Bir web sitesi, iletişim formundan çerezlere, bülten aboneliğinden canlı destek sohbetine kadar pek çok noktada kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu işlemlerin şeffaf, ölçülü ve hukuka uygun yapılmasını şart koşar. Bu yazıda web siteniz için pratik bir KVKK kontrol listesi paylaşıyoruz. Önemli bir not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez; işletmenize özel metinler için bir hukukçuyla çalışmanızı öneririz.
Kısa cevap: KVKK uyumlu bir web sitesi için en azından aydınlatma metni, açık rızadan ayrılmış onay kutuları, onay alınmadan çalışmayan analiz ve reklam çerezleri, sadece gerekli veriyi isteyen formlar, HTTPS, belirlenmiş saklama süreleri, ilgili kişi başvuru kanalı ve ticari ileti izinlerinin İYS ile yönetimi gerekir.
Web sitesinde kişisel veri nerelerde işlenir?
- Formlar: İletişim, teklif, randevu, iş başvurusu formları ad, telefon, e-posta gibi verileri toplar.
- Çerezler ve analiz araçları: Google Analytics, reklam pikselleri, ısı haritaları ziyaretçi davranışını izler.
- Üyelik ve müşteri panelleri: Hesap bilgileri, sipariş ve işlem geçmişi tutulur.
- E-bülten ve kampanya izinleri: Ticari elektronik ileti izinleri ayrıca düzenlenmiştir.
- Sunucu kayıtları: IP adresi ve erişim logları da kişisel veri niteliği taşıyabilir.
12 maddelik KVKK kontrol listesi
1. Aydınlatma metni
Kanun, veri sorumlusunun veri toplarken ilgili kişiyi bilgilendirmesini zorunlu tutar. Aydınlatma metninde kimin veri sorumlusu olduğu, hangi verilerin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları yer almalıdır. Metne her formun yanından kolayca ulaşılabilmelidir.
2. Açık rıza ile aydınlatmayı ayırın
Aydınlatma bir bilgilendirmedir; açık rıza ise belirli bir konuya ilişkin, özgür iradeyle verilen onaydır. İkisini tek bir onay kutusunda birleştirmek yaygın bir hatadır. Açık rızaya dayanan işlemler (örneğin pazarlama iletişimi) için ayrı ve önceden işaretlenmemiş bir onay kutusu kullanın.
3. Çerez politikası ve çerez onay yönetimi
Kişisel Verileri Koruma Kurumu çerez uygulamalarına ilişkin bir rehber yayımlamıştır. Genel yaklaşım şudur: sitenin çalışması için zorunlu çerezler dışındaki analiz ve pazarlama çerezleri, kullanıcı onay vermeden çalışmamalıdır. Bunun için:
- "Kabul et" ve "Reddet" seçeneklerini eşit görünürlükte sunun.
- Onay vermeden analiz ve reklam etiketlerini tetiklemeyin (Google Consent Mode bu konuda yardımcı olur).
- Kullanıcının tercihini sonradan değiştirebileceği bir "Çerez ayarları" bağlantısı bırakın.
- Kullanılan çerezleri, amaçlarını ve sürelerini çerez politikasında listeleyin.
4. Veri minimizasyonu: formda sadece gerekeni isteyin
Bir iletişim formu için T.C. kimlik numarası veya doğum tarihi istemenin bir amacı yoksa, istemeyin. Toplamadığınız veriyi korumak zorunda kalmazsınız.
5. HTTPS ve güvenli iletim
Tüm site HTTPS üzerinden çalışmalı, HTTP istekleri HTTPS'e yönlendirilmelidir. Bu, form verilerinin aktarım sırasında okunmasını engeller.
6. Form verilerinin saklandığı yer
Form verileri e-posta ile mi gönderiliyor, veritabanında mı tutuluyor, yoksa üçüncü taraf bir servise mi aktarılıyor? Her durumda erişim yetkileri sınırlanmalı, yönetim paneli güçlü şifre ve mümkünse iki adımlı doğrulama ile korunmalıdır.
7. Saklama süresi ve imha
Verileri amaç için gerekli süre kadar saklayın. Örneğin cevaplanmış iletişim taleplerini belirli bir süre sonra silmek veya anonimleştirmek için bir kural belirleyin ve bunu uygulayın.
8. Yurt dışına aktarım
Analiz araçları, e-posta servisleri, CRM'ler veya bulut sunucular verileri yurt dışında işleyebilir. KVKK'nın yurt dışına aktarımı düzenleyen 9. maddesi 2024'te değiştirilmiş ve standart sözleşme gibi yeni mekanizmalar getirilmiştir. Hangi servislerin veriyi nereye aktardığını envanterinize yazın ve hukukçunuzla doğru mekanizmayı belirleyin.
