WhatsApp Business KVKK Uyumlu Kurulum Rehberi (Türkiye 2026)

TL;DR: WhatsApp Business Türkiye'de hızla yaygınlaşıyor ama KVKK tarafı çoğu markada eksik kuruluyor. Başlıca riskler: (1) açık rıza alınmadan gönderilen pazarlama mesajı, (2) 24 saat penceresi dışında serbest mesaj göndermek (platform yaptırımı + mevzuat riski), (3) veri işleyenlerle sözleşme (DPA) imzalamamış olmak — bu durumda bir veri ihlalinde sorumluluğu tek başınıza taşırsınız. Bu rehberde 9 maddelik kontrol listesi, açık rıza akışı, mesaj şablonu örnekleri, DPA kontrolü ve silme talebi prosedürü var.

Bu yazı genel bilgilendirmedir, hukuki görüş değildir. Kendi kurulumunuzu bir hukuk danışmanıyla teyit edin; güncel mevzuat ve idari para cezası tutarları için Kişisel Verileri Koruma Kurumu'nun kendi yayınlarına bakın.

WhatsApp Business, Türkiye'de e-ticaretin fiilî standartlarından biri hâline geldi. Ama çoğu marka KVKK tarafını kurulumun sonuna bırakıyor; bir şikayet veya denetim durumunda bu eksikler sorun çıkarıyor. Bu rehber uyumlu kurulum için adım adım plan sunuyor.

Bu yazı KVKK + Mesafeli Satış Yasal Kontrol Listesi ve KVKK Uyumlu Chatbot Seçimi yazılarımızın WhatsApp özelinde derinleştirmesi. Karşılaştırma için Instagram DM vs WhatsApp Business.

WhatsApp Business 2 versiyon — hangisi senin için?

Versiyon	Hedef	Özellik	KVKK uyum zorluğu
WhatsApp Business App (mobil)	Solo / küçük KOBİ	Kişisel telefonda Business profili	⚠️ Orta — manuel uyum
WhatsApp Business API (Cloud API)	Orta-büyük marka, otomasyon	API erişim, BSP / 3rd party araç	✅ Daha iyi yapılandırılmış (DPA dahil)

Karar kriteri: Günde 50+ DM ile kullanıyorsan API'ye geç. Solo girişimci için Business App yeterli.

9 maddelik KVKK kontrol listesi

1) Telefon numarası ayrımı

Yasal nokta: Müşteri verisi (mesajlar, telefon numaraları) işliyorsun → veri sorumlususun.

Aksiyon:

• ✅ Kişisel WhatsApp'tan ayrı numara kullan (eSIM ya da 2. hat)
• ✅ Numara şirket / firma adına olsun (kişisel adına olmasın — denetimde karışıklık yaratır)

Risk: Aynı numara hem kişisel hem business → veri ayrımı yok = KVKK ihlali.

2) Profil bilgilerinde KVKK aydınlatma linki

Yasal nokta: KVKK md. 10 — aydınlatma metni görünür yerde olmalı.

Aksiyon: WhatsApp Business profilinde "Web sitesi" alanına KVKK aydınlatma linki:

🌐 https://markan.com/kvkk-aydinlatma

Veya kısaca "Privacy Policy" sayfana yönlendir.

3) Açık rıza (opt-in) mekanizması

Yasal nokta: KVKK md. 5 — pazarlama mesajı için açık rıza şart.

Aksiyon: Müşteri WhatsApp'a yazmadan önce opt-in al. 3 yöntem:

Web formda checkbox

☐ WhatsApp üzerinden kampanya / sipariş bilgilendirmesi
   almayı kabul ediyorum. (KVKK aydınlatma metnini okudum)

Sipariş tamamlama sırasında

Checkout sayfasında "WhatsApp güncelleme bilgilendirmesi al" toggle (default kapalı, kullanıcı açar).

