E-Ticaret Sitelerinde KVKK Aydınlatma Metni Hakkında Genel Notlar
Uyarı: Bu metin bilgilendirme amaçlı şablondur; mevzuata uyum için hukuk danışmanına başvurun.
E-ticaret siteleri, müşteri kimlik bilgileri, adres, sipariş detayları, ödeme bilgileri ve iletişim verileri gibi çok sayıda kişisel veri işler. KVKK kapsamında bu verilerin işlenmesi için aydınlatma yükümlülüğü bulunmaktadır. Ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği gibi düzenlemeler de e-ticaret faaliyetlerini kapsar. Bu yazıda e-ticaret siteleri için aydınlatma metninde genel çerçevede ele alınması önerilen konular özetlenmektedir. E-ticaret sürecinde veri toplama çeşitli aşamalarda gerçekleşir: üyelik kaydı, sepet, ödeme, teslimat takibi; her aşamada aydınlatmanın uygun zamanda yapılması önerilir.
E-ticaret siteleri genellikle müşteri ilişkileri yönetim sistemi (CRM), envanter yönetimi, e-posta pazarlama araçları ve ödeme işlemcisi gibi çok sayıda üçüncü taraf hizmet kullanır. Her bir veri paylaşımının aydınlatma metninde açıklanması, veri işleyen sözleşmelerinin yapılması önerilir. Büyük e-ticaret platformlarında VERBİS kayıt yükümlülüğü söz konusu olabilir; bu konuda hukuk danışmanına başvurulması tavsiye edilir.
E-Ticarette İşlenen Veriler
E-ticaret sürecinde müşteriden toplanan veriler arasında ad, soyad, T.C. kimlik numarası (fatura için gerekli hallerde), adres (teslimat ve fatura adresi), telefon, e-posta, sipariş içeriği ve ödeme bilgileri yer alabilir. Üyelik kaydı sırasında toplanan veriler ile misafir alışveriş (guest checkout) ile toplanan veriler farklı işleme sürelerine tabi olabilir. Kupon veya hediye çeki kullanımı, puan programı kaydı gibi ek faaliyetler de ek veri işleme faaliyetleri oluşturur; bunların aydınlatma metninde ayrı ayrı ele alınması önerilir. Müşteri yorumları, değerlendirmeler veya ürün incelemeleri de kişisel veri kapsamında değerlendirilebilir; bu içeriklerin yayınlanması için aydınlatma ve gerekli hallerde açık rıza değerlendirilmelidir.
Ödeme işlemleri bazen üçüncü taraf ödeme sağlayıcıları (işlemci, banka) üzerinden gerçekleşir; bu durumda hem sizin hem de ödeme sağlayıcısının veri sorumlusu veya veri işleyen sıfatı değerlendirilmelidir. Kredi kartı bilgilerinin ödeme sağlayıcısı tarafından işlendiği ve PCI-DSS gibi standartlara tabi olduğu unutulmamalıdır.6563 Sayılı Kanun ve Mesafeli Sözleşmeler
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, elektronik ticaret faaliyetlerini düzenlemektedir. Mesafeli Sözleşmeler Yönetmeliği ise mesafeli satış sözleşmelerinde tarafların hak ve yükümlülüklerini, cayma hakkını ve bilgilendirme yükümlülüklerini düzenler. Ön bilgilendirme formunda tüketicinin cayma hakkı, bedel iadesi, şikayet ve itiraz yolları gibi bilgiler yer almalıdır. KVKK aydınlatma metni, bu ön bilgilendirmeden ayrı olarak kişisel veri işleme faaliyetlerine ilişkindir; ancak ödeme veya sipariş onay sayfasında her iki bilgilendirme de birlikte sunulabilir. Cayma süresi içinde müşteri iade talebinde bulunursa, iade sürecinde toplanan verilerin (iade formu, kargo takibi vb.) de aydınlatma kapsamında değerlendirilmesi önerilir. Ön bilgilendirme formu, sipariş onayı ve cayma hakkı bildirimi gibi hususlar bu mevzuat kapsamındadır. KVKK aydınlatma metni, bu bilgilendirmelerden ayrı olarak kişisel veri işleme faaliyetlerine ilişkindir; ancak sözleşme akışında birlikte sunulabilir.
Veri Saklama Süreleri
E-ticaret verilerinin ne kadar süreyle saklanacağı, vergi mevzuatı, tüketici mevzuatı ve ticari kayıt yükümlülükleri ile birlikte değerlendirilmelidir. Örneğin fatura bilgileri vergi mevzuatı gereği belirli süre saklanmak zorunda olabilir. Cayma hakkı süresi dolana kadar sipariş bilgilerinin tutulması gerekebilir. Aydınlatma metninde bu sürelerin genel çerçevede belirtilmesi önerilir; somut süreler için muhasebe ve hukuk danışmanınıza başvurmanız tavsiye edilir.
