KVKK Uyumlu Web Sitesi: İşletmelerin Yasal Sorumlulukları
Aydınlatma metni, açık rıza, çerez yönetimi ve veri güvenliği: web sitenizi KVKK'ya uygun hale getirmek için pratik kontrol listesi.
Web siteniz bir iletişim formu, bülten kaydı ya da analiz aracı kullanıyorsa kişisel veri işliyorsunuz demektir. Türkiye'de bu işlemin çerçevesini 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çizer. Bu yazıda bir web sitesinin KVKK açısından neleri doğru yapması gerektiğini, sık yapılan hataları ve teknik tarafta nelere dikkat etmek gerektiğini sade bir dille anlatıyoruz.
Not: Bu içerik genel bilgilendirme amaçlıdır; işletmenize özel durumlar için bir hukuk danışmanından destek almanızı öneririz.
Web Sitesinde Hangi Kişisel Veriler İşlenir?
Çoğu işletme sadece "form" verisini düşünür; oysa liste daha uzundur:
- Form verileri: Ad, telefon, e-posta, mesaj içeriği.
- Teknik veriler: IP adresi, tarayıcı bilgisi, sunucu log kayıtları.
- Çerez verileri: Analiz, reklam ve kişiselleştirme çerezleriyle toplanan davranış verisi.
- Üyelik / sipariş verileri: Adres, fatura bilgileri, sipariş geçmişi.
- Sohbet verileri: Canlı destek veya yapay zeka asistanına yazılan mesajlar.
KVKK Uyumlu Bir Sitenin Olmazsa Olmazları
1. Aydınlatma metni
Veri sorumlusunun kim olduğu, hangi verilerin hangi amaçla işlendiği, kimlere aktarıldığı, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları açık ve anlaşılır biçimde anlatılmalıdır. Aydınlatma metni, veri toplanan her noktadan (form altı, footer) kolayca ulaşılabilir olmalıdır.
2. Açık rıza — sadece gerektiğinde
KVKK'da her işlem için açık rıza gerekmez; sözleşmenin ifası veya meşru menfaat gibi hukuki sebepler de vardır. Ancak pazarlama iletileri, zorunlu olmayan çerezler ve yurt dışına aktarım gibi durumlarda açık rıza gündeme gelir. Önemli kural: Açık rıza, aydınlatma metniyle birleştirilmemeli ve önceden işaretlenmiş kutucukla alınmamalıdır.
3. Çerez yönetimi
Zorunlu çerezler dışındaki analiz ve reklam çerezleri, kullanıcı onay vermeden çalışmamalıdır. İyi bir çerez bandı şunları sağlar:
- "Kabul et" kadar görünür bir "Reddet" seçeneği,
- Kategori bazlı (analiz, pazarlama) tercih yönetimi,
- Tercihi sonradan değiştirebilme imkânı (örneğin footer'da "Çerez ayarları" bağlantısı).
4. Yurt dışına aktarım
Barındırma, e-posta, analiz veya yapay zeka servisleri yurt dışındaysa kişisel veri yurt dışına aktarılıyor olabilir. Bu durum aydınlatma metninde belirtilmeli ve mevzuatın öngördüğü aktarım mekanizmalarına uyulmalıdır.
5. Veri güvenliği ve saklama süresi
KVKK yalnızca metin değil, teknik ve idari tedbir ister: HTTPS, güçlü parola politikaları, yetki sınırlaması, düzenli yedekleme ve gereksiz verinin belirli sürelerde silinmesi.
Sık Yapılan Hatalar
- Hazır bir şablondan kopyalanmış, işletmeyle ilgisi olmayan aydınlatma metni.
- Google Analytics veya reklam pikselinin onaydan önce yüklenmesi.
- Formda "KVKK metnini okudum ve kabul ediyorum" şeklinde tek kutucuk ile hem aydınlatma hem rıza alınması.
- Form verilerinin şifresiz bir e-posta kutusunda süresiz birikmesi.
- Başvuru (ilgili kişi hakları) kanalının hiç tanımlanmamış olması.
Teknik Tarafta Ne Yapıyoruz?
DijiText olarak geliştirdiğimiz sitelerde çerezleri onaya bağlı yüklüyor, formları sunucu tarafında doğruluyor ve gereksiz veri toplamıyoruz. Örneğin bu sitede iletişim formuna yazdığınız mesaj yalnızca size dönüş yapmak için kullanılır; analiz araçları yalnızca onay verdiğinizde devreye girer. Web tasarım hizmetimiz kapsamında KVKK'ya uygun çerez yönetimini standart olarak kuruyoruz.
Kontrol Listesi
- Aydınlatma metni güncel ve sitenize özel mi?
- Zorunlu olmayan çerezler onaydan önce engelleniyor mu?
- Pazarlama izinleri ayrı ve isteğe bağlı mı?
- Yurt dışı servisler listelenmiş mi?
- Form verileri güvenli saklanıyor ve belirli sürede siliniyor mu?
- İlgili kişi başvuruları için bir kanal var mı?
Sitenizin KVKK açısından teknik bir ön kontrolünü yapmamızı isterseniz iletişim formumuzu doldurabilir veya WhatsApp üzerinden (+90 549 511 14 01) yazabilirsiniz.
