KVKK ve Çerez Yönetimi: Kurumsal Sitede Bulunması Gerekenler

Kişisel verilerin korunmasına ilişkin yükümlülükler yalnızca hukuk metni yazmakla karşılanmaz; sitenin teknik kurgusuna da yansır. Formun hangi veriyi topladığı, bu verinin nereye gittiği ve ne kadar süreyle saklandığı; hepsi tasarım ve geliştirme kararlarıdır.

Bu yazı, kurumsal bir sitede bulunması gerekenleri ve teknik karşılıklarını derliyor. Metinlerin hazırlanması hukuki bir iştir; buradaki amaç, projeyi planlarken hangi başlıkların masaya konacağını göstermektir.

Bulunması gereken metinler

Aydınlatma metni. Hangi kişisel verinin, hangi amaçla, hangi hukuki sebebe dayanarak işlendiğini; kime aktarıldığını ve ilgili kişinin haklarını açıklar. Veri toplanan her noktadan erişilebilir olmalıdır.

Çerez politikası. Sitede kullanılan çerezlerin listesi; her birinin amacı, türü ve saklama süresi. Zorunlu çerezler ile analiz ve pazarlama çerezleri ayrı ayrı belirtilir.

Gizlilik politikası. Genel veri işleme yaklaşımını anlatır; aydınlatma metniyle çelişmemelidir.

Açık rıza metinleri. Ticari elektronik ileti gönderimi gibi rızaya dayalı işlemler için ayrı ve okunabilir metinler.

Başvuru formu ve yöntemi. İlgili kişinin haklarını kullanmak için hangi kanaldan başvuracağı.

E-ticaret yapan siteler için bunlara mesafeli satış sözleşmesi, ön bilgilendirme formu ve teslimat ile iade koşulları eklenir.

Formların kurgusu

Uyumun teknik tarafı en çok formlarda görünür.

• Veri minimizasyonu. Yalnızca gerçekten gereken alanlar sorulur. Bir teklif formunda doğum tarihi ya da T.C. kimlik numarası istemenin savunulabilir bir amacı yoktur.
• Aydınlatma bağlantısı formda bulunur. Gönder düğmesinin yakınında, tıklanabilir biçimde.
• Rıza ayrı kutudur. Aydınlatmayı okuma onayı ile ticari ileti izni aynı kutuda birleştirilemez. Her rıza ayrı ve isteğe bağlı olmalıdır.
• Kutular önceden işaretli gelmez. Rıza, kullanıcının kendi eylemiyle verilir.
• Rıza kaydı tutulur. Hangi metnin hangi sürümüne, hangi tarihte onay verildiği saklanır. Metin güncellendiğinde eski onay yeni metni kapsamaz.

Çerez bildirimi

Çerez bildiriminin görünürde bir kutu olmaktan öte bir işlevi vardır: onay verilmeden analiz ve pazarlama betiklerinin çalışmaması gerekir.

Doğru kurgu şöyledir:

• Sayfa açıldığında yalnızca zorunlu çerezler çalışır.
• Bildirimde kabul etmek kadar reddetmek de aynı kolaylıkta sunulur.
• Kategori bazında seçim yapılabilir: analiz, pazarlama, kişiselleştirme.
• Seçim kaydedilir ve kullanıcı daha sonra ayarlarını değiştirebilir.
• Ölçüm ve reklam kodları, ancak ilgili kategori onaylandığında yüklenir.

Bildirimi gösterip betikleri her hâlükârda çalıştıran kurgular, görünürde uyumlu olsa da işlevsel olarak değildir.

Veri nereye gidiyor?

Site üzerinden toplanan verinin izlediği yol proje başında tanımlanır:

• Form gönderimi nereye düşüyor? Kurumsal e-posta, veri tabanı, CRM ya da üçüncü taraf bir form servisi.
• Üçüncü taraf servis kullanılıyorsa hizmet sağlayıcının nerede barındırdığı ve veri işleyen sıfatıyla sözleşmesinin bulunup bulunmadığı.
• Yurt dışına aktarım var mı? Analitik, barındırma ve e-posta servisleri bu kapsamda değerlendirilir.
• Kim erişebiliyor? Panelde yetki tanımları, verinin görülebileceği kişileri sınırlar.

Saklama süreleri

Her veri kategorisi için bir saklama süresi belirlenir ve süre dolduğunda veri silinir. Bunun teknik karşılığı, sitenin ya da panelin süresi dolan kayıtları silen bir düzeneğe sahip olmasıdır. "Sonsuza kadar sakla" varsayılanı, uyumsuzluğun en sessiz biçimidir.

Güvenlik tarafı

• Site tamamen HTTPS üzerinden sunulur.
• Yönetim paneline erişim güçlü parola ve mümkünse ikinci doğrulama ile korunur.
• Form gönderimlerinde otomatik istekleri engelleyen bir önlem bulunur.
• Yedekleme yapılır ve yedeklerin de aynı koruma altında olduğu doğrulanır.
• Erişim kayıtları tutulur.

Projeye yansıması

Uyum başlıkları proje tanımına yazıldığında maliyeti öngörülebilir olur. Sonradan eklenmek istendiğinde ise çerez yönetimi, ölçüm kodlarının yükleme mantığını; rıza kaydı, form altyapısını; saklama süreleri, veri modelini yeniden ele almayı gerektirir.

Bu nedenle uyum başlıkları, tasarım ve geliştirme kararlarıyla birlikte, projenin başında masaya konur.