Yazılım Geliştirme Süreçlerinde KVKK ve GDPR: AdSense Uyumlu Gizlilik Sözleşmesi Kriterleri
Yeni bir web aracı, mobil uygulama veya SaaS projesi geliştirirken teknik optimizasyon ve temiz kod yazmak kadar, projenin yasal altyapısını kurmak da önemlidir. Özellikle projelerinden Google AdSense modeliyle gelir elde etmek isteyen bağımsız geliştiriciler, yasal regülasyonlar ile Google yayıncı politikalarının kesiştiği noktaları doğru kurgulamak zorundadır.
Tek bir geliştiricinin sıfırdan küresel ölçekte projeler büyütebileceğini gösteren Yasal Mikro-SaaS Vaka Analizleri incelendiğinde, teknik sürdürülebilirliğin yasal uyumlulukla desteklenmesi gerektiği açıkça görülmektedir. Türkiye’deki KVKK ve Avrupa Birliği’ndeki GDPR uyumluluğunu sağlarken, aynı zamanda AdSense onayından sorunsuz geçebilecek bir gizlilik sözleşmesinin (aydınlatma metni) nasıl hazırlanması gerektiğini teknik ve hukuki kriterleriyle inceliyoruz.
1. Google AdSense Botlarının Gizlilik Sözleşmesinde Aradığı Maddeler
Google AdSense onay mekanizması, sitenizdeki gizlilik politikası sayfasını tararken belirli yasal beyanların ve teknik yönlendirmelerin varlığını kontrol eder. Sözleşmenizde şu maddelerin net bir şekilde yer alması zorunludur:
- Üçüncü Taraf Satıcı Beyanı: Metinde, Google dahil olmak üzere üçüncü taraf satıcıların, kullanıcıların sitenize veya internetteki diğer web sitelerine yaptığı ziyaretlere dayanarak reklam sunmak amacıyla çerez (cookie) kullandığı açıkça belirtilmelidir.
- Kişiselleştirilmiş Reklam Çerezleri: Google’ın ve iş ortaklarının, topladıkları çerez verileriyle kullanıcılara ilgi alanlarına göre optimize edilmiş reklamlar gösterdiği şeffaf bir dille anlatılmalıdır.
- Kullanıcı Opt-Out (Devre Dışı Bırakma) Hakkı: Ziyaretçilerin kişiselleştirilmiş reklamları nasıl kapatacakları adım adım açıklanmalıdır. Metin içerisinde, kullanıcıları doğrudan Google Reklam Ayarları sayfasına götüren aktif bir bağlantı (link) yer almalıdır.
2. KVKK ve GDPR Düzenlemelerini Tek Metinde Birleştirme Kriterleri
Geliştirdiğiniz dijital araç internete açıldığı an küresel ölçekte veri işlemeye başlar. Yazılımcıların kendi iş modellerini şekillendirirken kullandığı SaaS Sihirbazı gibi algoritmik araçlar da dahil olmak üzere, kullanıcı tabanı genişleyen her yapının hukuki sınırları net çizilmelidir. Sitenize Türkiye’den giren kullanıcı KVKK korumasındayken, Avrupa’dan giren kullanıcı GDPR kurallarına tabidir. Sözleşme mimarisinde bu iki yapıyı entegre ederken şu kriterlere dikkat edilmelidir:
Veri Sorumlusu Bilgileri
Sözleşmenin en başında verileri işleyen yapının kim olduğu net olarak beyan edilmelidir. Şahsınızın veya şirketinizin resmi adı, iletişim adresi ve kullanıcıların haklarını arayabilecekleri, doğrudan bu işe ayrılmış bir e-posta adresi (Örneğin:
gizlilik@siteniz.com) metinde yer almalıdır.Veri İşleme Amaçları ve Hukuki Sebepler
Kullanıcılardan toplanan IP adresi, tarayıcı türü, işletim sistemi ve cihaz kimliği gibi verilerin hangi amaçla işlendiği listelenmelidir. GDPR ve KVKK kapsamında, bu verilerin sistem güvenliği, sitenin stabil çalışması ve AdSense reklam optimizasyonu için “Açık Rıza” veya “Sözleşmenin İfası” gibi hangi yasal dayanağa (legal basis) göre işlendiği maddeler halinde yazılmalıdır.
