KVKK uyumlu uygulama, kullanıcının kişisel verisini yalnızca gerekli ölçüde toplayan, nedenini açıkça söyleyen, güvenle saklayan ve kullanıcıya kendi verisi üzerinde söz hakkı veren uygulamadır. Pratikte bu; bir mobil uygulama gizlilik politikası, doğru kurgulanmış aydınlatma ve onay akışları ve mağazalardaki gizlilik beyanlarının gerçeği yansıtması anlamına gelir.
Önemli not: Bu yazı genel bilgilendirmedir, hukuki danışmanlık değildir. Uygulamanın özel durumuna göre metinleri ve yükümlülükleri mutlaka bir hukukçuyla (KVKK konusunda deneyimli bir avukat) netleştir. Mevzuat ve mağaza kuralları değişebilir; yazının yazıldığı tarihte (Kasım 2026) geçerli olanı resmî kaynaklardan kontrol et.
Uygulamada hangi veriler kişisel veri sayılır?
Kimliğini belirli ya da belirlenebilir kılan her bilgi uygulama kişisel veri kapsamına girebilir. Kullanıcıdan açıkça istediklerinin yanında, arka planda toplananlar da önemli:
- Ad, e-posta, telefon, doğum tarihi
- Konum bilgisi, fotoğraf, kişi listesi
- Cihaz kimliği, reklam kimliği, IP adresi
- Kullanım ve çökme kayıtları (analitik araçları)
- Sağlık, biyometrik gibi özel nitelikli veriler: bunlar için kurallar daha sıkıdır
İlk adım, uygulamanın ve içinde kullandığın her üçüncü taraf aracın (analitik, reklam, ödeme, bildirim) hangi veriyi topladığını bir tabloya dökmek. Bu tablo hem politikanı hem mağaza formlarını doldururken temelin olur.
Mobil uygulama gizlilik politikası neleri içermeli?
Uygulama mağazaları gizlilik politikası için herkesin erişebileceği bir bağlantı ister. İçerik olarak genelde şunlar yer alır:
- Veri sorumlusunun kim olduğu ve iletişim bilgisi
- Hangi verilerin toplandığı
- Verilerin hangi amaçla işlendiği
- Verilerin kimlerle paylaşıldığı (sunucu, analitik, ödeme sağlayıcısı vb.) ve yurt dışına aktarılıp aktarılmadığı
- Saklama süresi
- Kullanıcının hakları ve bu haklar için başvuru yolu
- Çocuklara yönelik uygulamalarda ebeveyn onayı ve ek önlemler
Aydınlatma metni ile gizlilik politikası aynı şey olmak zorunda değil; çoğu uygulama ikisini tek sayfada birleştirir ama kullanıcıya veri toplanmadan önce aydınlatma yapılması gerekir. Doğru format konusunda hukukçuna danış.
Açık rıza ne zaman gerekir?
Her veri işleme açık rıza gerektirmez; bazı durumlarda kanun başka işleme şartları da tanır. Ama pazarlama bildirimi, konum gibi isteğe bağlı veri ya da özel nitelikli veri söz konusu olduğunda açık rıza gündeme gelir. Kural olarak rıza, hizmetin ön koşulu gibi sunulmamalı, ayrı ve anlaşılır bir onayla alınmalıdır. Bunun uygulamanda hangi akışlara karşılık geldiğini hukukçunla belirle.
App Store gizlilik etiketi ve Google Play veri güvenliği
İki mağaza da yayınlamadan önce app store gizlilik etiketi (Apple'da App Privacy bölümü) ve Google Play'de Data safety formunu doldurmanı ister. Bu beyanlar uygulamanın gerçekten yaptığıyla uyuşmak zorunda; kullandığın bir SDK'nın topladığı veriyi unutmak yaygın bir hata ve inceleme sürecinde sorun çıkarabilir.
| Konu | App Store | Google Play |
|---|---|---|
| Veri beyanı | App Privacy etiketi | Data safety bölümü |
| Gizlilik politikası bağlantısı | Gerekli | Gerekli |
| Hesap oluşturmaya izin veren uygulama | Uygulama içinden hesap silme sunmalı | Hesap ve veri silme yolu sunmalı |
| Üçüncü taraf SDK'lar | Topladıkları da beyana dahil | Topladıkları da beyana dahil |
Reddedilme nedenlerinin tam listesi için uygulama mağaza red sebepleri yazısına bak.
Tasarım aşamasında alınacak pratik önlemler
- Az veri topla: Kullanmayacağın veriyi isteme. Doğum tarihi gerekmiyorsa sorma.
- İzni gerektiği anda iste: Konum iznini uygulama açılır açılmaz değil, özellik kullanılırken sor.
