From ddf350596488de3aa91b93f9df59abb683e2c4d8 Mon Sep 17 00:00:00 2001 From: bilalgursen Date: Fri, 25 Sep 2026 01:20:15 +0300 Subject: [PATCH] =?UTF-8?q?docs(arastirma):=20KVKK=20ve=20rakip=20hukuk=20?= =?UTF-8?q?ara=C5=9Ft=C4=B1rmas=C4=B1=20(31=20kaynak,=2022=20rakip=20adres?= =?UTF-8?q?i)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Co-Authored-By: Claude Fable 5.1 --- .../2026-09-25-kisisellestirme/README.md | 2 + .../hukuk-ve-rakipler.md | 239 ++++++++++++++++++ 2 files changed, 241 insertions(+) create mode 100644 docs/arastirma/2026-09-25-kisisellestirme/hukuk-ve-rakipler.md diff --git a/docs/arastirma/2026-09-25-kisisellestirme/README.md b/docs/arastirma/2026-09-25-kisisellestirme/README.md index e0340a9..23ab3e0 100644 --- a/docs/arastirma/2026-09-25-kisisellestirme/README.md +++ b/docs/arastirma/2026-09-25-kisisellestirme/README.md @@ -104,6 +104,8 @@ Filtre gevşetme sırası değişirse `/meraklisina` şeması aynı işte günce ## 8. KVKK: ne yapılır +> Ayrıntılı hukuk ve rakip araştırması (25 Eyl gece): [hukuk-ve-rakipler.md](hukuk-ve-rakipler.md). Kritik bulgu: sürekli sohbet aktarımı için açık rıza yolu 2024'ten beri kapalı; sağlayıcıyla Kurul standart sözleşmesi ya da Türkiye'de model gerekiyor. Metindeki "Anthropic" ifadesi kodla (OpenRouter → DeepSeek) çelişiyor. + Bugün gizlilik metni (`src/app/gizlilik/page.tsx`, 2 Ağustos 2026) e-posta, sıra, sihirbaz seçimleri, sohbet mesajları, sipariş ve Anthropic'e yurt dışı aktarımı sayıyor. Kişiselleştirme için: 1. **Profil alanları kapalı liste.** `profil_guncelle` yalnız tanımlı alanlara yazar: azami km, yıllık ücret üstü, dil, öğretim türü, kampüs büyüklüğü, ağırlıklar. Serbest metin alanı yok. Aksi hâlde model sohbetten din, sağlık, aile durumu gibi özel nitelikli veriyi profile taşır. diff --git a/docs/arastirma/2026-09-25-kisisellestirme/hukuk-ve-rakipler.md b/docs/arastirma/2026-09-25-kisisellestirme/hukuk-ve-rakipler.md new file mode 100644 index 0000000..673ff94 --- /dev/null +++ b/docs/arastirma/2026-09-25-kisisellestirme/hukuk-ve-rakipler.md @@ -0,0 +1,239 @@ +# Kişiselleştirme: hukuk (KVKK) durumu ve rakip pratiği + +Tarih: 25 Eylül 2026. Hazırlayan: araştırma ajanı. Bu belge hukuki görüş değildir; resmî kaynaklardan ne okunduğunu ve rakiplerin ne yaptığını aktarır. "Avukata sorulacak" işaretli yerler kesinleşmemiş noktalardır. + +Kapsam: (1) danışman sohbetinden çıkarılan yapılandırılmış öğrenci profili (azami km, yıllık ücret üst sınırı, öğretim dili, öğretim türü, kampüs büyüklüğü; kapalı liste; öğrenci görür ve siler), (2) üniversite sayfasında kadın/erkek öğrenci oranı (YÖK İstatistik, üniversite düzeyi, bilgi amaçlı), (3) program düzeyinde YÖK Atlas açık verisi (ücret, burs, dil, akreditasyon, koşullar). Kullanıcıların çoğu 17-18 yaşında. Mevcut gizlilik metni `src/app/gizlilik/page.tsx` (son güncelleme 2 Ağustos 2026): e-posta, sıra, sihirbaz seçimleri, sohbet mesajları, sipariş; yurt dışına aktarım için "Anthropic (ABD)" yazıyor, kod OpenRouter üzerinden DeepSeek kullanıyor; saklama süresi yazılı değil. + +--- + +## Kısa özet (5 madde) + +1. **En acil sorun aydınlatma metninin kodla uyuşmaması.** Metin "Anthropic (ABD)" diyor, sohbet OpenRouter (ABD) üzerinden DeepSeek'e (Çin'de saklama) gidiyor. Yanlış aydınlatma, Kanun md. 10 ihlalidir (2026 cezası 85.437 – 1.709.200 TL). Önce altyapı kararı, sonra doğru metin. +2. **Yurt dışına sürekli sohbet aktarımı için "açık rıza" yolu artık yok.** 1 Haziran 2024'ten beri açık rıza yalnız *arızi* (tek seferlik, olağan iş akışı dışı) aktarımlarda geçerli. Sürekli çalışan bir yapay zekâ sohbeti arızi değildir. Kalan yollar: Kurul'un yayımladığı **standart sözleşme** (imzadan sonra 5 iş günü içinde Kurum'a bildirim) ya da veriyi yurt dışına hiç göndermemek. Hiçbir ülke için yeterlilik kararı yok. +3. **Profil için açık rıza şart değil, ama "kişiselleştirme" ayrı bir işleme faaliyeti sayılıyor.** KVKK'nın Üretken Yapay Zekâ Rehberi (24 Kasım 2025) sohbet botunda kullanıcı girdilerinin işlenmesini "sözleşmenin ifası"na bağlıyor; "çıktıların etkileşimi kişiselleştirmek için kullanılması"nı ise ayrı bir faaliyet sayıp ayrı hukuki sebep istiyor. Profil, öğrencinin talep ettiği hizmetin (liste üretimi) parçası olarak kurgulanır, öğrenci onaylayıp kaydeder, görür ve siler, pazarlamada kullanılmazsa "sözleşmenin ifası + meşru menfaat" savunulabilir görünüyor. Kesin karar avukata sorulacak. +4. **VERBİS:** ana faaliyeti özel nitelikli veri işlemek olmayan şirket, yıllık çalışan sayısı 50'den az **ve** yıllık mali bilanço toplamı 100 milyon TL'den az ise kayıttan muaf. KolayTercih büyük olasılıkla muaf; muafiyet diğer yükümlülükleri (aydınlatma, güvenlik, başvuru yanıtı, imha) kaldırmaz. +5. **18 yaş altı:** KVKK'da ayrı madde yok. Kurul, ayırt etme gücü olan çocuğun (17-18 yaş buna girer) kişisel veri haklarını kendi kullanabileceğini söylüyor (2020/622). Ürün geliştirenler için Kurul broşürü: en az veri, çocuğa uygun sade aydınlatma, yaş doğrulama, gerektiğinde veliye bilgilendirme/rıza. Rakiplerin neredeyse hiçbiri veli hükmü koymuyor. Ücretli paketin 18 yaş altına satışı (sınırlı ehliyetsizin borç altına girmesi) ayrı bir konu: avukata sorulacak. + +--- + +## A. Resmî durum (KVKK) + +### A.1 Profilleme, yapay zekâ ve sohbet robotu: Kurum ne yayımladı, ne diyor? + +**Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler (15 Eylül 2021).