KVKK Uyumlu Web Sitesi: Çerez Politikası, Aydınlatma Metni ve Onay

Kısa cevap: KVKK uyumlu bir web sitesi, ziyaretçiden veri topladığı her noktada (çerezler, formlar, üyelik, ödeme, analiz ve reklam etiketleri) önce aydınlatma yapan, yalnızca gerçekten gereken yerde ayrı bir metinle açık rıza isteyen ve zorunlu olmayan çerezleri onay gelmeden çalıştırmayan sitedir. Bunun için en az bir aydınlatma metni, bir çerez politikası (çerez aydınlatma metni), çalışan bir çerez yönetim paneli ve ihtiyaca göre amaç bazında ayrı açık rıza metinleri gerekir. Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı, aydınlatma ile açık rızanın ayrı metinler olmasını ve aydınlatma için "onay" istenmemesini açıkça istiyor. Çerez bannerında "Kabul et" ve "Reddet" eşit görünürlükte olmalı, kutular önceden işaretli gelmemeli; Google ve Meta etiketleri de Consent Mode gibi araçlarla bu tercihe bağlanmalı.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kasım 2026 itibarıyla yürürlükteki mevzuata ve Kişisel Verileri Koruma Kurumu yayınlarına dayanır. Sitenize özel metinleri, hukuki sebep seçimini ve yurt dışı aktarım kararlarını bir avukat ya da KVKK danışmanıyla birlikte netleştirin.

KVKK uyumlu web sitesi ne demek?

KVKK uyumlu web sitesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun aydınlatma, hukuki sebep, açık rıza, veri güvenliği, yurt dışına aktarım ve ilgili kişi hakları yükümlülüklerini sitenin her veri toplama noktasında karşılayan sitedir. Sitenin altına bir "KVKK" bağlantısı koymak bu işin yalnızca küçük bir parçasıdır. Asıl iş, sitede hangi verinin, hangi araçla, hangi amaçla toplandığını bilmek ve her birini doğru metinle eşleştirmektir.

Kanunun güncel metnine mevzuat.gov.tr üzerindeki 6698 sayılı Kanun sayfasından ulaşabilirsiniz. Web sitesi açısından en sık başvuracağınız maddeler şunlardır: işleme şartlarını sayan 5. madde, özel nitelikli verileri düzenleyen 6. madde, yurt dışına aktarımı düzenleyen 9. madde, aydınlatma yükümlülüğünü düzenleyen 10. madde, ilgili kişinin haklarını sayan 11. madde, veri güvenliğini düzenleyen 12. madde ve başvuru usulünü belirleyen 13. madde.

Sitenizde kişisel veri nerede toplanır?

Bir kurumsal sitede bile kişisel veri sandığınızdan çok noktada toplanır. Uyum çalışmasına başlamadan önce aşağıdaki noktaları tek tek işaretleyin; listede "bizde yok" dediğiniz bir madde, çoğu zaman bir eklentinin ya da etiketin arka planda yaptığı iştir.

• Sunucu ve güvenlik kayıtları: IP adresi, tarayıcı bilgisi, ziyaret zamanı.
• Çerezler ve benzeri teknolojiler: oturum, sepet, dil tercihi, analiz ve reklam çerezleri.
• Analiz ve reklam etiketleri: Google Analytics, Google Ads dönüşüm etiketi, Meta Pixel, TikTok ve LinkedIn etiketleri.
• İletişim, teklif ve randevu formları: ad, telefon, e-posta, firma, mesaj içeriği.
• Üyelik ve sipariş adımları: adres, fatura bilgisi, sipariş geçmişi.
• Bülten ve kampanya kayıtları: e-posta, telefon, ticari ileti izni.
• İş başvurusu formları ve CV yüklemeleri: eğitim, deneyim, bazen sağlık ya da adli sicil gibi özel nitelikli bilgiler.
• Canlı destek, WhatsApp butonu, yorum ve soru-cevap alanları.
• Oturum kaydı ve ısı haritası araçları: fare hareketi, tıklama, form etkileşimi.

Veri sorumlusu ve veri işleyen kimdir?

Sitenin sahibi olan işletme, ziyaretçi verileri bakımından veri sorumlusudur; yani verinin neden ve nasıl işleneceğine o karar verir. Barındırma (hosting) firması, e-posta gönderim servisi, CRM sağlayıcısı ya da siteyi yöneten ajans, çoğu durumda sizin adınıza veri işleyen konumundadır. Reklam ve sosyal medya platformları ise topladıkları veriyi kendi amaçları için de kullanabildiğinden, Kurum'un çerez rehberi üçüncü taraf çerezlerde hem site sahibinin hem de üçüncü tarafın aydınlatma ve rıza konusunda sorumlu olduğunu vurgular.

Bu tablo bir başlangıç haritasıdır, hukuki sebep seçiminin kendisi değildir. Aynı form iki farklı işletmede farklı amaçlara hizmet edebilir; bu yüzden her satırı kendi işleyişinize göre doldurun.

Bir web sitesinde hangi KVKK metinleri bulunmalı?

Bir web sitesinde genellikle dört temel metin bulunur: aydınlatma metni, çerez politikası (çerez aydınlatma metni), açık rıza metinleri ve gizlilik politikası; e-ticaret ya da bülten varsa bunlara ticari ileti onay metni ve ilgili kişi başvuru formu eklenir. Her metnin görevi farklıdır ve biri diğerinin yerine geçmez. Özellikle "her şeyi tek sayfada topladık" yaklaşımı, 2026/347 sayılı ilke kararından sonra en riskli uygulamalardan biri haline geldi.

Aydınlatma metni neleri içermeli?

Aydınlatma metni, Kanun'un 10. maddesi gereği en az beş unsuru içermelidir: veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve 11. maddedeki haklar. Kurul'un ilke kararı, metnin kısa tutulmasını ve hakların tek tek kopyalanması yerine "Kanun'un 11'inci maddesi kapsamındaki haklarınız" gibi bir ifadeyle anılabileceğini de belirtiyor. Aynı kararda, işlenen veri kategorilerinin, amacın ve hukuki sebebin açık ve net yazılması isteniyor.

Pratikte en sağlıklı sonuç katmanlı yapıyla alınır. Formun hemen yanında iki üç cümlelik kısa bir bilgi ve "Aydınlatma metninin tamamı" bağlantısı, tam metinde ise amaç ve hukuki sebep eşleşmesini gösteren bir tablo kullanın. Hazır bir iskeletle başlamak isterseniz gizlilik politikası oluşturucu gibi araçlar taslak çıkarır; ama metni mutlaka kendi süreçlerinize göre düzenleyin.

Açık rıza metni ne zaman gerekir?

Açık rıza metni, yalnızca işleme faaliyeti Kanun'daki diğer şartlardan hiçbirine dayanamadığında gerekir. Davranışsal reklam çerezleri, pazarlama amaçlı profil çıkarma, bazı analiz senaryoları ve özel nitelikli veriler bunun tipik örnekleridir. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olmalıdır; "kişisel verilerimin işlenmesini kabul ediyorum" gibi genel bir cümle Kurum'un çerez rehberine göre tek başına açık rıza sayılmaz. Taslak için açık rıza metni oluşturucu kullanılabilir, fakat her amaç için ayrı onay mekanizması kurmanız gerekir.

Gizlilik politikası aydınlatmanın yerine geçer mi?

Hayır, uzun ve pek çok konuyu bir arada anlatan bir gizlilik politikası aydınlatma yükümlülüğünü tek başına karşılamaz. Kurul'un 27.02.2020 tarihli ve 2020/173 sayılı kararı ile çerez rehberi, karmaşık gizlilik bildirimlerinin aydınlatma yapıldığı şeklinde yorumlanamayacağını açıkça söylüyor. Aynı kararda "siteyi ziyaret ederek bu bildirimi kabul etmiş sayılırsınız" türü ifadelerin hem aydınlatmaya hem açık rıza şartına aykırı bulunduğunu da hatırlatalım.

E-ticaret sitelerinde başka hangi metinler gerekir?

