Shopxare Team
Kısaca: Canlı destek KVKK'ya uygun şekilde kullanılabilir, ama hiçbir araç kendi başına "KVKK uyumlu" değildir; uyumu sizin kurulumunuz belirler. Sohbeti aydınlatma metninize eklemeniz, canlı destek sağlayıcısıyla verilerin nasıl işleneceğini sözleşmeye bağlamanız, veriler yurt dışında tutuluyorsa standart sözleşme imzalayıp 5 iş günü içinde Kurum'a bildirmeniz, eski konuşmalar için bir saklama süresi belirlemeniz ve sohbet kodunun ne zaman yükleneceğine karar vermeniz gerekir. AB'deki müşterilere de satıyorsanız GDPR ve 2 Ağustos 2026'dan beri geçerli olan yapay zekâ şeffaflık kuralı da devreye girer.
Bu konudaki yazıların çoğu birkaç yıl önce yazıldı. O zamandan beri üç önemli şey değişti: yurt dışına aktarım kuralları Haziran 2024'te yenilendi, Kurul Mart 2026'da aydınlatma metni ile açık rıza metninin ayrı olması gerektiğini bir ilke kararıyla netleştirdi ve AB Yapay Zekâ Yasası'nın sohbet botlarıyla ilgili şeffaflık kuralı Ağustos 2026'da yürürlüğe girdi. Aşağıdaki liste üçünü de kapsıyor.
Bu yazı pratik bir özettir, hukuki tavsiye değildir. Sağlık verisi işliyorsanız, çocuklara satış yapıyorsanız veya büyük bir mağaza işletiyorsanız bir KVKK avukatına danışın.
Kanun bir web sitesi sohbetinden ne istiyor
| Kural | Canlı destek için anlamı | Kaynak |
|---|---|---|
| KVKK md. 5 | Sipariş ve ürün sorularını yanıtlamak genellikle "sözleşmenin ifası" veya "meşru menfaat" hukuki sebebine dayanır. Sohbetin kendisi için çoğu zaman açık rıza gerekmez. | 6698 sayılı Kanun |
| KVKK md. 10 | Veriyi toplarken kim olduğunuzu, amacı, kimlere aktarıldığını, toplama yöntemini ve hukuki sebebi, kişinin haklarını bildirmelisiniz. | KVKK, hak ve yükümlülükler |
| KVKK md. 9 (7499 sayılı Kanunla değişik) | Yurt dışına aktarımda yeterlilik kararı yoksa standart sözleşme gibi bir güvence gerekir; standart sözleşme imzadan sonra 5 iş günü içinde Kurum'a bildirilir. | Erdem & Erdem özeti, 2024 |
| KVKK md. 12 | Verileri sizin adınıza işleyen sağlayıcıyla birlikte güvenlik tedbirlerinden ortaklaşa sorumlusunuz. | 6698 sayılı Kanun |
| Çerez Uygulamaları Hakkında Rehber | Zorunlu çerezler genellikle açık rıza gerektirmez; reklam ve siteler arası analiz çerezleri aktif bir eylemle verilen açık rıza ister. | KVKK Çerez Rehberi (2022, 2025 güncellemesi) |
10 maddelik kontrol listesi
1. Canlı destek sağlayıcısıyla veri işleme sözleşmesi yapın
Sağlayıcı müşterilerinizin mesajlarını sizin adınıza saklar, yani veri işleyendir. KVKK md. 12 sizi onunla birlikte güvenlik tedbirlerinden sorumlu tutar. Sözleşmede sağlayıcının yalnızca sizin talimatınızla işlem yapacağı, gizlilik, güvenlik tedbirleri, alt işleyenler ve hizmet bitince verilerin silinmesi yazmalı. AB'deki müşterileriniz için GDPR md. 28 bunu zaten zorunlu kılar. Sözleşmenin tarihli bir kopyasını saklayın.
2. Verilerin nereye gittiğini bilin ve yurt dışı aktarımını bildirin
Üç soru sorun: konuşmalar hangi ülkede saklanıyor, bunları hangi alt işleyenler görüyor (barındırma, e-posta, yapay zekâ modeli) ve aktarım hangi güvenceye dayanıyor.
