E-Ticaret Siteniz İçin KVKK Uyumu: Adım Adım Yapmanız Gerekenler (2025)

Önemli Not: Bu yazı teknik ve operasyonel bir kontrol rehberidir; hukuki danışmanlık yerine geçmez. İşletmenizin veri işleme faaliyetlerini ve metinlerini bir hukuk uzmanıyla değerlendirin.

KVKK e-ticaret uyumu, sitenize birkaç onay kutusu eklemekten ibaret değildir. Hangi verileri topladığınızı, neden işlediğinizi, kimlerle paylaştığınızı ve müşteri taleplerini nasıl yöneteceğinizi açıkça belirlemelisiniz.

Checkout sayfasında müşterinin adı, telefon numarası, teslimat adresi ve ödeme işlemine ilişkin bilgiler toplanır. Ardından kargo firması, ödeme altyapısı, analitik araçları ve e-posta sistemleri devreye girer. Çoğu zaman sorun veri toplamak değildir. Sorun, verinin bu sistemler arasında nasıl dolaştığının görünmemesidir.

E-ticaret siteleri çoğu zaman hazır tema ve eklentilerin varsayılan ayarlarıyla çalışır. Footer’da genel bir gizlilik bağlantısı bulunur, takip kodları otomatik çalışır ve pazarlama kutuları önceden işaretli gelir. Bu yapı, müşteriye verilerinin ne olduğuna dair yeterli bilgi vermeyebilir.

Bu rehber, e-ticaret sitenizdeki temel KVKK belgelerini, checkout akışını, çerez yönetimini ve iç kayıtları düzenlemek için pratik bir çerçeve sunar.

Öne Çıkanlar

• KVKK e-ticaret uyumu, yalnızca gizlilik politikası yayınlamak değil; veri toplama, paylaşma ve silme süreçlerini birlikte yönetmektir.
• Sipariş için gerekli veri işleme ile pazarlama amacıyla alınan onay aynı akışta ve aynı amaçla ele alınmamalıdır.
• Aydınlatma metni, çerez politikası ve gizlilik politikası müşterinin kolay erişebileceği noktalarda yer almalıdır.
• Çerez bandı, zorunlu çerezlerle analitik ve pazarlama çerezlerini ayırabilmelidir.
• Veri işleme envanteri, sitenizdeki uygulama ve entegrasyonların kontrol altında kalmasını sağlar.

KVKK E-Ticaret Sitelerini Neden Doğrudan İlgilendirir?

E-ticaret sitesi müşteri verisi olmadan çalışmaz. Siparişi teslim etmek için ad, adres ve iletişim bilgileri gerekir. İade işlemleri, müşteri hesapları, destek talepleri, fatura kayıtları ve kampanya iletişimleri bu veri akışını genişletir.

KVKK’ya göre kişisel veri, bir kişiyi doğrudan veya dolaylı biçimde belirlenebilir kılan bilgidir. E-ticarette bu kapsam, yalnızca üyelik formunda girilen bilgilerle sınırlı değildir.

Sitenizde şu veriler işlenebilir:

• Ad, soyad, telefon numarası ve e-posta adresi: Üyelik, sipariş, destek ve teslimat süreçlerinde kullanılır.
• Teslimat ve fatura adresi: Kargo ve faturalama için gereklidir.
• Sipariş geçmişi: İade, müşteri hizmetleri ve satış sonrası işlemlerde kullanılır.
• IP adresi ve çerez verileri: Güvenlik, oturum yönetimi, ölçümleme ve reklam faaliyetlerinde işlenebilir.
• Ödeme süreci bilgileri: Ödeme altyapısına aktarılan veya siparişle ilişkilendirilen bilgiler bu sürecin parçasıdır.
• Pazarlama tercihleri: E-posta, SMS veya diğer ticari iletişim izinleri ayrı bir kayıt ve yönetim konusu oluşturur.

Küçük bir mağaza olmanız temel sorumlulukları ortadan kaldırmaz. Sipariş sayınız düşük olsa bile müşteri verisinin nereden geldiğini, hangi amaçla kullanıldığını ve hangi sistemlere aktarıldığını bilmelisiniz.

