Onay öncesi çalışan izleme kodları
Reklam pikselleri ve ölçümleme çerezlerinin onay alınmadan yüklenmesi, en sık tespit edilen ve en kolay kanıtlanan ihlaldir.
Departman · Departmana Özel KVKK Çözümü
E-Ticaret Departmanına Özel KVKK Çözümleri
E-ticarette her tıklama kayda geçer ve her sipariş bir zincir başlatır: ödeme kuruluşu, kargo, pazaryeri, iade süreci. Uyum bu zincirin tamamını görünür kılmadan kurulamaz.
Kısa cevap
E-ticaret departmanında KVKK uyumu üç katmanda kurulur. Birinci katman siteye giriş anıdır: çerez ve izleme teknolojileri için ayrı bir onay katmanı gerekir ve zorunlu olmayan çerezler onay öncesinde çalışmamalıdır. İkinci katman sipariş sürecidir; üyelik, misafir alışveriş, ödeme ve fatura verisi farklı hukuki sebeplere dayanır ve toplanan veri asgariye indirilmelidir. Üçüncü katman aktarım zinciridir: ödeme kuruluşu, kargo firması, pazaryeri, çağrı merkezi ve pazarlama araçları her siparişte devreye girer. Bu üçüncü katman çoğu kurumda hiç haritalanmamıştır ve bir ihlalde sorumluluğun kimde olduğu ancak o zaman tartışılmaya başlanır.
E-Ticarette KVKK Neden Ayrı Yönetilmeli?
E-ticaret, veri işlemenin en yoğun olduğu alanlardan biridir; üstelik burada ihlal, doğrudan tüketiciye dokunduğu için hızla şikâyete dönüşür. Sitede onay öncesi çalışan bir piksel, iade sürecinde istenen gereksiz kimlik fotokopisi, kargo firmasına gönderilen fazla veri veya ürün yorumunda görünen tam ad soyad; her biri sık karşılaşılan ve kolayca tespit edilebilen hatalardır. Buna pazaryeri üzerinden satış yapan işletmelerin sorumluluk belirsizliği eklenir: müşteri verisinin sorumlusu pazaryeri midir, satıcı mıdır, yoksa her ikisi de mi?
Gereksiz veri toplayan formlar
Üyelik ve sipariş formlarında kimlik numarası, doğum tarihi ve cinsiyet gibi zorunlu olmayan alanların istenmesi.
Kargo ve ödeme aktarımları
Kargo firmasına sipariş içeriğinin ve gereksiz alanların gönderilmesi; ödeme kuruluşuyla ilişkinin sözleşmeye bağlanmaması.
Pazaryeri sorumluluk belirsizliği
Pazaryeri üzerinden gelen müşteri verisinde tarafların sıfatı tanımlanmadığında bildirim ve başvuru sorumluluğu boşta kalır.
Terk edilmiş sepet ve hatırlatma iletileri
Sepet hatırlatma ve fiyat düşüş bildirimleri çoğu senaryoda ticari elektronik ileti niteliğindedir ve onay gerektirir.
Ürün yorumlarında kimlik bilgisi
Yorumlarda tam ad soyad gösterilmesi, kullanıcıların yorumda paylaştığı adres ve sipariş bilgilerinin yayında kalması.
E-Ticaret Departmanında İşlenen Kişisel Veriler
Aşağıdaki kırılım, site, sipariş ve satış sonrası süreçlerden doğan veri kategorilerini gösterir. Her kalem için aktarım tarafı ve saklama süresi ayrıca belirlenir.
Üyelik ve hesap verisi
Ad soyad, e-posta, telefon, şifre özetleri, adres defteri, üyelik tercihleri, hesap kapatma kayıtları
Hukuki sebep ve not: Sözleşmenin ifası; zorunlu olmayan alanlar isteğe bağlı hâle getirilir.
Sipariş ve fatura verisi
Sipariş içerikleri, teslimat ve fatura adresleri, vergi bilgileri, iade ve değişim kayıtları, kupon kullanımları
Hukuki sebep ve not: Sözleşme ve hukuki yükümlülük; mali mevzuat saklama süreleri geçerlidir.
Ödeme verisi
Kart sahibi adı, maskelenmiş kart numarası, işlem referansları, taksit bilgileri, ödeme kuruluşu yanıtları
Hukuki sebep ve not: Tam kart verisi kural olarak kurumda saklanmaz; ödeme kuruluşu ilişkisi sözleşmeye bağlanır.
Davranışsal ve çerez verisi
Gezinme geçmişi, ürün görüntüleme, sepet hareketleri, çerez ve reklam kimlikleri, oturum kayıtları
Hukuki sebep ve not: Zorunlu olmayan çerezler açık rızaya bağlıdır; onay kayıtları saklanır.
Satış sonrası ve destek verisi
İade talepleri, kargo takip kayıtları, destek yazışmaları, çağrı kayıtları, ürün yorumları ve puanlar
Hukuki sebep ve not: Yorumlarda kimlik kısaltılır; iade süreçlerinde gereksiz belge istenmez.
