Sitenizdeki üçüncü taraf servisler hangi veriyi nereye gönderiyor?

Modern bir web sitesi onlarca parçadan derlenir. Analitik ölçümü bir servisten, canlı destek kutusu başka birinden, yazı tipleri bir üçüncüsünden gelir. Ziyaretçi tek bir site görür; tarayıcısı ise arka planda onlarca farklı sunucuyla konuşuyor olabilir.

Bu servislerin her biri bir veri akışıdır: ziyaretçinin tarayıcısından, sizin değil o servisin sunucusuna doğru. Ve bu akışların çoğu site sahibine hiç görünmez; sayfa normal çalışır, kimse bir şey fark etmez.

Bu tabloyu görünür kılmak için önce servislerin ne olduğunu, tipik olarak ne topladığını ve verinin nereye gittiğini bilmek gerekiyor.

Üçüncü taraf servis tam olarak nedir?

Sizin alan adınızdan değil, başka bir şirketin altyapısından yüklenen her bileşen üçüncü taraf servistir: analitik araçları, reklam ve dönüşüm pikselleri, canlı destek pencereleri, gömülü videolar, harita bileşenleri, yazı tipi ve içerik dağıtım ağları.

Ortak noktaları şudur: bileşen yüklenirken ziyaretçinin tarayıcısı o şirketin sunucusuna bir istek atar. Bu istek, en azından ziyaretçinin IP adresini ve tarayıcı bilgisini o şirkete taşır; servis çerez bırakıyorsa akış orada bitmez, ziyaretçi takip edilebilir hale gelir.

Tek script'in arkasından gelen zincir

Siteye tek bir etiket yöneticisi ya da reklam script'i eklersiniz; o script kendi zincirindeki başka sağlayıcıları çağırır, onlar da başkalarını. Siz bir servise izin verdiğinizi düşünürken sayfada beş on alan adı birden aktif olabilir.

Bu yüzden "sitemde sadece analitik var" cümlesi çoğu zaman bir tahmin. Zinciri kimse bilerek kurmaz, kendiliğinden büyür.

Birikme günlük iş akışından doğar: pazarlama ekibi bir kampanya için dönüşüm pikseli ekler, bir geliştirici denediği aracı kaldırmayı unutur. Hiçbiri merkezi bir listeye yazılmaz; aylar sonra kimin ne eklediğini kimse hatırlamaz. Envanterde çıkan sürpriz servislerin kaynağı genellikle budur.

Yaygın servis kategorileri ve tipik veri toplama

Servis servise değişmekle birlikte, kategorilerin tipik davranışı şöyle özetlenebilir:

• Analitik araçları: ziyaret edilen sayfalar, oturum süresi, cihaz ve tarayıcı bilgisi, yaklaşık konum.
• Reklam ve dönüşüm pikselleri: hangi sayfaların gezildiği, hangi işlemlerin tamamlandığı; çoğu zaman ziyaretçiyi platformdaki profiliyle eşleştirme amacı.
• Oturum kaydı ve ısı haritası araçları: fare hareketleri, kaydırma, tıklamalar; kimi araçlarda oturumun ekran kaydına yakın bir izi.
• Canlı destek ve sohbet pencereleri: yazışma içeriği ve ziyaretçinin sayfa geçmişinin bir bölümü.
• Gömülü içerik ve CDN'ler: video, harita, yazı tipi yüklemeleri; içerik gelirken istek bilgisi karşı tarafa gider.

Her servisin tam olarak ne topladığı, kendi dokümantasyonunda ve veri işleme koşullarında yazar. Yalnız bu belgeleri sağlayıcı yazar; sitenizdeki veri akışının hesabını ziyaretçiye ve düzenleyiciye karşı siz verirsiniz.

Veri nereye gidiyor: yurt dışı aktarım boyutu

Yaygın üçüncü taraf servislerin önemli bölümü sunucularını Türkiye ve AB dışında işletir. Yani sitenize eklenen bir script, pratikte kişisel verinin yurt dışına aktarılması sonucunu doğurabilir.

Bu boyut mevzuatta ayrıca düzenlenir. KVKK'da yurt dışına aktarım, 2024'te güncellenen 9. madde ile ayrı şartlara bağlıdır; Kurumun yayımladığı rehberde yeterlilik kararı ve standart sözleşme gibi mekanizmalar anlatılır. GDPR'da da uluslararası aktarımlar için ayrı bir bölüm bulunur. Ayrıntı hukuki danışmanlık konusudur; site sahibi açısından pratik sonuç ise nettir: hangi servislerin hangi ülkelerde çalıştığını bilmeden bu değerlendirme hiç yapılamaz.