Yurt Dışına Veri Aktarımı Açıklaması (KVKK Madde 9)
Sitenizde Google AdSense veya Google Analytics gibi harici scriptler kullandığınızda, çerezler üzerinden toplanan tarayıcı verileri otomatik olarak Google’ın yurt dışındaki sunucularına aktarılır. KVKK Madde 9 uyarınca bu durumun kullanıcıya açıkça bildirilmesi şarttır. Sözleşmeye eklenecek şu net ifade yasal uyumluluğu sağlar:
“Sitemizde yer alan Google AdSense reklam optimizasyon araçlarının çalışabilmesi için çerezler vasıtasıyla toplanan anonim teknik verileriniz, üçüncü taraf altyapı sağlayıcısının yurt dışındaki güvenli sunucularına aktarılmaktadır.”
3. Sözleşmeyi Destekleyen Teknik Altyapı Gereksinimleri
Hukuken eksiksiz bir gizlilik sözleşmesi yazmak, arkasında doğru bir teknik mimari yoksa tek başına AdSense onayını sağlamaz. Özellikle mobil ve web platformlarında veri yönetimi kuralları sıkılaşmaktadır. Bu durum geliştiriciler tarafında ek yükümlülükler getirse de Google Play Veri Güvenliği ve Apple Privacy Manifest Rehberi üzerinde aktardığımız gibi, doğru entegrasyon adımları mağaza onay süreçlerini doğrudan kolaylaştırır. Sitenin ön yüzünde ve kod yapısında şu iki sistem entegre edilmelidir:
Google Onaylı CMP Entegrasyonu
Google, Avrupa Ekonomik Alanı (EEA) ve Birleşik Krallık sınırlarındaki kullanıcılara reklam gösterilebilmesi için IAB TCF v2.2 standartlarına uyumlu ve Google tarafından resmi onay verilmiş bir CMP (Consent Management Platform – Rıza Yönetim Platformu) kullanılmasını zorunlu kılar. Sadece “Çerezleri kabul ediyor musunuz?” yazan basit pop-up pencereleri AdSense politikalarını ihlal eder. Kullanıcıya, reklam ve analitik çerezlerini ayrı ayrı kapatıp açabileceği dinamik bir izin paneli sunulmalıdır.
Google Consent Mode v2 Kod Mimarisi
Sitenizdeki reklam kodları, kullanıcının CMP panelinde verdiği rızaya göre şekillenmelidir. Kod mimarinizde AdSense etiketleri tetiklenmeden önce
ad_storage ve ad_user_data gibi izinlerin durumu kontrol edilmelidir. Kullanıcı izin vermediyse, scriptlerin veri toplaması engellenmeli ve reklamlar kişiselleştirilmemiş modda çalışmalıdır. Altyapıyı eklenti çöplüğüne çevirmeden, saf kod (pure code) ile bu rıza kontrolünü yapmak sunucu yükünü azaltırken yasal geçerliliği tam sağlar.4. Dijital Araçlar İçin Standart Sözleşme Şablonu
Arama motoru botlarının sayfayı kolayca tarayabilmesi ve kullanıcıların aradıkları maddelere doğrudan ulaşabilmesi için gizlilik sözleşmesi şu H2 ve H3 başlık yapısıyla kurgulanmalıdır:
- Veri Sorumlusunun Kimliği ve İletişim Bilgileri
- İşlenen Kişisel Veriler ve Toplanma Yöntemleri (Otomatik log kayıtları, çerezler vb.)
- Veri İşlemenin Hukuki Sebepleri ve Amaçları
- Üçüncü Taraflara ve Yurt Dışına Veri Aktarımı
- Google AdSense Reklam Ağı ve Çerez Politikası (Opt-out linkleri dahil)
- Veri Sahiplerinin Yasal Hakları (KVKK Md. 11 ve GDPR Unutulma Hakkı)
- Yürürlük ve Güncelleme Tarihi
Geliştiriciler İçin Temiz Veri Yönetimi
Projelerinize dahil ettiğiniz her harici script veya üçüncü parti kütüphane, arka planda kontrolünüz dışında veri toplayabilir. Entegre edilen harici kütüphane sayısını minimumda tutmak ve kodlamada saf entegrasyon yöntemlerini seçmek, sitenizdeki veri trafiğini kontrol etmenizi kolaylaştırır. Bu sayede gizlilik sözleşmenizde beyan ettiğiniz maddeler ile uygulamanızın arka planındaki kod davranışları birbiriyle %100 örtüşür.
Projenizin arka planda hangi harici servislerle veri paylaştığından emin değilseniz, platformumuzda yer alan Canlı SDK ve Gizlilik Uyum Radarı aracını kullanarak uygulamanızın teknik veri sızıntısı analizini yapabilir ve gizlilik sözleşmenizi bu verilere göre hatasız şekilde kalibre edebilirsiniz.