- Hesap silme ve veri dışa aktarma: Ekranı baştan tasarla, sonradan eklemek daha pahalı olur.
- Veriyi güvende tut: Şifreli bağlantı (HTTPS), yetkilendirme, düzenli yedek.
- Sunucu konumunu bil: Verinin nerede tutulduğu politikanda ve yurt dışı aktarım değerlendirmende önemli. Dövme Sanatçısı Defteri'nde verileri AB sunucularında tutmayı bu yüzden seçtik.
- Tedarikçileri sözleşmeye bağla: Analitik, bulut ve e-posta sağlayıcılarıyla veri işleme koşulları yazılı olsun.
Veri sorumluları için sicil (VERBİS) yükümlülüğü belli ölçütlere bağlı; senin için geçerli olup olmadığını bir hukukçudan öğren.
Yayın öncesi gizlilik kontrol listesi
Uygulamayı mağazaya göndermeden önce bu listeyi sırayla kontrol et:
- Uygulamanın ve tüm SDK'ların topladığı verilerin tablosu hazır mı?
- Gizlilik politikası herkese açık bir bağlantıda mı ve uygulamanın içinden de erişilebiliyor mu?
- Veri toplanmadan önce kullanıcıya gerekli bilgilendirme yapılıyor mu?
- İsteğe bağlı izinler (konum, bildirim, kamera) ilgili özellik kullanılırken mi isteniyor?
- Hesap silme ve veri taleplerini karşılayacak bir yol var mı? Talepler kime, nasıl ulaşıyor?
- Mağaza gizlilik beyanları (App Privacy, Data safety) gerçek veri akışıyla birebir uyuşuyor mu?
- Üçüncü taraf hizmet sağlayıcılarla veri işleme koşulları yazılı mı?
- Bir veri ihlali şüphesinde kimin ne yapacağı belli mi?
Bu listeyi tamamladığında hukukçuya götüreceğin dosya da hazır olmuş olur: veri tablosu, politika taslağı ve akış şeması. Avukatın işi böylece hem hızlanır hem de gerçek uygulamaya dayanır. Gizliliği baştan kurmak, yayından sonra eklemeye göre belirgin biçimde daha kolaydır; sonradan yapılan değişiklikler genelde yeni bir sürüm ve yeni bir mağaza incelemesi demektir. Bakım tarafı için uygulama bakımı ve güncelleme yazısına da göz atabilirsin.
Çocuklara yönelik uygulamalarda ek dikkat
Uygulaman çocuklara hitap ediyorsa kişisel veri konusu daha hassas hale gelir. Mağazalar çocuk uygulamaları için ek kurallar koyar; reklam, analitik ve satın alma akışlarının nasıl sunulduğu incelenir. Pratik yaklaşım: çocuktan mümkün olduğunca hiç kişisel veri isteme, satın alma ve ayarları bir ebeveyn kapısının arkasına koy, üçüncü taraf reklam ve analitik araçlarını sıkı biçimde sınırla. Bu alanda ebeveyn onayı ve yaş sınırları gibi konular mevzuata göre değişir; mutlaka hukukçuna danış. Çocuk oyunlarında bu kararları baştan aldık; bunu mobil oyun yaptırmak yazısında da anlatıyoruz.
Sık sorulan sorular
Küçük bir uygulama için de gizlilik politikası şart mı?
Evet. Kişisel veri topluyorsan ve uygulamayı mağazaya yükleyeceksen politika bağlantısı mağazalar için zorunlu. Veri toplamıyorsan bile bunu belirten kısa bir politika iyi uygulamadır.
Hazır gizlilik politikası şablonu kullanabilir miyim?
Başlangıç noktası olabilir ama uygulamanın gerçek veri akışıyla birebir uyuşmuyorsa işe yaramaz, hatta zarar verir. Son hali bir hukukçuya kontrol ettir.
Kullanıcı verilerini yurt dışı sunucuda tutabilir miyim?
KVKK yurt dışına aktarım için ayrı şartlar koyar. Bu şartların senin durumuna nasıl uygulandığını hukukçuyla netleştirmen gerekir.
Analitik aracı kullanınca ne yapmalıyım?
Aracın topladığı veriyi politikana ve mağaza beyanına yaz, mümkünse kişisel veri toplamayan yapılandırmayı seç.
OdenaVerse olarak uygulamaları baştan "az veri, net izin" mantığıyla kuruyoruz; hukuki metinleri senin hukukçunla birlikte oturtmak da sürecin parçası olabilir. Planını konuşmak istersen yazılım hizmetimize bakabilir ya da uygulama yaptırırken sözleşme yazısıyla başlayabilirsin.