Pazar Yeri Satıcıları İçin KVKK Rehberi: E-Ticarette Hukuki Sorumluluklar

Pazar yeri satıcılarının KVKK kapsamındaki yükümlülükleri, müşterinin sipariş bilgilerine erişmesiyle somutlaşır ve verilerin saklanması, paylaşılması ve silinmesi süreçlerinde devam eder. Satışın bir platform üzerinden gerçekleşmesi, satıcının kendi faaliyetlerinden doğan yükümlülüklerini ortadan kaldırmaz. Siparişin hazırlanmasından iade talebinin sonuçlandırılmasına kadar her aşamada kişisel verilerin hangi amaçla kullanıldığı, kimlerle paylaşıldığı ve nasıl korunduğu belirlenmelidir.

Pazar Yeri Satıcılarının KVKK Yükümlülükleri Nelerdir?

Bir pazar yerinde mağaza açan satıcı, müşterinin adı, teslimat adresi, telefon numarası ve sipariş geçmişi gibi bilgilere ulaşabilir. Bu bilgilerin satıcı panelinde görüntülenmesi, bilgisayara indirilmesi, kargo şirketine iletilmesi veya muhasebe sistemine kaydedilmesi kişisel veri işleme faaliyetidir. Verinin satıcının kendi sunucusunda tutulmaması, KVKK bakımından tek başına sorumluluğu kaldırmaz.

Satıcının temel yükümlülükleri; her işlem için uygun hukuki sebebi belirlemek, müşteriyi aydınlatmak, gerekli güvenlik tedbirlerini almak ve kişisel verileri gerekli süreyle sınırlı olarak saklamaktır. Müşterilerden gelen başvuruların yanıtlanması ve veri ihlallerinde gerekli bildirimlerin yapılması da bu çerçevede değerlendirilir.

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’daki elektronik ticaret hizmet sağlayıcı (ETHS) ve elektronik ticaret aracı hizmet sağlayıcı (ETAHS) ayrımı, satıcı ile platformun ticari konumlarını açıklar. Tacir veya esnaf olan satıcının pazar yerinde kendisine ayrılan alanda unvan, KEP adresi ve ilgili sicil bilgileri gibi tanıtıcı unsurları bulundurması da elektronik ticaret mevzuatından doğan ayrı bir yükümlülüktür. Ancak bu tanıtıcı bilgiler, satıcının KVKK kapsamındaki aydınlatmasının yerini tutmaz.

Platform mu, Satıcı mı? E-Ticarette Veri Sorumlusu ve Veri İşleyen Ayrımı

Veri sorumlusu, kişisel verilerin hangi amaçlarla ve hangi vasıtalarla işleneceğine karar veren taraftır. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına işlem yapar. Sözleşmede kullanılan sıfatların uygulamadaki ilişkiyle örtüşmesi gerekir.

Platform; üyelik yönetimi, platform güvenliği ve kendi hizmetlerinin yürütülmesi için veri sorumlusu olabilir. Satıcı da siparişi yerine getirmek, fatura düzenlemek, iade sürecini yönetmek veya kendi müşteri ilişkilerini yürütmek amacıyla yaptığı işlemler bakımından ayrı bir veri sorumlusu konumunda bulunabilir. Pazar yeri sözleşmesinde taraflardan birinin “veri işleyen” diye adlandırılması, fiilî karar yetkisine dayanan bu değerlendirmeyi tek başına değiştirmez.

Örneğin satıcının talimatlarıyla müşteri taleplerini kaydeden dış çağrı merkezi, ilgili faaliyet yönünden veri işleyen olabilir. Ödeme kuruluşu veya kargo şirketi ise kendi mevzuat yükümlülükleri ve belirlediği amaçlar kapsamında ayrı veri sorumlusu olarak hareket edebilir. Bütün hizmet sağlayıcılarını aynı kategoriye yerleştirmek doğru değildir.

Bu nedenle pazar yeri sözleşmesi incelenirken veri paylaşımının kapsamı, tarafların görevleri, ilgili kişi başvurularının yönlendirilmesi ve ihlal hâlindeki iletişim düzeni birlikte değerlendirilmelidir. Satıcının veri envanteri de platformdan aldığı verilerle sınırlı kalmamalı, panelden yapılan dışa aktarımlar, muhasebe ve kargo entegrasyonları ile müşteri hizmetleri kayıtlarını kapsamalıdır.

