Kurumsal Sitelerde KVKK Çerez Politikası ve Güvenli Formlar

Hızlı Özet (TL;DR)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) regülasyonları; kurumsal web siteleri üzerinden toplanan her türlü dijital izi ve kullanıcı verisini sıkı yasal denetime bağlamıştır. Sitede yer alan basit bir iletişim formu, teklif talep ekranı, iş başvuru sayfası, e-bülten kaydı veya arka planda çalışan analitik/pazarlama çerezleri dahi doğrudan “Veri Sorumlusu” sıfatıyla şirketinize yasal sorumluluk doğurur. Kullanıcıdan önceden özgür iradeyle açık rıza almadan takip çerezi yüklemek veya formlarda önceden işaretlenmiş onay kutucukları bulundurmamak kurumlara yüz binlerce lirayı aşan idari para cezası riski getirir. Yasal uyumlu ve siber güvenlik standartlarıyla güçlendirilmiş web mimarisi hem markanızı hukuki yaptırımlardan korur hem de kurumsal itibarınızı sağlamlaştırır.

Kurumsal Web Siteleri Neden KVKK Denetimlerinin İlk Hedefidir?

Bir şirketin fabrika içindeki İK klasörlerini veya muhasebe arşivini dışarıdan bir denetçinin görmesi fiziksel inceleme gerektirir; ancak şirketin kurumsal web sitesi 7/24 tüm dünyaya ve Kişisel Verileri Koruma Kurumu uzmanlarına açıktır. Bir şikayet üzerine veya sektörel tarama sırasında web sitenize giren bir denetçi, tarayıcının Geliştirici Araçları (DevTools -> Application -> Cookies) sekmesini açtığında; kullanıcı henüz hiçbir butona tıklamadan üçüncü taraf reklam ve takip çerezlerinin (_ga, _fbp, _gcl_au vb.) bilgisayara yerleştirildiğini saniyeler içinde tespit edebilir.

Kişisel Verileri Koruma Kurulunun yayınladığı Çerez Uygulamaları Hakkında Rehber uyarınca; web sitesinin çalışması için teknik olarak zorunlu olmayan hiçbir çerez, kullanıcının aktif ve önceden verilmiş açık rızası (Opt-in) olmadan çalıştırılamaz. Aynı şekilde iletişim ve teklif formlarından toplanan ad, soyad, telefon, kurumsal e-posta ve IP adresi verileri doğrudan kişisel veri niteliğindedir ve hem hukuki aydınlatma hem de teknik güvenlik tedbirlerine (KVKK Madde 12) tabidir.

KVKK Uyumlu Web Sitesinin Temel Bileşenleri Karşılaştırması

Mevzuata tam uyumlu bir kurumsal web sitesi ile idari yaptırım riski taşıyan hatalı uygulamalar arasındaki teknik ve hukuki farklar aşağıdaki tabloda detaylandırılmıştır:

Yasal ve Teknik Zorunluluk	Doğru Mühendislik Uygulaması (KVKK / GDPR Uyumlu)	Hatalı ve İdari Para Cezası Doğuran Uygulama
Aydınlatma Yükümlülüğü	Formun hemen altında katmanlı aydınlatma metni özeti ve tam metne doğrudan bağlantı	Sadece sayfa en altındaki (Footer) genel gizlilik politikasına belirsiz link vermek
Açık Rıza Onay Mekanizması	Kullanıcının kendi iradesiyle işaretleyeceği varsayılan olarak boş onay kutusu (Opt-in)	Sayfa açıldığında önceden işaretlenmiş (Pre-checked) hazır onay kutusu (Opt-out)
Çerez İzin Banner’ı (CMP)	“Kabul Et”, “Reddet” ve “Tercihleri Yönet” butonlarının eşit görünürlükte sunulması	“Sitemizi kullanarak çerezleri kabul etmiş sayılırsınız” yazılı tek butonlu bildirim
Aydınlatma ile Rızanın Ayrımı	Aydınlatma metni okuma beyanı ile ticari ileti / açık rıza kutularının ayrı tutulması	Tek bir kutucuk içinde hem aydınlatmayı hem de reklam gönderim iznini birleştirmek
Veri Aktarım Güvenliği	İletişim formlarının TLS 1.3 (HTTPS) ve HSTS ile uçtan uca şifrelenmesi	Şifrelenmemiş HTTP üzerinden veya süresi dolmuş SSL sertifikasıyla form verisi toplamak
Veri Minimizasyonu ve Saklama	Yalnızca amaca uygun veriyi toplamak ve CMS veritabanında düz metin (Plaintext) tutmamak	Güncellenmeyen WordPress/eklenti veritabanında binlerce müşteri formunu korumasız biriktirmek
Spam ve Bot Koruması	Gizlilik dostu, takip çerezi bırakmayan Cloudflare Turnstile veya sunucu taraflı Honeypot	Kullanıcı davranışlarını reklam ağlarına profilleyen ağır üçüncü taraf izleyiciler

Çerez Kategorileri ve Önceden Engelleme (Prior Blocking) Mimarisi

Bir web sitesinde kullanılan çerezler (Cookies) ve yerel depolama (localStorage / sessionStorage) nesneleri hukuki açıdan dört ana kategoride değerlendirilir:

1. Kesinlikle Zorunlu Çerezler (Strictly Necessary Cookies)

Kullanıcının oturum güvenliğini (CSRF token), dil tercihini veya çerez banner’ında verdiği onay/red kararını hatırlamak için kullanılan teknik çerezlerdir. Bu çerezler bilgi toplumu (Information Society Services) hizmetinin sunulması için şart olduğundan açık rıza gerektirmez, yalnızca Aydınlatma Metni içinde şeffafça listelenmesi yeterlidir.