E-ticaret sitelerinde KVKK metinlerine ek olarak mesafeli satış sözleşmesi, ön bilgilendirme formu, iade ve cayma koşulları gibi tüketici mevzuatından gelen metinler de bulunur. Bu metinlerin içeriği ayrı bir konudur; ayrıntısı için e-ticaret sitesinde olması gereken sözleşmeler rehberine bakabilirsiniz. Buradaki kritik nokta şudur: sipariş sözleşmesinin onay kutusuna pazarlama rızası ya da çerez rızası iliştirilmemelidir.

Aydınlatma ve açık rıza neden ayrı metin olmalı?

Aydınlatma ve açık rıza ayrı metin olmalıdır, çünkü aydınlatma bilgi vermektir, açık rıza ise ilgili kişinin özgür iradesiyle verdiği bir izindir; ikisi tek metinde birleşince kişi neye onay verdiğini ayırt edemez. Kurul bu yaklaşımı yıllardır kararlarında uyguluyordu. 18.02.2026 tarihli ve 2026/347 sayılı ilke kararıyla kural, tüm veri sorumluları için açık bir standart haline geldi.

Kararın kamuoyu duyurusu 24 Mart 2026'da yayımlandı ve karar aynı tarihli Resmî Gazete'de yer aldı. Metnin tamamını Kurum'un 2026/347 sayılı ilke kararı duyurusundan okuyabilirsiniz. Duyuruya göre iç içe geçmiş metinler, Kurum'a gelen ihbar ve şikâyetlerde en sık rastlanan hukuka aykırılıklardan biri.

2026/347 sayılı ilke kararı web sitesinde neyi değiştiriyor?

Karar, sitedeki metin ve kutu düzenini doğrudan etkiler. Duyurudaki maddeleri web sitesi diline çevirdiğimizde şu kurallar ortaya çıkıyor:

• Aydınlatma, hangi hukuki sebebe dayanılırsa dayanılsın, veri işlemeye başlamadan önce yapılır.
• İşleme açık rızaya dayanıyorsa aydınlatma metni ve açık rıza metni farklı başlıklar altında, ayrı metinler olarak hazırlanır.
• İki metin aynı sayfadaysa alt alta yer alır ve her biri için ayrı beyan alınır.
• İşleme açık rıza dışında bir şarta dayanıyorsa yalnızca aydınlatma yapılır; ayrıca açık rıza metni sunulmaz.
• İlgili kişiden yalnızca aydınlatma metnini okuduğuna ve bilgi edindiğine dair geri bildirim alınabilir; metindeki ifadeler için onay istenmez.
• Başka bir şirketin metni birebir kopyalanmaz; metin kendi yapınıza ve faaliyetinize göre yazılır.
• Dil sade, açık ve anlaşılır olur; genel, muğlak, eksik ya da yanıltıcı ifade kullanılmaz.
• Metinler kısa tutulur; veri kategorileri, amaç ve hukuki sebep net yazılır.

Kurul bu hususları 12. maddenin birinci fıkrası kapsamında alınması gereken idari ve teknik tedbirler olarak tanımlıyor ve uyulmadığının tespiti halinde 18. madde kapsamında işlem yapılacağını belirtiyor. Ceza aralıkları her yıl yeniden değerleme oranıyla güncellendiği için güncel tutarı Kurum'un sitesinden kontrol edin.

"Okudum, onaylıyorum" kutusu yerine ne koymalı?

Formun gönder butonunun hemen üstüne "Kişisel verileriniz, talebinizi yanıtlamak amacıyla Aydınlatma Metni kapsamında işlenir." gibi kısa bir cümle ve metne bağlantı koymak çoğu iletişim formu için yeterli bir başlangıçtır. Okunduğuna dair kayıt tutmak istiyorsanız kutunun metni "Aydınlatma metnini okudum, bilgi edindim" olmalı; "kabul ediyorum" ya da "onaylıyorum" kelimeleri kullanılmamalıdır. Açık rıza gerektiren ayrı bir amaç varsa (örneğin pazarlama profili), onun kutusu ayrı, işaretsiz ve formu göndermek için zorunlu olmayan bir kutu olmalıdır.

Hazır metin kullanmak neden risklidir?

Hazır metinler, gerçekte kullanmadığınız araçları yazıp kullandıklarınızı atladığı için ilke kararının 6. ve 7. maddeleriyle çelişebilir. Örneğin metinde "verileriniz yurt dışına aktarılabilir" yazarken sitede hiç yurt dışı servis kullanmıyorsanız bu yanıltıcı bir ifadedir; tersi durumda ise aydınlatma eksik kalır. Hazır şablonu yalnızca başlık iskeleti olarak görün, içeriği kendi veri envanterinizle doldurun.

Hangi hukuki sebebe dayandığınızı nasıl belirlersiniz?

Hukuki sebebi belirlemenin doğru yolu, önce Kanun'un 5. maddesinin ikinci fıkrasındaki açık rıza dışındaki şartları kontrol etmek, hiçbiri karşılanmıyorsa açık rızaya gitmektir. Çerez rehberi de bu sıralamayı açıkça tavsiye eder. Açık rızayı "her ihtimale karşı" her yerde istemek güvenli görünür ama değildir; Kurul, başka bir şart varken rıza istenmesini dürüstlük kuralına aykırı bulabileceğini 2020/173 sayılı kararında belirtmiştir.

Açık rıza dışındaki şartlar kısaca şunlardır: kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle hayatın korunması, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, hukuki yükümlülük, ilgili kişinin veriyi alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat.

1. Her veri toplama noktası için amacı tek cümleyle yazın: "Teklif talebine cevap vermek", "Siparişi teslim etmek", "Reklam kampanyasının dönüşümünü ölçmek" gibi.
2. Amacın bir sözleşmeyle ya da kişinin kendi talebiyle doğrudan ilgili olup olmadığına bakın. İlgiliyse sözleşme şartı öne çıkar.
3. Bir kanunun sizi bu veriyi tutmaya zorlayıp zorlamadığını kontrol edin (fatura ve muhasebe kayıtları gibi).
4. Meşru menfaate dayanacaksanız denge testi yapın: sizin menfaatiniz ile kişinin beklentisi ve hakları arasında ölçülü bir denge var mı? Testi yazılı tutun.
5. Hiçbir şart uymuyorsa açık rızaya gidin; rıza metnini ayrı yazın, isteğe bağlı yapın ve geri alma yolunu gösterin.
6. Her kararı veri envanterinize işleyin. Aydınlatma metni bu envanterden üretilmelidir, tersi değil.

Özel nitelikli veri işleyen siteler nelere dikkat etmeli?

Sağlık, biyometrik veri, din, dernek üyeliği, ceza mahkûmiyeti gibi veriler özel nitelikli kişisel veridir ve 6. maddedeki daha sıkı şartlara tabidir. Bu madde 7499 sayılı Kanun'la değiştirildi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi; işleme şartları genişledi ama sıkı güvenlik tedbirleri beklentisi sürüyor. Klinik, güzellik merkezi, diyetisyen ya da online randevu alan siteler için ayrıntılı bir yaklaşım sağlık tanıtım mevzuatına uygun klinik web sitesi rehberinde ele alınıyor. Genel bir site için en pratik kural şudur: forma sağlık şikâyeti ya da TC kimlik numarası gibi alanları gerçekten gerekmedikçe koymayın.

Çözülmüş örnek: Teklif formu ile bülten kutusu aynı formda

Bir makine üreticisinin "Teklif İste" formunda ad, firma, telefon, e-posta ve mesaj alanları ile "Kampanya ve yeniliklerden haberdar olmak istiyorum" kutusu olduğunu düşünelim. Teklif talebine cevap vermek kişinin kendi talebiyle başlayan sözleşme öncesi bir işlemdir; bu kısım için yalnızca aydınlatma yeterlidir. Kampanya kutusu ise ayrı bir amaçtır: ticari elektronik ileti onayı gerektirir ve işaretsiz gelmeli, formu göndermek için zorunlu olmamalıdır.

Yanlış kurgu, tek bir zorunlu kutuda "KVKK metnini okudum, onaylıyorum ve kampanya iletisi almayı kabul ediyorum" yazmaktır. Bu tek kutu hem aydınlatmayı rızaya çevirir hem de pazarlama iznini teklif talebinin ön şartı yapar. Doğru kurguda formda bir aydınlatma bağlantısı ve bir isteğe bağlı ileti onayı kutusu bulunur; ikisi birbirinden bağımsızdır.