9. Ticari elektronik ileti izinleri
Kampanya e-postası veya SMS göndermek istiyorsanız, ticari elektronik ileti mevzuatına göre alıcının önceden onayı gerekir. Türkiye'de bu izinler İleti Yönetim Sistemi (İYS) üzerinden yönetilir. Bülten formunda bu iznin ayrı alınması gerekir.
10. İlgili kişi başvuru kanalı
Kişiler verilerine ilişkin bilgi talep etme, düzeltme ve silme gibi haklarını kullanabilmelidir. Başvurunun nasıl yapılacağını aydınlatma metninde açıkça yazın ve başvurulara yasal süre içinde dönün.
11. VERBİS kaydı
Belirli kriterleri sağlayan veri sorumluları Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmak zorundadır. Muafiyet kriterleri Kurul kararlarıyla belirlenir ve zaman içinde değişebilir; işletmenizin durumunu güncel kararlara göre kontrol edin.
12. Veri ihlali hazırlığı
Siteniz saldırıya uğrarsa ne yapacağınızı önceden planlayın: kim sorumlu, kayıtlar nerede, Kurum'a bildirim nasıl yapılır? Güvenlik tarafı için KOBİ siber güvenlik kontrol listemize göz atabilirsiniz.
Teknik ekip için hızlı kontrol tablosu
| Kontrol | Nasıl doğrulanır? |
|---|---|
| Onay öncesi analiz çerezi yok | Gizli pencerede siteyi açın, tarayıcı geliştirici araçlarında çerezleri ve ağ isteklerini kontrol edin. |
| Formlarda aydınlatma bağlantısı var | Her formun gönder butonu yakınında metin ve bağlantı görünüyor mu? |
| Onay kutuları boş başlıyor | Sayfa yüklendiğinde pazarlama izni kutusu işaretli olmamalı. |
| HTTPS zorunlu | http:// ile girildiğinde https:// adresine yönleniyor mu? |
| Panel güvenliği | Güçlü şifre politikası, giriş denemesi sınırı, mümkünse 2FA. |
| Hassas dosyalar erişilemez | .env, yedek dosyaları, yapılandırma dosyaları dışarıdan 403/404 dönmeli. |
Veri envanteri: uyumun başlangıç noktası
Sitenizde hangi verilerin nereden geldiğini, nereye gittiğini ve ne kadar süre saklandığını bilmeden doğru bir aydınlatma metni yazmak mümkün değildir. Basit bir tabloyla başlayabilirsiniz:
| Veri kaynağı | Toplanan veri | Amaç | Nerede saklanıyor? | Saklama süresi |
|---|---|---|---|---|
| İletişim formu | Ad, e-posta, telefon, mesaj | Talebe yanıt verme | Veritabanı + e-posta kutusu | Belirlediğiniz süre |
| Bülten formu | E-posta | Ticari ileti gönderimi | E-posta pazarlama servisi | İzin geri alınana kadar |
| Analiz aracı | Çevrimiçi tanımlayıcılar, kullanım verisi | Site performansını ölçme | Üçüncü taraf servis | Servis ayarlarına göre |
| Sunucu logları | IP, tarih, istenen adres | Güvenlik ve hata takibi | Sunucu | Belirlediğiniz süre |
Bu tablo hem aydınlatma metninin, hem çerez politikasının, hem de saklama ve imha kurallarının temelini oluşturur. Siteye yeni bir form, eklenti veya servis eklendiğinde tabloyu güncellemeyi bir alışkanlık hâline getirin.
Geliştirme sürecine KVKK'yı dahil etmek
Uyum, site yayına girdikten sonra eklenen bir katman olarak değil, tasarımın parçası olarak ele alındığında çok daha az zahmetlidir. Geliştirme ekibiyle şu kuralları baştan belirleyin:
- Her yeni form için "bu alan gerçekten gerekli mi?" sorusu sorulsun.
- Yeni bir üçüncü taraf betik eklenmeden önce çerez ve veri aktarımı etkisi değerlendirilsin.
- Test ortamında gerçek müşteri verisi kullanılmasın.
- Yönetim paneline erişen kullanıcılar ve yetkileri düzenli gözden geçirilsin.
- Form verilerini e-postayla gönderen yapılarda, e-postanın kimlerin kutusuna düştüğü kontrol edilsin.