Sipariş Sürecinde İşlenen Veriler ve Özel Nitelikli Kişisel Veri Riski

Satıcıların işlediği bilgiler yalnızca ad ve adresle sınırlı değildir. Fatura bilgileri, sipariş numarası, ürün tercihleri, teslimat notları, iade gerekçeleri, müşteri yazışmaları ve satıcı paneline ilişkin erişim kayıtları da kişisel veri içerebilir. Ödeme sürecinde ise satıcıya gerçekten hangi bilgilerin gösterildiği ayrıca tespit edilmelidir.

Ürün tercihlerinin niteliği de önem taşır. Her ürün siparişi otomatik olarak özel nitelikli kişisel veri değildir. Bununla birlikte belirli siparişler veya müşteri açıklamaları, kişinin sağlığı veya cinsel hayatı hakkında bilgi verebilir. Bu bilgiler üzerinden yapılan çıkarımlar da özel nitelikli kişisel veri işleme riski doğurabilir.

Örneğin bir iade başvurusuna sağlık raporu eklenmesi, sıradan bir müşteri hizmetleri kaydından farklı hukuki ve teknik tedbirler gerektirir. Satıcı, işlemin sonuçlandırılması için gerekli olmayan belgeleri istememeli; kendisine iletilen gereksiz hassas bilgilerin kayıtlara yayılmasını önlemelidir.

E-Ticarette Açık Rıza Şart mı?

Açık rıza, bütün veri işleme faaliyetlerinde kullanılacak her durumda başvurulması gereken bir hukuki sebep değildir. Önce işlemin amacı belirlenmeli ve KVKK’nin 5. maddesindeki şartlardan hangisinin uygulanabileceği değerlendirilmelidir. Siparişle ilgisi olmayan bir kullanım, müşterinin alışveriş yapmış olmasına dayanılarak hukuka uygun hâle getirilemez.

Satıcı açısından sık karşılaşılan hukuki sebepler şunlardır:

• Hukuki yükümlülüğün yerine getirilmesi: Fatura düzenleme ve ilgili mevzuatın gerektirdiği kayıtların tutulması
• Sözleşmenin kurulması veya ifası: Ürünün teslim edilebilmesi için gerekli adres ve iletişim bilgilerinin işlenmesi
• Meşru menfaat: Müşterinin temel haklarına zarar vermemek şartıyla ölçülü dolandırıcılık önleme kontrollerinin yapılması
• Bir hakkın tesisi, kullanılması veya korunması: Somut bir uyuşmazlıkla bağlantılı sipariş ve yazışma kayıtlarının kullanılması

Her sebep yalnızca gerekli ve ilgili veriler bakımından uygulanabilir. Meşru menfaat gerekçesiyle sınırsız müşteri takibi yapılamaz; menfaat dengesi somut olarak değerlendirilmelidir. Özel nitelikli kişisel veriler için ise KVKK’nin 6. maddesindeki ayrı işleme şartları ve gerekli güvenlik tedbirleri dikkate alınmalıdır.

Pazar Yeri Satıcıları İçin KVKK Aydınlatma Yükümlülüğü ve Metin Şartları

Pazar yerinin yayımladığı genel gizlilik veya aydınlatma metni, satıcının yaptığı bütün işlemleri kendiliğinden kapsamaz. Metnin satıcının kimliğini, faaliyetlerini ve veri işleme süreçlerini de açıklaması hâlinde kapsamı ayrıca değerlendirilebilir. Yalnızca platformun işlemlerini anlatan bir metne dayanılması yeterli değildir.

Satıcının aydınlatmasında şu bilgiler anlaşılır biçimde yer almalıdır:

• Kişisel verilerin işlenme amaçları
• Verilerin toplanma yöntemi ve hukuki sebebi
• İlgili kişinin KVKK’nin 11. maddesindeki hakları
• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Verilerin kimlere, hangi amaçlarla aktarılabileceği

Veriler doğrudan müşteriden alınmıyorsa Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’deki zamanlama kuralları da gözetilmelidir. Bilgilendirme; verilerin elde edilmesinden itibaren makul süre içinde, müşteriyle iletişim kurulacaksa ilk iletişim sırasında, aktarım yapılacaksa en geç ilk aktarım anında yerine getirilmelidir.