KVKK çerez rehberi çerezleri nasıl sınıflandırıyor?

Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehber'i çerezleri üç eksende sınıflandırır: süresine göre (oturum ve kalıcı), kullanım amacına göre (zorunlu, işlevsel, performans-analitik, reklam-pazarlama) ve tarafına göre (birinci ve üçüncü taraf). Rehberin Kurum sitesindeki güncel sürümü "KVKK Yayınları No: 69, Temmuz 2025" künyesini taşıyor; ilk hali Haziran 2022'de yayımlanmıştı. Metnin tamamına KVKK Çerez Uygulamaları Hakkında Rehber sayfasından ulaşabilirsiniz.

Rehberin kapsamı da önemlidir: yalnızca kişisel veri işleyen çerezleri ele alır ve piksel, cihaz parmak izi, local storage, beacon gibi benzer teknolojiler için ayrıca yönlendirme yapmaz. Bu, o teknolojilerin serbest olduğu anlamına gelmez. Kişisel veri işliyorlarsa Kanun'un genel kuralları onlar için de geçerlidir; uygulamada çoğu site bu araçları da aynı rıza paneline bağlar.

5809 sayılı Elektronik Haberleşme Kanunu çerezlere uygulanır mı?

Rehbere göre 5809 sayılı Elektronik Haberleşme Kanunu'nun 51. maddesinin üçüncü fıkrası yalnızca elektronik haberleşme hizmeti sunan işletmecileri kapsar. Sıradan bir kurumsal site, e-ticaret sitesi ya da blog için çerezler 6698 sayılı Kanun çerçevesinde değerlendirilir. Bu ayrım, işletmelerin "çerez kuralı yalnızca telekom şirketleri için" şeklindeki yanlış kanısını da düzeltir.

Hangi çerezler onay gerektirir, hangileri gerektirmez?

Kesinlikle gerekli çerezler açık rıza gerektirmez; davranışsal reklam, sosyal ağ takip ve kural olarak üçüncü taraf analiz çerezleri ise açık rıza gerektirir. Rehber bu ayrımı iki kriterle yapar. Kriter A, çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması için kullanılmasıdır. Kriter B ise çerezin, kullanıcının açıkça talep ettiği bir hizmet için kesinlikle gerekli olmasıdır. Bu kriterlerden birini karşılayan çerezler için genellikle sözleşme ya da meşru menfaat şartına dayanılabilir.

Birinci taraf analitik neden "şartlı" muaf?

Rehber, amacı yalnızca sitenin hedef kitlesini ölçmekle sınırlı birinci taraf analitik çerezlerin Kriter B kapsamında değerlendirilebileceğini söyler; ama bunu bazı şartlara bağlar. Veriler amaçla bağlantılı, sınırlı ve ölçülü işlenmeli, gerekmeyen veriler anonimleştirilmeli (örneğin IP maskelenmeli), çerezler siteler ya da uygulamalar arası çapraz takip için kullanılmamalı, çerez ömrü makul olmalı ve toplanan veriler üçüncü taraflara iletilmemelidir. Bu şartların hepsini aynı anda sağlayan bir ölçüm kurgusu, rıza olmadan çalışabilecek ender analiz senaryolarından biridir.

Google Analytics 4 hangi grupta yer alır?

Google Analytics 4 çerezleri sitenizin alan adına yazılsa da ölçüm verisi Google'ın sunucularına gönderilir; bu da rehberdeki "üçüncü taraflara iletilmeme" şartıyla örtüşmez. Bu nedenle temkinli yaklaşım, GA4'ü analiz çerezi olarak rıza paneline bağlamaktır. Google'ın kendi yardım sayfası GA4'te IP adreslerinin kaydedilmediğini ve saklanmadığını belirtiyor; bu bir veri azaltma adımıdır, ama tek başına rıza ihtiyacını ortadan kaldırmaz. GA4 kurulumunun ölçüm tarafı için e-ticaret siteleri için Google Analytics rehberine bakabilirsiniz.

Davranışsal reklam çerezlerinde rızanın kapsamı ne kadar geniş?

Rehber, davranışsal reklam çerezleri için açık rızanın yalnızca reklam gösterimini değil, gösterim sıklığı, finansal kayıt, reklam ortaklığı, tıklama sahtekârlığını tespit, araştırma, pazar analizi, ürün geliştirme ve hata ayıklama amacıyla kullanılan ilgili çerezleri de kapsadığını belirtir. Yani "bu çerez sadece dönüşüm sayıyor" diyerek reklam etiketlerini rıza dışında tutmak rehberin yaklaşımıyla uyuşmaz. Yeniden pazarlama kampanyası yürütüyorsanız, bu kitlelerin yalnızca rıza veren ziyaretçilerden oluşacağını planlamanıza dahil edin; strateji tarafı için yeniden hedefleme stratejileri rehberi yol gösterir.

Üçüncü taraf çerezlerde sorumluluk kimde?

Üçüncü taraf çerezlerde hem site sahibi hem de çerezi yerleştiren üçüncü taraf, kullanıcıyı bilgilendirmek ve rızasını almakla yükümlüdür. Rehber, ziyaretçinin şikâyet için büyük olasılıkla doğrudan siteyi işleten şirkete başvuracağını hatırlatır ve iki tarafın birlikte çalışmasını önerir. Pratikte bu, reklam ya da analiz hizmeti aldığınız firmalarla yaptığınız sözleşmeye aydınlatma ve rıza konusunda hüküm eklemek ve bu araçları yalnızca rıza panelinizden geçirerek çalıştırmak demektir.

Çocuklara hitap eden sitelerde nelere dikkat edilmeli?

Ürün ya da hizmetiniz çocuklara hitap ediyorsa aydınlatma metni çocukların algı düzeyine uygun, sade ve gerekirse görsellerle desteklenmiş olmalıdır; rehber bu konuda açık bir tavsiye içerir. Oyuncak, eğitim ve oyun siteleri gibi kategorilerde reklam çerezlerini varsayılan olarak kapalı tutmak, formlarda yaş sorusunu yalnızca gerçekten gerekiyorsa sormak ve ebeveyn iletişim bilgisini ayrı ele almak iyi bir başlangıçtır.

Çerez politikası nasıl yazılır?

Çerez politikası, sitenizde kullanılan her çerezin adını, amacını, saklama süresini, birinci ya da üçüncü taraf olduğunu, hangi hukuki sebebe dayandığını ve tercihlerin nasıl değiştirileceğini anlatan bir çerez aydınlatma metnidir. Rehber, aydınlatma metninde çerezin adı, kullanım amacı, süresi ve tarafına açıkça yer verilmesini tavsiye eder. Ekindeki örnek metin de bu bilgileri bir tablo halinde verir.

Metnin iyi bir çerez politikası olması için uzun olması gerekmez. Asıl önemli olan, sitede gerçekten çalışan çerezlerle birebir eşleşmesidir. Yeni bir etiket ekleyip politikayı güncellemeyi unutmak, en sık görülen uyumsuzluk nedenlerinden biridir.

Çerez politikasında hangi bölümler olmalı?

• Veri sorumlusunun kimliği ve iletişim bilgisi.
• Çerezin ne olduğu ve hangi türlerin kullanıldığına kısa bir giriş.
• Amaç ve hukuki sebep eşleşmesi: zorunlu çerezler için sözleşme ya da meşru menfaat, diğerleri için açık rıza.
• Çerez tablosu: çerez adı, sağlayıcı, amaç, tür (birinci ya da üçüncü taraf), süre.
• Yurt dışına aktarım varsa hangi sağlayıcı ve hangi güvenceyle yapıldığı.
• Tercihlerin nasıl değiştirileceği: sayfanın köşesindeki çerez ikonu ya da "Çerez ayarları" bağlantısı.
• Kanun'un 11. maddesi kapsamındaki haklar ve başvuru yolu.
• Son güncelleme tarihi.

Çerez envanteri nasıl çıkarılır?

