E-ticaret, KVKK açısından yoğun bir alandır: müşteri daha ilk ziyarette çerezle karşılaşır, sonra üye olur, adres bırakır, kart bilgisi girer, kargo firmasına aktarılır ve ardından size bülten göndermenizi hiç istememiş olabilir. Bu zincirin her halkası ayrı bir işleme faaliyetidir.
Bu rehber zinciri baştan sona takip ediyor ve her adımda doğru hukuki sebebi gösteriyor.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. E-ticaret mevzuatı ve tüketici hukuku boyutu için ayrıca hukukçu görüşü alın.
Kısa cevap
E-ticaret sitesinde siparişin alınması, ödemenin işlenmesi ve kargoya verilmesi sözleşmenin ifası hukuki sebebine dayanır; bunlar için müşteriden rıza istemenize gerek yoktur. Fatura ve mali kayıtların saklanması hukuki yükümlülüktür. Buna karşılık kampanya e-postası, SMS ve üçüncü taraf pazarlama çerezleri açık rıza gerektirir ve bu rıza ayrı, ön işaretsiz ve geri alınabilir olmalıdır.
E-ticaretin veri haritası
| Süreç | İşlenen veri | Hukuki sebep | Aktarıldığı taraf |
|---|---|---|---|
| Site ziyareti | IP, cihaz, çerez kimliği | Zorunlu çerezler: meşru menfaat · Pazarlama: açık rıza | Analitik, reklam ağları |
| Üyelik | Ad, e-posta, telefon, şifre | Sözleşmenin ifası | Barındırma, e-posta servisi |
| Sepet ve sipariş | Ürün, adres, tutar | Sözleşmenin ifası | — |
| Ödeme | Kart verisi (genelde sizde tutulmaz) | Sözleşmenin ifası | Ödeme kuruluşu |
| Fatura | Kimlik/vergi, adres | Hukuki yükümlülük | Muhasebe, e-fatura sağlayıcısı |
| Kargo | Ad, adres, telefon | Sözleşmenin ifası | Kargo firması |
| İade / değişim | Sipariş, IBAN | Sözleşme + hukuki yükümlülük | Banka |
| Müşteri hizmetleri | Görüşme kaydı, mesaj | Meşru menfaat | Çağrı merkezi yazılımı |
| Bülten / kampanya | E-posta, telefon, tercih | Açık rıza | E-posta pazarlama aracı |
| Yorum ve puanlama | Ad, içerik | Meşru menfaat / rıza | — |
| Terk edilmiş sepet hatırlatması | E-posta, sepet içeriği | Açık rıza (ticari ileti) | Pazarlama aracı |
Bu tablo, envanterinizin iskeletidir. Kendi sitenize göre doldurmak için: kişisel veri envanteri nasıl hazırlanır.
Hata 1: Tek kutuda her şeyi onaylatmak
E-ticaret sitelerinde en yaygın hata budur:
☑ Üyelik sözleşmesini, gizlilik politikasını ve ticari elektronik ileti gönderilmesini kabul ediyorum.
Bu kutu üç ayrı şeyi birleştirir ve üçünü de sakatlar. Doğru kurgu şudur:
- Üyelik sözleşmesi ve mesafeli satış sözleşmesi: Onay kutusu gerekir (sözleşme kabulü), zorunludur.
- Aydınlatma metni: Onay kutusu gerekmez. Aydınlatma bir bilgilendirmedir, onaylanmaz — erişilebilir olması yeterlidir. "Aydınlatma metnini okudum ve kabul ediyorum" ifadesi kavramsal olarak yanlıştır; en fazla "okudum" denebilir.
- Ticari elektronik ileti izni: Ayrı, ön işaretsiz kutu. Zorunlu tutulamaz; işaretlemeyen müşteri de alışverişini tamamlayabilmelidir.
Üçünü ayırmak hem KVKK hem elektronik ticaret mevzuatı açısından doğru olandır. Rıza metninin nasıl yazılacağı: açık rıza metni nasıl yazılır.
Hata 2: Pazarlama iznini alışveriş şartı yapmak
"Kampanya iznini işaretlemeden sipariş veremezsiniz" kurgusu, rızayı geçersiz kılar. Açık rızanın üç şartından biri özgür iradedir; hizmete erişimi rızaya bağlamak bu şartı ortadan kaldırır.