IG bio'dan WhatsApp'a tıklama

Bu zaten dolaylı opt-in sayılır (kullanıcı kendi tercihiyle tıklayıp yazıyor) ama ekstra rıza için ilk yanıtta:

"Merhaba! Sipariş ve kampanya bilgilendirmesi
almak istiyorsanız 'EVET' yazın. KVKK aydınlatma:
[link]"

Risk: Açık rıza alınmamış bir kişiye pazarlama mesajı göndermek hem KVKK hem de ticari elektronik ileti mevzuatı açısından ihlal oluşturur; ayrıca WhatsApp tarafında hesap kısıtlamasına yol açabilir.

4) 24 saat yanıt penceresi kuralı

WhatsApp politikası: Müşteri sana mesaj attıktan sonra 24 saat içinde serbest yanıt verebilirsin. Sonrası onaylı şablon zorunlu.

Aksiyon:

• ✅ Müşteri DM yazınca 24 saatlik counter başlar
• ✅ Bu pencerede her tür yanıt serbest
• ✅ Pencere kapanınca → sadece onaylı template ("Sipariş güncellemesi", "Kampanya hatırlatması" gibi)

Risk: Pencere dışı serbest mesaj → WhatsApp hesap ban + spam şikayet.

5) Mesaj şablonu (Template) onay süreci

Cloud API kullanıyorsan: Template mesaj göndermek için Meta'ya onay başvur.

Onay genelde kısa sürüyor ama süresi Meta'nın inceleme yoğunluğuna göre değişiyor; kampanya planınızı şablon onayı beklemeyi hesaba katarak kurun.

Şablon türleri:

• Marketing: Kampanya, indirim
• Utility: Sipariş onayı, kargo bildirimi
• Authentication: OTP / şifre

Marketing template'ler daha sıkı denetlenir, utility daha kolay onaylanır.

6) Veri işleyenlerle sözleşme (DPA)

Yasal nokta: Verilerinizi sizin adınıza işleyen taraflarla yazılı bir veri işleyen sözleşmesi (DPA) bulunmalı; veri güvenliğine ilişkin sorumluluk veri sorumlusu olarak sizde kalmaya devam eder.

WhatsApp kurulumunda tipik veri işleyenler:

• WhatsApp / Meta (platform sağlayıcı)
• BSP (Business Solution Provider) — API erişimini sağlayan iş ortağı
• Otomasyon / gelen kutusu aracı — mesajları sizin adınıza işleyen yazılım

Aksiyon:

• ✅ Her birinden veri işleyen sözleşmesi (DPA) talep edin
• ✅ İmzalı nüshayı arşivleyin (denetimde sorulabilir)
• ✅ Hangi verinin nereden nereye aktığını yazılı olarak dokümante edin
• ✅ Yurt dışına aktarım varsa, aktarımın hangi hukuki zemine dayandığını sağlayıcıya sorun

7) Müşteri silme talebi (right to be forgotten)

Yasal nokta: KVKK md. 11 — kullanıcı veri silme talep edebilir.

Aksiyon:

• ✅ Müşteri "verilerimi silin" derse, mevzuattaki azami yanıt süresi içinde:
  • WhatsApp Business sohbet geçmişini sil
  • CRM / mesaj kayıtlarını (varsa) temizle
  • Yazılı yanıt ver; saklamak zorunda olduğun bir kayıt varsa gerekçesini belirt
• ✅ E-posta kanalı: kvkk@markan.com veya legal@markan.com

8) Veri saklama süresi politikası

Aksiyon: Sohbet geçmişini belirsiz süre saklamayın; her veri tipi için yazılı bir saklama süresi belirleyin. Aşağıdaki tablo bir örnek iskelet — süreleri kendi işleme amacınıza ve tabi olduğunuz mevzuata göre, gerekirse hukuk danışmanınızla birlikte belirleyin.

