# Çerez ve analitik uyumu (5 Ekim 2026)

Soru: Rybbit ile ölçüm yapıyoruz, çerez izni istemiyoruz. Yasal mı, ne eksik?

**Sonuç:** Onay penceresi (kabul/ret) gerekmiyor. Ama aydınlatma eksikti ve Rybbit
panelinde üç ayar politikanın söylediğiyle uyuşmalı. Kod tarafı yapıldı; panel
tarafı Bilal'de (en altta).

> Bu bir avukat görüşü değildir. Kaynak metinler okunarak hazırlandı; yayından önce
> bir KVKK avukatına 30 dakikalık okuma yaptırmak makul.

## 1. Hukuki çerçeve

| Kaynak | Bize etkisi |
|---|---|
| **5809 sayılı Elektronik Haberleşme Kanunu md. 51/3** (cihaza bilgi yazma → açık rıza) | **Uygulanmaz.** Yalnız BTK yetkili "işletmeciler" için. Rehber bunu açıkça söylüyor (§3): site operatörleri kapsam dışı. Türkiye'de AB'deki ePrivacy md. 5/3'ün genel karşılığı yok. |
| **KVKK (6698) md. 4, 5, 10, 11, 12** | **Uygulanır.** Çerez ya da ölçümle kişisel veri işleniyorsa hukuki sebep (md. 5) ve aydınlatma (md. 10) gerekir. |
| **KVKK Çerez Uygulamaları Hakkında Rehber, Temmuz 2025 (Yayın No 69)** | Asıl referans. Bağlayıcı değil ama Kurul kararları bunu izliyor. |
| **Kurul kararı 2020/173** ve 2022'deki 300 bin TL'lik çerez cezası | İkisi de rızasız **reklam/üçüncü taraf analitik** çerezi + aydınlatma yokluğu. Bizim durumumuz değil. |
| **GDPR / ePrivacy** | Site Türkçe, Türkiye'deki YKS adaylarına yönelik; AB'ye hizmet sunma ya da AB'dekileri izleme yok → GDPR md. 3/2 kapsamında değiliz. AB'ye açılırsak `rybbit-user-id` yazımı ePrivacy'de rıza ister; o gün yeniden bakılır. |

### Rehberin bizi ilgilendiren üç hükmü

1. **§5.9 — Birinci taraf analitik çerezler "Kriter B" (rıza gerekmeyen) sayılır.**
   2022 sürümünde analitik rıza istiyordu; Temmuz 2025 güncellemesi bunu değiştirdi.
   Şartları: yalnız kitle ölçümü, veri ölçülü olmalı ve IP maskelenmeli, **yalnız
   anonim istatistik** üretilmeli, siteler arası takip olmamalı, süre makul olmalı,
   veri üçüncü tarafa gitmemeli.
2. **§1.2 — local storage, parmak izi, piksel için rehber yönlendirme yapmıyor.**
   Yani "çerezsiz" olmak bizi kapsam dışına çıkarmaz ama rıza da doğurmaz; genel
   KVKK md. 5 değerlendirmesi yapılır (aşağıdaki denge testi).
3. **§9 — Aydınlatma, hukuki sebepten bağımsız olarak siteye girişte yapılmalı**
   ("pop-up gibi bir bilgilendirme yoksa aydınlatma yükümlülüğüne aykırılık gündeme
   gelebilir") ve çerezin adı, amacı, süresi, birinci/üçüncü taraf oluşu yazılmalı.
   Gizlilik metninin içine gömülü tek paragraf yeterli sayılmıyor.

## 2. Sitede gerçekte ne var (koddan ve canlı betikten doğrulandı)

- **Çerezler (hepsi birinci taraf, zorunlu):** better-auth oturum çerezleri,
  `kolaytercih.profil`, `kolaytercih.liste-sayi`. Reklam/üçüncü taraf çerez yok.
- **Rybbit:** kendi sunucumuzda, sunucu Türkiye'de (178.211.130.206, Pentech/Bursa)
  → yurt dışı aktarım yok. Çerez yazmıyor. Ama canlı betik (`/api/script.js`)
  incelendiğinde:
  - Her ziyaretçide localStorage'a `rybbit-visitor-id` yazıyor (yalnız feature flag
    açıkken gönderilir; bizde kapalı → gönderilmiyor).
  - Girişte localStorage'a `rybbit-user-id` yazıyor ve her olaya ekliyor.
  - Anonim ziyaretçiyi IP + tarayıcı bilgisinin özetiyle tanıyor.
  - Panel ayarı (herkese açık `tracking-config` ucundan okundu): `trackCopy: true`,
    `trackFormInteractions: true`, `trackButtonClicks: true`, `trackUrlParams: true`,
    `trackErrors: true`, `webVitals: true`, `sessionReplay: false`.
- **Bulgu A — kopyalama izleme açık.** Kullanıcının kopyaladığı metnin ilk 500
  karakteri Rybbit'e gidiyor. Danışman cevabını ya da kendi mesajını kopyalayan
  öğrencinin metni analitiğe düşer. "Kitle ölçümü" sınırını aşar; **kapatılmalı.**
- **Bulgu B — gizlilik metni eskimişti.** "E-posta adresin ve adın analitiğe
  kaydedilir" diyordu; kod 21 Eylül'den beri (c055e82) yalnız kimlik numarası
  gönderiyor. Metin düzeltildi. Rybbit'te o tarihten önce yazılmış e-posta/ad
  kayıtları duruyorsa silinmeli.
- **Bulgu C — form izleme zararsız.** Yalnız alan adı/türü gidiyor, değer gitmiyor.
- Ham sıralama: sayfa adreslerinde artık `?sira=` taşınmıyor (yalnız `/api/…`
  çağrılarında; Rybbit bunları görmez), `/sonuc` maskeli. Eski satırlar panelde
  duruyor olabilir (BACKLOG #31).