2. Performans ve Analitik Çerezleri

Ziyaretçilerin sitede hangi sayfaları gezdiğini, sayfada ne kadar kaldığını ölçen (örneğin Google Analytics 4, Yandex Metrica, Hotjar) çerezlerdir. Özellikle verileri yurt dışındaki sunuculara aktaran analitik araçlar, kullanıcının açık rızası olmadan sayfa ilk açıldığında kesinlikle yüklenmemelidir.

3. İşlevsellik ve Pazarlama / Hedefleme Çerezleri

Kullanıcıyı farklı web siteleri arasında takip ederek yeniden pazarlama (Remarketing - Google Ads, Meta Pixel, LinkedIn Insight Tag) yapılmasını sağlayan çerezlerdir. Bu betikler kullanıcı çerez yönetim panelinden “Pazarlama Çerezlerini Kabul Et” seçeneğini işaretleyip onay verene kadar DOM üzerinde pasif (type="text/plain" veya koşullu yükleyici ile) tutulmalıdır.

4. Karanlık Tasarım Örüntülerinden (Dark Patterns) Kaçınma

Kurul kararlarında özellikle vurgulanan husus; çerez banner’ında “Kabul Et” butonunun parlak yeşil ve büyük yapılıp, “Reddet” butonunun gizlenmesi, soluk gri renkle okunaksız hale getirilmesi veya alt menülerin içine gömülmesinin hukuka aykırı olduğudur. Her iki seçenek de eşit görsel ağırlıkta sunulmalı ve kullanıcı kararını dilediği an sayfa altındaki sabit “Çerez Tercihleri” bağlantısından değiştirebilmelidir.

Güvenli ve KVKK Uyumlu Form Mimarisi

Kurumsal iletişim, teklif isteme ve İK başvuru formlarında kişisel veri işleme mekanizması hem ön yüzde (Frontend HTML) hem de arka uçta (Backend API) sıkı kurallarla yapılandırılmalıdır:

<form id="kurumsalTeklifFormu" action="/api/iletisim" method="POST" novalidate>
  <!-- CSRF Koruması İçin Kriptografik Jeton -->
  <input type="hidden" name="csrf_token" value="a8f5f167f44f4964e6c998dee827110c" />

  <!-- Botları Yakalamak İçin Görünmez Honeypot Alanı -->
  <div class="gizli-bot-kapani" aria-hidden="true">
    <label for="sirketFaksNo">Bu alanı boş bırakınız</label>
    <input type="text" id="sirketFaksNo" name="sirket_faks_no" tabindex="-1" autocomplete="off" />
  </div>

  <!-- Katmanlı KVKK Aydınlatma ve Açık Rıza Alanı -->
  <div class="form-onay-alani">
    <input type="checkbox" id="kvkkOnay" name="kvkkOnay" value="1" required />
    <label for="kvkkOnay">
      6698 sayılı Kanun kapsamında hazırlanan 
      <a href="/kvkk-bilgilendirme/" target="_blank" rel="noopener noreferrer">KVKK Aydınlatma Metni</a>'ni 
      okudum; iletişim bilgilerimin teklif sürecinin yürütülmesi amacıyla işlenmesini kabul ediyorum.
    </label>
  </div>

  <button type="submit" class="kurumsal-buton">Güvenli Gönder</button>
</form>

Onay Kayıtlarının (Consent Log) İspatlanabilirliği

KVKK kapsamında “İspat Yükümlülüğü” veri sorumlusuna (şirketinize) aittir. Bir kullanıcı ileride “Ben açık rıza vermemiştim” diyerek şikayette bulunduğunda, form gönderim anındaki;

• Tarih ve saat damgasının (UTC Timestamp),
• Kullanıcının onayladığı Aydınlatma Metni versiyon numarasının (v2.4),
• Maskelenmiş/hashlenmiş işlem kimliğinin ve onay durumunun (kvkkOnay: true)

gönderilen kurumsal bildirim zarfında kayıt altına alınmış olması hukuki elinizi güçlendirir.