** Genel ilkeler: hukuka uygunluk, dürüstlük, ölçülülük, hesap verebilirlik, şeffaflık; geliştiriciler için en az veri, ayrımcılık riskini önleme, doğruluğu izleme. [PDF](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/25a1162f-0e61-4a43-98d0-3e7d057ac31a.pdf), [KVKK sayfası](https://www.kvkk.gov.tr/Icerik/7048/Yapay-Zeka-Alaninda-Kisisel-Verilerin-Korunmasina-Dair-Tavsiyeler). + +**Sohbet Robotları (ChatGPT Örneği) Hakkında Bilgi Notu** (web'de 8 Kasım 2024; basılı sürüm KVKK Yayınları No: 82, Haziran 2025). Geliştirenlere sıraladığı maddeler doğrudan bizim ürünü ilgilendiriyor: +- işlemeye başlamadan **risk değerlendirmesi** yapılmalı, +- kişisel veri işleniyorsa **yasal dayanağı açıkça belirtilmeli**, +- md. 10 aydınlatma yerine getirilmeli, +- şeffaflık kapsamında "hangi verilerin **ne kadar süreyle saklanacağı**" bilgisi verilmeli (not: bu, Kanun'un asgari listesinde değil ama Kurum "dikkat edilmesi gereken" sayıyor), +- "**Çocuklara yönelik olarak yaş tespitinin doğru ve güvenilir şekilde yapılması** gerekmektedir" ve çocukların olumsuz deneyim yaşamaması için önleyici yaklaşım. +[KVKK sayfası](https://www.kvkk.gov.tr/Icerik/8047/Sohbet-Robotlari-ChatGPT-Ornegi-Hakkinda-Bilgi-Notu), [PDF](https://kvkk.gov.tr/SharedFolderServer/CMSFiles/cf1ba9a7-6108-42f1-9b27-cc416545693d.pdf). + +**Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24 Kasım 2025.** Bizim için kritik bölümler ([KVKK sayfası](https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda), [PDF](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5MjNmNmIwZWY3YTE.pdf)): + +- **Soru 9 – hukuki sebep.** Rehber, bir dil modelinin çalıştırılmasında şu adımların *ayrı ayrı* işleme faaliyeti olabileceğini ve her biri için ayrı şart gerekebileceğini söylüyor: (i) kullanıcının girdilerinin modeli çalıştırmak için işlenmesi, (ii) girdilerin modeli geliştirmek için kullanılması, (iii) **"çıktıların kullanıcıyla etkileşimin kişiselleştirilmesi amacıyla kullanılması"**, (iv) çıktıların model geliştirmede kullanılması. +- Aynı bölümde sözleşmenin ifası şartı için örnek: "Büyük dil modelleri (örneğin, ÜYZ tabanlı sohbet botları) tarafından verilen hizmetin ifası için kullanıcının girdilerinin işlenmesi gerektiğinden, bu faaliyetler de sözleşmenin ifası şartına dayandırılabilecektir." Buna karşılık "kişiselleştirilmiş reklam" ve "model geliştirme" sözleşmenin ifasına dayanamaz. +- **Meşru menfaat** "torba şart" değil; Kurul'un 2019/78 sayılı kararındaki ölçütlerle denge testi yapılmalı ([karar özeti](https://www.kvkk.gov.tr/Icerik/5434/2019-78)). Rehber, kişilerin hayatı üzerinde önemli sonuç doğurabilecek sistemler için (zorunlu olmasa da) **veri koruma etki değerlendirmesi** öneriyor. +- **Soru 10 – yurt dışı.** "Yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla ÜYZ sistemlerini kullanmaları ve bu sistemler aracılığıyla kişisel verilerin yurt dışına aktarılması durumunda" md. 9 ve Yönetmelik'e uyulmalı. +- **Soru 11 – şeffaflık.** Amaç değişince yeniden aydınlatma; sistemi kullanmak için yapılan işleme ile modeli geliştirmek için yapılan işleme **ayrı ve açıkça** aydınlatılmalı; açık rızaya dayanan işlemede aydınlatma ile rıza ayrı ayrı alınmalı. +- **Saklama.** "Belirsiz süre ile saklamaya devam etmesi durumunda … ilkesine aykırılık ortaya çıkabilecektir"; hangi verinin ne kadar tutulacağı düzenli gözden geçirilmeli, saklama-imha politikası geliştirilmeli. +- **Soru 15** ebeveynlere tavsiyeler (ürüne yükümlülük getirmiyor, ama Kurum'un çocuk-yapay zekâ hassasiyetini gösteriyor). Ayrıca ayrı sayfa: [Yapay zekâ araçları kullanan çocuklar için ebeveynlere yönelik tavsiyeler](https://www.kvkk.gov.tr/Icerik/8580/yapay-zeka-araclari-kullanan-cocuklar-icin-ebeveynlere-yonelik-tavsiyeler). +- Rehberin tanımlar bölümünde **profilleme**, GDPR tanımıyla verilmiş: kişinin "bireysel tercihleri, ilgi alanları … ilişkin hususların analiz edilmesi veya tahmin edilmesi amacıyla" otomatik işleme. Sohbetten "ücret üst sınırı, azami km, dil tercihi" çıkarmak bu tanıma giriyor; yani ürün içi adıyla "profil" hukuken de profilleme sayılır. Düşük riskli, şeffaf ve kullanıcı kontrolünde olması bunu değiştirmez, sadece denge testinde lehimize sayılır. + +**Profilleme ve açık rıza üzerine Kurul pratiği (pazarlama bağlamı).** +- Sadakat Programları Rehber Taslağı (16 Haziran 2022): sözleşme kapsamında yürütülen programda sözleşmenin kurulması/ifası için işlenen veriler için açık rıza gerekmez; ama **segmentasyon, profilleme ve yeniden pazarlama** sözleşme ifası için zorunlu olmadığından açık rıza konusudur ([Erdem&Erdem özeti](https://www.erdem-erdem.av.tr/bilgi-bankasi/sadakat-programlarinin-kisisel-verilerin-korunmasi-mevzuati-kapsaminda-incelenmesi), [Esin özeti](https://www.esin.av.tr/2022/06/21/turkish-dpas-guideline-on-loyalty-programs-opened-for-public-consultation/)). +- Kurul 2023/890 (25 Mayıs 2023, hava yolu özel yolcu programı): ek menfaatlerin rızaya bağlanması, temel hizmet (bilet satışı) engellenmiyorsa özgür iradeyi bozmaz ([karar özeti](https://www.kvkk.gov.tr/Icerik/7760/2023-890)). Bizim için ders: profil, listeyi almanın ön şartı yapılmamalı; profil kapalıyken de hizmet tam çalışmalı. +- Kurul İlke Kararı 2026/347 (18 Şubat 2026): **açık rıza metni ile aydınlatma metni ayrı başlıklar altında ayrı metinler olarak** düzenlenecek; aydınlatma için onay/rıza istenmeyecek, en fazla "okudum" geri bildirimi alınabilir; aykırılık md. 18 yaptırımına tabi ([duyuru](https://www.kvkk.gov.tr/Icerik/8710/veri-sorumlulari-tarafindan-acik-riza-ve-aydinlatma-metinlerinin-ayri-ayri-duzenlenmesi-gerektigi-hakkinda-kisisel-verileri-koruma-kurulunun-18-02-2026-tarihli-ve-2026-347-sayili-ilke-kararina-iliskin-kamuoyu-duyurusu)). Not: giriş kartımızdaki "gizlilik metnindeki … kabul etmiş olursun" cümlesi (`src/features/kullanici/components/giris-karti.tsx`) aydınlatma için kabul istemeye yaklaşıyor; "okudum" biçimine çevrilmeli. +- Kurul İlke Kararı 2026/266 (RG 28 Şubat 2026, sadakat kartlarında doğrulama, uyum 28 Ağustos 2026) bizi doğrudan ilgilendirmiyor; not için ([CottGroup](https://www.cottgroup.com/tr/blog/kvkk-gdpr/item/kvkkdan-sadakat-programlarina-iliskin-yeni-ilke-karar-veri-sorumlularina-6-aylik-uyum-suresi)). + +**Bizim profil için çıkarım.