Aynı mantık şu uygulamalar için de geçerlidir:
- İndirim kuponunu yalnızca bülten aboneliğine bağlamak (tartışmalı; ayrı bir kampanya kurgusu olarak savunulabilir ama kayıt tutun)
- Üyelik iptalini zorlaştırıp "izni kaldıramazsınız" demek
- Rızayı geri çeken müşteriye ileti göndermeye devam etmek
Rıza kayıtlarını (tarih, saat, IP, hangi metne onay verildiği) saklayın. Bir şikâyet geldiğinde ispat yükü sizdedir.
Hata 3: Çerezleri "hepsini kabul et" ile geçmek
Zorunlu çerezler (oturum, sepet, güvenlik) için rıza gerekmez. Ancak reklam ve izleme çerezleri için rıza gerekir ve bu rızanın gerçek olması beklenir:
- Reddetmek kabul etmek kadar kolay olmalı. Yalnızca "Kabul et" butonu olan bir banner rıza üretmez.
- Ön işaretli kategori olmamalı.
- Rıza verilmeden pazarlama çerezleri yüklenmemeli. Çoğu sitede banner gösterilirken izleme kodları çoktan çalışmış olur — teknik olarak bu, banner'ı anlamsız kılar.
- Tercih değiştirilebilmeli. Sayfa altında kalıcı bir "Çerez tercihleri" bağlantısı bulunmalıdır.
Ayrıntılı çerçeve: KVKK ve çerez politikası.
Hata 4: Kargo ve pazaryeri aktarımlarını görmezden gelmek
E-ticarette veri, sandığınızdan çok yere gider:
- Kargo firması (ad, adres, telefon)
- Ödeme kuruluşu
- E-fatura entegratörü ve mali müşavir
- Pazaryerleri (pazaryerinden gelen siparişlerde çift yönlü akış)
- E-posta/SMS pazarlama aracı
- Canlı destek yazılımı
- Analitik ve reklam platformları
- Depo/fulfillment hizmet sağlayıcısı
Bunların hepsi aydınlatma metninizde alıcı grubu olarak görünmeli, envanterde yer almalı ve sözleşmelerinizde veri koruma hükmü bulunmalıdır. Sağlayıcının sunucusu yurt dışındaysa ayrı bir rejim devreye girer: yurt dışına veri aktarımı. E-ticarette bu çok sık karşılaşılan bir durumdur çünkü kullanılan araçların büyük kısmı yurt dışı merkezlidir.
Hata 5: Veriyi süresiz saklamak
"Müşteri geri gelirse geçmişini görelim" düşüncesi, saklama ilkesiyle çatışır. Tipik kurgu:
| Kayıt | Saklama mantığı |
|---|---|
| Fatura ve mali kayıt | Vergi mevzuatının öngördüğü süre |
| Sipariş ve teslimat kaydı | Tüketici hukuku zamanaşımı süresi boyunca |
| Üyelik hesabı | Üyelik sürdükçe; silme talebinde kapatılır |
| Pazarlama izni | İzin geri alınana kadar; geri alınınca kayıt olarak saklanır |
| Terk edilmiş sepet | Kısa süre (kampanya penceresi kadar) |
| Canlı destek görüşmesi | Amaçla sınırlı kısa süre |
| Ödeme kartı verisi | Sizde hiç tutulmamalı |
Son satır önemlidir: kart verisini kendi sisteminizde saklamak, hem KVKK hem kart sektörü standartları açısından yüksek risktir. Ödeme kuruluşunun tokenizasyon altyapısını kullanın.
Süreleri yazılı hâle getirme aracı: saklama ve imha politikası.
Üyelik silme talebi geldiğinde
"Hesabımı ve verilerimi silin" talebi e-ticarette özel bir zorluk yaratır: siparişi tamamen silemezsiniz çünkü fatura kaydı mevzuat gereği saklanır. Doğru yaklaşım:
- Üyelik hesabını ve pazarlama kayıtlarını kapatın.
- Mevzuat gereği saklanması zorunlu kayıtları belirtin ve neden saklandığını açıklayın.
- Bu kayıtlara erişimi kısıtlayın; pazarlama amacıyla kullanmayın.
- Zorunlu saklama süresi dolduğunda gerçekten silin.
- Cevabı 30 gün içinde verin ve yazılı olarak kayda geçin.
"Hepsini sildik" demek, faturayı da sildiyseniz vergi mevzuatına aykırı; silmediyseniz gerçek dışı olur. Doğru cevap, ayrımı açıklamaktır. Süreç kurgusu: veri sorumlusuna başvuru.
Veri ihlali riski ve hazırlık
E-ticaret, en sık sızıntı yaşanan sektörlerdendir. En yaygın senaryolar: yönetim paneline zayıf şifreyle giriş, güncellenmemiş eklenti, farklı sitelerden sızmış şifrelerin denenmesi (credential stuffing) ve yetkisi kaldırılmamış eski personel hesabı.
