Bir Online İşletmenin Gizlilik Politikasına Göre Gizlilik Uygulamalarını Nasıl Anlarsınız

GDPR Uyumlu Gizlilik Politikasının Ögeleri

Her gizlilik politikası, GDPR ile uyumluluğu sağlamak için aşağıdaki ögeleri içermelidir.

1. Veri sorumlusunun kimliği

Kullanıcılara kim olduğunuzu söylemelisiniz—fazla detaya girmenize ya da çok fazla yazmanıza gerek yok. İşletme adınızı, adresinizi ve kurulduğunuz eyalet ya da ülkeyi belirtmek yeterli olacaktır.

Bir işletmeyi veya basit bir blogu birey olarak işletiyorsanız, isminiz, konumunuz veya e-posta adresiniz yeterli olacaktır.

2. Topladığınız ve/veya işlediğiniz kişisel veri kategorileri

Kişisel veri kategorileri, bir kişinin adı, takma adı, ev adresi, e-posta adresi, posta kodu, telefon numarası, kimlik numarası, pasaport numarası, Sosyal Güvenlik Numarası vb. olabilir.

GDPR altındaki kişisel veri ayrıca sağlık verilerini, özel yaşam hakkında bilgileri, IP adresini, politik görüşleri, dini görüşleri veya bir bireye doğrudan ya da dolaylı olarak bağlanabilecek diğer bilgileri de içerir. Bu nedenle, tek başına ya da diğer verilerle kombinasyon halinde bir kişiyi tanımlayabiliyorsa her şey kişisel veri kategorisi olabilir.

3. Kişisel veriyi nasıl topladığınız ve/veya işlediğiniz

Burada veri işleme yöntemlerini açıklamalısınız. Çoğu durumda:

• Kullanıcılar size verilerini verir, örneğin mal teslimi için size isim ve ev adreslerini verdiklerinde, veya
• Cerezler ve diğer online izleyicileri kullanarak veriyi toplarsınız, örneğin Facebook Pixel, Quora Pixel, Google Pazarlama araçları gibi.

4. Veri işlemenin amaçları

GDPR altındaki şeffaflık, kullanıcılara verilerini neden işlediğinizi açıklamanız gerektiği anlamına gelir. İşleme amaçları şunları içerebilir:

• Analitik amaçlar, örneğin Google Analytics ile web sitesi ziyaretleri hakkında istatistik toplama veya Hotjar ile web sitesi kullanımı,
• Pazarlama amaçları, örneğin onlara pazarlama materyali göndermek için e-postalarını topladığınızda veya onlara bu davranışa uygun reklamlar göstermek için online davranışlarını takip ettiğinizde,
• Tercihler, örneğin belirli bir web sitesi ziyaretçisinin dil tercihlerini hatırlamak için veriyi işleme,
• Müşteri desteği, bir kullanıcının e-posta adresini veya telefon numarasını toplayıp onunla bir müşteri sorununu çözmek için geri dönüş yapmak,

5. Kişisel veriyi kimlerle paylaşıyorsunuz

Muhtemelen Google Analytics, Facebook Pixel, Hotjar, Mailchimp gibi üçüncü taraf araçlarını veri toplamak ve işlemek için kullanıyorsunuzdur. Kullanıcılarınızın verilerini bu araçlarla işlemek için onlara kişisel veri sağlamanız gerekmektedir.

Kullanıcılarınız, verilerini kimlerle paylaştığınızı bilmek hakkına sahiptir ve bunu gizlilik politikanızda belirtmelisiniz.

6. Veri konusu hakları

GDPR, kullanıcıları veri konusu olarak adlandırır. Bir kullanıcının kişisel verilerini topladığınızda, o kişi sizin veri konunuz olur.

Veri kontrolörleri, yani veri toplayan ve bu veriyi kendi adına işlenmesini sağlayan işletmeler, veri konularına belirli haklar borçludur. Bu haklar, işlenmeye ilişkin bilgilendirilme hakkı, verinin silinmesi hakkı, işleme itiraz hakkı vb. hakları içerir.

Gizlilik politikanızda kullanıcılarınızın sahip olduğu hakları listelemelisiniz.

Aynı anda birden fazla veri koruma yasasına uymanız gerekiyorsa, her bir yasanın veri konularına verdiği tüm hakları listelemeniz gerekir.

Örneğin, CCPA uyumu, kişisel bilgilerin satışı hakkında bilgi sağlama gerektirir. Bu, sadece CCPA’ya özgüdür ve GDPR, LGPD, PIPEDA veya diğer yasalar tarafından gerekli değildir.

