E-Ticarette KVKK: Aydınlatma Metni ve Açık Rıza Rehberi

Son güncelleme: 5 Haziran 2026

Bir e-ticaret sitesi açtığınız anda, farkında olun ya da olmayın, kişisel veri işleyen bir veri sorumlusu oldunuz: müşterinin adı, adresi, telefonu, sipariş geçmişi sizde duruyor. KVKK (Kişisel Verilerin Korunması Kanunu) bu durumda ne yapmanız gerektiğini söyler ve istedikleri, küçük bir işletme için bile yapılabilir şeylerdir — yeter ki ne istendiğini bilin.

Baştan söyleyelim: bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Metinlerinizi yayına almadan önce bir hukukçuya kontrol ettirmenizi öneririz.

E-ticaret sitesi hangi verileri işler

Tipik bir mağazanın işlediği veriler: kimlik ve iletişim (ad, telefon, e-posta), teslimat adresi, sipariş ve iade geçmişi, müşteri yazışmaları, site kullanımına dair çerez ve IP kayıtları. Ödeme kartı bilgisi çoğu kurulumda sizde değil, ödeme kuruluşunda tutulur — yine de akışın kimde olduğunu bilmek sizin sorumluluğunuzdur.

İlk pratik adım envanterdir: hangi veriyi, ne için, nerede tutuyorum? Bu tek soruya verdiğiniz cevap, aşağıdaki her şeyin hammaddesi.

Aydınlatma metni: KVKK'nın ilk istediği şey

Kanunun 10. maddesi, veri topladığınız kişiyi bilgilendirmenizi ister. Aydınlatma metni bu bilgilendirmenin yazılı hâlidir ve şunları açıkça söyler: veri sorumlusu olarak kim olduğunuz, hangi verileri hangi amaçla işlediğiniz, verileri kime ve neden aktardığınız (kargo firması, ödeme kuruluşu, muhasebe yazılımı…), veriyi hangi yöntemle ve hangi hukuki sebebe dayanarak topladığınız ve kişinin hakları.

Nerede gösterilir: üyelik formunda, sipariş adımında, iletişim formunda ve çerez bildiriminde — yani veri topladığınız her noktada erişilebilir bir linkle. Kritik ayrıntı: aydınlatma bir bilgilendirmedir, onaya bağlanmaz. "Aydınlatma metnini okudum, kabul ediyorum" kutusu kavramsal olarak yanlıştır; metin sunulur, kabul ettirilmez.

Açık rıza: ne zaman gerekir, ne zaman gerekmez

Her veri işleme rıza istemez. Siparişi teslim etmek için adres işlemek, sözleşmenin gereğidir; fatura kesmek yasal yükümlülüktür — bunlar için ayrıca rıza toplamazsınız.

Açık rıza, bu sebeplerin dışına çıktığınızda devreye girer ve e-ticarette en yaygın örneği pazarlamadır: müşteriye kampanya e-postası, SMS'i veya WhatsApp mesajı atmak istiyorsanız, bunun için özgürce verilmiş, ayrı bir onay gerekir. Üstelik ticari elektronik iletiler için bu onayın İYS'ye (İleti Yönetim Sistemi) kaydı da gündeme gelir.

Rızanın iki altın kuralı: önceden işaretli kutu rıza değildir, ve rıza alışverişin şartı yapılamaz ("kampanya onayı vermezsen üye olamazsın" geçersizdir).

En sık yapılan hata: ikisini tek kutuya sıkıştırmak

Üyelik formlarının klasiği şudur: "KVKK metnini okudum, kabul ediyorum ve kampanyalardan haberdar olmak istiyorum" — tek kutu. Bu kurgu iki şeyi birden bozar: aydınlatmayı onaya bağlar (gereksiz) ve pazarlama rızasını başka bir şeyin içine gömer (geçersiz olma riski).

Doğru kurgu basittir: aydınlatma metni form altında link olarak durur; pazarlama izni ise ayrı, boş, açık ifadeli bir kutudur: "Kampanya ve duyurulardan e-posta/SMS ile haberdar olmak istiyorum."

Müşterinin hakları ve sizin süreniz

Kanunun 11. maddesi müşteriye şu hakları verir: verisinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme, aktarıldığı tarafları öğrenme, itiraz etme. Pratikte bunun anlamı: "verilerimi silin" e-postası geldiğinde işleyecek bir kanalınız ve cevabınız olmalı. Başvurulara en geç otuz gün içinde yanıt vermek zorundasınız; talebi sessizce bekletmek başlı başına ihlaldir.

Bir de VERBİS var: belirli ölçütleri aşan veri sorumluları için sicil kaydı yükümlülüğü. Eşikler ve muafiyetler güncellenebildiği için işletmenizin kapsama girip girmediğini güncel kaynaktan veya hukukçunuzdan teyit edin.

Pratik kontrol listesi

1. Veri envanteriniz çıkarılmış mı (hangi veri, ne amaçla, nerede)?
2. Aydınlatma metni hazır ve veri toplanan her noktadan erişilebilir mi?
3. Pazarlama izni ayrı, boş ve açık ifadeli bir kutuda mı? İYS yükümlülüğünüz kontrol edildi mi?
4. Çerez bildirimi ve çerez aydınlatması var mı?
5. "Verimi sil/düzelt" taleplerinin geleceği bir kanal ve otuz günlük yanıt rutini var mı?
6. Kargo, ödeme, yazılım gibi veri aktardığınız taraflar aydınlatma metninde sayılı mı?
7. Metinler yayına girmeden bir hukukçu tarafından kontrol edildi mi?

Boş sayfadan aydınlatma metni yazmak gözünüzü korkutuyorsa: oxxoco'nun KVKK aracı, işletme bilgilerinizle kişiselleştirilmiş bir aydınlatma metni taslağı üretir. Taslak, başlangıç noktasıdır — yayınlamadan önce hukuki kontrol her zaman önerilir.