E-ticaret siteleri; üyelik verileri, sipariş ve ödeme bilgileri, çerezlerle toplanan davranış verileri ve pazarlama izinleri olmak üzere çok katmanlı veri işler. 2026 uyumunun beş kritik başlığı şunlardır: hukuka uygun çerez yönetimi, İYS entegrasyonlu pazarlama izinleri, kargo ve pazaryeri veri paylaşımlarının sözleşmesel çerçevesi, yurt dışı ödeme ve bulut altyapılarının Madde 9 uyumu ve üyelik sözleşmesi-aydınlatma metni mimarisi.
E-Ticaretin Veri Haritası: Neyi, Kiminle Paylaşıyorsunuz?
Tipik bir e-ticaret operasyonunda kişisel veri şu noktalarda işlenir ve paylaşılır: üyelik ve sipariş yönetimi (kendi sisteminiz veya SaaS platform), ödeme (banka/ödeme kuruluşu), teslimat (kargo şirketi), pazarlama (e-posta/SMS servisleri, reklam pikselleri), müşteri hizmetleri (çağrı merkezi, canlı destek) ve pazaryerleri (Trendyol, Hepsiburada, Amazon entegrasyonları).
Her paylaşım noktası bir 'alıcı grubu'dur ve üç şey gerektirir: aydınlatma metninde beyan, uygun hukuki dayanak ve — karşı taraf veri işleyen konumundaysa — veri işleme sözleşmesi. Platformunuz veya araçlarınız yurt dışı merkezliyse yurt dışı aktarım mekanizması da devreye girer.
Beş Kritik Uyum Alanı
| Alan | Temel kural | Sık yapılan hata |
|---|---|---|
| Üyelik & sipariş | Sözleşmenin ifası dayanağı; üye olmadan alışveriş (misafir) seçeneği iyi uygulama | Üyeliği zorunlu kılıp her şeyi rızaya bağlamak |
| Çerezler | Analitik/reklam çerezleri açık rızaya tabi; rıza öncesi yükleme yasak | Banner varken piksellerin arka planda çalışması |
| Pazarlama izni | Ticari elektronik ileti için İYS kaydı + KVKK aydınlatması birlikte | Sipariş verene otomatik bülten göndermek |
| Kargo & pazaryeri | Aktarım aydınlatmada beyan edilmeli; sözleşmesel çerçeve kurulmalı | Alıcı gruplarını aydınlatmada saymamak |
| Ödeme & altyapı | PCI-DSS + yurt dışı altyapıda Madde 9 değerlendirmesi | Kart verisini kendi sisteminde tutmak |
İYS ve KVKK: İki Ayrı Rejim, Tek Müşteri Deneyimi
E-ticarette en çok karıştırılan konu, ticari elektronik ileti onayı (6563 sayılı Kanun ve İYS) ile KVKK açık rızasının farklı rejimler olmasıdır. SMS/e-posta kampanyası gönderebilmek için İYS üzerinden geçerli ticari ileti onayı gerekir; bu onayın alınması sürecindeki kişisel veri işleme ise KVKK'ya tabidir ve ayrıca aydınlatma gerektirir.
Pratik çözüm: kayıt akışında iki ayrı, önceden işaretsiz kutucuk kullanın — biri üyelik sözleşmesi ve aydınlatma metni onayı (işlemenin dayanağı sözleşme olduğundan bu aslında 'okudum' beyanıdır), diğeri isteğe bağlı pazarlama iletişimi izni. Pazarlama izni vermeyen müşterinin alışverişi engellenmemelidir.
Pazaryeri Satıcıları İçin Özel Durum
Trendyol, Hepsiburada gibi pazaryerlerinde satış yapan işletmeler için veri sorumluluğu paylaşımlıdır: pazaryeri kendi platformundaki işlemenin sorumlusudur; ancak satıcıya aktarılan müşteri bilgileri (ad, adres, telefon) bakımından satıcı da veri sorumlusu konumundadır. Bu verileri yalnızca siparişin ifası için kullanabilirsiniz — pazaryeri müşterisine kendi kanallarınızdan pazarlama yapmak hem pazaryeri sözleşmenizi hem KVKK'yı ihlal eder.
Kendi siteniz ve pazaryeri operasyonunuz için veri envanterinizi ayrı ayrı çıkarmanız, VERBİS beyanınızda her iki kanalı da kapsamanız gerekir.
Sıkça Sorulan Sorular
Sipariş veren müşteriye kampanya e-postası gönderebilir miyim?
Hayır — sipariş, pazarlama izni değildir. Ticari elektronik ileti için İYS kapsamında ayrı onay gerekir. Onaysız gönderim hem 6563 sayılı Kanun hem KVKK yaptırımı doğurabilir.
Misafir alışveriş (üyeliksiz satış) sunmak zorunda mıyım?
Yasal zorunluluk değildir; ancak veri minimizasyonu ilkesi açısından iyi uygulamadır ve Kurul'un yaklaşımıyla uyumludur. Üyeliği zorunlu kılıyorsanız işlemenin dayanağını doğru kurgulamalısınız.
Kargo şirketiyle veri paylaşımı için müşteriden rıza almalı mıyım?
Hayır. Teslimat, satış sözleşmesinin ifası kapsamındadır ve rıza gerekmez. Ancak kargo şirketinin 'alıcı grubu' olarak aydınlatma metninizde belirtilmesi zorunludur.
Shopify gibi yurt dışı platform kullanıyorum; ne yapmalıyım?
Müşteri verileriniz yurt dışında işlendiğinden Madde 9 rejimi uygulanır. Platformun Türkiye standart sözleşme sürecini kontrol edin, sözleşmeyi imzalayıp 5 iş günü içinde Kuruma bildirin ve aydınlatma metninizde yurt dışı aktarımı beyan edin.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).