Çerez envanteri, sitenizde çalışan her çerezi ve etiketi kaynağıyla birlikte listeleyen tablodur; çerez politikası bu tablodan yazılır. Envanteri çıkarmak için ücretli bir tarayıcı aracına şart değildir, tarayıcının geliştirici araçları başlangıç için yeterlidir.

1. Siteyi gizli pencerede, hiçbir tercih yapmadan açın. Tarayıcının geliştirici araçlarında "Application" (Uygulama) sekmesindeki "Cookies" bölümünü inceleyin. Bu aşamada görünen her zorunlu olmayan çerez, rıza alınmadan yazılan çerezdir.
2. "Reddet" seçeneğini tıklayıp sayfaları gezin; listede yeni bir reklam ya da analiz çerezi belirmemeli.
3. "Kabul et" seçeneğiyle aynı gezintiyi tekrarlayın ve oluşan çerezleri not edin.
4. "Network" (Ağ) sekmesinde Google, Meta, TikTok gibi alan adlarına giden istekleri kontrol edin. Ret durumunda bu isteklerin gitmemesi ya da çerezsiz gitmesi gerekir.
5. Google Tag Manager kullanıyorsanız kapsayıcıdaki tüm etiketleri dışa aktarın ve her birinin hangi rıza türüne bağlı olduğunu yazın.
6. Eklentileri, gömülü videoları, haritaları ve canlı destek araçlarını ayrıca kontrol edin; bunlar genellikle kendi çerezlerini getirir.
7. Envanteri tabloya dökün: ad, sağlayıcı, amaç, kategori, süre, taraf, yurt dışı aktarım. Tabloyu en az üç ayda bir ve her yeni etiket eklendiğinde güncelleyin.

Envanterle birlikte taslak bir metin çıkarmak için aşağıdaki aracı kullanabilirsiniz; çıkan metni envanterinizle karşılaştırıp düzeltmeyi unutmayın.

Çerez saklama süresini nasıl belirlersiniz?

Çerez süresi, Kanun'un 4. maddesindeki "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine göre belirlenir; amaç için gereğinden uzun süre tutulan çerez, ölçülülük ilkesiyle çelişir. Rehberin ekindeki örnek tabloda oturum ve form çerezleri oturum süresince, gizlilik tercihlerini hatırlayan çerez ise 365 gün olarak gösterilmiştir. Bu bir örnektir, zorunlu bir süre değildir; kendi sürenizi amacınıza göre gerekçelendirin.

Çerez bannerı nasıl tasarlanmalı?

İyi bir çerez bannerı, siteye girildiği anda görünen, "Kabul et", "Reddet" ve "Tercihler" seçeneklerini renk, büyüklük ve yazı boyutu bakımından eşit sunan ve zorunlu olmayan çerezleri kullanıcı seçim yapana kadar kapalı tutan banttır. Rehber bu düzeni iyi uygulama örneği olarak gösterir ve açık rızayla işlenmesi gereken çerezlerin yönetim panelinde ilk açılışta pasif gelmesinin önemli olduğunu vurgular. Bannerda çerezler yoluyla veri işlendiğine dair kısa bir açıklama ve çerez aydınlatma metnine bağlantı da bulunmalıdır.

Banner ve rıza paneli hangi katmanlardan oluşmalı?

1. Birinci katman (bant ya da pencere): bir iki cümlelik açıklama, aydınlatma metnine bağlantı ve eşit ağırlıkta üç buton: "Hepsini kabul et", "Hepsini reddet", "Ayarları yapılandır".
2. İkinci katman (tercih paneli): kategori bazında açma kapama düğmeleri. Zorunlu çerezler bilgi amaçlı ve sabit açık; analiz, işlevsel ve reklam kategorileri varsayılan olarak kapalı.
3. Kategori ayrıntısı: her kategorinin altında hangi sağlayıcıların ve çerezlerin bulunduğu, amaçları ve süreleri.
4. Kalıcı erişim noktası: rıza verildikten ya da reddedildikten sonra sayfanın köşesinde küçük bir ikon ya da alt menüde "Çerez ayarları" bağlantısı. Rehber, rızanın kolayca geri alınabilmesi için bu tür küçük bir ikonu iyi örnek olarak anar.

Çerez duvarı kullanılabilir mi?

Çerez duvarı, ziyaretçi tüm çerezlere onay vermedikçe içeriği göstermeyen uygulamadır ve rehbere göre rızanın özgürce verilmesini engelleyebileceği için risklidir. Çerez rızası hizmetin ön koşulu olarak dayatılırsa alınan rıza geçerli sayılmayabilir. Rehber, her olay özelinde değerlendirilmek kaydıyla, hizmete ulaşmak için çerez duvarı dışında adil alternatifler sunulabileceğini de not eder. Kurumsal ya da e-ticaret sitesi için pratik sonuç basittir: içeriği ve satın alma akışını çerez rızasına bağlamayın.

Rıza ne sıklıkla yeniden sorulmalı?

Rehber, ziyaretçinin her girişinde rıza istenmesini önermez; çok sık sorulan rızanın "rıza yorgunluğuna" yol açabileceğini belirtir. Bunun yerine tercihin, ilgili çerezin ömrüyle orantılı aralıklarla hatırlatılmasını uygun bulur. Pratikte tercih çerezi süresi dolduğunda ya da çerez envanterinizde yeni bir kategori eklendiğinde bannerı yeniden göstermek makul bir yaklaşımdır.

Mobilde ve erişilebilirlikte nelere dikkat etmeli?

Mobilde banner, ekranın tamamını kaplamadan alt kısımda açılmalı ve butonlar parmakla rahat dokunulacak boyutta olmalıdır. Klavyeyle gezinen ve ekran okuyucu kullanan ziyaretçiler de bannera ulaşabilmeli, odak sırası mantıklı olmalı ve butonların metni anlamlı olmalıdır. Erişilebilirlik ilkelerinin genel çerçevesi için web erişilebilirliği rehberine bakabilirsiniz. Banner aynı zamanda sayfa düzenini kaydırmamalı; alt kısma sabitlenen hafif bir bant, hem kullanıcı deneyimi hem de sayfa hızı açısından daha az sorun çıkarır.

Rıza kaydı nasıl tutulur?

Rehberin ekindeki kontrol listesi, çerez rıza kayıtlarının uygun bir süre saklanmasını ister; çünkü aydınlatma ve rızanın ispat yükü veri sorumlusundadır. Bir rıza kaydı tipik olarak rastgele bir ziyaretçi kimliği, tarih ve saat, banner sürümü, seçilen kategoriler ve dil bilgisini içerir. Kaydı tutmak için ziyaretçinin adını ya da e-postasını toplamanız gerekmez; amaç, belirli bir anda hangi tercih ekranının gösterildiğini ve ne seçildiğini kanıtlayabilmektir.

Google Consent Mode v2 nedir, etiketler onaya nasıl bağlanır?

Google Consent Mode (rıza modu), ziyaretçinin çerez bannerında yaptığı seçimi Google etiketlerine (Google Analytics, Google Ads, Floodlight) ileten ve etiketlerin bu seçime göre davranmasını sağlayan bir mekanizmadır. Kendisi rıza toplamaz; rızayı sizin bannerınız ya da rıza yönetim platformunuz (CMP) toplar, Consent Mode yalnızca sonucu etiketlere bildirir. "v2" sürümü, reklam verisinin Google'a gönderilmesi ve kişiselleştirilmiş reklam için iki yeni sinyal (ad_user_data ve ad_personalization) ekledi.

Sinyallerin güncel tanımlarını Google'ın Consent Mode geliştirici sayfasında bulabilirsiniz.

Türkiye'deki bir site için Consent Mode zorunlu mu?

Google'ın AB kullanıcı rızası politikası, Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre'deki kullanıcıları kapsar. Yalnızca Türkiye'deki ziyaretçilere hitap eden bir site için Google politikası açısından bir zorunluluk doğmaz; ama KVKK, zorunlu olmayan çerezlerin rıza alınmadan çalıştırılmamasını zaten bekler. Bu yüzden Consent Mode, Türkiye'deki siteler için bir Google şartından çok, KVKK yükümlülüğünü Google etiketlerinde uygulamanın en pratik yoludur. Avrupa'ya satış yapıyorsanız iki kural seti birlikte geçerli olur.

