Online mağazalar için KVKK kontrol listesi

Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında online satış yapan bir mağazanın; müşteri verisinin her kullanımı için bir işleme şartına, veriyi toplarken aydınlatma metnine, açık rızaya dayandığı her durumda ayrı bir açık rıza metnine, istisna kapsamında değilse VERBİS kaydına, zorunlu olmayan çerezlerden önce rızaya, yurt dışına her aktarım için bir güvenceye, başvuruları 30 gün içinde yanıtlayan bir sürece, veri ihlallerini 72 saat içinde bildirme planına ve bir silme rutinine ihtiyacı vardır. Aşağıda her adımı, dayandığı kuralla birlikte bulacaksınız.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kurul kararları zaman içinde değiştiğinden, somut sorularınızı yetkin bir danışmana ya da Kişisel Verileri Koruma Kurumuna danışın.

1. Veri sorumlusunun kim olduğunu netleştirin

KVKK, gerçek kişilere ait kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen herkese uygulanır (madde 2). Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise onun adına ve verdiği yetkiye dayanarak veri işler (madde 3). Bir mağazada vitrinin arkasındaki işletme veri sorumlusudur; barındırma, e-posta ve analitik sağlayıcıları çoğunlukla veri işleyendir.

Verinin girdiği her noktayı (ödeme adımı, üyelik, bülten, formlar, canlı destek, analitik ve reklam etiketleri) envantere alın: ne topladığınızı, neden topladığınızı, kimlere aktardığınızı, verinin Türkiye dışına çıkıp çıkmadığını ve ne kadar sakladığınızı yazın. Madde 4; işlemenin hukuka uygun, belirli amaçlara bağlı, ölçülü ve gerekli süreyle sınırlı olmasını ister.

2. Her amaç için bir işleme şartı seçin; aydınlatma ile açık rızayı ayırın

Madde 5(1), kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği kuralıyla başlar; ardından açık rıza aranmayan halleri sayar (madde 5(2)). Mağaza faaliyetlerinin büyük bölümü bu hallere dayanır:

İşleme faaliyeti	Genellikle dayanılan şart	Not
Siparişin alınması, teslimi ve iadesi	Sözleşme, md. 5(2)(c)	Yalnızca sözleşmeyle doğrudan ilgili veriler.
Fatura ve vergi kayıtları	Hukuki yükümlülük, md. 5(2)(ç)	Saklama süresini ilgili mevzuat belirler.
Dolandırıcılık kontrolü ve hesap güvenliği	Meşru menfaat, md. 5(2)(f)	Müşterinin temel hak ve özgürlüklerine zarar vermemek kaydıyla; değerlendirmenizi kayıt altına alın.
Davranışsal reklam çerezleri	Açık rıza	Kurumun çerez rehberine göre.
Sağlık verisi gibi özel nitelikli kişisel veriler	Yalnızca md. 6(3)	Sayılan şartlardan biri yoksa işlenmesi yasaktır.

Aydınlatma yükümlülüğü, hangi şarta dayanırsanız dayanın her durumda geçerlidir (madde 10): veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile madde 11'deki haklar. Açık rıza, "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza"dır (madde 3). Kurum, "her türlü veri işleme faaliyeti" gibi genel ifadeli battaniye rızaları geçersiz sayar, ispat yükünü veri sorumlusuna yükler ve rızanın geri alınmasının beyan size ulaştığı andan itibaren hüküm doğurduğunu belirtir.

Kurul, 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararıyla bu iki metnin ayrılmasını zorunlu kıldı:

Açık rızaya dayanıyorsanız aydınlatma metni ile açık rıza metnini farklı başlıklar altında, her biri için ayrı beyan alacak şekilde düzenleyin; aynı sayfada olsalar bile.
Başka bir işleme şartına dayanıyorsanız yalnızca aydınlatma yapın; ayrıca açık rıza istemeyin.
Müşteriden yalnızca aydınlatma metnini okuduğuna dair geri bildirim alın; metni "onaylamasını" istemeyin.
Başka bir şirketin metinlerini kopyalamayın; veri kategorilerini, amaçları ve hukuki sebepleri açıkça belirten, sade dilli kendi metinlerinizi yazın.

