Web sitesi KVKK uyumu: yazılım ekibinden isteyeceğiniz 10 şey

Web sitesi KVKK uyumu, sitenin formlarının, veritabanının, log kayıtlarının ve sunucusunun 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) göre kurulmasıyla sağlanır; bir metin sayfası eklemek bunun yalnızca bir parçasıdır. Yazılım ekibinden on şey istemenizi öneririm: aydınlatma metninin yeri, açık rıza kaydı, çerez paneli, ölçülü formlar, yetki, log, saklama ve imha, sunucu yeri, ilgili kişi talepleri ve ihlal hazırlığı.

Ben Emre Aydın, UlvionTech'te kıdemli yazılım mühendisiyim; avukat değilim ve bu yazı hukuki görüş değildir. Yazıdaki hukuki bilgiler Ekim 2026 itibarıyla mevzuat.gov.tr'de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu (yeni sekmede açılır) metnine ve Kişisel Verileri Koruma Kurumu'nun kvkk.gov.tr'deki rehberlerine dayanıyor. Hangi verinin hangi hukuki sebeple işleneceğine ve metinlerin içeriğine bir hukukçu karar vermelidir. Benim anlattığım kısım, bu kararların bir web sitesinde ya da uygulamada hangi özelliğe dönüştüğü.

Web sitesi ne zaman KVKK kapsamına girer, veri sorumlusu kim olur?

Bir web sitesi ya da uygulama, ad, e-posta veya telefon gibi bir kişiyi belirlenebilir kılan bir bilgiyi topladığı anda KVKK kapsamına girer. Kanunun 3. maddesi kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. İletişim formu, üyelik, randevu, bülten kaydı ve teklif formu bu tanımın içinde kalır; çerezlerle toplanan veriler de kişiyi belirlenebilir kılıyorsa aynı tanıma girer. Bu yüzden "web sitesine KVKK ekleme" işini bir sayfa eklemek gibi değil, verinin geçtiği her noktayı listelemek gibi düşünmenizi öneririm.

Veri işleme amaçlarını ve vasıtalarını belirleyen işletme veri sorumlusudur; siteyi sizin adınıza ve sizin yetkinizle geliştiren, barındıran ya da bakımını yapan yazılım firması, kişisel verilere eriştiği ya da onları barındırdığı ölçüde veri işleyendir (6698 md. 3). Kanunun 12. maddesi, veriler başkası tarafından sizin adınıza işlendiğinde güvenlik tedbirlerinden bu kişiyle birlikte müştereken sorumlu olduğunuzu söyler. Yazılım ekibine soracağınız sorular bu yüzden sizin kendi yükümlülüğünüzün parçasıdır. Rol ayrımının sözleşmeye nasıl yazılacağını yazılım hizmet sözleşmesi kontrol listemizde, bir bayi portalındaki karşılığını B2B portal yazımızda bulabilirsiniz.

Bu KVKK yazılım kontrol listesi iki konuyu kapsamaz: VERBİS kaydı ve idari para cezası tutarları. Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü Kanunun 16. maddesine dayanır ve kimin kayıttan muaf olduğunu Kişisel Verileri Koruma Kurulu belirler; bunu bir hukukçuyla kontrol edin. Kanunun 18. maddesi aydınlatma, veri güvenliği, Kurul kararları, VERBİS ve yurt dışı aktarım bildirimi yükümlülüklerine aykırılık için idari para cezası öngörür. Tutarlar 5326 sayılı Kabahatler Kanunu (yeni sekmede açılır)'nun 17. maddesine göre her takvim yılı başında yeniden değerleme oranında artırıldığı için burada rakam vermiyorum.

KVKK'da avukatın işi ile yazılım ekibinin işi nasıl ayrılır?