Veri tipi	Saklama süresi nasıl belirlenir?
Aktif müşteri sohbeti	İşleme amacınız devam ettiği sürece; amaç bitince sil
Uzun süredir etkileşim olmayan kayıtlar	Sil veya geri döndürülemez şekilde anonimleştir
Sipariş ve fatura kayıtları	Vergi ve ticaret mevzuatındaki zorunlu saklama süresi geçerli
Pazarlama izni (rıza) kaydı	İzin geçerli olduğu sürece; ispat yükü sizde olduğu için kaydı saklayın

9) Mesaj şablonlarında KVKK ihlal yok

Aksiyon: Marketing template'lerde eksik bilgi olmamalı:

❌ Yanlış:

"İndirim! Şimdi al, %30 ucuz!"

✅ Doğru:

"Selam Ayşe! Bu ay özel indirimimiz başladı. → markan.com/indirim

Bu mesajı almak istemezsen 'DUR' yaz. KVKK: markan.com/privacy"

Çıkış imkânı (DUR) + aydınlatma metni linki, uyum için atılacak asgari adımlar. Tek başına her şeyi çözmez ama bu ikisi eksikse mesajınız daha en baştan sorunlu demektir.

5 dakikada uyumlu kurulum

1. ✅ Şirket adına ayrı bir hat al
2. ✅ WhatsApp Business'ı kur, profili doldur (logo, açıklama, aydınlatma metni linki)
3. ✅ Web sitesinde açık rıza kutucuğu ekle (varsayılan işaretsiz)
4. ✅ İlk mesaj selamlamasını yaz: "Merhaba! KVKK aydınlatma metnimiz: [link]"
5. ✅ 5 hızlı yanıt tanımla: kargo, iade, ödeme, beden, mesai
6. ✅ Cloud API'ye geçecekseniz bir BSP seçin — seçerken veri lokasyonunu, DPA'yı ve fiyat modelini karşılaştırın
7. ✅ DPA'ları imzala + arşivle

Sektör bazlı şablonlar

Mass moda

Sipariş onayı (utility):
"Selam {{ad}}, sipariş #{{no}} alındı.
Teslimat tahminen 2-3 iş günü içinde.
Takip: {{link}}"

Kampanya (marketing, opt-in olmuş):
"{{ad}}, {{kategori}}'da %30 indirim başladı.
→ {{link}}
DUR yaz: bildirimsiz"

Premium kozmetik

Yenileme hatırlatması (marketing):
"Selam {{ad}}, son aldığın {{ürün}} bitmiş olabilir.
Yeniden sipariş: {{link}}
Bu mesaj almamak için: DUR"

Diş kliniği

Randevu hatırlatması (utility):
"Selam {{ad}}, yarın saat {{saat}} 
{{tedavi}} randevunuz. İletişim: {{tel}}"

Yaygın 5 KVKK hatası (kaçın)

Hata	Sonuç	Çözüm
Müşteri listesini başka bir markayla paylaşmak veya satmak	Açık rıza ihlali, ciddi idari yaptırım riski	Müşteri verisi paylaşılmaz
Tek bir izinle her tür mesajı göndermek	Genel nitelikli rıza geçerli sayılmaz	Her işleme amacı için ayrı, açık rıza
24 saat penceresi dışında serbest mesaj	Platform yaptırımı + mevzuat riski	Yalnızca onaylı şablon kullan
Veri işleyenle sözleşmesiz çalışmak	Bir ihlalde sorumluluğu tek başına taşımak	DPA imzala ve arşivle
Silme talebine geç yanıt vermek	İlgili kişi hakkının ihlali	Mevzuattaki azami süreye uyan bir iç prosedür kur

Cezalar ve güncel tarife

KVKK kapsamındaki idari para cezaları her yıl yeniden değerleme oranına göre güncelleniyor. Bu yüzden burada tutar yazmıyorum: geçerli tarifeyi ve emsal kararları Kişisel Verileri Koruma Kurumu'nun kendi yayınlarından kontrol edin. Kurum, karar özetlerini kendi sitesinde yayımlıyor; sektörünüze yakın kararları okumak, hangi uygulamaların sorun çıkardığını görmenin en sağlam yolu.

