Pazaryeri Satıcıları İçin KVKK: Platform mu Sorumlu, Satıcı mı?

Sipariş Ekranındaki Sorumluluk

Pazaryerinde satış yapan bir işletme için alıcı verisi her gün önüne gelen sıradan bir bilgidir: ad soyad, teslimat adresi, telefon numarası, sipariş içeriği ve bazen fatura bilgileri. Bu verinin platform tarafından toplanmış olması, satıcıyı KVKK sorumluluğundan kurtarmaz. Pazaryeri satıcı KVKK yükümlülükleri, platform ile satıcı arasındaki rol dağılımına ve satıcının veriyi nasıl kullandığına göre şekillenir.

Bu yazıda pazaryeri modelindeki rolleri, satıcıya aktarılan alıcı verisini, bu verinin pazarlamada kullanılmasının sınırlarını, satıcının aydınlatma yükümlülüğünü ve kargo ile iade süreçlerini ele alıyoruz. Sonda, mağazanızın uyum adımlarını planlarken kullanabileceğiniz bir kontrol listesi ve destek seçeneklerini karşılaştıran bir karar tablosu var.

Pazaryeri modelinde roller

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), işleme amaçlarını ve vasıtalarını belirleyeni veri sorumlusu, onun adına ve talimatıyla işlem yapanı veri işleyen olarak tanımlar. Pazaryeri ilişkisinde bu iki rol, faaliyet bazında ayrı ayrı belirlenir.

Platform: üyelik, hesap güvenliği, ödeme altyapısı, platform içi reklam ve öneri sistemleri gibi faaliyetlerin amaç ve araçlarını kendisi belirlediği için bu faaliyetler bakımından veri sorumlusudur.

Satıcı: satış sözleşmesinin tarafıdır; ürünü hazırlar, faturayı keser, kargoyu ve iadeyi yönetir. Bu faaliyetler kendi ticari ve hukuki yükümlülükleri için yapıldığından satıcı kural olarak bu faaliyetlerde de veri sorumlusu konumundadır.

Satıcının tedarikçileri: satıcının kullandığı depo, kargo entegratörü, muhasebe yazılımı veya müşteri hizmetleri firması, satıcı adına işlem yaptığı ölçüde veri işleyendir.

Kesin nitelendirme, platformun satıcı sözleşmesi ve fiilî veri akışı incelenerek yapılır. Ancak pratikte satıcının şu varsayımla hareket etmesi güvenlidir: alıcı verisine eriştiğim andan itibaren bu veriyi hukuka uygun kullanmaktan ve korumaktan ben de sorumluyum. Kişisel Verileri Koruma Kurulu'nun (Kurul) 2021/548 sayılı kararında, başka bir şirketin kampanyası adı altında hareket eden bir bayinin kendi başına yaptığı pazarlama aramalarından bizzat sorumlu tutulması, bu varsayımın neden önemli olduğunu gösterir.

Satıcıya aktarılan alıcı verisi

Platformlar satıcıya genellikle siparişin ifası için gereken asgari veriyi aktarır: alıcının adı, teslimat adresi, sipariş içeriği, bazı modellerde maskelenmiş veya geçici bir telefon numarası ve fatura bilgileri. Satıcının bu veriyle ilgili temel sorusu “bunu ne için aldım?” olmalıdır.

KVKK 5. madde, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla sözleşmenin taraflarına ait verilerin işlenmesini açık rıza aranmaksızın mümkün kılar. Sipariş hazırlama, kargo, fatura ve iade bu kapsamdadır. Vergi Usul Kanunu ve Türk Ticaret Kanunu'ndan doğan saklama yükümlülükleri ise kanunlarda öngörülme ve hukuki yükümlülük sebeplerine dayanır; örneğin fatura ve defter kayıtları için VUK 5 yıl, TTK 10 yıl saklama öngörür.

Riskli olan, verinin bu amaçların dışına taşmasıdır. Tipik örnekler şunlardır:

Sipariş listelerinin Excel'e aktarılıp ekipler arasında e-posta veya mesajlaşma uygulamasıyla dolaştırılması,

Alıcı bilgilerinin satıcının kendi CRM veya e-posta pazarlama aracına toplu olarak yüklenmesi,

Depoda yazdırılan sipariş fişlerinin imha edilmeden çöpe atılması,

Platformun maskelediği iletişim bilgisinin, paket içine konulan notla veya kargo görevlisi aracılığıyla açık iletişim bilgisine dönüştürülmeye çalışılması.

