Web sitesi iletişim formu, ad, e-posta ve telefon gibi kişisel verileri topladığı için KVKK kapsamındadır ve her formun yanında aydınlatma gerekir. Teklif talebine cevap vermek, çoğu zaman açık rıza yerine Kanun'daki başka bir işleme şartına dayanabilir; pazarlama iletisi için ise ayrı bir onay gerekir. Talebin kaybolmaması için form, e-posta bildirimi ve CRM aktarımı tek bir akış olarak tasarlanmalı ve yayından önce denenmelidir.
Öne çıkanlar
- Aydınlatma, veri işleme açık rızaya dayansa da dayanmasa da yapılır; Kurum'un ifadesiyle ilgili kişi, verisinin işlendiği her durumda aydınlatılmalıdır (KVKK (yeni sekmede açılır)).
- Kurul'un 18 Şubat 2026 tarihli, 2026/347 sayılı ilke kararına göre aydınlatma metni ile açık rıza metni ayrı düzenlenir. Aydınlatma için onay istenmez; kişiden yalnız "okudum ve anladım" beyanı alınabilir (Resmî Gazete, 24 Mart 2026 (yeni sekmede açılır)).
- Kişisel veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır (KVKK md. 4 (yeni sekmede açılır)). Formda gereğinden fazla alan sormak bu ilkeye takılır.
- Veri Sorumluları Siciline kayıt yükümlüsü olanlarda periyodik imha aralığı altı ayı geçemez (Yönetmelik md. 5 ve 11 (yeni sekmede açılır), Resmî Gazete 28 Ekim 2017).
- Gmail, 1 Şubat 2024'ten beri kendisine e-posta gönderen herkesten SPF ya da DKIM doğrulaması istiyor; doğrulanmayan iletiler spam sayılabilir ya da reddedilebilir (Google (yeni sekmede açılır)). Form bildirimleri de bu kurala tabidir.
Formda hangi alanlar sorulmalı?
Bir alan, talebe cevap vermek için gerçekten gerekiyorsa sorulmalıdır. Her fazladan alan hem ziyaretçinin formu bırakma ihtimalini artırır hem de KVKK'nın ölçülülük ilkesiyle açıklanması gereken bir veri olur.
Bir teklif ya da iletişim formu için alanları şöyle değerlendirebilirsiniz:
| Alan | Gerekli mi? | Not |
|---|---|---|
| Ad soyad | Evet | Kime döneceğinizi bilmek için |
| E-posta | Evet | Cevabın gideceği kanal |
| Telefon | Çoğu zaman isteğe bağlı | Zorunluysa neden gerektiği aydınlatmada yazmalı |
| Şirket ve görev | Kurumsal teklif formunda evet | Talebi doğru satış ekibine yönlendirmek için |
| Talep ayrıntısı | Evet | Serbest metne beklenmedik veri yazılabilir; alanın altına ne yazılmaması gerektiğini ekleyin |
| Dosya ekleme | İşe göre | Teknik çizim gibi belgeler için; boyut ve tür sınırını formda yazın |
| Kimlik numarası, doğum tarihi | Hayır | Teklif aşamasında gerekmez |
| "Bizi nereden duydunuz?" | İsteğe bağlı | Zorunlu yapmayın |
| Pazarlama iletisi izni | İsteğe bağlı | Ayrı ve boş gelen bir kutu; formun gönderilmesi buna bağlanmaz |
Serbest metin alanı ayrıca dikkat ister. Ziyaretçi buraya sağlık durumu gibi özel nitelikli bir bilgi yazabilir; KVKK md. 6 (yeni sekmede açılır) bu verileri ayrı ve daha sıkı şartlara bağlar. Alanın altına "Lütfen sağlık bilgisi ya da kimlik numarası yazmayın" gibi kısa bir not koymak, bu riski azaltan basit bir adımdır.
Üreticilerin teklif formlarında ürün, miktar ve teknik belge gibi ek alanlar gerekir. Bu formları katalogla birlikte nasıl kurgulayacağınızı üretici firma web sitesi yazımızda anlattık. Formların sitenin öteki kararlarıyla birlikte nasıl planlandığını ise web sitesi yaptırırken dikkat edilmesi gerekenler rehberimizde özetledik.
Aydınlatma, açık rıza ve ileti onayı formda nasıl ayrılır?