3. VERBİS'e kayıt yükümlülüğünüzü kontrol edin

Madde 16, veri sorumlularının veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmasını ister; Kurul bu yükümlülüğe istisna getirebilir. 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararla son hâlini alan 2018/87 sayılı Kurul kararına göre, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan muaftır. Ana faaliyet konusu özel nitelikli veri işleme olanlar için sınır 10 çalışan ve 10 milyon Türk lirasıdır. Bilanço esasına göre defter tutmayan işletmelerde yalnızca çalışan sayısı esas alınır (2025/2393 sayılı karar).

Kurumun Sorularla VERBİS rehberi (Ekim 2025), yurt dışında yerleşik veri sorumluları için bu eşiklerin dikkate alınmadığını belirtir. Sicil kamuya açık olduğundan, madde 16(3) kapsamında bildirdiğiniz bilgiler (yurt dışına aktarımlar ve azami saklama süreleri dâhil) aydınlatma metninizle örtüşmelidir.

4. Çerez onayını doğru kurgulayın

Türkiye'de sıradan internet siteleri için AB'nin e-Gizlilik (ePrivacy) çerez kuralının doğrudan bir karşılığı yoktur; Kurumun Çerez Uygulamaları Hakkında Rehberi (2025 baskısı), kişisel veri işleyen çerezleri 6698 sayılı Kanun çerçevesinde değerlendirir. Rehberin tavsiyeleri:

Yalnızca kesinlikle gerekli olanları muaf tutun: yalnızca iletimi sağlamak için kullanılan ya da kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olan çerezler.
Birinci taraf analitik çerezler, yalnızca kendi kitlenizi ölçmekle sınırlıysa bu kapsamda değerlendirilebilir; IP maskeleme ve siteler arası takip yapmama önerilir.
Reklam çerezleri açık rıza gerektirir. Siteye girmek rıza değildir; rıza kullanım koşullarına veya gizlilik bildirimine iliştirilemez.
Eşit butonlar: "kabul et", "reddet" ve "tercihler" renk, büyüklük ve punto açısından eşit sunulmalı; rızaya tabi çerezler varsayılan olarak kapalı gelmelidir.
Kolay geri alma: ayarları yeniden açan küçük bir ikon veya bant bırakın; siteye erişimi tüm çerezlerin kabulüne bağlayan çerez duvarı kullanmayın.

Üçüncü taraf çerezler yurt dışındaki şirketlere veri gönderiyorsa madde 9 uygulanır. Rıza bilgisinin reklam platformlarına nasıl iletildiği için çerez onayı ve Consent Mode yazımıza ve sözlükteki Consent Mode maddesine bakabilirsiniz.

5. Yurt dışına her aktarımı haritalayın

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun, madde 9'u yeniden düzenledi; değişiklikler 1 Haziran 2024'te yürürlüğe girdi. Rejim artık aşamalıdır:

Yeterlilik kararı: Kurul bir ülke, sektör veya uluslararası kuruluş için yeterlilik kararı verebilir. Kurum, henüz böyle bir belirleme yapılmadığını belirtmektedir.
Uygun güvenceler: Mağazalar için genellikle Kurulun 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla kabul ettiği, veri sorumlusundan veri işleyene olan dâhil dört türlü standart sözleşme. İmzalanan standart sözleşme, imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir (madde 9(5)).
Arızi aktarımlar: Yalnızca ikisi de mümkün değilse ve yalnızca düzenli olmayan, arızi aktarımlar için; örneğin müşterinin muhtemel riskler hakkında bilgilendirildikten sonra açık rıza vermesi.

Türkiye dışındaki bir barındırma, e-posta veya analitik hizmeti genellikle düzenli aktarım anlamına gelir; bu yüzden güvenceyi önceden planlayın.

6. İlgili kişi başvurularını 30 gün içinde sonuçlandırın

Madde 11, müşterilere bilgi edinme, düzeltme, silme, yalnızca otomatik sistemlerle yapılan analiz sonucuna itiraz ve tazminat hakları tanır. Madde 13'e göre başvuruyu niteliğine göre en kısa sürede ve "en geç otuz gün içinde ücretsiz olarak" sonuçlandırmanız gerekir; işlem ayrıca bir maliyet gerektiriyorsa Kurulun tarifesindeki ücret istenebilir. Başvuru reddedilir veya yanıtsız kalırsa ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir (madde 14). Tek ve duyurulmuş bir başvuru kanalı, ölçülü kimlik doğrulama, süre takip kaydı ve test edilmiş bir hesap dışa aktarımı hazırlayın.