KVKK'da hukukçu neyin, hangi sebeple ve ne kadar süre işleneceğine karar verir; yazılım ekibi bu kararları ekrana, veritabanına ve sunucuya uygular. İki iş birbirine bağlıdır: hukukçunun yazdığı saklama süresi yazılımda bir silme işi olarak kurulmazsa kâğıt üzerinde kalır. Bu iki listeyi yan yana koymanızı ve her satıra bir sahip yazmanızı öneririm. Konu konu ayrım şöyle:

Yazılım ekibinin işleri, teklif aşamasında yazılım firmasına soracağınız soruların kaynağıdır. Bir firma bu işlerin hiçbirini kapsamında göstermiyorsa, KVKK işinin teslimden sonra size ek maliyet olarak döneceğini varsayın. Hukukçunuzun kararları gecikirse yazılım ekibi bekleyebilir; ama yapının bu kararları sonradan ayar olarak alabilecek şekilde kurulmasını baştan isteyin.

Yazılım ekibinden isteyeceğiniz 10 şey nelerdir?

Yazılım ekibinden isteyeceğiniz 10 şey, KVKK'nın teknik karşılığı olan şu maddelerdir; teklif aşamasında her birine yazılı bir cevap isteyin. "Sonra bakarız" cevabı alan bir maddenin ilk sürümde yer alacağına güvenmem.

1. Aydınlatma metninin yeri: Veri toplanan her formda, gönder düğmesinden önce görünen bir bağlantı ve metnin sürüm kaydı.
2. Açık rıza kaydı: Önceden işaretlenmemiş, aydınlatmadan ayrı bir onay kutusu ve onayın tarihini, metin sürümünü ve geri alınışını tutan bir tablo.
3. Çerez tercih paneli: Zorunlu olmayan çerezlerin onaydan önce yüklenmemesi ve onayın sonradan kolayca geri alınabilmesi.
4. Ölçülü formlar: Her alanın neden sorulduğunu gösteren bir liste ve amaca gerekmeyen alanların kaldırılması.
5. Rol bazlı yetki ve şifreleme: Kimin hangi kişisel veriyi görebildiğini ve dışa aktarabildiğini belirleyen bir yetki matrisi; şifrelerin tek yönlü özetlenmesi (hash) ve hassas alanların şifrelenmesi.
6. Erişim ve işlem logları: Kişisel veriye kimin, ne zaman, hangi işlemi yaptığını gösteren ve kişisel veriyi gereğinden fazla kopyalamayan kayıtlar.
7. Saklama ve imha: Veri türü başına saklama süresi ve süre dolunca kendiliğinden çalışan silme ya da anonimleştirme işi.
8. Sunucu ve servis haritası: Verinin hangi ülkede tutulduğunu, hangi dış servise gittiğini ve yurt dışından kimin erişebildiğini gösteren tek sayfa.
9. İlgili kişi talepleri: Bir kişinin verisini bulan, dışa aktaran, düzelten ve silen bir yönetim aracı.
10. İhlal hazırlığı: Bir sızıntıda hangi verinin etkilendiğini saatler içinde çıkarabilecek log, yedek ve kişi listesi.

Bu on maddelik KVKK listesini teklif dosyanıza ek olarak koyun ve firmadan her satır için "ilk sürümde var", "sonraki sürümde" ya da "kapsam dışı" cevabı isteyin. Böylece KVKK uyumlu yazılımın maliyeti teklifte ayrı satırlar olarak görünür ve iki teklifi aynı ölçütle karşılaştırabilirsiniz. Bir maddenin kapsam dışı kalması tek başına sorun değildir; sorun, bunun yazılmamış olmasıdır.

Aydınlatma metni, açık rıza ve çerez paneli yazılımda nasıl kurulur?

Aydınlatma metni, açık rıza ve çerez paneli yazılımda üç ayrı parça olarak kurulur: aydınlatma veri toplanırken verilen bir bilgi, açık rıza kaydı tutulan bir onay, çerez paneli de onay gelene kadar bazı kodların çalışmasını durduran bir anahtardır. Kişisel Verileri Koruma Kurumu'nun Mart 2025 tarihli Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi (yeni sekmede açılır), aydınlatma yükümlülüğü ile açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesi gerektiğini yazıyor. Aydınlatmayı, açık rızayı ve çerez onayını tek bir "okudum, kabul ediyorum" kutusunda birleştirmek sık görülen ve düzeltmesi kolay bir hatadır; bir formu incelerken ilk bakacağım yer burasıdır.

Web sitesi KVKK metni nerede durmalı?

