Çerez politikası & KVKK aydınlatma metni

Bir ziyaretçi sitenize girer girmez, henüz tek bir satır bile okumadan, tarayıcısına çerezler yerleşmeye başlayabilir. Ekranın altında beliren, çoğu kişinin bakmadan "Kabul et" dediği o küçük kutu aslında iki şeyin kesiştiği yerdir: güven ve şeffaflık. İşte çerez politikası ve KVKK aydınlatma metni tam burada devreye girer — müşteriye "senden hangi veriyi, neden ve ne kadar süre alıyorum" sorusunun dürüst cevabını verirler.

Bu yazı, küçük bir işletme olarak sitenize giren müşteriyi yasal ve şeffaf biçimde nasıl bilgilendireceğinizi genel hatlarıyla anlatıyor: çerez nedir, banner nasıl kurulur, iki metinde ne yazar, pratikte nereden başlanır ve en sık nerede hata yapılır. Baştan bir not: bu bir hukuki tavsiye değil, genel bir rehberdir. Mevzuat ve Kurul rehberleri zaman içinde güncellenebildiği için, önemli kararlarda güncel kaynakları ve gerektiğinde bir uzmanı kontrol etmeniz en sağlıklısıdır.

Çerez politikası ile aydınlatma metni aynı şey değil

Çoğu site sahibi bu ikisini birbirine karıştırır ve tek bir metnin her şeyi çözeceğini sanır. Oysa farklı işler yaparlar. Aydınlatma metni geniş çerçevedir: kişisel verinizi kim, hangi amaçla, hangi hukuki sebebe dayanarak işliyor; ne kadar saklıyor, kimlerle paylaşıyor ve kişinin hakları neler — hepsini anlatır. Çerez politikası ise bu resmin sitenizdeki çerezlere ve benzeri izleyicilere odaklanan, daha teknik bir parçasıdır.

Basit bir benzetme kuralım. Aydınlatma metni evin tamamının krokisidir; çerez politikası ise sadece kapıdaki kameranın ne kaydettiğini anlatan küçük bir levhadır. İkisi birbirini tamamlar, biri diğerinin yerine geçmez.

• Aydınlatma metni her veri toplama noktasını kapsar: iletişim formu, sipariş, e-bülten kaydı, hatta WhatsApp'tan gelen ilk mesaj bile bu çerçevenin içindedir.
• Çerez politikası yalnızca çerezleri, pikselleri ve tarayıcıda veri tutan benzeri teknolojileri açıklar; onların adını, amacını ve ömrünü listeler.

Peki çerez tam olarak nedir?

Çerez, sitenizin ziyaretçinin tarayıcısına bıraktığı küçük bir metin dosyasıdır. Bazıları sepeti dolu tutmak ya da oturumu açık bırakmak için şarttır; bazıları ise ziyaretçiyi siteler arasında takip edip reklam göstermek için vardır. Hepsini aynı kefeye koymak en sık yapılan hatadır.

Kabaca dört gruba ayrılırlar ve bu ayrım, banner'ınızın nasıl davranması gerektiğini de belirler:

• Zorunlu çerezler sitenin çalışması için gereklidir; sepet, giriş, güvenlik gibi. Genelde bunlar için ayrıca izin beklenmez ama yine de metinde açıklanır.
• İşlevsel çerezler dil tercihi, bölge ya da yazı boyutu gibi konfor ayarlarını hatırlar.
• Analitik çerezler kaç kişinin geldiğini ve hangi sayfada kaldığını ölçer; çoğu ölçüm aracı bunlara dayanır.
• Pazarlama çerezleri ziyaretçiyi profilleyip yeniden hedefleme ve reklam için izler; dördü içinde en hassas grup budur.

Bir de köken ayrımı var: kendi alan adınızın bıraktığı birinci taraf çerezler ile reklam ağı, sosyal medya butonu ya da harici ölçüm aracının bıraktığı üçüncü taraf çerezler. Üçüncü taraf olanlar genelde daha fazla açıklama ve çoğu durumda açık rıza gerektirir.

İyi bir çerez banner'ı nasıl davranır?

Kötü banner, ziyaretçiyi köşeye sıkıştırır: kocaman bir "Kabul Et" düğmesi, reddetmek içinse üç menü derinliğinde gizlenmiş bir bağlantı. Bu "karanlık desen" hem güveni yıkar hem de birçok yerde geçerli bir rıza sayılmaz.

