KVKK ve E-Ticaret: Sitenizde Bulunması Gerekenler

Bir e-ticaret sitesi yalnızca teknik bir yapı değil, aynı zamanda hukuki yükümlülükleri olan bir satış kanalıdır. Aşağıdaki başlıklar, uygulamada en sık eksik bırakılan bileşenleri ve tipik hataları özetliyor.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Metinlerinizin hazırlanması ve yükümlülüklerinizin belirlenmesi için bir hukuk uzmanıyla çalışmanız gerekir.

Aydınlatma metni ile açık rıza aynı şey mi?

Hayır ve bu ikisinin karıştırılması en yaygın hatadır. Aydınlatma metni bir bilgilendirmedir: kişisel verilerin kim tarafından, hangi amaçla, hangi hukuki sebebe dayanarak işlendiğini, kimlere aktarıldığını ve ilgili kişinin haklarını anlatır. Kişisel veri işleyen herkes bu bilgilendirmeyi yapmakla yükümlüdür ve bu yükümlülük rızadan bağımsızdır.

Açık rıza ise bir hukuki sebeptir ve yalnızca başka bir hukuki sebep bulunmadığında gerekir. Sipariş verilebilmesi için adres ve iletişim bilgisinin işlenmesi sözleşmenin ifasına dayanır; burada ayrıca rıza almak gerekmez, hatta almak yanlıştır. Pazarlama amaçlı profilleme, isteğe bağlı çerezler ve ticari ileti gönderimi gibi durumlarda ise rıza gerekir.

Açık rızanın geçerli olması için üç koşul vardır: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir. Buradan çıkan pratik kural şudur: rıza, hizmetin ön şartı hâline getirilemez. "Üyelik için pazarlama iznini kabul etmelisiniz" kurgusu geçerli bir rıza üretmez.

Sitede hangi metinler bulunmalı?

• Kişisel verilerin korunması aydınlatma metni: Toplanan veriler, amaçlar, hukuki sebepler, aktarımlar, saklama süresi ve ilgili kişi hakları.
• Çerez politikası: Kullanılan çerezlerin listesi, türleri, süreleri ve amaçları.
• Gizlilik ve güvenlik politikası: Verinin nasıl korunduğu, ödeme bilgilerinin nasıl işlendiği.
• Ön bilgilendirme formu: Sipariş öncesinde onaylanan, ürün ve satıcı bilgilerini içeren belge.
• Mesafeli satış sözleşmesi: Sipariş sırasında kurulan sözleşme metni.
• İptal, iade ve değişim koşulları: Cayma hakkının kullanımı, süreler, kargo bedelinin kime ait olduğu.
• Teslimat ve kargo bilgileri: Süreler, bölge kısıtları, ücretlendirme.
• Kullanım koşulları ve üyelik sözleşmesi: Üyelik varsa.
• İletişim ve satıcı bilgileri: Ticaret unvanı, MERSİS numarası, açık adres, telefon ve e-posta.

Metinlerin siteye eklenmesi kadar erişilebilir olması da önemlidir: alt bilgide kalıcı bağlantılarla, ödeme akışında ilgili adımda ve mümkünse ayrı sayfalar hâlinde sunulmalıdır.

Çerez yönetimi nasıl kurulmalı?

Kişisel Verileri Koruma Kurulu'nun çerez uygulamalarına ilişkin rehberi, uygulamada beklenen çerçeveyi ortaya koyar. Öne çıkan noktalar şunlardır:

• Hizmetin sunulabilmesi için zorunlu çerezler rıza gerektirmez. Oturum, sepet ve güvenlik çerezleri bu gruptadır.
• Analitik, reklam ve kişiselleştirme çerezleri için önceden rıza alınması gerekir. Rıza alınmadan bu çerezler yerleştirilmemelidir.
• Reddetmek, kabul etmek kadar kolay olmalıdır. Yalnızca "Kabul et" düğmesi bulunan, reddetmek için ayarlara girmeyi gerektiren kurgular bu ilkeye aykırıdır.
• Rıza kategori bazında alınmalı ve kullanıcı istediği zaman tercihini değiştirebilmelidir. Sitede kalıcı bir "çerez tercihleri" bağlantısı bulunmalıdır.
• Verilen rızalar kayıt altına alınmalı; ne zaman, hangi metin sürümü için verildiği saklanmalıdır.
• Çerez politikası gerçek durumu yansıtmalıdır. Sitede olmayan çerezleri listeleyen ya da eklenen yeni araçları hiç yazmayan politikalar yaygındır; düzenli olarak taranıp güncellenmelidir.

Teknik tarafta dikkat edilecek nokta, etiket yöneticisi üzerinden yüklenen üçüncü taraf kodların rıza durumuna bağlanmasıdır. Banner gösterilip rıza alınmadan piksel çalışmaya devam ediyorsa, kurulum yalnızca görünüşte uyumludur.

VERBİS kaydı gerekli mi?

Veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemine kayıt olmakla yükümlüdür. Kurul belirli ölçütler kapsamında istisnalar tanımlamıştır; yıllık çalışan sayısı ve mali bilanço büyüklüğü ile ana faaliyet konusu bu değerlendirmede rol oynar.

Bu nedenle "biz küçüğüz, gerekmez" varsayımıyla hareket etmek risklidir. İşletmenizin kapsam içinde olup olmadığını, güncel istisna ölçütleriyle birlikte değerlendirmek gerekir. Kayıt yükümlülüğü doğduğunda ayrıca kişisel veri işleme envanteri ile saklama ve imha politikasının hazırlanması beklenir.

ETBİS kaydı nedir, kim yapmak zorunda?

ETBİS (Elektronik Ticaret Bilgi Sistemi), 6563 sayılı Elektronik Ticaret Kanunu kapsamında Ticaret Bakanlığı tarafından yürütülen kayıt sistemidir. Kendi alan adı üzerinden elektronik ticaret yapan hizmet sağlayıcılar ile aracı hizmet sağlayıcılar bu sisteme kayıt olmakla yükümlüdür.

Kayıt tamamlandığında verilen doğrulama bilgisinin sitede gösterilmesi beklenir; bu, ziyaretçinin satıcının kayıtlı olduğunu görebilmesini sağlar. Yalnızca pazaryerleri üzerinden satış yapan ve kendi sitesi bulunmayan satıcılar için yükümlülük farklı işler; bu durumda kayıt genellikle pazaryeri üzerinden yürür.

Ön bilgilendirme formu ile mesafeli satış sözleşmesi arasındaki fark ne?

İkisi de 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği kapsamındadır ve ayrı belgelerdir.

Ön bilgilendirme formu, sipariş tamamlanmadan önce tüketiciye sunulur ve şu bilgileri içerir: satıcının unvanı ve iletişim bilgileri, ürünün temel nitelikleri, tüm vergiler dâhil toplam fiyat, ödeme ve teslimat bilgileri, cayma hakkının varlığı, süresi ve kullanım koşulları, cayma hakkının kullanılamadığı durumlar, uyuşmazlıklarda başvurulabilecek tüketici hakem heyeti bilgisi.

Mesafeli satış sözleşmesi ise siparişin verilmesiyle taraflar arasında kurulan sözleşmedir. Her ikisinin de tüketici tarafından ayrı ayrı onaylanması ve sipariş sonrası kalıcı veri saklayıcısı ile tüketiciye iletilmesi gerekir. Uygulamada en sık yapılan hata, iki belgenin tek bir onay kutusunda birleştirilmesi ve sipariş sonrası tüketiciye hiç gönderilmemesidir.

Cayma hakkı ve iade koşullarında nelere dikkat etmeli?

Tüketicinin cayma hakkını kullanma süresi kural olarak 14 gündür ve mal teslimlerinde bu süre malın teslim alındığı günden başlar. Cayma hakkının istisnaları yönetmelikte sayılmıştır; kişiye özel üretilen ürünler, ambalajı açıldığında iadesi sağlık ve hijyen açısından uygun olmayan ürünler ve hızla bozulabilen mallar bu istisnalar arasındadır.