Uygun aydınlatma bağlantısının mağaza alanında veya ilgili işlem adımında sunulması, erişimin ve bilgilendirmenin ispatlanabilir biçimde kaydedilmesi önemlidir. Aydınlatma ile açık rıza birbirinden ayrı işlemlerdir; müşterinin metni gördüğünü teyit etmesi, tek başına her türlü veri kullanımına izin verdiği anlamına gelmez.

Fatura, Kargo ve İadelerde Veri Minimizasyonu

Siparişin tamamlanabilmesi için gereken veri ile işletmenin kolaylık amacıyla toplamak istediği veri birbirinden ayrılmalıdır. Teslimat için gerekli bilgiler kargo şirketine iletilirken müşteriyle yapılan bütün yazışmaların veya önceki siparişlerin paylaşılması çoğu durumda gerekli değildir.

Fatura düzenlemek için hangi bilgilerin zorunlu olduğu, işlem ve belge türüne göre belirlenmelidir. T.C. kimlik numarasının her müşteriden ve her alışverişte rutin olarak istenmesi yerine somut mevzuat gerekliliği kontrol edilmelidir. Kimlik belgesinin tamamını toplamak, daha sınırlı bir bilgiyle karşılanabilecek ihtiyacı gereksiz ölçüde genişletebilir.

İade sürecinde de benzer bir yaklaşım uygulanmalıdır. Üründeki kusuru gösteren fotoğrafta müşterinin yüzü, ev içi görüntüler veya başka kişilere ait bilgiler bulunuyorsa yalnızca gerekli bölüm kullanılmalıdır. Kargo etiketleri ve basılı sipariş listeleri için paketleme alanındaki erişim, etiketlerin yanlış basılması ve kullanım sonrasında belgelerin imhası konusunda açık kurallar oluşturulmalıdır.

Kurulun 2022/774 sayılı kararında, siparişe taraf olmayan bir kişinin e-posta adresine gönderici, alıcı, ürün ve iletişim bilgilerinin iletildiği bir olay incelenmiştir. Kararda, iletişim bilgilerinin doğruluğunu teyit edecek bir mekanizmanın bulunmaması nedeniyle veri güvenliği yükümlülüğünün yerine getirilmediği değerlendirilmiştir. Bu örnek; e-posta adresinin doğrulanması, sipariş bağlantılarının yetkilendirilmesi ve müşteri bilgilerine erişimin sınırlandırılması gerektiğini gösterir.

Sipariş Bilgileriyle Pazarlama Yapılabilir mi? İYS ve Ticari Elektronik İleti Kuralları

Müşterinin teslimat için verdiği telefon numarası, satıcının kampanya listesine otomatik olarak eklenemez. Sipariş bilgilendirmesi ile reklam amaçlı iletişim farklı amaçlara hizmet eder. KVKK bakımından veri işleme şartı değerlendirilirken 6563 sayılı Kanun, ticari elektronik ileti düzenlemeleri ve ilgili İleti Yönetim Sistemi (İYS) yükümlülükleri de ayrıca dikkate alınmalıdır.

Pazar yerinin kendi kampanyaları için aldığı izin, satıcının kendi adına yapacağı pazarlamayı mutlaka kapsamaz. İznin hangi taraf, hangi kanal ve hangi amaç için verildiği kontrol edilmelidir. İstisna hükümleri de kapsamları genişletilmeden uygulanmalıdır.

Kişisel Verileri Koruma Kurulunun 10 Haziran 2025 tarihli ve 2025/1072 sayılı İlke Kararı, doğrulama kodlarının farklı amaçlar için yanıltıcı biçimde kullanılmasına dikkat çeker. Ödeme veya üyelik işlemi için gönderilen kod, müşteriye açıklanmadan pazarlama rızasına dönüştürülemez. Pazarlama amacıyla açık rıza alınması gereken durumlarda müşteriye gerçek bir tercih sunulmalı ve izin alışverişin zorunlu şartı gibi gösterilmemelidir.

İzin ve ret kayıtları güncel tutulmalı, müşterinin ileti tercihi ilgili sistemlere yansıtılmalıdır. Siparişin teslim edildiğini bildiren bir mesaja kampanya eklenmesi de iletinin hukuki niteliğini etkileyebilir.