Hassas ürün kategorisi verisi
Özel nitelikliSağlık ürünü, medikal cihaz, cinsel sağlık ve inanç temalı ürün siparişleri, diyet ve alerji bilgileri
Hukuki sebep ve not: Sipariş içeriği özel nitelikli veri çıkarımına yol açabilir; hedefleme ve paylaşımda kısıt uygulanır.
Çözüm Kapsamı
Program siteyi onay katmanıyla düzeltir, form ve süreçleri sadeleştirir, aktarım zincirini haritalayıp sözleşmeye bağlar.
Çerez envanteri ve onay kurulumu
Sitedeki tüm etiketler taranır, kategorilere ayrılır; onay öncesi çalışan kodlar durdurulur ve onay kayıtları saklanır.
Form ve süreç sadeleştirmesi
Üyelik, sipariş ve iade formlarındaki gereksiz alanlar kaldırılır; misafir alışveriş akışı ayrı değerlendirilir.
Aktarım haritası ve sözleşmeler
Ödeme, kargo, pazaryeri, çağrı merkezi ve pazarlama araçları haritalanır; her biri için sözleşme kurulur.
Pazaryeri sıfat tespiti
Pazaryeri ilişkisinde tarafların veri sorumlusu / ortak sorumlu konumu belirlenir ve başvuru akışı netleştirilir.
İleti ve hatırlatma düzeni
Sepet hatırlatma, stok bildirimi ve kampanya iletileri için izin ve İYS akışı kurulur, ret yönetimi tanımlanır.
Yorum ve içerik yönetimi
Yorumlarda kimlik gösterimi kısaltılır; kullanıcıların paylaştığı kişisel bilgilerin temizlenmesi kurala bağlanır.
Sahada En Sık Karşılaştığımız Tablo
- Çerez bandı var ama reklam pikselleri sayfa açılır açılmaz çalışıyor.
- Üyelik formunda kimlik numarası ve doğum tarihi zorunlu alan olarak isteniyor.
- Kargo firmasına sipariş içeriği ve müşteri notu da gönderiliyor.
- Pazaryeri üzerinden gelen müşteri verisinin sorumluluğu hiç konuşulmamış.
- İade taleplerinde rutin olarak kimlik fotokopisi isteniyor.
- Ürün yorumlarında müşterilerin tam ad soyadı ve bazen adresi görünüyor.
Uygulama Süreci
Birim keşfi ve kapsam
Site etiket yapısı, form alanları, sipariş akışı ve tüm aktarım tarafları uçtan uca incelenerek e-ticaret veri haritası çıkarılır.
Süreç ve veri envanteri kesiti
Birimin yürüttüğü her faaliyet; veri kategorisi, hukuki sebep, saklama süresi, erişim yetkisi ve aktarım kırılımıyla kurumsal envantere işlenir.
Boşluk analizi ve önceliklendirme
Mevcut uygulama mevzuatla karşılaştırılır; bulgular ihlal olasılığı ve etkisine göre sıralanır, birim yöneticisiyle sahibi atanır.
Belge ve akış devreye alma
Aydınlatma metni, rıza akışı, sözleşme maddeleri, yetki matrisi ve prosedürler birimin günlük iş akışına gömülerek uygulamaya alınır.
Rol bazlı eğitim ve sürdürme
Birime kendi örnekleriyle eğitim verilir; periyodik gözden geçirme, yeni araç onayı ve değişiklik bildirimi takvimi devredilir.
Teslim Edilecek Çıktılar
- Departmanın veri işleme envanteri kesiti ve veri akış haritası
- Birime özel saklama ve imha süreleri tablosu
- Rol bazlı erişim yetki matrisi ve yetki gözden geçirme takvimi
- Departmanın kullandığı tedarikçiler için veri işleyen sözleşme seti
- İlgili kişi başvurusu geldiğinde birimin izleyeceği yanıt akışı
- Birime özel KVKK farkındalık eğitimi ve hızlı başvuru kartı
- Çerez envanteri, çerez politikası ve onay yönetimi yapılandırma raporu
- Üyelik, sipariş ve iade formları için alan sadeleştirme önerisi
- Ödeme, kargo ve pazaryeri aktarım haritası ile sözleşme paketi
- Ticari elektronik ileti izin akışı ve İYS uyum tarifi
- Müşteri aydınlatma metni, açık rıza metni ve site içi yerleşim planı
Kimler İçin Uygun?
Kendi sitesinden satış yapan markalar
Üyelik, sipariş ve pazarlama süreçlerini kendi altyapısında yöneten işletmeler.
Pazaryeri satıcıları
Platform üzerinden satış yapan, sorumluluk sınırı belirsiz kalan satıcılar.
Çok kanallı perakendeciler
Mağaza ve çevrim içi kanalı birleştiren, müşteri verisini eşleştiren yapılar.
E-ticaret operasyon ekipleri
Sipariş, iade ve kargo süreçlerini yürüten, günlük veri akışını yöneten birimler.
İlgili Hizmetler
Bu departman programı, aşağıdaki danışmanlık hizmetlerinin birime uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Departmanlar
Aynı veri akışını paylaşan ya da bu birimin süreçlerine komşu olan departmanların uyum sayfaları.
