İletişim formu, randevu, üyelik veya analitik kullanan her web sitesi kişisel veri işler ve KVKK kapsamındadır. Uyum için gerekenler: aydınlatma metni, gerektiğinde açık rıza, çerez bilgilendirmesi ve yönetimi, gerekli asgari veri toplama ilkesi, saklama süresi tanımı, veri güvenliği (SSL, şifreleme, yetkilendirme) ve gerekiyorsa VERBİS kaydı. Bu yazı genel bilgilendirmedir; hukuki danışmanlık yerine geçmez.
"Küçük bir sitem var, KVKK beni ilgilendirmez" yaygın ve yanlış bir düşünce. İletişim formundan gelen bir ad ve telefon bile kişisel veridir. İyi haber: çoğu işletme için uyum, birkaç net adımla sağlanabilir.
Siteniz hangi verileri işliyor?
Önce envanter çıkarın. Tipik kalemler:
- İletişim/teklif formu: ad, e-posta, telefon, mesaj
- Randevu: ad, telefon, tarih, hizmet bilgisi
- Üyelik/e-ticaret: adres, sipariş geçmişi, fatura bilgisi
- Analitik ve reklam çerezleri: davranış ve cihaz bilgisi
- Sohbet/chatbot kayıtları
- Sunucu kayıtları (log): IP adresleri
Aydınlatma metni: her sitede zorunlu
Veri sahibine; hangi verinin, hangi amaçla, hangi hukuki sebeple işlendiğini, kimlerle paylaşıldığını ve haklarını anlatan metindir. Sitenin altında erişilebilir olmalı ve veri toplanan her noktada (form yanında) bağlantısı verilmelidir.
Açık rıza ne zaman gerekir?
Sözleşmenin ifası veya meşru menfaat gibi başka bir hukuki sebep varsa açık rıza gerekmez. Ancak pazarlama iletişimi (e-posta bülteni, SMS kampanya) ve zorunlu olmayan çerezler için açık rıza gerekir. Rıza; önceden işaretlenmiş kutucukla değil, kullanıcının kendi seçimiyle alınmalı ve geri alınabilmelidir.
Çerezler: doğru kurulum
- 1Zorunlu çerezler dışındaki çerezleri, onay alınmadan çalıştırmayın
- 2Kabul/Reddet seçeneklerini eşit görünürlükte sunun
- 3Kategori bazlı tercih (analitik, pazarlama) verin
- 4Çerez politikası sayfasında hangi çerezin ne yaptığını listeleyin
- 5Tercihi kaydedin ve kullanıcı sonradan değiştirebilsin
Yalnızca "Tamam" butonu olan bandolar uyum sağlamaz; reddetme imkânı gerçek olmalıdır.
Veri minimizasyonu: az veri, az risk
Formda gerçekten gerekmeyen alanı istemeyin. TC kimlik numarası, doğum tarihi veya detaylı sağlık bilgisi gibi veriler zorunlu değilse toplanmamalıdır. Topladığınız her ek alan, hem dönüşümü düşürür hem sorumluluğunuzu artırır.
Saklama süresi ve imha
Veriler süresiz saklanamaz. Her veri türü için makul bir saklama süresi belirleyin ve süre dolduğunda silme/anonimleştirme yapın. Form e-postalarının yıllarca posta kutusunda birikmesi, sık rastlanan bir uyumsuzluktur.
Güvenlik önlemleri
- SSL/HTTPS zorunlu
- Panel erişiminde güçlü parola ve mümkünse iki adımlı doğrulama
- Yetkilendirme: herkes her veriyi görmesin
- Şifreli ve düzenli yedekleme
- Güncel yazılım ve eklentiler
- Veri ihlali durumunda izlenecek prosedürün belirlenmiş olması
Teknik tarafı bizimle yürütmek isterseniz güvenlik ve yedekleme hizmetimize bakabilirsiniz.
Yurt dışı aktarım ve üçüncü taraf araçlar
Analitik, reklam, e-posta pazarlama, sohbet ve bulut hizmetlerinin bir kısmı verileri yurt dışında işler. Bu araçları kullanırken hangi verinin nereye gittiğini bilmek ve aydınlatma metninde belirtmek gerekir. Kullanmadığınız araçları kaldırmak, hem uyumu hem hızı iyileştirir.
VERBİS kaydı gerekiyor mu?
Belirli çalışan sayısı ve ciro eşiklerinin üzerindeki veri sorumluları VERBİS'e kayıt olmakla yükümlüdür; bazı istisnalar ve sektörel özel durumlar vardır. Eşikler ve istisnalar değişebildiğinden güncel durumu resmi kaynaktan veya hukuk danışmanınızdan teyit edin.
Hızlı uyum kontrol listesi
- 1Aydınlatma metni yayında ve formlara bağlı mı?
- 2Çerez yönetimi gerçek seçenek sunuyor mu?
- 3Formlarda gereksiz alan var mı?
- 4Pazarlama izni ayrı ve isteğe bağlı mı?
- 5Saklama süreleri belirlendi mi?
- 6SSL ve yedekleme aktif mi?
- 7Üçüncü taraf araçlar listelendi mi?
Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Teknik uyum tarafında destek için bize yazabilirsiniz.