** Profil (a) öğrencinin kendisinin sohbette söylediği tercihlerden üretiliyor, (b) yalnız o öğrencinin listesini üretmek için kullanılıyor, (c) öğrenci görüyor, düzeltiyor, siliyor, (d) pazarlama/reklam/segment amacı yok. Bu kurguda rehberin "sohbet botunda girdilerin işlenmesi = sözleşmenin ifası" örneği ve meşru menfaat denge testi birlikte savunulabilir görünüyor; açık rıza yolu ise "profil kapalıyken hizmet çalışır" şartıyla mümkün ama rıza her an geri alınabildiği için ürünü kırılgan yapar. En temiz ürün kurgusu: sohbet bir tercih çıkarınca öğrenciye "Profiline kaydedeyim mi?" diye sorup **onaylatarak** kaydetmek (bu rıza değil, hizmet talimatıdır) ve aydınlatmada "profil" satırını açıkça yazmak. **Avukata sorulacak:** onay adımı olmadan otomatik kaydetme sözleşmenin ifasıyla "doğrudan doğruya ilgili" sayılır mı, yoksa açık rıza mı gerekir? + +### A.2 Yurt dışına aktarım: bugün (Eylül 2026) geçerli yol + +**Kanun metni** (6698, md. 9; 7499 sayılı Kanun'la değişik, 1 Haziran 2024'ten beri yürürlükte) — [mevzuat.gov.tr PDF](https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf): +1. **Yeterlilik kararı** olan ülkeye aktarım serbest (md. 9/1). Durum: Kurum sayfası "Bu konuda Kurul tarafından henüz bir belirleme yapılmamıştır" diyor; yani **hiçbir ülke için yeterlilik kararı yok** ([Yurt Dışına Aktarım sayfası](https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim)). +2. Yeterlilik yoksa **uygun güvenceler** (md. 9/4): kamu kurumları arası anlaşma; Kurul onaylı bağlayıcı şirket kuralları (grup şirketleri için); **Kurul'un ilan ettiği standart sözleşme**; Kurul izinli taahhütname. Küçük bir şirket için pratikte tek yol standart sözleşme. +3. **Standart sözleşme, imzadan itibaren 5 iş günü içinde** veri sorumlusu veya veri işleyen tarafından Kurum'a bildirilir (md. 9/5). Bildirim modülü: standartsozlesme.kvkk.gov.tr (Kurul 17.10.2024 kararı; [duyuru 25 Ekim 2024](https://www.kvkk.gov.tr/Icerik/8043/Standart-Sozlesme-Bildirim-Modulu-Hakkinda-Kamuoyu-Duyurusu)). Sözleşme metinleri Kurul'un 2024/959 sayılı kararıyla (4 Haziran 2024) yayımlandı; dört tür var (veri sorumlusu→veri sorumlusu, veri sorumlusu→veri işleyen, veri işleyen→veri işleyen, veri işleyen→veri sorumlusu). Bizim durum "veri sorumlusu (KolayTercih) → veri işleyen (yapay zekâ sağlayıcısı)". İngilizce çevirisi var ama **imzalanan metin Türkçe olmalı** ([metinler](https://www.kvkk.gov.tr/Icerik/7929/Standart-Sozlesmeler), [İngilizce çeviri duyurusu](https://www.kvkk.gov.tr/Icerik/7998/Standart-Sozlesme-Metinlerinin-Ingilizce-Cevirisine-Iliskin-Duyuru)). +4. Kurum'un 5 Şubat 2025 duyurusu, bildirimlerde sık hataları sayıyor: her iki tarafın yetkili imzası, Türkçe sütunun imzalanması, yetki belgeleri (yabancı belge için apostil/konsolosluk, noter onaylı çeviri), tarihlerin açık yazılması, geriye dönük yürürlük yasağı, metnin değiştirilememesi ([duyuru](https://www.kvkk.gov.tr/Icerik/8170/Yurt-Disina-Kisisel-Veri-Aktariminda-Kullanilacak-Standart-Sozlesmelerde-Dikkat-Edilmesi-Gereken-Hususlara-Iliskin-Kamuoyu-Duyurusu)). Bu, "sağlayıcının çevrim içi hizmet şartlarını tıklamak" ile olmaz; karşı tarafın Türkçe metni fiilen imzalaması gerekir. +5. **Açık rıza yalnız arızi hâllerde** (md. 9/6-a): "ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi", ama fıkranın başı "arızi olmak kaydıyla". Kurum'un Yurt Dışına Aktarım Rehberi (KVKK Yayınları No: 48, Ocak 2025) arızi olmayı "tek veya birkaç sefer gerçekleşmesi, süreklilik arz etmemesi ve olağan faaliyet akışı içinde bulunmaması" diye açıklıyor; sistematik aktarım arızi sayılmıyor ([rehber sayfası](https://www.kvkk.gov.tr/Icerik/8142/Kisisel-Verilerin-Yurt-Disina-Aktarilmasi-Rehberi)). Her sohbet mesajının yurt dışındaki modele gitmesi olağan faaliyet akışının kendisidir; **açık rıza yolu bize kapalı.** Eski usul (Kanun geçici md. 3) 1 Eylül 2024'te bitti. +6. Aynı rehber, "hizmet sağlayıcı tarafından sunulan yurt dışında bulunan bir bulutta depolama"nın da aktarım sayıldığını; Kanun değişikliğinin gerekçesinin ise "sunucuları yurt dışında bulunan … bulut tabanlı yazılım ve uygulamaların hukuka uygun olarak kullanılabilmesini neredeyse imkânsız hale getirdiği" tespitine dayandığını aktarıyor. Yani standart sözleşme tam da bu ihtiyaç için getirildi. +7. **Bildirim yükümlüsü**: sözleşmede belirlenebilir; belirlenmemişse veri aktaran (biz). Bildirim yapılmazsa 2026 için **90.308 – 1.806.377 TL** idari para cezası (md. 18/1-d; yeniden değerleme %25,49, RG 27 Kasım 2025; [CottGroup 2026 ceza tablosu](https://www.cottgroup.com/tr/mevzuat/item/yeniden-degerleme-oranina-gore-2026-yili-kvkk-idari-para-cezalari)). Sözleşme bildirmemek ayrı, aktarımı hukuka aykırı yapmak ayrı sonuç doğurur (ikincisi md. 12 veri güvenliği/Kurul kararı kapsamında değerlendirilebilir). + +**Sağlayıcı tarafı (kodun bugün yaptığı).** +- OpenRouter: ABD merkezli, New York hukuku; gizlilik politikası (31 Ağustos 2026) "Bu Site 18 yaş ve üzeri kullanıcılara sunulur" diyor; istek içeriğini varsayılan olarak kaydetmiyor, girdiler seçilen model sağlayıcısına iletiliyor ve "model sağlayıcılar kendi şartlarına göre bağımsız olarak veri kullanabilir"; kurumsal/API kullanıcılarına veri işleme sözleşmesi sunduğunu söylüyor ([politika](https://openrouter.ai/privacy)). Sıfır saklama ("zdr") ayarı hesap veya istek düzeyinde açılabiliyor; hangi uçların bunu desteklediği canlı listede ([belge](https://openrouter.ai/docs/guides/features/zdr), [sağlayıcı politikaları](https://openrouter.ai/docs/guides/privacy/provider-logging)). +- DeepSeek: gizlilik politikası (10 Şubat 2026): "we directly collect, process and store your Personal Data in People's Republic of China"; süre "gerekli olduğu sürece"; "Our Services are not aimed at children" ([politika](https://cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html)). OpenRouter üzerinden DeepSeek modelini Çin dışındaki bir sağlayıcıdan (ABD barındırma) almak mümkün; ama bu yine yurt dışıdır, sadece Çin yerine ABD olur. +- **Pratik sonuç:** Kurul'un Türkçe standart sözleşmesini OpenRouter'ın ya da başka bir yabancı sağlayıcının imzalayıp imzalamayacağı belirsiz; bazı büyük sağlayıcılar KVKK standart sözleşmesini imzaladığını duyuruyor, çoğu küçük sağlayıcı imzalamıyor. **Avukata ve sağlayıcıya sorulacak.