Sık yapılan hatalar şunlardır:

• Yasal süreden kısa bir iade süresi yazmak. Tüketici lehine daha uzun süre tanınabilir, kısaltılamaz.
• Cayma hakkı istisnalarını olduğundan geniş yorumlamak; örneğin tüm ürünlerde "iade kabul edilmez" ifadesi kullanmak.
• İade sürecini yalnızca telefonla yürütmek. Cayma bildiriminin yazılı ya da kalıcı veri saklayıcısı ile yapılabilmesi gerekir.
• Geri ödemeyi geciktirmek. Cayma bildirimi ulaştıktan sonra yönetmelikte belirtilen süre içinde ve tüketicinin ödediği yöntemle iade yapılması gerekir.
• Kargo bedelinin kime ait olduğunu belirsiz bırakmak. Anlaşmalı kargo firması belirtilmişse ve tüketici onu kullanmışsa iade masrafı satıcıya ait olur.

Ticari elektronik ileti için ne gerekiyor?

Kampanya e-postası, kısa mesaj ve arama gibi ticari elektronik iletiler için 6563 sayılı kanun kapsamında önceden onay alınması gerekir. Onaylar İleti Yönetim Sistemine (İYS) kaydedilmeli ve gönderim öncesinde alıcının izin durumu bu sistemden kontrol edilmelidir.

Gönderilen her iletide gönderenin kimliği açıkça yer almalı ve ret hakkının kolay kullanılabilir bir yolu sunulmalıdır. Ret bildirimi ulaştığında gönderim, mevzuatta öngörülen süre içinde durdurulmalıdır. Sepet hatırlatma ve stok bildirimi gibi otomatik akışlar da bu kapsamdadır; pazarlama otomasyonu kurarken izin kontrolünü akışın içine yerleştirmek gerekir.

Veri güvenliği tarafında asgari beklentiler neler?

• Site genelinde HTTPS ve güncel şifreleme yapılandırması.
• Kart bilgilerinin sitede saklanmaması; ödeme işleminin lisanslı ödeme kuruluşu altyapısı üzerinden yürütülmesi.
• Yönetim paneline erişimde güçlü parola ve çok adımlı doğrulama.
• Yetkilendirme: her personelin yalnızca işi için gereken veriye erişmesi.
• Erişim kayıtlarının tutulması ve düzenli incelenmesi.
• Saklama süresi dolan verilerin imha edilmesi; imha işleminin kayıt altına alınması.
• Veri işleyen tedarikçilerle yazılı sözleşme yapılması; yurt dışına aktarım varsa mevzuattaki aktarım yöntemlerinden birinin kullanılması.
• Veri ihlali durumunda Kurula ve ilgili kişilere bildirim yapılacak bir sürecin önceden tanımlanmış olması.

Nereden başlamak gerekir?

1. Hangi verileri, nerede, ne kadar süreyle tuttuğunuzu çıkarın. Envanter olmadan hiçbir metin doğru yazılamaz.
2. Her veri işleme faaliyeti için hukuki sebebi belirleyin; rıza gerçekten gerekli mi, karar verin.
3. Metinleri bu envantere göre hazırlatın; hazır şablonları olduğu gibi kullanmayın.
4. Çerez taraması yapın, üçüncü taraf kodları rıza durumuna bağlayın.
5. ETBİS ve İYS kayıtlarınızı kontrol edin.
6. Ödeme, iade ve ileti akışlarını uçtan uca test edin.
7. Metinleri ve süreçleri yılda en az bir kez, mevzuat değişikliklerini takip ederek gözden geçirin.

Uyum çalışmasını tek seferlik bir kurulum değil, sürekli bir bakım işi olarak planlamak gerekir. Sitenize eklenen her yeni araç, her yeni form ve her yeni kampanya akışı bu tabloyu değiştirir.