KVKK ve E-Ticaret: Veri Koruma Yasasına Uyumlu Mağaza Kurulumu
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016 yılında yürürlüğe girmiş ve o tarihten bu yana Türkiye'deki tüm veri işleyen kuruluşları etkilemektedir. E-ticaret mağazaları ise müşteri adı, adresi, ödeme bilgileri ve alışveriş geçmişi gibi son derece hassas kişisel verileri işledikleri için KVKK'nın en kritik uygulama alanlarından birini oluşturmaktadır.
KVKK uyumsuzluğu yalnızca idari para cezası riskiyle sınırlı kalmaz; müşteri güvenini zedeler, olası veri ihlali durumunda hukuki sorumluluğu artırır ve kurumsal itibarı ciddi ölçüde hasara uğratır.
Bu rehberde KVKK'nın e-ticaret mağazaları açısından pratik uygulama boyutlarını ele alacağız.
KVKK'ya Göre E-Ticaret Mağazası Kim Sayılır?
KVKK terminolojisinde iki temel kavram mevcuttur:
Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sistemini kuran ve yöneten gerçek veya tüzel kişidir. E-ticaret mağazanız, müşterilerinizin verilerini işlediği için veri sorumlusudur. Veri İşleyen: Veri sorumlusu adına kişisel veri işleyen gerçek veya tüzel kişidir. E-ticaret altyapı sağlayıcınız (hosting, ödeme sistemi, kargo entegrasyonu vb.) veri işleyen konumundadır.Bu ayrım önemlidir: Veri sorumlusu olarak mağazanız, veri işleyenlerinizin (ödeme sağlayıcı, kargo şirketi, e-posta pazarlama aracı vb.) da uyumlu çalışmasından sorumludur. Bu nedenle bu firmalarla Veri İşleme Sözleşmesi (VİS) yapmanız gerekmektedir.
KVKK Kapsamında İşlenen Kişisel Veriler
E-ticaret mağazası işletirken işlediğiniz başlıca kişisel veriler şunlardır:
Kimlik verileri: Ad, soyad, TC kimlik numarası (fatura için bazı durumlarda). İletişim verileri: E-posta adresi, telefon numarası, teslimat adresi. Müşteri işlem verileri: Sipariş geçmişi, sepet içeriği, iade talepleri. Finansal veriler: Kredi kartı bilgileri (mağazanız bu verileri saklıyorsa özel koruma gereklilikleri devreye girer; PCI DSS uyumluluğu ayrıca sağlanmalıdır). Lokasyon verileri: Teslimat adresleri ve potansiyel olarak IP adresi. Dijital iz verileri: Çerez verileri, site davranışı, oturum bilgileri. Pazarlama verileri: E-posta kampanya etkileşimleri, tercihler, segmentasyon bilgileri.KVKK'nın Temel Gereklilikleri
#### 1. Aydınlatma Yükümlülüğü
KVKK Madde 10 uyarınca kişisel veri toplamadan önce ilgili kişiyi aydınlatmak zorundasınız. Aydınlatma metni şu bilgileri içermelidir:
- Veri sorumlusunun kimliği (şirket/kişi adı ve iletişim bilgileri)
- Toplanan kişisel verilerin kategorileri
- Verilerin işlenme amaçları
- Verilerin aktarıldığı taraflar ve aktarım amaçları
- Toplama yöntemi ve hukuki dayanağı
- İlgili kişinin hakları (erişim, düzeltme, silme, itiraz vb.)
Bu aydınlatma metnini üyelik formu, sipariş akışı ve çerez onay mekanizmasında görünür kılmak gerekmektedir.
#### 2. Açık Rıza
Bazı veri işleme faaliyetleri için açık rıza alınması zorunludur. Özellikle:
- E-posta pazarlama ve ticari elektronik ileti gönderimi
- Profilleme ve segmentasyon amaçlı analitik
- Üçüncü taraflarla pazarlama amaçlı veri paylaşımı
Açık rıza; özgür iradeyle verilmiş, belirli bir konuya özgü ve bilgilendirilmiş olmalıdır. "Kullanım koşullarını kabul ediyorum" şeklindeki genel onaylar, pazarlama iletişimi için geçerli açık rıza sayılmaz.
Pratik uygulama: Kayıt formunuzda pazarlama iletişimine ayrı bir onay kutusu (pre-checked olmayan, yani varsayılan olarak boş) bulunmalıdır.
#### 3. Veri Güvenliği Önlemleri
KVKK Madde 12 uyarınca kişisel verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almak zorundasınızdır.
Teknik tedbirler:- SSL/TLS şifreleme (HTTPS zorunlu)
- Güçlü parola politikaları ve çok faktörlü kimlik doğrulama
- Düzenli güvenlik açığı taramaları
- Yedekleme ve felaket kurtarma planı
- Erişim kısıtlamaları (minimum ayrıcalık ilkesi)
- Veri envanteri oluşturmak ve güncel tutmak
- Çalışan farkındalık eğitimleri
- Veri işleme politikaları ve prosedürleri
- İhlal bildirimi prosedürü (72 saat kuralı: ihlal tespitinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim)
#### 4. Veri Minimizasyonu
Yalnızca ihtiyaç duyduğunuz verileri toplamalısınız. Müşterinin siparişini işlemek için TC kimlik numarası gerekmiyorsa bunu toplamayın. Doğum tarihi gerekliyse yalnızca yaşı doğrulamak için kullanın ve gereksiz ek veri talep etmeyin.
Gizlilik Politikası Hazırlama
Gizlilik politikası (Aydınlatma Metni ve Gizlilik Politikası), KVKK uyumluluğunun en görünür bileşenidir. Siteye koyduğunuz bu belge hem yasal yükümlülüğünüzü karşılar hem de müşteri güveni inşa eder.
