KVKK Uyumlu E-Ticaret Sitesi Kontrol Listesi: 15 Maddede Temel Yükümlülükler

Bir e-ticaret sitesi; üyelik, sipariş, ödeme, teslimat ve pazarlama süreçlerinde sürekli kişisel veri işler. Ad, soyad, adres, telefon, e-posta ve sipariş geçmişi bu verilerin yalnızca bir kısmıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyen herkese belirli yükümlülükler getirir.

Çerez onayı ve aydınlatma metni konusunu KVKK, e-ticaret, çerez onayı ve aydınlatma metni yazımızda ayrıntılı ele aldık. Bu yazı ise daha geniş kapsamlı, maddeler halinde bir kontrol listesi sunuyor.

> Önemli not: Bu kontrol listesi genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. KVKK uygulaması işletmenin faaliyetine, işlediği verilere ve kullandığı hizmet sağlayıcılara göre farklılık gösterir. Kişisel Verileri Koruma Kurumu'nun (kvkk.gov.tr) güncel düzenlemelerini takip edin ve uyum çalışmanızı bir hukukçuyla birlikte yürütün.

A. Veri envanteri ve hukuki dayanak

1. Hangi verileri işlediğinizi listeleyin

Üyelik formu, sipariş formu, iletişim formu, bülten aboneliği, müşteri hizmetleri kayıtları, çerezler ve analitik araçlar üzerinden hangi verileri topladığınızı çıkarın. Her veri kategorisi için amacını, kimden toplandığını ve kimlerle paylaşıldığını not edin.

2. Her işleme için hukuki dayanak belirleyin

KVKK, kişisel verilerin belirli işleme şartlarından birine dayanmasını öngörür. Örneğin sipariş teslimatı için adres bilgisinin işlenmesi sözleşmenin ifası kapsamında değerlendirilebilirken, pazarlama amaçlı bazı işlemler için açık rıza gerekebilir. Her süreç için doğru dayanağın hangisi olduğunu hukukçunuzla belirleyin.

3. Gereğinden fazla veri toplamayın

Veri minimizasyonu ilkesi gereği yalnızca amaç için gerekli olan veriyi isteyin. Örneğin sipariş için doğum tarihi gerçekten gerekli mi? Kullanılmayan form alanlarını kaldırın.

B. Bilgilendirme ve rıza

4. Aydınlatma metni

Kişisel verilerin toplandığı her noktada (üyelik, sipariş, iletişim formu) ilgili kişiye aydınlatma metnine ulaşma imkânı sunulmalıdır. Metin; veri sorumlusunun kimliğini, işleme amaçlarını, aktarılan tarafları, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını içermelidir.

5. Açık rızanın ayrı alınması

Açık rıza gereken durumlarda rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Açık rıza metni aydınlatma metniyle aynı onay kutusunda birleştirilmemeli; sipariş verilmesi pazarlama iznine bağlanmamalıdır.

6. Çerez yönetimi

Zorunlu çerezler dışındaki analitik ve pazarlama çerezleri için kullanıcıya tercih imkânı sunun. Çerez paneli; çerezleri kabul etme, reddetme ve kategori bazında seçme seçeneklerini açıkça göstermelidir. Kurum'un çerez uygulamalarına ilişkin rehberini inceleyin.

7. Ticari elektronik ileti izni

E-posta ve SMS ile kampanya gönderimi, KVKK'nın yanında 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik kapsamındadır. Ticari ileti onaylarının İleti Yönetim Sistemi (İYS) ile uyumlu yönetilmesi gerekir.

C. Aktarım ve hizmet sağlayıcılar

8. Veri aktardığınız tarafları listeleyin

E-ticarette veriler pek çok tarafa aktarılır: kargo firmaları, ödeme kuruluşları, e-fatura entegratörleri, barındırma sağlayıcısı, e-posta ve SMS hizmetleri, pazaryerleri, analitik araçları. Her biri için aktarımın amacını ve dayanağını belirleyin.

9. Veri işleyen sözleşmeleri

Sizin adınıza veri işleyen hizmet sağlayıcılarla, veri güvenliğine ilişkin yükümlülükleri içeren sözleşmeler yapın.

10. Yurt dışına aktarım

Sunucuları veya hizmetleri yurt dışında bulunan araçlar kullanıyorsanız (bulut barındırma, e-posta pazarlama, analitik), bu durum yurt dışına aktarım kapsamında değerlendirilebilir. Yurt dışına aktarıma ilişkin hükümler 2024 yılında değişikliğe uğramıştır; güncel aktarım mekanizmalarını (ör. standart sözleşmeler) hukukçunuzla değerlendirin.