Temel mod mu, gelişmiş mod mu?

Temel modda Google etiketleri ziyaretçi bannerla etkileşime girene kadar hiç yüklenmez; ret durumunda Google'a rıza durumu dahil hiçbir veri gitmez. Gelişmiş modda etiketler sayfa açılınca "reddedildi" varsayılanıyla yüklenir ve rıza yokken çerezsiz ölçüm sinyalleri gönderir; Google bu sinyallerle dönüşüm modellemesi yapar. Ölçüm açısından gelişmiş mod daha fazla veri sağlar.

KVKK açısından ise tablo farklıdır: rehber, rızanın çerez yerleştirilmeden önce alınmasını ve yalnızca siteye girmenin rıza sayılmamasını vurgular. Gelişmiş modda çerez yazılmasa da Google'a bir sinyal gider ve bu sinyalin hangi hukuki sebebe dayanacağı tartışmalıdır. Temkinli seçenek temel moddur; gelişmiş modu tercih edecekseniz kararı hukuk danışmanınızla verin ve aydınlatma metninde açıkça yazın.

Yurt dışından ziyaretçi alan siteler bölge ayarını nasıl kullanır?

Consent Mode'daki 'region' parametresi, varsayılan rıza durumunu ziyaretçinin bulunduğu bölgeye göre farklı tanımlamanıza izin verir. Örneğin ihracat yapan bir üretici, Avrupa Ekonomik Alanı ülkeleri için ayrı bir varsayılan tanımlayabilir. Ancak Türkiye'deki ziyaretçiler için de KVKK gereği zorunlu olmayan çerezlerin varsayılan olarak kapalı kalması gerektiğinden, bölge ayarı Türkiye için "her şeye izin ver" anlamına gelmemelidir. En sade ve güvenli kurgu, bölge ayrımı yapmadan tüm ziyaretçiler için varsayılanı "reddedildi" tutmaktır.

Consent Mode adım adım nasıl kurulur?

1. Rıza yönetim aracını seçin: kendi yazdığınız banner ya da Google Tag Manager ile uyumlu bir CMP. Türkçe arayüz, kategori bazlı panel ve rıza kaydı tutma özelliği arayın.
2. Varsayılan durumu tanımlayın: Google etiketleri yüklenmeden önce tüm reklam ve analiz sinyallerini "denied" yapın. gtag ile bu, gtag('consent', 'default', {'ad_storage': 'denied', 'ad_user_data': 'denied', 'ad_personalization': 'denied', 'analytics_storage': 'denied'}) komutudur ve config ya da event komutlarından önce çalışmalıdır.
3. Gerekirse 'wait_for_update' parametresiyle (milisaniye cinsinden, örneğin 500) bannerın tercihi iletmesi için kısa bir bekleme süresi tanıyın.
4. Ziyaretçi seçim yaptığında güncellemeyi gönderin: gtag('consent', 'update', {...}) komutunda yalnızca izin verilen sinyalleri 'granted' yapın. Örneğin yalnızca analize izin veren ziyaretçi için analytics_storage 'granted', reklam sinyalleri 'denied' kalır.
5. Tercihi birinci taraf bir çerezde saklayın ve sonraki sayfalarda varsayılan durumu bu tercihe göre kurun; aksi halde her sayfada ölçüm sıfırlanır.
6. Tag Manager kullanıyorsanız gtag komutları yerine Tag Manager'ın rıza şablonlarını ve her etiketin rıza (consent) ayarlarını kullanın; Google dışı etiketler için tetiklenmeden önce ek bir rıza kontrolü tanımlayın.
7. Kurulumdan sonra Tag Assistant ile hem kabul hem ret senaryosunu test edin; ret senaryosunda reklam çerezi yazılmadığını tarayıcıda da doğrulayın.

Meta Pixel ve diğer etiketler onaya nasıl bağlanır?

Meta Pixel için Meta'nın kendi rıza fonksiyonu vardır: her sayfada pixel başlatılmadan önce fbq('consent', 'revoke') çalıştırılır, ziyaretçi onay verdiğinde fbq('consent', 'grant') çağrılır. Rıza geri alınmış durumdayken pixel olay göndermez. Ayrıntılar Meta Pixel rıza dokümantasyonunda anlatılıyor. TikTok, LinkedIn, Pinterest etiketleri ve ısı haritası araçları için en güvenli yol, bu etiketleri Tag Manager'da yalnızca ilgili rıza kategorisi "granted" olduğunda tetiklenecek şekilde ayarlamaktır.

Sunucu taraflı izleme rıza ihtiyacını ortadan kaldırır mı?

Hayır. Sunucu taraflı etiketleme ya da Conversions API gibi sunucudan sunucuya bağlantılar, verinin tarayıcıdan değil sunucunuzdan gönderilmesini sağlar; ama gönderilen şey yine kişisel veridir ve aynı hukuki sebep, aydınlatma ve yurt dışı aktarım kurallarına tabidir. Sunucu taraflı kurgunun avantajı, hangi alanın gönderileceğini sizin kontrol edebilmenizdir. Bu kurguda da rıza sinyalini sunucuya taşıyın ve reddeden ziyaretçinin verisini reklam platformuna göndermeyin.

Rıza oranı düşükse reklam ölçümü ne olur?

Rıza zorunluluğu, raporlarda görünen dönüşüm sayısını düşürür; bu bir ölçüm kaybıdır, satış kaybı değildir. Kampanya kararlarını yalnızca platform raporuna değil, sipariş sisteminizdeki gerçek satış ve teklif verisine de dayandırın. Bannerı açık ve dürüst tasarlamak rıza oranını da etkiler; ziyaretçiye neden izin istediğinizi tek cümleyle anlatan bannerlar, gizemli ifadelerden daha iyi sonuç verir. Kampanya tarafındaki diğer hatalar için Meta Ads neden satış getirmiyor yazısına göz atabilirsiniz.

İletişim ve teklif formlarında aydınlatma ve onay nasıl gösterilir?

İletişim ve teklif formlarında, formun hemen yanında kısa bir aydınlatma cümlesi ve tam aydınlatma metnine bağlantı bulunmalıdır; talebi yanıtlamak için açık rıza kutusu konmamalı, pazarlama izni gibi ek amaçlar ise ayrı, işaretsiz ve isteğe bağlı kutularla sorulmalıdır. Formun "gönder" butonu, hiçbir isteğe bağlı kutu işaretlenmeden de çalışmalıdır. Bu kural, ilke kararının "açık rıza dışında bir şart varsa rıza metni sunulmaz" maddesinin forma yansımasıdır.

Katalog indirme karşılığında pazarlama izni istenebilir mi?

Katalog ya da e-kitabı yalnızca pazarlama izni veren ziyaretçiye göndermek, rızayı hizmetin ön koşulu yapmak anlamına gelir ve özgür irade şartıyla çelişebilir. Daha güvenli kurgu, dosyayı göndermek için gereken e-posta alanını istemek ve "Yeni katalog ve kampanyalardan haberdar olmak istiyorum" kutusunu isteğe bağlı bırakmaktır. İzinli liste büyütme taktikleri için e-posta listesi büyütme rehberi bu dengeyi kurmanın yollarını gösterir.

Formda hangi alanları sormamalısınız?

Formda yalnızca amacınız için gereken alanları sorun; her ek alan hem dönüşümü düşürür hem de koruma yükünüzü artırır. Teklif formunda TC kimlik numarası, doğum tarihi ya da açık adres genellikle gereksizdir. Mesaj alanına sağlık bilgisi yazılması bekleniyorsa (örneğin bir kliniğin ön görüşme formu) bunu yapılandırılmış alanlarla sınırlayın ve bu verinin kimler tarafından görüleceğini netleştirin. Kısa ve amaca odaklı form, iyi bir dönüşüm pratiğidir; ayrıntısı için dönüşüm odaklı landing page rehberine bakabilirsiniz.

Form verisi nereye gidiyor?

