Aydınlatma metni, çerez onayı, iletişim formu ve veri saklama süreleri: kurumsal web sitenizin KVKK açısından hazır olup olmadığını bu listeyle kontrol edin.
Kurumsal bir web sitesi, ziyaretçiden fark etmeden kişisel veri toplar: iletişim formuna yazılan ad ve telefon, analiz araçlarının bıraktığı çerezler, sunucu kayıtlarındaki IP adresleri. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu verilerin nasıl işleneceğini düzenler. Bilgi güvenliği projelerinde sık gördüğümüz eksiklerden yola çıkarak, web sitenizi gözden geçirmeniz için pratik bir kontrol listesi hazırladık.
1. Aydınlatma metni görünür ve güncel mi?
Veri sorumlusunun kimliği, verilerin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve ziyaretçinin hakları aydınlatma metninde yer almalıdır. Metin footer’dan tek tıkla erişilebilir olmalı ve firma bilgileriniz değiştiğinde güncellenmelidir.
2. Çerez onayı gerçek bir tercih sunuyor mu?
Siteyi çalıştırmak için zorunlu olan çerezler dışında kalan analitik ve pazarlama çerezleri, ziyaretçi onay vermeden çalıştırılmamalıdır. “Kabul et” ile “Reddet” seçeneklerinin eşit belirginlikte sunulması ve ziyaretçinin tercihini sonradan değiştirebilmesi iyi uygulamadır. Kişisel Verileri Koruma Kurumu’nun çerez uygulamalarına ilişkin rehberi de bu yönde bir yaklaşım önerir.
3. Çerez politikası hangi çerezlerin kullanıldığını açıklıyor mu?
Çerez politikasında çerez türleri, amaçları, saklama süreleri ve tercihlerin nasıl yönetileceği anlatılmalıdır. Sitede gerçekte kullanmadığınız araçları yazmak da, kullandığınız bir aracı atlamak da sorun yaratır.
4. İletişim formunda onay kutusu var mı?
Form aracılığıyla kişisel veri topluyorsanız, aydınlatma metnine bağlantı veren ve ziyaretçinin okuduğunu onayladığı bir kutu bulunmalıdır. Formda yalnızca gerçekten ihtiyaç duyduğunuz alanları isteyin: ad, e-posta ve mesaj çoğu zaman yeterlidir; veri azlığı ilkesi yükünüzü de hafifletir.
5. Form verileri güvenli iletiliyor ve saklanıyor mu?
Sitenin tamamı HTTPS üzerinden sunulmalı, form kayıtlarına yalnızca yetkili kişiler erişebilmeli ve gelen mesajlar herkese açık bir klasörde değil yönetim panelinde tutulmalıdır. Bilgi güvenliği tarafında yönetim paneli için güçlü parola ve ikinci doğrulama kullanmayı öneriyoruz; ayrıntılar için bilgi güvenliği çözümlerimize göz atabilirsiniz.
6. Saklama süresi ve silme süreci tanımlı mı?
Toplanan iletişim kayıtlarını ne kadar süre tutacağınızı belirleyin ve süresi dolan kayıtları düzenli silin. Ziyaretçi verisinin silinmesini talep ettiğinde kimin, hangi sürede yanıt vereceği önceden belli olmalıdır.
7. Üçüncü taraf hizmetler listelendi mi?
Analiz araçları, harita, video ve sosyal medya eklentileri ziyaretçi verisini üçüncü taraflara iletebilir. Hangi hizmetin hangi amaçla kullanıldığını bilmek hem çerez politikanızı hem de aydınlatma metninizi doğru yazmanızı sağlar.
8. Başvuru kanalı açık mı?
KVKK’nın 11. maddesi ziyaretçiye bilgi talep etme, düzeltme ve silme gibi haklar tanır. Aydınlatma metninde bu hakları nasıl kullanabileceğini, yani bir e-posta adresini veya başvuru formunu açıkça belirtin ve gelen başvuruları takip edin.
9. Teknik altyapı bu gereksinimlere uygun kurulmuş mu?
Çerez onayını sonradan eklemek ya da form kayıtlarını panelden yönetememek, çoğu zaman sitenin altyapısından kaynaklanır. Yeni bir site yaptırırken bu bileşenlerin baştan kurulmasını isteyin. Kurumsal bir sitede bulunması gereken diğer sayfa ve özellikler için kurumsal web tasarımda olması gerekenler yazısı da iyi bir başlangıç noktası.
Kısa kontrol listesi
- Aydınlatma metni footer’dan erişilebilir ve güncel
- Çerez bandı onaysız analitik/pazarlama çerezi çalıştırmıyor
- Çerez politikası gerçek kullanımı yansıtıyor
- İletişim formunda aydınlatma metni onay kutusu var
- Site tamamen HTTPS ve form kayıtları panelde korunuyor
- Saklama süresi ve silme süreci belirli
- Üçüncü taraf hizmetler envanterde
- Ziyaretçi hakları için başvuru kanalı açık
- Altyapı çerez onayı ve veri yönetimini destekliyor
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. KVKK uyum süreciniz için bir hukuk danışmanıyla çalışmanızı, sistem ve ağ tarafındaki teknik önlemler için ise bizimle iletişime geçmenizi öneririz.