> Kaynak / Yazar: Av. Kazım Ceylan Hukuk Bürosu (İstanbul Barosu, Sicil No: 78121) — https://www.kazimceylan.av.tr/web-sitesi-gizlilik-politikasi # Web Sitesi Gizlilik Politikası Örneği **Kategori:** Bilişim Hukuku, Örnek Dilekçe ### Özet Web sitesi gizlilik politikası, site sahibinin veri sorumlusu sıfatıyla ziyaretçi ve üyelerden topladığı kişisel verilerin türünü, işleme amacını, hukuki sebebini, aktarıldığı kişileri, saklama süresini ve ilgili kişinin haklarını Kişisel Verilerin Korunması Kanunu 10. maddesindeki aydınlatma yükümlülüğüne uygun biçimde açıkladığı metindir. ### İçerik \[dilekce\_ornegi baslik="Web Sitesi Gizlilik Politikası Örneği"\] {ŞİRKET UNVANI} WEB SİTESİ GİZLİLİK POLİTİKASI VE AYDINLATMA METNİ Son güncelleme: {Tarih} 1. VERİ SORUMLUSU 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") uyarınca {Alan Adı} adresli web sitesi ("Site") üzerinden toplanan kişisel verileriniz bakımından veri sorumlusu, {Adres} adresinde yerleşik {Şirket Unvanı}'dır ("Şirket"). İletişim: {E-posta} – {Telefon} – {KEP Adresi}. 2. İŞLENEN KİŞİSEL VERİLER 2.1. Ziyaretçiler: IP adresi, tarayıcı ve cihaz bilgisi, ziyaret edilen sayfalar, ziyaret tarihi ve süresi, çerez verileri. 2.2. Üyeler ve müşteriler: ad, soyad, e-posta, telefon, teslimat ve fatura adresi, T.C. kimlik numarası (fatura için), sipariş ve ödeme bilgisi (kart bilgileri ödeme kuruluşunca işlenir, Şirket tarafından saklanmaz), üyelik hareketleri. 2.3. İletişim formu ve destek talepleri: ad, soyad, e-posta, telefon ve mesaj içeriği. 2.4. Bülten aboneleri: e-posta adresi ve tercih bilgisi. 3. İŞLEME AMAÇLARI VE HUKUKİ SEBEPLER 3.1. Sitenin çalıştırılması, güvenliğinin sağlanması ve kullanım istatistiklerinin oluşturulması – Kanun m. 5/2-f (meşru menfaat); analitik ve reklam çerezleri için m. 5/1 (açık rıza). 3.2. Üyelik oluşturulması, sipariş alınması, teslimat ve ödeme süreçlerinin yürütülmesi – m. 5/2-c (sözleşmenin kurulması ve ifası). 3.3. Fatura düzenlenmesi ve mali kayıtların tutulması – m. 5/2-ç (hukuki yükümlülük). 3.4. İletişim ve destek taleplerinin cevaplanması – m. 5/2-e (hakkın tesisi ve korunması) ve m. 5/2-f. 3.5. Ticari elektronik ileti gönderilmesi ve kişiselleştirilmiş pazarlama – m. 5/1 (açık rıza). 3.6. Uyuşmazlık halinde delil olarak kullanılması – m. 5/2-e. 4. VERİLERİN AKTARILMASI Kişisel verileriniz, yukarıdaki amaçlarla sınırlı olarak kargo şirketlerine, ödeme kuruluşlarına, barındırma ve e-posta hizmeti sağlayıcılarına, muhasebe ve hukuk danışmanlarına ve talep halinde yetkili kamu kurumlarına aktarılır. Sunucuları yurt dışında bulunan hizmet sağlayıcılara aktarım, Kanun'un 9. maddesindeki şartlar ve {açık rızanız / standart sözleşme} çerçevesinde yapılır. Aktarım yapılan sağlayıcı listesi: {Liste}. 5. SAKLAMA SÜRESİ Ziyaretçi verileri {Süre}; üyelik verileri üyelik süresince ve sona ermesinden itibaren {Süre}; sipariş ve fatura kayıtları ilgili mevzuat gereği on yıl; iletişim formu verileri {Süre}; bülten aboneliği rızanın geri alınmasına kadar saklanır. Süre sonunda veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun biçimde imha edilir. 6. VERİ GÜVENLİĞİ Şirket, Kanun'un 12. maddesi uyarınca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için SSL şifreleme, erişim yetkilendirmesi, günlük kaydı ve yedekleme gibi teknik ve idari tedbirleri uygular. 7. ÇEREZLER Site'de kullanılan çerezler ve tercihlerinizi yönetme yolları Çerez Politikamızda açıklanmıştır. 8. İLGİLİ KİŞİ HAKLARI Kanun'un 11. maddesi uyarınca kişisel verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmişse düzeltilmesini isteme, silinmesini ya da yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve zarara uğramanız halinde tazminat talep etme haklarına sahipsiniz. Başvurularınızı {Başvuru Adresi / Form Bağlantısı / E-posta} üzerinden Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e uygun olarak iletebilirsiniz; başvurunuz en geç otuz gün içinde sonuçlandırılır. 