Müşteri Talepleri ve KVKK İlgili Kişi Başvuru Süreci

Pazar yeri üzerinden gelen müşteri mesajları, ekiplerin kişisel e-posta hesaplarına veya yetkisiz kişilerin erişebildiği mesajlaşma gruplarına taşınmamalıdır. İade takibi için açılan bir mesajlaşma grubuna sipariş ekranlarının paylaşılması, erişen kişi sayısını artırır ve silme sürecini zorlaştırır.

Müşteri hizmetleri çalışanları yalnızca görevleri için gerekli kayıtlara erişebilmelidir. Bir talebi başka birime yönlendirirken tüm sipariş geçmişinin gönderilmesi yerine ilgili kayıtların paylaşılması tercih edilmelidir. Kamuya açık yorumlara verilen cevaplarda da müşterinin adresi, telefon numarası veya sipariş ayrıntıları açıklanmamalıdır.

Müşteri, verilerinin işlenip işlenmediğini öğrenmek veya şartları oluştuğunda silinmesini istemek için satıcıya başvurabilir. Veri sorumlusu, usulüne uygun başvuruyu niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.

Başvuru platforma ulaşmışsa ilgili işlemin hangi tarafın sorumluluğunda olduğu belirlenmeli ve yönlendirme geciktirilmemelidir. Kimlik doğrulamasında da başvuruyu yanıtlamak için gerekmeyen yeni veriler toplanmamalıdır.

Satıcı Paneli Güvenliği: MFA Kullanımı ve Teknik Tedbirler

KVKK’nin 12. maddesi, uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirlerin alınmasını gerektirir. Satıcının yükümlülüğü, platformun güvenlik altyapısını kullanmakla sınırlı değildir. Kendi personelinin, cihazlarının ve indirdiği kayıtların güvenliği de yönetilmelidir.

Öncelikli uygulamalar arasında her çalışan için ayrı hesap açılması, görev bazlı yetkilendirme, çok faktörlü kimlik doğrulama ve işten ayrılan personelin erişiminin kapatılması bulunur. Siparişlerin topluca indirilmesi sınırlandırılmalı; dosyaların hangi amaçla, nerede ve ne kadar süreyle tutulduğu izlenmelidir. Ortak şifre kullanımına son verilmeli; kişisel cihazlarda tutulan müşteri listeleri ve korumasız elektronik tablolar bakımından gerekli önlemler alınmalıdır.

Kurulun 8 Ağustos 2024 tarihli ve 2024/1385 sayılı kararında, bir e-ticaret platformundaki hesaplara başka kaynaklardan elde edilen kullanıcı bilgileriyle erişilmesi incelenmiştir. İhlal 673 satıcı ile 7.202 müşteriyi etkilemiş; olağan dışı hareketlerin tespiti ve ihlal öncesinde çok faktörlü kimlik doğrulama uygulanmaması değerlendirmede öne çıkmıştır. Karar, satıcı hesaplarının güvenliğinin müşteri verilerinin korunmasıyla doğrudan bağlantılı olduğunu gösterir.

Çalışan eğitimi de uygulamaya dönük olmalıdır. Yanlış alıcıya fatura gönderilmesi, sahte platform e-postaları ve müşteriye ait ekran görüntülerinin paylaşılması gibi olaylarda izlenecek adımlar önceden açıklanmalıdır.

E-Ticarette Veri İhlali Yönetimi ve Kurula 72 Saat Bildirim Kuralı

Yanlış kişiye sipariş bilgisi gönderilmesi, satıcı hesabının ele geçirilmesi veya müşteri listesinin yetkisiz paylaşılması veri ihlali değerlendirmesi gerektirebilir. İlk aşamada erişim sınırlandırılmalı, ilgili kayıtlar korunmalı ve olayın kapsamı belirlenmelidir.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmelidir. İhlalden etkilenen kişilere de makul olan en kısa sürede bilgi verilmesi gerekir. Kurulun 2019/10 sayılı kararı, bu bildirim sürecinin temel çerçevesini oluşturur.

Satıcı ile platformun olayla ilgili bilgileri hızla paylaşması önemlidir. Platformun bildirim yapmış olması, satıcının kendi veri sorumluluğu kapsamındaki değerlendirmesini otomatik olarak ortadan kaldırmaz. Hizmet sözleşmelerinde ihlalin kime, hangi sürede ve hangi bilgilerle bildirileceği düzenlenmelidir.