Form gönderildiğinde veri çoğu zaman birden fazla yere kopyalanır: sitenin veritabanı, bildirim e-postası, CRM, bir tablo dosyası ya da otomasyon aracı. Bu kopyaların her biri aydınlatma metninde "aktarım" ve "saklama" başlıklarına yansımalıdır. Yurt dışı sunucuda çalışan bir form servisi ya da e-posta altyapısı kullanıyorsanız bu, aşağıda anlatacağımız yurt dışı aktarım kurallarını da devreye sokar. CRM seçerken bu konuları nasıl değerlendireceğinizi CRM programı seçim rehberinde bulabilirsiniz.

WhatsApp butonu ve canlı destek aydınlatmaya nasıl eklenir?

Sitedeki WhatsApp butonu ziyaretçiyi Meta'nın hizmetine yönlendirir; yazışma başladığında telefon numarası ve mesaj içeriği işletmenizle paylaşılır. Bu kanalı aydınlatma metninde ayrı bir başlıkla anın: hangi amaçla kullanıldığını, mesajların ne kadar saklandığını ve kampanya mesajı gönderilecekse ayrıca izin alınacağını yazın. Canlı destek araçları da çoğunlukla kendi çerezlerini getirir; bunları çerez envanterine ekleyin ve gerekiyorsa işlevsel kategoriye bağlayın. WhatsApp tarafındaki izin kuralları için WhatsApp Business uygulaması mı API mi rehberine bakabilirsiniz.

Formunuza ve sitenize özel bir aydınlatma metni taslağı çıkarmak için aşağıdaki aracı kullanabilirsiniz; taslağı kendi veri envanterinizle karşılaştırarak düzeltin.

Ticari ileti onayı (İYS) ile KVKK açık rızası arasındaki fark nedir?

Ticari elektronik ileti onayı, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında alınan, kampanya e-postası, SMS ve arama gönderebilmek için gereken izindir; KVKK açık rızası ise kişisel verinin belirli bir amaçla işlenmesine verilen izindir. İkisi farklı kanunlara, farklı denetim kurumlarına ve farklı kayıt sistemlerine bağlıdır. Ticari ileti onayları İleti Yönetim Sistemi'ne (İYS) kaydedilir ve İYS'de onayı görünmeyen alıcıya ticari ileti gönderilmemesi gerekir.

Formda ileti onayı nasıl alınır?

• Onayı kanal bazında isteyin: e-posta, SMS ve telefon için ayrı seçenekler, kişinin yalnızca istediği kanalı seçmesine izin verir.
• Kutular işaretsiz gelsin ve formun gönderilmesi bu kutulara bağlı olmasın.
• Onayın kanıtını saklayın: tarih, saat, formun adresi, gösterilen metin, seçilen kanal.
• Onayları İYS'ye aktaran bir entegrasyon kurun; ret bildirimlerini de aynı akışla işleyin.
• Her iletide ücretsiz ve kolay bir ret yolu bulundurun.
• Tacir ve esnafa gönderim yapıyorsanız istisnanın koşullarını ve İYS kayıt kurallarını Ticaret Bakanlığı'nın güncel metninden kontrol edin.

Pazarlama otomasyonunda izinli listeyle nasıl çalışılacağına e-ticarette e-posta pazarlaması ve otomasyon rehberi ayrıntılı değiniyor. Kampanya metinlerinin içeriği de ayrı bir mevzuata tabidir; 1 Ağustos 2026'da yürürlüğe giren değişiklikler için yeni reklam yönetmeliği yazısına bakabilirsiniz.

VERBİS kaydı web sitesi sahibini ilgilendirir mi?

VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğü, web sitesi olup olmamanıza göre değil; işletmenizin yıllık çalışan sayısına, yıllık mali bilanço toplamına ve ana faaliyetinin özel nitelikli kişisel veri işlemek olup olmadığına göre belirlenir. Kanun'un 16. maddesi veri işleyen gerçek ve tüzel kişilerin sicile kaydolmasını şart koşar, ama Kurul'a objektif kriterlerle istisna getirme yetkisi verir. Kurul bu yetkiyi birkaç kez kullandı ve eşikleri zaman içinde değiştirdi.

Kasım 2026 itibarıyla Kurul duyurularına göre durum şöyle: ana faaliyeti özel nitelikli kişisel veri işlemek olmayan, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları kayıttan istisnadır. Ana faaliyeti özel nitelikli veri işlemek olanlar için Kurul'un 04.09.2025 tarihli ve 2025/1572 sayılı kararı ayrı bir istisna getirdi: yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar. Bu kararın ayrıntıları Kurum'un 1 Ekim 2025 tarihli VERBİS istisna duyurusunda yer alıyor. Eşikler daha önce de güncellendiği için kayıt kararından önce Kurum'un sitesini mutlaka kontrol edin.

Bilanço esasına göre defter tutmuyorsanız ne olur?

Kurul'un 25.12.2025 tarihli ve 2025/2393 sayılı kararı bu konudaki tereddüdü giderdi ve 12 Ocak 2026'da duyuruldu. Bilanço esasına göre defter tutan veri sorumlularında çalışan sayısı ile bilanço toplamı birlikte (kümülatif) dikkate alınır. Bilanço esasına göre defter tutmayanlarda (örneğin işletme hesabı esasındaki işletmeler) bilanço bilgisi olmadığı için yalnızca yıllık çalışan sayısı esas alınır. Duyurunun tamamı 2025/2393 sayılı karara ilişkin kamuoyu duyurusunda bulunuyor.

Bu tablo yalnızca mantığı göstermek için hazırlanmış örnek profiller içerir; kendi durumunuzu mali müşavirinizle birlikte resmi kriterlere göre değerlendirin.

VERBİS istisnası KVKK'dan muafiyet demek mi?

Hayır, VERBİS istisnası yalnızca sicile kayıt ve bildirim yükümlülüğünü kaldırır; aydınlatma, hukuki sebep, açık rıza, veri güvenliği, yurt dışı aktarım ve başvurulara cevap verme yükümlülükleri aynen devam eder. Kurul, bazı meslek grupları (noterler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler gibi) için de ayrı kayıt istisnaları tanımıştır; bu gruplar da Kanun'un diğer hükümlerine tabidir. Sicile kayıtlı veri sorumlularının ayrıca bir kişisel veri saklama ve imha politikası hazırlaması beklenir; kayıtlı değilseniz bile hangi veriyi ne kadar sakladığınızı yazılı hale getirmek iyi bir uygulamadır.

Yurt dışına veri aktarımı web sitesinde nerede ortaya çıkar?

Sunucusu ya da veri işleme merkezi yurt dışında olan her hizmet, bir web sitesi için yurt dışına veri aktarım noktasıdır: barındırma ve CDN, analiz ve reklam etiketleri, e-posta gönderim servisleri, form ve CRM araçları, canlı destek yazılımları. 7499 sayılı Kanun'la değiştirilen 9. madde 1 Haziran 2024'te yürürlüğe girdi ve bu aktarımları kademeli bir sisteme bağladı. Eski düzende yaygın olarak kullanılan "açık rıza ile aktarım" yolu, geçiş hükmü gereği 1 Eylül 2024'e kadar yeni hükümle birlikte uygulanabildi; artık yalnızca istisnai bir seçenek.

2024 değişikliğinden sonra aktarım hangi sırayla değerlendirilir?

1. Yeterlilik kararı: Kurul, bir ülke, sektör ya da uluslararası kuruluş için yeterli koruma bulunduğuna karar verip Resmî Gazete'de yayımlarsa, 5. ya da 6. maddedeki şartlardan biri varsa aktarım yapılabilir. Güncel yeterlilik kararı olup olmadığını Kurum'un sitesinden ve Resmî Gazete'den kontrol edin.
2. Uygun güvenceler: yeterlilik kararı yoksa, ilgili kişinin aktarılan ülkede de haklarını kullanabilmesi kaydıyla standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname gibi güvencelerden birine dayanılır.
3. Arızi haller: ikisi de yoksa, yalnızca arızi (düzenli ve sürekli olmayan) aktarımlarda, örneğin muhtemel riskler hakkında bilgilendirilmiş kişinin açık rızasıyla ya da sözleşmenin ifası için zorunlu olması halinde aktarım yapılabilir.

Aktarımın usulü, 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenlenir. Çerez rehberi de yurt dışında yerleşik şirketler aracılığıyla çerez kullanan sitelerin bu aktarımı 9. maddeye ve yönetmeliğe uygun yapması gerektiğini ayrıca vurgular.

