Önemli: Bu yazı genel eğitim bilgisidir; hukuki tavsiye, uyum sertifikası veya FaStart’ın ya da herhangi bir satıcının uyumlu olduğuna dair beyan değildir. Eşikler, resmî rehberler, tarifeler ve sağlayıcı şartları değişebilir. Güvenmeden önce Kişisel Verileri Koruma Kurumu ve yetkin hukuk ve vergi danışmanlarıyla güncel durumu doğrula.
TL;DR. KVKK, GDPR ile örtüşen ama onunla eşdeğer olmayan Türkiye'nin kişisel veri koruma kanunudur. Müşteri verisi topluyorsan gerçek operasyonun için rolü, amaçları, hukuki sebepleri, aydınlatmayı, güvenliği, saklamayı, hakları ve aktarımları haritala. Yararlı bir inceleme; gizlilik ve çerez açıklamalarını, VERBİS kaydının gerekip gerekmediğini, veri işleme kayıtlarını, hukuki sebep rıza ise amaç bazlı rızayı, hak taleplerini, saklamayı, tedarikçi ve aktarım şartlarını, ihlal yanıtını, güvenliği ve eğitimi kapsar. 50'den az çalışanı ve 100 milyon TL'den az yıllık bilançosu olan çoğu küçük mağaza VERBİS kaydından istisnadır; yurt dışına aktarım ise 1 Haziran 2024'ten beri yeni kurallara bağlı.
KVKK 2016’dan beri yürürlüktedir. Kurul karar ve rehber yayımlar; ancak uygulanacak yükümlülük, yaptırım ve idari para cezası olayın özelliklerine, güncel mevzuata ve veri sorumlusunun durumuna bağlıdır. Sabit bir ceza tablosuna veya bu yazıya yaptırım tahmini olarak güvenme.
KVKK ne ister (kısa özet)
KVKK "kişisel veri"yi düzenler: bir kişiyi doğrudan veya dolaylı olarak tanımlayan her şey. Bir e-ticaret sitesi için bu; ad, adres, e-posta, telefon, IP, fatura bilgileri, gezinme geçmişi ve sipariş verileri demektir. Kanun, ilgili kişilere 11. maddede sayılan hakları tanır. Kapsamı ve başvuru usulünü çevrilmiş bir kontrol listesinden çıkarmak yerine güncel Türkçe metin ve başvuru kurallarıyla doğrula.
Veri sorumlusu olarak yükümlülüklerin:
- İşine özel, şablon olmayan, Türkçe bir gizlilik politikası ve çerez politikası yayınla.
- Kişisel veriyi yalnızca açık ve hukuka uygun amaçlar için, ihtiyacın kadar topla.
- Her işleme amacı için uygulanabilir hukuki sebebi belgele; rıza uygun hukuki sebepse ayrı ve belirli rıza al (pazarlama, sipariş tamamlamadan farklı bir amaçtır).
- VERBİS kaydının gerekip gerekmediğini Kurulun istisna kararlarına göre kontrol et; yalnızca müşteri sayısına bakan bir eşik güvenli değildir.
- Belgelenmiş bir veri işleme envanteri tut.
- Nitelikli bir ihlali Kurula gecikmeksizin ve Kurulun güncel yorumuna göre öğrendikten sonra en geç 72 saat içinde bildir; etkilenen kişiler belirlendikten sonra gerekli bildirimleri makul olan en kısa sürede yap.
- Riske uygun teknik ve idari güvenlik önlemleri uygula.
12 maddelik operasyonel kontrol listesi
1. Her sayfada gizlilik politikası ve çerez politikası
Altbilgide gerçek işletmene göre hazırlanmış Türkçe aydınlatma metnine bağlantı ver: toplanan veriler, hukuki sebepler, saklama süreleri, üçüncü taraf alıcılar veya veri işleyenler, ilgili kişi hakları ve KVKK başvuru kanalı. Çerez envanteri ve tercih mekanizması da gerçekten kullandığın teknolojileri yansıtmalıdır.
2. VERBİS kaydı
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) ulusal veri sorumluları sicilidir. Kurul kararlarına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıttan istisnadır (2018/87 ve 2023/1154). 4 Eylül 2025'ten beri ana faaliyeti özel nitelikli veri olanlar da 10'dan az çalışan ve 10 milyon TL'den az bilançoyla istisna (2025/1572); karar vermeden önce Kurumun duyurusunu oku.
3. Belgelenmiş veri işleme envanteri
Topladığın her veri türünü, onu tutan her sistemi, ona dokunan her üçüncü tarafı, amacı, hukuki sebebi ve saklama kararını listeleyen bir tablo ya da belge. Ayrıntı düzeyi gerçek rolüne, işleme faaliyetine ve güncel yükümlülüklere uymalıdır; şablonu güvenli liman saymadan kanıt olarak güncel tut.
