KVKK Uyumlu Veri Saklama: Kullanıcı Bilgilerinin Korunması Standartları

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016 yılında yürürlüğe girmiş ve Türkiye'de kişisel veri işleyen tüm gerçek ve tüzel kişiler için bağlayıcı yükümlülükler getirmiştir. Yetişkin içerik platformları, özel nitelikteki verileri de işleyebildikleri için KVKK kapsamında daha yüksek özen yükümlülüğüne tabidir.

Bu yazıda KVKK uyumunun teknik ve operasyonel boyutlarını ele alacağız: hangi verilerin toplandığı, bu verilerin nasıl saklandığı, kimler tarafından erişilebildiği, ne kadar süre tutulduğu ve kullanıcının kendi verisi üzerinde hangi hakları olduğu. Bu yazı genel bilgilendirme amacı taşır; KVKK uygulaması için kurumsal hukuki danışmanlık alınması gerekir.

Hangi Veriler Toplanır?

Yetişkin içerik platformları aşağıdaki veri kategorilerini toplayabilir: Kimlik bilgileri (ad, soyad, doğum tarihi — yaş doğrulama amacıyla), iletişim bilgileri (e-posta, telefon), profil bilgileri (fotoğraf, açıklama, fiziksel beyan, kategori, lokasyon), davranışsal veriler (giriş zamanları, görüntülenen profiller, arama geçmişi), teknik veriler (IP adresi, tarayıcı bilgisi, cihaz türü), ödeme bilgileri (paket satın alımı durumunda).

Bu verilerin bir kısmı "özel nitelikli kişisel veri" kategorisindedir — örneğin sağlık veya cinsel hayata ilişkin veriler. Bu kategorilerin işlenmesi için açık rıza alınması zorunludur.

Aydınlatma Yükümlülüğü

KVKK 10. madde gereği, veri sorumlusu (platform) kullanıcıdan veri toplamadan ÖNCE şu bilgileri sunmak zorundadır: (1) Veri sorumlusunun kimliği, (2) Veri işleme amacı, (3) Verinin kimlere aktarılabileceği, (4) Toplamanın yöntemi ve hukuki sebebi, (5) Kullanıcının KVKK kapsamındaki hakları.

Bu bilgiler genellikle "Aydınlatma Metni" veya "Gizlilik Politikası" başlığı altında yayınlanır. Üyelik sayfasında ilgili belgeye bağlantı verilir ve kullanıcıdan onay alınır.

Pratik öneri: aydınlatma metnini sadece "okudum kabul ediyorum" tıklamasıyla geçiştirmek yasal olarak yeterli olsa da etik bir uygulama değildir. Önemli noktalar (verilerin saklama süresi, üçüncü taraflarla paylaşımı) net şekilde belirtilmeli.

Şifreleme Standartları

Kullanıcı verileri saklama sırasında ve iletim sırasında şifrelenmelidir. İletim şifreleme: TLS 1.2 veya üzeri kullanılır (HTTPS bağlantısı). EscortMama gibi modern platformlarda tüm sayfalar TLS 1.3 üzerinden iletilir. Saklama şifreleme: Hassas veriler (özellikle şifreler) tek yönlü hash algoritmaları (bcrypt, Argon2) ile saklanır; geri çevrilemez.

Daha hassas veriler (kimlik bilgileri, ödeme verisi) çift yönlü güçlü şifrelemeyle (AES-256) saklanır ve şifreleme anahtarı uygulamadan ayrı bir alanda tutulur.

Veri tabanı yedekleri de şifrelenmelidir. Yedeklerin şifrelenmemiş olarak bir sunucuda durması, kanun karşısında "yeterli güvenlik önlemi alınmadı" anlamına gelir.

Erişim Kontrolü ve Yetki Yönetimi

Kullanıcı verilerine erişim sadece "bilmesi gereken" prensibi temelinde verilmelidir. Platform personeli arasında yalnızca görevleri gerektirenler ilgili veri kategorilerine erişebilmelidir. Editör ekibi: profil moderasyonu için profil verisi ve fotoğrafa erişir, ödeme verisine erişmez. Geliştirme ekibi: gerçek kullanıcı verisiyle çalışmaz, anonim test verisi kullanır. Yönetim ekibi: özet istatistiklere erişir, bireysel kullanıcı verisi görmez.