Ödeme İşlemcisi İlişkisi
Ödeme işlemcisi veya ödeme ağ geçidi kullanıyorsanız, kart bilgilerinin sizin sunucularınıza gelmeden işlendiği yapılar tercih edilebilir. Bu durumda siz doğrudan kart numarası gibi hassas verileri toplamıyorsanız, aydınlatma metninde ödeme sürecinin nasıl işlediği ve veri sorumlusu/veri işleyen rollerinin nasıl dağıldığı açıklanabilir. Ödeme sağlayıcısıyla yapılan sözleşmede KVKK uyum maddelerinin bulunması genel olarak önerilir.
Ticari Elektronik İleti
E-posta veya SMS ile kampanya, indirim veya ürün duyurusu göndermek ticari elektronik ileti kapsamındadır. 6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca alıcı onayı gerekebilir. Ticari elektronik ileti ile KVKK açık rıza ayrı ayrı değerlendirilir; her iki mevzuatın gereklilikleri de karşılanmalıdır. Üyelik formunda veya satın alma sırasında "Kampanya ve duyurulardan e-posta/SMS ile haberdar olmak istiyorum" şeklinde ayrı ve işaretlenebilir (opt-in) onay kutusu kullanılması önerilir. Önceden onay vermemiş müşterilere ticari ileti gönderilmemesi, hem 6563 sayılı Kanun hem de KVKK açısından önem taşır. İstemediğini belirten (opt-out) müşterilerin listesinin tutulması ve bu kişilere ileti gönderilmemesi de yasal yükümlülüklerdendir.
KVKK açısından da pazarlama iletişimi için açık rıza alınması genel olarak önerilir. Sipariş veya teslimat bildirimi gibi iletişimler ise sözleşmenin ifası amacıyla farklı hukuki sebeple değerlendirilebilir; bu ayrımın aydınlatma metninde netleştirilmesi tavsiye edilir.
Pratik Öneriler
Kayıt, sepete ekleme, ödeme ve teslimat aşamalarında ilgili kişiyi uygun zamanda aydınlatın. E-ticaret sitenizde çok dilli hizmet sunuyorsanız, aydınlatma metninin ilgili dillerde de erişilebilir olması önerilir. Müşteri memnuniyet anketi, puan değerlendirmesi veya sadakat programı gibi ek hizmetler sunuyorsanız, bunların da aydınlatma metninde ayrı başlıklarla ele alınması faydalı olabilir. Ürün önerisi veya "bunu da beğenebilirsiniz" gibi kişiselleştirme özellikleri kişisel veri işleme kapsamına girebilir; bu tür özelliklerin aydınlatmada belirtilmesi tavsiye edilir. Üyelik kayıt formunda, ödeme ekranında veya sipariş onay sayfasında KVKK aydınlatma metnine link verilmesi yaygın uygulamalardandır. Mümkünse "KVKK metnini okudum, kabul ediyorum" onayı alınması, bilgilendirildiğinin belgelenmesi açısından faydalı olabilir. Pazarlama iletişimi için ayrı ve işaretlenebilir (opt-in) onay kutusu kullanılması önerilir. Verilerin güvenli saklanması ve yetkisiz erişime karşı korunması (SSL, güvenli ödeme altyapısı vb.) hem KVKK hem de tüketici güveni açısından önemlidir.
Kargo ve Lojistik
Sipariş teslimatı için kargo firmalarıyla paylaşılan müşteri adresi ve iletişim bilgileri, veri aktarımı kapsamındadır. Kargo firmasına verilen adres, telefon ve sipariş numarası gibi bilgiler, teslimat amacıyla işlenir. Bu aktarımın aydınlatma metninde belirtilmesi, kargo firmasıyla veri işleyen sözleşmesi yapılması önerilir. Müşteriye sipariş takip numarası veya kargo linki gönderilirken de kişisel veri işlenir; SMS veya e-posta ile gönderilen takip bilgilerinin aydınlatma kapsamında olması tavsiye edilir. Kapıda ödeme seçeneği sunan e-ticaret sitelerinde, kurye veya kargo personeline iletilen ödeme bilgileri de veri aktarımı kapsamında değerlendirilmelidir. Çok kanallı (marketplace, kendi deposu, dropshipping) satış yapan işletmelerde her kanal için veri akışının ayrı ayrı ele alınması önerilir. Kargo firması veri işleyen sıfatıyla değerlendirilebilir. Aydınlatma metninde teslimat amacıyla verilerin kargo firmasına aktarıldığının belirtilmesi önerilir. Kargo firmasıyla yapılan sözleşmede veri güvenliği ve saklama süreleri gibi hususların düzenlenmesi genel olarak tavsiye edilir. Müşteriye sipariş takip bilgisi sunulurken de kişisel veri işlenir; bu işlemenin aydınlatma metninde yer alması önerilir.