İyi bir gizlilik politikası şu özelliklere sahip olmalıdır:- Sade ve anlaşılır Türkçe (hukuki jargon minimumda tutulmalıdır)
- Güncel tarih ve versiyon numarası
- Hangi verileri neden topladığınızın açık anlatımı
- Verileri kiminle paylaştığınızın listesi
- Verinin ne kadar süre saklanacağının belirtilmesi
- İlgili kişilerin haklarını nasıl kullanabileceğinin pratik yol göstericisi
- İletişim bilgileri (veri sorumlusu temsilcisi)
- Başka siteden kopyalanan, Türkiye mevzuatına uygun olmayan metinler
- Yıllardır güncellenmemiş tarihler
- Gerçekte uygulamadığınız politikaları içeren metinler
- Kullanıcı haklarını belirsiz bırakmak
Çerez Onayı (Cookie Consent) Kurulumu
Çerez yönetimi KVKK ile birlikte kritik bir uyum gereksinimi haline gelmiştir. E-ticaret sitenizdeki çerezler şu kategorilere ayrılır:
Zorunlu çerezler: Sitenin temel işlevleri için gerekli (oturum çerezi, sepet çerezi). Bunlar için onay almak zorunlu değildir. Analitik çerezler: Google Analytics gibi araçların kullandığı ziyaretçi davranışı çerezleri. Açık rıza gerektirir. Pazarlama/reklam çerezleri: Meta Pixel, Google Ads remarketing gibi araçların çerezleri. Açık rıza gerektirir. Fonksiyonel çerezler: Dil tercihi, koyu mod gibi kullanıcı deneyimini özelleştiren çerezler. Duruma göre rıza gerekebilir. Teknik uygulama:İdeal bir çerez yönetimi çözümü şu özellikleri taşımalıdır:
- Siteye ilk girişte belirgin onay banner'ı
- Kategori bazında kabul/red seçeneği
- Onayın kaydedilmesi (log)
- Tercihi değiştirme imkânı (site footer'ında erişilebilir)
- Onay alınmadan zorunlu olmayan çerezlerin çalışmaması
Türkiye'de yaygın kullanılan çerez yönetim araçları arasında Cookiebot, CookieYes ve yerli alternatifler bulunmaktadır.
Veri İşleme Sözleşmeleri
Aşağıdaki servislerle çalışıyorsanız Veri İşleme Sözleşmesi yapmalısınız:
- Ödeme kuruluşları (iyzico, PayTR vb.)
- E-posta pazarlama araçları (Mailchimp, Klaviyo, Brevo vb.)
- Analitik araçlar (Google Analytics, Hotjar vb.)
- Müşteri hizmetleri yazılımları
- CRM sistemleri
- Reklam platformları (Meta, Google vb.)
Bu sözleşmeler büyük uluslararası platformlarda genellikle standart VİS (Data Processing Agreement) belgesi biçiminde sunulmaktadır. KVKK uyumunu kanıtlamak için bu belgeleri imzalamış ve arşivlemiş olmanız gerekir.
VERBİS Kaydı
Yıllık çalışan sayısı 50 ve üzeri olan ya da özel nitelikli kişisel veri işleyen veri sorumluları, Veri Sorumluları Sicili Bilgi Sistemi'ne (VERBİS) kayıt yaptırmak zorundadır.
Küçük ölçekli e-ticaret mağazaları çoğunlukla bu eşiğin altında kaldığından VERBİS kaydı zorunluluğuna tabi olmayabilir. Ancak ölçeğiniz büyüdükçe bu yükümlülüğü takip etmeniz önemlidir.
Ticari Elektronik İleti (İYS) Uyumu
KVKK'ya ek olarak 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve buna bağlı yönetmelik kapsamında İleti Yönetim Sistemi'ne (İYS) kayıt yaptırarak ticari elektronik ileti göndermeden önce alıcıların onayını bu sistem üzerinden yönetmek zorundasınız.
İYS uyumu için gerekli adımlar:- iys.org.tr üzerinden marka kaydı
- Mevcut onaylı listenizi sisteme yükleme
- Yeni onayları İYS üzerinden yönetme
- Red listelerini güncel tutma
KVKK Uyumsuzluğunun Sonuçları
Kişisel Verileri Koruma Kurulu, ihlallere karşı şu yaptırımları uygulayabilir:
- İdari para cezaları (2026 itibarıyla üst sınır yaklaşık 9 milyon TL)
- Veri işlemenin durdurulması kararı
- Kişisel veri içeren sistemlerin erişime kapatılması
Bunların yanı sıra veri ihlali yaşanması durumunda tüketici hukuku kapsamında tazminat talepleri ve ticari itibar kaybı da söz konusu olabilmektedir.
Sonuç: KVKK Uyumunu Bir Maliyet Değil Güven Yatırımı Olarak Görün
KVKK uyumu, mağazanız için yalnızca yasal bir zorunluluk değil, müşteri güveni inşasının temel taşıdır. Verilerinin korunduğunu bilen müşteri daha rahat alışveriş yapar, daha uzun müşteri ömrüne sahip olur ve mağazanızı çevresine tavsiye etme olasılığı daha yüksektir.
Uyum sürecine başlamak için öncelikle hangi verileri topladığınızı listeleyin, gizlilik politikanızı güncelleyin, çerez yönetimini aktive edin ve veri işleyenlerinizle sözleşmelerinizi gözden geçirin. Bu temel adımlar, uyum yolculuğunuzun büyük bölümünü kapsayacaktır.