Bir formda üç ayrı hukuki işlem olabilir ve her birinin görünümü farklıdır. Kişisel Verileri Koruma Kurulu, açık rıza ile aydınlatmanın iç içe sunulmasını kendisine gelen ihbar ve şikâyetlerde en sık karşılaştığı hukuka aykırılıklardan biri olarak görüyor.
| İşlem | Ne zaman gerekir? | Formda nasıl görünür? | Dayanak |
|---|---|---|---|
| Aydınlatma | Kişisel veri toplayan her formda | Gönder düğmesinin yakınında kısa bir özet, tam metne bağlantı; isterseniz "okudum ve anladım" beyanı | KVKK md. 10; Aydınlatma Tebliği; Kurul'un 2026/347 sayılı ilke kararı |
| Açık rıza | Yalnız işlem Kanun'daki başka bir şarta dayanmıyorsa | Önceden işaretlenmemiş, ayrı ve belirli bir konuya ilişkin kutu | KVKK md. 3 ve 5 |
| Ticari elektronik ileti onayı | Kampanya ya da bülten gönderilecekse | Ayrı, boş gelen bir kutu ve onayın İYS'ye aktarımı | 6563 sayılı Kanun md. 6 |
Teklif talebine dönmek için açık rıza gerekir mi? KVKK md. 5/2 (yeni sekmede açılır), açık rıza aranmadan veri işlenebilecek şartları sayar. Bunlardan biri, bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması kaydıyla sözleşme taraflarının verilerinin işlenmesidir; bir diğeri, ilgili kişinin haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaatidir. Teklif isteyen kişiye teklif göndermek çoğu zaman bu şartlardan birine dayanabilir. Hangisinin uygulanacağına hukuk danışmanınız karar verir.
Gereksiz açık rıza neden sorun çıkarır? Kurum'a göre (yeni sekmede açılır) açık rıza belirli bir konuya ilişkin olmalıdır; genel nitelikteki "battaniye rızalar" geçersiz sayılır. Rıza her zaman geri alınabilir ve geri alma beyanı veri sorumlusuna ulaştığı andan itibaren hüküm doğurur. Talebinizi açık rızaya dayandırırsanız, rızayı geri alan kişinin kaydıyla ne yapacağınızı da baştan tasarlamanız gerekir.
Aydınlatma metnine onay kutusu konmaz. Kurul'un 18 Şubat 2026 tarihli ilke kararı (yeni sekmede açılır), aydınlatma metinlerinin sözleşme niteliği taşımadığını hatırlatıyor. "Okudum ve kabul ediyorum" ya da "okudum ve onaylıyorum" gibi ifadeleri sık yapılan hatalar arasında sayıyor; bunların yerine "okudum ve anladım" beyanı alınabilir.
İşlem açık rızaya dayanıyorsa iki metin ayrı ayrı sunulur ve her biri için ayrı beyan alınır (Aydınlatma Tebliği md. 5 (yeni sekmede açılır)); açık rıza dışındaki bir şarta dayanıyorsa ayrıca açık rıza metni sunulmaz. Kararın sipariş ve üyelik formlarına etkisini e-ticaret sitesinde KVKK yazımızda ayrıntılı anlattık.
İleti onayı ayrı bir konudur. 6563 sayılı Kanun md. 6 (yeni sekmede açılır)'ya göre ticari elektronik iletiler ancak önceden onay alınarak gönderilebilir. Kendisiyle iletişime geçilmesi için bilgilerini veren kişiye, aldığı mal ya da hizmetteki değişiklik, kullanım ve bakımla ilgili iletiler için ayrıca onay alınmaz; esnaf ve tacirlere ise önceden onay alınmadan ileti gönderilebilir. Onay kutusunun kurallarını ve İYS'ye aktarımı İYS kaydı nasıl yapılır yazımızda anlattık.
Aydınlatma metninin içeriği, form başına aydınlatma ve metin sürümlerinin kaydı için web sitesi yasal metinleri yazımıza bakabilirsiniz.
Talep formdan CRM'e nasıl akar?
Güvenilir bir akışta talep önce kaydedilir, sonra dağıtılır. Böylece e-posta servisi ya da CRM o an çalışmasa bile talep kaybolmaz.
- Tarayıcıda alan kontrolü. Eksik ya da hatalı alan, gönderimden önce ziyaretçiye gösterilir. Bu bir kolaylıktır, güvenlik önlemi değildir.
- Sunucuda doğrulama ve spam süzgeci. Alanlar sunucuda yeniden kontrol edilir; bot olduğu anlaşılan istekler ayrılır.