Bu nedenle, CCPA’ya ve tüm diğer unsurlara uymanız gerekiyorsa, bu yasaya özgü olanları eklemeniz gerekir.

7. Kullanıcılar veri konusu haklarını nasıl kullanabilirler

İşletmeler, veri konularına veri konusu haklarını kullanma olanağını sağlamalıdır ve bu, gizlilik politikasında belirtilmelidir.

Çoğu durumda, bir e-posta adresi sağlamak yeterli olacaktır. Bazı işletmeler ayrıca bu hakları kullanma olanağı olarak bir iletişim formu, telefon numarası veya başka araçlar da sunabilir.

8. Üçüncü ülkelere veri transferleri

Üçüncü ülkelere veri transferleri, GDPR’ye uyum sağlaması gereken işletmeler için muhtemelen en karmaşık konudur. Birlik içinde ve yeterli ülkelere yapılan transferler serbesttir, ancak diğer tüm transferler ek transfer araçları ve muhtemelen koruma önlemleri gerektirir.

Veriyi nerede ve nasıl işlediğinizden bağımsız olarak, kullanıcılarının, verinin üçüncü ülkelere transfer edilip edilmediğini ve eğer ediliyorsa nereye gönderildiğini bilmek hakkına sahiptir.

9. Çocukların kişisel verisi

Bilerek çocukların verisini topluyor ve işliyorsanız, bu belgede yer almalıdır.

10. İletişim bilgisi

Eğer bir Veri Koruma Sorumlunuz varsa ya da AB’de bir hukuki temsilciniz varsa, onların adı ve iletişim bilgileri bu bölüme girilmelidir. Aksi halde, sizinle iletişim kurma aracı olarak yeterli olabilecek her türlü bilgi bu bölümde yer almalıdır.

GDPR’ye uymamanın sonuçları hakkında bir fikir edinmek için tüm GDPR cezalarını listelemiş olduğumuz rehberimize göz atın.

Gizlilik Politikasını Nasıl Okumalı?

Bir şirketin gizlilik politikasına dayanarak onun gizlilik uygulamaları hakkında tam bir tablo çıkarmak istiyorsanız, öncelikle bunu nasıl okuyacağınızı öğrenmelisiniz.

Muhtemelen daha önce gizlilik politikalarını okumadan kabul ediyorsunuz ve hep çerezleri kabul ediyorsunuzdur.

Eğer şimdi bu konuda bir şeyler öğrenmek isterseniz, bir gizlilik politikasını nasıl okuyup anlayacağınızı ve GDPR’in bu politikalarla ne demek istediğini açıklamaya başlıyoruz.

Nelerden bahsettiğimizi anlamanız için Shopify gizlilik politikasının ana unsurlarını sizinle birlikte okuyacağız. Shopify, GDPR’ye uyum sağlayan Kanadalı bir şirkettir. Ayrıca, Kanada’nın PIPEDA (federal veri koruma yasası) adlı yasası da GDPR’ye benzerlik göstermektedir.

Gizlilik Politikaları Tüm Temel Unsurları İçeriyor mu?

GDPR uyumunu ve diğer tüm veri koruma yasalarını ciddiye alan şirketler kapsamlı gizlilik politikalarına sahiptir.

Bazıları fazla kişisel veri toplamaz, bu yüzden kısa ve basit bir gizlilik politikaları vardır. Bu, uyumlu olmadıkları anlamına gelmez. Kişisel veriyle ilgilenmezler ve bu konuda sizinle çok fazla iletişim kurmaları gerekmez.

Ancak bu tür siteler nadirdir. Çoğu çevrimiçi işletme, topladığının farkında olmadığı veriler de dahil olmak üzere çok miktarda veri toplar.

Bir web sitesinde birçok sosyal medya widget’ı fark ederseniz, bu genellikle veri toplama işareti olabilir.

Ziyaret ettiğiniz web sitesinin kişisel bilgileriniz hakkında ne yaptığından emin değilseniz, WebCookies.org adresinde ücretsiz taratın ve ihtiyacınız olan cevapları alın.

Tarama raporu, verilerinizi kimlerle paylaştıklarını da size söyleyecektir. Bir çevrimiçi işletme her şeyi tek başına yapamaz, bu yüzden birçok süreci, yani bazı işlemleri kendi adlarına yöneten SAAS şirketlerine devreder.