Web sitesi KVKK metni, yani aydınlatma metni, kişisel verinin toplandığı anda ve toplandığı yerde erişilebilir olmalıdır; Kanunun 10. maddesi bilgilendirmeyi verilerin elde edilmesi sırasında ister. Metin en az veri sorumlusunun kimliğini, işleme amacını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11. maddedeki hakları içerir. Pratikte sayfa altındaki bağlantıya ek olarak her formun gönder düğmesinin yakınına da bağlantı konur. Kişisel Verileri Koruma Kurumu'nun Mart 2025 tarihli Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi, web sayfasında katmanlı aydınlatmayı ve açılır pencereyi örnek yöntemler arasında sayıyor. Metnin kurumsal sitedeki temel yerleşimini kurumsal web sitesi yaptırma rehberimizde ele aldık.

Açık rıza kaydında hangi bilgiler tutulmalı?

Açık rıza kaydı, kimin, hangi tarihte, hangi metin sürümüne, hangi işlem için onay verdiğini ve onayı ne zaman geri aldığını gösteren bir veritabanı tablosudur. Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar (md. 3). Ben bu tanımı yazılımda üç kurala çeviririm: kutu önceden işaretli gelmez, her amaç için ayrı kutu olur, rıza vermeyen kişi rıza gerektirmeyen hizmeti yine kullanabilir. Rıza her işlem için gerekmez; Kanunun 5. maddesindeki diğer şartlara hukukçu bakar. Pazarlama e-postası ve SMS için ayrıca 6563 sayılı Kanun'un 6. maddesindeki önceden onay gerekir; kaydını müşteri takip programı yazımızda ele aldık.

Çerez paneli KVKK açısından nasıl çalışmalı?

Çerez paneli, zorunlu olmayan çerezleri ziyaretçi onay verene kadar yüklememeli ve verilen onayın sonradan kolayca geri alınmasına izin vermelidir. Kişisel Verileri Koruma Kurumu'nun Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehber (yeni sekmede açılır)'i, davranışsal reklam çerezlerinin açık rıza gerektirdiğini ve siteye erişimi bütün çerezlere onay şartına bağlayan çerez duvarlarının özgür iradeyi sakatlayabileceğini yazıyor. Aynı çerez rehberi "kabul et", "reddet" ve "tercihler" düğmelerinin renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama örneği olarak gösteriyor. Yazılım tarafındaki asıl iş, analiz ve reklam kodlarının onaya bağlı yüklenmesidir; ekrana yalnızca bir çerez uyarısı koymak bu işi yapmaz.

Formlar, yetkiler ve log kayıtları KVKK için nasıl kurulmalı?

Formlar, yetkiler ve log kayıtları, KVKK'nın 4. maddesindeki ölçülülük ilkesini ve 12. maddesindeki veri güvenliği yükümlülüğünü yazılımda karşılayan üç parçadır. Kişisel Verileri Koruma Kurumu'nun Nisan 2025 tarihli Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) (yeni sekmede açılır), teknik tedbirler tablosunda yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi, şifreleme, sızma testi, log kayıtları, veri maskeleme ve yedekleme gibi başlıklar sayıyor. Ben bu tabloyu bir web uygulaması için özellik listesine çevirmenizi ve her satırın kapsamda nerede durduğunu sormanızı öneririm.

Bir form hangi alanları sormalı?

Bir form yalnızca amacı için gereken alanları sormalıdır; Kanunun 4. maddesi kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Bir teklif formunda doğum tarihi ya da T.C. kimlik numarası sormak, ileride lazım olur diye eklenen alanlara tipik bir örnektir. Yazılım ekibinden her alan için bir satırlık gerekçe yazılmasını isterim; gerekçesi yazılamayan alan formdan çıkar. Daha az alan, daha az saklama, daha az silme işi ve bir ihlalde daha küçük bir hasar demektir.

Kim hangi kişisel veriyi görebilmeli?

