Çerez Politikası ve Aydınlatma Metni Nasıl Yazılır? Şablon ve Örnekler

Çerez politikası, sitenizde hangi çerezlerin neden ve ne kadar süreyle kullanıldığını anlatan metindir. Aydınlatma metni ise topladığınız kişisel verileri hangi amaçla, hangi hukuki sebeple işlediğinizi ve kimlere aktardığınızı ziyaretçiye bildiren, 6698 sayılı KVKK'nın 10. maddesinden doğan zorunlu metindir. Bu yazıda iki metnin hangi başlıkları içermesi gerektiğini, çerez tablosunun nasıl doldurulacağını ve rıza bandının nasıl kurulacağını şablonlarla anlatıyoruz. Genel çerçeveyi KVKK web sitesi uyumu yazımızda ele almıştık; bu yazı uygulamaya dönük.

Önemli not: Bu yazı hukuki danışmanlık değildir. Metinlerin son halini bir avukat veya KVKK danışmanıyla hazırlamanızı öneririz. Bizim anlattığımız, bir web ekibinin bu sürece nasıl hazırlık yapacağı ve teknik tarafı nasıl kuracağı.

Hangi mevzuata dayanıyor?

• 6698 sayılı Kişisel Verilerin Korunması Kanunu: Aydınlatma yükümlülüğü 10. maddede, ilgili kişinin hakları 11. maddede düzenleniyor.
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (2018): Metnin nasıl yazılacağını ve açık rızadan ayrı tutulması gerektiğini anlatıyor.
• KVK Kurumu Çerez Uygulamaları Hakkında Rehber (2022): Hangi çerezin rıza gerektirdiğini ve rıza bandının nasıl olması gerektiğini açıklıyor.
• 2024 değişiklikleri: 7499 sayılı Kanun ile özel nitelikli veri ve yurt dışına aktarım kuralları yenilendi. Google Analytics gibi yurt dışındaki sunuculara veri gönderen araçlar bu kapsama giriyor.

Aydınlatma metni şablonu: zorunlu başlıklar

Aşağıdaki iskeleti kendi sitenize göre doldurun. Her başlığın altına genel ifade değil, sitenizde gerçekten olan şeyi yazın.

1. Veri sorumlusu: Şirket unvanı, adresi, iletişim e-postası, varsa MERSİS numarası.
2. İşlenen veri kategorileri: Kimlik (ad soyad), iletişim (telefon, e-posta), işlem güvenliği (IP adresi, tarayıcı bilgisi), pazarlama (çerez verileri) gibi.
3. İşleme amaçları: Teklif taleplerine dönüş yapmak, rezervasyonu yönetmek, yasal yükümlülükleri yerine getirmek gibi somut amaçlar.
4. Hukuki sebepler: Her amaç için Kanunun 5. maddesindeki hangi şarta dayandığınız: sözleşmenin kurulması, hukuki yükümlülük, meşru menfaat veya açık rıza.
5. Aktarılan taraflar: Barındırma firması, e-posta servisi, muhasebe bürosu, ödeme kuruluşu gibi alıcı grupları ve amaçları.
6. Yurt dışına aktarım: Yurt dışında sunucusu olan araçlar ve dayandığınız aktarım mekanizması.
7. Toplama yöntemi: Web formu, çerezler, e-posta, telefon.
8. İlgili kişinin hakları: 11. maddedeki haklar ve başvurunun nasıl yapılacağı.
9. Güncelleme tarihi.

Çerez politikası şablonu ve örnek tablo

Çerez politikası kısa bir giriş, çerez türlerinin açıklaması, çerez tablosu ve rızanın nasıl geri alınacağını anlatan bir bölümden oluşur. Tablo bu metnin en önemli kısmıdır. Standart bir kurumsal site için örnek:

Kendi tablonuzu çıkarmak için tarayıcının geliştirici araçlarında Uygulama sekmesindeki çerez listesini açın, sitenin tüm sayfalarını gezin ve her çerezi kaydedin. Rezervasyon motoru, canlı sohbet veya harita gibi gömülü araçlar kendi çerezlerini ekler; bunları gözden kaçırmayın.