Asıl mesele: Veri toplamak değil, amacı açıklamak

Müşteri sipariş verirken teslimat adresini paylaşır. Bu bilgi, siparişi göndermek için gereklidir. Aynı müşterinin e-posta adresini sonraki kampanyalarda kullanmak ise ayrı bir amaçtır.

E-ticaret sitelerinde en sık karıştırılan konulardan biri budur. Her veri işleme faaliyeti aynı gerekçeye dayanmaz. Bu nedenle checkout metinleri, pazarlama tercihleri ve çerez seçenekleri tek bir genel onay cümlesine sıkıştırılmamalıdır.

Kısa kural: Sipariş için gerekli olan akış ile isteğe bağlı pazarlama ve takip faaliyetlerini ayrı tasarlayın.

E-Ticaret Sitenizde Bulunması Gereken Temel Metinler ve Kayıtlar

Tek bir belge KVKK uyumu sağlamaz. Müşterinin gördüğü metinler ile işletmenin tuttuğu iç kayıtlar birbiriyle tutarlı olmalıdır.

Aşağıdaki kontrol listesi, sitenizdeki mevcut yapıyı incelemek için iyi bir başlangıçtır.

Belge veya uygulama	Ne işe yarar?	Nerede bulunmalı?
Aydınlatma metni	Veri işleme faaliyetlerini müşteriye açıklar	Form, üyelik ve checkout akışına yakın konumda
Gizlilik politikası	Veri işleme yaklaşımını daha geniş biçimde açıklar	Footer’dan erişilebilir kalıcı sayfada
Çerez politikası	Çerez türlerini, amaçlarını ve yönetimini açıklar	Çerez bandından ve footer’dan erişilebilir
Çerez tercih yönetimi	Zorunlu olmayan çerezler için tercih sunar	İlk ziyaret anında görünür alanda
Pazarlama izin kaydı	Ticari iletişim tercihlerini kayıt altında tutar	Üyelik, checkout veya ilgili form akışında
Veri işleme envanteri	Verilerin nerede, neden ve kimlerle işlendiğini iç kayıtta gösterir	İşletmenin iç dokümantasyonunda
Veri talep süreci	Erişim, düzeltme veya silme taleplerini yönetir	Gizlilik metninde açık iletişim kanalıyla

Aydınlatma metni: Müşteri ne olduğunu görmeli

Aydınlatma metni, müşteriye hangi verilerin işlendiğini anlatır. Amaç uzun ve anlaşılması güç hukuk metinleri yazmak değildir. Müşteri şu temel soruların yanıtını bulabilmelidir:

• Veri sorumlusu kimdir?
• Hangi veriler toplanır?
• Veriler hangi amaçla işlenir?
• Veriler kimlerle paylaşılabilir?
• Müşteri hangi haklara sahiptir?
• Başvuru veya talep için hangi kanalı kullanabilir?

Bu metin yalnızca footer’da bulunmamalıdır. Üyelik formu, iletişim formu ve checkout gibi veri topladığınız alanlarda ilgili bağlantı görünür olmalıdır.

Özellikle checkout sayfasında müşteri işlemi tamamlarken metne erişebilmelidir. Kullanıcıyı sayfanın en altına gönderen görünmez bağlantılar iyi bir deneyim sağlamaz.

Gizlilik politikası: Genel çerçeve için kalıcı sayfa

Gizlilik politikası, sitenizin veri işleme yaklaşımını daha geniş kapsamda açıklar. Kargo, ödeme, müşteri hizmetleri, analitik ve pazarlama araçlarının veri akışındaki yerini bu metinde düzenleyebilirsiniz.

Aydınlatma metni ile gizlilik politikası bazı bilgileri ortak içerir. Ancak işlevleri aynı değildir. Aydınlatma metni, veri toplandığı anda kullanıcıyı bilgilendirir. Gizlilik politikası ise sitenin genel yaklaşımını açıklar.

Metinleriniz güncel değilse onları sadece yayımlanmış metinler olarak görmeyin. Yeni bir ödeme altyapısı, kargo entegrasyonu veya e-posta aracı eklediğinizde veri akışınız da değişir.

Checkout Sayfasında KVKK Akışı Nasıl Kurulmalı?

Checkout, e-ticaret sitenizin en hassas sayfalarından biridir. Kullanıcı burada sipariş verir, adresini paylaşır ve ödeme adımına geçer. Gereksiz alanlar dönüşümü düşürebilir. Eksik veya belirsiz metinler de güveni zedeler.