Birçok durumda, dış kaynak kullanımı, kullanıcı verilerinin paylaşılmasını içerir. Örneğin, IP adresini Google Analytics ile, e-posta adreslerini Mailchimp ile paylaşmak gibi.

Shopify’ın gizlilik politikasından bahsederek, tüm temel unsurlara sahip harika tasarlanmış bir gizlilik politikaları olduğunu belirtelim.

Bu görselde, gizlilik politikalarının hangi bölümlere sahip olduğunu görebilirsiniz. Bölüm sayısı, bu makalede açıklandığından daha azdır, ancak gerekli diğer bilgiler diğer politika bölümlerine dağıtılmıştır.

Kolayca anlaşılır, net bir dille yazılmıştır ve şirketin kullanıcılarla şeffaf olmak istediğini gösterir.

Ayrıca, web sitesini ya da hizmetleri herhangi bir şekilde kullanan her kullanıcı grubu için ayrı bir gizlilik politikaları bulunmaktadır.

Veri İşleme Amaçlarına Göz Atın

Veri işleme amaçları bölümü, kişisel veri işleme arkasındaki nedenleri açığa çıkarır. İşletmeler, veri toplama ve işleme isteklerinin sebeplerini kullanıcılara açıklamak zorundadır.

Veri işlemenin en yaygın amaçları arasında şunlar bulunmaktadır ancak bunlarla sınırlı değildir:

Size ürün veya hizmet sunmak. Bir şey satıyorlar ve ürünü veya hizmeti teslim etmek için sizden bazı verilere ihtiyaç duyuyorlar; örneğin kişisel ad, e-posta adresi, ev adresi, posta kodu veya diğer gereken bilgiler. Bir sözleşmenin icrası, GDPR altında veri işleme için yasal bir temeldir ve ek izin gerektirmez.

Pazarlama/Reklam Amaçları. Bir işletme pazarlama amaçları için kişisel veri toplar ve işlerse, verileri üçüncü taraf hizmetlerle paylaştıkları bilgilere dayanarak müşterilere yönelik hedeflemeler yapar.

Bu tür hizmetlere sosyal ağlar örnek olarak verilebilir. Hepsi reklamverenlere izleme pikselleri sağlar. Bu pikseller, çevrimiçi olarak ziyaret ettiğiniz web sayfalarını izler, bu aktiviteyi sosyal medya profiliniz aracılığıyla onlarla paylaştığınız verilerle eşleştirir ve profilinizi işletmeye potansiyel bir alıcı olarak sunar.

Pazarlama amaçları için veri işlemede, bilginin ürün ve hizmetlerin pazarlanması için kullanıldığı yerlerde, size daha fazla veri noktasıyla eşleştirebilecek çerezler veya pikseller kullanılır.

Analiz Amaçları. İnternet üzerindeki neredeyse her web sitesi, Google Analytics, Plausible, Mixpanel gibi bazı analiz araçlarını kullanır. Bunlardan bazıları kişisel veri toplar, bazıları toplamaz.

Hangi analiz aracıyla veri paylaştıklarını, kullandıkları üçüncü taraf araçları açıkladıkları bölümde kontrol edin.

Tercihler. İşletmeler, web sitesini tercihlerinize göre ayarlamak ve kullanıcı deneyiminizi iyileştirmek için kişisel bilgilerinizi toplayabilir. Bu, erişilebilirlik ayarları, dil ve benzeri şeyleri içerebilir.

Bunlar genellikle kullanıcının hayatını kolaylaştıran yararlı çerezlerdir, ancak yine de kişisel veri toplarlar, bu nedenle kullanılmadan önce izin alınması gerekir.

Bunlar en yaygın işleme amaçlarıdır, ancak tek olanlar bunlar değildir. Farklı iş faaliyetleri ek işleme amaçlarına yol açabilir, bu yüzden burada bunları eklemek mümkün değildir. Ancak çoğu bu kategorilere dahildir.
Örneğin Shopify, amaçlarını tanımlamak için daha tanımlayıcı bir dil kullanır.

Analiz yerine “raporlama ve analiz sağlama” ve “özellikler ve ek hizmetleri deneme” diyorlar.

Bir sözleşmenin icrası yerine “soruları yanıtlama veya diğer türde destek sağlama” (bu, bir anlaşmanın icrasının bir parçasıdır) diyorlar.

Pazarlama amaçları “pazarlama, reklam ve diğer iletişimlerde yardımcı olma”yı içerir.