4. Üyelikte açık, opt-in rıza
Önceden işaretli bir kutuya veya “her şeyi kabul ediyorum” eylemine belirli rızanın kanıtı olarak güvenme. Her amacı ayır ve uygun olduğunda başka bir hukuki sebep kullan; sipariş tamamlama pazarlamadan farklıdır, pazarlamayı ödeme adımındaki kabulün içine saklama.
5. Ödemede ayrı açık rıza (siparişten farklı)
Mesafeli satış sözleşmesi kabulünü gizlilik rızasından ayrı tut. Pazarlama e-postası ve SMS için ayrı, amaca özel hukuki sebep ve seçim gerekir. Profil çıkarma veya öneri için de amacı ve hukuki sebebi ayrıca incele; her aydınlatma kabulüne rıza deme.
6. Çalışan "verimi sil" yolu
Veri sahibi başvurularını sorumlu kişiye ulaştıran bir hesap ya da iletişim kanalı kur. Kanun, başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmanı ister (madde 13); ücret ve ayrıntıları resmî rehberden doğrula. Silme talebi hukuka uygun saklama nedeniyle sınırlanabilir; akış her kaydın silineceğini vaat etmek yerine kararı kaydetmelidir.
7. Yazılı saklama süreleri
Veriyi amaçsızca saklayamazsın. Her kategori için amaç, hukuki sebep, kanuni veya sözleşmesel saklama, güvenlik riski ve gerçek operasyona göre bir süre ya da gözden geçirme tetikleyicisi belirle; aşağıdaki örnekler sabit hukuki süreler değildir:
| Veri | Saklama kararı |
|---|---|
| Sipariş kayıtları | İlgili ticaret, vergi, tüketici ve sektör kurallarıyla doğrula. |
| Müşteri hesapları | Hesabın amacı için gerektiği sürece; sonra hukuka uygun saklama saklı kalmak üzere incele ya da sil. |
| Pazarlama kayıtları | Kaynağı, amacı, durumu, geri almayı, bastırmayı ve hukuka uygun saklamayı kaydet. |
| Sepet veya gezinme verisi | Belgelenen amaca ve gerçek ürüne hizmet eden en kısa süreyi kullan. |
| IP ve güvenlik logları | Güvenlik, kötüye kullanım, operasyon ve hukuk ihtiyacına göre belirle; erişimi ve silmeyi belgele. |
Bunları belgele, uygula ve canlı sistemlerin aydınlatma metniyle ve envanterle eşleştiğini test et.
8. Tedarikçi sözleşmelerinde KVKK maddeleri
Müşteri verisine dokunan her üçüncü taraf için tarafların rollerini, amaçlarını, güvenlik ve saklama önlemlerini ve aktarım mekanizmasını belgele. Bir sözleşme şablonu tek başına uyum sağlamaz; doğru şartlar gerçek veri sorumlusu ve veri işleyen ilişkisine ve güncel hukuka bağlıdır.
9. İhlal bildirim protokolü
Bir ihlal tespit edildiğinde ne olacağına dair belgelenmiş bir plan kur. Kurulun güncel rehberi, nitelikli bir olayın fark edilmesinden sonra gecikmeksizin ve uygulanabilir kanuni süre içinde bildirimi düzenler; güncel resmî güvenlik rehberinden doğrulayarak farkındalığı, değerlendirmeyi, eskalasyonu, bildirimi ve düzeltici faaliyetleri kaydet.
10. Güvenlik temeli
Güvenlik önlemleri riske ve gerçek sistemlere orantılı olmalıdır. Pratik bir temel HTTPS, modern parola hash’leme, korumalı yedekler, rol bazlı erişim, ortak yönetici hesabı kullanmamak, çok adımlı doğrulama, izleme ve bir olay planı içerebilir; doğru kontrolleri ve gözden geçirme sıklığını bu yazıdaki sabit bir kural değil, kendi işleme faaliyetin ve tehdit modelin belirler.
11. Çalışan eğitimi
Kişisel veriye erişen personeli rolüne ve riske uygun biçimde eğit ve yetkilendir. Kapsamı, tarihi, katılımcıları, gizlilik beklentilerini ve takibi kaydet; sabit bir yıllık ya da 30 dakikalık kuralı bu yazıdan çıkarma.
12. Yıllık denetim ve güncelleme
Envanteri, saklamayı, veri sahibi yanıtlarını, tedarikçileri, eğitimleri, güvenliği ve sitende çalışan komut dosyalarını değişime ve riske uygun sıklıkta incele. Dış danışman yardımcı olabilir; gereklilik ve ücret işletmeye göre değişir, güncel bir kapsam al.
Düzenleyici gerçekte neyi denetler
Kamuya açık karar ve rehberler, gerçek envanteri, hukuki sebebi, aydınlatmayı, rıza seçimini, saklamayı, tedarikçi şartlarını, güvenliği, ihlal yanıtını ve hak başvurusu süreçlerini kanıtlamaya hazır olmanı gerektirir. 1 ile 12 arasındaki maddeler yönetişim kontrolleridir; yaptırım sonucunu garanti etmez. Kontrollerin gerçek işleme faaliyetleriyle uyumlu olduğuna dair kanıt tut ve işin veya mevzuat değiştiğinde güncelle.