İyi bir checkout akışı, müşterinin siparişi tamamlamasını ve hangi onayları verdiğini anlamasını sağlar.

Sipariş verisi ile pazarlama iznini ayırın

Siparişin hazırlanması, kargoya verilmesi ve müşteriye ulaştırılması için bazı veriler gerekir. Bu süreci kampanya e-postası veya reklam hedeflemesiyle aynı onay kutusunda birleştirmeyin.

Pazarlama amacıyla iletişim kuracaksanız ayrı ve isteğe bağlı bir tercih alanı oluşturun. Kutular önceden işaretlenmemelidir. Kullanıcı, sipariş vermek için pazarlama iletişimini kabul etmek zorunda kalmamalıdır.

Checkout’ta şu unsurlar açıkça görünmelidir:

• Aydınlatma metnine erişim
• Mesafeli satış ve diğer satış koşullarına erişim
• Pazarlama iletişimi için ayrı, isteğe bağlı tercih
• Siparişin hangi aşamada tamamlandığını gösteren açık akış
• Gereksiz veri alanlarından arındırılmış form yapısı

Mesafeli satış sözleşmesi ile KVKK metinleri aynı anlama gelmez. Biri satış ilişkisinin şartlarını düzenler, diğeri kişisel verilerin işlenmesini açıklar. Aynı sayfada ikisine de bağlantı verebilirsiniz, ancak işlevlerini birbirine karıştırmayın.

Önceden işaretlenmiş kutular neden sorun çıkarır?

Önceden seçilmiş bir pazarlama kutusu, kullanıcının gerçek tercihini anlamayı zorlaştırır. Müşteri siparişi hızla tamamlarken bu tercihi fark etmeyebilir.

Bu yalnızca hukuki bir mesele değildir. İzin vermediğini düşünen bir müşteriye kampanya e-postası göndermek marka güvenini de düşürür. Listeniz kısa vadede büyür. Sonrasında şikâyetler, abonelikten çıkışlar ve düşük etkileşim artar.

E-posta veya SMS listesi sadece bir sayı değildir. İletişim almak isteyen müşteriler daha değerlidir.

Çerez Politikası ve Çerez Bandı Bir Tasarım Detayı Değildir

Çerez bandı, çoğu sitede ekranın altında görünen küçük bir kutu gibi değerlendirilir. Oysa bu kutu, sitenizin analitik ve reklam araçlarıyla ilişkisini doğrudan etkiler.

Google Analytics, reklam pikselleri veya yeniden pazarlama araçları kullanıyorsanız çerezler üzerinden veri işleme faaliyeti oluşabilir. Zorunlu çerezleri, analitik ve pazarlama çerezleriyle aynı grupta göstermeyin.

Çerez bandında hangi seçenekler olmalı?

Kullanıcıya yalnızca “Kabul et” seçeneğini sunmak yeterli değildir. Kullanıcı, zorunlu olmayan çerezleri reddedebilmeli veya bunları kategori bazında yönetebilmelidir.

Çerez yönetiminde en azından şu ayrım bulunmalıdır:

• Zorunlu çerezler: Oturum, sepet, güvenlik veya temel site işlevleri için kullanılır.
• Analitik çerezler: Ziyaretçilerin siteyi nasıl kullandığını ölçmeye yöneliktir.
• Pazarlama çerezleri: Reklam hedefleme, yeniden pazarlama veya kampanya ölçümleme için kullanılabilir.

Çerez politikanız, bu kategorilerin amacını ve kullanıcının tercihini nasıl değiştireceğini açıklamalıdır. Çerez bandındaki “Yönet” seçeneği çalışmıyorsa, sadece bir tasarım öğesidir.

Takip araçlarını envantere ekleyin

Birçok e-ticaret sitesi hangi takip araçlarının çalıştığını tam olarak bilmez. Tema, eklenti, reklam hesabı veya ajans kurulumu üzerinden eklenen kodlar zamanla birikir.

Kontrole şu alanlardan başlayın:

• Tema dosyaları ve özel kod alanları
• Etiket yöneticileri
• Analitik araçları
• Reklam pikselleri
• Canlı destek yazılımları
• E-posta pazarlama araçları
• Isı haritası ve oturum kaydı araçları
• Sosyal medya entegrasyonları

Amaç her aracı kaldırmak değildir. Hangi aracın ne yaptığını bilmeden veri işleme metni hazırlamamalısınız.