Rıza bandı nasıl olmalı?

Kurumun çerez rehberine göre iyi kurulmuş bir rıza bandının özellikleri:

• [ ] Zorunlu olmayan çerezler rıza verilene kadar çalışmıyor.
• [ ] "Kabul et" ve "Reddet" seçenekleri aynı düzeyde ve eşit görünürlükte.
• [ ] Önceden işaretlenmiş kutu yok.
• [ ] Kategori bazında tercih (analitik, pazarlama) yapılabiliyor.
• [ ] Siteyi kullanmak rıza şartına bağlanmıyor (çerez duvarı yok).
• [ ] Tercih sonradan sitenin her sayfasından kolayca değiştirilebiliyor.
• [ ] Bant, çerez politikasına link veriyor.

Teknik tarafta en sık gördüğümüz sorun, bandın görünmesine rağmen analitik ve reklam kodlarının sayfa açılır açılmaz yüklenmesi. Bant sadece görsel bir katman olarak kalırsa hiçbir işe yaramaz. Doğru kurulumda bu kodlar ya ziyaretçi onay verdikten sonra sayfaya eklenir ya da Google etiketlerinde olduğu gibi rıza durumuna göre davranan bir modla çalışır. Kontrol etmek kolay: sitenizi gizli pencerede açın, banda dokunmadan geliştirici araçlarından çerez listesine bakın. Listede _ga veya _fbp gibi çerezler görüyorsanız kurulum hatalı.

Adım adım süreç

1. Sitedeki tüm formları, çerezleri ve üçüncü taraf araçları listeleyin.
2. Her veri için amaç ve hukuki sebebi belirleyin; bu adımı hukuk danışmanıyla yapın.
3. Aydınlatma metnini ve çerez politikasını hazırlayın, ayrı sayfalarda yayınlayın.
4. Açık rıza gereken işlemler için ayrı bir onay kutusu ve ayrı bir metin hazırlayın.
5. Rıza bandını kurun ve analitik ile reklam etiketlerini rızaya bağlayın.
6. Formların altına aydınlatma metni linki ekleyin.
7. Yeni araç eklendiğinde tabloyu ve metinleri güncelleyin.

Sık yapılan hatalar

• Başka bir siteden kopyalanmış, şirket adı bile değiştirilmemiş metin.
• Aydınlatma metnini onay kutusuna bağlayıp "okudum, onaylıyorum" diye işaretletmek. Aydınlatma bilgilendirmedir, onay gerektirmez.
• Hukuki sebebi sözleşme veya meşru menfaat olan işlemler için gereksiz açık rıza istemek.
• Analitik kodunu rıza bandından önce yüklemek.
• Sadece "Tamam" butonu olan bir bilgilendirme bandı koymak.
• Çerez tablosunu bir kez yazıp yeni eklentileri eklememek.

Antalya'dan örnek durumlar

Antalya'daki işletmelerde iki durum sık karşımıza çıkıyor. İlki, Avrupa'dan misafir alan otel ve tur siteleri. Bu siteler KVKK'nın yanında AB'nin GDPR kurallarını da dikkate almak zorunda kalabilir; Google reklamları kullanılıyorsa Consent Mode v2 kurulumu da gündeme gelir. İkincisi, sağlık turizmine çalışan klinikler. İletişim formunda hastalık veya tedavi bilgisi isteniyorsa bu özel nitelikli kişisel veridir ve çok daha sıkı kurallara tabidir. Böyle bir formu gereksiz alanlardan arındırmak, metinleri yazmaktan önce yapılması gereken ilk iş.

Kurumsal web sitesi projelerimizde rıza bandını, çerez kategorilerini ve form bağlantılarını teknik olarak kuruyor, hukuk danışmanınızın hazırladığı metinleri doğru sayfalara yerleştiriyoruz. Mevcut sitenizin çerez listesini birlikte çıkarmak isterseniz bize yazın.