Bunu okuduktan sonra, web sitelerinin kullanımını izlediklerini anlayabilirsiniz çünkü birçok büyük şirket gibi kullanıcı deneyimini ciddiye alıyorlar ve web sitesinden belirli bir kullanıcının ne istediğini bulmak için kişisel veriyi kullanmaktan çekinmiyorlar.

Ayrıca, ilginizi çekebilecek özelleştirilmiş mesajlarla size reklamlar sunmak için izleme araçlarını kullandıklarını anlayabilirsiniz.

Son olarak, meşru bir ilgiye hizmet eden bir amaçları var (sahtekarlık önleme) ve işletmelerine özgü bazı amaçlar (uygulama mağazasında tüccarların uygulamaları bulmasına ve kullanmasına yardımcı olma).

Toplanan Veri Kategorilerine Göz Atın

Bir sonraki kontrol etmeniz gereken şey, bu işleme amaçlarını yerine getirmek için işletmenin neye ihtiyaç duyduğudur.

Her bir amacın yerine getirilmesi, belirli bir kişisel veri kategorisinin işlenmesini gerektirir. Şimdi veri işleme türlerinin amaçlarla nasıl ilişkilendiğini görmelisiniz.

Eğer bir işletme size bir bülten göndermek için e-posta adresinizi toplarsa, bu tür bir veri kategorisi amaca bağlıdır. E-posta adresiniz olmadan, işletme size bülteni gönderemez.

Eğer bir uygulama size fotoğraf düzenleme hizmetleri sunmak için akıllı telefonunuzdaki fotoğraflara erişim istiyorsa, bu işleme için uygundur. Ancak, filtreli fotoğraflar eklemek için bir uygulama sunmak üzere coğrafi konum verinizi talep ederlerse, bu bariz bir kırmızı bayraktır. Bu uygulamanın herhangi bir anda nerede olduğunuzu bilmesi gerekmez. Veriyi başka bir şey için kullanabilirler veya paraya satabilirler.

Shopify, veri kategorileriyle ilgili şeffaflık gereksinimini nasıl çözüyor bir bakalım:

Bu tablo, hangi kişisel veri kategorilerini topladıklarını ve bu verileri nasıl kullandıklarını açıklıyor.

Bazı işletmeler Shopify kadar şeffaf değil, ama bu onların uyumlu olmadığı anlamına gelmez. Gizlilik uygulamalarından şüphe ediyorsanız, veri öznesi talebinde bulunabilir ve sorularınıza yanıt alabilirsiniz.

Kişisel Verileri Nereye Aktarıyorlar?

GDPR, kişisel verilerin, veri korumasının AB koruma düzeylerinin altında olduğu ülkelere, yasal bir temel olmadan veya ek veri güvenliği önlemleri almadan ihraç edilmesini yasaklar.

Gizlilik politikası, yasal temeli ve ek önlemleri belirtebilir, ancak bu zorunlu değildir. Şirketin veri transfer uygulamalarını ve hangi gizlilik politikasını okuduğunuzu anlamayabilirsiniz.

Ancak, bilgileri kime açıkladıklarını belirten üçüncü taraflara bakarak verinin Avrupa Birliği dışına aktarılıp aktarılmadığını anlayabilirsiniz.

Bu görsel, veri işleme için kullandıkları üçüncü taraflardan bazılarını gösteriyor. Bunların birçoğu (ve görseldeki tümü) ABD merkezlidir, bu da onları ABD yasalarına tabi kılar ve verinin ABD’ye aktarıldığı anlamına gelir. Bu, GDPR açısından böyle bir transferin ek koruyucu önlemler gerektirdiği için işleri karmaşıklaştırır.

ABD hükümetinin terörizm veya kara para aklama eylemlerine karıştığınızı düşünerek kişisel verileriniz üzerinde müdahale etme olasılığı düşük olsa da, verilerinizin ABD’ye aktarılması konusunda rahat değilseniz, bu konuyu ilgilendiğiniz şirketin gizlilik politikası ile gündeme getirebilirsiniz.

Veri İşleme İçin Yasal Temel

Bir şirketin gizlilik uygulamalarını anlamak için, veri işleme için yasal temellerini de anlamanız gerekmektedir. Ancak bu, gizlilik politikasından görünür değildir. Bazı işletmeler gizlilik politikasında yasal temeli belirtebilir, ancak bu zorunlu değildir ve çok azı bunu yapar.

