor. Bu metinler sitenin en sevilmeyen kısmı: kimse yazmak istemiyor, neredeyse kimse okumuyor, eksikliğin sorumluluğu ise siteyi yapan ajansa değil doğrudan işletmeye ait.

Aşağıda bir işletme sitesinde hangi metinlerin bulunması gerektiğini, her birinin gerçekte ne işe yaradığını, hangisinin sizi ilgilendirmediğini ve iletişim formundan toplanan verinin nereye gittiğini anlatıyoruz. Amacımız metinleri sizin yerinize yazmak değil; işin teknik ve düzen tarafını kendiniz toparlayabilecek kadar netleştirmek.

Önce şunu netleştirelim: bu yazı hukuki görüş değil

Aşağıdakiler ana hatlarıyla doğrudur; bir avukatın sizin işinize bakarak vereceği görüşün yerini tutmaz. Kişisel veri ve tüketici mevzuatı zaman içinde güncelleniyor, sektörünüze özel ek yükümlülükler çıkabiliyor. Bu yazıda bilerek madde numarası, gün sayısı ve kesin süre vermiyoruz — bu tür ayrıntıların güncel halini kaynağından teyit etmeniz gerekiyor.

Uygulanabilir yol şu: metinlerin taslağını siz hazırlayın, son halini bir avukata veya mali müşavirinize okutun. Avukat sıfırdan yazmak yerine sizin işinizi bilen bir taslağı düzeltir; hem süre kısalır hem metin gerçek işleyişinizi anlatır. Bağlı olduğunuz oda, baro ya da ticaret il müdürlüğünün yayımladığı örnek metinler varsa taslağa oradan başlayın.

Tanıtım sitesinde bile gereken dört metin

Satış yapmayan, tek bir iletişim formu olan bir sitede bile şu dördü gündeme geliyor. Hiçbiri e-ticarete özel değil.

Aydınlatma metni

Kişisel veriyi işleyen taraf olarak kim olduğunuzu ve ne yaptığınızı anlatan metin. 6698 sayılı Kişisel Verilerin Korunması Kanunu, veri toplayan tarafa bilgilendirme yükümlülüğü getiriyor ve bu bilgilendirmenin veri alınmadan önce yapılması gerekiyor. Yani form gönderildikten sonra açılan teşekkür sayfası değil, formun yanında duran bir bağlantı.

Metinde karşılığını bulması beklenenler:

• Veri sorumlusunun kimliği: işletmenin tam unvanı, adresi, iletişim bilgisi. "Firmamız" yazıp geçmeyin, unvanı yazın.
• Hangi veriler işleniyor: ad, soyad, telefon, e-posta, mesaj kutusuna yazılan içerik.
• Hangi amaçla: teklif hazırlamak, talebi yanıtlamak, sözleşme kurmak.
• Hukuki sebep: rıza mı, sözleşmenin kurulması mı, meşru menfaat mi.
• Kimlere aktarılıyor: hosting sağlayıcı, e-posta servisi, muhasebe bürosu.
• Kişinin hakları ve bu hakları nasıl kullanacağı: başvurunun hangi adrese, hangi biçimde yapılacağı.

Açık rıza metni

Aydınlatmayla aynı şey değil. Aydınlatma bir bilgilendirme, açık rıza bir izin. İkisini tek kutucukta birleştirmek en yaygın hata.

Açık rıza her durumda gerekmiyor. Biri size teklif almak için yazdıysa, talebini yanıtlamanız için ayrıca rıza almanız beklenmez; veri işlemenin başka bir hukuki sebebi vardır. Aynı kişiye sonradan kampanya e-postası göndermek ise ayrı bir amaçtır ve ayrı bir onay ister.

Uygulama kuralı: bir onay kutusu bir amaca hizmet eder. "Aydınlatma metnini okudum ve ticari elektronik ileti almayı kabul ediyorum" cümlesi tek satıra sıkıştırılmış iki ayrı şeydir. Kutular ayrı olsun, hiçbiri varsayılan olarak işaretli gelmesin, formun gönderilmesi ticari ileti onayına bağlanmasın.