FendyChat ve WhatsApp

Şu an FendyChat sadece Instagram (yorum + DM) destekliyor. WhatsApp entegrasyonu yol haritasında, Q3 2026 için planlanıyor.

WhatsApp tarafı için piyasada Wati, Respond.io ve Twilio gibi araçlar var. Bunların KVKK uyumu, veri lokasyonu ve sertifikasyon durumu hakkında burada bir iddiada bulunmuyoruz — her birinin kendi güvenlik/uyum sayfasından güncel durumu teyit edin ve şu üç şeyi yazılı olarak isteyin: veri işleyen sözleşmesi (DPA), verilerin nerede saklandığı ve alt işleyen listesi.

Sıkça sorulan sorular

S: Kişisel WhatsApp'tan business olarak kullanabilir miyim?

C: Hayır. Bir numara ya kişisel ya Business olabilir. Marka için ayrı numara şart.

S: Cloud API'ye geçmek zorunda mıyım?

C: Hayır, mobil app yeterli (1-50 mesaj/gün). 50+ mesaj/gün, otomasyon istiyorsan Cloud API.

S: BSP zorunlu mu?

C: Cloud API'ye Meta üzerinden doğrudan erişmek mümkün. BSP ise kurulumu ve faturalandırmayı üstlendiği için teknik ekibi olmayan işletmelerde işi kolaylaştırıyor. KOBİ için genelde BSP pratik oluyor.

S: KVKK ceza tarifesi nedir?

C: Tutarlar her yıl yeniden değerleme oranıyla güncellendiği için burada sabit bir rakam vermek yanıltıcı olur. Güncel tarifeyi Kişisel Verileri Koruma Kurumu'nun kendi yayınlarından kontrol edin.

S: Müşteri WhatsApp'tan silme talep ederse Trendyol siparişini de silmeli miyim?

C: Talebin kapsamına bakın. Müşteri yalnızca WhatsApp yazışmasının silinmesini istiyorsa o kanaldaki kaydı silersiniz. Sipariş ve fatura kayıtları ise vergi ve ticaret mevzuatındaki zorunlu saklama süreleri nedeniyle silinemeyebilir — bu durumda müşteriye hangi verinin neden saklandığını gerekçesiyle açıklamanız gerekir.

S: Müşteri "DUR" yazınca ne yapmalıyım?

C: Gecikmeden opt-out kaydını al ve pazarlama listesinden çıkar. Bir daha pazarlama mesajı gönderilmez. Sipariş ve kargo bilgilendirmesi gibi hizmet mesajları devam edebilir.

S: WhatsApp Business katalog KVKK için ekstra ne gerektirir?

C: Katalog'da müşteri verisi yok (sadece ürün), ekstra KVKK gereksinimi yok. Ama "favori ürünler" listesi tutarsan o anonim olmalı.

S: WhatsApp'tan satın alma yapan müşteri Mesafeli Satış sözleşmesi nasıl onaylanır?

C: Ödeme link'i öncesi sözleşme PDF gönder, müşteri "ONAY" yazsın. Veya ödeme sayfasında checkbox. Kayıtları arşivle.

Kapanış: uyum maliyet değil, sigortadır

KVKK uyumu bir kez kurulur, sonra otomatik çalışır. 1 günlük yatırım = ömür boyu rahatlık.

3 öncelik:

1. ✅ Bu hafta: Şirket numarası + KVKK link + opt-in mekanizması
2. ✅ İkinci hafta: BSP seç + DPA imzala + template onayları
3. ✅ Aylık review: Müşteri silme talepleri + opt-out listesi temiz

📚 İlgili yazılar: KVKK + Mesafeli Satış 14 Maddelik Yasal Kontrol Listesi, KVKK Uyumlu Chatbot Seçimi, Instagram DM vs WhatsApp Business, E-ticaret Müşteri Hizmetleri Otomasyonu.