Büyük ölçekli pazaryerleri için 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'un ek 2. maddesi, aracı hizmet sağlayıcının satıcı ve alıcıdan elde ettiği verileri yalnızca aracılık hizmetlerinin sunulması amacıyla kullanmasını öngörür. Bu hüküm doğrudan platformu bağlar; ancak verinin amacına bağlı kullanımı ilkesinin pazaryeri ekosisteminde ne kadar önemsendiğini de gösterir. KVKK 4. maddedeki amaçla bağlantılı, sınırlı ve ölçülü işleme ilkesi ise satıcı için zaten bağlayıcıdır.

Satıcının bu veriyi pazarlamada kullanması

Satıcıların en sık sorduğu soru, pazaryerinden gelen alıcıya kendi sitesini, kampanyasını veya yeni ürününü duyurup duyuramayacağıdır. KVKK açısından yanıt, verinin toplandığı amaçla sınırlıdır: alıcı verisini siparişini teslim alması için paylaşmıştır, satıcının kendi pazarlama listesine girmek için değil.

Bu nedenle şu uygulamalar yüksek risklidir:

Doğrudan ileti: sipariş telefonuna SMS veya mesajlaşma uygulamasından kampanya mesajı göndermek. Bu, KVKK'nın yanında 6563 sayılı Kanun kapsamında önceden alınması gereken ticari elektronik ileti onayı olmadan yapılmış olur.

Kitle oluşturma: alıcı e-posta veya telefonlarını reklam platformlarına yükleyerek hedefleme yapmak.

Platform dışına yönlendirme: paket içine konan notla alıcıyı kişisel bilgilerini başka bir kanalda paylaşmaya teşvik etmek; bu uygulama çoğu zaman platformun satıcı sözleşmesine de aykırıdır.

Daha güvenli yol, alıcının kendi iradesiyle satıcının kanalına gelmesini sağlamaktır. Örneğin paket içine konan bir broşürdeki karekodla satıcının sitesine giden alıcı, orada ayrı bir aydınlatma ile karşılaşır ve izinlerini kendi verir. Ticari ileti onayının nasıl alınacağını ve İYS'ye kaydını İYS izni yazımızda anlattık. Kendi sitenizde kişiselleştirme yapıyorsanız profilleme KVKK kuralları, reklam etiketleri kullanıyorsanız meta pixel KVKK yazımız da ilgili olacaktır.

Satıcının aydınlatma yükümlülüğü

KVKK 10. madde, kişisel veri elde edilirken veri sorumlusunun ilgili kişiyi aydınlatmasını zorunlu tutar. Platformun aydınlatma metni, platformun kendi faaliyetlerini anlatır; satıcının kendi faaliyetleri için aydınlatma yükümlülüğünü kendiliğinden ortadan kaldırmaz.

Uygulamada satıcının aydınlatmayı nasıl yapacağı platformun sunduğu imkânlara bağlıdır. Seçenekler şunlardır:

Mağaza sayfasında aydınlatma metni: platform izin veriyorsa mağaza bilgi alanında satıcının aydınlatma metnine bağlantı veya özet metin.

Satıcının kendi sitesinde yayımlanan metin: fatura veya irsaliyede bu metnin adresine kısa bir yönlendirme.

Paket içi bilgilendirme: satıcının kimliğini, sipariş verisinin hangi amaçlarla işlendiğini ve başvuru kanalını anlatan kısa bir not.

Aydınlatma metni; satıcının unvanı ve iletişim bilgileri, işleme amaçları (sipariş, fatura, kargo, iade, yasal saklama), aktarılan taraflar (kargo, muhasebe, depo hizmeti), hukuki sebepler ve ilgili kişinin 11. maddedeki haklarını içermelidir. Bu işlemler için açık rıza istenmesi gerekmez; gereksiz rıza talebinin yarattığı sorunları açık rıza metinlerinin geçerliliği yazımızda açıkladık.