Her kullanıcı yalnızca işi için gereken kişisel veriyi görebilmelidir ve bunu sağlayan araç rol bazlı bir yetki matrisidir. Yetki matrisi "satış ekibi kendi müşterilerini görür", "muhasebe yalnızca fatura alanlarını görür", "dışa aktarma yalnızca yöneticide" gibi kurallardan oluşur. Herkesin aynı şifreyle girdiği ortak bir yönetici hesabı logları anlamsız kılar, çünkü bir işlemi kimin yaptığı bilinmez. Yönetim panelinde kişiye özel hesap ve iki adımlı doğrulama isteyin; müşteri kayıtlarında rollerin nasıl kurulacağını müşteri takip programı rehberimizde ele aldık.

KVKK log kayıtları neyi tutmalı, neyi tutmamalı?

KVKK açısından log kayıtları, kişisel veriye kimin, ne zaman, hangi işlemi yaptığını tutmalı, ama kişisel verinin kendisini gereğinden fazla kopyalamamalıdır. Kişisel Verileri Koruma Kurumu'nun Nisan 2025 tarihli Kişisel Veri Güvenliği Rehberi, kullanıcıların işlem hareketlerinin kaydının düzenli olarak tutulmasını ve güvenlik sorunlarının mümkün olduğunca hızlı raporlanmasını tedbirler arasında sayıyor. Yazılım tarafında sık yapılan hata, hata ayıklama loglarına formun bütün içeriğini, şifreleri ya da kimlik numaralarını yazmaktır; o zaman log dosyası korunmayan ikinci bir veritabanına dönüşür.

Ben logda kişinin adı yerine kayıt numarası tutmayı, hassas alanları maskelemeyi ve logları ayrı bir yetkiyle korumayı öneririm. Log kayıtlarının ne kadar saklanacağı da diğer veriler gibi saklama politikasına girmelidir. 6698 sayılı Kanun loglar için ayrı bir süre yazmaz; sektörünüze özel bir mevzuat süre öngörüyorsa onu hukukçunuz söyler, yazılım ekibi de bu süreyi bir ayar olarak tutar.

Kişisel veriler ne kadar saklanır, süre dolunca ne olur?

Kişisel veriler, ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanır; süre dolunca silinir, yok edilir veya anonim hâle getirilir (6698 md. 4 ve md. 7). Süreyi belirlemek hukukçunun işidir, çünkü vergi ve ticaret mevzuatındaki saklama zorunlulukları da devreye girer. Yazılımın işi, bu süreyi her veri türü için bir ayar olarak tutmak ve süre dolduğunda kendiliğinden çalışan bir silme işi kurmaktır. Silme işi olmayan bir sistemde saklama süresi yalnızca bir belgede yazılı kalır.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (yeni sekmede açılır)'in 11. maddesi, saklama ve imha politikası hazırlamış veri sorumlusunun periyodik imha aralığını bu politikada belirlemesini ve aralığın altı ayı geçmemesini ister (Ekim 2026 itibarıyla). Politika hazırlama yükümlülüğü olmayan veri sorumlusu ise silme yükümlülüğünün doğduğu tarihi izleyen üç ay içinde verileri siler, yok eder veya anonim hâle getirir. Silme işinin her çalıştığında ne sildiğini kaydetmesini ve yedeklerin de aynı takvime bağlanmasını isteyin. Ana veritabanından silinen bir kaydın yedeklerde yıllarca durması silme işini yarım bırakır.

Kişisel Verileri Koruma Kurumu'nun Nisan 2025 tarihli silme, yok etme ve anonim hâle getirme rehberi (yeni sekmede açılır), yöntemleri ve anonimliğin bozulması riskini örneklerle anlatıyor. Bir kaydı anonimleştirmek için yalnızca adı silmek yetmeyebilir; e-posta, telefon ve serbest metin alanları kişiyi yeniden belirlenebilir kılabilir. Raporlama için geçmiş veriyi tutmak istiyorsanız anonimleştirmeyi kişi kayıtları yerine sayısal özetlere uygulamanızı öneririm.

Sunucu ya da servis yurt dışındaysa KVKK ne der?

