Dijital pazarlama faaliyetlerinin neredeyse tamamı kişisel veriyle ilgilidir: iletişim formları, bülten kayıtları, çerezler, reklam pikselleri ve müşteri listeleri. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verilerin nasıl toplanacağını, işleneceğini ve saklanacağını düzenler. Bu yazı genel bir farkındalık rehberidir; hukuki danışmanlık yerine geçmez. İşletmenize özel yükümlülükler için mutlaka bir avukata danışın.
Temel kavramlar
- Kişisel veri: Kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgi. Ad, telefon, e-posta, IP adresi ve çerez kimlikleri bu kapsamda değerlendirilebilir.
- Veri sorumlusu: Verilerin işlenme amaçlarını ve yöntemlerini belirleyen kişi veya kurum; çoğunlukla işletmenin kendisi.
- Veri işleyen: Veri sorumlusu adına veriyi işleyen hizmet sağlayıcılar; örneğin e-posta platformu, hosting firması veya ajans.
- Aydınlatma yükümlülüğü: Veri toplanırken kişiye hangi verinin, hangi amaçla, hangi hukuki sebebe dayanarak işlendiğini ve haklarını bildirme yükümlülüğü.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onay.
1. Aydınlatma metniniz hazır mı?
Web sitenizde veri topladığınız her nokta için kişinin bilgilendirilmesi gerekir. Aydınlatma metni anlaşılır bir dille yazılmalı, kolay erişilebilir olmalı ve gerçekte yaptığınız işlemlerle örtüşmelidir. Sitenizde kullandığınız araçlar değiştiğinde (yeni bir analitik aracı veya reklam pikseli gibi) metni de güncellemeyi unutmayın.
2. Aydınlatma ile açık rızayı ayırın
Aydınlatma metnini okuduğunu onaylatmak ile açık rıza almak farklı şeylerdir. Uygulamada sık görülen bir hata, tek bir onay kutusuyla hem aydınlatmanın hem de rızanın alınmaya çalışılmasıdır. Açık rıza gereken durumlarda ayrı ve önceden işaretlenmemiş bir onay alanı kullanılması, hizmetin rıza şartına bağlanmaması önerilir.
3. Çerezler ve onay yönetimi
Zorunlu çerezler dışındaki analitik, pazarlama ve reklam çerezleri için kullanıcı tercihlerini almak üzere bir çerez yönetim aracı kullanın. Kişisel Verileri Koruma Kurumu’nun çerez uygulamalarına ilişkin rehberi bu konuda yol gösterici olabilir. Dikkat edilecek bazı noktalar:
- “Kabul et” ve “Reddet” seçenekleri benzer kolaylıkta sunulmalı.
- Kullanıcı onay vermeden pazarlama çerezleri ve pikseller çalışmamalı.
- Kullanıcı tercihini sonradan kolayca değiştirebilmeli.
- Harita, video ve sosyal medya yerleştirmeleri de çerez kullanabilir; bunları gözden kaçırmayın.
4. Formlarda veri minimizasyonu
İletişim formunda gerçekten ihtiyaç duymadığınız bilgileri istemeyin. Yalnızca adı, iletişim bilgisini ve mesajı almak çoğu zaman yeterlidir. Toplanan form verilerinin ne kadar süre saklanacağını belirleyin ve bu sürenin sonunda verileri silin veya anonim hale getirin.
5. Ticari elektronik iletiler
Kampanya ve tanıtım içerikli SMS, e-posta ve aramalar için 6563 sayılı Kanun kapsamında önceden onay alınması gerekir. İleti Yönetim Sistemi (İYS) yükümlülüklerinizi kontrol edin. Her iletide kolay bir ret (abonelikten çıkma) yolu bulunmalıdır. KVKK kapsamındaki açık rıza ile ticari ileti onayı farklı düzenlemelere tabidir; ikisini aynı metinde karıştırmamaya özen gösterin.
6. Yurt dışına veri aktarımı
Kullandığınız pek çok pazarlama aracının sunucuları yurt dışında bulunur: analitik, e-posta platformları, CRM’ler, reklam pikselleri. Kişisel verilerin yurt dışına aktarılması KVKK’da özel kurallara bağlıdır ve 2024’te yapılan değişikliklerle güncellenmiştir. Hangi araçların hangi verileri nereye aktardığını listeleyin ve uygun aktarım mekanizmasını hukuk danışmanınızla birlikte belirleyin.
7. Reklam hedeflemesinde müşteri listeleri
Müşteri e-posta veya telefon listelerini reklam platformlarına yüklemek (özel hedef kitleler) de bir veri işleme ve çoğu zaman aktarım faaliyetidir. Bu kullanımın aydınlatma metninizde yer aldığından ve gerekli hukuki dayanağın bulunduğundan emin olun.
8. Veri güvenliği
Panel şifrelerini güçlü tutun, iki adımlı doğrulamayı açın ve form verilerine yalnızca ihtiyacı olan kişilerin erişmesini sağlayın. Ajanslar ve serbest çalışanlarla çalışırken erişim yetkilerini kişi bazında verin ve iş bittiğinde kaldırın. Ayrılan çalışanların hesap erişimlerini hemen kapatın.
9. Başvurulara hazırlıklı olun
Kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir. Bu başvuruların hangi kanaldan alınacağını ve kimin yanıtlayacağını önceden belirleyin.
Sık sorulan sorular
Küçük işletmeler de KVKK’ya tabi mi?
Kişisel veri işleyen her gerçek ve tüzel kişi KVKK kapsamındadır. VERBİS’e kayıt yükümlülüğü ise çalışan sayısı ve bilanço büyüklüğü gibi kriterlere göre değişir; bu yükümlülükten muaf olmak, kanunun diğer kurallarından muaf olmak anlamına gelmez.
Hazır bir aydınlatma metni kullanabilir miyim?
Şablonlar başlangıç noktası olabilir ama metnin sizin gerçek veri işleme faaliyetlerinizi yansıtması gerekir. Kullanmadığınız araçlardan bahseden veya kullandıklarınızı atlayan bir metin hem yanıltıcıdır hem de risk oluşturur.
Ajansım verilerimi işliyorsa sorumluluk kimde?
Genellikle işletme veri sorumlusu, ajans ise veri işleyen konumundadır; ancak bu ilişki somut duruma göre değişebilir. Ajansla aranızdaki rolleri ve veri güvenliği yükümlülüklerini yazılı bir sözleşmeyle netleştirmeniz önerilir.
Zentora ile bir sonraki adım
Bu adımları kendi işletmenize uygulamak istiyor ama nereden başlayacağınızı bilmiyorsanız yalnız değilsiniz. Zentora Ajans olarak İzmir’den tüm Türkiye’ye SEO, Google ve Meta reklamları, sosyal medya, web tasarım ve pazaryeri yönetimi hizmetleri veriyoruz. Mevcut durumunuzu birlikte inceleyelim ve size özel, ölçülebilir bir yol haritası çıkaralım.
İletişim sayfamızdan bize yazın ya da 0506 093 12 97 numaralı telefondan ulaşın; ücretsiz ön görüşmede ihtiyacınızı dinleyelim.