Türkiye'de satış yapan bir mağaza için kritik nokta şu: canlı destek sağlayıcınızın sunucuları yurt dışındaysa bu bir yurt dışına aktarımdır. 1 Haziran 2024'ten beri geçerli kurallara göre yeterlilik kararı yoksa standart sözleşme imzalanır ve imzadan sonra 5 iş günü içinde Kurum'a bildirilir. Kurum'un bunun için Ekim 2024'ten beri çalışan bir çevrim içi bildirim modülü var. Sağlayıcınıza KVKK standart sözleşmesini imzalayıp imzalamadığını sorun.
3. Sohbet kodunun ne zaman yükleneceğine karar verin
Canlı destek aracı, sağlayıcının sunucusundan bir kod yükler. Bu kod ziyaretçinin IP adresini sağlayıcıya gönderir ve konuşma sayfa değişince kaybolmasın diye genellikle tarayıcıda bir şey saklar.
KVKK Çerez Rehberi canlı desteği ayrıca ele almıyor. AB'nin en katı yorumu Almanya'dan geliyor: Alman veri koruma otoriteleri 2024 tarihli rehberlerinde sohbet kutularını ek bir hizmet olarak görüyor; ziyaretçi sayfayı açtığında sohbeti henüz istememiştir, sohbetin gerektirdiği kayıt ancak ziyaretçi onu kullandığında, örneğin tıkladığında zorunlu sayılabilir (DSK Orientierungshilfe Digitale Dienste, paragraf 74–80).
| Her sayfa açılışında yükle | Çerez onayından sonra yükle | Ziyaretçi sohbet düğmesine tıklayınca yükle | |
|---|---|---|---|
| Veriler sağlayıcıya ne zaman gider | Sayfa açılır açılmaz | Ziyaretçi onay verince | Tıklamadan sonra |
| Kim sohbet başlatabilir | Herkes | Yalnızca onay verenler | Herkes, bir tık fazlasıyla |
| Proaktif mesajlar, canlı ziyaretçi listesi | Var | Yalnızca onaydan sonra | Tıklamadan önce yok |
| Katı bir çerez yorumunda risk | En yüksek | Düşük | Düşük |
Önerimiz: yalnızca Türkiye'ye satıyorsanız en azından çerez politikanızda sohbetin ne sakladığını açıkça yazın. AB'ye de satıyorsanız kodu onaydan sonra veya tıklamayla yükleyin. Google Tag Manager kullanıyorsanız tetikleyiciyi "All Pages" yerine çerez aracınızın gönderdiği onay olayına bağlayabilirsiniz (Tag Manager ile canlı destek ekleme).
4. Sohbeti aydınlatma metninize ekleyin
Mart 2026'da Resmî Gazete'de yayımlanan 2026/347 sayılı Kurul ilke kararına göre aydınlatma metni ile açık rıza metni ayrı düzenlenmeli, aydınlatma için "kabul ediyorum" yerine "okudum ve anladım" gibi bir ifade kullanılmalı ve başka bir hukuki sebep varken açık rıza metni gösterilmemeli (Alo Maliye, 24 Mart 2026). Canlı destek için kısa bir bölüm yeterli:
Canlı destek. Sitemizdeki sohbeti kullandığınızda mesajlarınızı, verdiyseniz adınızı ve e-posta adresinizi, IP adresinizi ve ziyaret ettiğiniz sayfaları işliyoruz. Bunu sorularınızı yanıtlamak için sözleşmenin ifası ve meşru menfaatimiz hukuki sebeplerine dayanarak yapıyoruz (KVKK md. 5/2-c ve f). Sohbet hizmetini [sağlayıcı, adres] sunar ve verileri bizim adımıza işler. Veriler [ülke] içinde saklanır; bu aktarım standart sözleşmeye dayanır. [Yapay zekâ yanıtlıyorsa: Bazı yanıtları bir yapay zekâ asistanı yazar; bunun için mesajınız [yapay zekâ sağlayıcısı]'na gönderilir.] Konuşmaları son mesajdan [12] ay sonra sileriz.
Ekibiniz ziyaretçinin yazdığını göndermeden önce görebiliyorsa (yazma önizlemesi), bunu da buraya ekleyin.
5. Yalnızca ihtiyacınız olanı sorun
İlk mesajdan önce ad, e-posta, telefon ve şirket isteyen bir form çoğu soru için gereğinden fazla veri toplar. Ölçülülük ilkesi bunu ister. Kimse çevrim içi değilken e-postayla dönmek istiyorsanız e-posta isteyin; "siparişim nerede" için sipariş numarası yeterlidir.