Sunucu, e-posta servisi, analiz aracı ya da destek ekibi yurt dışındaysa kişisel veriler yurt dışına aktarılmış olabilir ve bu aktarım Kanunun 9. maddesindeki şartlara bağlıdır. KVKK'nın 9. maddesi, 2 Mart 2024 tarihli 7499 sayılı Kanunla değişti. Ekim 2026 itibarıyla aktarım için 5. ya da 6. maddedeki bir işleme şartının yanında, aktarılacak ülke hakkında bir yeterlilik kararı ya da Kanunda sayılan uygun güvencelerden biri gerekiyor; bunlar yoksa Kanun yalnızca arızi aktarımlar için sınırlı istisnalar tanır (md. 9/6). Uygun güvencelerden biri olan standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir.

Yurt dışına aktarım konusunda yazılım açısından en önemli nokta, aktarımın yalnızca dosya göndermek olmamasıdır. Kişisel Verileri Koruma Kurumu'nun Ocak 2025 tarihli Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (yeni sekmede açılır), üçüncü bir ülkeden uzaktan erişimin, destek ya da sorun giderme için veriyi yalnızca ekranda görüntülemek olsa bile, ve yurt dışındaki bir bulutta depolamanın belirli kriterler karşılandığında aktarım sayılacağını yazıyor. Bu yüzden yazılım ekibinden bir veri haritası isterim: veritabanı, yedek, e-posta, SMS, analiz, hata takibi ve yapay zekâ servisleri için hangi sağlayıcının hangi ülkede veri tuttuğunu gösteren tek sayfa.

Veri haritası, hukukçunuzun aktarım dayanağını belirlemesi için ilk girdidir. Özel yazılımda sunucu bölgesini ve dış servisleri siz seçtiğiniz için verinin Türkiye'de kalmasını tasarım aşamasında isteyebilirsiniz; hazır programlarda bu seçim sağlayıcının altyapısına bağlı olabilir. Sağlık verisi gibi özel nitelikli verilerde ek şartları online randevu sistemi rehberimizde anlattık.

Silme talebi ve veri ihlali için yazılım neyi hazır tutmalı?

Silme talebi ve veri ihlali için yazılım, bir kişinin bütün kaydını bulabilen bir arama aracını ve bir olayın kapsamını gösterebilen log kayıtlarını hazır tutmalıdır. Ekim 2026 itibarıyla veri sorumlusu ilgili kişi başvurusunu en geç 30 gün içinde sonuçlandırmalı, veri ihlalini de öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmelidir; bu araçları olay anında yazmak zordur. Ben bu iki aracı ilk sürüme koymanızı, ikinci sürüme bırakmamanızı öneririm.

Kişi verisini görmek ya da sildirmek isterse ne olur?

Bir kişi verisini görmek ya da sildirmek isterse Kanunun 11. maddesindeki haklarını kullanır ve 13. madde veri sorumlusunun başvuruyu en geç otuz gün içinde ücretsiz sonuçlandırmasını ister (Ekim 2026 itibarıyla); işlem ayrıca bir maliyet gerektirirse Kurulun belirlediği tarifedeki ücret alınabilir. Haklar arasında verinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme ve silme isteme var. Veri formlarda, e-posta servisinde, yedeklerde ve dış servislerde dağınıksa otuz gün kısa kalabilir. Yönetim panelinde e-posta ya da telefonla bir kişinin bütün kayıtlarını bulan, dışa aktaran ve silme işlemini kayda geçiren bir araç isteyin. Talebin kabulüne yine hukukçu karar verir; araç yalnızca kararın uygulanmasını hızlandırır.

Veri ihlali olursa kaç saat içinde bildirilir?

Ekim 2026 itibarıyla veri ihlali, ihlalin öğrenildiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilir. Kanunun 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kişisel Verileri Koruma Kurulu, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla (yeni sekmede açılır) bu ifadeyi 72 saat olarak yorumladı; etkilenen kişilere de makul olan en kısa süre içinde bildirim yapılır.

72 saatlik süre içinde "kimin hangi verisi etkilendi" sorusuna cevap verebilmek için erişim logları, yedekler ve kişi listesi önceden hazır olmalıdır. Teslimden önce yazılım ekibiyle bir saatlik bir ihlal tatbikatı yapmanızı öneririm: hangi log nerede duruyor, kim erişebiliyor, sistemi kim kapatabiliyor ve etkilenen kişilere hangi kanaldan ulaşılır. Bu tatbikatın cevaplarını bir sayfaya yazmak, olay anında ilk saatlerde zaman kazandırır.