İyi bir banner birkaç ilkeye uyar. En önemlisi şudur: zorunlu olmayan çerezler, ziyaretçi seçim yapmadan ateşlenmemelidir. Yani analitik ve pazarlama çerezleri, "Kabul et"e basılana kadar beklemelidir. Kişisel Verileri Koruma Kurumu'nun çerezlere dair yayımladığı rehber de benzer bir çizgide durur; yine de ayrıntı için güncel metne bakmakta fayda var.

Kabul etmek en az reddetmek kadar kolay olmalı — aynı ekranda, aynı büyüklükte, tek tıkla.

Pratikte iyi bir banner: sade bir dille ne topladığını söyler, "Tümünü kabul et" ile "Tümünü reddet"i eşit ağırlıkta sunar, kategori kategori seçime izin verir ve çerez politikasına bağlantı verir. Verilen izni sonradan geri almak da en az vermek kadar kolay olmalıdır. Küçük bir el yapımı sabun dükkânı bile bu dengeyi kurabilir; mesele bütçe değil, niyet ve birkaç doğru ayardır.

1Ziyaret2Banner3Seçim4Çerezler

Çerez politikasında neler yazar?

Çerez politikası teknik ama okunur olmalıdır. Ziyaretçi, tablo gibi net bir yapıda hangi çerezin ne işe yaradığını görebilmeli. İçinde genellikle şunlar bulunur:

• Çerez listesi ve amaçları: her çerezin adı, ne için kullanıldığı ve hangi kategoriye girdiği.
• Saklama süresi: çerezin tarayıcıda ne kadar kaldığı; oturumluk mu, yoksa aylarca mı.
• Üçüncü taraflar: veriyi kimlerle paylaştığınız; ölçüm, reklam ya da sohbet araçları.
• Kontrol yolları: ziyaretçinin iznini nasıl değiştireceği ya da çerezleri tarayıcıdan nasıl sileceği.

Bu listeyi güncel tutmak önemlidir. Siteye yeni bir sohbet aracı ya da reklam pikseli eklediğinizde çoğu zaman yeni çerezler de gelir; politikanın bunu yansıtması gerekir. Aksi halde metin, sitenizin gerçeğini değil, geçmişini anlatır. Basit bir tablo, hem ziyaretçinin hem de sizin işinizi kolaylaştırır.

KVKK aydınlatma metninde neler bulunur?

Aydınlatma metni daha geniş bir sözdür; KVKK kapsamında veriyi işleyen tarafın yerine getirmesi beklenen bir yükümlülüktür. Amacı, kişiye verisi üzerinde ne olup bittiğini sade bir dille anlatmaktır. İçeriği kabaca şu başlıklardan oluşur ve aşağıdaki şema bunları bir arada gösteriyor.

AydınlatmametniVeri sorumlusuHangi verilerİşleme amacıHukuki sebepHaklarınız

Metnin dili avukat diliyle değil, müşterinin anlayacağı Türkçeyle yazıldığında işe yarar. Verinin ne kadar süre saklandığı ve kimlerle paylaşıldığı da mutlaka yer alır. Kişinin hakları ise metnin kalbidir: verisine erişme, düzeltme, silinmesini isteme ve bir başvuru yolu. Başvuru için genelde bir e-posta adresi ya da form vermek gerekir.

Burada tekrar hatırlatalım: hangi verinin hangi hukuki sebebe dayandığı işletmeden işletmeye değişir ve bu, mevzuatın en teknik kısmıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu ve Kurul rehberlerini temel alan hazır bir şablonu körlemesine kopyalamak yerine, kendi veri akışınıza göre uyarlayın; emin değilseniz danışın.

Küçük bir işletme bunu pratikte nasıl kurar?

İyi haber: bunu kurmak için bir hukuk departmanına ihtiyacınız yok. Mantıklı bir sıra izlemek çoğu küçük işletme için yeterli bir başlangıçtır.