6. Kart numaralarını ve şifreleri sohbetten uzak tutun
Müşteriler sohbet penceresine kart numarası ve şifre yapıştırır. Ödeme sayfalarındaki karşılama mesajında bunu yapmamalarını söyleyin ve aracınızda varsa maskelemeyi açın. Shopxare'de Ayarlar → Genel → Kart numaralarını ve şifreleri gizle, müşteri mesajlarındaki kart numaralarını (son 4 hane hariç), güvenlik kodlarını ve şifreleri maskeler (çalışma alanı ayarları).
7. Saklama süresi belirleyin ve silme taleplerini yanıtlayın
Kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanır. Sohbetleri neden sakladığınıza uyan bir süre seçin, örneğin cayma ve garanti süresinin sonu. Bunu aydınlatma metnine yazın ve eski konuşmaları her çeyrek belirli bir tarihte silin. Bir müşteri silme talep ederse kişiyi ve konuşmalarını birlikte silin, sonra bunu yazılı olarak bildirin.
8. Yapay zekâyı yapay zekâ olarak tanıtın
AB'deki müşterilere satış yapıyorsanız: 2 Ağustos 2026'dan beri AB Yapay Zekâ Yasası md. 50(1), insanlara bir yapay zekâ sistemiyle konuştuklarının söylenmesini ister, bu açıkça belli değilse (Avrupa Komisyonu SSS, Temmuz 2026). Yükümlülük sistemin sağlayıcısındadır ama adı ve ilk cümleyi siz belirlersiniz. Botunuza bir fotoğrafla "Ayşe" demeyin; "Yapay zekâ asistanı" deyin ve ilk yanıtta bir kişinin devralabileceğini söyleyin. Türkiye'ye satıyorsanız da bu dürüst bir varsayılan. Farkları yapay zekâ ajanı ile chatbot yazımızda anlattık.
9. Yapay zekânın model sağlayıcısına ne gönderdiğini kontrol edin
Bir yapay zekâ ajanı müşterinin mesajını bir dil modeli sağlayıcısına gönderir; bu da çoğu zaman bir yurt dışı aktarımıdır. Sağlayıcının kim olduğunu ve kişisel verilerin önceden çıkarılıp çıkarılamayacağını kontrol edin. Shopxare'de Are AI ayarlarındaki Kişisel verileri yapay zekâ sağlayıcısından gizle, metin gönderilmeden önce e-posta, telefon ve kart numaralarını değiştirir. Yapay zekânın kimi yanıtlayacağını da seçebilirsiniz: herkesi, yalnızca ziyaretçileri veya yalnızca giriş yapmış kullanıcıları.
10. Kimin neyi okuyabileceğini sınırlayın
Destek gelen kutusunda adresler, siparişler ve şikâyetler bulunur. Her ekip arkadaşına ihtiyacı olan rolü verin ve kimsenin giriş yapmış bir müşteri gibi davranıp onun konuşmalarını okuyamaması için kimlik doğrulamayı kullanın (roller ve izinler, kimlik doğrulama).
Örnek: ikas'ta satış yapan küçük bir mağaza listeyi uyguluyor
İzmir'de iki kişilik bir doğal kozmetik mağazası ikas üzerinde satış yapıyor, siparişlerin bir kısmı Almanya'dan geliyor. Canlı destek 2024'ten beri her sayfada yükleniyor, aydınlatma metninde sohbetten hiç söz edilmiyor ve geceleri kargo sorularını Are AI yanıtlıyor.
Bir öğleden sonra şunları yapıyorlar: sağlayıcıyla veri işleme sözleşmesini imzalayıp dosyalıyorlar, KVKK standart sözleşmesini imzalayıp 5 iş günü içinde Kurum'a bildiriyorlar, sohbet kodunu çerez aracına taşıyıp yalnızca onaydan sonra yüklenecek şekilde ayarlıyorlar ve diğer ziyaretçiler için alt bilgiye tıklayınca yüklenen bir "Bize yazın" bağlantısı koyuyorlar. Aydınlatma metnine yukarıdaki paragrafı "12 ay" saklama süresiyle ekliyor, yapay zekânın adını "Elif"ten "Yapay zekâ asistanı"na çeviriyor ve kart numarası maskelemeyi açıyorlar. Gece 23.10'da bir ziyaretçi soruyor: "Lavanta sabunu hassas cilt için uygun mu?" Asistan ürün sayfasından yanıtlıyor ve gerekirse sabah bir kişinin döneceğini söylüyor.