Bu yaklaşım kanunun "veri güvenliğine ilişkin yükümlülükler" maddesinde öngörülen teknik ve idari tedbirlerin pratikteki karşılığıdır.
Aydınlatma metninde bulunması gerekenler
Kanunun 10. maddesi, aydınlatma yükümlülüğünün kapsamını belirler. Web siteleri için pratik bir kontrol listesi:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
- Veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin kanundaki hakları (bilgi talep etme, düzeltme, silme, itiraz vb.)
Bu bilgiler sade bir dille, kişinin anlayabileceği şekilde yazılmalıdır. Uzun ve genel hukuk metinleri yerine, sitenizdeki her veri toplama noktasına özgü kısa açıklamalar kullanıcı açısından daha anlaşılırdır.
Açık rıza gerektiren ve gerektirmeyen durumlar
| Durum | Genel yaklaşım |
|---|---|
| İletişim formundan gelen talebe yanıt vermek | Genellikle sözleşme veya meşru menfaat gibi bir hukuki sebebe dayanır; aydınlatma gerekir. |
| Sipariş ve teslimat için adres işlemek | Sözleşmenin ifası için gereklidir; aydınlatma gerekir. |
| Kampanya e-postası göndermek | Ticari ileti onayı ve gerekirse açık rıza; ayrıca İYS yönetimi. |
| Analiz ve reklam çerezleri | Kurum rehberi doğrultusunda genellikle açık rıza aranır. |
| Zorunlu oturum ve güvenlik çerezleri | Sitenin çalışması için gerekli; aydınlatma yeterlidir. |
Bu tablo genel bir çerçevedir; her işleme faaliyetinin hukuki sebebi işletmenizin koşullarına göre bir uzmanla belirlenmelidir.
Üçüncü taraf servisleri yönetmek
Modern bir web sitesi pek çok dış servisle çalışır: harita gömmeleri, video oynatıcılar, canlı destek, form servisleri, e-posta altyapıları. Her biri ziyaretçi verisini işleyebilir.
- Listeleyin: Sitede çalışan tüm dış servisleri ve hangi sayfalarda yüklendiklerini çıkarın.
- Sözleşmeleri kontrol edin: Servis sağlayıcıların veri işleme şartlarını ve verinin işlendiği ülkeyi öğrenin.
- Gecikmeli yükleyin: Harita ve video gibi gömmeleri, kullanıcı tıklayana veya onay verene kadar yüklemeyin.
- Gereksizleri kaldırın: Kullanılmayan her servis hem gizlilik riskini hem de sayfa ağırlığını artırır.
Bu adım aynı zamanda sitenizi hızlandırır; çünkü dış betikler sayfa performansını en çok etkileyen unsurlar arasındadır (Core Web Vitals rehberimiz).
Düzenli gözden geçirme takvimi
- Her yeni form veya servis eklendiğinde: Veri envanteri ve aydınlatma metni güncellenir.
- Üç ayda bir: Çerez taraması yapılır, onaysız çalışan etiket olup olmadığı kontrol edilir.
- Yılda bir: Saklama süreleri, yetkiler ve ilgili kişi başvuru süreci gözden geçirilir.
KVKK uyumlu bir iletişim formu örneği
Teoriyi somutlaştırmak için basit bir iletişim formunun nasıl kurgulanabileceğine bakalım:
- Alanlar: Ad soyad, e-posta, telefon (isteğe bağlı), mesaj. Doğum tarihi, adres veya kimlik numarası gibi gereksiz alanlar yok.
- Aydınlatma bağlantısı: Gönder butonunun hemen üzerinde "Kişisel verileriniz, talebinize yanıt verilmesi amacıyla Aydınlatma Metni kapsamında işlenir." gibi kısa bir cümle ve bağlantı.
- Ayrı pazarlama izni: "Kampanya ve duyurulardan e-posta ile haberdar olmak istiyorum." şeklinde, işaretsiz başlayan ve zorunlu olmayan bir onay kutusu.
- Spam koruması: Kullanıcıyı yormayan bir bot doğrulaması.
- Güvenli iletim ve saklama: HTTPS, sınırlı panel erişimi ve belirlenmiş saklama süresi.
Sık yapılan KVKK hataları
- Aydınlatma ve açık rızayı tek bir "okudum, kabul ediyorum" kutusunda birleştirmek
- Pazarlama izni kutusunu önceden işaretli getirmek
- Çerez bandı gösterip, kullanıcı karar vermeden tüm etiketleri çalıştırmak
- Başka bir siteden kopyalanmış, gerçeği yansıtmayan metinler kullanmak
- Form verilerini herkesin erişebildiği ortak bir e-posta kutusunda süresiz bırakmak
- Kullanılmayan eski formları ve bunlara ait veritabanı tablolarını unutmak
- İlgili kişi başvuruları için bir kanal ve sorumlu belirlememek
Bu hataların çoğu teknik olarak kolayca düzeltilebilir; asıl ihtiyaç, uyumu bir kerelik iş değil süreç olarak görmektir.
