KVKK + Mesafeli Satış: Online Satış Yapanlar İçin 2026 Yasal Kontrol Listesi

TL;DR: Türkiye'de online satış yapan her marka iki ana mevzuat setine uymak zorunda: KVKK (kişisel verilerin korunması) ve mesafeli satış düzenlemeleri (Tüketicinin Korunması Hakkında Kanun + Mesafeli Sözleşmeler Yönetmeliği). Bu yazıda 14 maddelik kontrol listesi (KVKK 7 + mesafeli satış 7) ve her madde için ne yapmanız gerektiği var. Sosyal medyadan satış yapanlar da bu kurallara tabidir.

Ceza tutarları, ciro eşikleri ve başvuru limitleri her yıl güncelleniyor. Bu yazıda bilerek rakam vermiyoruz — güncel değerleri Kişisel Verileri Koruma Kurumu, Ticaret Bakanlığı ve Gelir İdaresi Başkanlığı'nın kendi yayınlarından teyit edin.

E-ticaret kurucusu olarak teknik dert hep ön plandadır — landing, ödeme, kargo. Ama yasal uyum ihmal edildiğinde iş, tek bir şikayetle ciddi bir idari yaptırıma dönüşebiliyor. Bu yazı, online satış yapanların kontrol etmesi gereken 14 maddeyi pratik biçimde anlatıyor.

⚠️ Yasal feragat: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kritik konularda mutlaka avukat / KVKK uzmanı ile çalış. Detaylı KVKK chatbot uyum çerçevesi için KVKK Uyumlu Chatbot Seçimi rehberimize bak.

Bölüm A — KVKK kontrol listesi (7 madde)

1) Aydınlatma metni (zorunlu)

Yasal dayanak: KVKK md. 10

Ne yapacaksın: Kişisel veri toplayan her form / sayfa altında görünür şekilde aydınlatma metni yer almalı.

İçermesi gereken:

✅ Veri sorumlusunun kimliği (firma adı + iletişim)
✅ Hangi veriler toplanıyor (e-posta, ad, IP, vs.)
✅ Hangi amaçla işleniyor
✅ Kimlere aktarılıyor (ödeme gateway, kargo, vs.)
✅ Saklama süresi
✅ Kullanıcı hakları (KVKK md. 11)

Risk: Aydınlatma yükümlülüğünün yerine getirilmemesi, KVKK'da idari para cezası öngörülen ihlallerden biri. Güncel tutarlar için Kurum'un yayımladığı tarifeye bakın.

Şablon: /privacy — bizim örneğimiz açık kaynaklı.

2) Açık rıza (zorunlu)

Yasal dayanak: KVKK md. 5

Ne yapacaksın: Pazarlama mesajı (e-posta, SMS, WhatsApp) için açık rıza al. Form altında opt-in checkbox zorunlu (önceden işaretli olamaz).

☐ E-posta listenize katılmayı kabul ediyorum, kişisel veri politikanızı okudum.

Risk: Açık rıza olmadan gönderilen pazarlama mesajı hem KVKK hem ticari elektronik ileti mevzuatı kapsamında şikayet konusu olur.

3) Çerez (cookie) politikası

Yasal dayanak: KVKK + ETK md. 50 (Elektronik Ticaretin Düzenlenmesi)

Ne yapacaksın:

✅ İlk ziyarette cookie banner ("Kabul ediyorum / Reddediyorum")
✅ Reddedilirse pazarlama / analitik çerez çalışmamalı
✅ Cookie politikası sayfası: hangi çerez, ne için, kaç gün

Risk: Zorunlu olmayan çerezleri rıza almadan çalıştırmak, Kurum'un çerez uygulamalarına ilişkin rehberine aykırılık oluşturur ve şikayete konu olabilir.

Şablon: /cerez-politikasi

4) Veri silme talebi karşılama mekanizması

Yasal dayanak: KVKK md. 11 ("unutulma hakkı")

Ne yapacaksın: İlgili kişi "verilerimi silin" derse, KVKK'nın başvurulara cevap için öngördüğü azami süre içinde talebi sonuçlandır ve yazılı yanıt ver.

Pratik:

✅ Web sitende /data-deletion veya benzeri sayfa
✅ E-posta: kvkk@markan.com veya legal@markan.com
✅ Talep takibi (Notion / spreadsheet) — yasal kanıt

Risk: Eksik = "unutulma hakkı" ihlali → KVKK kararı + ceza + müşteri kaybı.

Şablon: /data-deletion

5) Veri Sorumluları Sicili (VERBİS) kaydı

Yasal dayanak: KVKK md. 16

Ne yapacaksın: VERBİS kayıt yükümlülüğü çalışan sayısı, yıllık mali bilanço büyüklüğü ve işlenen verinin niteliğine göre belirleniyor; Kurul bazı veri sorumlusu gruplarını kapsam dışında bırakmış durumda. Eşikler de dönem dönem güncelleniyor.