D. Güvenlik ve saklama

11. Teknik ve idari tedbirler

Asgari olarak şunları kontrol edin:

• Sitenin tamamı HTTPS ile sunuluyor mu?
• Yönetim paneline erişimde güçlü parola ve iki adımlı doğrulama var mı?
• Çalışanlar yalnızca işleri için gereken verilere erişebiliyor mu?
• Kart bilgileri sizin sunucunuzda saklanıyor mu? (Saklanmamalı; ortak ödeme sayfası kullanımı bu riski azaltır.)
• Düzenli yedek alınıyor ve yedeklerin geri yüklenebildiği test ediliyor mu?
• Yazılım ve eklentiler güncel tutuluyor mu?

12. Saklama ve imha politikası

Verilerin ne kadar süre saklanacağını belirleyin. Vergi ve ticaret mevzuatı bazı kayıtların belirli süre saklanmasını gerektirir; bu süreler dolduktan sonra veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. Uzun süredir pasif olan üyelik hesaplarını nasıl ele alacağınızı da tanımlayın.

E. İlgili kişi hakları ve ihlal yönetimi

13. Başvuru kanalı

Müşterilerin verilerine erişim, düzeltme, silme gibi haklarını kullanabilecekleri bir başvuru kanalı oluşturun. KVKK'ya göre başvurular en geç otuz gün içinde sonuçlandırılmalıdır. Başvuruları kayıt altına alın.

14. Veri ihlali müdahale planı

Bir veri ihlali durumunda kimin ne yapacağını önceden belirleyin. Kurul kararına göre ihlalin Kurul'a, öğrenildiği andan itibaren en kısa sürede ve en geç 72 saat içinde bildirilmesi; etkilenen kişilere de makul sürede bilgi verilmesi beklenir.

15. VERBİS kaydı

Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü, Kurul kararlarıyla belirlenen çalışan sayısı, mali bilanço eşikleri ve istisnalara göre değişir. İşletmenizin kayıt yükümlüsü olup olmadığını güncel Kurul kararları çerçevesinde değerlendirin.

Uyum bir kerelik değil, süreklidir

Yeni bir form alanı, yeni bir pazarlama aracı veya yeni bir kargo firması eklediğinizde KVKK değerlendirmesini tekrar yapın. Yılda en az bir kez bu kontrol listesini baştan sona gözden geçirmek iyi bir pratiktir.

Pazaryeri satıcıları için ek not

Yalnızca pazaryerlerinde satış yapıyor olsanız bile, siparişle birlikte size iletilen müşteri adı, adresi ve telefon bilgisi kişisel veridir. Bu verileri yalnızca siparişin teslimi, faturalandırma ve müşteri hizmetleri gibi amaçlarla kullanın. Pazaryeri müşterilerinin bilgilerini izinsiz olarak kendi pazarlama listelerinize eklemek hem KVKK hem de pazaryeri kuralları açısından risklidir. Kargo etiketleri ve sipariş çıktıları gibi fiziksel belgelerin de güvenli şekilde saklanması ve süresi dolduğunda imha edilmesi gerekir.

Özet

• Önce veri envanterini çıkarın; her işleme için amaç ve hukuki dayanağı belirleyin.
• Aydınlatma metnini her veri toplama noktasında sunun; açık rızayı ayrı ve özgür iradeyle alın.
• Hizmet sağlayıcılarla veri işleme sözleşmeleri yapın ve yurt dışı aktarımları değerlendirin.
• Güvenlik tedbirlerini, saklama sürelerini, başvuru ve ihlal süreçlerini yazılı hale getirin.

Tuvisoft ile güvenli altyapı

Tuvisoft Hazır E-Ticaret Altyapısı, kart ödemelerini PayTR iFrame ödeme sayfası (kart bilgisi sizin sayfanızda girilmez) veya QNB Bank Sanal POS 3D Secure akışıyla almanıza imkân tanır; böylece kart bilgilerini kendi sunucunuzda saklamanız gerekmez. Aydınlatma metni, çerez politikası ve mesafeli satış sözleşmesi gibi metinlerin içeriğini ise işletmenize özel olarak bir hukukçuyla hazırlamanızı öneririz.

Altyapıyı incelemek için ücretsiz demo talep edebilirsiniz.