Veri İşleme Envanteri: Sitenizde Ne Çalıştığını Bilin

Veri işleme envanteri, müşterinin görmediği ancak işletmenin tutması gereken bir kayıttır. E-ticaret operasyonunuzun haritası gibi çalışır.

Bir müşteri verisinin sitenize girdiği andan çıktığı ana kadar geçtiği sistemleri yazılı hale getirirsiniz. Yeni bir araç eklendiğinde veya bir talep geldiğinde, nereden başlayacağınızı böylece bilirsiniz.

Başlangıç için basit bir tablo yeterlidir:

Veri kategorisi	İşleme amacı	Saklama yaklaşımı	Paylaşılan taraflar
İletişim bilgileri	Sipariş ve müşteri hizmetleri	İş sürecine ve ilgili yükümlülüklere göre	Kargo, müşteri hizmetleri
Teslimat bilgileri	Ürün gönderimi	Teslimat ve satış sonrası süreçlere göre	Kargo firması
Sipariş bilgileri	Sipariş yönetimi, iade ve destek	İlgili kayıt süreçlerine göre	Ödeme ve operasyon sistemleri
Pazarlama tercihleri	İzinli ticari iletişim	Tercih geçerli olduğu sürece	E-posta veya iletişim aracı
Çerez verileri	Site işlevi, ölçümleme veya reklam	Çerez türüne göre	Analitik ve reklam araçları

Bu tabloyu bir kez hazırlayıp bırakmayın. Sitenize yeni bir uygulama eklediğinizde, örneğin farklı bir canlı destek aracı veya pazarlama otomasyonu kurduğunuzda, envanteri de güncelleyin.

Veri envanteri, hukuk belgesinden önce operasyon belgesidir. Sitenizde ne olduğunu bilmeyen işletme, müşteriye ne yaptığını açık biçimde anlatamaz.

Veri Silme ve Başvuru Talepleri İçin Süreç Kurun

Müşteriler verileri hakkında bilgi isteyebilir, düzeltme talep edebilir veya silme başvurusu yapabilir. Bu talepler için yalnızca bir e-posta adresi vermek yeterli değildir. Talep geldiğinde kimin ilgileneceği, hangi sistemlerin inceleneceği ve kayıtların nasıl tutulacağı belirlenmelidir.

İyi bir süreç şu soruları yanıtlar:

1. Talep hangi kanaldan alınacak?
2. Talepte bulunan kişinin kimliği nasıl doğrulanacak?
3. Hangi sistemlerde veri aranacak?
4. Silinmesi mümkün olmayan veya saklanması gereken kayıtlar nasıl ayrılacak?
5. Verilen yanıt nasıl kayıt altına alınacak?

Örneğin müşterinin hesabını silmek istemesi, siparişle ilgili tüm kayıtların hemen ve koşulsuz silineceği anlamına gelmeyebilir. Sipariş, fatura, iade veya yasal kayıt süreçleri ayrı değerlendirme gerektirebilir. Her talepte aynı teknik işlemi uygulamak yerine işletmenize uygun yazılı bir prosedür hazırlayın.

Bu süreci müşteri hizmetlerinden ayrı düşünmeyin. Destek ekibi, gelen talebin sıradan bir sipariş sorusu mu yoksa kişisel veri başvurusu mu olduğunu ayırt edebilmelidir.

VERBİS Kaydını Ayrı Bir Kontrol Konusu Olarak Ele Alın

VERBİS, veri sorumlularının kayıt yükümlülüğünün değerlendirildiği ayrı bir konudur. Her e-ticaret işletmesi için aynı sonucu doğurmaz.

Yaygın hata şudur: VERBİS kaydından muaf olduğunu düşünen işletmeler, diğer KVKK sorumluluklarının da ortadan kalktığını varsayar. Bu doğru değildir.

VERBİS durumunuzu değerlendirirken şunları birlikte kontrol edin:

• İşletmenin çalışan sayısı
• Mali ölçütler
• Veri işleme faaliyetlerinin niteliği
• Güncel istisna ve yükümlülükler
• Sektörel veya özel durumlar

Bu değerlendirmeyi tahmine bırakmayın. İşletmenizin güncel yapısına göre bir hukuk uzmanından görüş alın. E-ticaret altyapısı kurmak teknik bir iştir. Yükümlülüklerin kapsamını belirlemek ise ayrı bir hukuki değerlendirme gerektirir.