Sık yapılan hatalar
- GDPR şablonunu doğrudan çevirmek. KVKK ve GDPR ayrı çerçevelerdir; Türk ve AB yükümlülüklerini eşdeğer varsaymadan gerçek operasyonuna göre haritala.
- Tek geniş kapsamlı rıza kutusu. "Tüm şartları kabul ediyorum" amaca özel rızanın veya sözleşme kabulünün güvenilir kaydı değildir.
- Yurt dışına aktarımı tek satırlık bir rıza konusu sanmak. 1 Haziran 2024'ten beri aktarım önce yeterlilik kararına, yoksa Kurulun standart sözleşmesi gibi uygun bir güvenceye dayanır; standart sözleşme imzadan sonra beş iş günü içinde Kuruma bildirilir (7499 sayılı Kanunla değişen madde 9). Açık rıza artık yalnızca arızi aktarımlar için bir istisnadır; yurt dışındaki her aracı, rolünü, amacını ve mekanizmasını belirle ve KVKK'nın aktarım sayfasına bak.
- Çerezleri yalnızca işlevsel saymak. Analitik ve pazarlama teknolojileri teknolojiye, amaca, yargı alanına ve kuruluma göre kişisel veri işleyebilir ve rıza veya başka kontroller gerektirebilir. Gerçek komut dosyalarının envanterini çıkar ve gerekli seçimden önce isteğe bağlı araçları yükleme.
- Bir unvanın yönetişim sorununu çözdüğünü sanmak. Veri koruma görevlisinin, temsilcinin, gizlilik sorumlusunun veya danışmanın gerekip gerekmediği gerçek rolüne, işlemeye, yargı alanına ve güncel hukuka bağlıdır; sorumluluğu ve eskalasyonu belgele.
Cezalar ve yaptırım
Sabit bir ceza tablosu yayınlama veya ona güvenme: idari para cezaları değişir ve güncellenir; uygulanacak aralık fiile, tarihe, olayın özelliklerine ve güncel resmî tarifeye bağlıdır. Güncel KVKK yayın ve kararlarını incele ve canlı bir olayda profesyonel görüş al.
SSS
Küçük bir mağaza VERBİS'e kayıt olmak zorunda mı? Yıllık çalışan sayın 50'den az, yıllık mali bilanço toplamın 100 milyon TL'den az ve ana faaliyetin özel nitelikli kişisel veri işlemek değilse hayır; Kurul seni kayıttan istisna tutar. Bu sınırlar Kurul kararlarıyla değişebildiği için kararı vermeden önce Kurumun duyurusunu kontrol et.
Veri Koruma Görevlisi (DPO) atamam gerekir mi? GDPR’daki DPO kuralını KVKK’ya aktarma ve müşteri sayısını kısayol olarak kullanma. Türk hukukundaki veri sorumlusu yükümlülüklerini işletmene göre incele; ayrıca GDPR uygulanıyorsa temsilci veya görevli gerekliliklerini bağımsız değerlendir.
Çerez bildirimi yasal olarak zorunlu mu? Yanıt teknolojiye, amaca, yargı alanına ve işlemenin hukuki sebebine bağlıdır. Gerekli sepet ve oturum işlevleri gereksiz yere engellenmemeli; isteğe bağlı analitik ve pazarlama araçları gerekli seçimden önce çalışmamalıdır. Açık bir envanter yayınla ve tercihi değiştirmek için erişilebilir bir yol sun.
AB müşterilerine satıyorsam? AB müşterilerine satış, tek başına GDPR’ın bölgesel kapsamını yanıtlamaz. Hedeflemeyi, izlemeyi, yerleşikliği, rolleri, aktarımları ve olası temsilci gerekliliğini GDPR kapsamında ayrıca değerlendir; KVKK ve GDPR birbirinin yerine geçmez.
Yurt dışındaki bir hizmete (analitik, e-posta, bulut) veri gönderebilir miyim? Gönderebilirsin, ama 1 Haziran 2024'ten beri yolu belli: yeterlilik kararı, yoksa Kurulun standart sözleşmesi gibi uygun bir güvence; standart sözleşmeyi imzaladıktan sonra beş iş günü içinde Kuruma bildirirsin. Açık rıza yalnızca arızi aktarımlarda bir istisnadır, düzenli bir aktarımın dayanağı değildir.
Tek seferlik bir KVKK şablon paketi alabilir miyim? Şablon taslağa yardımcı olabilir; ancak amaçları, rolleri, sağlayıcıları, aktarım mekanizmasını, saklamayı ve teknik uygulamayı belirleyemez. Her şablonu gerçek işletmene göre uyarlat ve incelet.
FaStart kendi KVKK aydınlatma metnini yayımlar; satıcı mağazaları için gizlilik araçlarının nerede durduğunu ürün sayfası gösterir. İkisi de tek başına bir mağazayı uyumlu yapmaz.