7. Veri ihlallerini 72 saat içinde Kurula bildirin

Madde 12(5), işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu "en kısa sürede" ilgilisine ve Kurula bildirmesini ister. Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bu ifadeyi, ihlalin öğrenildiği andan itibaren 72 saat olarak yorumlar; etkilenen kişilere ise belirlenmelerinin ardından makul olan en kısa sürede, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa örneğin web sitesi üzerinden bildirim yapılır. Karar ayrıca Kurulun bildirim formunun kullanılmasını ve gecikmenin gerekçelendirilmesini, her ihlalin kayda alınmasını, veri işleyenin gecikmeksizin veri sorumlusuna bildirim yapmasını ve düzenli gözden geçirilen bir veri ihlali müdahale planı hazırlanmasını ister. İhlal Türkiye'deki kişileri etkiliyorsa yurt dışında yerleşik veri sorumluları da kapsama girer. Ayrıca bkz. güvenliği bir özellik olarak ele almak.

8. Saklama sürelerini ve silme rutinini belirleyin

İşlenmesini gerektiren sebepler ortadan kalktığında madde 7, verilerin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini ister; buna uyulmaması madde 17 uyarınca suç teşkil edebilir. Kuruma göre kişisel veri saklama ve imha politikası hazırlamış olan veri sorumlusu, silme yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imha işleminde verileri siler. Her veri seti için bir süre belirleyin, bu süreleri VERBİS'te bildirdiğiniz azami sürelerle uyumlu tutun ve silme işlemini otomatikleştirin.

KVKK ile GDPR arasındaki farklar

Online mağazalar için GDPR kontrol listemizi uyguluyorsanız, metinlerde doğruladığımız farklar şunlar:

Temel kural. GDPR altı eşit hukuki dayanak sayar (madde 6); KVKK açık rıza kuralıyla başlar ve istisnaları sayar.
Kayıt. GDPR işleme faaliyetlerinin iç kaydını ister (madde 30); KVKK, istisna yoksa buna ek olarak kamuya açık bir sicile, VERBİS'e kaydı zorunlu tutar.
Başvurular. GDPR bir ay ve iki aylık uzatma imkânı tanır; KVKK metni uzatmasız 30 gün öngörür ve GDPR'ın 20. maddesindeki veri taşınabilirliği hakkına yer vermez.
İhlaller. GDPR'da 72 saat tüzüğün kendisindedir ve risk doğurması muhtemel olmayan ihlaller için istisna vardır; KVKK'da 72 saat bir Kurul kararından gelir ve madde 12(5)'te böyle bir risk eşiği yoktur.
Aktarımlar. AB'nin yeterlilik kararları vardır; Kurul henüz hiçbir yeterlilik kararı vermediğinden yükün çoğunu standart sözleşmeler taşır.

CIQRA'nın yeri

Hiçbir platform bir mağazayı tek başına KVKK'ya uyumlu hâle getiremez; aydınlatma ve açık rıza metinleriniz, VERBİS durumunuz, sözleşmeleriniz ve süreçleriniz veri sorumlusu olarak sizin sorumluluğunuzdadır. CIQRA'nın sunduğu altyapı şudur: verileriniz AB'de, Microsoft Azure'un Almanya'daki veri merkezlerinde barındırılır, yapay zekâ metin işlemleri AB veri bölgesinde yapılır ve her mağazanın verisi veritabanı düzeyinde diğerlerinden ayrı tutulur; 40 dilde çerez onayı sunulur, izin verilmeden ölçüm çerezi yazılmaz, sitede kullanılan çerezler otomatik listelenir ve rıza kayıtları saklanır. Barındırma Almanya'da olduğundan, Türkiye'de yerleşik bir mağaza bunu madde 9 kapsamında yurt dışına aktarım olarak ele almalı ve uygun güvenceyi danışmanıyla planlamalıdır. Türkiye'de satış, TL faturalama ve entegrasyon yetkili iş ortağımız Reklam5 üzerinden yürütülür.

Sıkça sorulan sorular

Küçük bir online mağaza VERBİS'e kaydolmak zorunda mı?

Çoğu zaman hayır: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan, ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumluları muaftır. KVKK'daki diğer tüm yükümlülükler yine geçerlidir.

Aydınlatma metni ve pazarlama rızası tek bir onay kutusuyla alınabilir mi?

Hayır. 2026/347 sayılı karara göre aydınlatma metni ve açık rıza metni ayrı olmalı, ayrı beyanlarla alınmalı; müşteriden yalnızca aydınlatma metnini okuduğunu teyit etmesi istenmelidir.

Online mağazalar için KVKK kontrol listesi (2026)