Çoğu e-pin satıcısı KVKK'yı sadece "kişisel verilerinizi üçüncü şahıslarla paylaşmayız" yazan bir metin sanır. Sitenin alt köşesine gizlilik politikası linkini koyarsın, bir kez yazdırılır, sonra bir daha hiç açılmaz. Oysa gerçek tablo bundan çok daha karmaşık: müşterinin oyun hesabı bilgisi, ödeme işlem izi, IP adresi, hatta hangi saatte hangi ürünü satın aldığı bile kişisel veri sayılıyor ve bunların her biri ayrı bir sorumluluk doğuruyor.
Asıl çarpıcı olan şu: Türkiye'de dijital ürün satan işletmelerin büyük bölümü, kullandıkları e-pin scripti hangi verileri nerede, ne kadar süre tuttuğunu tam olarak bilmiyor. Script bir yerden satın alınmış, kurulmuş, çalışıyor; arka planda ne olduğu hiç sorgulanmamış. Bu yazıda tam olarak bu kör noktayı açıyoruz ve bir e-pin satış yazılımının KVKK açısından gerçekte neyi karşılaması gerektiğini adım adım gösteriyoruz.
E-Pin Satışında KVKK Gerçekten Sadece Büyük Firmaların Meselesi mi?
Yaygın inanışın aksine KVKK'nın kapsamı işletme büyüklüğüne göre değişmiyor. Tek kişilik bir e-pin scripti işletsen de, on kişilik bir ekiple dijital ürün satış yazılımı çalıştırsan da; müşterinin adını, e-posta adresini, sipariş geçmişini işlediğin anda veri sorumlusu sayılırsın. Küçük ölçekli satıcılar genellikle VERBİS kaydından muaf olabilir ama bu muafiyet aydınlatma yükümlülüğünü, veri güvenliği tedbirlerini ya da açık rıza alma zorunluluğunu ortadan kaldırmaz. Yani "biz küçük bir işiz, bize bir şey olmaz" mantığı hem yanlış hem de tehlikeli bir varsayım.
Sipariş Formundaki O Basit Excel Dosyası Aslında Ne Kadar Tehlikeli?
Birçok e-pin satıcısı hâlâ siparişleri Excel dosyasında, sipariş bilgilerini WhatsApp gruplarında takip ediyor. Bu dosya şifresiz, kimin ne zaman eriştiği kayıt altında değil, kopyası kaç farklı bilgisayarda duruyor bilinmiyor. Bir çalışan işten ayrıldığında dosya hâlâ onun kişisel bilgisayarında kalabiliyor. Bu tablo KVKK'nın 12. maddesindeki veri güvenliği yükümlülüğünü doğrudan ihlal ediyor. Oysa yapılandırılmış bir e-pin satış scripti, her erişimi loglayarak, yetkisiz kişilerin veri görmesini engelleyerek bu riski baştan ortadan kaldırıyor.
Lisanssız Bir E-Pin Scripti Kullanmak Seni Nasıl Daha Büyük Bir Risk Altına Sokuyor?
Piyasada dolaşan kırık (nulled) veya lisanssız e-pin scripti sürümleri, çoğu satıcının fark etmediği bir tuzak barındırıyor: bu dosyalara sızdırılmış arka kapılar, güncellenmeyen güvenlik açıkları ve bazen doğrudan veri sızdıran gizli kod parçaları bulunabiliyor. Lisanssız bir dijital ürün satış scripti çöktüğünde ya da veri sızıntısı yaşandığında, sorumluluk yazılımı yazan kişide değil, o scripti kullanan senin işletmende kalıyor. KVK Kurumu "ben bu scripti bilmeden indirdim" savunmasını dinlemiyor; veri sorumlusu sensin ve idari para cezası doğrudan senin işletmene kesiliyor.
