Çerez politikası nasıl hazırlanır?

Çerez politikası, sitenizde hangi çerezlerin çalıştığını, bunların hangi amaçla kullanıldığını, ne kadar süre tutulduğunu ve ziyaretçinin bu çerezler üzerinde hangi tercihlere sahip olduğunu anlatan metindir. KVKK'nın Çerez Uygulamaları Hakkında Rehberi yayımlandığından beri Türkiye'de de fiilen standart bir belge haline geldi.

Uygulamada en sık karşılaşılan sorun, politikanın hiç olmaması değil; başka bir siteden uyarlanmış, sitede gerçekte çalışan çerezlerle ilgisi olmayan bir metnin yayında durması. Bir şikayet ya da inceleme durumunda ilk bakılan şey, politikada yazanla sitede fiilen çalışanın tutup tutmadığıdır.

Bu yazıda gerçeğe uygun bir çerez politikasının nasıl hazırlanacağını adım adım anlatıyoruz: önce envanter, sonra sınıflandırma, sonra metnin kendisi.

Çerez politikası ayrı bir belge midir, zorunlu mudur?

KVKK, "çerez politikası" adında ayrı bir belgeyi kanunla zorunlu kılmaz. Zorunlu olan, çerezler yoluyla kişisel veri işleniyorsa ilgili kişiyi aydınlatmak ve gereken durumlarda açık rıza almaktır. Çerez politikası, bu aydınlatma yükümlülüğünün çerezlere uygulanmış halidir.

Yine de ayrı bir belge olarak tutmak yerleşik uygulamadır ve pratik bir sebebi vardır: çerez listesi, gizlilik politikasının geri kalanından çok daha sık değişir. Siteye yeni bir analitik aracı ya da pazarlama pikseli eklendiğinde yalnızca çerez politikasını güncellemek, tüm gizlilik metnini elden geçirmekten kolaydır.

Aydınlatma metni ile ilişkisi de netleştirilmeli: aydınlatma metni veri işleme faaliyetinin tamamını kapsar, çerez politikası bunun çerezlere özgü bölümünü ayrıntılandırır. İkisi birbirine atıf verebilir ama birbirinin yerine geçmez.

İlk adım envanter: sitenizde gerçekte hangi çerezler var?

Politika yazmaya metinden değil envanterden başlanır. Sitenizde hangi çerezlerin bulunduğunu bilmeden yazılan her politika tahmindir ve tahminle yazılan politika neredeyse her zaman eksik çıkar.

Envanteri elle çıkarmak mümkündür: tarayıcının geliştirici araçlarını açar, siteyi gezer ve depolanan çerezleri tek tek not edersiniz. Ancak iki nokta sık gözden kaçar. Birincisi, çerezlerin bir kısmı yalnızca belirli sayfalarda yüklenir; ana sayfaya bakmak yetmez. İkincisi, üçüncü taraf komut dosyaları kendi zincirlerindeki başka sağlayıcıları da çağırır ve o sağlayıcıların bıraktığı çerezler elle takipte kolayca atlanır.

Bu işi otomatikleştirmek için sitenizi ücretsiz çerez taraması ile tarayabilirsiniz. Tarama, sitenizde çalışan çerezleri ve arka planda çağrılan üçüncü taraf servisleri çıkarır; politikanın çerez listesi bölümü bu envanterden yazılır.

Çerezleri doğru sınıflandırın

Envanter çıktıktan sonra her çerez bir kategoriye yerleştirilir. Yerleşik sınıflandırma dört kategoridir:

• Kesinlikle gerekli çerezler: oturum, güvenlik, sepet gibi sitenin çalışması için şart olanlar.
• İşlevsel çerezler: dil tercihi, tema gibi kolaylık sağlayan ama zorunlu olmayanlar.
• Performans ve analitik çerezleri: ziyaret istatistiği toplayanlar.
• Pazarlama ve takip çerezleri: reklam ve yeniden hedefleme amaçlı olanlar.

En sık yapılan sınıflandırma hatası, analitik ve pazarlama çerezlerini "kesinlikle gerekli" kategorisine koymaktır. Bir çerez olmadan site gerçekten çalışmıyorsa gereklidir; istatistik toplamak ya da reklam ölçmek siteyi çalıştırmaz. Kategori seçimi önemlidir, çünkü açık rıza gerekip gerekmediğini bu seçim belirler.

Politikada bulunması gereken bilgiler

İyi bir çerez politikası şu bilgileri içerir:

• Veri sorumlusunun kimliği ve iletişim bilgileri.
• Çerezin ne olduğu ve sitede hangi amaçlarla kullanıldığı.
• Her çerez için ad, sağlayıcı, amaç, saklama süresi ve birinci taraf mı üçüncü taraf mı olduğu.
• Hangi kategorilerin açık rızaya tabi olduğu.
• Ziyaretçinin tercihlerini nasıl vereceği, değiştireceği ve geri çekeceği.
• Üçüncü taraf sağlayıcılar üzerinden yurt dışına veri aktarımı yapılıp yapılmadığı.
• İlgili kişinin hakları ve başvuru yolu.
• Politikanın son güncellenme tarihi.