- Önce kayıt. Talep sitenin kendi veritabanına ya da bir kuyruğa yazılır. Ziyaretçi bir referans numarasıyla teşekkür ekranı görür.
- E-posta bildirimi. Bildirim bir çalışanın kişisel kutusuna değil, "satis@" gibi bir rol adresine gider. Bildirime formun tamamı yerine kısa bir özet ve kayda giden bağlantı koymak, kişisel verinin e-posta kutularına dağılmasını azaltır.
- CRM'e aktarım. Talep, CRM'in API'siyle aktarılır ve her talebe benzersiz bir anahtar verilir. Aynı talep iki kez gelirse CRM'de ikinci bir kayıt açılmaz.
- Hata yönetimi. Aktarım başarısız olursa talep kuyrukta bekler ve yeniden denenir. Denemeler tükenirse kayıt bir hata ekranına düşer ve ilgili kişiye uyarı gider.
- Kapanış. Satış ekibi talebe döndüğünde durum CRM'de güncellenir. Saklama süresi de bu kayıt üzerinden işler.
Formların ERP, muhasebe ya da e-posta pazarlama aracı gibi başka sistemlere de bağlanması gerekiyorsa bu iş bir sistem entegrasyonları projesine dönüşür.
Talepler nerede kaybolur?
Formdan gelen talepler çoğu zaman sessizce kaybolur: Ziyaretçi formu gönderdiğini düşünür, şirket ise hiçbir şey görmez. Aşağıdaki tablo en sık karşılaşılan kayıp noktalarını ve önlemlerini gösteriyor.
| Kayıp noktası | Belirti | Önlem |
|---|---|---|
| Bildirim e-postası spam klasörüne düşüyor | Ziyaretçi "formu doldurdum" diyor, kutuda ileti yok | Gönderen alan adında SPF ve DKIM kaydı; gönderimi doğrulanmış bir servisten yapmak |
| Bildirim ayrılan bir çalışanın kutusuna gidiyor | Talepler kimse görmeden birikiyor | Rol adresi kullanmak; alıcı listesini düzenli kontrol etmek |
| CRM bağlantısı kopuk | CRM'de kayıt yok, formda hata görünmüyor | Önce kaydetmek, sonra aktarmak; yeniden deneme ve uyarı |
| Aynı talep iki kez geliyor | İki satışçı aynı kişiyi arıyor | Benzersiz anahtar; gönderimden sonra düğmeyi kilitlemek |
| Spam süzgeci gerçek talebi eliyor | Belli türden talepler hiç gelmiyor | Elenen talepleri silmek yerine ayrı bir yerde tutup düzenli bakmak |
| Form telefonda çalışmıyor | Mobil ziyaret var, talep yok | Yayından önce gerçek cihazlarda denemek; form hatalarını izlemek |
| Dosya eki reddediliyor | Ziyaretçi gönderimi yarıda bırakıyor | Sınırı formda yazmak; açık bir hata mesajı göstermek |
Tablonun ilk satırı en sık gözden kaçanıdır. Google, gönderen alan adında SPF ya da DKIM bulunmasını bütün göndericiler için şart koşuyor ve doğrulanmayan iletilerin spam olarak işaretlenebileceğini ya da reddedilebileceğini yazıyor. Sitenin sunucusundan doğrudan gönderilen bildirimler bu yüzden en çok risk taşıyanlardır.
Spam korumasını KVKK'yı unutmadan kurmak
Spam koruması da veri işler. Seçtiğiniz yöntem aydınlatma metnine, çerez kararına ve gerekirse yurt dışına aktarım değerlendirmesine yansır.
- Tuzak alan (honeypot). İnsanın görmediği bir alandır; dolu gelirse gönderim bottan gelmiş sayılır. Ek bir kişisel veri toplamaz.
- İstek sınırı (rate limit). Aynı kaynaktan kısa sürede gelen çok sayıda isteği durdurur. Bunun için IP adresi işlenir; ne kadar süre tutulduğunu belirleyin.
- Kaynak kontrolü. Formun yalnızca kendi sitenizden gönderilebilmesi, başka sitelerden yapılan otomatik gönderimleri keser.
- Üçüncü taraf doğrulama servisleri (CAPTCHA). Ziyaretçinin cihazından ve davranışından veri toplayabilir, bu veriyi yurt dışındaki sunucularda işleyebilir. Sağlayıcının belgelerinden neyi topladığını öğrenin ve aydınlatma metnine ekleyin.