Aşağıdaki tabloda, bir e-pin satış scripti üzerinden işlediğin başlıca veri türlerini, bunların hukuki dayanağını ve önerilen saklama sürelerini bir arada görebilirsin. Çoğu satıcı bu tabloyu hiç çıkarmadan yıllarca çalışıyor ve sorun ancak bir denetim ya da şikayet geldiğinde ortaya çıkıyor.
| Veri Türü | Örnek | Saklama Süresi | Hukuki Dayanak |
|---|---|---|---|
| Kimlik/İletişim Verisi | Ad soyad, e-posta, telefon | İlişki süresince + zamanaşımı | KVKK m.5 |
| Mali Kayıt | Fatura, ödeme işlem izi | 10 yıl | Vergi Usul Kanunu |
| Log Kaydı | IP adresi, erişim zamanı | Kanunda öngörülen süre | 5651 sayılı Kanun |
| Ürüne Özel Veri | Oyun hesabı, lisans anahtarı | Amaç ortadan kalkana dek | KVKK m.4 (ölçülülük) |
Sektördeki veri ihlallerinin nereden kaynaklandığına baktığında tablo aslında hiç şaşırtıcı değil. Sorunun büyük bölümü karmaşık siber saldırılardan değil, temel önlemlerin alınmamasından kaynaklanıyor.
E-Ticaret Sitelerinde Veri İhlallerinin Kaynağı
- Lisanssız/güncel olmayan yazılım 45%
- Yetkisiz çalışan erişimi 25%
- Zayıf/varsayılan şifreler 20%
- Fiziksel veri kaybı 10%
Hangi Müşteri Verisi Ne Kadar Süre Saklanmalı, Kimse Sana Bunu Anlatmıyor
Her veri türünün kendine özgü bir saklama süresi var ve bu süreleri karıştırmak da az tehlikeli değil. Fatura bilgileri Vergi Usul Kanunu gereği 10 yıl saklanmak zorunda, IP adresi ve log kayıtları 5651 sayılı Kanun kapsamında belirli bir süre tutulmalı, ama sipariş sürecinde alınan gereksiz veriler (örneğin artık kullanılmayan bir kampanya için toplanan telefon numarası) amaç ortadan kalktığında silinmeli. Bir e-pin yazılımı bu süreleri manuel takip etmeni bekliyorsa, er ya da geç bir veri unutulur ve gereğinden uzun süre saklanmış olur. Bu da KVKK'nın "ölçülülük" ilkesine aykırı bir durum yaratır.
Bir Veri İhlali Yaşarsan Gerçekte İlk 72 Saatte Ne Olur?
Bir e-pin satış yazılımı üzerinden veri sızıntısı yaşadığında saat işlemeye başlar. KVK Kurumu'na bildirim süresi öğrenilme anından itibaren en geç 72 saat; bu süre içinde ihlalin kapsamını, etkilenen kişi sayısını ve alınan önlemleri net biçimde ortaya koyman gerekiyor. Dijital ürün satışında durum daha da hassas çünkü sızan veri sadece isim ve e-posta değil, oyun hesabı bilgisi, lisans anahtarı, hatta ödeme izleri olabiliyor. Bu tür bir ihlal hem idari para cezasına hem de müşteri güveninin telafisi çok zor biçimde sarsılmasına yol açıyor. Hazırlıksız yakalanan işletmeler genellikle bu 72 saati loglara erişmeye çalışarak, hangi verinin nerede tutulduğunu anlamaya çalışarak kaybediyor.
Pinova Gibi Lisanslı Bir E-Pin Yazılımı KVKK Uyumunu Nasıl Otomatikleştiriyor?
İşte tam bu noktada lisanslı ve düzenli güncellenen bir e-pin satış yazılımı fark yaratıyor. Pinova, rol bazlı yetkilendirme ile hangi çalışanın hangi müşteri verisine erişebileceğini sınırlıyor, her işlemi geriye dönük izlenebilir biçimde logluyor ve hassas verileri şifreli olarak saklıyor. Saklama sürelerini manuel takip etmek yerine, veri türüne göre otomatik kurallar tanımlayabiliyorsun. Güvenli ödeme altyapısı entegrasyonu sayesinde kart bilgileri işletmenin sunucusunda hiç tutulmuyor, bu da sorumluluk alanını daralttığın anlamına geliyor. Detaylı özellik listesine özellikler sayfasından, güncel paket fiyatlarına ise fiyatlandırma bölümünden göz atabilirsin. Bir e-pin scripti seçerken sadece arayüzüne değil, arka planda müşteri verini nasıl koruduğuna da bakman gerekiyor; çünkü görünmeyen kısım, işletmeni asıl riske sokan kısımdır.