** İmzalatılamıyorsa iki seçenek kalıyor: (a) modeli Türkiye'de barındıran bir sağlayıcı (aktarım hiç olmaz), (b) kişisel veriyi yurt dışına göndermeyen bir tasarım (sohbet metni serbest olduğu için bunu garanti etmek zor; kimlik/e-posta göndermemek riski azaltır, sıfırlamaz). + +### A.3 VERBİS: kayıt eşiği bugün ne? + +- Kanun md. 16: veri işleyen herkes kayıt olur; Kurul objektif kriterlerle istisna getirebilir. +- Ana faaliyeti özel nitelikli veri işlemek **olmayan** veri sorumluları için muafiyet: yıllık çalışan sayısı **50'den az ve** yıllık mali bilanço toplamı **100 milyon TL'den az** (her iki şart birlikte; biri aşılırsa kayıt zorunlu). Bilanço eşiği 25 milyondan 100 milyona 2023'te çıkarıldı ([Güleryüz](https://www.guleryuz.av.tr/tr/news-publications/detail/verbis-kayit-yukumlulugunden-muafiyet-icin-ongorulen-parasal-sinir-artirildi), [Mondaq 2026 özeti](https://www.mondaq.com/turkey/data-protection/1736820/2026-verb%C4%B0s-kay%C4%B1t-%C4%B0stisnalar%C4%B1-100-milyon-tl-e%C5%9Fi%C4%9Fi-ve-g%C3%BCncel-kurallar)). +- Ana faaliyeti özel nitelikli veri işlemek olanlar için (sağlık vb.) Kurul'un 4 Eylül 2025 tarihli 2025/1572 sayılı kararıyla (RG 1 Ekim 2025) mikro istisna: çalışan 10'dan az ve bilanço 10 milyon TL'den az ([Esenyel](https://www.esenyelpartners.com/tr/verbis-kayit-ve-istisnalar/)). Bizi ilgilendirmiyor; ama **sağlık/engel sormaya başlarsak** "ana faaliyet" tartışması açılır (bkz. A.5). +- KolayTercih küçük bir yazılım şirketi olarak büyük olasılıkla muaf. Muafiyet yalnız sicile kayıt içindir; aydınlatma, veri güvenliği, ilgili kişi başvurularına 30 günde yanıt ve imha yükümlülükleri sürer. VERBİS kaydı olmayan veri sorumlusu, saklama-imha politikası hazırlamak zorunda değildir; ama işleme şartları ortadan kalkınca **3 ay içinde** imha etmelidir; politikası olan 6 ayı geçmeyen periyodik imha yapar; imha kayıtları 3 yıl saklanır (Silme/Yok Etme/Anonim Hâle Getirme Yönetmeliği, RG 28 Ekim 2017; [KVKK sayfası](https://www.kvkk.gov.tr/Icerik/2038/kisisel-verilerin-silinmesi-yok-edilmesi-veya-anonim-hale-getirilmesi)). VERBİS ihlali 2026 cezası 341.809 – 17.092.242 TL. + +### A.4 18 yaş altı kullanıcı + +- **KVKK'da çocuklara özel madde yok.** Kurul, Medeni Kanun'a göre "ayırt etme gücü" ölçütünü kullanıyor. Kurul 2020/622 (11 Ağustos 2020): kişisel verilerin korunması hakkı kişiye sıkı sıkıya bağlı bir haktır; ayırt etme gücüne sahip küçük bu hakları velisinden bağımsız kullanabilir ([karar özeti](https://www.kvkk.gov.tr/Icerik/6816/2020-622)). 17-18 yaşındaki YKS adayı bu gruptadır; yani sıra/il/ilgi alanı gibi verileri kendi verebilir ve silme/erişim hakkını kendi kullanır. +- Buna karşılık küçük çocuklarda veli rızası aranıyor: Kurul 2022/776 (3 Ağustos 2022): 8 yaşındaki çocuğa velisinin rızası olmadan tanıtım broşürü gönderen girişimciye 30.000 TL ([karar özeti](https://www.kvkk.gov.tr/Icerik/7572/2022-776)). Pazarlama amaçlı işleme için açık rıza şart; çocukta bu rıza veliden alınır. +- Kurum'un **"Ürün ve Hizmet Geliştirenler Tarafından Dikkat Edilmesi Gerekenler"** broşürü (KVKK Çocuk serisi): çocuk verisini en az seviyede işleme; çocuklara özel, "gerekirse resim ve görsel efektlerle desteklenen daha anlaşılır, sade ve açık bir dil" ile aydınlatma; "mevcut teknoloji göz önünde bulundurularak çocuğun yaşını doğrulayacak sistemler kullanılmalıdır (… gerekli durumlarda velayet/vesayet hakkı sahiplerinin doğrulanmış iletişim bilgilerine bilgilendirme ve açık rıza onay metinleri gönderilebilir)"; teknik/idari tedbirler en üst seviyede; çocukların haklarını kullanabileceği mekanizmalar ([broşür sayfası](https://www.kvkk.gov.tr/Icerik/8030/Urun-ve-Hizmet-Gelistirenler-Tarafindan-Dikkat-Edilmesi-Gerekenler-Brosur-), [KVKK Bülten Nisan-Temmuz 2024 PDF](https://kvkk.gov.tr/SharedFolderServer/CMSFiles/35b708d7-449d-417d-87cb-d52f46dd570f.pdf), [ana sayfa](https://www.kvkk.gov.tr/Icerik/6737/Cocuklarin-Kisisel-Verilerinin-Korunmasi-Bakimindan-Dikkat-Edilmesi-Gerekenler)). Bu broşür bağlayıcı değil, ama Kurul'un beklentisini gösteriyor. Sohbet Robotları Bilgi Notu da "yaş tespitinin doğru ve güvenilir şekilde yapılması gerekmektedir" diyor. +- Yaş sınırı konusunda tek somut düzenleme sosyal ağlar için: 5651 değişikliğiyle 1 Kasım 2026'dan itibaren 15 yaşını doldurmayanlara sosyal ağ hizmeti sunulmayacak, yaş doğrulama ve ebeveyn denetim araçları gelecek ([Özgür Eralp](https://www.ozgureralp.com/sosyal-medyada-15-yas-siniri-ve-yas-dogrulama-donemi-5651-sayili-kanunda-dijital-cocuk-haklari/)); Kurum 20 Şubat 2026'da büyük platformların çocuk verisi işleme pratiğine inceleme başlattı. KolayTercih sosyal ağ değil; **avukata sorulacak:** yeni 5651 hükümleri bizim gibi bir hizmete dolaylı yük getiriyor mu? +- **Ayrı bir konu, ödeme:** ayırt etme gücüne sahip küçük (sınırlı ehliyetsiz) yasal temsilcisinin rızası olmadan borç altına giremez (TMK md. 16). Ücretli paketi 17 yaşındaki adayın satın alması bu yüzden KVKK değil, sözleşme hukuku sorunu. Kartı veli kullanıyorsa sorun küçülür. **Avukata sorulacak.** +- **Uygulamada rakipler** (ayrıntı B'de): incelenen sitelerin hemen hiçbiri 18 yaş/veli hükmü koymuyor. İki istisna: Beykoz Üniversitesi B'Tercih "aday öğrenci/veli/vasi" aydınlatma ve açık rıza formu kullanıyor (3 yıl saklama, yurt dışı araçlara aktarım için rıza); tercih-robotu.com "13 yaş altına yönelik değildir, hedef kitle 17-25, reşit veri sahibi kabul edilir" diyor (bu ifade hukuken kendiliğinden geçerli değil, sadece sitenin beyanı). + +### A.5 Cinsiyet özel nitelikli veri mi? Sağlık/engel sormamanın gerekçesi + +- Kanun md. 6/1'in tam listesi: "ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri". **Cinsiyet listede yok**; özel nitelikli değil (cinsel hayat ile karıştırılmamalı). Zaten planda kullanıcının cinsiyeti işlenmiyor; üniversite düzeyinde YÖK İstatistik toplamı kişisel veri değil (belirli/belirlenebilir kişiye ait değil), aydınlatma gerektirmez; kaynak ve dönem yazmak yeterli. +- **Sağlık ve engel durumu md. 6'da özel nitelikli.