1. Sitenizi tarayın: hangi çerezlerin gerçekten çalıştığını görün. Çoğu zaman insanı şaşırtan, yıllar önce eklenip unutulmuş izleyicilerdir.
2. Kategorilere ayırın: her çerezi zorunlu, işlevsel, analitik ve pazarlama olarak etiketleyin.
3. Bir rıza aracı kurun: gerçek bir seçim sunan, tercihi kaydeden ve zorunlu olmayanları izne kadar bekleten bir banner ekleyin.
4. Metinleri yazın: çerez politikanızı ve aydınlatma metninizi sade dille hazırlayıp erişilebilir bir yere koyun.
5. Düzenli gözden geçirin: siteye yeni araç ekledikçe listeyi ve metni güncelleyin.

Bu, tek seferlik bir iş değildir. Yılda bir kez ya da siteye yeni bir araç eklediğinizde on dakikanızı ayırıp listeyi kontrol etmek, çoğu sorunu daha doğmadan çözer. Üstelik bu alışkanlık, bir müşteri sorusu ya da denetim geldiğinde sizi hazırlıksız yakalamaz.

En sık yapılan hatalar

Dürüst olalım: en yaygın hata, bir başkasının çerez politikasını kopyalayıp yalnızca kendi site adını yazmaktır. O metin sizin araçlarınızı değil, kopyaladığınız sitenin araçlarını anlatır — yani ilk satırından itibaren yanlıştır.

• Banner'ı süs sanmak: çerezleri izin öncesi ateşleyen bir banner güzel görünse de asıl işini yapmaz.
• "Reddet"i saklamak: reddetmeyi zorlaştırmak kısa vadede veri kazandırır gibi görünür ama güveni ve çoğu yerde geçerliliği kaybettirir.
• Metni bir kez yazıp unutmak: araçlar değişir, çerezler değişir; güncellenmeyen bir politika kısa sürede gerçeği yansıtmaz olur.
• Her şeyi tek metne sıkıştırmak: aydınlatma metni ile çerez politikasını birbirine karıştırmak ikisini de bulanıklaştırır.

Topladığınız veri banner'dan sonra nereye gidiyor?

Şeffaflık banner'da bitmiyor. Ziyaretçi formu doldurduğunda, WhatsApp'tan yazdığında ya da teklif istediğinde bu veri bir yere akıyor — çoğu işletmede bu yer bir CRM. Aydınlatma metninizde "verinizi şu amaçla, şu kadar süre tutuyoruz" diye söz veriyorsanız, arka tarafta da bu sözü tutabilmeniz gerekir. İki kişilik bir emlak ofisinde bile bu zincir aynı işler: önce izin, sonra kayıt, sonra da zamanı gelince silme.

İşte tam burada verinin nerede durduğu önem kazanıyor. KVKK'ya uygun bir CRM kurgusu, kimden hangi izinle veri aldığınızı takip etmeyi ve söz verdiğiniz sürede silmeyi kolaylaştırır. Aynı mantık veri saklama ve silme politikası tarafında da geçerli: ne kadar tutacağınıza baştan karar verip buna sadık kalmak.

Doğru kurgulanmış bir CRM tam bu noktada işe yarar. Form, WhatsApp, Instagram ve e-postadan gelen kaydı tek bir gelen kutusunda toplarken, hangi kişinin hangi izne sahip olduğunu da yanında tutabilir. CRM'in ne olduğuna dair temel bir bakış için CRM nedir yazısına göz atabilirsiniz. Böylece banner'da verdiğiniz söz ile sistemdeki gerçek birbirini tutar.

Sıkça sorulan sorular

Özetle, çerez banner'ı ve aydınlatma metni bir formalite değil; müşteriye "verini ciddiye alıyorum" demenin en görünür yoludur. Sade bir dille ne topladığınızı söyleyin, seçimi kolaylaştırın ve sözünüzü arka tarafta da tutun. Bir CRM seçerken izin ve veri yönetimini de kriterlerinizden biri yapın; doğru CRM'i seçme rehberi bu kararı biraz daha kolaylaştırabilir. Rocketly gibi bir araç, formdan ve mesajlaşmadan gelen veriyi izniyle birlikte düzenli tutarak bu sözü tutmayı kolaylaştırır.

Son bir hatırlatma: bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kendi işinize özgü durumlar için mutlaka yürürlükteki mevzuatı ve gerektiğinde bir uzmanın görüşünü esas alın; çünkü kurallar da, sitenizdeki çerezler de zamanla değişir.