E-ticaret gizlilik politikası nasıl hazırlanır?
Gizlilik politikası mağazanın gerçek veri yönetimini açıklamalıdır. Kopyalanabilir örnek, aydınlatma ve açık rızayı ayırır; güvenlik, alıcılar ve saklama alanlarını işletmenize göre doldurmanızı sağlar.
Kısa cevap
- Genel gizlilik sayfası, Kanun madde 10 kapsamındaki işlem bazlı aydınlatmayı otomatik tamamlamaz.
- Güvenlik tedbirleri gerçek uygulama ve riske uygun açıklanmalıdır; doğrulanmamış vaat eklemeyin.
- Saklama süresini veri kategorisi, amaç ve hukuki dayanakla belirleyin; bütün veriye tek süre uydurmayın.
- İlgili kişi başvuruları niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır.
Gizlilik politikası ile aydınlatma aynı mı?
Gizlilik politikası, mağazanızın veri yönetimi yaklaşımını ve müşterinin ilgili bilgilere nereden ulaşacağını açıklayan genel bir metin olarak hazırlanabilir. Ancak yalnız bu başlıkla bir sayfa yayımlamak 6698 sayılı Kişisel Verilerin Korunması Kanunu madde 10 kapsamındaki aydınlatma yükümlülüğünü otomatik tamamlamaz. İşletmenizin müşteri, üyelik, sipariş ve destek faaliyetleri için gerçek veri işleme amaçlarını ve hukuki sebeplerini açıklaması gerekir. KVKK aydınlatma metni bu bilgilerin faaliyetle eşleştirilmesi için kullanılabilir. İki belgenin adı farklı olsa bile içerikleri ve müşteriye sunuldukları yer tutarlı olmalıdır.
Bu örnek genel müşteri gizlilik politikası içindir. Çalışan, iş başvurusu, kamera veya başka bir işletme sürecini sırf metin uzun görünsün diye aynı kapsama eklemeyin. Başka firmanın veri kategorilerini ve güvenlik iddialarını aynen kopyalamayın. Kişisel Verileri Koruma Kurulunun 2026/347 sayılı ilke kararına ilişkin duyurusu, metinlerin her veri sorumlusunun kendi faaliyetlerine uygun düzenlenmesini vurgular. Kullanmadan önce köşeli alanları doldurun, gerçekleşmeyen işlemleri çıkarın ve teknik ekibin gerçekten uygulamadığı güvenlik önlemlerini varmış gibi yazmayın.
Taslağı doldurmadan önce veri akışını çıkarın
- Üyelik, sipariş, teslimat, ödeme ve destekte hangi verileri gerçekten aldığınızı listeleyin.
- Her faaliyetin amacını ve uygulanabilir işleme şartını ayrı belirleyin.
- Hizmet sağlayıcıları ve hangi veriyi hangi amaçla aldıklarını doğrulayın.
- Yurt dışı erişim veya aktarım bulunup bulunmadığını sözleşme ve kurulumdan kontrol edin.
- Saklama gerekçelerini, süre başlangıcını, imha yöntemini ve takip edilen başvuru kanalını belirleyin.
Kurumun kişisel veri işleme şartları açıklamasına göre başka uygun şartla yürütülen faaliyet için ayrıca açık rıza alınmamalıdır. Örneğin sözleşme için gerekli işlemle isteğe bağlı pazarlama aynı kapsam değildir. Genel gizlilik politikasını kabul eden müşteri bütün gelecekteki amaçlara rıza verdi şeklinde bir yapı kurmayın. Açık rıza metni yalnız hukuki değerlendirmede rızaya bağlanan belirli amaç için ayrı sunulur. Aydınlatma ise rıza veya diğer işleme şartlarından hangisi kullanılırsa kullanılsın yerine getirilir; müşterinin bilgi istemesini beklemez.
Kopyalanabilir e-ticaret gizlilik politikası
Güvenlik bölümüne ne yazılmalı?
