Rehber · E-ticaret · KVKK
E-ticaret sitesi işletmek consent açısından en zor pazarlardan biri. Meta Pixel, GA4, TikTok pikseli, Hotjar, mail aboneliği, SMS — hepsi farklı kategoride, farklı yasal çerçeve altında. Bu sayfa KVKK + ETBİS + İYS'i e-ticaret özelinde nasıl bir araya getirdiğini, sıkça yapılan 5 hatayı ve doğru akışı anlatıyor.
Son güncelleme: 2026-04-25
Çünkü kullanıcı sayısı çok, etkileşim noktası çok, üçüncü taraf araç sayısı çok. Tipik bir orta ölçek e-ticaret sitesinde 8-15 farklı çerez sağlayıcısı oluyor: GA4, Meta Pixel, TikTok Pixel, Hotjar, Intercom, Trendyol/Hepsiburada gibi pazaryeri scripti, cargo entegrasyonu, ödeme sağlayıcı, chat botu, bir-iki tane reklam ağı.
Bunlar arasında tüm pazarlama amaçlı olanlar açık onay gerektirir. Onay alınmadan ateşlenirse veri işleme ihlali sayılır. KVKK denetiminde Kurum, banner'ın nasıl gösterildiğine kadar inceleyebiliyor — pasif onay, pre-checked checkbox, kategori ayrımı yok gibi konular cezayla sonuçlanmış vakalar var.
Ek olarak e-ticaret operatörü için ETBİS kaydı ve pazarlama iletişimi için İYS (İleti Yönetim Sistemi) de devrede. Bunlar KVKK'dan ayrı sistemler ama uyum birbirine bağlı.
Aşağıdaki 5 nokta her e-ticaret sitesinde olmalı — boyut fark etmez:
Zorunlu / analitik / pazarlama / üçüncü taraf — her kategori ayrı onay. Aydınlatma metninde hangi çerezin ne için kullanıldığı, kim tarafından, ne kadar süreyle saklandığı yazmalı.
Ticari elektronik ileti göndereceksen (newsletter, SMS, WhatsApp, push) İYS kaydı zorunlu. Onay tarihini, kanalını, IP'sini saklayabilmen gerekiyor.
E-ticaret operatörü olarak ETBİS'e kayıt zorunlu. ETBİS bilgilerini sitede gösterdiğin yer KVKK'dan farklı ama uyumlu olmalı.
Aydınlatma metninde veri sorumlusunun (şirketin) tam adı, MERSİS, vergi dairesi, adres, e-posta yer almalı. Pazaryeri satıcısıysan kendi şirketin yazılır, pazaryerinin değil.
Müşteri 'verilerimi sil' veya 'verilerimi göster' dediğinde 30 gün içinde cevap verme zorunluluğu var. Süreç tanımlı ve takip edilebilir olmalı.
Bu listenin hepsi KVKK Kurumu'nun verdiği kararlarda referans gösterdiği konular:
Meta Pixel, GA4, TikTok Pixel — kullanıcı banner'ı görmeden bunlar ateşlenirse rıza alınmamış sayılır. Veriler işlenmiş olur, ihlal denetimde görünür.
KVKK ve GDPR — ikisi de aynı şeyi söyler: pasif onay onay değildir. Pre-checked checkbox'lar geçersiz.
Newsletter / SMS / WhatsApp pazarlama izni İYS üzerinden Ticari Elektronik İleti Yönetim Sistemi'ne kayıt olmalı. Çerez izni bambaşka — ikisi ayrı tutulmalı, birlikte tek kutucukta sorulmamalı.
Banner gösterilmeli + çerez politikasına link verilmeli + kategori bazında 'kabul / reddet / özelleştir' seçenekleri olmalı. 'Footer'da link var, kabul ettin' yaklaşımı KVKK'da geçerli değil.
Yeni bir 3rd party araç eklediğinde ya da çerez politikasını değiştirdiğinde mevcut kullanıcılardan tekrar onay alınmalı. Versiyon takibi yoksa bu yapılamaz.
Aşağıdaki diyagramı kafanda tut — yanına e-ticaret özel adımları ekledik:
Doğru sıra
Yanlış sıra
Net konuşalım — Veribenim consent yönetim aracı, İYS değil ETBİS değil. Yardım ettiği yerler:
Çerez kategorileri ve banner
Kategori bazlı kabul/red, Shadow DOM ile siten CSS'ini bozmadan, mobilde de düzgün.
Çerez tarayıcı (cookie scanner)
Sitende dolaşıp 3rd party çerezlerin envanterini çıkarır — hangi araçlar gerçekten ateşleniyor görürsün.
Onay timestamp + IP saklama
Denetim sorulduğunda her onayın zamanı, IP'si, hangi versiyonu kabul ettiği belgelenmiş halde.
Re-consent versiyonlama
Çerez politikası değişince yeni versiyon yayınlanır, eski onay geçersiz, kullanıcıya tekrar sorulur.
DSAR (silme/erişim) yönetimi
Müşteri talepleri panelden takip — 30 gün cevap süresi sayacı dahil.
Veribenim'in yapmadığı şeyler:
Banner'ı 2 dakikada kuruyorsun. Çerez taraması bir dakika çalışıyor. Onayların timestamp'ı, versiyonlaması, re-consent — hepsi otomatik. Aydınlatma metnini dolduran şablonlar dahil.