Yapay zekâ servisi kullanan uygulamada KVKK için ne değişir?

Yapay zekâ servisi kullanan bir uygulamada KVKK açısından değişen şey, kişisel verinin modele gönderilen metinle bir dış servise gitmesi ve modelin ürettiği cevabın hatalı olabilmesidir. Kişisel Verileri Koruma Kurumu'nun Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) (yeni sekmede açılır), sistem çıktılarının düzenli olarak izlenmesini ve gerektiğinde insan gözetimi mekanizmalarıyla desteklenmesini önemli buluyor. Yazılım tarafında iki şey isterim: modele giden metinden gereksiz kişisel verinin ayıklanması ve servisin veriyi hangi ülkede, ne kadar süre tuttuğunun veri haritasına yazılması. Şirket içi süreçlerdeki yapay zekâ ve KVKK konusunu yapay zekâ otomasyonu rehberimizde, müşteri mesajlarındaki karşılığını WhatsApp chatbot yazımızda ele aldık.

KVKK açısından hazır program mı, özel yazılım mı?

KVKK açısından hazır program aydınlatma ve çerez gibi standart parçaları hızlı getirir; özel yazılım ise verinin nerede durduğunu, kimin gördüğünü ve ne zaman silindiğini kendi kurallarınıza göre kurmanıza izin verir. Hangisinin size uyacağı, ne kadar kişisel veri işlediğinize ve bu verinin ne kadar hassas olduğuna bağlıdır. Karşılaştırmayı fiyat listesinden önce şu ölçütlerle yapmanızı öneririm:

• Hazır program yeterlidir: Kişisel veri olarak yalnızca bir iletişim formu ya da bülten kaydı topluyorsanız, sağlayıcı verinin yerini ve kendi sözleşmesini açıkça yazıyorsa ve süreçleriniz ürünün ayarlarına uyuyorsa.
• Özel yazılım daha uygundur: Sağlık, finans ya da çalışan verisi gibi kritik veri işliyorsanız, verinin Türkiye'de kalmasını istiyorsanız, rol ve saklama kurallarınız ürünlerin ayarlarına sığmıyorsa ya da kendi sistemlerinizle entegrasyon gerekiyorsa.

KVKK uyumlu yazılımın maliyetini ve süresini en çok veri türlerinin sayısı, rol çeşitliliği, dış servislerin sayısı ve geçmiş verinin taşınması belirler. Her yeni veri türü bir saklama süresi, bir silme işi ve aydınlatma metninde bir satır demektir; her dış servis de veri haritasına bir satır ve büyük olasılıkla bir sözleşme ekler. Mevcut bir sistemi sonradan uyarlamak, aynı özellikleri baştan kurmaktan pahalıya gelebilir, çünkü dağınık veriyi önce bulmak gerekir.

Ekim 2026 itibarıyla yapay zekâ destekli geliştirme, özel yazılımın ilk kurulum maliyetini düşürebiliyor; yine de log, yetki ve silme işlerini kapsamda ayrı satırlar olarak görmek istersiniz. Özel yazılımın bedeli de ortadadır: ilk sürüm daha uzun sürer, önden daha fazla ödeme ister ve sistemin sizin tarafınızda bir sahibi olmalıdır. Teklifleri kendi rakamlarınızla karşılaştırmak için yazılım teklifi karşılaştırma yazımıza, genel karar için özel yazılım mı hazır yazılım mı rehberine bakabilirsiniz.

KVKK konusunda yazılım projelerinde sık yapılan hatalar nelerdir?