Kanun madde 12 kapsamında hukuka aykırı işleme ve erişimi önleme ile muhafazayı sağlama yükümlülüğü vardır. KVKK’nın veri güvenliği açıklaması, uygun teknik ve idari tedbirlerin işletmenin yapısı, faaliyeti ve riskine göre seçileceğini belirtir. Yalnız güvenli sunucuda tutuyoruz cümlesiyle çalışmayı bitirmeyin. İçerik hazırlarken erişimi kimlerin aldığı, yetkinin nasıl kaldırıldığı ve sağlayıcı kontrollerinin gerçekten yürütülüp yürütülmediğini ilgili kişilerden doğrulayın. Bunlar uygulama kontrolü örnekleridir; her işletmede aynı teknik ürün veya aynı tedbir listesinin yeterli olacağı iddia edilmez.
Veri sorumlusu adına işleme yapan hizmet sağlayıcı bulunduğunda gerekli güvenlik tedbirleri bakımından müşterek sorumluluk ve denetim yükümlülüğü de önemlidir. Politikanın güvenlik bölümüne doğrulanmamış sertifika, bütün veriler şifreli veya asla ihlal olmaz gibi kesin vaatler eklemeyin. Kanun madde 12/5 kapsamında hukuka aykırı elde edilme durumunda bildirim yükümlülüğü bulunur. Kamuya açık politika, olay yönetimi için tutulan ayrıntılı iç planın yerine geçmez. Müşteri metninde doğru genel yaklaşımı anlatırken kurum içi erişim sırlarını veya güvenlik açıklarını açıklamayın.
Saklama süresini neden tek sayı yapmamalısınız?
Sipariş, fatura, pazarlama tercihi ve destek yazışmasının amacı ve hukuki saklama gerekçesi aynı olmayabilir. Örnekte bu nedenle bütün kişisel veriler için tek bir süre yazılmamıştır. Kayıt kategorisini, ilgili dayanağı, sürenin hangi olaydan başlayacağını ve sonrasında ne yapılacağını eşleştirin. KVKK’nın silme ve anonimleştirme açıklaması, işlemeyi gerektiren sebepler kalkınca talep beklenmeden gerekli işlemin yapılacağını belirtir. Hesap kapatmayı tüm yasal kayıtların derhal silinmesiyle, kanuni kayıt tutmayı da isteğe bağlı pazarlamanın sürmesiyle eşitlemeyin.
Silme, yok etme ve anonimleştirme farklı işlemlerdir. Bir kişinin adını kaldırmak, diğer verilerle tekrar tanınabiliyorsa tam anonimlik sağlamayabilir. Kurumun açıklamasında anonimleştirme, başka verilerle eşleştirme halinde dahi kişiyle ilişki kurulamayacak hale getirmeyi ifade eder. Bu nedenle arşivledik veya kodladık diyerek verinin artık kişisel veri olmadığını varsaymayın. İmha sürecini gerçek kayıt ortamı ve ilgili mevzuatla değerlendirin. Müşteriye verilecek açıklama, işletmenin uygulayabildiği yöntem ve sürelerle örtüşmelidir; yalnız formdaki alanı doldurmak teknik işlemi gerçekleştirmez.
Gizlilik politikasını nasıl sunmalı ve kontrol etmelisiniz?
Politikayı sitenin kolay erişilen bölümünde sunun; veri toplanan üyelik, sipariş ve iletişim noktalarında ilgili aydınlatmaya da yönlendirin. KVKK başvuru formu ve takip edilen iletişim kanalı birlikte çalışmalıdır. Başvuruyu yalnız genel destek talebi diye kapatmayın; Kurumun açıklamasındaki en geç otuz günlük sonuçlandırma süresini izleyin. Politika değişikliğinde hangi sürümün ne zaman sunulduğunu kaydedin. Kişisel veri işleme tercihiyle ticari ileti onayı arasındaki ayrımı müşteriye anlaşılır biçimde gösterin.
Son kontrolde metni gerçek veri akışıyla karşılaştırın: ödeme bilgilerini siz mi alıyorsunuz, teslimat sağlayıcısı hangi veriye erişiyor, yurt dışı destek erişimi var mı ve hesap kapanınca hangi kayıt kalıyor? Bilinmeyen alanı tahminle doldurmayın. İşletmenin yürütmediği işlemleri çıkarmak, bütün olası işlemleri geniş bir cümlede toplamak yerine daha doğru açıklama sağlar. Metni müşterinin okuyabileceği sade dilde tutun; gerekli ayrıntıları faaliyet bazlı aydınlatmaya bağlayın. Açık rıza gerekiyorsa ayrı seçim kurun, gerekmiyorsa genel gizlilik kabulüyle yapay rıza üretmeyin.