Dijital pazarlamanın neredeyse tamamı kişisel veri işler: iletişim formu, çerezler, reklam pikselleri, e-posta listesi, WhatsApp sohbetleri. Bu yüzden KVKK, pazarlama tarafını doğrudan ilgilendiren bir konudur.
Bu yazı hukuki danışmanlık değil, işletme sahibinin sitesinde ve pazarlama akışında ne bulunması gerektiğini gösteren pratik bir kontrol listesidir. Kendi durumunuz için hukuk danışmanınızla görüşmeniz gerekir.
Sitede bulunması gereken metinler
Aydınlatma metni: Hangi verileri, hangi amaçla, hangi hukuki sebebe dayanarak topladığınızı ve ne kadar süre sakladığınızı anlatır. Form doldurulmadan önce erişilebilir olmalıdır.
Çerez politikası: Sitede hangi çerezlerin kullanıldığını ve ne işe yaradığını açıklar. Zorunlu, analitik ve pazarlama çerezleri ayrı ayrı belirtilmelidir.
Gizlilik politikası: Verilerin nasıl korunduğu, kimlerle paylaşıldığı ve ilgili kişinin haklarını nasıl kullanacağı.
Açık rıza metinleri: Ticari elektronik ileti gönderimi ve pazarlama amaçlı veri işleme için ayrı ayrı alınan onaylar.
İnternetten kopyalamanın riski
Bu metinleri başka bir siteden almak yaygın bir alışkanlıktır ama risklidir. Metin sizin gerçekten topladığınız verileri ve kullandığınız araçları anlatmıyorsa hem koruma sağlamaz hem uyumsuzluk yaratır.
Çerez onayı nasıl olmalı?
Çerez bandı koymak tek başına yeterli değildir; nasıl çalıştığı belirleyicidir.
Onay öncesi çalışmamalı: Analitik ve pazarlama çerezleri, kullanıcı onay vermeden yüklenmemelidir. Çoğu sitede band görünür ama pikseller zaten çalışmaktadır; bu, bandın hiç olmamasıyla aynı kapıya çıkar.
Reddetmek kabul etmek kadar kolay olmalı: "Kabul et" butonu büyük ve renkli, "reddet" seçeneği ise gizli bir alt menüde olduğunda onayın geçerliliği tartışmalı hale gelir.
Kategori bazında seçim: Kullanıcı analitik çerezlere izin verip pazarlama çerezlerini reddedebilmelidir.
Kararın değiştirilebilmesi: Sitede her zaman erişilebilir bir çerez ayarları bağlantısı bulunmalıdır.
Ölçüme etkisi
Doğru kurulmuş bir onay sistemi, ölçüm verisinde bir miktar kayba yol açar; reddeden kullanıcılar analitikte görünmez. Bu kayıp normaldir ve uyumun bedelidir. Kaybı azaltmak için sunucu tarafı ölçüm kullanılabilir ama bu da rızayı ortadan kaldırmaz.
Formlar
İletişim ve teklif formlarında dikkat edilecekler nettir.
Yalnızca gerçekten gerekli veriler istenmelidir; kullanılmayacak bir bilgiyi toplamak hem uyumsuzluktur hem gereksiz risktir. Onay kutusu önceden işaretli gelmemeli, aydınlatma metnine bağlantı bulunmalı ve ticari ileti izni ayrı bir kutu olmalıdır.
Formdan gelen verilerin nereye gittiği de önemlidir: e-posta kutusuna düşen bir talep de saklanan kişisel veridir ve saklama süresi tanımlanmalıdır.
Reklam pikselleri
Meta ve Google pikselleri kullanıcı davranışını izler ve kişisel veri işler. Bunların çerez politikasında adıyla belirtilmesi ve onaya bağlanması gerekir.
Özel kitle yüklemeleri de dikkat gerektirir: müşteri e-posta listesini reklam platformuna yüklemek bir veri aktarımıdır ve bunun için uygun hukuki dayanağın bulunması gerekir.
Hassas veri uyarısı
Sağlık, estetik ve benzeri alanlarda işlenen veriler özel nitelikli kişisel veri kapsamına girebilir ve çok daha sıkı kurallara tabidir. Bu sektörlerde piksel ve form kurulumu yapılmadan önce mutlaka hukuki görüş alınmalıdır.
Ticari elektronik ileti
E-posta ve SMS gönderimi ayrı bir düzenlemeye tabidir ve açık rıza gerektirir. Uyumlu bir akışta bulunması gerekenler: önceden işaretlenmemiş onay kutusu, izinlerin kayıt altına alınması, her iletide kolay çıkış imkânı ve çıkış taleplerinin hızla işleme alınması.
