KVKK (Kişisel Verilerin Korunması Kanunu)
Tanım
KVKK, Türkiye'nin kişisel verilerin korunmasına ilişkin 6698 sayılı kanunudur ve AB'deki GDPR'ın yerel karşılığıdır. Kişisel veri işleyen herkesin ilgili kişileri aydınlatmasını, gerektiğinde açık rıza almasını, veriyi güvende tutmasını ve erişim, düzeltme veya silme taleplerini karşılamasını zorunlu kılar. Çevrim içi bir mağaza müşterileri açısından veri sorumlusudur; yazılım sağlayıcısı ise mağazanın talimatlarıyla hareket eden veri işleyendir.
Mağazanız için neden önemli
Her müşteri kaydı, adres ve sipariş kişisel veridir. KVKK bunun sorumluluğunu mağazaya yükler; ihlallerde idari para cezaları ve şikâyetleri karşılayan bir kişisel veri kurumu vardır. Yükümlülükler somuttur: neyi neden topladığınızı söyleyin, pazarlama rızasını ayrı ve varsayılan olarak işaretlenmemiş tutun, veriyi koruyun ve erişim ile silme taleplerini kanuni süre içinde yanıtlayın.
Sağlayıcı da önemlidir. Mağazanız bir platform üzerinde çalıştığında o platform veriyi sizin adınıza işler ve kanun bu ilişkiyi tanımlayan yazılı bir sözleşme bekler. Verinin nerede saklandığı, alt işleyenlerin kimler olduğu ve ayrıldığınızda ne olacağı yanıtlanabilir olmalıdır.
Bu sayfa genel bilgidir, hukuki tavsiye değildir.
Kambloo bunu nasıl ele alıyor
Rıza, kayıt olurken ve ödeme adımında ayrı ve önceden işaretlenmemiş kutularla alınır; her rıza, gösterilen metnin sürümü, bir zaman damgası ve IP adresiyle birlikte saklanır. Pazarlama rızası, İYS ile eşitlenen ayrı bir kayıttır.
Her mağazanın verisi, diğer tüm mağazalardan fiziksel olarak ayrı, kendi veri tabanında durur; bu hem güvenliğin hem de temiz silmenin temelidir. Bir müşterinin verisi talep üzerine dışa aktarılabilir; silme talebi ise kişisel alanları anonimleştirir, sipariş kayıtlarını vergi saklama süresi boyunca anonim hâlde tutar. Bir mağazanın silinmesi, 30 günlük bekleme süresinin ardından veri tabanının tamamını düşürür ve dosyalarını temizler.
Kambloo'nun işletmecisi Partnerfy.co ile yapılan veri işleme sözleşmesi, yayına alma sihirbazında bir adım olarak kabul edilir. Veriler Türkiye/AB bölgesinde barındırılır, alt işleyen listesi (Cloudflare, ödeme sağlayıcıları, e-posta sağlayıcısı) yayımlanır ve olay el kitabı 72 saatlik ihlal bildirimi süresini kapsar.
KVKK (Kişisel Verilerin Korunması Kanunu) hakkında sorular
KVKK, çevrim içi bir mağazadan pratikte ne ister?
Veri toplanmadan önce gösterilen bir aydınlatma metni, pazarlama için ayrı bir açık rıza, güvenli saklama, müşterilerin verisini ya da silinmesini talep edebileceği bir yol ve veriyi sizin adınıza işleyen her sağlayıcıyla yapılmış bir veri işleme sözleşmesi.
Bir müşterinin verisini talep ederse silebilir miyim?
Kişisel alanları evet. Sipariş ve fatura kayıtları, vergi mevzuatının gerektirdiği saklama süresi boyunca tutulmak zorundadır; bu yüzden silinmez, anonimleştirilir: sipariş kalır, kişi siparişten çıkarılır.