Kurul'un yayımlanmış kararlarında bu senaryoların nasıl değerlendirildiğini karar arşivinde görebilirsiniz. Hazırlık tarafında yapılması gerekenler: yönetici hesaplarında çok faktörlü doğrulama, düzenli güncelleme, erişim yetkilerinin periyodik gözden geçirilmesi ve bir ihlal anında kimin ne yapacağını gösteren yazılı bir akış. İhlalin ne olduğu ve süreci: KVKK ihlali nedir.
Sitede bulunması gereken belgeler
- Aydınlatma metni — ayrı ve erişilebilir sayfa, footer'da link
- Çerez politikası — çerez banner'ından erişilebilir
- Gizlilik politikası — aydınlatma metniyle birleştirilebilir ama karıştırılmamalı
- Üyelik sözleşmesi ve mesafeli satış sözleşmesi
- Ticari elektronik ileti onay metni — ayrı kutu
- İlgili kişi başvuru formu veya başvuru kanalının açıkça belirtilmesi
- Veri sorumlusu kimlik bilgileri — unvan, adres, iletişim
Bu belgelerin çoğunu şirket bilgilerinizi girerek üretebilirsiniz: belge sihirbazı. E-ticaret süreçleri hazır şablonda geldiği için envanteri sıfırdan doldurmanız gerekmez. Araç tamamen ücretsizdir.
VERBİS yükümlülüğünüz var mı?
E-ticaret olmanız tek başına VERBİS kaydını zorunlu kılmaz; ölçüt çalışan sayısı, mali bilanço ve işlenen verinin niteliğidir. Değerlendirme için: KVKK hangi şirketler için zorunlu ve kayıt adımları için VERBİS kaydı nasıl yapılır.
Kayıt yükümlülüğünüz olmasa bile aydınlatma, güvenlik ve saklama yükümlülükleriniz devam eder — VERBİS muafiyeti KVKK muafiyeti değildir.
Sık sorulan sorular
E-ticaret sitesi için müşteriden KVKK onayı almak zorunlu mu?
Sipariş, ödeme ve kargo süreçleri sözleşmenin ifasına dayanır; bunlar için onay gerekmez, aydınlatma yeterlidir. Onay yalnızca kampanya e-postası, SMS ve pazarlama çerezleri gibi seçimlik işlemler için gerekir ve ayrı bir kutuda alınmalıdır.
Aydınlatma metni ile gizlilik politikası aynı şey mi?
Tam olarak değil. Aydınlatma metni KVKK'nın 10. maddesinden doğan, belirli unsurları içermesi gereken bir belgedir. Gizlilik politikası daha geniş bir kullanıcı bilgilendirmesidir. İkisi tek sayfada birleştirilebilir, ancak aydınlatmanın zorunlu unsurları eksiksiz yer almalıdır.
Terk edilmiş sepet e-postası göndermek için izin gerekir mi?
Evet. Terk edilmiş sepet hatırlatması ticari elektronik ileti niteliğindedir ve önceden alınmış izne dayanmalıdır. İzin vermemiş bir kullanıcının sepetine dayanarak pazarlama e-postası göndermek şikâyet konusu olur.
Kargo firmasına müşteri bilgisi vermek aktarım sayılır mı?
Evet, üçüncü kişiye aktarımdır. Ancak bu aktarım sözleşmenin ifası için zorunlu olduğundan ayrı rıza gerektirmez. Kargo firmasının aydınlatma metninde alıcı grubu olarak yer alması ve sözleşmenizde veri koruma hükmü bulunması gerekir.
Yurt dışı bir e-posta pazarlama aracı kullanıyorum, sorun mu?
Bu bir yurt dışına aktarımdır ve uygun aktarım mekanizmasının kurulması gerekir. Sağlayıcının sunucu konumunu teyit edin, aktarımı envanterinize işleyin ve aydınlatma metninde belirtin.
Müşteri yorumlarında ad soyad göstermek KVKK'ya aykırı mı?
Yorumun yayımlanacağı ve hangi bilgilerin görüneceği önceden açıkça belirtilmişse ve kullanıcı buna göre yorum yapmışsa sorun oluşmaz. Ad soyadın tamamını göstermek yerine baş harf kullanmak (örneğin "Ayşe K.") riski daha da azaltır.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 5, 6, 10, 11, 12
- Kişisel Verileri Koruma Kurulu yayımlanmış kararları — karar arşivi
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun — ticari elektronik ileti onayı