## 3. Meşru menfaat denge testi (KVKK md. 5/2-f)

Rehber §4 bu testi yapmayı tavsiye ediyor; kayıt olarak burada dursun.

- **Menfaat:** sitenin hangi sayfalarının kullanıldığını, sihirbazın nerede
  bırakıldığını ve hataları görmek. Gerçek, güncel, hukuka uygun.
- **Zorunluluk:** bu bilgi ölçüm olmadan elde edilemiyor; daha az veriyle çalışan
  bir yol seçildi (çerez yok, IP saklanmıyor, sıralama bantlı, hassas adresler
  maskeli, ekran kaydı kapalı, veri kendi sunucumuzda).
- **Kişiye etkisi:** düşük. Siteler arası takip yok, reklam yok, profil
  çıkarılmıyor, üçüncü tarafa aktarım yok. Makul beklenti içinde.
- **Güvenceler:** ayrı çerez politikası, ilk ziyarette bilgilendirme, tek tıkla
  kapatma (itiraz hakkı), e-posta/ad analitikte yok.
- **Zayıf nokta:** girişli kullanıcının ziyareti hesap kimliğiyle eşleşiyor. Bu
  "anonim istatistik" değil, takma adlı veri; §5.9'un en dar okumasının dışında.
  Savunması: yalnız hesabı olan kullanıcıda, yalnız kendi sitemizde, açıkça
  bildirilmiş, kapatılabilir. **Kalan risk: düşük-orta.** Sıfıra indirmek istersek
  `RybbitIdentify` kaldırılır; bedeli "sihirbaz → giriş → ödeme" hunisinin kişi
  bazında birleşmemesi.
- **18 yaş altı:** kitlenin bir kısmı 17 yaşında. Ölçüm pazarlama için
  kullanılmadığından ek rıza doğmuyor; metin sade dille yazıldı (Rehber §9).

## 4. Yapılanlar (kod)

- `src/app/cerez-politikasi/page.tsx` — çerez politikası + çerez aydınlatma metni
  (ad, amaç, süre, taraf; ölçümün ne topladığı; hukuki dayanak; yönetim).
- `src/components/olcum-tercihi.tsx` — "Ölçümü kapat" düğmesi (Rybbit'in kendi
  `disable-rybbit` kapısı; kimlik kayıtlarını da siler).
- `src/components/cerez-bilgi.tsx` + `layout.tsx` — ilk ziyarette bir kez görünen
  bilgi bandı. Kabul/ret yok, çünkü sorulan rıza yok.
- `src/app/gizlilik/page.tsx` — "Çerezler ve analitik" bölümü gerçeğe göre düzeltildi.
- Alt bilgiye ve `sitemap.ts`'e sayfa eklendi.

## 5. Bilal'in yapacakları

**Yayından önce (politika bunları doğru varsayıyor):**

1. Rybbit paneli → site ayarları → **kopyalama izlemeyi (Copy) kapat.** Doğrulama:
   `curl -s https://rybbit.kolaytercih.com/api/site/tracking-config/f2cb042c657e`
   çıktısında `"trackCopy":false` görünmeli.
2. Aynı ekranda **IP adresi saklama (Track IP Address) kapalı** mı bak (varsayılan
   kapalı). Açıksa kapat.
3. **Oturum kaydı (Session Replay) kapalı kalsın.** Açılacaksa önce politika ve
   denge testi güncellenir.

**Yakın zamanda:**

4. Rybbit kullanıcılar ekranında 21 Eylül öncesinden kalan **e-posta/ad** kayıtları
   varsa sil.
5. "User ID Salting" ayarı: açılırsa anonim ziyaretçi kimliği her gün sıfırlanır
   (en temiz hâl), bedeli girişsiz ziyaretçide "geri dönen" ölçümünün kaybı. Karar
   senin; politika iki hâlde de doğru.
6. Ölçüm verisi için saklama süresi belirle (öneri: 24 ay) ve belirleyince
   politikaya yaz.
7. Gizlilik sayfasındaki `[şirket unvanı ve adresi eklenecek]` hâlâ boş; çerez
   politikası veri sorumlusu için o sayfaya atıf yapıyor.
8. Bilgi bandını telefonda bir kez gözle kontrol et (alt kenarda, `KaydetBanner`
   ile aynı yerde, onun üstünde açılır).

## 6. Ne zaman onay penceresi gerekir

Şunlardan biri eklendiği gün: Google Analytics / Meta Pixel / TikTok Pixel, reklam
ya da yeniden hedefleme, gömülü YouTube/sosyal eklenti, Rybbit oturum kaydı, Rybbit
bulut sürümüne geçiş (üçüncü taraf + yurt dışı). O gün "Kabul et" ile "Reddet"
eşit görünürlükte olmalı ve rıza verilmeden betik yüklenmemeli.

## Kaynaklar

- KVKK, Çerez Uygulamaları Hakkında Rehber (Temmuz 2025): https://www.kvkk.gov.tr/Icerik/7353/Cerez-Uygulamalari-Hakkinda-Rehber
- Erdem & Erdem, rehber güncellemesi notu (28.07.2025): https://www.erdem-erdem.av.tr/bilgi-bankasi/kisisel-verileri-koruma-kurumu-cerez-uygulamalari-hakkinda-rehberi-guncelledi
- Rybbit site ayarları: https://rybbit.com/docs/site-settings