Bulut Muhasebe ve Yazılımlarda Yurt Dışına Veri Aktarımı

Satıcılar siparişleri bulut tabanlı muhasebe, müşteri ilişkileri veya destek sistemlerine aktarabilir. Hizmetin Türkiye’den satın alınması, verilerin yalnızca Türkiye’de işlendiğini göstermez. Sunucu konumu, yedekleme düzeni ve yurt dışından destek erişimi araştırılmalıdır.

Veri işleyenle yapılan sözleşmede talimatların kapsamı, gizlilik, güvenlik önlemleri, alt hizmet sağlayıcılar ve hizmet sonunda verilerin iadesi veya silinmesi düzenlenmelidir. Bu hususlar, bulut hizmetlerinde veri sorumlusu ile veri işleyen arasındaki ilişkinin düzenlenmesi bakımından da önem taşır.

Yurt dışına aktarımda KVKK’nin 9. maddesindeki güncel sistem uygulanır. Önce yeterlilik kararı, bunun bulunmaması hâlinde uygun güvenceler, bu seçeneklerin de bulunmaması hâlinde yalnızca arızi durumlara özgü sınırlı istisnalar somut aktarım bakımından değerlendirilmelidir. Standart sözleşme kullanıldığında imzadan itibaren beş iş günü içinde Kuruma bildirim yükümlülüğü bulunur.

Rutin bulut kullanımı, KVKK’nin 9. maddesinde düzenlenen arızi aktarımlarla yürütülebilecek bir veri işleme faaliyeti olmadığından buna dair alınan genel bir açık rıza metni hukuka uygun olmayacaktır; KVKK’nin 9. maddesinde belirtilen uygun güvencelerle aktarım yolları rutin bulut kullanımında doğru hukuki dayanak olacaktır.

E-Ticaret Veri Saklama ve İmha Süreçleri ile VERBİS Yükümlülüğü

Bütün müşteri verileri için tek bir saklama süresi belirlemek uygun değildir. Fatura, teslimat kaydı, müşteri yazışması ve pazarlama izni farklı amaçlara ve mevzuat hükümlerine bağlı olabilir. Süreler veri kategorisi ve işlem bazında belirlenmelidir.

Saklamayı gerektiren sebepler ortadan kalktığında silme, yok etme veya anonim hâle getirme süreçleri uygulanmalıdır. Bir kaydın olası her uyuşmazlıkta işe yarayabileceği düşüncesi, süresiz saklamayı haklı kılmaz. Satıcı panelinden indirilen kopyalar, yedekler ve dış hizmet sağlayıcılardaki kayıtlar da bu plana dâhil edilmelidir.

Uygulanabilir bir uyum düzeni için satıcı şu adımları takip edebilir:

1. İşlenen verileri ve aktarım yapılan tarafları belirlemek
2. Her faaliyet için hukuki sebebi ve saklama süresini kaydetmek
3. Aydınlatma ve gerekli izin süreçlerini güncellemek
4. Personel yetkilerini ve dışa aktarımları düzenli kontrol etmek
5. Başvuru, ihlal ve imha süreçlerine sorumlu kişiler atamak
6. VERBİS kayıt yükümlülüğünü yürürlükteki şartlar ve istisnalar çerçevesinde kontrol etmek

VERBİS istisnasından yararlanılması, KVKK’nin diğer yükümlülüklerinden muafiyet sağlamaz. Uyum düzeni; satış hacmi, personel sayısı, kullanılan entegrasyonlar ve işlenen veri türleri değiştikçe gözden geçirilmelidir.

Pazar Yeri KVKK Danışmanlığı ve Hukuki Uyum Hizmeti

Pazar yeri satışlarında kişisel verilerin korunması, siparişin tamamlanmasıyla sona eren bir yükümlülük değildir. Açık görev paylaşımı, ölçülü veri kullanımı ve düzenli güvenlik kontrolleri, müşteri ilişkilerinin hukuka uygun biçimde yürütülmesini destekler.

Esenyel Partners, kişisel verilerin korunması hukuku kapsamında pazar yeri sözleşmelerinin, aydınlatma metinlerinin, veri aktarım düzeninin ve şirket içi süreçlerin değerlendirilmesine hukuki destek sunar.

Pazar yeri satış modelinizin KVKK yükümlülüklerini belirlemek ve işletmenize uygun bir uyum planı oluşturmak için Esenyel Partners ile iletişime geçebilirsiniz.

İletişim