İletişim Formlarında Sunucu ve Uygulama Güvenliği (OWASP Standartları)

KVKK Madde 12, veri sorumlusuna kişisel verilerin hukuka aykırı olarak erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri alma zorunluluğu yükler. Güvensiz bir web formu üzerinden müşteri verilerinin çalınması doğrudan “Veri İhlali Bildirimi” konusudur. Bu kapsamda uygulanması gereken 5 temel siber güvenlik katmanı şunlardır:

1. CSRF (Cross-Site Request Forgery) ve Origin Doğrulaması: Form gönderimlerinde sunucu tarafından üretilen tek kullanımlık kriptografik jetonlar (csrf_token) ve Origin / Referer başlıkları kontrol edilerek dış sitelerden sahte istek gönderilmesi engellenir.
2. Girdi Temizleme (Input Sanitization) ve XSS / SQLi Engelleme: Kullanıcının mesaj kutusuna yazdığı metinler sunucu tarafında sıkı şema doğrulamasından (Zod / Validator) geçirilir; HTML/JavaScript etiketleri (<script>) temizlenerek yetkilinin e-posta istemcisinde zararlı kod çalışması önlenir.
3. Hız Sınırlandırma (Rate Limiting) ve Honeypot: Aynı IP adresinden dakikada 3-5 adetten fazla form gönderimi sunucu güvenlik duvarı seviyesinde sınırlandırılır. Ayrıca yalnızca spam botlarının doldurduğu gizli Honeypot (Bal Küpü) alanları ile insan kullanıcıları yormadan otomatik bot saldırıları %99 oranında kesilir.
4. Sunucu Veritabanında Korumasız Veri Tutmama İlkesi (Zero-Retention): Hazır CMS (WordPress vb.) sitelerdeki en büyük zafiyet, iletişim formundan gelen tüm mesajların, telefonların ve CV dosyalarının web sunucusunun MySQL veritabanında yıllarca şifresiz saklanmasıdır. Sitenin bir eklenti açığından hacklenmesi halinde tüm geçmiş müşteri verileri sızar. Maysa Yazılım mimarisinde form verileri halkaya açık web sunucusunda tutulmaz; TLS şifreli SMTP/API tüneli üzerinden doğrudan kurum içi e-posta sunucusuna veya izole Özel ERP & CRM ve İmalat Çözümleri sistemine iletilip uç sunucudan anında temizlenir.
5. Güvenli Çerez Bayrakları (Cookie Security Flags): Zorunlu oturum çerezlerinde Secure (yalnızca HTTPS üzerinden iletim), HttpOnly (JavaScript document.cookie ile çalınmayı engelleme) ve SameSite=Strict veya Lax bayrakları eksiksiz tanımlanır.

Mevzuata %100 uyumlu, hızlı ve siber güvenlik odaklı kurumsal web siteleri için Kurumsal Web Tasarım ve SEO Çözümleri sayfamızı inceleyin; şirket içi ağ loglama ve veri koruma gereksinimleriniz için KVKK 5651 Yasal Loglama ve DLP Veri Sızıntısı Önleme hizmetlerimize göz atın.

Kaynaklar

• 5651 sayılı Kanun — Mevzuat Bilgi Sistemi
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK — Çerez Uygulamaları Hakkında Rehber

Sıkça Sorulan Sorular

Web sitemizde sadece Google Analytics kullanıyoruz, yine de Çerez İzin Banner’ı (Açık Rıza) koymak zorunda mıyız?

Evet, kesinlikle zorundasınız. Kişisel Verileri Koruma Kurulunun emsal kararları ve Çerez Rehberi uyarınca; Google Analytics, Yandex Metrica veya Meta Pixel gibi üçüncü taraf analitik ve istatistik çerezleri “Kesinlikle Zorunlu Çerez” kategorisine girmez. Ayrıca bu araçlar ziyaretçilerin IP ve davranış verilerini yurt dışındaki sunuculara aktardığı için, ziyaretçi siteye girdiğinde çerez yönetim ekranından “Analitik Çerezleri Kabul Et” butonuna tıklayana kadar ilgili takip kodları çalıştırılmamalıdır.

İletişim formundaki KVKK onay kutucuğunun varsayılan olarak işaretli gelmesi neden cezai yaptırım sebebidir?

6698 sayılı KVKK’ya göre açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan” rızadır. Kutucuğun sayfa açıldığında önceden işaretlenmiş (Pre-checked / Opt-out) olarak sunulması, kullanıcının aktif bir irade beyanı olmadığı ve dalgınlıkla onay vermiş sayılacağı gerekçesiyle hem KVKK hem de Avrupa Birliği GDPR içtihatlarında geçersiz rıza kabul edilir. Kutucuk mutlaka boş gelmeli ve kullanıcı tarafından bizzat tıklanarak işaretlenmelidir.

Web sitemizde hiç takip çerezi veya üçüncü taraf reklam kodu kullanmazsak çerez banner’ı göstermeyebilir miyiz?

Evet! Eğer kurumsal web siteniz Maysa Yazılım’ın geliştirdiği modern statik mimaride olduğu gibi kullanıcıyı takip eden hiçbir üçüncü taraf analitik, reklam veya profilleme çerezi barındırmıyorsa; ziyaretçinin karşısına her sayfada can sıkıcı çerez izin pencereleri çıkarmanıza gerek kalmaz. Yalnızca sitenin çalışması için gerekli teknik güvenlik yapısını Aydınlatma Metni ve Çerez Politikası sayfasında şeffafça belirtmeniz hem kullanıcı deneyimini (UX) mükemmel hale getirir hem de %100 yasal uyum sağlar.