Çerez ya da benzeri teknoloji kullanan bir servis seçerseniz panelde nasıl gösterileceğini çerez banner'ı KVKK yazımızda anlattık.
CRM ya da form servisi yurt dışındaysa
Form verisinin yurt dışındaki bir CRM'e ya da form servisine gitmesi, KVKK md. 9 (yeni sekmede açılır)'daki yurt dışına aktarım kurallarını gündeme getirir. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir; standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir.
Servisi seçmeden önce verinin hangi ülkede tutulduğunu sağlayıcıya sorun. Aktarım şartlarının ayrıntısını KVKK'da yurt dışına aktarım yazımızda bulabilirsiniz.
Talepler ne kadar saklanmalı?
Talepler, işlendikleri amaç için gereken süre kadar saklanmalıdır. KVKK md. 7 (yeni sekmede açılır)'ye göre işlenmeyi gerektiren sebepler ortadan kalktığında veri, kendiliğinden ya da ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir.
Veri Sorumluları Siciline kayıt yükümlüsü olan şirketler bir saklama ve imha politikası hazırlamak zorundadır. Yönetmeliğe (yeni sekmede açılır) göre bu şirketler silme yükümlülüğünün doğduğu tarihten sonraki ilk periyodik imhada veriyi siler ve periyodik imha aralığı altı ayı geçemez. Politikanın yazılımda nasıl karşılık bulacağını KVKK uyumlu yazılım rehberimizde anlattık.
Pratikte bir form talebinin üç kopyası olur: sitenin veritabanındaki kayıt, bildirim e-postaları ve CRM'deki kayıt. Belirlediğiniz süreyi üçüne de uygulayın. Kazanılmayan tekliflerle müşteriye dönüşen kayıtların süresi farklı olabilir; bunu da politikanızda ayrı yazın. Verinin hangi sistemlerden geçtiğini çıkarmak için kişisel veri envanteri yazımız yardımcı olur.
Yayından önce test listesi
Formlar, yayın günü en az kontrol edilen ama en çok iş kaybettiren parçalardır. Şu listeyi test ortamında ve yayından hemen sonra canlı sitede tekrarlayın:
- Her form gerçek bir telefondan ve bilgisayardan gönderildi; bildirim doğru rol adresine geldi.
- Bildirim e-postası Gmail'de ve kurumsal kutuda spam klasörüne düşmedi.
- Gönderen alan adında SPF ve DKIM kaydı var.
- CRM'de kayıt açıldı; alanlar doğru eşlendi.
- CRM bağlantısı kapalıyken gönderilen talep kaybolmadı, bağlantı açılınca aktarıldı.
- Aynı form iki kez gönderildiğinde tek kayıt oluştu.
- Aydınlatma bağlantısı çalışıyor; açık rıza ve ileti onayı kutuları boş geliyor.
- Spam süzgecine takılan deneme talebi ayrı bir yerde görülebiliyor.
- Saklama süresi dolan kayıtları silen iş tanımlı.
Bizim deneyimimiz
Kurumsal web sitesi projelerinde teklif, iletişim ve başvuru formlarını, e-posta bildirimlerini ve istenirse CRM'e aktarımı teslim kapsamında kuruyoruz. Formları yayından önce tek tek deniyoruz. Aydınlatma metni sayfasını ve çerez tercihlerini de kuruyoruz; metinlerin hukuki içeriğini ise hukuk danışmanınız hazırlıyor.
Entegrasyonlarda önce hata senaryolarını, sonra bağlantıyı tasarlıyoruz. Dış servis kapalıyken verinin kaybolmaması için kuyruk ve yeniden deneme, başarısız kayıtları görüp yeniden gönderebileceğiniz bir hata ekranı ve aynı kaydın iki kez işlenmesini önleyen benzersiz anahtarlar kullanıyoruz.
Kendi sitemizin kariyer başvuru formunu da aynı ilkelerle kurduk. Formda bir tuzak alan var, başka sitelerden gelen istekler reddediliyor ve aynı kaynaktan gelen istek sayısı sınırlı. Başvuranın bilgileri ve belge içerikleri uygulama kayıtlarına yazılmıyor. Başvurular, gizlilik metnimizde yazan süre dolduğunda kimse panele girmese de otomatik olarak silinecek şekilde ayarlandı. Formdaki kutu açık rıza istemiyor; yalnız aydınlatma metninin okunduğunu kaydediyor.
Sık sorulan sorular
İletişim formu için açık rıza almak zorunlu mu?
