KVKK سایت: سایت شما طبق قانون ترکیه چه متن‌هایی لازم دارد

KVKK شامل سایت شما می‌شود؟

KVKK قانون حفاظت از داده‌های شخصی ترکیه به شماره ۶۶۹۸ است و از ۲۰۱۶ اجرا می‌شود. هر کسب‌وکاری که در ترکیه اطلاعات شخصی پردازش می‌کند، «مسئول داده» (Veri Sorumlusu) حساب می‌شود؛ کوچک و بزرگ ندارد. برای یک سایت معمولی یعنی هر کدام از این‌ها:

• فرم تماس، مشاوره یا رزرو که نام و شماره می‌گیرد
• Google Analytics، Google Ads یا Meta Pixel
• فرم ثبت‌نام، خبرنامه یا خرید
• چت بات یا ویجت واتساپ که پیام و شماره را ذخیره می‌کند

زبان سایت مهم نیست. سایت فارسی کسب‌وکاری که در ترکیه کار می‌کند هم شامل قانون است.

۱. متن اطلاع‌رسانی (Aydınlatma Metni)

ماده ۱۰ KVKK می‌گوید در لحظه جمع کردن اطلاعات باید به فرد بگویید:

1. مسئول داده کیست و نشانی‌اش کجاست
2. اطلاعات را برای چه هدفی پردازش می‌کنید
3. به چه کسانی و برای چه منتقل می‌کنید
4. با چه روشی و با کدام مبنای قانونی جمع می‌کنید
5. حقوق فرد طبق ماده ۱۱

«در لحظه جمع کردن» یعنی لینک این متن باید کنار خود فرم باشد، نه فقط در فوتر. متن باید ساده و قابل فهم باشد.

اشتباه رایج: یک چک‌باکس برای همه‌چیز

«متن KVKK را خواندم و با پردازش اطلاعاتم موافقم» در یک چک‌باکس، دو چیز متفاوت را قاطی می‌کند. اطلاع‌رسانی رضایت نمی‌خواهد؛ فقط باید ارائه شود. برای جواب دادن به فرم تماس هم معمولاً رضایت لازم نیست، چون مبنای قانونی‌اش «لازم برای انعقاد قرارداد» است (ماده 5/2-c).

۲. رضایت صریح (Açık Rıza)، جدا و اختیاری

رضایت صریح فقط وقتی لازم است که مبنای قانونی دیگری ندارید؛ مثلاً برای پیام تبلیغاتی، کوکی تبلیغاتی یا انتشار عکس مشتری در صفحه نمونه‌کار، مثل نمونه‌کارهای اثر. رضایت درست این ویژگی‌ها را دارد:

• برای یک موضوع مشخص است، نه کلی
• با یک کار فعال داده می‌شود: چک‌باکس خالی که کاربر خودش تیک می‌زند
• شرط گرفتن خدمت نیست
• پس گرفتنش به همان آسانی دادنش است

۳. سیاست کوکی و بنر کوکی

سازمان حفاظت از داده‌های شخصی ترکیه «راهنمای کاربردهای کوکی» (Çerez Uygulamaları Hakkında Rehber) را در ۲۰۲۲ منتشر کرد و در ژوئیه ۲۰۲۵ نسخه به‌روزشده‌اش را بیرون داد. خلاصه نسخه ژوئیه ۲۰۲۵ برای سایت یک کسب‌وکار:

• کوکی‌های ضروری، مثل سبد خرید یا ذخیره زبان، رضایت نمی‌خواهند.
• کوکی‌های آماری و تبلیغاتی شخص ثالث (Google Analytics، Google Ads، Meta Pixel) قبل از رضایت نباید اجرا شوند.
• آمارگیری شخص اول، یعنی کوکی‌ای که فقط مخاطب و عملکرد سایت خودتان را می‌سنجد، طبق راهنما ممکن است بدون رضایت مجاز باشد؛ به این شرط که فقط آمار ناشناس بسازد، کاربر را بین سایت‌های مختلف دنبال نکند و داده‌اش به شخص ثالث نرسد. راهنما ماسک کردن IP و عمر معقول کوکی را هم توصیه می‌کند.
• راهنما نمایش دکمه‌های «پذیرفتن»، «رد کردن» و «تنظیمات» با رنگ، اندازه و فونت یکسان را نمونه رویه خوب می‌داند و توصیه می‌کند. دکمه «رد کردن» در هر حال باید از همان مرحله اول در بنر باشد.
• گزینه‌ها نباید از قبل تیک خورده باشند.
• کاربر باید بعداً هم بتواند انتخابش را عوض کند؛ مثلاً با لینک «تنظیمات کوکی» در فوتر.

سیاست کوکی فهرست کوکی‌ها را با ارائه‌دهنده، هدف و مدت نگهداری نشان می‌دهد. اگر تبلیغات گوگل دارید، Google Consent Mode v2 را هم همراه بنر راه بیندازید تا تگ‌ها انتخاب کاربر را رعایت کنند.

۴. راه فرستادن درخواست صاحب داده

هر کسی که اطلاعاتش را دارید می‌تواند طبق ماده ۱۱ بپرسد چه اطلاعاتی از او دارید، اصلاح یا حذفش را بخواهد و بپرسد به چه کسی داده‌اید. طبق آیین‌نامه درخواست از مسئول داده، درخواست کتبی، با KEP، با امضای الکترونیک امن یا امضای موبایل، یا از ایمیلی که فرد قبلاً به شما داده و در سیستم‌تان ثبت است فرستاده می‌شود.

