KVKK Uyumlu Web Sitesi — Çerez Bandı, Aydınlatma Metni ve Formlar

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), ad, telefon, e-posta veya IP adresi toplayan her web sitesini kapsıyor. Bir iletişim formu ve Google Analytics kullanan basit bir kurumsal site bile bu kapsamda. Bu yazı hukuki danışmanlık yerine geçmez; web sitesinin teknik tarafında yapılması gerekenleri anlatıyor.

Sitede Bulunması Gereken Metinler

Aydınlatma metni

Kanunun 10. maddesi, veri toplarken kişiyi bilgilendirmeyi zorunlu tutuyor. Metinde şunlar yer almalı:

• Veri sorumlusunun kimliği (şirket unvanı, adres)
• Verilerin hangi amaçla işlendiği
• Verilerin kimlere aktarılabileceği (hosting firması, e-posta servisi, analiz araçları)
• Toplama yöntemi ve hukuki sebebi
• İlgili kişinin hakları (11. madde)

Çerez politikası

Hangi çerezlerin kullanıldığını, ne kadar süre saklandığını ve amacını listeleyen ayrı bir sayfa. Zorunlu çerezler (oturum, sepet) ile analiz ve pazarlama çerezleri ayrı gruplarda gösterilmeli.

Çerez Bandı Nasıl Çalışmalı?

Kişisel Verileri Koruma Kurumu'nun çerez rehberine göre zorunlu olmayan çerezler için açık rıza gerekiyor. Pratikte bunun anlamı:

• Analiz ve reklam çerezleri onaydan önce yüklenmemeli. Google Analytics veya Meta Pixel kodu, kullanıcı "Kabul et" demeden çalışıyorsa bant sadece görüntüden ibaret.
• "Kabul et" ile "Reddet" aynı görünürlükte olmalı. Reddet seçeneğini küçük gri bir linke saklamak rızayı geçersiz kılabilir.
• Kullanıcı tercihini sonradan değiştirebilmeli (footer'da "Çerez ayarları" linki).

Teknik olarak bu, analiz scriptlerinin rıza durumuna göre koşullu yüklenmesi demek. Google'ın Consent Mode yapısı bunu destekliyor.

Formlarda Dikkat Edilecekler

• Form altında aydınlatma metnine link olmalı.
• Pazarlama e-postası veya SMS gönderecekseniz ayrı, önceden işaretlenmemiş bir onay kutusu gerekiyor. Ticari elektronik ileti için İYS (İleti Yönetim Sistemi) kaydı da ayrıca gerekli.
• Sadece gerçekten ihtiyaç duyduğunuz alanları isteyin. Teklif formunda T.C. kimlik numarası istemek gereksiz veri toplamaktır.
• Form verileri HTTPS üzerinden gönderilmeli ve e-postaya düz metin olarak gidiyorsa bunun riskleri değerlendirilmeli.

Sık Yapılan Hatalar

1. Başka bir siteden kopyalanmış, şirket adı bile değiştirilmemiş aydınlatma metni.
2. Çerez bandı var ama Analytics sayfa açılır açılmaz yükleniyor.
3. Yurt dışı sunuculara (Google, Meta, e-posta servisleri) veri aktarımından hiç bahsedilmemesi.
4. Form verilerinin süresiz saklanması.

VERBİS Kaydı Gerekli mi?

Veri Sorumluları Sicili (VERBİS) kaydı, Kurul'un belirlediği çalışan sayısı ve yıllık bilanço eşiklerini aşan şirketler ile ana faaliyeti özel nitelikli veri işlemek olanlar için zorunlu. Eşikler değişebildiği için güncel durumu Kurum'un sitesinden veya hukuk danışmanınızdan teyit edin.

Safindra olarak geliştirdiğimiz sitelerde çerez bandını rızaya bağlı script yüklemesiyle kuruyor, aydınlatma ve gizlilik sayfalarının şablonunu hazırlıyoruz. Metinlerin son kontrolünü hukuk danışmanınızın yapmasını öneriyoruz. Kurumsal web sitesi paketlerimizi inceleyebilirsiniz.