Aksiyon: Kendi durumunuzu Kurum'un VERBİS sayfasındaki güncel kriterlerle karşılaştırın. Özellikle özel nitelikli kişisel veri (sağlık, biyometrik veri gibi) işliyorsanız kapsam değerlendirmesini mutlaka yapın — bu tür veriler için muafiyet koşulları farklıdır.

Risk: Kapsamda olup kayıt olmamak, KVKK'da idari para cezası öngörülen ihlallerden biri.

6) Veri işleyen (sub-processor) sözleşmesi

Yasal dayanak: KVKK md. 12 (veri güvenliği) ve veri işleyene ilişkin hükümler

Ne yapacaksın: Müşteri verisini senin adına işleyen her hizmet sağlayıcıyla veri işleyen sözleşmesi (DPA) imzala. Veri güvenliğine ilişkin sorumluluk veri sorumlusu olarak sende kalmaya devam eder.

Tipik veri işleyen kategorileri:

Ödeme kuruluşu
E-posta / SMS gönderim servisi
Kargo firması
Barındırma (hosting) ve altyapı sağlayıcısı
Chatbot / müşteri iletişim yazılımı

Risk: Sözleşme yoksa veri sızıntısı durumunda tek başına sen sorumlu olursun.

7) Veri sızıntısı bildirimi

Yasal dayanak: KVKK md. 12 / 5

Ne yapacaksın: Veri ihlali (yetkisiz erişim, sızıntı) durumunda:

✅ Kurul'a en kısa sürede bildir — Kurul'un ihlal bildirimi usul ve esaslarına ilişkin kararındaki süreye uy
✅ Etkilenen ilgili kişileri bilgilendir
✅ Olay raporu hazırla ve veri ihlali envanterine işle

Risk: Bildirim yükümlülüğüne uymamak KVKK'da idari para cezası öngörülen ihlallerden biri. Süre ve usul için Kurul'un ilgili kararına bakın.

Bölüm B — Mesafeli Satış kontrol listesi (7 madde)

8) Mesafeli Satış Sözleşmesi (zorunlu)

Yasal dayanak: Mesafeli Sözleşmeler Yönetmeliği

Ne yapacaksın: Online satışta her sipariş öncesi sözleşme onayı al.

Sözleşme içermeli:

✅ Satıcı bilgileri (firma adı, MERSİS, vergi no)
✅ Ürün açıklama, fiyat, KDV dahil/hariç
✅ Teslimat süresi + masrafları
✅ İade hakkı (14 gün) + iade süreci
✅ Cayma hakkı kullanım formu

Risk: Eksik sözleşme, tüketici şikayeti ve idari yaptırım konusu olur; ayrıca cayma hakkı süresi usulüne uygun bilgilendirme yapılmadığında uzayabilir.

Şablon: /mesafeli-satis

9) Cayma hakkı (14 gün)

Yasal dayanak: Mesafeli Sözleşmeler Yönetmeliği (cayma hakkı hükümleri)

Ne yapacaksın: Tüketici, mesafeli sözleşmelerde gerekçe göstermeksizin cayma hakkına sahip. Sen:

✅ Cayma talebini kabul et, gerekçe sorma
✅ İade kargo masrafının kime ait olduğunu ön bilgilendirmede açıkça belirt — belirtmediysen masraf sana kalır
✅ Bedeli, yönetmelikte öngörülen süre içinde iade et (süreyi güncel yönetmelik metninden teyit et)

İstisna: Kişiye özel üretilen, hijyen açısından iadeye uygun olmayan veya çabuk bozulan ürünler gibi yönetmelikte sayılan istisnalar cayma hakkı dışında. Ancak bunu ön bilgilendirmede açıkça belirtmen gerekiyor.

Risk: Haksız yere iade reddi tüketici hakem heyeti veya mahkeme sürecine, ayrıca itibar kaybına yol açar.

10) Ön bilgilendirme formu (zorunlu)

Yasal dayanak: Mesafeli Sözleşmeler Yönetmeliği (ön bilgilendirme yükümlülüğü)

Ne yapacaksın: Sipariş öncesi müşteriye ön bilgilendirme formu göster (mesafeli satış sözleşmesinden önce):

✅ Ürün özellikleri
✅ Toplam fiyat (tüm vergiler dahil)
✅ Teslimat süresi + masrafları
✅ Cayma hakkı, süresi ve kullanım şekli
✅ Şikayet ve başvuru bilgileri

Genelde checkout sayfasında "Sözleşmeyi Onaylıyorum" + "Ön Bilgilendirmeyi Okudum" çift checkbox.