باید حداکثر ظرف ۳۰ روز جواب بدهید و جواب اصولاً رایگان است. یک صفحه ساده که روش درخواست و اطلاعات لازم را بگوید، کار هر دو طرف را راحت می‌کند.

۵. انتقال اطلاعات به خارج از ترکیه

اگر سایت روی هاست خارجی است یا از Google Analytics و ایمیل Google Workspace استفاده می‌کنید، اطلاعات به خارج از ترکیه منتقل می‌شود. از ۱ ژوئن ۲۰۲۴، با اصلاح ماده ۹ KVKK، این انتقال یکی از این شرط‌ها را لازم دارد:

• کشور مقصد از هیئت KVKK تصمیم کفایت (yeterlilik kararı) گرفته باشد.
• تضمین مناسب، مثل قرارداد استاندارد (standart sözleşme) که ظرف ۵ روز کاری بعد از امضا به سازمان KVKK اطلاع داده می‌شود.
• در انتقال‌های موردی و غیرتکراری، رضایت صریح.

در متن اطلاع‌رسانی بنویسید اطلاعات به کجا و با کدام سازوکار منتقل می‌شود.

۶. VERBİS: ثبت در سامانه مسئولان داده

VERBİS سامانه ثبت مسئولان داده است. طبق تصمیم‌های فعلی هیئت KVKK (وضعیت تا اکتبر ۲۰۲۶)، کسب‌وکاری با کمتر از ۵۰ کارمند در سال و ترازنامه سالانه کمتر از ۱۰۰ میلیون لیر از ثبت معاف است، به شرطی که کار اصلی‌اش پردازش داده‌های حساس نباشد. برای کسب‌وکاری که کار اصلی‌اش پردازش داده حساس است، مثل کلینیک، هیئت با تصمیم ۴ سپتامبر ۲۰۲۵ (شماره 2025/1572) معافیت جدیدی گذاشت: کمتر از ۱۰ کارمند در سال و ترازنامه سالانه کمتر از ۱۰ میلیون لیر. این سقف‌ها هر چند سال تغییر می‌کنند، پس وضعیت خودتان را با حسابدار یا وکیل‌تان بررسی کنید.

۷. پیام تبلیغاتی: پیامک، ایمیل و واتساپ

پیام تبلیغاتی (ticari elektronik ileti) در ترکیه تابع قانون ۶۵۶۳ است و رضایت قبلی گیرنده را لازم دارد. کسب‌وکارهایی که پیام تبلیغاتی می‌فرستند، با چند استثنا، باید در سامانه مدیریت پیام (İYS) ثبت شوند و رضایت‌ها را آنجا ثبت کنند. اگر در فرم سایت چک‌باکس خبرنامه دارید، آن را جدا و خالی بگذارید.

اگر لیدهای فرم سایت را با سیستم اتوماسیون کسب‌وکار با هوش مصنوعی در CRM ثبت و پیگیری می‌کنید، وضعیت رضایت هر نفر را هم کنار شماره‌اش ذخیره کنید تا پیام تبلیغاتی فقط به کسانی برسد که رضایت داده‌اند.

اگر فروش آنلاین دارید

فروشگاه اینترنتی علاوه بر موارد بالا، این صفحه‌ها را هم لازم دارد:

درگاه‌های پرداخت مثل iyzico و PayTR معمولاً قبل از فعال کردن حساب، این صفحه‌ها را در سایت بررسی می‌کنند. مقایسه درگاه‌ها و مدارک فعال‌سازی را در درگاه پرداخت برای سایت در ترکیه نوشته‌ایم. در طراحی سایت اختصاصی و فروشگاه اینترنتی، بنر کوکی KVKK را از روز اول در سایت می‌گذاریم و درگاه iyzico یا PayTR را وصل می‌کنیم.

چک‌لیست: صفحه‌های حقوقی سایت در ترکیه

جریمه

هیئت KVKK برای نقض قانون جریمه اداری تعیین می‌کند و مبلغ جریمه‌ها هر سال با نرخ ارزیابی مجدد بالا می‌رود. طبق جدول ۲۰۲۶ سازمان KVKK، جریمه رعایت نکردن تکلیف اطلاع‌رسانی (ماده ۱۰) تا اکتبر ۲۰۲۶ بین ۸۵٬۴۳۷ و ۱٬۷۰۹٬۲۰۰ لیر است. برای یک کسب‌وکار کوچک، هزینه درست نوشتن این صفحه‌ها خیلی کمتر از یک جریمه است.

جمع‌بندی

برای یک سایت معرفی کسب‌وکار، چهار صفحه کافی است: متن اطلاع‌رسانی، سیاست کوکی با بنر، صفحه درخواست KVKK و شرایط استفاده. اگر فروش آنلاین دارید، صفحه‌های فروش از راه دور را هم اضافه کنید. نمونه هر چهار صفحه را در فوتر همین سایت می‌بینید: حریم خصوصی و KVKK، سیاست کوکی، درخواست KVKK و شرایط استفاده.

پرسش‌های رایج