İlk adımlar için teknik bilgi gerekmez: her servisin veri işleme koşullarını ve varsa veri işleme sözleşmesini bulun, sunucularını hangi bölgede işlettiğine bakın, AB veya Türkiye içinde barındırma seçeneği sunup sunmadığını not edin. Bu üç bilgi, hukuk danışmanınızla yapacağınız görüşmenin de ham maddesi; danışman sitenizi tarayamaz, bu tabloyu ona siz götürürsünüz.

Sorumluluk kimde?

"Script'i ben yazmadım, sağlayıcı topluyor" savunması işe yaramaz. Kural olarak, sitesine o servisi ekleyen veri sorumlusu, kendi sitesindeki veri işleme faaliyetinin muhatabıdır: ziyaretçiyi bilgilendirmek, gereken durumlarda açık rıza almak ve bu rızayı koşula bağlamamak site sahibinin işidir.

KVKK'nın Çerez Uygulamaları Hakkında Rehberi de bu çerçeveyi çizer: rıza istenirken amacın, çerez süresinin ve çerezin birinci taraf mı üçüncü taraf mı olduğunun açıklanması, rızanın kullanım şartları gibi belgelerin içine gömülmemesi rehberde yer alan iyi uygulama örneklerindendir.

Sorumluluğun sizde olması, şirket içinde de bir düzen gerektirir: siteye kimin servis ekleyebileceği belli olmalı, çalışılan ajansın kurduğu her etiketin kaydı tutulmalı, denenen ama vazgeçilen araçlar sökülmelidir. Ajansın ya da geliştiricinin eklediği bir servis, sorumluluğu onlara devretmez; sitede çalışan her şeyin hesabı yine size sorulur.

Sitenizdekileri nasıl görürsünüz?

Elle bakmak mümkündür: tarayıcının geliştirici araçlarında ağ sekmesini açar, sayfayı gezer ve kendi alan adınız dışındaki her isteği not edersiniz. İki zorluk vardır: istek listesi kalabalıktır ve hangi alan adının hangi şirkete ait olduğunu çözmek uzmanlık ister; ayrıca bazı servisler yalnızca belirli sayfalarda veya belirli etkileşimlerden sonra yüklenir, ana sayfaya bakmak yetmez.

Bu işi otomatikleştirmek için sitenizi ücretsiz çerez taraması ile tarayabilirsiniz: tarama, sayfalarınızda çalışan çerezleri ve arka planda çağrılan üçüncü taraf servisleri tanınan sağlayıcılarla eşleştirerek listeler.

Beyan ile gerçeği eşitlemek

Envanter çıktıktan sonra iki belge onunla hizalanmalıdır: çerez ve gizlilik politikanızdaki sağlayıcı listesi ile çerez banner'ınızın kategorileri. Politikada olmayan bir servis sitede çalışıyorsa beyanınız eksiktir; banner'da sorulmayan bir kategori veri topluyorsa rıza kurgunuz boştadır.

DILAYS bu hizalamayı tek akışa bağlar: tarama envanteri çıkarır, politika üretimi bu envanterden beslenir ve beyan ile site birbirini tutar.

Sık yapılan beş hata

• Yalnızca ana sayfaya bakmak: birçok servis alt sayfalarda veya form etkileşimlerinde yüklenir.
• Etiket yöneticisini tek servis saymak: asıl zincir onun arkasından gelir.
• Sağlayıcının belgelerine hiç bakmamak: neyin toplandığını en net o belgeler söyler.
• Yurt dışı boyutunu yok saymak: servislerin nerede çalıştığı bilinmeden aktarım değerlendirmesi yapılamaz.
• Envanteri bir kez çıkarıp bırakmak: yeni eklenen tek bir piksel tabloyu değiştirir.

Beşincisi zamanla kendiliğinden olur: bugün temiz olan tablo, yarın eklenecek tek araçla eskir. Kalıcı çözüm bir düzenli tarama ve değişiklik izleme düzeni kurmak: beyan edilmemiş yeni bir servis ortaya çıktığında haberiniz olur.

Kontrol listesi

• Sitenin tamamı tarandı, üçüncü taraf servis envanteri çıkarıldı.
• Her servisin ne işe yaradığı ve kim tarafından eklendiği biliniyor.
• Kullanılmayan, kimsenin sahiplenmediği servisler kaldırıldı.
• Her servisin veri işleme koşullarına ve çalıştığı bölgeye bakıldı.
• Politikadaki sağlayıcı listesi envanterle birebir örtüşüyor.
• Rızaya tabi servisler banner'da doğru kategoride soruluyor.
• Yeni servis eklenmesini yakalayan bir izleme düzeni kuruldu.