GDPR, işletmelere sadece yasal bir temel varsa veri işlemeye izin verir. GDPR’nin 6. maddesinde listelenen yasal temeller şunlardır:

• Açık kullanıcı onayı
• Bir sözleşmenin icrası
• Meşru çıkarlar
• Hayati kullanıcı çıkarı
• Kamu yararı
• Yasalarla uyumluluk, soruşturmalar vb.

En yaygın iki yasal temel, açık onay ve bir sözleşmenin icrasıdır.

İşletmeler genellikle kullanıcının çerezlere onay vermesini veya reddetmesini sağlayan bir çerez banner’ı kullanarak onay alır.

Bir sözleşmenin icrası, işletmenin sizinle bir sözleşme yapmak için verinize ihtiyaç duyduğunda veri işleme için yasal bir temeldir, örneğin bir SAAS sağlama, fiziksel bir ürün teslim etme vb. Çoğu zaman, Şartlar ve Koşullar (aynı zamanda Kullanım Şartları veya Hizmet Şartları olarak da adlandırılır) icra edilen sözleşmelerdir.

Çizgileri Nasıl Çizmelisiniz

Bir şirketin gizlilik politikası aracılığıyla gizlilik uygulamalarını anlamak için işleme amaçları, işlenen veri kategorileri ve ilgili üçüncü taraflar arasında bir çizgi çizmelisiniz. Bunun üzerine, işletmenin veriyi işlemek için yasal bir temele ihtiyacı var.

Şunlardan emin olmalısınız:

• İşlenen veri kategorileri, işleme amaçlarıyla uyumlu olmalıdır
• Üçüncü tarafların işi, böyle bir amaç için veri işlemeyi içermelidir
• İşletmenin, açık onayınız, bir sözleşmenin icrası, meşru bir çıkar veya diğer nedenler gibi, veriyi işlemek için yasal bir temeli vardır
• Üçüncü ülkelere yapılan veri transferleri yasal olmalıdır ve
• Şirketin belgede GDPR’ye uygun gizlilik politikasının tüm temel unsurlarına sahip olması gerekir.

Bir çevrimiçi işletmenin, sizi ilgilendiren bir konuda bir PDF göndermek için e-posta adresinizi topladığını hayal edin. E-posta adresinizi verdiniz; size PDF’i gönderdiler. Haftalık pazarlama teklifleri içeren bültenlerini gönderip gönderemeyeceklerini de sordular. Onay kutusunu işaretlediniz.

Artık e-posta adresiniz var. Sizin de PDF’iniz ve pazarlama materyalleriniz var.

Verinizi bir sözleşmenin icrası (pdf’i gönderme) ve pazarlama amaçları (tanıtım bültenini gönderme) için topladılar ve işlediler. E-posta adresini başka bir şey için kullanmıyorlar. Mailerlite adında, sunucuları AB’de olan Litvanyalı bir şirketi kullanıyorlar.

Bu, e-posta adresini işleme amacıyla iyi bir amaçları olduğu, bunu yapmak için yasal bir temele sahip oldukları ve veriyi Avrupa dışına transfer etmedikleri anlamına gelir. Bu, GDPR ile uyumlu ve iyi bir gizlilik uygulamasıdır.

E-posta adresinizi Facebook Lookalike Audience aracına yüklerlerse ve verinizi ABD’ye aktarırlarsa… işte bu, GDPR ve birçok benzer veri koruma yasasını ihlal eder.

Shopify’a kaydolursanız, web sitesini nasıl kullandığınızı görmek için davranışınızı Hotjar ile izlerler ve bu konuda yeterli bilgi topladıklarında iyileştirmeler yaparlar. Faydalı bir amaçları, amacı gerçekleştirmek için üçüncü taraf bir araçları ve davranışınız hakkında bilgi toplama amacı – tüm bunlar uyumlu ve kişisel bilgi toplama için onayınızı aldıkları sürece geçerli bir gizlilik uygulamasıdır.

Sonunda, belirli çevrimiçi işletme gizlilik uygulamalarından memnun olup olmadığınıza karar vermek size bağlıdır. Bu makale, verinizin bir sunucudan diğerine nasıl ve neden aktığına dair bir gizlilik politikasının temel noktalarını nasıl belirleyeceğinizi açıkladı ve bazı işletmelere verinize dair içgörüler verdi, ancak veriyi nasıl ele aldıklarından memnun olup olmadığınıza karar veren sizsiniz.

Kendiniz karar veremiyorsanız, bir uzmana başvurun.