** 2024 değişikliği sonrası işlenmesi kural olarak yasak; istisnalar açık rıza, kanunda öngörülme vb. Sorarsak: (a) 2018/10 sayılı Kurul kararındaki ek güvenlik tedbirleri (şifreleme, yetki matrisi, erişim logları) zorunlu olur, (b) "ana faaliyeti özel nitelikli veri işlemek" tartışması VERBİS eşiğini düşürebilir, (c) çocuk verisi olduğu için Kurul'un "en üst seviye tedbir" beklentisi devreye girer, (d) yurt dışındaki modele giden sohbette özel nitelikli veri olması standart sözleşmede "ek önlemler" alanını tetikler. Engelli adaylar için gereken bilgi (program koşulları, erişilebilirlik) YÖK Atlas'tan **bilgi olarak gösterilebilir**; kullanıcıdan sorulmasına gerek yok. Veri minimizasyonu ilkesi de (md. 4) sormamayı destekliyor. Sohbete kullanıcı kendiliğinden sağlık bilgisi yazarsa: metne "sağlık, engel gibi hassas bilgileri yazma" uyarısı ve bu tür içeriğin profile alınmaması kuralı (profil alanları kapalı liste olduğu için zaten alınamaz; doğru tasarım). + +### A.6 Aydınlatma metninde saklama süresi yazmak zorunlu mu? + +- Kanun md. 10 ve **Aydınlatma Tebliği md. 4** (RG 10 Mart 2018, 30356) asgari unsurlar: veri sorumlusunun ve varsa temsilcisinin kimliği; işleme amacı; kimlere hangi amaçla aktarılabileceği; toplama yöntemi ve **hukuki sebebi**; md. 11'deki haklar ([Tebliğ sayfası](https://kvkk.gov.tr/Icerik/5443/AYDINLATMA-YUKUMLULUGUNUN-YERINE-GETIRILMESINDE-UYULACAK-USUL-VE-ESASLAR-HAKKINDA-TEBLIG), [Kurum rehberi PDF](https://kvkk.gov.tr/SharedFolderServer/CMSFiles/a569a068-c079-4189-b134-f57bc727af7d.pdf)). **Saklama süresi bu asgari listede yok; yazmak zorunlu değil.** +- Ama: Tebliğ md. 5 amacın "belirli, açık ve meşru" olmasını, "genel nitelikte, muğlak" ifadelerden kaçınmayı ister; Sohbet Robotları Bilgi Notu "ne kadar süreyle saklanacağı" bilgisini şeffaflık gereği sayar; Üretken YZ Rehberi belirsiz süreyle saklamayı ilke ihlali sayar. Süreyi **belirlemek** zorunlu (md. 4/2-d ilkesi + Silme Yönetmeliği), **yazmak** iyi uygulama. Mevcut metnimizde "Saklama ve silme" başlığı olup süre yazmaması eksik görüntü veriyor. +- Kurum rehberinin örnek incelemesinde kırmızı çizgiler: "kimlere aktarılacağı belirtilmiş ancak hangi amaçla aktarılacağı belirtilmemiş", "toplama yöntemi belirtilmiş ancak hukuki sebebi belirtilmemiş", "md. 11 hakları verilmemiş". Mevcut metnimizde **hukuki sebep** ve **md. 11 hakları listesi** yok; veri sorumlusunun unvanı/adresi yok. Bunlar zorunlu unsurlar. + +### A.7 Ticari elektronik ileti / İYS + +- Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik md. 6 (RG 15 Temmuz 2015): "devam eden abonelik, üyelik veya ortaklık durumu ile tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat veya benzeri durumlara ilişkin bildirimleri içeren iletiler" ve hizmetin "değişiklik, kullanım ve bakımına yönelik" iletiler **önceden onay gerektirmez**; bu iletiler için İYS kontrolü yapılmaz; ama içlerinde tanıtım/reklam olamaz ([Lexpera konsolide metin](https://www.lexpera.com.tr/mevzuat/yonetmelikler/ticari-iletisim-ve-ticari-elektronik-iletiler-hakkinda-yonetmelik), [Resmî Gazete](https://www.resmigazete.gov.tr/eskiler/2015/07/20150715-4.htm)). +- **Giriş bağlantısı e-postası** hizmetin kullanımı için zorunlu işlem iletisidir; **ödeme bilgilendirmesi** satın alma bildirimi. İkisi de ticari ileti değildir, onay ve İYS gerektirmez ([Güneş Partners](https://www.gunespartners.com/makale/iys-nedir), [iletiMerkezi rehberi](https://www.iletimerkezi.com/docs/guides/iys-rehberi)). +- İYS'ye kayıt, ticari elektronik ileti **gönderen** hizmet sağlayıcılar için; sayı eşiği yok (tek kampanya bile kaydı gerektirir). Hiç ticari ileti göndermiyorsak kayıt gerekmez. Şu kural konmalı: giriş/ödeme e-postalarına "yeni paket", "indirim" gibi bir cümle eklenirse ileti ticari olur, onay ve İYS kaydı gerekir. 2026 ceza yaklaşık 14.300 TL/ileti (Güneş Partners, %25,49 artışla). + +--- + +## B. Rakiplerin pratiği + +Yöntem: siteler 25 Eylül 2026'da yalnız okuma amacıyla açıldı (curl ve sayfa okuma); hesap açılmadı, form doldurulmadı, çerez bandı kabul edilmedi. Ana sayfadaki hukuki bağlantılar tarandı, bulunan gizlilik/aydınlatma metinleri okundu. "Yok" = sayfada ve bağlantılı metinde bulunamadı. + +| Site | Ne | Aydınlatma metni | Açık rıza kutusu | Yurt dışı aktarım yazıyor mu | Saklama süresi | Çocuk/veli hükmü | YZ kullandığını söylüyor mu | KVKK başvuru yolu | +|---|---|---|---|---|---|---|---|---| +| **tercihrobotu.com** → tercihrobotu.com.tr (ES Eğitim Danışmanlık; **YÖK Atlas'la ilgisi yok**, özel) | Filtreli tercih robotu | "Gizlilik bildirimi" var; veri sorumlusu adı var, amaç genel, hukuki sebep ve md. 11 hakları yok | "Kişiselleştirilmiş içerik için onay alarak" ifadesi; ayrı kutu görülmedi | Yok | Yok | Yok | Ana sayfada "Yapay Zeka" geçiyor; metinde yok | bilgi@esegitim.com | +| **YÖK Atlas Tercih Robotu** (yokatlas.yok.gov.tr/tercih-robotu.php, üye ol) | Resmî robot | Sayfada ve üyelik sayfasında KVKK/gizlilik bağlantısı bulunamadı | Yok | Yok | Yok | Yok | Hayır | Yok (YÖK genel KVKK sayfası ayrı) | +| **unitercih.com** | Danışmanlık + "Yapay Zeka Desteği" | Kayıt kutusunda "üyelik koşullarını ve gizlilik politikasını okudum" var ama sayfada metne bağlantı bulunamadı | Tek kutu, koşullar+gizlilik birleşik (2026/347'ye aykırı görünüm) | Yok | Yok | Yok | Evet (pazarlama dilinde) | Yok | +| **tercihasistani.com** | Yalnız "Admin Girişi" sayfası (kapalı) | – | – | – | – | – | – | – | +| **hangibolumhangiuniversite.com** | Alan adı çözümlenmiyor (kapalı) | – | – | – | – | – | – | – | +| **tercih.app** | Erişilemedi (bağlantı yok) | – | – | – | – | – | – | – | +| **tercihkocu.com** | İçerik/rehberlik sitesi | Yalnız kullanım koşulları; KVKK/gizlilik yok | Yok | Yok | Yok | Yok | Hayır | Yok | +| **unirehber.com** | bogaziciedu.com'a yönlendiriyor (yurt dışı eğitim danışmanı; tercih aracı değil) | "Gizlilik ilkeleri ve kullanım sözleşmesi" tek metin | Yok | – | – | – | – | – | +| **Doping Hafıza** (dopinghafiza.com; tercih robotu sayfası 404) | Eğitim platformu, "Yapay Zeka" yoğun | Evet: Kullanıcı Aydınlatma Metni, İşleme/Koruma Politikası, **Saklama ve İmha Politikası**, çerez politikası; veri sorumlusu Doping Bilişim Teknolojileri A.