KVKK E-Ticaret Kontrol Listesi

Sitenizi incelemek için aşağıdaki listeyi kullanın:

1. Üyelik, iletişim ve checkout formlarındaki veri alanlarını listeleyin.
2. Her veri alanının neden gerektiğini yazın.
3. Aydınlatma metninin form ve checkout yakınında erişilebilir olduğunu kontrol edin.
4. Gizlilik politikasının footer’dan her sayfada erişilebilir olduğundan emin olun.
5. Sipariş için gerekli akış ile pazarlama iznini ayrı tutun.
6. Pazarlama tercih kutularının isteğe bağlı ve önceden işaretlenmemiş olduğunu kontrol edin.
7. Çerez bandında kabul, reddetme ve tercih yönetimi seçeneklerini test edin.
8. Analitik, reklam, canlı destek ve e-posta araçlarını veri envanterine ekleyin.
9. Kargo ve ödeme altyapılarıyla paylaşılan verileri açıkça listeleyin.
10. Veri silme, düzeltme ve başvuru talepleri için sorumlu kişi ve süreç belirleyin.
11. VERBİS durumunuzu güncel koşullara göre değerlendirin.
12. Yeni eklenti, uygulama veya entegrasyon kurulduğunda metinleri ve envanteri güncelleyin.

Bu kontrol listesi eksiklerinizi görmenize yardımcı olur. Ancak metinleri kopyalayıp yayımlamak, sitenizi kendiliğinden uyumlu hale getirmez. Sitenizdeki gerçek veri akışı ile yazdığınız metinler aynı olmalıdır.

Sık Sorulan Sorular

KVKK uyumu için gizlilik politikası tek başına yeterli mi?

Hayır. Gizlilik politikası önemli bir metindir, ancak tüm süreci tek başına çözmez. Veri toplama noktalarındaki aydınlatma, çerez tercihleri, pazarlama izinleri ve iç veri envanteri birlikte ele alınmalıdır.

Checkout sayfasında hangi metinler yer almalı?

Checkout sayfasında müşteri, aydınlatma metnine ve satış koşullarına erişebilmelidir. Pazarlama iletişimi için bir tercih sunuluyorsa, bu tercih sipariş sürecinden ayrı ve isteğe bağlı olmalıdır.

Pazarlama onayı sipariş için zorunlu tutulabilir mi?

Pazarlama iletişimi, siparişin tamamlanması için zorunlu bir şart olmamalıdır. Siparişin yürütülmesi ile kampanya iletişimi farklı amaçlara dayanır.

Çerez bandında yalnızca kabul seçeneği bulunabilir mi?

Çerez bandı, kullanıcının tercih yapmasına izin vermelidir. Zorunlu olmayan analitik ve pazarlama çerezleri için reddetme veya yönetme seçeneği görünür olmalıdır.

Veri işleme envanteri müşterilere açık mı olmalı?

Veri işleme envanteri işletmenin iç kaydıdır. Ancak bu kayıttaki veri işleme faaliyetleri, müşteriye sunulan aydınlatma ve gizlilik metinleriyle tutarlı olmalıdır.

KVKK metinleri ne zaman güncellenmeli?

Yeni bir ödeme altyapısı, kargo firması, analitik aracı, reklam pikseli veya pazarlama uygulaması eklendiğinde veri akışı değişebilir. Bu durumda ilgili metinleri ve iç kayıtları gözden geçirin.

KVKK Uyumu, Mağaza Kurulumundan Ayrı Düşünülmemeli

KVKK uyumu, sonradan footer’a eklenen bir sayfa değildir. Üyelik formundan checkout’a, ödeme akışından çerez tercihlerine kadar mağazanın nasıl kurulduğuyla ilgilidir.

Hazır tema, rastgele eklentiler ve kontrol edilmemiş takip kodları ilk gün hızlı çözüm gibi görünür. Sonrasında hangi verinin nerede işlendiğini kimse açıklayamaz. Teknik kurulumu ve hukuki metinleri aynı veri akışı üzerinden değerlendirmek gerekir.