E-Ticaret Sitesi İçin KVKK Aydınlatma Metni: Ne Olmalı, Nereye Konulmalı?
E-ticaret sitenize bir "KVKK metni" eklediniz ve uyumlu olduğunuzu düşünüyorsunuz. Büyük ihtimalle değilsiniz.
KVKK uyumunda en sık yapılan hata metni eklememek değil, yanlış kurgulamak. Aydınlatma metniyle açık rızayı aynı yere koymak, her veri işleme için rıza istemek, ticari ileti onayını üyelik sözleşmesine gömmek — bunların her biri metniniz olsa bile sizi uyumsuz hale getirir.
Bu yazıda aydınlatma metninde ne bulunması gerektiğini, açık rızayla farkını ve e-ticaret sitelerinde en sık yapılan hataları anlatıyoruz.
Aydınlatma metni zorunlu mu?
Evet. Kişisel veri işleyen her veri sorumlusunun aydınlatma yükümlülüğü vardır (KVKK m.10). Sipariş alan bir e-ticaret sitesi tanım gereği kişisel veri işler: isim, adres, telefon, e-posta, sipariş geçmişi.
Bu yükümlülük işletme büyüklüğünden bağımsızdır. Cironuz, çalışan sayınız veya sipariş adediniz fark etmez.
En kritik ayrım: aydınlatma ≠ açık rıza
Bu ikisinin karıştırılması, uyumsuzluğun bir numaralı sebebi.
Aydınlatma, bir bilgilendirmedir. Veriyi kim topluyor, neden işliyor, kimlere aktarıyor, kişinin hakları neler — bunları anlatırsınız. Onay almazsınız, bildirirsiniz.
Açık rıza, bir izindir. Ve önemli olan şu: her veri işleme için açık rıza gerekmez.
KVKK'da rıza tek hukuki dayanak değil. Diğer dayanaklar:
Hukuki sebep | E-ticarette örnek |
|---|---|
Sözleşmenin ifası | Siparişi teslim etmek için adres bilgisi almak |
Hukuki yükümlülük | Fatura düzenlemek için vergi bilgisi işlemek |
Meşru menfaat | Dolandırıcılık kontrolü yapmak |
Açık rıza | Kampanya e-postası, bülten göndermek |
Yani müşteriye ürün göndermek için rıza istemenize gerek yok — bu sözleşmenin ifasıdır. Ama aynı müşteriye indirim maili atacaksanız, o ayrı ve açık bir rıza gerektirir.
Her şey için rıza istemek "daha güvenli" değil, aksine hatalıdır: rızanın geri çekilebilir olması nedeniyle, aslında rıza gerektirmeyen bir işlemi rızaya bağlarsanız operasyonunuzu gereksiz yere kırılgan hale getirirsiniz.
Aydınlatma metninde ne bulunmalı?
Metin şu altı soruyu net biçimde cevaplamalı:
Veri sorumlusunun kimliği — İşletmenizin unvanı ve iletişim bilgileri
Hangi veriler işleniyor — Ad, iletişim, adres, sipariş ve ödeme bilgileri
Hangi amaçla — Sipariş yönetimi, teslimat, faturalama, müşteri desteği
Hukuki sebep — Yukarıdaki tablodaki dayanaklardan hangisi
Kimlere aktarılıyor — Kargo firması, ödeme kuruluşu, e-fatura entegratörü, varsa pazaryeri
İlgili kişinin hakları — KVKK m.11 kapsamındaki haklar ve başvuru yolu
Beşinci madde e-ticarette özellikle önemli. Sizin veri aktarımlarınız bellidir: teslimat için kargo firması, tahsilat için ödeme kuruluşu, fatura için entegratör. Bunları tek tek yazın; "gerekli üçüncü taraflarla paylaşılabilir" gibi muğlak ifadeler yeterli sayılmaz.
Dil konusunda bir not: Hukuki jargonla dolu bir metin yükümlülüğü kâğıt üzerinde karşılar ama güven inşa etmez. Müşterinin anlayacağı sade Türkçe kullanın.
Metin nereye konulmalı?
Aydınlatma metninin veri toplanan her noktada erişilebilir olması gerekir:
Üyelik/kayıt formunda
Misafir sipariş akışında
İletişim formunda
Sitenin alt bilgisinde (footer) — her sayfadan ulaşılabilir olmalı
Sadece footer'a koymak yeterli değildir. Kişi verisini verirken bilgilendirmeye erişebilmelidir.
E-ticarette en sık yapılan 6 hata
1. Aydınlatma metnini açık rıza metniyle birleştirmek. Bu ikisinin ayrı düzenlenmesi gerekir. Tek bir metin içinde harmanlamak uyumsuzluk doğurur.
2. Önceden işaretlenmiş onay kutuları kullanmak. Kullanıcının kaldırması gereken bir tik, geçerli rıza sayılmaz. Kutu boş gelmeli, kullanıcı işaretlemeli.