Ş. | Evet, pazarlama için ayrı kutu ("Tanıtımlardan haberdar olmak istiyorum") ve çerezler için rıza aracı | **Evet**: "standart sözleşmelerin imzalanması ile yurtdışında bulunan tedarikçilere" (meşru menfaat / açık rıza ayrımıyla) | Politika var; sayfa metninde sayı yok | Yok | Ürün tanıtımında evet; aydınlatmada YZ satırı görülmedi | Evet: Veri Sorumlusuna Başvuru Formu (PDF), e-posta, KEP | +| **Hocalara Geldim** | Alan adı çözümlenmiyor | – | – | – | – | – | – | – | +| **puanhesaplama.com** | 403 (erişim engeli) | – | – | – | – | – | – | – | +| **hesaplama.net** (puan hesaplama) | Hesaplama sitesi | "Gizlilik İlkeleri" genel; KVKK unsurları yok | Yok | Yok | Yok | Yok | Hayır | Yok | +| **tercih-robotu.com** (yapay zekâ danışman, Gemini) | Bize en yakın rakip | **Evet, tam**: veri sorumlusu, amaçlar, hukuki sebepler (rıza/sözleşme/hukuki yükümlülük/meşru menfaat), aktarım, 9 madde hak | Evet: "tercih listesi oluşturma, AI danışmanlık" için açık rıza; hesap açılışında bilgilendirme+onay | **Evet**: Supabase, Vercel, Google Cloud, Expo (ABD); "Google Gemini — yalnızca anonim sohbet verileri" | **Evet, tablo**: kimlik verisi hesap silinene kadar + 1 yıl; log 2 yıl (5651); silme talebi 30 gün | "13 yaş altına yönelik değil; hedef 17-25, reşit kabul edilir" | **Evet** (Gemini adıyla) | kvkk@tercih-robotu.com, form, 30 gün | +| **unitercihrobotu.com** ("AI destekli") | Robot | Zayıf: veri sorumlusu adı yok, "doğrudan kişisel veri toplamıyoruz" savunması | Yok | Yok (Google Analytics, Clarity sayılıyor) | Yok | Yok | Tanıtımda evet, metinde yok | Yok | +| **derecekampusu.com** (tercih robotu) | Robot + satış | Evet, tam aydınlatma (Derece Kampüsü Eğitim ve Ticaret Ltd.) | Pazarlama ve iş ortağı aktarımı için | Yok | Yok | Yok | Hayır | Evet: e-posta, KEP, form | +| **kariyer.net tercih motoru** | Robot | "Aday üyelik aydınlatma metni" bağlantısı var; metin okunamadı (403) | – | – | – | – | – | – | +| **yerles.net** | Rehber/robot | Yalnız kullanım koşulları; KVKK yok | Yok | Yok | Yok | Yok | Hayır | Yok | +| **tercih.tv** ("Yapay Zeka Destekli") | Robot + sohbet | Hiçbir hukuki bağlantı yok | Yok | Yok | Yok | Yok | Tanıtımda evet | Yok | +| **universitetercihmerkezi.com** ("AI destekli") | Robot | Hukuki bağlantı bulunamadı | Yok | Yok | Yok | Yok | Tanıtımda evet | Yok | +| **Üsküdar Üniv. Tercih Asistanı** (uskudar.edu.tr) | Üniversitenin YZ sohbetli robotu, kayıt ister | Sayfada KVKK bağlantısı yok (üniversitenin genel KVKK sayfası ayrı) | Yok | Yok | Yok | Yok | **Evet** | Yok (sayfada) | +| **Beykoz Üniv. B'Tercih** (btercih.beykoz.edu.tr) | Üniversitenin robotu, YZ asistanı | **Evet**: "Aday Öğrenci/Veli/Vasi Aydınlatma Metni" (PDF) | **Evet**: "Aday Öğrenci/Veli/Vasi Açık Rıza Onay Formu" | **Evet**: Zoom, WhatsApp, Gmail, Office 365 vb. yurt dışı sunuculara aktarım için rıza | **Evet**: "3 yıl süre ile" | **Evet**, tek örnek: veli/vasi adına tasarlanmış metin | Sayfada evet | Üniversite başvuru yolu | + +**Kıyas özeti.** +- Piyasanın büyük kısmı (resmî YÖK Atlas robotu dâhil) tercih robotunu "kişisel veri işlemiyoruz" gibi görüp aydınlatma koymuyor. Bu, bizim için ölçüt değil; sıra + e-posta + sohbet mesajı işlediğimiz anda aydınlatma zorunlu. +- Bize en çok benzeyen rakip **tercih-robotu.com**: yurt dışı sağlayıcıları isimleriyle sayıyor, saklama sürelerini tabloyla yazıyor, ayrı KVKK e-postası veriyor. Ancak yurt dışı aktarımı "hesap açarken onaylarsınız" yani açık rızaya dayandırıyor — bu, A.2'de anlatıldığı gibi 1 Haziran 2024 sonrası sürekli aktarımlar için geçerli bir yol değil. Biz bunu kopyalamamalıyız. +- Yurt dışı aktarımı **standart sözleşmeyle** açıklayan tek kurumsal örnek Doping Hafıza (çerez politikasında). +- Veli/çocuk hükmü koyan tek örnek Beykoz Üniversitesi (rıza formu). Kimse yaş doğrulama yapmıyor. +- Yapay zekâ kullanan sitelerin çoğu bunu pazarlamada söylüyor, aydınlatmada söylemiyor; hangi modele hangi verinin gittiğini yalnız tercih-robotu.com yazıyor. + +--- + +## C. Bizim için yapılacaklar (sıralı) + +Etiketler: **[Zorunlu]** yasal yükümlülük; **[İyi olur]** Kurum'un tavsiyesi/iyi uygulama; **[Avukata sorulacak]** kesinleşmeden karar verilmemeli. + +### C.1 Önce altyapı kararı, sonra metin (yurt dışı aktarım) + +1. **[Zorunlu]** Sohbet mesajlarının nereye gittiğini kesinleştir ve metni buna göre yaz. Bugün metin "Anthropic (ABD)", kod OpenRouter → DeepSeek. Bu uyumsuzluk tek başına md. 10 ihlali; ilk düzeltilecek şey bu. +2. **[Zorunlu]** Sürekli sohbet aktarımı için "açık rıza" yolu kullanılamaz (arızi değil). Seçenekler, tercih sırasıyla: + - (a) Modeli **Türkiye'de** barındıran bir sağlayıcı → aktarım hiç doğmaz; standart sözleşme ve bildirim gerekmez. Yurt içi aktarım md. 8'e tabi (hizmet için gerekli, aydınlatmada yazılır). + - (b) Yurt dışı sağlayıcıyla Kurul'un **"veri sorumlusundan veri işleyene" standart sözleşmesi** (Türkçe metin, iki tarafın yetkili imzası, yetki belgeleri, apostil/noter tercüme) + imzadan sonra **5 iş günü içinde** standartsozlesme.kvkk.gov.tr'den bildirim. Bildirim yükümlüsünü sözleşmede "veri aktaran (KolayTercih)" olarak yaz ki karşı tarafa bel bağlanmasın. **[Avukata sorulacak]**: OpenRouter/DeepSeek ya da alternatif sağlayıcı bu metni imzalar mı; imzalamıyorsa hangi ABD/AB sağlayıcıları imzalıyor? + - (c) (b) mümkün olana kadar geçici risk azaltımı **[İyi olur]**: sağlayıcıda sıfır saklama ve "eğitimde kullanmayan sağlayıcı" ayarları; modele e-posta/ad göndermeme; sohbet kutusuna "ad, telefon, sağlık gibi kişisel bilgi yazma" notu. Bunlar aktarımı hukuka uygun kılmaz, zararı sınırlar. +3. **[Zorunlu]** Resend (İrlanda) için de aynı soru geçerli: e-posta adresi yurt dışına gidiyor. AB ülkesi için de yeterlilik kararı yok. Resend'in KVKK standart sözleşmesini imzalayıp imzalamadığı sorulacak; imzalamıyorsa Türkiye'de e-posta sağlayıcısı düşünülmeli. **[Avukata