Web trafiği analizi IP adresi, cihaz sinyali, zaman ve kullanım kaydı gibi kişisel veri niteliği taşıyabilecek bilgiler üretebilir. KVKK uyumu yalnızca bir metin yayınlamakla tamamlanmaz; veri akışının amacı, kapsamı, saklama süresi ve güvenliği teknik tasarıma yansıtılmalıdır.
1. Amacı ve tarafların rolünü belirleyin
Hangi verinin neden işlendiğini yazılı hale getirin. Hizmet sağlayıcı kendi üyelik ve fatura verilerinde veri sorumlusu olabilir; müşteri sitesinden aktarılan trafik sinyallerinde ise sözleşmeye ve fiili sürece göre veri işleyen rolünde bulunabilir. Tarafların sorumlulukları sözleşme ve aydınlatma metinlerinde tutarlı olmalıdır.
2. Veri minimizasyonu uygulayın
- Risk analizi için gerekmeyen form veya kimlik bilgilerini toplamayın.
- IP ve cihaz değerlerini mümkün olduğunda tek yönlü özetleyin.
- Panelde IP adresini maskeleyin ve ham erişimi rol bazlı sınırlandırın.
- Şifre, SMTP ve ödeme anahtarlarını şifreli saklayın.
3. Hukuki sebep ve aydınlatmayı eşleştirin
Sözleşmenin ifası, hukuki yükümlülük, hakkın tesisi veya meşru menfaat gibi sebepler somut işlemle eşleştirilmelidir. Açık rıza gerekiyorsa özgür iradeye dayalı, belirli ve bilgilendirilmiş şekilde alınmalıdır. Aydınlatma metni veri kategorilerini, amaçları, aktarımı, toplama yöntemini, hukuki sebebi ve ilgili kişi haklarını açıkça anlatmalıdır.
4. Saklama ve otomatik silme
Trafik geçmişini süresiz tutmak yerine paket ve operasyon ihtiyacına göre süre belirleyin. Süresi dolan doğrulama anahtarları, parola sıfırlama kayıtları ve eski trafik verileri zamanlanmış görevle temizlenebilir. Finans ve hukuki kayıtlar için ilgili mevzuattaki zorunlu süreler ayrıca değerlendirilmelidir.
5. Güvenlik kontrolleri
- Tüm aktarımda TLS kullanın.
- Oturum çerezlerinde Secure, HttpOnly ve SameSite ayarlarını etkinleştirin.
- CSRF, hız sınırlama ve güçlü parola politikası uygulayın.
- Yönetici ve kullanıcı yetkilerini kesin biçimde ayırın.
- Hataları hassas veri göstermeden kaydedin; düzenli yedek ve olay müdahale planı oluşturun.
6. Harici kodlar ve analiz araçları
Google Analytics, Tag Manager veya canlı destek kodu eklendiğinde bu sağlayıcılara giden veriler ayrıca değerlendirilmelidir. Çerez yönetimi, yurt dışı aktarım şartları, veri işleme sözleşmeleri ve güncel sağlayıcı ayarları kontrol edilmelidir. Yönetici panelindeki kod alanlarına yalnızca güvenilir ve yetkili kullanıcılar erişmelidir.
7. İlgili kişi başvuruları
Erişim, düzeltme, silme veya itiraz taleplerinin hangi kanaldan alınacağını belirleyin. Kimlik doğrulama, talebin kayıt altına alınması ve yasal sürede yanıtlanması için sorumlu kişi atayın. Benzersiz trafik referansı teknik kaydı bulmaya yardımcı olabilir.
Not: Bu rehber genel bilgilendirme amaçlıdır; somut faaliyetiniz için KVKK uzmanı veya hukuk danışmanından değerlendirme alınması uygundur.