Standart sözleşme nasıl işler?

Standart sözleşme, Kurul'un ilan ettiği hazır sözleşme metnidir ve dört türü vardır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Metinler Kurum'un internet sitesindeki standart sözleşmeler sayfasında yayımlanır ve Kurul'un ilan ettiği haliyle kullanılması beklenir. Kanun'un 9. maddesinin beşinci fıkrasına göre standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu ya da veri işleyen tarafından Kurum'a bildirilir. Bildirim, Kurul kararıyla kullanıma açılan çevrim içi modülden yapılabilir; ayrıntılar Standart Sözleşme Bildirim Modülü duyurusunda yer alıyor. Bildirim yükümlülüğüne uymamak da Kanun'da ayrı bir idari para cezası nedeni olarak düzenlenmiştir.

Google Analytics kullanan bir site ne yapmalı?

Google Analytics kullanan bir sitenin önce kullanımı rızaya bağlaması, sonra aktarımın hangi güvenceye dayandığını netleştirmesi gerekir. Bu yazının hazırlandığı tarihte Google'ın reklam ve ölçüm ürünleri için yayımladığı veri işleme şartlarında AB, Birleşik Krallık ve İsviçre için standart sözleşme maddelerine atıf bulunuyor; Türkiye'ye özgü bir standart sözleşme göremedik. Durum değişebileceği için kendi hesabınızın sözleşme ayarlarını ve sağlayıcının güncel KVKK açıklamalarını kontrol edin.

Seçenekleriniz kabaca şunlardır: sağlayıcıdan Türkiye standart sözleşmesi talep etmek, Türkiye'de ya da kendi sunucunuzda barındırılan bir ölçüm aracına geçmek, sunucu taraflı kurguyla gönderilen veriyi en aza indirmek ve kalan riski hukuk danışmanınızla değerlendirip aydınlatma metninde dürüstçe yazmak. Arızi hallerdeki açık rıza, sürekli çalışan bir ölçüm aracı için tek başına sağlam bir dayanak olmayabilir; çünkü Kanun bu yolu "arızi olmak kaydıyla" tanır. GA4'te veri saklama süresini de ihtiyacınıza göre kısaltın; Google'a göre bu ayar keşif ve dönüşüm hunisi raporlarındaki kullanıcı ve etkinlik düzeyindeki veriyi etkiler, standart toplu raporları değil.

Barındırma tercihi aydınlatma metnini nasıl etkiler?

Sitenizin ve form verilerinizin hangi ülkede barındırıldığı, aydınlatma metnindeki "aktarım" bölümünü doğrudan belirler. Hazır altyapı (SaaS) kullanıyorsanız sağlayıcınıza veri merkezinin konumunu, yedeklerin nerede tutulduğunu ve alt işleyici listesini sorun. Altyapı seçiminin diğer boyutları için domain, hosting ve SSL rehberine bakabilirsiniz.

Veri ihlali olursa ne yapmalısınız?

Veri ihlalini öğrendiğinizde Kişisel Verileri Koruma Kurulu'na gecikmeksizin ve en geç 72 saat içinde bildirim yapmanız, etkilenen kişileri de belirledikten sonra makul en kısa sürede bilgilendirmeniz gerekir. Kanun'un 12. maddesinin beşinci fıkrası "en kısa sürede" der; Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı bu süreyi 72 saat olarak yorumlar. 72 saat içinde haklı bir nedenle bildirim yapılamazsa gecikmenin gerekçesi bildirimle birlikte açıklanır. Usulün tamamı Kurum'un veri ihlali bildirimi sayfasında anlatılıyor.

Web sitelerinde ihlal genellikle şu biçimlerde ortaya çıkar: yönetici hesabının ele geçirilmesi, form kayıtlarının bulunduğu e-posta kutusuna yetkisiz erişim, herkese açık bırakılmış yedek ya da dışa aktarma dosyası, güncellenmemiş bir eklentiden kaynaklanan açık ve yanlış kişiye gönderilen toplu e-posta.

1. İhlali fark ettiğiniz anı ve kimin fark ettiğini kayda alın; 72 saatlik süre öğrenme anından başlar.
2. Sızıntıyı durdurun: şifreleri değiştirin, oturumları kapatın, açık dosyayı kaldırın, ilgili eklentiyi devre dışı bırakın.
3. Kapsamı belirleyin: hangi veri kategorileri, kaç kişi, hangi tarih aralığı etkilendi?
4. Kurul'a Kişisel Veri İhlal Bildirim Formu ile bildirim yapın. Tüm bilgiler aynı anda elde değilse Kurul aşamalı bildirime izin veriyor.
5. Etkilenen kişilere ulaşın: iletişim bilgisine ulaşabildiklerinize doğrudan, ulaşamadıklarınıza web sitesinde duyuru gibi uygun bir yöntemle.
6. İhlali, etkilerini ve alınan önlemleri kayıt altına alın ve Kurul incelemesine hazır tutun.
7. Kök nedeni giderin ve ihlal müdahale planınızı güncelleyin. Kurul, kimin neyi bildireceğini belirleyen bir müdahale planı hazırlanmasını ve periyodik olarak gözden geçirilmesini bekliyor.

Siteyi bir ajans ya da yazılım firması yönetiyorsa o firma veri işleyen konumundadır ve ihlali fark ettiğinde size gecikmeksizin bildirmelidir. Bu yükümlülüğü hizmet sözleşmenize açıkça yazdırın.

İlgili kişi başvuruları için hangi kanal gerekir?

İlgili kişilerin haklarını kullanabilmesi için sitenizde yazılı başvuru adresi ve Kurul'un kabul ettiği elektronik yolları gösteren bir başvuru kanalı bulunmalı, başvurular en geç 30 gün içinde ücretsiz sonuçlandırılmalıdır. Kanun'un 13. maddesine göre işlemin ayrıca bir maliyeti varsa Kurul'un belirlediği tarifedeki ücret alınabilir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, yazılı başvurunun yanında kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza ve ilgili kişinin daha önce bildirdiği ve sisteminizde kayıtlı e-posta adresi gibi yolları da sayar.

Kişi, Kanun'un 11. maddesi kapsamında verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme ya da yok etme, bu işlemlerin aktarılan kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhine çıkan sonuca itiraz etme ve zararın giderilmesini talep etme haklarına sahiptir. Başvurusu reddedilen, cevabı yetersiz bulan ya da süresinde cevap alamayan kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir; başvuru yolu tüketilmeden şikâyet yoluna gidilemez.

Başvuru sayfası nasıl olmalı?

• Aydınlatma metninden tek tıkla ulaşılan bir "KVKK Başvuru" bölümü.
• İndirilebilir bir başvuru formu ve posta adresi, KEP adresi ile e-posta yolu.
• Kimlik doğrulama adımı: başkasının verisini yanlış kişiye vermemek için gerekli en az bilgiyi isteyin.
• İç süreç: başvuruyu kimin karşılayacağı, hangi sistemlerin taranacağı, cevabın hangi kanaldan verileceği.
• Başvuru kaydı: tarih, talep, cevap tarihi ve sonucu içeren basit bir tablo.

Silme talebi geldiğinde yalnızca site veritabanını değil; e-posta kutularını, CRM'i, e-posta pazarlama listesini ve yedekleri de düşünün. Fatura gibi kanunen saklamanız gereken kayıtlar silme talebinin dışında kalabilir; bunu cevabınızda gerekçesiyle açıklayın.

Hangi teknik ve idari tedbirler KVKK uyumunun parçasıdır?

KVKK'nın 12. maddesi veri sorumlusundan hukuka aykırı işlemeyi ve erişimi önlemek, verinin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden her türlü teknik ve idari tedbiri almasını ister; web sitesinde bu, SSL, yetki yönetimi, kayıt (log) tutma, yedekleme, güncelleme ve saklama süresi disiplini demektir. Veri sorumlusu, verinin kendi adına başka biri tarafından işlenmesi halinde bu tedbirlerden o kişiyle birlikte sorumludur. Güvenlik tarafını ayrıntılı ele almadan, KVKK'yla doğrudan bağlantılı başlıkları özetleyelim; derinlemesine güvenlik adımları için web sitesi güvenliği rehberine bakabilirsiniz.

