E-ticarette KVKK ve pazarlama izni

E-ticaret, kişisel veri hukukunun en yoğun uygulandığı alanlardan biridir: tek bir sipariş; kimlik, iletişim, adres, ödeme ve alışveriş geçmişi verilerini aynı anda üretir. Buna bir de pazarlama iletileri eklendiğinde, iki ayrı mevzuatın — KVKK ve elektronik ticaret mevzuatının — kesiştiği bir alan ortaya çıkar. Uygulamadaki hataların çoğu bu kesişimin karıştırılmasından doğar.

Hangi veri, hangi hukuki sebep?

E-ticarette işlenen verilerin büyük bölümü açık rıza gerektirmez:

• Sipariş ve teslimat verileri — sözleşmenin kurulması ve ifası için gereklidir.
• Fatura ve muhasebe kayıtları — vergi mevzuatından doğan hukuki yükümlülüğe dayanır.
• Mesafeli satış mevzuatı kapsamındaki kayıtlar — kanunlarda açıkça öngörülmüştür.
• Uyuşmazlık dosyaları — bir hakkın tesisi, kullanılması veya korunması kapsamındadır.

Açık rıza esas olarak şu üç alanda gündeme gelir: pazarlama amaçlı işleme, profilleme/kişiselleştirme ve kart bilgisinin sonraki alışverişler için saklanması. Bunlar da amaç bazında ayrı ayrı sorulmalıdır; tek bir toplu onay, açık rızanın belirlilik şartını karşılamaz.

İki ayrı onay: KVKK açık rızası ve ticari ileti onayı

En sık yapılan hata, bu ikisini tek bir kutuda birleştirmektir. Oysa farklı mevzuatlardan doğarlar ve birlikte gerekirler:

• KVKK açık rızası, kişisel verinin pazarlama amacıyla işlenmesine ilişkindir.
• Ticari elektronik ileti onayı, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında, alıcıya ileti gönderilmesine ilişkindir. Bu onayların İleti Yönetim Sistemi'ne (İYS) kaydedilmesi ve alıcıya her iletide ret imkânı sunulması gerekir.

Birini almak diğerinin yerine geçmez. Ret hakkı da ayrı işler: alıcı iletileri reddettiğinde gönderim durur; kişisel verinin pazarlama amacıyla işlenmesine ilişkin açık rızasını geri çektiğinde ise işleme faaliyetinin kendisi durur.

Aydınlatma nerede yapılır?

Aydınlatma, verilerin elde edilmesi sırasında yapılmalıdır: üyelik formunda, sipariş adımında, iletişim formunda ve çerez bandında ayrı ayrı. Sitede bulunması gereken metinleri ayrı bir yazıda topluca listeledik.

Metnin sitede durması, belirli bir müşteriye aydınlatma yapıldığını ispatlamaz; hangi kullanıcıya hangi metin sürümünün gösterildiğinin kayda geçmesi gerekir. Bu ayrım aydınlatmanın ispatı yazımızın konusudur.

Tedarikçi zinciri: kargo, ödeme, pazarlama araçları

E-ticarette veri, tek bir şirkette durmaz. Her halkanın sıfatı ayrı ayrı belirlenmelidir: ödeme kuruluşu ve kargo firması çoğu zaman kendi yasal yükümlülükleri nedeniyle ayrı veri sorumlusu konumundayken; e-posta gönderim aracı, çağrı merkezi veya bulut altyapısı veri işleyen olabilir.

Sıfat belirlendikten sonra veri işleyenlerle sözleşme kurulur; yurtdışı merkezli araçlar kullanılıyorsa ayrıca yurtdışına aktarım dayanağı gerekir. Pazarlama otomasyonu ve analitik araçları bu başlığın en çok atlanan kısmıdır.

Sık yapılan hatalar

1. Üyeliği pazarlama iznine bağlamak. "Kampanya iletilerini kabul etmeyen üye olamaz" kurgusu, rızayı özgür olmaktan çıkarır.
2. Ön işaretli onay kutuları. Sayfa açıldığında işaretli gelen kutu geçerli rıza üretmez.
3. KVKK rızası ile ileti onayını birleştirmek. İki ayrı mevzuat, iki ayrı beyan.
4. Ret talebini geciktirmek. Ret hakkı kullanıldığında gönderim durdurulmalıdır; "bir sonraki gönderim listesinde çıkarılır" savunulabilir değildir.
5. Kart bilgisini rızasız saklamak. Sonraki alışverişlerde kullanılmak üzere kart saklanması ayrı bir amaçtır ve ayrıca sorulmalıdır.
6. Üyelik silindiğinde her şeyi silmek. Fatura ve sipariş kayıtları mevzuat gereği saklanır; silme talebi bu kayıtları kapsamaz. Doğru cevap "hepsini sildik" değil, hangi verinin hangi sebeple saklandığını açıklamaktır.
7. Terk edilmiş sepet ve yeniden hedefleme iletilerini rızasız göndermek.

Bütüncül gözden geçirme

E-ticarette küçük görünen bir değişiklik — sepete bir alan eklemek, yeni bir pazarlama aracı bağlamak, yeni bir kargo firmasıyla çalışmak — belge zincirinin tamamını hareket ettirir. Böyle bir değişiklikte: kişisel veri envanterine yeni veri kategorisi ve amaç işlenmeli, üyelik ve sipariş aydınlatma metinleri güncellenmeli, pazarlama söz konusuysa açık rıza ve İYS onayı yapısı ayrı ayrı kurulmalı, çerez politikası yeni araçları listelemeli (çerez uyumu), tedarikçinin sıfatına göre veri işleyen sözleşmesi veya aktarım dayanağı kurulmalı, saklama ve imha politikası yeni verinin süresini tanımlamalı ve VERBİS kaydı bunlarla tutarlı hâle getirilmelidir.

İki mevzuatın kesiştiği bu alanda tek başına KVKK okuması yeterli olmaz; ticari ileti ve mesafeli satış mevzuatı da birlikte değerlendirilmelidir. Bu nedenle süreçlerinizin hukuki destek alınarak kurgulanmasını öneririz; Genç Partners bu kesişimde yol gösterir. Açık rıza yönetimi hizmetimiz ise amaç bazlı rızaların toplanmasını, geri çekmenin işletilmesini ve tarihçenin saklanmasını üstlenir.

Özet

• Sipariş, fatura ve teslimat verileri rıza dışı sebeplere dayanır; rıza pazarlama, profilleme ve kart saklama için gerekir.
• KVKK açık rızası ile ticari elektronik ileti onayı ayrı ayrı alınır; onaylar İYS'ye kaydedilir.
• Üyeliği pazarlama iznine bağlamak rızayı geçersiz kılar.
• Silme talebi, mevzuat gereği saklanan fatura ve sipariş kayıtlarını kapsamaz.
• Kargo, ödeme ve pazarlama araçlarının sıfatı ayrı ayrı belirlenmelidir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. E-ticaret süreçlerinizin mevzuata uyarlanması için hukuki destek alınız.