3. Ticari ileti onayını üyelik şartına bağlamak. "Kampanyalardan haberdar olmak istiyorum" onayını vermeyene üyelik açtırmamak geçersizdir. Rızanın özgür iradeyle verilmiş olması gerekir.
4. KVKK açık rızası ile ETK ticari ileti onayını tek kutucukta toplamak. Bunlar farklı kanunlardan doğan iki ayrı yükümlülüktür: 6698 sayılı KVKK ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun. Ayrı ayrı alınmalıdır.
5. Aydınlatma metnini üyelik sözleşmesinin içine gömmek. Ayrı bir metin olmalı, ayrı erişilebilmeli.
6. İmha politikası olmaması. Verileri süresiz saklamak KVKK'ya aykırıdır. Hangi verinin ne kadar süre tutulacağı belirlenmiş olmalı — fatura verisi için yasal saklama süreleri, pazarlama verisi için rıza geçerliliği gibi.
VERBİS kaydı gerekiyor mu?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı için eşikler var: yıllık çalışan sayısı 50'yi veya yıllık mali bilanço toplamı belirli bir tutarı aşan veri sorumluları kayıt yükümlüsüdür.
Küçük ölçekli bir e-ticaret işletmesi genellikle bu eşiklerin altındadır. Ancak dikkat: VERBİS'ten muaf olmak, KVKK'nın diğer yükümlülüklerinden muaf olmak anlamına gelmez. Aydınlatma, açık rıza, veri güvenliği ve imha yükümlülükleriniz aynen devam eder.
Eşikler güncellendiği için kendi durumunuzu düzenli kontrol etmenizde fayda var.
Çerezler ayrı bir başlık
Zorunlu olmayan çerezlerle (analitik, reklam, kişiselleştirme) kişisel veri işliyorsanız, bunun için ayrıca bilgilendirme ve rıza gerekir. Site açılışında çıkan çerez bandı bu amaca hizmet eder — ama "Kabul et" dışında seçenek sunmayan bir bant geçerli rıza sağlamaz.
Zorunlu çerezler (oturum, sepet) için rıza gerekmez; onlar sitenin çalışması için gereklidir.
Sık sorulan sorular
Hazır bir KVKK metni şablonu kullanabilir miyim? Başlangıç noktası olabilir, ancak aktarım yaptığınız taraflar (hangi kargo, hangi ödeme kuruluşu, hangi entegratör) ve işlediğiniz veriler size özgüdür. Şablonu uyarlamadan kullanmak metni işlevsiz kılar.
Kargo firmasına veri vermek aktarım sayılır mı? Evet. Aydınlatma metninizde bunu belirtmelisiniz. Ancak bu aktarım için genellikle "sözleşmenin ifası" dayanağı yeterlidir; açık rıza gerekmez.
Müşterinin kart bilgilerini sitemde saklayabilir miyim? Saklamamalısınız. Kart verisi ödeme kuruluşunun güvenli altyapısında işlenmelidir. Kendi veri tabanınızda kart bilgisi tutmak ciddi güvenlik ve uyum riski doğurur.
Misafir siparişlerinde de aydınlatma gerekli mi? Evet. Üyelik olmadan sipariş veren kişinin de verisi işlenir.
KVKK cezaları ne kadar? İdari para cezaları yükümlülük türüne göre değişir ve her yıl yeniden değerleme oranıyla güncellenir. Güncel tutarlar için Kişisel Verileri Koruma Kurumu'nun resmî duyurularını takip edin.
Metnimi ne sıklıkla güncellemeliyim? Veri işleme süreçlerinizde değişiklik olduğunda. Yeni bir kargo firmasıyla çalışmaya başladığınızda veya yeni bir pazarlama aracı eklediğinizde metin güncellenmelidir.
Yasal metinler bir kere yazılır, uyum her gün sürer
KVKK uyumu tek seferlik bir metin işi değil. Hangi verinin nerede tutulduğu, kiminle paylaşıldığı ve ne kadar süre saklandığı — bunlar operasyonunuzun günlük gerçeği.
Bu bilgiler farklı panellere ve dosyalara dağılmışsa, aydınlatma metninizin doğru olup olmadığını bilemezsiniz. Ödeme sağlayıcınızı değiştirdiğinizde metnin de güncellenmesi gerektiğini kimse hatırlatmaz.
Ticaport, e-ticaret operasyonunuzu tek panelde toplar: müşteri verisi, siparişler, ödeme ve kargo süreçleri. Neyin nerede olduğunu bilirsiniz.
Sitenizde bulunması gereken diğer yasal metinler için mesafeli satış sözleşmesi ve iade ve cayma hakkı rehberlerimize göz atabilirsiniz.
14 gün ücretsiz deneyebilir, kredi kartı bilgisi girmeden başlayabilirsiniz.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. KVKK metinlerinizi kendi veri işleme süreçlerinize göre bir hukuk danışmanına hazırlatmanızı veya gözden geçirtmenizi öneririz.