Çoğu e-pin satıcısı KVKK'yı bir hukuk metni sorunu sanır. Bir yerden aydınlatma metni bulunur, siteye konur, çerez bildirimi eklenir ve iş bitmiş kabul edilir. Bu yaklaşımın en sinsi tarafı, işlerin uzun süre gerçekten yolunda gitmesidir: kimse sormaz, kimse şikâyet etmez, denetim kapıyı çalmaz. Metin orada durduğu sürece uyumlu olduğuna inanırsın.
Oysa mevzuatın odağı metinde değil işleyişte. Bir şikâyet ya da başvuru geldiğinde sorulan sorular şunlar: bu veriyi hangi hukuki sebebe dayanarak işliyorsun, ne kadar süre saklıyorsun, süre bitince gerçekten siliyor musun ve bunu kanıtlayabiliyor musun? Cevapların sistemin içinden gelmesi gerekir. Bu yüzden KVKK uyumu aslında bir yazılım meselesidir: kullandığın e-pin scripti hangi verileri topluyor, nerede tutuyor, kime gösteriyor ve silme talebini nasıl işliyor? Bu yazıda e-pin satışına özgü veri akışını çıkarıp, aydınlatma metninin nasıl senin işine göre yazıldığını ve saklama sürelerinin nasıl belirlendiğini anlatıyorum.
E-pin satarken aslında hangi kişisel verileri topluyorsun?
İlk adım envanter. Çoğu işletme sahibi "ben sadece e-posta alıyorum" der ama sistem ondan çok daha fazlasını biriktirir. Üyelik tarafında ad, e-posta, telefon; ödeme tarafında fatura adı, adres, TCKN talep ediliyorsa kimlik verisi; teknik tarafta IP adresi, oturum kayıtları, tarayıcı bilgisi; destek tarafında yazışma içerikleri ve ekran görüntüleri; sadakat tarafında satın alma geçmişi ve davranış verisi. Bunların hepsi kişisel veridir, IP dahil.
Bir de dolaylı toplananlar var: analitik araçları, reklam pikselleri, canlı destek widget'ı, e-posta gönderim servisi, ödeme sağlayıcısı. Bunların her biri ayrı bir veri aktarımı anlamına gelir ve aydınlatma metninde "kimlere hangi amaçla aktarılıyor" başlığında yer alması gerekir. Dijital ürün satış yazılımı kurulumunda en sık atlanan nokta budur: entegrasyon eklerken metin güncellenmez. Pratik yöntem şu; bir tablo aç, her veri kalemi için amaç, hukuki sebep, saklama süresi ve aktarılan taraf sütunlarını doldur. Bu tabloyu bir kez yaptığında aydınlatma metni kendini yazar.
| Veri kalemi | İşleme amacı | Hukuki sebep | Tipik saklama süresi | Aktarılan taraf |
|---|---|---|---|---|
| Ad, e-posta, telefon | Üyelik ve teslimat | Sözleşmenin ifası | Üyelik + 2 yıl | E-posta/SMS sağlayıcı |
| Fatura bilgileri | Yasal belge düzenleme | Hukuki yükümlülük | 10 yıl | Muhasebe, e-fatura |
| Ödeme işlem kaydı | Tahsilat ve iade | Sözleşmenin ifası | 10 yıl | Ödeme kuruluşu |
| IP ve oturum logu | Güvenlik, dolandırıcılık önleme | Meşru menfaat | 6-12 ay | Yok (kendi sunucu) |
| Destek yazışmaları | Talep çözümü, ispat | Meşru menfaat | 2-3 yıl | Destek altyapısı |
| Pazarlama izni | Kampanya bildirimi | Açık rıza | Rıza geri alınana kadar | E-posta servisi |
| Teslim edilen kod eşleşmesi | İtiraz ve ispat | Meşru menfaat | 1-2 yıl | Yok |
Aydınlatma metni ile açık rıza neden aynı şey değil?
Bu ayrım karıştırıldığı için sektörde iki hata birden yapılıyor. Aydınlatma metni bir bilgilendirmedir; veri sorumlusunun kim olduğunu, hangi verinin hangi amaçla işlendiğini, kimlere aktarıldığını ve ilgili kişinin haklarını anlatır. Onay gerektirmez, sadece erişilebilir ve anlaşılır olması gerekir. Açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında devreye girer ve özgür iradeyle, belirli bir konuda, bilgilendirilmiş şekilde alınmalıdır.