Alıcının satıcıya doğrudan başvurması da mümkündür. KVKK 13. madde, başvuruların en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılmasını ister. Küçük bir satıcının bile bu başvuruyu kimin karşılayacağını önceden belirlemesi gerekir.

Kargo ve iade süreçleri

Kargo ve iade, alıcı verisinin satıcının işletmesinden dışarı çıktığı noktalardır. Kargo şirketine adres ve telefon aktarımı sözleşmenin ifası için gereklidir; ancak aktarımın kapsamı ve güvenliği satıcının kontrolündedir.

Gönderim aşaması: Kargo etiketinde yalnızca teslimat için gereken bilgi bulunmalıdır. Sipariş içeriğinin, özellikle sağlık veya mahremiyet çağrıştıran ürünlerin, paketin dışından anlaşılmaması gerekir. Teslimat fotoğrafı ve kapı önü teslim uygulamalarındaki riskleri kapı önü teslimat fotoğrafı yazımızda ele aldık.

Bildirim hataları: Kurul'un 03.08.2022 tarihli ve 2022/774 sayılı kararında, misafir alışverişte hatalı girilen bir e-posta adresi nedeniyle başka bir kişinin sipariş ve teslimat bilgileri yanlış kişiye gönderilmiş; Kurul, bildirim öncesi doğrulama mekanizması bulunmamasını yeterli teknik ve idari tedbir alınmaması olarak değerlendirmiştir. Satıcıların kendi gönderdiği kargo ve iade bildirimlerinde de alıcı iletişim bilgisinin doğruluğunu kontrol eden bir adım kurması bu nedenle önemlidir.

İade aşaması: İade edilen ürünlerle birlikte alıcının adı, adresi ve bazen başka belgeler geri gelir. İade kolilerindeki fatura ve notların ayrıştırılması, kişisel bilgiler içeren ambalajların imha edilmesi ve iade nedenlerine ilişkin kayıtların gereğinden uzun tutulmaması gerekir. İkinci el veya teşhir ürün olarak yeniden satılan ürünlerde önceki alıcının bilgisi kalmamalıdır.

Satıcı kontrol listesi

Aşağıdaki liste, mağazanızın KVKK uyumunu planlarken ilk adım olarak kullanılabilir. Her satır için sorumlu kişiyi ve kanıtı yazın:

VERBİS kaydında yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyetleri özel nitelikli veri işleme değilse kayıt yükümlülüğünden muaftır. Muafiyet yalnızca sicil kaydını kaldırır; listedeki diğer yükümlülükler her ölçekte geçerlidir. Ayrıntı için VERBİS istisnası yazımıza bakabilirsiniz.

Pazaryeri satıcı kontrol listesi

Hangi destek modeli size uygun?

Satıcıların ihtiyacı ölçeğe ve satış kanallarının sayısına göre değişir. Aşağıdaki tablo, karar verirken hangi seçeneğin hangi duruma uyduğunu özetler:

Kapsamlı ihtiyaç duyan işletmeler için Standart KVKK Uyum Paketi; sürece özel destek arayanlar için KVKK danışmanlığı sayfalarımız kapsamı ayrıntılı anlatır. E-ticaret sitelerinin genel yükümlülüklerini ise e-ticaret siteleri için KVKK yazımızda bulabilirsiniz.

Satıcılar için destek seçenekleri

Sonuç ve Sonraki Adım

Pazaryeri satıcı KVKK sorumluluğu “veriyi platform topladı” diyerek devredilemez. Platform kendi faaliyetlerinden, satıcı ise kendisine ulaşan alıcı verisini nasıl kullandığından, sakladığından ve kimlerle paylaştığından sorumludur. Alıcı verisini siparişin gerektirdiği amaçla sınırlamak, kendi aydınlatmanızı yapmak, kargo ve iade süreçlerindeki veri akışını kontrol etmek ve tedarikçilerle sözleşme yapmak, olası şikâyetlerde mağazanızı korur. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonraki adım olarak kontrol listesini ekibinizle doldurun ve “hayır” yanıtı verdiğiniz maddeler için hangi destek modelinin uygun olduğuna karar verin.

Sık Sorulan Sorular