KVKK konusunda yazılım projelerinde sık yapılan hatalar, metinlerin hazırlanıp yazılımın bu metinlere göre değiştirilmemesinden doğar. Benim için bu listedeki en riskli satır loglardaki kişisel veridir, çünkü kimse bakmadan birikir. Şu kalıpları kapsam görüşmesinde tek tek sorun:

• Tek kutuda her şey: Aydınlatma, açık rıza ve pazarlama izni tek bir "kabul ediyorum" kutusunda toplanmış.
• Uyarı var, engelleme yok: Çerez paneli görünüyor ama analiz ve reklam kodları onaydan önce yükleniyor.
• Loglarda kişisel veri: Hata kayıtlarında form içeriği, şifre ya da kimlik numarası duruyor.
• Ortak yönetici hesabı: Herkes panele aynı şifreyle giriyor ve kimin ne yaptığı bilinmiyor.
• Silme yalnızca belgede: Saklama süreleri yazılmış ama silme işi kurulmamış, yedekler bir takvime bağlanmamış.
• Görünmeyen dış servisler: E-posta, hata takibi ya da yapay zekâ servisi veri haritasında yer almıyor.
• Testte canlı veri: Geliştirme ve test ortamında anonimleştirilmemiş müşteri kayıtlarıyla çalışılıyor.

Biz olsak bir web sitesi ya da uygulamada KVKK işini nasıl planlardık?

UlvionTech olarak biz bir web sitesi ya da uygulamada KVKK işini kapsamın ilk haftasında, kod yazılmadan önce planlardık; çünkü veri haritası ve rol listesi mimariyi etkiler. Önce sizin hukukçunuzdan veri envanterini ve saklama sürelerini alırdık; hukukçunuz yoksa bu işi bir hukukçuya yaptırmanızı önerirdik, metinleri biz yazmazdık. Ardından her veri türünü formdaki alanına, veritabanındaki tablosuna, rolüne, saklama süresine ve tutulduğu ülkeye eşleyen tek sayfalık bir tablo hazırlardık.

Kapsam belgesinde yazılım ekibinden istenecek on KVKK maddesinin (aydınlatma, açık rıza, çerez, form, yetki, log, saklama, sunucu, ilgili kişi talebi, ihlal) her biri ayrı bir satır olurdu; böylece yazılı kapsamdan sonra verdiğimiz sabit fiyatın bunları içerip içermediği açıkça görünürdü. Kod, sunucu ve alan adı sizin adınıza kurulurdu ve bize verilen erişim proje bitince kapatılabilir olurdu. Benim kişisel önceliğim log ve silme işleridir: aydınlatma metni sonradan düzeltilebilir, ama loglanmamış bir olayın kapsamını geriye dönük çıkarmak mümkün olmayabilir.

Mobil uygulamada aynı liste geçerlidir; ek olarak cihazda saklanan veriyi ve uygulamanın istediği izinleri de listeye eklerdim. Web ve mobil hizmetlerimizin kapsamını web uygulamaları ve mobil uygulamalar sayfalarında bulabilirsiniz.

Hangi durumlarda bizimle çalışmanıza gerek yok?

UlvionTech ile çalışmanıza gerek olmayan durumlar, KVKK işinin yazılımdan çok hukuki olduğu ya da yazılım tarafının çok küçük kaldığı durumlardır. Şu durumlarda paranızı başka yere harcamanızı öneririm:

• Yalnızca metin eksikse: Sitenizin teknik altyapısı yerindeyse ve eksik olan aydınlatma metni ya da politika ise, ihtiyacınız olan kişi bir hukukçudur.
• Tek bir iletişim formu varsa: Kişisel veri olarak yalnızca bir iletişim formu topluyor ve analiz ya da reklam çerezi kullanmıyorsanız, iyi yapılandırılmış hazır bir site altyapısı ve hukukçunuzun hazırladığı metinler yeterli olabilir.
• İç ekibiniz varsa: Kendi geliştirici ekibiniz varsa yazılım ekibinden istenecek on KVKK maddesi onlar için iş listesi olarak yeter.
• Hukuki görüş arıyorsanız: Bir Kurul kararının sizi nasıl etkilediğini ya da bir şikâyete nasıl cevap vereceğinizi soruyorsanız, bu bir avukatın işidir.

Sisteminizde yazılım ekibinden istenecek on KVKK maddesinden hangilerinin eksik olduğunu birlikte çıkarmak isterseniz, formlarınızı ve kullandığınız dış servislerin listesini iletişim sayfamız üzerinden gönderebilirsiniz; ilk cevabı 24 saat içinde veririz.