Gizlilik Sözleşmesi Nasıl Hazırlanır, Neleri Kapsamalı?

---

Yeni bir siteye form eklerken ya da uygulamaya kayıt ekranı koyarken sıra er geç aynı sayfaya geliyor: ziyaretçiye verilerinin ne olacağını anlatan metin. Çoğu kişi bunu internetten bulduğu bir şablonu kopyalayıp isim değiştirerek geçiştiriyor.

Bu yazı, gizlilik metnini hazırlarken hangi ilkelerin gözetilmesi gerektiğini, veri sorumlusunun mevzuattaki yükümlülüklerini ve metinde hangi soruların yanıtlanması gerektiğini Kişisel Verileri Koruma Kurumu'nun kendi sayfalarına dayanarak anlatıyor.

Gizlilik metni ile aydınlatma metni aynı şey mi?​

Uygulamada "gizlilik sözleşmesi" ya da "gizlilik politikası" denilen metin, sitenin veri işleme yaklaşımını topluca anlatan bir belge. Mevzuat tarafında adı geçen yükümlülük ise aydınlatma yükümlülüğü; Kurum'un veri sorumlusunun yükümlülükleri sayfası bunu veri sorumlusunun ilgili kişileri veri işleme faaliyetleri hakkında bilgilendirmesi olarak sayıyor.

Bu ikisi birbirinin yerine geçmiyor. Aydınlatma metninin nasıl kurulacağını aydınlatma metnini ele aldığımız yazıda ayrıca işlemiştik; buradaki konu, o yükümlülüğü de kapsayan genel gizlilik metninin hangi zeminde durduğu.

Metnin dayanacağı temel ilkeler​

Hangi başlıkları yazacağınıza karar vermeden önce, işleme faaliyetinin kendisinin uyması gereken ilkeleri bilmek gerekiyor. Kurum'un temel ilkeler sayfası bunları şöyle sıralıyor:

• Hukuka ve dürüstlük kuralına uygunluk: İşleme faaliyeti mevzuata ve dürüstlük kuralına uygun yürütülür.
• Doğru ve güncel olma: İşlenen veriler doğru ve güncel tutulur.
• Belirli, açık ve meşru amaç: Verinin hangi amaçla işlendiği önceden belirlenmiş ve açık olmalıdır.
• Bağlantılı, sınırlı ve ölçülü olma: Toplanan veri, işleme amacıyla bağlantılı ve amaç için gerekli olanla sınırlıdır.
• Süreyle sınırlı muhafaza: Veriler ilgili mevzuatta öngörülen süre kadar saklanır.

Şablon kopyalamanın asıl sorunu burada ortaya çıkıyor: kopyalanan metin, sizin gerçekte topladığınız veriyi ve gerçek saklama sürenizi anlatmıyor. Metin ile uygulama birbirini tutmadığında, yazılan belge koruma sağlamak yerine tutarsızlığı belgeliyor.

Veri sorumlusunun yükümlülükleri​

Aynı sayfa, veri sorumlusunun yükümlülüklerini dört başlıkta topluyor: ilgili kişileri bilgilendiren aydınlatma yükümlülüğü, kişisel verileri korumaya yönelik veri güvenliği yükümlülükleri, belirtilen istisnalar dışında Veri Sorumluları Sicili'ne kayıt ve ilgili kişilerden gelen başvuruların cevaplanması.

Gizlilik metni bu yükümlülüklerin yerine geçmiyor, ancak ikisi birbirine bağlı: metinde başvuru kanalı göstermiyorsanız, dördüncü yükümlülüğü pratikte işletemiyorsunuz demektir.

Yazmadan önceki soru' Alıntı:

Metni yazmaya başlamadan önce hangi veriyi, hangi amaçla, ne kadar süreyle tuttuğunuzu ve kimlerle paylaştığınızı bir kâğıda dökün. Yazamadığınız her satır, metinde de boş kalacaktır.