Gizlilik politikası

Aydınlatma metniyle içerik olarak örtüşür, işlevi farklıdır: aydınlatma metni belirli bir veri toplama noktası için hazırlanır, gizlilik politikası sitenin genel tutumunu anlatır. Küçük bir sitede ikisini tek sayfada birleştirebilirsiniz; birleştiriyorsanız yukarıdaki altı başlıktan hiçbirini eksiltmeyin.

Çerez politikası

Sitenizin hangi çerezleri kullandığını, ne işe yaradıklarını ve ne kadar süre saklandıklarını listeler. En sık yapılan hata, kullanmadığınız araçları anlatan hazır bir metni yapıştırmak. Analytics kullanmıyorsanız politikada Analytics yazmasın; kullanıyorsanız hangi aracın ne için çalıştığı yazsın.

İletişim formunun yanında olması gerekenler

"Biz veri toplamıyoruz ki" cümlesi iletişim formu olan her sitede yanlış. Ad, telefon ve e-posta kişisel veridir; mesaj kutusuna yazılan içerik de öyle.

• Aydınlatma metnine çalışan bir bağlantı: yeni sekmede açılsın ya da formun üstünde açılır pencerede görünsün. Tıklanınca 404 veren bir bağlantı, hiç olmamasından farksızdır.
• Ticari ileti göndermeyi düşünüyorsanız işaretsiz gelen ayrı bir onay kutusu.
• Zorunlu alanların gerçekten gerekli olması. Teklif almak için doğum tarihi istemeyin; toplamadığınız veriyi korumak zorunda kalmazsınız.
• Onayın kayda geçmesi. Formu gönderen kişinin hangi kutuları işaretlediği, size düşen bildirimde görünsün — sonradan çıkacak bir "onay vermedim" tartışmasında elinizdeki tek dayanak bu olur.

En etkili önlem en sıkıcı olanı: az veri toplayın. Az alanlı form hem daha çok dolduruluyor hem daha az yükümlülük üretiyor.

Form nereye düşüyor, veri nerede duruyor

Bu soruyu cevaplayamıyorsanız aydınlatma metnini de dolduramazsınız. Tipik bir kurumsal sitede form verisi şu duraklardan geçer:

| Durak | Ne oluyor | Sormanız gereken | |---|---|---| | Tarayıcı | Ziyaretçi formu doldurur | Bağlantı HTTPS mi, sertifika geçerli mi? | | Sunucu / form servisi | Veri işlenir | Sunucu hangi ülkede, hangi firmanın? | | E-posta servisi | Bildirim size ulaşır | Gelen kutusunda ne kadar duruyor? | | Veritabanı veya panel | Kayıt tutulur | Gerçekten tutmanız gerekiyor mu? |

Sitenizi yapan kişiye şu üç soruyu yazılı sorun ve cevabı saklayın: form verisi nereye kaydediliyor, bildirim hangi servis üzerinden gönderiliyor, bu servislerin sunucuları nerede.

İki not:

• Form verisini veritabanında saklamak zorunda değilsiniz. Küçük bir işletmede kaydın yalnızca e-posta olarak gelmesi çoğu zaman yeterli oluyor ve bir yükümlülük kalemini baştan ortadan kaldırıyor.
• Yurt dışındaki servisler ayrı bir başlık. Bildirimi yurt dışı merkezli bir e-posta servisinden alıyorsanız ya da siteniz yurt dışındaki bir sunucuda duruyorsa ortada bir yurt dışı aktarımı vardır; aktarımın hangi koşullarla yapılabileceği mevzuatta ayrıca düzenleniyor. Bu başlığı tahminle geçmeyin, mali müşavirinize veya avukatınıza sorun.

Saklama süresi ve erişim: bir sayfalık tablo çıkarın

Mevzuat "şu veri şu kadar yıl" diye tek bir tablo vermiyor; süreyi amaç belirliyor. Amaç ortadan kalktığında veri silinir. Bunun yanında faturaya bağlanmış kayıtlar için ticari ve vergisel saklama süreleri devreye giriyor — faturalı bir müşteri kaydıyla hiç dönüş yapılmamış bir iletişim formunu aynı kefeye koymayın.