Mobil uygulama ve müşteri paneli olan siteler
Web sitenize bağlı bir mobil uygulama veya müşteri paneli varsa kapsam genişler. Üyelik ile birlikte hesap bilgileri, işlem geçmişi ve bazen konum gibi veriler işlenir. Bu durumda:
- Uygulama içi aydınlatma metinleri web sitesiyle tutarlı olmalıdır.
- Kullanıcıya hesabını ve verilerini silme imkânı sunulmalıdır; mağaza politikaları da bunu talep eder.
- Konum, kamera, rehber gibi izinler sadece gerektiğinde ve amacı açıklanarak istenmelidir.
- Oturum güvenliği, şifre sıfırlama süreçleri ve yetkisiz erişim kayıtları düzenli kontrol edilmelidir.
Mobil uygulama projelerinde bu gereklilikleri baştan planlamak için mobil uygulama maliyeti yazımıza göz atabilirsiniz.
Terimler sözlüğü
- Veri sorumlusu: Kişisel verilerin işlenme amaç ve vasıtalarını belirleyen, veri kayıt sisteminden sorumlu kişi veya kurum.
- Veri işleyen: Veri sorumlusu adına ve onun talimatıyla kişisel veri işleyen kişi veya kurum.
- Aydınlatma yükümlülüğü: Veri toplanırken ilgili kişinin işleme hakkında bilgilendirilmesi yükümlülüğü.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onay.
- İlgili kişi: Kişisel verisi işlenen gerçek kişi.
- VERBİS: Veri Sorumluları Sicil Bilgi Sistemi.
- İYS: Ticari elektronik ileti izinlerinin yönetildiği İleti Yönetim Sistemi.
Özetle: akılda kalması gerekenler
- Önce veri envanterini çıkarın; metinler bu envantere dayanmalıdır.
- Aydınlatma ile açık rızayı ayırın; onay kutularını işaretsiz başlatın.
- Onay alınmadan analiz ve reklam çerezlerini çalıştırmayın.
- Formlarda yalnızca gerekli veriyi isteyin, saklama sürelerini belirleyin.
- Üçüncü taraf servisleri ve yurt dışı aktarımları düzenli gözden geçirin.
Sık Sorulan Sorular
Sadece iletişim formu olan küçük bir site için de aydınlatma metni gerekir mi?
Evet. Form ile ad, e-posta veya telefon topluyorsanız kişisel veri işliyorsunuz demektir ve aydınlatma yükümlülüğü doğar.
Çerez bandı koymak yeterli mi?
Görsel bir bant tek başına yeterli değildir. Bandın arkasında, onay verilmeden analiz ve pazarlama çerezlerinin gerçekten çalışmaması gerekir.
Google Analytics kullanmak KVKK'ya aykırı mı?
Kullanım kendi başına yasak değildir; ancak onay mekanizması, aydınlatma ve yurt dışına aktarım konularının doğru kurgulanması gerekir.
Hazır KVKK metni kopyalamak sakıncalı mı?
Evet. Metin, sizin gerçekte işlediğiniz verileri ve kullandığınız servisleri yansıtmalıdır. Başka bir sitenin metni sizin süreçlerinizle örtüşmez.
İletişim formu verilerini ne kadar saklamalıyım?
Kanun belirli bir süre vermez; veriyi işleme amacı için gerekli olan süre kadar saklamanız gerekir. Bu süreyi belirleyip yazılı hâle getirin ve süre dolduğunda silme veya anonimleştirme yapın.
Çerez bandında 'Reddet' butonu zorunlu mu?
Kurumun çerez rehberi, açık rızanın özgür iradeyle verilmesini esas alır. Kabul ve reddetme seçeneklerini eşit kolaylıkta sunmak bu ilkeye uygun bir uygulamadır.
Sonuç
KVKK uyumu, sayfanın altına bir metin eklemekten ibaret değildir; formlar, çerezler, sunucu ve süreçlerle birlikte ele alınması gereken bir bütündür. Nexova Studio olarak geliştirdiğimiz sitelerde çerez onay yönetimini, güvenli form akışını ve teknik kontrolleri baştan kuruyoruz. Sitenizin teknik tarafını gözden geçirmek isterseniz bize ulaşın.