sorulacak]** + +### C.2 Aydınlatma metnini Tebliğ'e uydur + +4. **[Zorunlu]** Eksik asgari unsurları ekle: veri sorumlusunun **unvanı ve adresi**; her amaç için **hukuki sebep** (e-posta/sıra/sihirbaz/sohbet/profil: sözleşmenin kurulması ve ifası; sipariş: hukuki yükümlülük; analitik: meşru menfaat); aktarımın **hangi amaçla** yapıldığı; **md. 11 haklarının listesi**; başvuru yolu (Veri Sorumlusuna Başvuru Tebliği'ne uygun e-posta/KEP/yazılı, 30 gün). +5. **[Zorunlu]** Yeni işleme faaliyetlerini ayrı satır olarak yaz: "Danışman sohbetinden çıkardığımız kapalı listeli tercihler (azami mesafe, ücret üst sınırı, öğretim dili, öğretim türü, kampüs büyüklüğü) profilinde tutulur; yalnız senin listeni üretmek için kullanılır; hesabından görebilir, değiştirebilir, silebilirsin; reklam/pazarlama için kullanılmaz." Üretken YZ Rehberi'nin "kişiselleştirme ayrı faaliyettir" uyarısı bu satırla karşılanır. +6. **[Zorunlu]** Yapay zekâ satırını doğru yaz: hangi sağlayıcı, hangi ülke, mesajların modeli eğitmede kullanılıp kullanılmadığı, sağlayıcıda saklama süresi. Sohbet Robotları notu ve rehber, sistemi kullanmak için işleme ile model geliştirme için işlemeyi ayrı ayrı yazmayı istiyor. +7. **[İyi olur, güçlü tavsiye]** "Saklama ve silme" başlığına süreler yaz: örn. sohbet mesajları X ay, profil ve liste hesap silinene kadar, sipariş/fatura kayıtları vergi mevzuatı gereği 10 yıl, sunucu erişim kayıtları 5651 gereği 2 yıl, hesap silme talebi 30 gün. **[Avukata sorulacak]**: sayıların kendisi. +8. **[Zorunlu]** Giriş kartındaki "gizlilik metnini … kabul etmiş olursun" ifadesini "okudum" (bilgilendirme) biçimine çevir; kullanım koşulları için "kabul" kalabilir. Açık rıza istenecek bir şey varsa (bugün yok) ayrı başlık, ayrı kutu, aydınlatmadan ayrı (İlke Kararı 2026/347). +9. **[İyi olur]** YÖK Atlas program verisi ve YÖK İstatistik kadın/erkek oranı kişisel veri değil; aydınlatmaya yazılmaz. Sayfada kaynak + dönem etiketi yeterli ("YÖK İstatistik 2025-26, örgün ön lisans+lisans, üniversite geneli"). + +### C.3 Profil tasarımı (hukuki riski düşüren ürün kararları) + +10. **[İyi olur, güçlü tavsiye]** Sohbet bir tercih çıkarınca otomatik yazmak yerine öğrenciye "Bunu profiline kaydedeyim mi?" diye sor; onaylananı kaydet. Böylece işleme, öğrencinin talimatıyla hizmetin parçası olur; Kurul'un "özgür irade / zorlama" endişesi doğmaz. **[Avukata sorulacak]**: onay adımı yoksa açık rıza gerekir mi? +11. **[Zorunlu]** Profil kapalı/boşken de liste üretimi tam çalışsın (2023/890 dersi: temel hizmet rızaya/profile bağlanmaz). +12. **[Zorunlu]** Profil alanları kapalı liste kalsın; serbest metin alanı ekleme (özel nitelikli veri sızmasını yapısal olarak engeller). Sağlık/engel alanı ekleme (A.5). +13. **[İyi olur]** Profil, liste üretimi dışında (pazarlama, e-posta, segment) hiçbir yerde kullanılmasın; bunu kodda bir yorum/karar kaydıyla sabitle. Kullanılırsa açık rıza konusu olur. +14. **[İyi olur]** md. 11/ğ (otomatik sistemle analiz sonucu aleyhe sonuca itiraz) için: profilin listeyi nasıl etkilediğini öğrenci görsün ("bu program ücret üst sınırın nedeniyle elendi") ve tek tıkla profili kapatabilsin. +15. **[İyi olur]** Kısa bir **risk değerlendirmesi** yazısı (1-2 sayfa): hangi veri, nereye, ne kadar süre, hangi risk, hangi önlem. Sohbet Robotları notu "risk değerlendirmesi yapılmalı" diyor; rehber etki değerlendirmesini öneriyor. Kurul incelemesi olursa ilk istenecek belge bu. + +### C.4 VERBİS ve iç düzen + +16. **[Zorunlu]** Çalışan sayısı <50 **ve** bilanço <100 milyon TL ise VERBİS kaydı yok; iki eşikten biri aşılırsa 30 gün içinde kayıt. Yılda bir kontrol et. +17. **[Zorunlu]** VERBİS'e kayıtlı olmayan veri sorumlusu, işleme şartı ortadan kalkan veriyi **3 ay içinde** imha eder (hesap silme, sohbet süresi dolma). Bu süreyi kodda otomatik imhaya bağla. +18. **[İyi olur]** Tek sayfalık veri envanteri (veri kategorisi, amaç, hukuki sebep, alıcı, ülke, süre). VERBİS gerekmese de aydınlatma ve imha bu tablodan üretilir. + +### C.5 18 yaş altı kullanıcı + +19. **[İyi olur, güçlü tavsiye]** Aydınlatma metnini çocuğun anlayacağı sade dille tut (bugünkü "sen" dili doğru yönde); 4-5 maddelik "kısa özet" kutusu ekle (Kurum broşürü: "daha anlaşılır, sade ve açık bir dil"). +20. **[İyi olur]** Hesap açılışına tek soru: "18 yaşından küçük müsün?" (doğum tarihi isteme, veri artırır). Evet ise: (a) "Bu metni velinle birlikte oku" notu ve veliler için ayrı kısa sayfa, (b) ödeme sayfasında "Ödemeyi velin yapmalı" ibaresi. **[Avukata sorulacak]**: 17 yaşındaki adayla ücretli paket sözleşmesinin geçerliliği; veli e-postasına bilgilendirme göndermek gerekir mi (Kurum broşürü "gerekli durumlarda" diyor, hangi durum olduğunu tanımlamıyor). +21. **[Zorunlu]** Çocuk verisi pazarlamada kullanılmayacak (2022/776). Bugün pazarlama e-postası yok; olursa 18 altı için veliden rıza. +22. **[İyi olur]** Sohbet giriş kutusunda kalıcı kısa uyarı: "Ad, telefon, TC, sağlık bilgisi yazma; danışman bunlara ihtiyaç duymaz." Hem çocuk koruması hem yurt dışı aktarım riskini küçültür. + +### C.6 E-posta / İYS + +23. **[Zorunlu]** Giriş bağlantısı ve ödeme bilgilendirmesi işlem iletisidir; onay ve İYS gerekmez. Kural: bu e-postalara kampanya/paket tanıtımı cümlesi **eklenmez**; eklenirse ticari ileti olur (onay + İYS kaydı + 14.300 TL/ileti riski). +24. **[İyi olur]** Bülten/pazarlama e-postasına geçilirse: ayrı onay kutusu (aydınlatmadan ayrı), İYS kaydı, 18 altı için veli onayı. + +### C.7 Sıra önerisi (bir haftalık plan) + +1. Gün 1: sağlayıcı kararı (Türkiye'de model mi, standart sözleşme mi) — hukuki ve teknik tek soru. +2. Gün 1-2: aydınlatma metni yeniden yazılır (C.2), giriş kartı ifadesi düzeltilir, veli notu eklenir. +3. Gün 2-3: profil "kaydedeyim mi?" onayı + profil kapalıyken tam hizmet + görünür/silinebilir profil (zaten planlı). +4. Gün 3: imha süreleri koda bağlanır (sohbet X ay, hesap silme 30 gün, VERBİS-dışı 3 ay kuralı). +5. Gün 4: risk değerlendirmesi ve veri envanteri (tek belge). +6. Avukata tek seferde sorulacaklar: (i) sağlayıcı standart sözleşme imzalıyor mu, alternatif kim; (ii) onaysız otomatik profil kaydı için hukuki sebep; (iii) 17 yaş için ücretli paket sözleşmesi ve veli bilgilendirmesi; (iv) saklama süresi sayıları; (v) 5651 çocuk hükümlerinin kapsamı. + +--- + +## Kaynaklar (erişim tarihi 25 Eylül 2026) + +Resmî: +1. 