Pratikte şu anlama gelir: siparişi teslim etmek için e-posta almak rızaya bağlı değildir, sözleşmenin ifasıdır. Ama aynı e-postaya kampanya göndermek için ayrı ve isteğe bağlı bir onay kutusu gerekir. Bu kutu ön işaretli olamaz, üyelik şartına bağlanamaz ve "kabul ediyorum" cümlesinin içine gizlenemez. İlk hata rızayı hiç almamak, ikinci hata her şey için rıza almaya çalışmak. İkincisi daha tehlikeli, çünkü kişi rızayı geri çektiğinde yasal dayanağın çöker ve faturayı saklayamaz hale gelirsin. Bu yüzden kurumsal bir epin yazılım altyapısında pazarlama izni, üyelik onayından ayrı bir alan olarak tutulur ve izin değişiklikleri zaman damgalı kaydedilir.
Bir gün "ben bu izni vermedim" diyen bir kullanıcıya karşı elinde tek dayanak kayıttır. İznin ne zaman, hangi IP'den, hangi metin versiyonuyla alındığını sakla. Aydınlatma metnini her güncellediğinde versiyon numarası ver ve kullanıcıya hangi sürümün gösterildiğini kaydet.
Saklama sürelerini kim, neye göre belirliyor?
Mevzuat tek bir süre dayatmaz; "amaç ortadan kalktığında sil" der. Bu belirsizlik işletmeleri iki uca savurur: ya hiçbir şeyi silmezler ya da kritik kayıtları erken silip vergi tarafında açık verirler. Doğru yöntem her veri kalemi için ayrı süre tanımlamak ve bunu yazılı bir saklama ve imha politikasına bağlamak.
Ölçüt şu üç soruyla bulunur: Bu veriyi tutmamı zorunlu kılan bir kanun var mı? Varsa o sürenin altına inemezsin; fatura ve muhasebe kayıtları burada. İkincisi, olası bir ihtilafta ispat için ne kadar süre gerekir? Teslim kayıtları ve destek yazışmaları bu kategoride, genelde bir ila üç yıl. Üçüncüsü, veri artık hiçbir amaca hizmet etmiyor mu? O halde süre sıfırdır, en yakın periyodik imhada gitmesi gerekir. Periyodik imha en fazla altı ayda bir yapılmalı; yani sistemin silme işini takvime bağlaması, elle hatırlamana bırakmaması gerekir.
E-pin sitelerinde KVKK açığının kaynağı
- Kopyalanmış, işe uymayan aydınlatma metni 35%
- Saklama süresi tanımlı değil, hiçbir şey silinmiyor 28%
- Rıza ve izin kaydının tutulmaması 22%
- Başvuru kanalının fiilen çalışmaması 15%
Kullanıcı "verilerimi sil" dediğinde sistemin ne yapması gerekiyor?
Burada iş ciddileşir. Silme talebi geldiğinde her şeyi silemezsin; faturayı saklama yükümlülüğün devam eder. Doğru davranış, hukuki dayanağı olan kayıtları tutmak, dayanağı kalmayanları silmek ve kullanıcıya neyin neden tutulduğunu açıklamak. Bunun yazılım karşılığı "hesabı sil" düğmesinden fazlasıdır.
İşleyen bir kurgu şöyledir: hesap anonimleştirilir, ad-soyad ve iletişim bilgileri maskelenir, pazarlama izinleri kaldırılır ve kullanıcı bir daha giriş yapamaz hale gelir; buna karşılık sipariş kaydı, tutar ve fatura numarası yasal süre boyunca kalır ama artık bir kişiye bağlanamaz. Talebin geldiği tarih, kim tarafından işlendiği ve hangi tabloların etkilendiği loglanır. Otuz günlük yasal süreyi kaçırmamak için talep bir kuyruğa düşer ve panelde sayaçla gösterilir. Bir e-pin satış scripti bunu hazır sunmuyorsa uyumu her seferinde elle üretmek zorunda kalırsın ve hacim büyüdükçe bu imkânsızlaşır.
Bir başvuru geldiğinde elinde ne olmalı?
Denetim ya da başvuru anında üç belge ve iki kayıt işini kurtarır. Belgeler: güncel aydınlatma metni ve versiyon geçmişi, kişisel veri envanteri tablosu, saklama ve imha politikası. Kayıtlar: izin ve rıza logu ile veri erişim/işlem logu. Bunların hiçbiri hukukçu diliyle yazılmış olmak zorunda değil; anlaşılır, tarihli ve tutarlı olmaları yeterli.
