KVKK uyumlu bir web sitesi için kontrol listesi

Sitenizde bir iletişim formu bile varsa, kişisel veri işliyorsunuz demektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu durumda size bazı yükümlülükler getirir.

Aşağıdaki liste bir başlangıç noktasıdır. Hukuki danışmanlığın yerini tutmaz; özellikle sağlık verisi gibi özel nitelikli veriler işliyorsanız bir avukata danışmanızı öneririz.

Her site için

☐ Aydınlatma metni. Hangi verileri, hangi amaçla, hangi hukuki sebebe dayanarak işlediğinizi; kimlere aktardığınızı ve kişilerin haklarını anlatan bir sayfa. Footer'da (sayfanın en altında) kolayca bulunabilmeli.

☐ Form altında bilgilendirme. İletişim veya teklif formunun hemen yanında aydınlatma metnine bağlantı ve gerekiyorsa açık rıza onay kutusu. Onay kutusu önceden işaretli olmamalı.

☐ Yalnızca gereken veriyi isteyin. Bir iletişim formu için T.C. kimlik numarası istemeyin. Ne kadar az veri, o kadar az risk.

☐ Güvenli bağlantı (SSL). Adres çubuğunda kilit simgesi olmalı; formlar şifreli bağlantı üzerinden gönderilmeli. Günümüzde ücretsiz ve otomatik SSL sertifikaları var; bunun olmaması için bir neden yok.

☐ Çerez politikası. Sitede hangi çerezlerin kullanıldığını anlatan bir sayfa. Zorunlu olmayan çerezler (reklam, izleme) için ziyaretçiden onay alınmalı ve "reddet" seçeneği "kabul et" kadar kolay olmalı.

☐ Başvuru kanalı. Kişilerin haklarını kullanmak için size ulaşabileceği bir e-posta adresi.

Çerezler hakkında bir not

En kolay çözüm, gereksiz çerez kullanmamaktır. Ziyaret istatistiği için çerez kullanmayan, kişiyi tanımlamayan araçlar mevcut. Sitemizde de bu yaklaşımı benimsiyoruz: reklam ve izleme amaçlı üçüncü taraf çerez kullanmıyoruz.

Eğer reklam ölçümü için çerez kullanmanız gerekiyorsa, onay vermeden bu kodların çalışmaması gerekir. "Siteyi kullanarak çerezleri kabul etmiş sayılırsınız" türü bantlar bu açıdan yeterli değildir.

E-ticaret siteleri için ek olarak

☐ Mesafeli satış sözleşmesi. Satıcı bilgileri, ürün, fiyat, teslimat, cayma hakkı gibi bilgileri içeren sözleşme. Alıcı, ödemeden önce okuyup onaylamalı.

☐ Ön bilgilendirme formu. Sözleşme kurulmadan önce tüketiciye sunulması gereken bilgiler.

☐ İade ve cayma koşulları. Açık, anlaşılır ve kolay bulunur.

☐ Satıcı bilgileri. Unvan, adres, vergi bilgileri, iletişim bilgileri sitede görünür olmalı.

☐ Ödeme güvenliği. Kart bilgileri sizin sunucunuzda değil, iyzico, PayTR gibi lisanslı ödeme kuruluşlarının güvenli sayfalarında işlenmeli.

Teknik tarafta

☐ Form verileri nerede tutuluyor? Bir e-posta kutusunda mı, bir veritabanında mı? Kimler erişebiliyor?

☐ Yedekler. Yedekler de kişisel veri içerir; güvenli tutulmalı ve belli bir süre sonra silinmeli.

☐ Yurt dışına aktarım. Kullandığınız barındırma, e-posta veya form servisleri yurt dışındaysa, bu bir veri aktarımıdır ve aydınlatma metninde belirtilmelidir.

Bizim yaptığımız

Kurduğumuz her sitede aydınlatma metni, çerez politikası ve formlarda doğru onay akışı standart olarak yer alır. E-ticaret sitelerinde mesafeli satış sözleşmesi, ön bilgilendirme ve iade sayfalarını da hazırlarız. Metinlerin işinize göre son kontrolünü bir hukukçuya yaptırmanızı her zaman öneririz.

Sitenizde bir iletişim formu bile varsa, kişisel veri işliyorsunuz demektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu durumda size bazı yükümlülükler getirir.

Her site için

☐ Form altında bilgilendirme. İletişim veya teklif formunun hemen yanında aydınlatma metnine bağlantı ve gerekiyorsa açık rıza onay kutusu. Onay kutusu önceden işaretli olmamalı.

☐ Yalnızca gereken veriyi isteyin. Bir iletişim formu için T.C. kimlik numarası istemeyin. Ne kadar az veri, o kadar az risk.

☐ Başvuru kanalı. Kişilerin haklarını kullanmak için size ulaşabileceği bir e-posta adresi.

Çerezler hakkında bir not

E-ticaret siteleri için ek olarak

☐ Mesafeli satış sözleşmesi. Satıcı bilgileri, ürün, fiyat, teslimat, cayma hakkı gibi bilgileri içeren sözleşme. Alıcı, ödemeden önce okuyup onaylamalı.

☐ Ön bilgilendirme formu. Sözleşme kurulmadan önce tüketiciye sunulması gereken bilgiler.

☐ İade ve cayma koşulları. Açık, anlaşılır ve kolay bulunur.

☐ Satıcı bilgileri. Unvan, adres, vergi bilgileri, iletişim bilgileri sitede görünür olmalı.

☐ Ödeme güvenliği. Kart bilgileri sizin sunucunuzda değil, iyzico, PayTR gibi lisanslı ödeme kuruluşlarının güvenli sayfalarında işlenmeli.

Teknik tarafta

☐ Form verileri nerede tutuluyor? Bir e-posta kutusunda mı, bir veritabanında mı? Kimler erişebiliyor?

☐ Yedekler. Yedekler de kişisel veri içerir; güvenli tutulmalı ve belli bir süre sonra silinmeli.

☐ Yurt dışına aktarım. Kullandığınız barındırma, e-posta veya form servisleri yurt dışındaysa, bu bir veri aktarımıdır ve aydınlatma metninde belirtilmelidir.