Kendinize beş sütunlu bir tablo çıkarın: kayıt türü, tutulma amacı, saklama süresi, süre dolunca ne olacağı (silme mi anonimleştirme mi), kimin eriştiği.

Son sütun en çok ihmal edileni. Ortak bir şifreyle herkesin girdiği bir "info@" adresi, pratikte "kimin eriştiği belli değil" demektir. Erişimi role bağlayın: teklif formlarını satıştan sorumlu kişi görsün, ayrılan çalışanın erişimi ayrıldığı gün kapansın, şifreler paylaşılmasın, hesaplarda iki adımlı doğrulama açık olsun.

Çerez banner'ı: önce kendi çerez envanterinizi çıkarın

Banner'ı koymadan önce sitenizin gerçekte ne kullandığını görün. Bu işlem birkaç dakika sürüyor:

1. Tarayıcıda gizli sekme açın, sitenizi ziyaret edin, birkaç sayfa gezin ve formu açın.
2. Geliştirici araçlarını açın (çoğu tarayıcıda F12), "Application" ya da "Depolama" sekmesine, oradan çerez listesine girin.
3. Listedeki her satırı not edin: adı, hangi alan adına ait olduğu, saklanma süresi.
4. Kendi alan adınıza ait olmayan satırlar üçüncü taraf araçlardır — kaynağına bakarak hangi aracın koyduğunu bulun.

Elinizdeki bu liste, çerez politikasının ham maddesi. Hazır metinden değil bu listeden yazın.

Ayrım kabaca şöyle işliyor:

• Sitenin çalışması için gereken çerezler için onay aranmıyor. Oturum yönetimi, sepet, güvenlik, dil tercihi bu gruba giriyor. Bunları çerez politikasında anlatmanız yeterli.
• Analitik, reklam ve takip çerezleri için onay gerekiyor. Analytics, Meta pikseli, Google Ads dönüşüm etiketi, ısı haritası araçları, gömülü video oynatıcıların bıraktığı takip çerezleri bu kapsamda.

Bu ayrımın pratik sonucu şu: hiçbir analiz veya reklam aracı çalıştırmayan, yalnızca tanıtım yapan bir sitede çerez banner'ına gerek kalmıyor. Reklam veriyorsanız banner gerekiyor. Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına dair yayımladığı rehber bu konuda yol gösterici; güncel sürümünü Kurumun kendi sitesinden kontrol edin, ikinci elden aktarılan özetlere güvenmeyin.

Banner varsa taşıması gereken üç özellik

• Reddetmek, kabul etmekle aynı kolaylıkta olmalı. Tek tıkla "Kabul et", üç ekran gezerek "Reddet" olmaz. İki düğme aynı ekranda ve benzer belirginlikte dursun.
• Onay alınana kadar takip kodları çalışmamalı. Banner'ı koyup pikseli sayfa açılır açılmaz tetiklemek banner'ı süse çevirir. Bu ayar genellikle etiket yöneticisi üzerinden yapılıyor: etiketler doğrudan sayfaya gömülmek yerine onay sinyaline bağlanıyor. Kurulumun en sık atlanan adımı burası.
• Karar sonradan değiştirilebilmeli. Footer'da bir "Çerez tercihleri" bağlantısı olsun ve gerçekten paneli yeniden açsın.

Kurulumu test etmenin yolu envanterle aynı: gizli sekmede siteye girin, hiçbir şeye tıklamadan çerez listesine bakın. Siz onay vermeden takip çerezi düşüyorsa kurulum eksiktir.

Ticari e-posta ve SMS gönderecekseniz ayrı bir sistem var

Toplu e-posta, SMS veya arama yoluyla tanıtım yapmayı düşünüyorsanız, aldığınız onayların İleti Yönetim Sistemi'ne (İYS) yüklenmesi gündeme geliyor. Bu, web sitesindeki onay kutusundan ayrı bir adım: kutu onayı toplar, İYS o onayın kaydını tutar. Alıcının ret talebini de aynı sistem üzerinden işlemeniz gerekebiliyor.

