KVKK, iletişim formunuz için ne anlama geliyor

İletişim formu bir web sitesinin en basit parçası gibi görünür: birkaç alan ve bir düğme. Türkiye’de ise sitenizin kişisel veri işlemeye başladığı nokta da burasıdır; bu yüzden form, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) kapsamına girer. Bu yazıda, tipik bir şirket formu için bunun ne anlama geldiğini sade bir dille ve geliştirdiğimiz sitelerde nasıl kurduğumuzu anlatıyoruz.

Kişisel veri ilk alanda başlar

Ad ve e-posta adresi kişisel veridir. Telefon numarası, bir kişiye bağlı şirket adı ve ziyaretçinin mesaj kutusuna yazdığı hemen her şey de öyle. Bir kayıtta tutulan IP adresi de kişisel veridir. Formunuz bunlardan herhangi birini kaydettiği ya da gelen kutunuza gönderdiği anda kişisel veri işliyorsunuz ve veri sorumlusu sizsiniz.

Bu, bir hukuk departmanına ihtiyacınız olduğu anlamına gelmez. Hem kendiniz hem ziyaretçileriniz için dört soruyu açıkça yanıtlamanız gerektiği anlamına gelir: ne topluyorsunuz, neden topluyorsunuz, başka kim görüyor ve ne kadar saklıyorsunuz.

Yalnızca ihtiyacınız olanı toplayın

Korunması en kolay veri, hiç toplamadığınız veridir. Bir alan eklemeden önce, talebi yanıtlamak için o cevabı gerçekten kullanıp kullanmayacağınızı sorun. Bir teklif talebi için genellikle ad, e-posta adresi ve mesaj yeterlidir. Telefon numarası isteğe bağlı olabilir. Doğum tarihi, T.C. kimlik numarası ve ev adresinin bir iletişim formunda neredeyse hiç yeri yoktur.

Serbest metin alanlarına dikkat edin. İnsanlar bazen mesaj kutusuna sağlık bilgisi, mali bilgi ya da başka özel nitelikli veriler yazar. Bunu tamamen önleyemezsiniz; ancak alanın üstüne hassas bilgi yazılmamasını rica eden kısa bir not koymak ve mesajlara erişimi yalnızca talepleri yanıtlayan kişilerle sınırlamak işe yarar.

Aydınlatma metni

KVKK’nın 10. maddesi, kişileri verilerini topladığınız anda bilgilendirmenizi ister. Bir web sitesi için bu, aydınlatma metnidir ve formdan bir tık uzakta olmalıdır. Metinde şunlar yer almalıdır:

• veri sorumlusunun kim olduğu ve ona nasıl ulaşılacağı,
• işleme amaçları,
• verilerin kimlere ve hangi amaçla aktarılabileceği,
• toplama yöntemi ve hukuki sebebi,
• ilgili kişinin 11. maddedeki hakları.

Metni hukukçular için değil insanlar için yazın. Açık başlıklı kısa bölümler hem daha kolay okunur hem de bir şey değiştiğinde daha kolay güncel tutulur.

Hukuki sebep: çoğu zaman sözleşme yeterlidir

Birçok site her formun altına "verilerimin işlenmesine onay veriyorum" diye zorunlu bir kutu koyar. Bir talebi yanıtlamak için bu genellikle doğru hukuki sebep değildir. Biri sizden teklif istediğinde, yanıt vermek için bilgilerini işlemek bir sözleşmenin kurulmasıyla doğrudan ilgilidir; bu, 5. maddenin 2. fıkrasının (c) bendinde yer alan ve açık rızaya bağlı olmayan ayrı bir hukuki sebeptir. Formu spam’e karşı korumak ise meşru menfaate dayanabilir.

Açık rıza, talebin kendisinin ötesinde bir şey yaptığınızda devreye girer: kişiyi bir bültene eklemek gibi ya da kanunun rızaya bağladığı biçimde verileri yurt dışına aktarmak gibi. Açık rızaya dayanıyorsanız rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalı; kutu asla önceden işaretli olmamalıdır.

Yurt dışına aktarım

Küçük işletmelerin çoğu yabancı hizmetleri aktarım olarak düşünmeden kullanır: e-posta sağlayıcısı, form hizmeti, müşteri yönetim sistemi, analitik. 9. madde uyarınca kişisel verileri Türkiye dışındaki sunuculara göndermek yurt dışına aktarımdır ve geçerli bir dayanak gerektirir. Bu sağlayıcıları aydınlatma metninde listeleyin, listeyi kısa tutun ve veri işleme koşullarını açıkça yayımlayan sağlayıcıları seçin. Kendi sitemizde iletişim mesajları sunucumuzda saklanır, e-posta bildirimleri Resend üzerinden gider, ağ ve bot koruması Cloudflare üzerinden çalışır, analitik ise yalnızca izinden sonra yüklenir.

Saklama süresi: bir sayı belirleyin

"Gerektiği sürece" bir saklama süresi değildir. İşinize uyan somut bir süre seçin, aydınlatma metnine yazın ve sistemin bunu uygulamasını sağlayın. Biz iletişim formu mesajlarını 24 ay saklıyor ve sonra otomatik olarak siliyoruz; projeye dönüşen talepler olağan ticari kayıtlara geçiyor. Otomatik silme önemlidir; çünkü birinin veritabanını temizlemeyi hatırlamasına dayanan bir politika yoğun bir yılı nadiren atlatır.

Güvenliğin temelleri

KVKK, riskle orantılı teknik ve idari tedbirler bekler. Bir iletişim formu için bu birkaç pratik şey demektir:

• sitenin tamamını HTTPS üzerinden sunmak,
• formu sahte gönderimlere ve otomatik spam’e karşı korumak,
• geri döndürülemez bir özet yeterliyken ham IP adresi saklamamak,
• yönetim paneline erişimi talepleri yanıtlayan kişilerle sınırlamak,
• yazılımı ve bağımlılıklarını güncel tutmak.

Çerezler ayrı bir konudur

Bir form genellikle sitenin çalışması için gerekli olan bir oturum ya da güvenlik çerezi yerleştirir. Analitik ve reklam çerezleri ise farklıdır: yalnızca ziyaretçi onay verdikten sonra yerleştirilmeli ve reddetmek kabul etmek kadar kolay olmalıdır. Çerez bandını ve iletişim formu aydınlatmasını, iki ayrı amaca hizmet eden iki ayrı parça olarak ele alın.

Kısa bir kontrol listesi

• Formdaki her alanın var olmak için bir nedeni var.
• Aydınlatma metni gönder düğmesinin yanında bağlantılı.
• Her amacın hukuki sebebi yazılı.
• Yurt dışındaki sağlayıcılar metinde listelenmiş.
• Somut bir saklama süresi otomatik olarak uygulanıyor.
• Mesajlara erişim sınırlı ve site güncel tutuluyor.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. İşletmeniz özel nitelikli kişisel veri ya da yüksek hacimde kişisel veri işliyorsa KVKK alanında çalışan bir avukata danışın.