Genişletmek için tıkla ...

Metinde hangi sorular yanıtlanmalı?​

İlkelerden yola çıkarak metnin iskeleti kendiliğinden çıkıyor. Hangi veriler toplanıyor, hangi belirli ve meşru amaçla işleniyor, amaç için gerçekten gerekli olanla sınırlı mı, ne kadar süre saklanıyor ve bu süre neye dayanıyor, veriler kimlerle paylaşılıyor, ilgili kişi haklarını kullanmak için nereye başvuruyor.

Metni yazdıktan sonra bir kez de tersinden okuyun: her cümlenin karşılığı gerçekten sistemlerinizde var mı? Saklama süresi yazdıysanız, o süre dolduğunda veriyi silen bir işleyiş kurulmuş olması gerekiyor.

Bu iskeleti kurarken sıralamayı okurun sorduğu sıraya göre yapmak işe yarıyor: önce hangi verinin toplandığı, sonra neden toplandığı, en sonda da ne kadar süre tutulduğu ve kime başvurulacağı. Hukuki dili çoğaltmak metni güçlendirmiyor; ilkelerin karşılığını sade cümlelerle vermek yeterli.

Metni yayımladıktan sonra​

Gizlilik metni bir kez yazılıp unutulan belge değil; yeni bir form, yeni bir analiz aracı ya da yeni bir üçüncü taraf entegrasyonu metni doğrudan etkiliyor. Bu kontrolleri düzenli bir işe bağlamak isterseniz web güvenliği bakım rutinine ayırdığımız yazı periyodik gözden geçirmeyi bir takvime oturtuyor. Ekip içi paylaşımlarda ekran görüntülerinden veri sızmasını önlemek de aynı disiplinin parçası; buna ekran görüntüsü paylaşımını ele aldığımız yazıdan bakabilirsiniz.

Sık Sorulan Sorular​

Gizlilik sözleşmesi nasıl hazırlanır?
Önce hangi verinin hangi amaçla, ne kadar süreyle işlendiği ve kimlerle paylaşıldığı tespit edilir; metin bu tespit üzerine, temel ilkelere uygun biçimde yazılır. Hazır şablonu kopyalamak, metinle uygulamanın birbirini tutmamasına yol açar.

Gizlilik metni aydınlatma metninin yerine geçer mi?
Hayır. Aydınlatma yükümlülüğü mevzuatta veri sorumlusunun yükümlülükleri arasında ayrıca sayılıyor; gizlilik metni bu yükümlülüğü ortadan kaldırmıyor.

Kişisel veri işlemenin temel ilkeleri neler?
Hukuka ve dürüstlük kuralına uygunluk, doğru ve güncel olma, belirli açık ve meşru amaç, amaçla bağlantılı sınırlı ve ölçülü olma, mevzuatta öngörülen süre kadar muhafaza.

Veri sorumlusunun yükümlülükleri nelerdir?
Aydınlatma yükümlülüğü, veri güvenliğine ilişkin yükümlülükler, istisnalar dışında Veri Sorumluları Sicili'ne kayıt ve ilgili kişi başvurularının cevaplanması.

Metni ne zaman güncellemek gerekir?
Toplanan veri, işleme amacı, saklama süresi ya da veri paylaşılan taraflar değiştiğinde. Metnin uygulamayı yansıtması, ilkelere uygunluğun ön koşulu.

Özetle​

Gizlilik metni, sitenizin veri işleme gerçeğinin yazıya dökülmüş hâli. Kurum'un saydığı beş temel ilke metnin zeminini, dört yükümlülük ise çerçevesini veriyor. Şablon kopyalamak yerine kendi veri envanterinizden yola çıkmak, hem metni doğru kılıyor hem de eksik kalan işleyişleri görünür yapıyor.

Sitenizde topladığınız verilerin saklama süresini yazılı olarak biliyor musunuz?

Güncelleme: 26 Ağustos 2026.

---