Shopxare'in yardımcı olduğu yer ve size kalan iş
| Kontrol | Shopxare'de | Sizin işiniz |
|---|---|---|
| Veri işleme sözleşmesi | Güvenlik sayfasında veri işleme eki sunuluyor | İmzalayıp dosyalamak, KVKK standart sözleşmesini sormak |
| Veri konumu | UpCloud'da, Avrupa'daki bir veri merkezinde barındırılır; şifreli kopyalar ikinci bir veri merkezinde tutulur | Aydınlatma metninde belirtmek, yurt dışı aktarımını bildirmek |
| Alan adınızda çerez | Messenger yalıtılmış bir çerçevede çalışır ve alan adınızda çerez bırakmaz | Kodun ne zaman yükleneceğine çerez aracınızla karar vermek |
| Ön form, yazma önizlemesi | Ayarlar → Messenger → Özellikler (Messenger'ı özelleştirme) | Yalnızca gerekeni sormak, önizlemeyi metne eklemek |
| Maskeleme | Kart numaralarını ve şifreleri gizle | Açmak |
| Yapay zekâ verisi | Kişisel verileri yapay zekâ sağlayıcısından gizle, müşterilere gösterilen ad | Yapay zekâyı yapay zekâ olarak adlandırmak |
| Silme ve dışa aktarma | Kişileri ve konuşmalarını silme, kişileri CSV olarak dışa aktarma | Saklama süresi belirleyip uygulamak |
"Alan adınızda çerez yok" demek onay sorusunu tek başına çözmez: kod yüklendiğinde ziyaretçinin IP adresi sağlayıcıya gider. Bu karar sizde ve çerez aracınızda kalır.
Bu listenin yetmediği durumlar
Müşterileriniz size sağlık bilgisi (eczane, takviye ürünlerde tıbbi sorular), kimlik belgesi veya çocuklarla ilgili veri gönderiyorsa on kontrolden fazlası gerekir; bunlar özel nitelikli kişisel veri olabilir. Görüşme kaydı alan veya sohbeti kredi kararları için kullanan mağazalar için de aynısı geçerli. Bir uzmana danışın.
Sık sorulan sorular
Canlı destek için çerez onayı gerekir mi?
Sohbetin tarayıcıda ne sakladığına ve kime sattığınıza bağlı. KVKK Çerez Rehberi zorunlu çerezler için açık rıza aramıyor ama canlı desteği ayrıca ele almıyor. AB'ye satıyorsanız en güvenli yol kodu onaydan sonra veya tıklamayla yüklemek.
Canlı destek için açık rıza almam gerekir mi?
Çoğu zaman hayır. Müşterinin sorusunu yanıtlamak sözleşmenin ifası veya meşru menfaat hukuki sebebine dayanır. Başka bir hukuki sebep varken açık rıza metni göstermek Kurul'un 2026 ilke kararına da aykırı.
Canlı destek sağlayıcısının sunucuları yurt dışındaysa ne yapmalıyım?
Bu bir yurt dışına aktarımdır. Yeterlilik kararı yoksa standart sözleşme imzalayın ve imzadan sonra 5 iş günü içinde Kurum'un bildirim modülünden bildirin.
Müşterilere yapay zekâyla konuştuklarını söylemem gerekir mi?
AB'deki müşteriler için 2 Ağustos 2026'dan beri evet, açıkça belli değilse. En kolay yol "Yapay zekâ asistanı" gibi net bir ad ve bir kişinin devralabileceğini söyleyen bir ilk cümle.
Sohbet kayıtlarını ne kadar saklayabilirim?
Belirlediğiniz amaç için gerektiği kadar, örneğin cayma ve garanti süresi boyunca. Süreyi aydınlatma metnine yazın ve eski konuşmaları düzenli olarak silin.
Yalıtılmış bir çerçevede çalışan, Avrupa'da barındırılan ve kişisel verileri yapay zekâdan gizleyebilen bir canlı destek arıyorsanız, Shopxare'in ücretsiz bir planı var.
