KVKK Uyumlu E-Ticaret Sitesi Nasıl Olmalı? Kontrol Listesi

KVKK uyumlu bir e-ticaret sitesi, müşteri verisini üç ayrı hukuki sebep altında ayrıştıran sitedir: siparişin teslimi için gereken veriler sözleşmeye, fatura ve kayıtlar kanuni yükümlülüğe, pazarlama iletişimi ve zorunlu olmayan çerezler açık rızaya dayanır. Bu ayrım baştan yapıldığında üç şey kendiliğinden yerine oturur: ayrı onay kutuları, rıza gelmeden çalışmayan pazarlama çerezleri ve kaydı tutulan izinler.

E-ticarette hangi veri hangi sebeple işlenir

Kritik nokta: sipariş verebilmek için pazarlama iznine onay verme zorunluluğu konulamaz. Rıza, hizmetin koşulu haline getirildiğinde "özgür irade" şartını kaybeder ve geçersiz olur.

İki ayrı mevzuat: KVKK ve elektronik ticaret

E-ticaret siteleri iki düzenlemeye birden tabidir. KVKK kişisel verinin işlenmesini, 6563 sayılı Elektronik Ticaret Kanunu ise ticari elektronik iletiyi düzenler. İkincisi İleti Yönetim Sistemi (İYS) kaydını zorunlu kılar: alıcı onayları İYS'ye yüklenir, ret talepleri buradan yönetilir. KVKK rızası ile İYS onayı birbirinin yerine geçmez; ikisi de gerekir.

2025'te yürürlüğe giren Erişilebilirlik Genelgesi ile e-ticaret platformları ayrıca WCAG 2.2 uyumu kapsamındadır; özel sektör için son tarih 20 Haziran 2027. Bkz. erişilebilirlik genelgesi.

Sitede bulunması gerekenler

1. Aydınlatma metni. Veri sorumlusunun kimliği, işleme amaçları, aktarılan taraflar, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları. Üyelik ve sipariş akışında, veri girilmeden önce erişilebilir olmalı.
2. Ayrı açık rıza alanları. Ticari ileti için ayrı, kişiselleştirme için ayrı kutu. Önceden işaretlenmiş kutu geçerli rıza değildir.
3. Çerez politikası ve rıza banner'ı. Kategori bazlı seçim, reddet seçeneği kabul kadar görünür, rıza gelmeden zorunlu olmayan çerez çalışmaz.
4. Üyelik iptali ve ileti reddi. Kolay bulunur, tek adımda çalışır durumda.
5. Başvuru kanalı. İlgili kişi başvuruları için adres ve süreç; 30 gün içinde ücretsiz yanıt.
6. Mesafeli satış sözleşmesi ve ön bilgilendirme formu. Bunlar aydınlatma metninin yerine geçmez, ayrıca bulunur.

Arka planda kurulması gerekenler

• Veri envanteri: Sipariş, üyelik, iade, çağrı merkezi, pazarlama ve site analitiği süreçlerinin tamamı.
• Tedarikçi sözleşmeleri: Kargo firmaları, ödeme kuruluşu, e-posta ve SMS sağlayıcısı, bulut ve CRM. Bunların çoğu veri işleyendir; yazılı sözleşme zorunludur.
• Yurt dışı aktarım: Sunucusu yurt dışında olan analitik, reklam ve CRM araçları için yeterlilik kararı, standart sözleşme veya kanundaki istisna.
• Saklama süreleri: Fatura 10 yıl, İYS onay kayıtları ret tarihinden itibaren 3 yıl, pazarlama verisi rıza sürdüğü sürece. Bkz. saklama süreleri.
• Veri güvenliği: Panel erişim yetkileri, iki adımlı doğrulama, log kaydı, ihlal müdahale planı, personel eğitimi.
• VERBİS: Çalışan sayısı veya bilanço eşiği aşılıyorsa kayıt. Bkz. VERBİS rehberi.

E-ticarette en sık görülen beş hata

1. Üyelik sözleşmesi, aydınlatma ve pazarlama izninin tek bir onay kutusunda birleştirilmesi.
2. Rıza banner'ı gösterilmeden Meta Pixel ve Google Analytics'in yüklenmesi. Reddettikten sonra _fbp ve _ga çerezlerinin hâlâ yazıldığı siteler yaygındır.
3. Terk edilmiş sepet e-postalarının rıza olmadan gönderilmesi; bu bir ticari elektronik iletidir ve onay gerektirir.
4. Kargo firmasıyla veri işleyen sözleşmesi olmaması.
5. Eski müşteri listelerinin pazarlama amacıyla süresiz saklanması.

İlk iki maddeyi kendi sitenizde kontrol etmek için: reddet seçeneğine bastıktan sonra tarayıcının geliştirici araçlarında çerezlere bakın. Hızlı yol için ücretsiz çerez taraması kullanabilir, rıza toplama ve kayıt tarafını rıza yönetimi ile kurabilirsiniz.

Sıkça sorulan sorular

Sipariş verirken pazarlama izni zorunlu tutulabilir mi?

Hayır. Rıza hizmetin koşulu yapılamaz; sipariş, izin verilmeden de tamamlanabilmelidir.

Terk edilmiş sepet e-postası için izin gerekir mi?

Evet, ticari elektronik iletidir. Mevcut müşteriye kendi aldığı ürünle ilgili bilgilendirme istisnası dar yorumlanır; pazarlama içeriği izne bağlıdır.

Marketplace üzerinden satış yapıyorum, sorumluluk platformda mı?

Platform kendi işlediği veriler için sorumludur; satıcı olarak sizin eriştiğiniz alıcı verileri için sorumluluk sizdedir.

Yurt dışındaki e-posta aracını kullanabilir miyim?

Aktarım kurallarına uymak kaydıyla evet: yeterlilik kararı, standart sözleşme veya kanundaki istisna.

Müşteri hesabını silince tüm veriler gider mi?

Hayır. Fatura ve muhasebe kayıtları mevzuat gereği saklanır; pazarlama verisi ve profil bilgileri imha edilir.