6698 sayılı Kanun güncel metni (md. 6, 9, 10, 16, 18) — https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf +2. KVKK, Yurt Dışına Aktarım sayfası (yeterlilik kararı yok) — https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim +3. KVKK, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (Yayın No: 48, Ocak 2025) — https://www.kvkk.gov.tr/Icerik/8142/Kisisel-Verilerin-Yurt-Disina-Aktarilmasi-Rehberi +4. KVKK, Standart Sözleşme Bildirim Modülü duyurusu (25 Ekim 2024) — https://www.kvkk.gov.tr/Icerik/8043/Standart-Sozlesme-Bildirim-Modulu-Hakkinda-Kamuoyu-Duyurusu +5. KVKK, Standart sözleşmelerde dikkat edilecek hususlar (5 Şubat 2025) — https://www.kvkk.gov.tr/Icerik/8170/Yurt-Disina-Kisisel-Veri-Aktariminda-Kullanilacak-Standart-Sozlesmelerde-Dikkat-Edilmesi-Gereken-Hususlara-Iliskin-Kamuoyu-Duyurusu +6. KVKK, Standart Sözleşmeler sayfası — https://www.kvkk.gov.tr/Icerik/7929/Standart-Sozlesmeler +7. KVKK, Yapay Zekâ Tavsiyeleri (15 Eylül 2021) — https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/25a1162f-0e61-4a43-98d0-3e7d057ac31a.pdf +8. KVKK, Sohbet Robotları Bilgi Notu (8 Kasım 2024 / Yayın No: 82) — https://www.kvkk.gov.tr/Icerik/8047/Sohbet-Robotlari-ChatGPT-Ornegi-Hakkinda-Bilgi-Notu +9. KVKK, Üretken Yapay Zekâ Rehberi (24 Kasım 2025) — https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda +10. KVKK, Yapay zekâ araçları kullanan çocuklar için ebeveynlere tavsiyeler — https://www.kvkk.gov.tr/Icerik/8580/yapay-zeka-araclari-kullanan-cocuklar-icin-ebeveynlere-yonelik-tavsiyeler +11. KVKK, Çocukların Kişisel Verilerinin Korunması (broşürler, ürün geliştirenler) — https://www.kvkk.gov.tr/Icerik/6737/Cocuklarin-Kisisel-Verilerinin-Korunmasi-Bakimindan-Dikkat-Edilmesi-Gerekenler ve https://www.kvkk.gov.tr/Icerik/8030/Urun-ve-Hizmet-Gelistirenler-Tarafindan-Dikkat-Edilmesi-Gerekenler-Brosur- +12. KVKK Bülten Nisan-Temmuz 2024 (çocuk broşürü metni) — https://kvkk.gov.tr/SharedFolderServer/CMSFiles/35b708d7-449d-417d-87cb-d52f46dd570f.pdf +13. Kurul 2020/622 (ayırt etme gücü olan çocuk) — https://www.kvkk.gov.tr/Icerik/6816/2020-622 +14. Kurul 2022/776 (çocuğa broşür, veli rızası) — https://www.kvkk.gov.tr/Icerik/7572/2022-776 +15. Kurul 2023/890 (hizmetin rızaya bağlanması) — https://www.kvkk.gov.tr/Icerik/7760/2023-890 +16. Kurul 2019/78 (meşru menfaat ölçütleri) — https://www.kvkk.gov.tr/Icerik/5434/2019-78 +17. Kurul İlke Kararı 2026/347 (açık rıza ve aydınlatma ayrı) — https://www.kvkk.gov.tr/Icerik/8710/... +18. Aydınlatma Yükümlülüğü Tebliği — https://kvkk.gov.tr/Icerik/5443/AYDINLATMA-YUKUMLULUGUNUN-YERINE-GETIRILMESINDE-UYULACAK-USUL-VE-ESASLAR-HAKKINDA-TEBLIG ; Kurum rehberi — https://kvkk.gov.tr/SharedFolderServer/CMSFiles/a569a068-c079-4189-b134-f57bc727af7d.pdf +19. Silme, Yok Etme, Anonim Hâle Getirme Yönetmeliği — https://www.kvkk.gov.tr/Icerik/2038/kisisel-verilerin-silinmesi-yok-edilmesi-veya-anonim-hale-getirilmesi +20. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (md. 6) — https://www.lexpera.com.tr/mevzuat/yonetmelikler/ticari-iletisim-ve-ticari-elektronik-iletiler-hakkinda-yonetmelik + +İkincil (hukuk büroları, sağlayıcılar): +21. Mondaq / Esenyel, 2026 VERBİS istisnaları — https://www.mondaq.com/turkey/data-protection/1736820/ ; https://www.esenyelpartners.com/tr/verbis-kayit-ve-istisnalar/ +22. Güleryüz, VERBİS parasal sınır 100 milyon — https://www.guleryuz.av.tr/tr/news-publications/detail/verbis-kayit-yukumlulugunden-muafiyet-icin-ongorulen-parasal-sinir-artirildi +23. CottGroup, 2026 KVKK idari para cezaları — https://www.cottgroup.com/tr/mevzuat/item/yeniden-degerleme-oranina-gore-2026-yili-kvkk-idari-para-cezalari +24. CottGroup, sadakat ilke kararı 2026/266 — https://www.cottgroup.com/tr/blog/kvkk-gdpr/item/kvkkdan-sadakat-programlarina-iliskin-yeni-ilke-karar-veri-sorumlularina-6-aylik-uyum-suresi +25. Erdem&Erdem ve Esin, sadakat rehber taslağı (profilleme = açık rıza) — https://www.erdem-erdem.av.tr/bilgi-bankasi/sadakat-programlarinin-kisisel-verilerin-korunmasi-mevzuati-kapsaminda-incelenmesi +26. Eralp, çocuk verisi KVKK/GDPR — https://www.eralp.av.tr/kvkk-ve-gdpra-gore-cocuk-verilerinin-islenmesi/ +27. Özgür Eralp, 5651 çocuk hükümleri (15 yaş, 1 Kasım 2026) — https://www.ozgureralp.com/sosyal-medyada-15-yas-siniri-ve-yas-dogrulama-donemi-5651-sayili-kanunda-dijital-cocuk-haklari/ +28. Güneş Partners, İYS ve 2026 cezaları — https://www.gunespartners.com/makale/iys-nedir +29. iletiMerkezi İYS rehberi — https://www.iletimerkezi.com/docs/guides/iys-rehberi +30. OpenRouter gizlilik politikası ve sıfır saklama belgesi — https://openrouter.ai/privacy ; https://openrouter.ai/docs/guides/features/zdr +31. DeepSeek gizlilik politikası (10 Şubat 2026) — https://cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html + +Rakip metinleri (B tablosu): tercihrobotu.com.tr/gizlilik-bildirimi, yokatlas.yok.gov.tr/tercih-robotu.php ve uye_ol.php, unitercih.com, tercihasistani.com, hangibolumhangiuniversite.com, tercih.app, tercihkocu.com, unirehber.com→bogaziciedu.com, dopinghafiza.com (kvkk-aydinlatma-metni, cerez-politikasi), hocalarageldim.com, puanhesaplama.com, gizlilik-ilkeleri.hesaplama.net, tercih-robotu.com (/kvkk, /privacy), unitercihrobotu.com/gizlilik-politikasi, derecekampusu.com/sozlesme/kvkk, kariyer.net/tercih-motoru, yerles.net/terms, tercih.tv, universitetercihmerkezi.com, uskudar.edu.tr/tercih-asistani, btercih.beykoz.edu.tr (aydınlatma ve açık rıza PDF'leri). + +Doğrulama: 31 kaynak (20 resmî KVKK/mevzuat, 11 ikincil), 22 rakip adresi açıldı (15'inde metin okundu; 7'si kapalı, erişim engelli ya da başka siteye yönlendiriyor).