Mobil Uygulamalarda KVKK Uyumluluğu: Hangi Veriler Nasıl Korunur?

Bir mobil uygulama geliştirdiğiniz andan itibaren, muhtemelen fark etmeden kişisel veri işlemeye başlarsınız — kullanıcı adı, telefon numarası, hatta konum. Bu yazıda, önceki yazılarımızda sektöre özgü olarak değindiğimiz KVKK konularını bir araya getirip genel çerçeveyi anlatıyoruz: veri sorumlusu kim olur, aydınlatma yükümlülüğü nasıl yerine getirilir, VERBİS kaydı ne zaman gerekir ve bir veri ihlali yaşandığında ne yapılmalıdır.

KVKK'da "Veri Sorumlusu" Kim Olur?

Mobil uygulamanızı yayınlayan işletme olarak siz, kullanıcılarınızın verisini toplayıp işleme amacını ve yöntemini belirleyen taraf olduğunuz için 6698 sayılı KVKK kapsamında "veri sorumlusu" sıfatını taşırsınız. Bu, size somut yükümlülükler yükler: kullanıcıyı bilgilendirmek (aydınlatma), gerektiğinde rıza almak, veriyi güvenli saklamak ve kullanıcı haklarına (verisinin silinmesini isteme gibi) saygı göstermek.

Aydınlatma Yükümlülüğü Nedir, Uygulamanızda Nasıl Yerine Getirilir?

KVKK'nın 10. maddesi, veri sorumlusunun kullanıcıya kimliğini, hangi verinin hangi amaçla işlendiğini, kimlere aktarılabileceğini ve kullanıcının haklarını açıkça bildirmesini zorunlu kılar. Mobil uygulamada bu, genellikle kayıt ekranında veya ilk açılışta gösterilen bir aydınlatma metniyle karşılanır. mobilsepeti.com.tr'nin kendi KVKK Aydınlatma Metnini bu ilkeler çerçevesinde hazırladık; her üyelik sistemli projede müşterilerimize benzer bir metin şablonu öneriyoruz.

Açık Rıza Ne Zaman Gerekir, Ne Zaman Gerekmez?

Açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. Bir randevu hizmetinin ifası için gerekli olan ad-telefon bilgisi, sözleşmenin kurulması/ifası kapsamında işlenebilir; ayrıca bir rıza onayı gerekmeyebilir. Ancak pazarlama amaçlı bildirim göndermek gibi ek bir kullanım için genellikle ayrı bir açık rıza gerekir. Bu ayrımı doğru yapmak, hem gereksiz rıza formlarıyla kullanıcıyı yormamayı hem de gerçekten rıza gerektiren noktaları atlamamayı sağlar.

VERBİS Kaydı Gerekir mi?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), 6698 sayılı KVKK'nın 16. maddesi uyarınca kurulmuş, Kişisel Verileri Koruma Kurumu tarafından yönetilen resmi bir kayıt sistemidir. Çoğu küçük ve orta ölçekli mobil uygulama işletmesi yukarıdaki eşiklerin altında kaldığı için kayıttan muaf olabilir; ancak sağlık, sigorta gibi özel nitelikli veri işleyen sektörlerde bu durum daha dikkatli değerlendirilmelidir. Kesin durumunuzu netleştirmek için Kurumun güncel istisna kararlarını incelemenizi öneririz.

Veri İhlali Yaşanırsa Ne Olur?

KVKK'nın 12. maddesinin 5. fıkrası, bir veri ihlalinin öğrenilmesinden itibaren en kısa sürede ve 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılmasını öngörür. Bu kısa süre, ihlal anında paniklemeden hızlı hareket edebilmek için önceden bir eylem planının hazır olmasını gerektirir: hangi verinin etkilendiğini tespit etmek, etkilenen kullanıcıları bilgilendirmek ve Kurula bildirimi hazırlamak.

Mobil Uygulamalarda Hangi Veri Türleri Toplanır?

• Kimlik/iletişim verisi: Ad, telefon, e-posta — üyelik sistemi olan hemen her uygulamada
• Konum verisi: Teslimat, harita tabanlı uygulamalarda — detaylı bilgi
• Özel nitelikli veri (sağlık vb.): Klinik, randevu uygulamalarında — detaylı bilgi
• Ödeme verisi: Genellikle ödeme sağlayıcısında işlenir, sizde saklanmaz — detaylı bilgi

Kullanıcı Hakları: İlgili Kişi Başvuruları

KVKK, veri sahibi kullanıcılara belirli haklar tanır: verisinin işlenip işlenmediğini öğrenme, işleniyorsa buna ilişkin bilgi talep etme, verisinin silinmesini veya düzeltilmesini isteme gibi. Bir kullanıcı bu haklardan birini kullanmak için başvurduğunda, veri sorumlusu olarak işletmenizin bu talebe makul bir süre içinde (genellikle 30 gün) cevap vermesi beklenir. Uygulamanızda bu tür taleplerin nereye, nasıl iletileceğinin (ör. bir e-posta adresi) aydınlatma metninde belirtilmesi, hem yasal uyumu sağlar hem kullanıcıya net bir yol gösterir.

Barındırma ve Veri Aktarımı

Kullanıcı verinizin nerede barındırıldığı da KVKK açısından önemlidir. Verinin yurt dışına aktarılması, belirli ek şartlara tabidir; bu nedenle barındırma sağlayıcınızı seçerken bu konuyu netleştirmeniz gerekir. Barındırma rehberimizde bu konuyu daha ayrıntılı ele alıyoruz.

Üyelik sistemi olan bir uygulamayı, aydınlatma metni olmadan yayınlayan bir işletmeyi ele alalım. Uygulama aylarca sorunsuz çalışıyor, ta ki bir kullanıcı verisinin nasıl kullanıldığını sorgulayana kadar. İşletme bu noktada aydınlatma metnini hazırlıyor ve mevcut uygulamaya ekliyor — ama bu, baştan yapılmış olması gereken bir adımın gecikmeli telafisi. Aydınlatma metnini geliştirme sürecinin başında, hangi verinin toplanacağı netleşirken hazırlamak, hem hukuki riski önler hem de kullanıcı güvenini daha en baştan kurar.

Sık Yapılan Hatalar

En sık düşülen üç hata şöyle: Birincisi, "ileride lazım olur" mantığıyla gereğinden fazla veri toplamaktır — bu hem KVKK açısından risklidir hem de kullanıcı güvenini zedeler. İkincisi, aydınlatma metnini şablon bir metinle geçiştirmektir — metin, uygulamanızın gerçekte hangi veriyi hangi amaçla topladığını yansıtmalıdır. Üçüncüsü, veri ihlali durumunda ne yapılacağını hiç planlamamaktır — 72 saatlik bildirim süresi, önceden hazırlıksız bir işletme için yetersiz kalabilir.

mobilsepeti.com.tr'de KVKK Yaklaşımı

Üyelik sistemli her projede aydınlatma metni ihtiyacınızı birlikte netleştirir, verinin nerede ve nasıl saklandığını şeffaf şekilde paylaşırız. Sektörünüze özgü KVKK gereksinimleri için sağlık ve kurumsal uygulama rehberlerimize göz atabilirsiniz.