E-ticarette KVKK aydınlatma metni; veri sorumlusunun kimliğini, hangi kişisel verilerin hangi amaçlarla işlendiğini, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebini ve ilgili kişinin haklarını açıkça anlatmalıdır. Aydınlatma bir bilgilendirmedir; pazarlama gibi işlemler için gereken açık rıza ayrı bir metinle alınmalıdır.
- Aydınlatma metni ve açık rıza metni farklı belgelerdir; tek metinde birleştirmek yaygın bir hatadır.
- Shopify, ödeme kuruluşu, kargo ve reklam platformlarıyla veri paylaşımını metinde açıkça belirtmelisiniz.
- Yurt dışına veri aktarımı ve VERBİS yükümlülüğü gibi konular işletmeye göre değişir; bir avukata danışın.
1. KVKK aydınlatma metninde hangi unsurlar bulunmalı?
Kişisel Verilerin Korunması Kanunu, veri sorumlusuna verileri elde ederken ilgili kişiyi bilgilendirme yükümlülüğü getirir. Bir e-ticaret sitesinde bu, müşterinin üye olurken, sipariş verirken veya bültene kaydolurken hangi verisinin neden toplandığını öğrenebilmesi anlamına gelir.
Metin kısa ve anlaşılır olmalı; hukuk dilinin arkasına saklanan, hiçbir somut amaç belirtmeyen metinler bu yükümlülüğü karşılamaz.
- Veri sorumlusunun (işletmenizin) unvanı ve iletişim bilgileri.
- Kişisel verilerin hangi amaçlarla işleneceği (sipariş teslimi, faturalama, müşteri hizmetleri vb.).
- Verilerin kimlere ve hangi amaçla aktarılabileceği (kargo, ödeme kuruluşu, muhasebe, altyapı sağlayıcısı).
- Veri toplama yöntemi ve hukuki sebebi.
- Kişinin kanundan doğan hakları ve başvuru yolu.
2. E-ticarette hangi veri hangi hukuki sebeple işlenir?
Her veri işleme faaliyetinin bir hukuki sebebe dayanması gerekir. Sipariş teslimi için adres işlemek genellikle sözleşmenin ifası kapsamında değerlendirilirken, pazarlama e-postası göndermek ya da reklam amaçlı takip yapmak çoğu durumda açık rıza gerektirir.
Aşağıdaki tablo tipik bir e-ticaret senaryosunu örneklemektedir; kendi veri envanterinizi çıkarırken başlangıç noktası olarak kullanabilirsiniz. Hangi sebebin size uygun olduğuna avukatınızla karar verin.
| Veri | Amaç | Sık kullanılan hukuki sebep |
|---|---|---|
| Ad, adres, telefon | Siparişin teslimi | Sözleşmenin kurulması/ifası |
| Fatura bilgileri, TC/VKN | Fatura düzenleme | Hukuki yükümlülük |
| Sipariş ve iade geçmişi | Müşteri hizmetleri, uyuşmazlık | Meşru menfaat / hukuki yükümlülük |
| E-posta (bülten) | Kampanya duyurusu | Açık rıza (ayrıca İYS kaydı) |
| Çerez ve piksel verisi | Reklam ve yeniden pazarlama | Açık rıza |
3. Shopify kullanırken yurt dışına veri aktarımı nasıl ele alınır?
Shopify, Meta, Google ve pek çok e-posta pazarlama aracı verileri yurt dışındaki sunucularda işler. Bu durum KVKK açısından yurt dışına veri aktarımı konusunu gündeme getirir ve kanundaki aktarım şartlarının karşılanmasını gerektirir. Son yıllarda bu alandaki düzenlemeler değiştiği için güncel kuralı mutlaka teyit edin.
Aydınlatma metninde verilerin yurt dışındaki hizmet sağlayıcılara aktarılabileceğini ve amacını açıkça yazmak şeffaflığın temelidir. Ancak aktarımın hangi mekanizmaya dayanacağı (örneğin standart sözleşme veya diğer yöntemler) hukuki bir değerlendirmedir ve bir KVKK avukatıyla netleştirilmelidir.
4. Aydınlatma metni Shopify mağazasında nereye konmalı?
Metni bir sayfa olarak oluşturup footer’a, üyelik formuna, bülten kayıt kutusuna ve ödeme adımına link olarak ekleyin. Kullanıcının veriyi vermeden önce metne ulaşabilmesi önemlidir; yalnızca footer’da bırakmak çoğu zaman yeterli görülmez.
Bülten veya SMS izni gibi açık rıza gerektiren işlemler için önceden işaretlenmemiş ayrı bir onay kutusu kullanın. Bu yazı genel bilgilendirmedir; KVKK uyumunuzu ve VERBİS kaydı gerekip gerekmediğini mutlaka bir avukat ve mali müşavirle değerlendirin.
VERBİS kaydı kimler için zorunlu?
VERBİS, veri sorumlularının kayıt olduğu sicildir. Kişisel Verileri Koruma Kurulu, belirli çalışan sayısı ve yıllık mali bilanço eşiklerinin altındaki işletmeleri, ana faaliyetleri özel nitelikli kişisel veri işlemek olmadığı sürece kayıt yükümlülüğünden muaf tutmuştur.
Küçük bir e-ticaret işletmesi genellikle bu muafiyet kapsamına girer; ancak eşikler ve kurallar güncellenebilir. VERBİS’ten muaf olmak, aydınlatma yükümlülüğünden muaf olmak anlamına gelmez; aydınlatma metni her durumda gereklidir.
Açık rıza ne zaman gerekir?
E-ticaretteki veri işleme faaliyetlerinin çoğu açık rızaya ihtiyaç duymaz: siparişin teslimi için adres ve telefon, fatura için kimlik ve vergi bilgisi sözleşmenin ifası veya kanuni yükümlülük kapsamında işlenir.
Pazarlama amaçlı e-posta ve SMS gönderimi, analiz ve reklam çerezleri ile bazı yurt dışı aktarımlar ise açık rıza veya başka özel şartlar gerektirebilir. Her işleme faaliyetini doğru hukuki sebebe bağlamak, gereksiz rıza kutularının önüne geçer ve müşteriyi yormaz.
Müşteri veri talebinde bulunursa ne yapılır?
Müşteriler verilerine erişim, düzeltme veya silme talebiyle başvurabilir:
- Başvurunun kimden geldiğini doğrulayın; başkasının verisini paylaşmayın.
- Talebi en geç 30 gün içinde cevaplayın.
- Silme talebinde, yasal saklama süresi olan kayıtları (fatura gibi) saklamaya devam edeceğinizi açıklayın.
- Shopify’da müşteri verisi talepleri için müşteri sayfasındaki veri dışa aktarma ve silme işlemlerini kullanın.
Bu Konuyla İlgili Çözümlerimiz ve Örnek Çalışmamız
Shopify mağazanızda Türk müşterilerin alışkın olduğu tüm kolaylıkları sunun: Ürün sayfasında banka taksitlerini gösterin, sipariş geldiğinde kargo barkodunuz otomatik hazırlansın.
Kozmetik ve dermokozmetik markaları için İnteraktif Cilt Tipi Testi (Routine Quiz), Kendi Rutinini Oluştur (Bundle), içerik sözlüğü ve yüksek tekrar satın alma mimarisi.
Merak edilenler
Konuyla İlgili Sıkça Sorulan Sorular
Shopifyci ekibi olarak Türkiye’de ve yurt dışında satış yapan markalar için hızlı açılan, İyzico/PayTR ve kargo entegrasyonları tamamlanmış anahtar teslim Shopify mağazaları kuruyoruz.