11) Fiyatlandırma şeffaflığı

Yasal dayanak: Tüketici Kanunu md. 9

Ne yapacaksın:

✅ Ürün fiyatı KDV dahil göster
✅ Kargo masrafı checkout öncesi belli olsun (sürpriz yok)
✅ "Liste fiyatı" ve "İndirimli fiyat" yan yana → liste fiyat gerçek olmalı (sahte indirim yasak)

Risk: Sahte indirim ve gizli ücret uygulamaları Reklam Kurulu'nun yaptırım uyguladığı başlıkların başında geliyor; ceza yanında durdurma kararı da verilebiliyor.

12) E-fatura / e-arşiv fatura

Yasal dayanak: VUK 509 sıra no Tebliğ

Ne yapacaksın: E-fatura ve e-arşiv fatura zorunluluğu brüt satış hasılatı eşiklerine bağlı ve bu eşikler tebliğlerle güncelleniyor. Ayrıca internet üzerinden satış yapanlar için ayrı ve daha düşük eşikler uygulanabiliyor — yani e-ticaret yapıyorsanız genel eşiği baz almak yanıltıcı olur.

Aksiyon: Kendi cironuza karşılık gelen güncel eşiği Gelir İdaresi Başkanlığı'nın yayımladığı tebliğden ya da mali müşavirinizden teyit edin.

Risk: Zorunlu olduğu halde e-belge düzenlememek vergi usul cezalarına konu olur.

13) ETBİS kaydı (Elektronik Ticaret Bilgi Sistemi)

Yasal dayanak: Elektronik Ticaret Yönetmeliği

Ne yapacaksın: Online satış yapan her marka ETBİS sistemine kayıt olmalı (eticaret.gov.tr).

Kayıt sonrası:

✅ ETBİS sicil numaranı web sitende belirt
✅ Yıllık veri raporu (ciro, kategori, vs.)

Risk: Kapsamda olup kayıt yaptırmamak Elektronik Ticaret Kanunu kapsamında idari yaptırıma konu olur. Kimlerin kayıt yükümlüsü olduğunu eticaret.gov.tr üzerinden teyit edin.

14) Şikayet ve uyuşmazlık başvuru bilgileri

Yasal dayanak: Tüketici Kanunu md. 70

Ne yapacaksın: Sözleşmede ve web sitende açıkça belirt:

✅ Uyuşmazlığın parasal değerine göre tüketici hakem heyetine ya da tüketici mahkemesine başvurulabileceği
✅ Başvuru parasal sınırları her yıl güncellendiği için, sözleşmede sabit tutar yazmak yerine "ilgili yılda geçerli parasal sınırlar" ifadesini kullanmak daha güvenli
✅ Müşteri hizmetleri iletişim bilgileri (e-posta, telefon)

Risk: Şikayet bilgisi gizlemek = tüketici hakkı ihlali.

Sosyal medyadan satış da bu yasalara tabi

Yaygın yanlış: "Instagram'dan DM ile satıyorum, sözleşme gerekmiyor."

Yanlış. ETBİS, KVKK ve Mesafeli Satış kuralları satış kanalı bağımsız uygulanır. Instagram DM'den satıyorsan:

✅ Müşteriye ödeme öncesi link ile Mesafeli Satış Sözleşmesi yolla
✅ Onay alındıktan sonra ödeme link'i (iyzico vs.)
✅ KVKK aydınlatma metni IG bio'da link
✅ ETBİS kaydı (Instagram'dan satıyor olsan bile)

Risk seviyesi tablosu

Aşağıda tutar değil, eksikliğin sizi hangi mercinin karşısına çıkardığını listeliyorum. Güncel ceza tutarlarını ilgili kurumun kendi yayınından kontrol edin.

Madde	Eksiklik halinde ne olur?
KVKK aydınlatma	KVKK Kurulu'na şikayet, idari para cezası
Açık rıza	KVKK + ticari elektronik ileti mevzuatı yaptırımı
Çerez rızası	KVKK Kurulu şikayet incelemesi
Veri silme mekanizması	İlgili kişi başvurusunun cevapsız kalması, Kurul'a şikayet
VERBİS kayıt	Kapsamdaysanız idari para cezası
Veri işleyen sözleşmesi (DPA)	Bir ihlalde sorumluluğu tek başınıza taşımak
İhlal bildirimi	Bildirim yükümlülüğüne aykırılık, idari para cezası
Mesafeli satış sözleşmesi	Tüketici şikayeti, cayma süresinin uzaması
Cayma hakkı reddi	Tüketici hakem heyeti / mahkeme süreci
Sahte indirim	Reklam Kurulu yaptırımı, durdurma kararı
ETBİS kaydı	Ticaret Bakanlığı idari yaptırımı

30 günlük yasal uyum planı

Hafta 1:

✅ Privacy Policy + Cookie Policy + Mesafeli Satış sözleşmesi yaz (avukat ile birlikte)
✅ Web sitesine ekle (footer link'leri)

Hafta 2:

✅ Cookie banner kur
✅ Form altına opt-in checkbox + aydınlatma linki
✅ ETBİS kayıt başvurusu (eticaret.gov.tr)

Hafta 3:

✅ DPA sözleşmeleri (iyzico, e-posta servisi, chatbot)
✅ Veri silme sayfası + e-posta kanalı (kvkk@markan.com)

Hafta 4:

✅ Yasal sayfaları gözden geçir (avukat review)
✅ Müşteri hizmetleri ekibini şikayet süreci konusunda eğit
✅ Yıllık takvim: VERBİS güncel, KVKK politika revizyon, vb.

Sıkça sorulan sorular

S: Avukatla çalışmak şart mı?

C: Şart. En azından bir kez sözleşmeleri review ettir. KVKK / Mesafeli Satış şablonları internet'te var ama markana özel detaylar (ürün kategorisi, hassas veri varlığı, alt işverenler) ile özelleştirilmeli.

S: Avukat maliyeti yaklaşık ne?

C: Buna tek bir rakam vermek doğru olmaz — işin kapsamına, sektöre ve çalışılan büroya göre çok değişiyor. Üç farklı yerden teklif alın ve teklifin neyi kapsadığını (sözleşme seti mi, sürekli danışmanlık mı) net sorun. Türkiye Barolar Birliği'nin asgari ücret tarifesi bir alt referans olarak işinize yarar.

S: Sosyal medyadan satıyorum, web sitesi yok. Yasal uyum nasıl?

C: ETBİS kaydı yine zorunlu. Mesafeli Satış sözleşmesi PDF olarak hazırla, müşteriye DM/WhatsApp ile yolla. KVKK aydınlatma metni IG bio'da link (örn. linktree).

S: Cayma hakkı yiyecek için de geçerli mi?

C: Hayır, tüketilebilir / hijyenik / kişiye özel ürünler iadeye girmez. AMA bunu sözleşmede açıkça belirtmen lazım. Belirtmezsen iade kabul etmek zorundasın.

S: KVKK Kurulu denetimi nasıl olur?

C: Genelde şikayet üzerine veya planlı sektör denetimi ile. Müşteri "verim izinsiz işlendi" şikayet → kurul incelemeye alır → cevap ver. Eksik bulursa ceza.

S: KOBİ'yim, küçük ciro var, KVKK beni vurur mu?

C: KVKK yükümlülükleri ciroya göre değişmiyor; küçük işletme olmak muafiyet sağlamıyor. İdari para cezaları da KOBİ ölçeği için ciddi tutarlarda. "Görmezsem geçer" stratejisi riskli — süreç genelde tek bir şikayetle başlıyor.

S: AI chatbot kullanıyorsam ekstra ne yapmalıyım?

C: Chatbot sağlayıcısıyla veri işleyen sözleşmesi (DPA) imzalayın, verilerin nerede işlendiğini yazılı olarak öğrenin ve aydınlatma metninizde mesajların yapay zeka desteğiyle yanıtlanabildiğini belirtin. Detay: KVKK Uyumlu Chatbot Seçimi rehberi.

S: Trendyol'da satıyorum, yine ETBİS / KVKK gerekli mi?

C: Pazaryerinde satış yaparken bazı yükümlülükler platform tarafında karşılanabiliyor (sözleşme altyapısı gibi) ama satıcı sıfatınızdan doğan sorumluluklar — kişisel veri, fatura, ürün uygunluğu — sizde kalmaya devam ediyor. Hangi yükümlülüğün kimde olduğunu, çalıştığınız platformun satıcı sözleşmesinden madde madde teyit edin.

Kapanış: ihmal etme, plana al

Yasal uyum acılı ama gerekli. 30 günlük plan ile başlayıp 90 günde tamamen "uyumlu" olabilirsin.

3 öncelik:

✅ İlk hafta: Privacy + Cookie + Mesafeli Satış (en kritik 3 sözleşme)
✅ İkinci hafta: ETBİS kayıt + opt-in mekanizmaları
✅ Üçüncü hafta: DPA + alt işveren sözleşmeleri

Bir hukuk danışmanına ödenen ücret, uyumsuzluğun doğurabileceği idari para cezası ve süreç yüküyle kıyaslandığında küçük bir kalem kalıyor.

📚 İlgili yazılar: KVKK Uyumlu Chatbot Seçimi (12 maddelik kontrol), Instagram Yorum Yönetimi 2026 Pillar Rehberi, E-ticaret Müşteri Hizmetleri Otomasyonu, Instagram DM vs WhatsApp Business.