Sık Sorulan Sorular
Çoğu senaryoda gerekmez ve gereksiz istenmesi veri minimizasyonu ilkesine aykırıdır. Kimlik numarası, ancak mevzuatın açıkça zorunlu tuttuğu hâllerde (örneğin belirli ürün türleri veya fatura düzenlemeye ilişkin özel yükümlülükler) talep edilebilir. Basit bir üyelik veya sipariş için ad soyad, iletişim ve teslimat bilgisi yeterlidir. Fatura düzenlenmesi gerektiğinde ise talep edilecek bilgi işlem türüne göre belirlenmelidir. Formlarınızdaki her zorunlu alanın hangi gerekçeye dayandığını yazılı olarak sorgulamak, hem uyum hem de dönüşüm oranı açısından değerlidir; gereksiz alanlar sepet terkini de artırır.
Yalnızca teslimatın yapılabilmesi için gereken asgari veri: alıcının adı, teslimat adresi ve iletişim bilgisi. Sipariş içeriğinin, ürün adlarının, ödeme tutarının, geçmiş alışverişlerin veya müşteri notlarının aktarılması çoğu senaryoda gereksizdir ve özellikle hassas ürün kategorilerinde ciddi risk doğurur; bir ürün adı kişinin sağlık durumu hakkında çıkarım yapılmasına yol açabilir. Kargo firması veri işleyendir ve yazılı sözleşmeye bağlanmalıdır; sözleşmede aktarılan veri kategorileri, saklama süresi, alt yüklenici kullanımı ve ihlal bildirim yükümlülüğü yer almalıdır.
Bu, somut ilişkiye göre belirlenir ve iki taraf da sorumluluk taşıyabilir. Pazaryeri, kendi platformunun işleyişi, üyelik ve ödeme altyapısı bakımından kendi amaçlarını belirler; bu yönüyle veri sorumlusudur. Satıcı ise siparişi ifa etmek, fatura düzenlemek ve satış sonrası hizmeti sunmak için kendi amaçlarıyla veri işler; bu yönüyle o da veri sorumlusudur. Bazı süreçlerde ortak sorumluluk gündeme gelebilir. Pratikte önemli olan, hangi tarafın hangi talebi karşılayacağının ve bir ihlalde kimin bildirim yapacağının platform sözleşmesinde açık olmasıdır. Satıcı olarak, platformdan aldığınız veriyi kendi pazarlama listenize eklemenin ayrı bir izin gerektirdiğini de unutmayın.
Hatırlatmanın içeriği belirleyicidir. Ürün, indirim veya kampanya tanıtımı içeren bir mesaj ticari elektronik ileti sayılır ve onay rejimine tabidir; onay kanal bazında alınmalı ve İYS'ye kaydedilmelidir. Mevcut müşteri ilişkisine dayanan sınırlı istisna dar yorumlanır ve her hâlde ret imkânı sunulmalıdır. Ayrıca sepet hatırlatması, kişinin gezinme davranışına dayandığı için çerez ve profilleme katmanıyla da ilişkilidir: hatırlatmayı mümkün kılan izleme için ayrıca onay gerekir. Uygulanabilir yol, hatırlatma tercihini üyelik akışında ayrı bir kutuda ve açıkça almak, onay kaydını zaman damgasıyla saklamaktır.
Kural olarak gerekmez. İade talebinin doğru kişiden geldiğini doğrulamak için sipariş numarası, hesap doğrulaması veya siparişte kullanılan iletişim kanalının teyidi yeterlidir. Kimlik fotokopisi istenmesi, hem gereksiz veri toplamak hem de bu belgelerin destek kanallarında ve e-posta kutularında birikmesine yol açmak anlamına gelir. Zorunlu olduğu istisnai hâllerde belge yalnızca gerekli alanları görünecek biçimde alınmalı, ayrı ve korunan bir alanda tutulmalı, işlem tamamlandığında imha edilmelidir. Ayrıca banka hesap bilgisi talep edilen iade yöntemlerinde de yalnızca ödeme için gereken alanlar istenmelidir.
Yorumun kişiyle ilişkilendirilebilir biçimde yayımlanması kişisel veri işlemedir; bu nedenle kullanıcıya nasıl görüneceği konusunda seçim sunulmalıdır. Yaygın ve savunulabilir uygulama, adın kısaltılarak gösterilmesi veya kullanıcı tarafından belirlenen bir takma adın kullanılmasıdır. Ayrıca kullanıcıların yorum metninde kendi adreslerini, telefonlarını veya sipariş numaralarını paylaşması sık görülür; bu içeriklerin yayımlanmadan önce temizlenmesi gerekir. Yorum silme taleplerinin nasıl karşılanacağı da belirlenmelidir. Son olarak yorumların ürün sayfasında yıllarca kalması hâlinde saklama süresinin ne olacağı politikada yazılı olmalıdır.
Sitenizi ve aktarım zincirinizi birlikte inceleyelim
Etiket yapınızı, form alanlarınızı ve kargo-ödeme-pazaryeri zincirinizi paylaşın; ücretsiz ön görüşmede en görünür riskleri birlikte tespit edelim.