Erişim olayları (kim, ne zaman, hangi veriye eriştiği) log'lanmalı ve düzenli denetlenmelidir. Yetkili olmayan erişim tespiti için anomali algılama mekanizmaları kurulabilir.

Veri Saklama Süreleri

KVKK 7. madde gereği kişisel veriler işleme amacının ortadan kalkması halinde silinmeli, yok edilmeli veya anonimleştirilmelidir. Pratikte saklama süresi şu kriterlere göre belirlenir:

Aktif kullanıcı verileri: Üyelik aktif olduğu sürece saklanır. Pasif/silinmiş kullanıcı verileri: Yasal yükümlülükler için 5651 sayılı kanun kapsamında trafik bilgileri 1 yıl saklanır; diğer veriler 30–90 gün içinde anonimleştirilir veya silinir. Ödeme verileri: Vergi mevzuatı gereği 5–10 yıl saklama yükümlülüğü vardır. Yasal süreç verileri: Mahkeme veya kolluk talebi varsa o süreç bitene kadar.

Saklama süreleri Aydınlatma Metni'nde belirtilmeli ve sürelerin dolması durumunda otomatik silme süreçleri çalışmalıdır.

Kullanıcı Hakları ve Başvuru Süreci

KVKK 11. madde kullanıcıya şu hakları tanır: (1) Kendi verilerinin işlenip işlenmediğini öğrenme, (2) Hangi amaçla işlendiğini sorma, (3) Yurtdışına aktarım yapılıp yapılmadığını öğrenme, (4) Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme, (5) Verinin silinmesini veya yok edilmesini talep etme, (6) İşleme nedeniyle zarara uğraması halinde tazminat talep etme.

Kullanıcı bu haklarını kullanmak için yazılı başvuru yapar. Platform 30 gün içinde yanıt vermelidir. İletişim sayfamızdan ulaşan KVKK başvuruları doğrudan veri sorumlusuna yönlendirilir.

Veri İhlali (Data Breach) Yönetimi

Veri güvenliği ihlali yaşanması durumunda KVKK 12. madde gereği veri sorumlusu en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na (KVKK Kurulu) bildirim yapmak zorundadır. Etkilenen kullanıcılara da makul sürede bilgi verilir.

İhlal yönetimi için önceden hazırlanmış bir müdahale planı olmalı: (1) Tespit anında olayın izole edilmesi, (2) Etkilenen verilerin tespiti, (3) Resmi bildirimlerin yapılması, (4) İletişim ve PR yönetimi, (5) Olay sonrası iyileştirme adımları.

VERBİS Kaydı

Belirli büyüklükteki veri sorumluları Veri Sorumluları Sicili (VERBİS) sistemine kayıt olmak zorundadır. Bu kayıt platformun hangi veri kategorilerini, hangi amaçla, hangi sürelerle işlediğini sicile bildirmesidir. Halka açık bir sicil olduğundan, kullanıcılar bu bilgilere erişebilir.

KVKK Uyumunun Süreklilik Boyutu

KVKK uyumu tek seferlik bir proje değil, sürekli bir yönetim sürecidir. Yıllık denetimler, politikaların güncellenmesi, yeni veri kategorilerinin tespiti, personel eğitimi gibi rutinler işin parçasıdır. Mevzuat değişikliklerinin de yakından takip edilmesi gerekir.

Sonuç: Veri Güvenliği Güvenin Temelidir

Kullanıcı verilerinin güvenliği bir platform için sadece yasal yükümlülük değil, etik ve operasyonel öncelik konusudur. KVKK'nın sunduğu çerçeve modern bir veri güvenliği standardının taban çizgisidir; iyi platformlar bu standardın üzerine çıkar. Kullanıcılar için bu, bilgilerinin korunduğu güvende bir ortam demektir; platform içinse uzun vadeli güvenilirliğin temelidir.

İlgili konular için hukuki çerçeve genel bakış yazımıza ve hesap güvenliği yazımıza bakabilirsiniz.