9. DEĞİŞİKLİKLER Bu politika gerektiğinde güncellenir; güncel sürüm Site'de yayımlanır ve önemli değişiklikler üyelere e-posta ile duyurulur. {Şirket Unvanı} \[/dilekce\_ornegi\] ## Web Sitesi Gizlilik Politikası Web sitesi gizlilik politikası, site sahibinin **veri sorumlusu** sıfatıyla ziyaretçi ve üyelerden topladığı kişisel verilerin türünü, amacını, hukuki sebebini, aktarımını ve saklama süresini açıkladığı metindir. \[6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesi\]([https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5)), veri sorumlusuna **aydınlatma yükümlülüğü** yükler. Gizlilik politikası bu yükümlülüğün web sitesindeki karşılığıdır ve eksik ya da genel ifadeli politika, yükümlülüğün yerine getirilmemiş sayılmasına yol açar.[^1] Politikanın zorunlu unsurları ve sık yapılan hatalar aşağıda. Çerezlere ilişkin ayrı bilgilendirme [Çerez Politikası Örneği](/cerez-politikasi-ornegi) yazımızda, üyelik ilişkisinin sözleşme boyutu ise [Kullanım Koşulları ve Üyelik Sözleşmesi Örneği](/kullanim-kosullari-uyelik-sozlesmesi) yazımızda ayrıca anlatılıyor. ## Gizlilik Politikasında Hangi Bilgiler Zorunludur? Aydınlatma Tebliği, metinde **veri sorumlusunun kimliğini, işleme amacını, aktarılacak kişileri ve aktarım amacını, toplama yöntemini ve hukuki sebebini** ve ilgili kişinin haklarını zorunlu unsur olarak sayar. Bu unsurlardan birinin eksikliği, aydınlatmanın yapılmamış sayılmasına yeter. **Hukuki sebep** amaca göre ayrı gösterilir. Kurul, tüm veriler için tek bir "açık rıza" ya da "meşru menfaat" yazan politikaları yetersiz bulur. Sipariş verisi sözleşmenin ifasına, fatura verisi hukuki yükümlülüğe, pazarlama verisi açık rızaya dayandırılır. En sık yapılan hata, **yurt dışından kopyalanan** politika metinleri. Amerikan ya da Avrupa sitelerinden çevrilen metinler Türk hukukundaki hukuki sebep ve başvuru usulünü içermez. Kurul, bu metinleri aydınlatma sayılmadığı gerekçesiyle yaptırıma konu etmiştir. ## Gizlilik Politikası ile Açık Rıza Metni Aynı Şey mi? Gizlilik politikası **bilgilendirme**, açık rıza ise ilgili kişinin **onay beyanıdır**. Tebliğ, aydınlatma ile rızanın aynı metinde birleştirilmemesini ister. "Gizlilik politikasını okudum ve kabul ediyorum" kutusu aydınlatmayı belgeler ancak pazarlama gibi rıza gerektiren işlemeler için ayrı ve seçilmemiş bir onay kutusu sunulur. Rıza, **hizmet şartı** yapılamaz. Üyelik ya da sipariş için pazarlama rızasının zorunlu kılınması, rızayı özgür iradeden yoksun bırakır ve geçersiz kılar. Kurul, bu uygulamayı yaptırımla karşılamıştır. Politikada şunlar yer alır: - Veri sorumlusunun unvanı ve iletişim bilgileri - Kullanıcı gruplarına göre işlenen veri kategorileri - Her amaç için hukuki sebep - Aktarım yapılan alıcı grupları ve yurt dışı aktarım şartı - Saklama süreleri - Güvenlik tedbirleri - Çerez politikasına atıf - İlgili kişi hakları ve başvuru kanalı - Güncelleme tarihi **Ödeme verisi** ayrıca açıklanır. Kart bilgilerinin ödeme kuruluşunca işlendiği ve site tarafından saklanmadığı belirtilir. Bu bilgi, hem kullanıcı güveni hem ödeme kartı güvenliği standartları açısından gereklidir. ## Veriler Yurt Dışına Aktarılıyorsa Ne Yazılmalıdır? Barındırma, e-posta pazarlama ve analitik araçlarının sunucuları çoğu zaman yurt dışındadır ve bu, Kanun'un 9. maddesi kapsamında **yurt dışına aktarımdır**. Politika, hangi hizmet sağlayıcıya hangi verinin aktarıldığını ve aktarımın dayanağını yazar. Dayanak, Kurulun standart sözleşmesi ya da ilgili kişinin açık rızasıdır. Standart sözleşme **Kuruma bildirilir**. 