Çerez listesini tablo halinde vermek okuyucu için de sizin için de en temiz yoldur: hangi satırın eskidiği, hangi çerezin listede olmadığı tabloda hemen görülür.

Açık rıza ile ilişkisi: politika bilgilendirir, banner rıza alır

Kesinlikle gerekli çerezler için açık rıza gerekmez; bunlar için aydınlatma yeterlidir. Analitik, işlevsel ve pazarlama çerezleri için ise kural olarak açık rıza gerekir ve bu rıza çerez yüklenmeden önce alınmalıdır.

Görev dağılımı şudur: çerez politikası bilgilendirme aracıdır, çerez banner'ı rıza alma aracıdır. "Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" cümlesi geçerli bir rıza kurgusu değildir; rıza aktif bir seçimle verilmelidir ve reddetmek, kabul etmek kadar kolay olmalıdır.

Banner'daki kategoriler ile politikadaki kategoriler birebir aynı olmalıdır. Banner'da "analitik" diye sorulan şeyin politikada karşılığı yoksa ya da politika banner'da hiç sorulmayan bir kategori sayıyorsa, iki metin birbirini yalanlıyor demektir.

Amaç ve süre yazarken belirsiz ifadelerden kaçının

"Deneyiminizi iyileştirmek için çerez kullanıyoruz" cümlesi bir amaç bildirimi değildir. Amaç, çerezin gerçekte ne yaptığını söylemelidir: "oturumunuzu açık tutmak", "ziyaret istatistiği toplamak", "gösterilen reklamların tekrarını sınırlamak" gibi.

Süre de aynı şekilde somut yazılır. "Kalıcı" bir süre değildir; oturum çerezi için "tarayıcı kapanana kadar", kalıcı çerez için gerçek süre yazılır. Süreleri tahmin etmek gerekmez; tarama sonuçları her çerezin gerçek ömrünü gösterir.

Sık yapılan beş hata

• Başka bir sitenin çerez listesini kopyalamak: politika sizin sitenizi değil, kopyaladığınız siteyi anlatır.
• "Siteyi kullanarak kabul etmiş olursunuz" kurgusu: pasif kullanım açık rıza değildir.
• Kesinlikle gerekli kategorisini şişirmek: analitik ve pazarlama çerezlerini rıza kapsamı dışına taşımak en riskli kısayoldur.
• Belirsiz süre ve amaç: "çeşitli amaçlarla", "kalıcı" gibi ifadeler metni fiilen boşaltır.
• Politikayı güncellememek: siteye yeni bir piksel ya da araç eklendiğinde liste eskir ve beyanınızla gerçek ayrışır.

Ne zaman güncellenmeli?

Çerez politikası tek seferlik bir iş değildir. Pazarlama ekibinin eklediği bir dönüşüm pikseli, geliştiricinin denediği bir analitik aracı ya da bir üçüncü taraf servisinin kendi altyapısını değiştirmesi, listeyi sizin haberiniz olmadan eskitir.

Bu yüzden doğru kurgu, siteyi düzenli tarama ve değişiklik izleme ile takip etmektir: yeni bir takip çerezi ya da beyan edilmemiş bir sağlayıcı ortaya çıktığında politikanın güncellenmesi gerektiğini tarama söyler, siz hatırlamak zorunda kalmazsınız.

Hazır şablonla mı yazmalı, sıfırdan mı?

Şablon, metnin iskeleti için iyi bir başlangıçtır; tanımlar, haklar ve başvuru bölümleri siteden siteye pek değişmez. Ancak politikanın kalbi olan çerez listesi size özgüdür ve hiçbir şablondan çıkmaz. Şablonun boş bıraktığı yer, işin asıl emek isteyen kısmıdır.

DILAYS bu iki adımı birleştiriyor: sitenizi tarayıp çerez envanterini çıkarıyor, ardından çerez politikanızı bu envanterden üretiyor. Liste gerçek tarama verisinden geldiği için beyan ile site birbirini tutuyor.

Kontrol listesi

• Sitenin tamamı tarandı ve güncel çerez envanteri çıkarıldı.
• Her çerez dört kategoriden birine, gerekçesiyle yerleştirildi.
• Çerez tablosunda ad, sağlayıcı, amaç, süre ve taraf bilgisi eksiksiz.
• Amaçlar ve süreler somut; belirsiz ifade yok.
• Rızaya tabi kategoriler için banner, çerez yüklenmeden önce açık rıza alıyor.
• Banner kategorileri ile politika kategorileri birebir aynı.
• Yurt dışına aktarım yapan sağlayıcılar belirtildi.
• Tercihleri değiştirme ve rızayı geri çekme yolu anlatıldı.
• Son güncelleme tarihi metinde görünüyor.
• Site değişikliklerini izleyen bir düzen kuruldu.