Tutarlılık en kritik nokta. Metinde "IP adreslerini altı ay tutuyoruz" yazıp sistemde üç yıllık log biriktirmek, hiç metin koymamaktan daha kötü bir tabloya yol açar; çünkü beyanına aykırı davrandığın yazılı olarak ispatlanır. Bu yüzden metni sistemin gerçeğine göre yaz, sonra sistemi metne sadık tut. Pinova tarafında veri kalemlerinin sürelerini panelden tanımlayabilmen, periyodik imhanın otomatik çalışması ve izin değişikliklerinin kayda geçmesi tam bu tutarlılığı korumak için var; özelliklerin detayına buradan, lisans karşılaştırmasına buradan bakabilirsin.
Uyumu metinle değil sistemle sağla
Saklama sürelerini tanımlayan, periyodik imhayı otomatik çalıştıran ve izin kayıtlarını zaman damgasıyla tutan bir altyapı ile ilerle.
Şahıs şirketi olarak da KVKK yükümlülüğüm var mı?
Evet. Kişisel veri işleyen her veri sorumlusu kapsamdadır; şirket türü ya da ciro büyüklüğü yükümlülüğü ortadan kaldırmaz. VERBİS kayıt zorunluluğu belirli eşiklere bağlı olsa da aydınlatma, güvenlik ve imha yükümlülükleri herkes için geçerlidir.
Hazır bir aydınlatma metni kullanabilir miyim?
Şablonu iskelet olarak kullanabilirsin ama olduğu gibi bırakmak risk yaratır. Metin senin topladığın veri kalemlerini, gerçek amaçlarını, kullandığın entegrasyonları ve uyguladığın süreleri yansıtmalıdır. Aksi halde beyanına aykırı davranmış olursun.
Faturayı saklamak zorundayken "her şeyi sildim" diyebilir miyim?
Diyemezsin ve dememelisin. Kullanıcıya hangi verilerin silindiğini, hangilerinin hukuki yükümlülük gereği hangi süreyle tutulmaya devam edeceğini açıkça bildirmek doğru yaklaşımdır.
Log kayıtları da kişisel veri sayılır mı?
IP adresi, kullanıcı kimliği veya cihaz bilgisi içeren loglar kişisel veri kapsamındadır. Bu nedenle güvenlik amacıyla tutulmaları meşru menfaate dayandırılır, süresi sınırlanır ve süre sonunda imha edilir.
| Kontrol | Nerede bakılır | Geçer ölçüt | Durum |
|---|---|---|---|
| Veri envanteri | Yazılı tablo | Tüm kalemler amaç ve süreyle listeli | ☐ |
| Aydınlatma metni | Site altbilgi ve kayıt formu | İşe özgü, tarihli, versiyonlu | ☐ |
| Pazarlama izni | Kayıt ve üyelik ekranı | Ayrı kutu, ön işaretli değil | ☐ |
| İzin logu | Panel kayıtları | Tarih, IP, metin sürümü | ☐ |
| Saklama politikası | Yazılı doküman | Kalem bazlı süreler tanımlı | ☐ |
| Periyodik imha | Zamanlanmış görev | En fazla 6 ayda bir, otomatik | ☐ |
| Başvuru kanalı | İletişim sayfası | Çalışan adres, 30 gün takibi | ☐ |
| Anonimleştirme akışı | Hesap silme işlemi | Maskeleme + yasal kayıt korunumu | ☐ |
| Aktarılan taraflar | Entegrasyon listesi | Metinde eksiksiz sayılı | ☐ |
| Erişim yetkileri | Personel rolleri | Asgari yetki, kayıt altında | ☐ |
Bu tabloyu bir öğleden sonra ayırıp doldurduğunda uyumun neresinde olduğunu net görürsün; eksiklerin çoğu hukuk değil yazılım eksiğidir ve doğru altyapıyla birkaç ayarla kapanır. Saklama sürelerinin panelden nasıl tanımlandığını, silme talebinin anonimleştirme akışına nasıl düştüğünü ve izin kayıtlarının hangi ekranda göründüğünü kendin denemek istersen canlı demo üzerinde bir test kullanıcısı oluşturup tüm döngüyü baştan sona yürütebilirsin.