Yükümlülüğün sizin işletmeniz için nasıl doğduğunu, kayıt ve yükleme adımlarını mali müşavirinizle netleştirin. Site tarafında sizin yapmanız gereken, onay kutusunu doğru kurmak ve hangi onayın ne zaman alındığını kayıt altına almak.

E-ticaret yapıyorsanız listeye eklenenler

Siteden satış alıyorsanız tüketici mevzuatı da devreye giriyor. Aşağıdaki metinler 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve mesafeli sözleşmelere ilişkin düzenlemelerden doğuyor.

Ön bilgilendirme formu

Sipariş tamamlanmadan önce gösterilir. Ürünün temel nitelikleri, toplam bedel, kargo ücreti, ödeme ve teslimat şekli, cayma hakkının kullanım koşulları ve satıcının iletişim bilgileri burada yer alır. Müşterinin bu formu okuduğunu onaylaması gerekir; onay adımı sepet akışının içine konur, ayrı bir sayfaya sürgün edilmez.

Mesafeli satış sözleşmesi

Asıl sözleşme budur: taraflar, ürün, bedel, teslimat ve cayma hükümleri. Müşteri onayladıktan sonra bir kopyasının kendisine ulaşması gerekir; çoğu kurulum bunu sipariş onay e-postasına ekleyerek çözüyor. Ekin gerçekten gittiğini kendi adresinize test siparişi vererek kontrol edin.

Cayma hakkı, iade ve teslimat koşulları

Mesafeli satışta tüketicinin belirli bir süre içinde gerekçe göstermeden cayma hakkı var ve bazı ürün grupları — kişiye özel üretilenler, hızlı bozulabilenler, ambalajı açılmış hijyenik ürünler gibi — bu hakkın dışında kalabiliyor. Sürenin güncel hali ve istisnaların tam listesi için mevzuatı teyit edin; sitenize kulaktan dolma bir gün sayısı yazmayın.

Teslimat koşullarında şunları net yazın: hangi kargo firmasıyla çalıştığınız, tahmini teslim süresi, kargo ücretini kimin ödediği, hasarlı ürünün nasıl bildirileceği, iade kargosunun nasıl işlediği. Bu bilgilerin ürün sayfasından bir tıkla ulaşılabilir olması, satış sonrası gelen soruların önemli bir kısmını baştan kesiyor.

ETBİS kaydı

Elektronik Ticaret Bilgi Sistemi, e-ticaret yapan işletmelerin Ticaret Bakanlığı nezdinde kayıtlı olmasını sağlayan sistem. Kayıt sonrasında verilen doğrulama bilgisinin sitede gösterilmesi bekleniyor; siteler bunu genellikle footer'a koyuyor.

Kapsam yalnızca klasik e-ticaret sitesi değil. Sosyal medya hesapları üzerinden düzenli satış yapanlar da belirli koşullarda kapsama girebiliyor. Kayıt yükümlülüğünüzün doğup doğmadığını ve başvuru adımlarını mali müşavirinizle netleştirin; bu, siteyi yapan ajansın değil işletmenin sorumluluğundaki bir kayıt.

Size bir başvuru gelirse ne yapacaksınız

Kişisel verisi işlenen biri size başvurup verisinin ne olduğunu sorabilir, düzeltilmesini veya silinmesini isteyebilir. Mevzuat bu başvurulara belirli bir süre içinde cevap verilmesini öngörüyor; sürenin güncel halini kaynağından doğrulayın.

Hazırlığı bugünden yapabilirsiniz:

• Başvuruların geleceği adresi aydınlatma metninde yazın ve o adresi gerçekten takip edin.
• Başvuru geldiğinde kimin ilgileneceğini tek bir kişiye bağlayın.
• Bir kişinin verisini bulup silmenin pratikte nasıl yapılacağını önceden deneyin: gelen kutusu, form paneli, e-posta listesi, muhasebe kaydı.

Aynı hazırlık bir veri ihlali durumunda da işe yarıyor. İhlalin Kurula ve ilgili kişilere bildirilmesi gerekiyor; bildirimin biçimini ve süresini Kurumun güncel duyurularından kontrol edin, tahminle hareket etmeyin.