2024'te yürürlüğe giren aktarım rejimi, standart sözleşmenin imzalanmasından itibaren **beş iş günü** içinde Kuruma bildirilmesini zorunlu kılar. Bildirim yapılmayan aktarım hukuka aykırıdır ve hizmet sağlayıcısıyla yapılacak sözleşme [Kişisel Veri İşleme Sözleşmesi Örneği](/kisisel-veri-isleme-sozlesmesi) yazımızda gösterildi. Açık rıza tek başına **sürdürülebilir dayanak** değildir. Kurul, sürekli aktarımlar için standart sözleşmeyi asıl yol sayar. Rıza, ilgili kişinin her an geri alabileceği bir dayanak olduğu için hizmet sürekliliğini tehlikeye sokar. ## Saklama Süreleri Nasıl Belirlenir? Saklama süresi, her veri kategorisi için **amaç ve mevzuat** dikkate alınarak belirlenir. Fatura ve sipariş kayıtları vergi ve ticaret mevzuatı gereği on yıl. Üyelik verileri üyelik süresince ve sona ermeden sonra zamanaşımı süresi. İletişim formu verileri talebin sonuçlanmasından itibaren makul süre saklanır. **Süresiz saklama** Kanun'a aykırıdır. "Gerekli olduğu sürece" gibi belirsiz ifadeler aydınlatma şartını karşılamaz. Kurul, somut süre ya da sürenin belirlenme ölçütünün yazılmasını ister. Süre sonunda **imha** yapılır. Veri sorumlusu, kişisel veri saklama ve imha politikası hazırlar ve süreleri dolan verileri periyodik imhada siler. İlgili kişi, süre dolmadan da silme talebinde bulunabilir ve bu talep [Kişisel Veri Silme Talebi Dilekçesi](/kisisel-veri-silme-talebi) yazımızda anlatılmaktadır. ## Politika Nereye Konur ve Nasıl Kabul Ettirilir? Politika, sitenin **altbilgisinde sürekli erişilebilir** olarak yayımlanır ve üyelik, sipariş ve iletişim formlarında bağlantı verilir. Form gönderilmeden önce kullanıcının politikayı görebilmesi gerekir. Gönderimden sonra gösterilen politika aydınlatma sayılmaz. Aydınlatma için **onay kutusu** zorunlu değildir. Tebliğ, aydınlatmanın ilgili kişiye ulaştığının ispatını ister. Formda politikaya bağlantı ve "aydınlatma metnini okudum" beyanı bu ispatı sağlar, rıza gerektiren işlemeler için ise ayrı kutu sunulur. Politika ile kullanım koşulları **birbirine karıştırılmaz**. Kullanım koşulları sözleşme, gizlilik politikası bilgilendirmedir. İkisi ayrı belge olarak yayımlanır ve ilgili kişinin başvuru dilekçesi [Kişisel Veri Bilgi Talebi Dilekçesi](/kisisel-veri-bilgi-talebi) yazımızda gösterilmiştir. ## Web Sitesi Gizlilik Politikası Hakkında Sık Sorulan Sorular Aydınlatma ile açık rıza farkı ve yurt dışı aktarım, en çok sorulan başlıklar. ### Yalnızca iletişim formu olan sitede gizlilik politikası gerekli mi? Evet, iletişim formuyla ad, e-posta ve mesaj içeriği toplandığı için aydınlatma yükümlülüğü doğar. Kısa bir aydınlatma metni yeterlidir. ### VERBİS kaydı gizlilik politikasının yerine geçer mi? Hayır, VERBİS kaydı Kuruma yapılan bildirimdir. Aydınlatma ilgili kişiye yapılır. İki yükümlülük birbirinden bağımsızdır. ### Politika İngilizce de yayımlanmalı mı? Türkiye'deki kullanıcılar için Türkçe metin zorunludur. Yabancı kullanıcı varsa İngilizce çeviri eklenir. Uyuşmazlıkta Türkçe metin esas alınır. ### Politikayı değiştirince kullanıcılara bildirmek zorunlu mu? Kanun açık bir bildirim yükümlülüğü koymaz, ancak yeni amaç ya da aktarım eklenmişse aydınlatmanın yenilenmesi gerekir. Üyelere e-posta ile duyuru güvenli yoldur. ### Gizlilik politikasına uymamanın cezası nedir? Aydınlatma yükümlülüğünün ihlali için Kurul, yeniden değerleme oranıyla güncellenen idari para cezası uygular. Ceza, ihlalin ağırlığına ve şirketin büyüklüğüne göre belirlenir. --- [^1]: 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 4, 5, 9, 10, 11, 12 ve 18; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.