Her zaman değil. KVKK md. 5/2, sözleşmenin kurulmasıyla doğrudan ilgili işlemler ya da meşru menfaat gibi, açık rıza aranmadan veri işlenebilecek şartlar sayar ve teklif talebine cevap vermek çoğu zaman bunlardan birine dayanabilir. Aydınlatma ise her durumda gereklidir. Hangi şartın uygulanacağına hukuk danışmanınızla birlikte karar verin.
"KVKK metnini okudum ve onaylıyorum" kutusu yeterli mi?
Hayır. Aydınlatma, veri sorumlusunun bilgi verme yükümlülüğüdür ve onaya bağlı değildir. Kurul'un 2026/347 sayılı ilke kararı "okudum ve onaylıyorum" gibi ifadeleri hatalı sayıyor; kişiden yalnız "okudum ve anladım" beyanı alınabilir. Aydınlatmanın yapıldığını ispat yükü sizde olduğu için, her form kaydıyla birlikte gösterilen metnin sürümünü saklamak işe yarar.
Form verilerini yurt dışındaki bir CRM'de tutabilir miyim?
Tutabilirsiniz, ama bu KVKK md. 9'daki yurt dışına aktarım kurallarına tabidir. Yeterlilik kararı yoksa standart sözleşme gibi bir güvence gerekir ve standart sözleşme beş iş günü içinde Kurum'a bildirilir. Servisi seçmeden önce verinin hangi ülkede tutulduğunu öğrenin.
Form talepleri ne kadar süre saklanmalı?
Kanun sabit bir süre vermez; veriler amaç için gereken süre kadar saklanır ve sebep ortadan kalkınca silinir. Veri Sorumluları Siciline kayıt yükümlüsüyseniz saklama ve imha politikanızdaki süreleri uygularsınız ve periyodik imha aralığı altı ayı geçemez. Süreyi veritabanına, e-posta kutularına ve CRM'e birlikte uygulayın.
Spam koruması için CAPTCHA şart mı?
Şart değil. Tuzak alan, istek sınırı ve sunucu tarafında kaynak kontrolü ilk savunma hattı olarak kurulabilir ve ek bir dış servise veri göndermez. Spam bu önlemlere rağmen sürerse bir doğrulama servisi ekleyin ve neyi topladığını aydınlatma metnine yazın.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 3, 4, 5, 6, 7, 9 ve 10, Resmî Gazete 7 Nisan 2016 (güncel metin): https://www.mevzuat.gov.tr/MevzuatMetin/1.5.6698.pdf (yeni sekmede açılır)
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, md. 5, Resmî Gazete 10 Mart 2018, sayı 30356: https://www.resmigazete.gov.tr/eskiler/2018/03/20180310-5.htm (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurulu, Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı, karar no 2026/347, 18 Şubat 2026, Resmî Gazete 24 Mart 2026, sayı 33203: https://www.resmigazete.gov.tr/eskiler/2026/03/20260324-3.pdf (yeni sekmede açılır)
- Aydınlatma Yükümlülüğü, Kişisel Verileri Koruma Kurumu, 29 Ocak 2018: https://www.kvkk.gov.tr/Icerik/2033/Aydinlatma-Yukumlulugu- (yeni sekmede açılır)
- Açık Rıza Alırken Dikkat Edilecek Hususlar, Kişisel Verileri Koruma Kurumu, 30 Ocak 2018: https://www.kvkk.gov.tr/Icerik/2037/Acik-Riza-Alirken-Dikkat-Edilecek-Hususlar (yeni sekmede açılır)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, md. 5 ve 11, Resmî Gazete 28 Ekim 2017, sayı 30224: https://www.resmigazete.gov.tr/eskiler/2017/10/20171028-10.htm (yeni sekmede açılır)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi, Kişisel Verileri Koruma Kurumu, 30 Ocak 2018: https://www.kvkk.gov.tr/Icerik/2038/kisisel-verilerin-silinmesi-yok-edilmesi-veya-anonim-hale-getirilmesi (yeni sekmede açılır)
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, md. 6, Resmî Gazete 5 Kasım 2014 (güncel metin): https://www.mevzuat.gov.tr/MevzuatMetin/1.5.6563.pdf (yeni sekmede açılır)
- Email sender guidelines, Google Workspace Yönetici Yardımı, 13 Ekim 2026'da erişildi: https://support.google.com/a/answer/81126 (yeni sekmede açılır)