Mevcut müşterilere kendi aldıkları hizmetle ilgili bilgilendirme yapmak farklı değerlendirilebilir; ancak pazarlama içerikli gönderim için rıza aranır.
Veri güvenliği tarafı
KVKK yalnızca metin ve onay meselesi değildir; topladığınız veriyi korumakla da yükümlüsünüz. Küçük işletmelerde en sık rastlanan açıklar teknik değil, alışkanlıkla ilgilidir.
Paylaşılan hesaplar: Aynı e-posta ve şifreyle birden fazla kişinin panele girmesi, bir sızıntı durumunda kimin ne yaptığını izlenemez kılar. Her kullanıcının kendi hesabı olmalıdır.
Ayrılan çalışanın erişimi: İşten ayrılan kişinin panel, e-posta ve reklam hesabı erişimlerinin kapatılması çoğu zaman unutulur. Bu, en yaygın ve en kolay önlenebilir risktir.
Yedekleme ve saklama süresi: Veriler süresiz saklanamaz; her veri türü için bir saklama süresi tanımlanmalı ve süresi dolanlar silinmelidir. Aynı zamanda düzenli yedekleme, veri kaybını önleyen temel önlemdir.
İlgili kişi başvuruları
Bir kişi verilerinin silinmesini ya da hangi verilerin işlendiğini öğrenmeyi talep edebilir. Bu taleplerin nereye ulaşacağı sitede belirtilmeli ve kim tarafından yanıtlanacağı içeride belli olmalıdır. Başvuruya yanıt verilmemesi ayrı bir yaptırım sebebidir.
Pratik kontrol listesi
Sitenizde şunların hepsi var mı: aydınlatma metni, çerez politikası, gizlilik politikası, çalışan bir çerez onay sistemi, formlarda işaretsiz onay kutusu, ticari ileti için ayrı izin, çerez ayarlarına erişim bağlantısı, veri saklama süresi tanımı.
Yoksa öncelik sırası şudur: önce çerez onayını gerçekten çalışır hale getirin (piksellerin onaydan önce çalışmadığından emin olun), sonra metinleri kendi durumunuza göre hazırlatın, ardından form ve izin akışlarını düzeltin.
Bu düzenlemelerin çoğu site altyapısında yapılır; ölçüm tarafındaki etkisini yönetmek için piksel kurulumunun onay durumuna duyarlı olması gerekir. Reklam kurgusunun bu yapıya uyumlu planlanması için reklam yönetimi tarafında da aynı çerçeve gözetilmelidir.
Sık Sorulan Sorular
Çerez bandı koymak yeterli mi?
Yeterli değil; nasıl çalıştığı belirleyicidir. Analitik ve pazarlama çerezleri kullanıcı onay vermeden yüklenmemelidir. Çoğu sitede band görünür ama pikseller zaten çalışmaktadır — bu, bandın hiç olmamasıyla aynı kapıya çıkar.
Reddet butonu kabul et kadar görünür olmalı mı?
Olmalı. "Kabul et" büyük ve renkli, "reddet" ise gizli bir alt menüdeyse onayın geçerliliği tartışmalı hale gelir. Kullanıcı ayrıca kategori bazında seçim yapabilmeli ve kararını sonradan değiştirebileceği bir bağlantı sitede her zaman bulunmalıdır.
Aydınlatma metnini internetten kopyalayabilir miyim?
Riskli. Metin sizin gerçekten topladığınız verileri ve kullandığınız araçları anlatmıyorsa hem koruma sağlamaz hem uyumsuzluk yaratır. Metinlerin kendi veri akışınıza göre hazırlanması, hukuk danışmanınızla birlikte yapılması gereken bir iştir.
Çerez onayı ölçüm verimi düşürür mü?
Bir miktar düşürür; reddeden kullanıcılar analitikte görünmez ve bu kayıp normaldir. Sunucu tarafı ölçüm kullanarak kayıp azaltılabilir, ancak bu rıza gerekliliğini ortadan kaldırmaz. Uyumun bedeli olarak kabul edilmesi gereken bir farktır.
Müşteri listemi reklam platformuna yükleyebilir miyim?
Bu bir veri aktarımıdır ve uygun hukuki dayanağın bulunması gerekir. Sağlık ve estetik gibi alanlarda işlenen veriler özel nitelikli kişisel veri kapsamına girebilir ve çok daha sıkı kurallara tabidir; bu sektörlerde kurulum öncesi mutlaka hukuki görüş alınmalıdır.