Metinleri sitede nereye koymalı

Teknik tarafı basit ama sık yanlış yapılıyor:

• Her metin kendi kalıcı adresinde dursun: /kvkk-aydinlatma-metni, /gizlilik-politikasi, /cerez-politikasi. Yalnızca açılır pencerede gösterilen, adresi olmayan metin paylaşılamaz ve gösterilemez.
• Footer'dan hepsine bağlantı verin. Ziyaretçi de, soru soran taraf da önce oraya bakıyor.
• Metinler sunucu tarafında basılan gerçek sayfalar olsun, sonradan JavaScript ile yerleştirilmesin.
• Sayfanın altına son güncelleme tarihi yazın ve metni her değiştirdiğinizde tarihi güncelleyin.
• Bu sayfaların aramada üst sırada çıkması gerekmiyor; indekslenmelerinde de bir sakınca yok.

Hazır metin yapıştırmanın iki somut sorunu

İnternette bulunan örnek metinleri kopyalamak pratik görünüyor. İki sorunu var.

Birincisi, metin sizi anlatmıyor. Kullanmadığınız araçlardan, yapmadığınız aktarımlardan söz eden bir politika bir uyuşmazlıkta lehinize değil aleyhinize okunur: beyan ettiğiniz uygulamayla gerçek uygulamanız çelişir. Tersi de geçerli — metinde yer almayan ama sitede çalışan bir takip aracı, eksik bilgilendirme anlamına gelir.

İkincisi, metnin kendisi başkasının eseri ve çoğu zaman izinsiz kopyalanıyor.

Yöntem daha basit: kendi işleyişinizi bir sayfaya yazın — hangi formlar var, veri nereye gidiyor, hangi araçlar çalışıyor, kim erişiyor — sonra bunu hukuki dile çevirtin. İşi bilen sizsiniz; taslağı sizin üretmeniz hem hızlı hem doğru sonuç veriyor.

Yayın öncesi kontrol listesi

• Aydınlatma metni yayında, formdan bağlantı veriliyor ve bağlantı açılıyor
• Gerekiyorsa açık rıza kutusu ayrı, işaretsiz ve isteğe bağlı
• Gizlilik politikası sitenin gerçek işleyişini anlatıyor
• Çerez politikası tarayıcıdan çıkardığınız gerçek listeyle uyuşuyor
• Analiz veya reklam kodu varsa banner var ve onay öncesi hiçbir takip kodu çalışmıyor
• Reddetme seçeneği kabul etmekle aynı ekranda ve aynı kolaylıkta
• Form verisinin nereye gittiği, ne kadar tutulduğu ve kimin eriştiği yazılı
• Gelen kutusu şifresi ortak kullanılmıyor, iki adımlı doğrulama açık
• Toplu e-posta veya SMS gönderilecekse İYS tarafı mali müşavirle konuşuldu
• E-ticaret varsa ön bilgilendirme formu ve mesafeli satış sözleşmesi sipariş akışında
• Sipariş onay e-postasının eki test siparişiyle doğrulandı
• İade ve teslimat koşullarına ürün sayfasından ulaşılabiliyor
• ETBİS yükümlülüğü sorgulandı, gerekiyorsa kayıt yapıldı
• Tüm metinlerin footer'da bağlantısı ve son güncelleme tarihi var
• Son hali bir avukata veya mali müşavire okutuldu

Hangi kısmı bizde, hangi kısmı sizde

İşin teknik tarafı — metinlere kalıcı adres açmak, formu aydınlatma metnine bağlamak, onay kutularını doğru kurmak, çerez onayı alınmadan takip kodlarının çalışmamasını sağlamak, e-ticaret akışına sözleşme onayını doğru sırada yerleştirmek — Umy Medya'nın yaptığı işin içinde. Metinlerin hukuki içeriği avukatınızın ve mali müşavirinizin alanı: o metinleri biz yazmıyoruz, doğru yerlere doğru biçimde yerleştiriyoruz ve neyin eksik kaldığını size gösteriyoruz.

Mevcut sitenizde bu listenin hangi maddelerinin açık olduğunu konuşmak isterseniz yazabilirsiniz.