Form bildirimlerinin herkesin ortak kullandığı bir e-posta kutusunda yıllarca birikmesi, küçük işletmelerde en sık görülen sessiz risklerden biridir. Form verisini rol bazlı yetkiyle bir yönetim panelinde toplamak ve bildirim e-postasında yalnızca "yeni talep var" bilgisini göndermek, bu riski büyük ölçüde azaltır. Bu tür panel ve akışlar, özel yazılım ve web sitesi projelerinde baştan tasarlanabilir.

Kayseri'deki bir üretici sitesini nasıl KVKK uyumlu hale getirir?

Kayseri'deki bir üretici, sitesini dört haftalık bir planla KVKK uyumlu hale getirebilir: önce veri envanteri, sonra metinler, ardından çerez paneli ve etiketler, en son form, aktarım ve güvenlik kontrolleri. Aşağıdaki senaryo isimsiz ve geneldir; organize sanayi bölgesinde faaliyet gösteren, hem bayilere hem son kullanıcıya satış yapan, ihracat da yapan orta ölçekli bir üreticiyi düşünelim.

Sitede teklif formu, PDF katalog indirme formu, bayi başvuru formu, iş başvurusu sayfası, WhatsApp butonu, GA4, Google Ads dönüşüm etiketi ve Meta Pixel var. Site yurt dışındaki bir bulut sunucuda barındırılıyor ve Avrupa'dan da ziyaretçi alıyor. Footer'da yıllar önce başka bir siteden uyarlanmış tek bir "KVKK" sayfası bulunuyor ve banner yalnızca "Tamam" butonu içeriyor.

1. Birinci hafta, envanter: tüm formlar, etiketler, eklentiler ve servisler listelenir; her biri için amaç, veri kategorisi, hukuki sebep, saklama süresi ve yurt dışı aktarım bilgisi tabloya işlenir.
2. İkinci hafta, metinler: genel aydınlatma metni, her form için kısa aydınlatma, çerez aydınlatma metni, pazarlama amaçlı işleme için ayrı açık rıza metni ve kanal bazlı ticari ileti onayı yazılır. Eski kopya metin kaldırılır.
3. Üçüncü hafta, çerez paneli ve etiketler: "Tamam" bannerı yerine eşit butonlu, kategori bazlı panel kurulur; Consent Mode varsayılanı "reddedildi" yapılır, Meta Pixel rıza fonksiyonuna bağlanır, tüm etiketler ret ve kabul senaryosunda test edilir.
4. Dördüncü hafta, form, aktarım ve güvenlik: katalog indirme pazarlama iznine bağlı olmaktan çıkarılır, iş başvurusu formundan gereksiz alanlar kaldırılır, barındırma ve e-posta sağlayıcılarından aktarım güvencesi istenir, yönetici hesaplarına iki adımlı doğrulama eklenir, başvuru kanalı ve ihlal müdahale planı yazılır.

Bu sürecin sonunda üretici, reklam raporlarında görünen dönüşüm sayısında bir düşüş görebilir; bu, rıza vermeyen ziyaretçilerin artık ölçülmemesinden kaynaklanır. Teklif ve bayi başvurularını kendi panelinden takip eden bir işletme için gerçek satış verisi değişmez. B2B sitelerde form ve bayi akışlarının nasıl kurgulanacağına B2B web sitesi tasarım rehberi, sektöre özel pazarlama tarafına ise Kayseri metal ve makine sektörü için B2B dijital pazarlama yazısı yol gösterir. Yerel ekiple sahada çalışmak isteyenler için Kayseri web tasarım sayfasında süreç ayrıca anlatılıyor.

En sık yapılan KVKK hataları nelerdir?

Web sitelerinde en sık görülen KVKK hataları, aydınlatma için onay istemek, reklam etiketlerini rızadan önce çalıştırmak ve başka bir sitenin metnini kopyalamaktır. Aşağıdaki liste, bir site incelemesinde ilk bakılması gereken noktaları sıralar.

• "KVKK metnini okudum ve onaylıyorum" yazan zorunlu kutu.
• Aydınlatma ve açık rızanın tek metinde, tek kutuda birleştirilmesi.
• Google ve Meta etiketlerinin banner yüklenmeden çalışması.
• Yalnızca "Kabul et" ya da "Tamam" butonu olan, reddetme seçeneği gizlenen banner.
• Önceden işaretli analiz ve pazarlama düğmeleri.
• "Siteyi kullanarak çerezleri kabul etmiş sayılırsınız" ifadesi.
• Teklif formunda gereksiz zorunlu açık rıza kutusu.
• Katalog ya da indirim kodunu pazarlama iznine bağlamak.
• Başka bir şirketin metnini, kendi araçlarınızı yansıtmadan kopyalamak.
• Kullanılmayan yurt dışı aktarımı yazmak ya da kullanılanı atlamak.
• Çerez politikasını yeni etiket eklendiğinde güncellememek.
• Form verisinin ortak e-posta kutularında süresiz birikmesi.
• Standart sözleşme imzalanıp beş iş günü içinde bildirilmemesi.
• Başvuru kanalı olmaması ya da başvurulara 30 gün içinde dönülmemesi.

Site yenileme projesi planlıyorsanız bu maddeleri tasarım aşamasında ele almak, yayından sonra düzeltmekten çok daha ucuzdur; yenilemenin genel adımları için web sitesi yenileme rehberine bakabilirsiniz.

KVKK uyumlu web sitesi kontrol listesi

Aşağıdaki kontrol listesi, sitenizin KVKK uyumunu yayına almadan önce ya da mevcut bir sitede denetim yaparken madde madde gözden geçirmeniz için hazırlandı. Her maddeyi işaretledikçe ilerlemenizi takip edebilirsiniz.

Özet: KVKK uyumu için yol haritası

KVKK uyumlu bir web sitesine giden yol, metin yazmakla değil envanter çıkarmakla başlar. Sırasıyla şu adımları izleyin:

1. Sitedeki tüm veri toplama noktalarını ve kullanılan servisleri listeleyin.
2. Her biri için amaç, hukuki sebep, saklama süresi ve aktarım bilgisini belirleyin.
3. Aydınlatma, çerez ve açık rıza metinlerini bu envanterden, ayrı metinler olarak yazın.
4. Çerez bannerını eşit seçenekli kurun, etiketleri Consent Mode ve rıza fonksiyonlarıyla onaya bağlayın.
5. Formları sadeleştirin, ticari ileti onayını ayrı ve isteğe bağlı alın.
6. VERBİS, yurt dışı aktarım, başvuru kanalı ve ihlal planını tamamlayın; üç ayda bir gözden geçirin.

Bu adımların teknik kısmı (banner, etiket kurulumu, form akışları, yetki ve log) yazılım ekibinizin, metinlerin hukuki son hali ise avukatınızın işidir. İkisini aynı veri envanteri üzerinden yürütmek, metin ile sitenin gerçekte yaptığı işin birbirinden kopmasını engeller.

Nasıl destek alabilirsiniz?

Alis Dijital, Kayseri merkezli ve 10 yıllık deneyime sahip bir e-ticaret, dijital pazarlama ve yazılım ajansıdır; ikas partneri ve Shopify Partner olarak çalışır. Web sitesi ve yazılım projelerinde KVKK uyumunun teknik tarafını üstleniyoruz: veri envanterinin çıkarılması, kategori bazlı çerez paneli, Google Consent Mode ve Meta Pixel rıza kurulumu, form akışlarının sadeleştirilmesi, rol bazlı yetki ve kayıt tutan yönetim panelleri.

Yeni bir site ya da mevcut sitenizin yenilenmesi için özel yazılım ve kurumsal web sitesi hizmetimizi inceleyebilir, Kocasinan'daki ofisimizde yüz yüze görüşmek isterseniz Kayseri'de web tasarım sayfamıza göz atabilirsiniz. Hukuki metinlerin son halini kendi avukatınızla birlikte netleştirmenizi öneriyoruz; teknik kurulumu bu metinlere birebir uyacak şekilde yaparız. Sitenizin mevcut durumunu konuşmak için iletişim sayfasından bize ulaşabilirsiniz.