KVKK uyumunu gerçek anlamda sağlamak istiyorsan, aşağıdaki kontrol listesini kendi e-pin satış yazılımınla karşılaştırarak ilerlemen en sağlıklı yöntem. Her madde tek başına küçük görünse de, denetim sırasında hepsi birlikte değerlendiriliyor.
| Kontrol Maddesi | Neden Önemli | Pinova'da Karşılığı |
|---|---|---|
| Aydınlatma metni sipariş adımında gösteriliyor mu? | Açık rıza öncesi bilgilendirme zorunlu | Sipariş akışına entegre metin alanı |
| Hassas veriler şifreli mi saklanıyor? | Sızıntı anında veriyi anlamsız kılar | Şifreli veri tabanı desteği |
| Kim, hangi veriye ne zaman erişti? | Denetimde ilk sorulan sorulardan biri | İşlem bazlı erişim logu |
| Saklama süresi dolan veri otomatik siliniyor mu? | Gereğinden uzun saklama başlı başına ihlal | Veri türüne göre otomatik kural tanımı |
Kaynağı belirsiz bir e-pin scripti kullanıyorsan, KVKK uyum sürecin baştan çürük bir zemin üzerine kurulu demektir. Bilmeden yüklediğin bir güvenlik açığı, tek bir saldırıyla tüm müşteri veri tabanını dışarı sızdırabilir ve "haberim yoktu" savunması hiçbir işe yaramaz.
KVKK Uyumunu Manuel Takip Etmekten Yorulmadın mı?
Pinova ile müşteri verilerini şifreli sakla, erişimleri logla, saklama sürelerini otomatikleştir.
E-pin scripti kullanan küçük bir işletme de KVKK'ya tabi mi?
Evet. KVKK kapsamı işletme büyüklüğüne değil, kişisel veri işleyip işlemediğine bakıyor. Tek kişilik bir e-pin scripti üzerinden bile müşteri adı, e-posta adresi veya sipariş bilgisi topluyorsan veri sorumlusu sayılırsın. VERBİS kaydından muaf olman, aydınlatma metni sunma, veri güvenliği tedbiri alma ve açık rıza toplama yükümlülüğünü ortadan kaldırmaz.
Müşteri IP adresi kişisel veri sayılır mı?
Evet, IP adresi hem KVKK hem de 5651 sayılı Kanun kapsamında kişisel veri olarak kabul ediliyor. Bir e-pin satış scripti sipariş sürecinde otomatik olarak IP adresi kaydediyorsa, bu verinin ne kadar süre tutulacağını, hangi amaçla işlendiğini ve kimlerin erişebileceğini açıkça tanımlaman gerekiyor.
Lisanssız/nulled bir e-pin scripti kullanmak neden bu kadar büyük bir risk?
Çünkü bu tür sürümler genellikle güvenlik yamalarından yoksun kalıyor ve içine gizlenmiş kötü amaçlı kod barındırabiliyor. Bir veri sızıntısı yaşandığında sorumluluk scripti yazan değil, onu kullanan işletmede kalıyor. Ayrıca lisanssız yazılımlar güncel KVKK gereksinimlerine göre düzenli güncellenmediği için, zamanla yasal mevzuatla arası daha da açılıyor.
Pinova KVKK uyumuna nasıl yardımcı oluyor?
Pinova; rol bazlı yetkilendirme, şifreli veri saklama, işlem bazlı loglama ve veri türüne göre otomatik saklama süresi tanımlama gibi özellikleriyle KVKK gereksinimlerini sistemin doğal bir parçası hâline getiriyor. Ayrıca güvenli ödeme altyapısı entegrasyonu sayesinde kart bilgilerinin işletme sunucusunda tutulmasını gerektirmiyor.
Bugüne kadar bu konuları hiç bu şekilde ele almamış olabilirsin ama artık biliyorsun: KVKK uyumu bir kerelik bir metin yazma işi değil, sürekli işleyen bir sistem meselesi. Bunu manuel takip etmek yerine, senin yerine otomatik yürüten bir e-pin satış yazılımına geçmek çok daha güvenli bir yol. Pinova'nın bu süreci nasıl yönettiğini canlı demo ile adım adım görebilirsin.