KVKK uyumlu e-posta nedir? İşletmeler için kısa rehber

KVKK (Kişisel Verilerin Korunması Kanunu), Türkiye'de kişisel verilerin işlenmesini düzenleyen temel kanundur (6698 sayılı Kanun). E-posta; ad-soyad, iletişim bilgisi ve yazışma içeriği gibi kişisel veriler taşıdığından, kullandığınız servisin KVKK açısından uygun olması hem bireyler hem işletmeler için önemlidir.

Bu yazıda "KVKK uyumlu e-posta" ifadesinin ne anlama geldiğini, neden önemli olduğunu ve bir servisi değerlendirirken hangi soruları sormanız gerektiğini ele alıyoruz.

"KVKK uyumlu e-posta" ne demek?

Kısaca, e-posta servisinin kişisel verileri hukuka uygun, şeffaf ve güvenli biçimde işlemesi anlamına gelir. KVKK'nın temel ilkeleri e-posta bağlamında şöyle karşılık bulur:

• Hukuka ve dürüstlük kurallarına uygunluk: Veriler yalnızca meşru amaçlarla işlenir.
• Belirli, açık ve meşru amaç: İçeriğiniz reklam profili çıkarmak için taranmaz.
• Amaçla sınırlılık ve ölçülülük: Gerekenden fazla veri toplanmaz.
• Saklama süresi: Veriler süresiz değil, gerekli olduğu sürece tutulur.

Buna ek olarak sağlayıcının bir aydınlatma metni sunması ve kullanıcının haklarını (erişim, düzeltme, silme talebi) kullanabilmesi beklenir.

İşletmeler için neden kritik?

Bir işletme; müşteri, tedarikçi ve çalışan verilerini her gün e-posta üzerinden işler. Sözleşmeler, faturalar, başvurular ve kişisel bilgiler posta kutularında birikir. Uyumsuz ya da şeffaf olmayan bir servis kullanmak, veri ihlali riskini ve buna bağlı idari yaptırım ihtimalini artırır.

KVKK uyumlu bir altyapı yalnızca yasal riski azaltmakla kalmaz; müşteri güvenini de güçlendirir. Verilerini koruduğunu gösterebilen bir işletme, itibar ve rekabet avantajı da elde eder.

Teknik açıdan nelere bakılır?

Uyum yalnızca hukuki değil, aynı zamanda teknik bir konudur. Aşağıdaki güvenlik önlemleri, KVKK'nın veri güvenliğine ilişkin yükümlülükleriyle doğrudan ilişkilidir:

• TLS/SSL şifreleme: Bağlantı ve iletim sırasında verinin korunması
• SPF, DKIM, DMARC: Sahte e-posta ve kimlik taklidine karşı koruma
• Erişim kontrolü ve 2FA: Yetkisiz erişimin önlenmesi
• Anti-spam ve kötü amaçlı yazılım taraması: Zararlı içeriğin engellenmesi

Bir servisi değerlendirirken sorulacak sorular

1. Aydınlatma metni ve gizlilik politikası açık ve erişilebilir mi?
2. Bağlantılar TLS ile şifreleniyor mu? SPF/DKIM/DMARC destekleniyor mu?
3. İçerik reklam veya profil oluşturma amacıyla taranıyor mu?
4. Veriler nerede ve ne kadar süreyle saklanıyor?
5. Silme ve erişim taleplerini iletebileceğiniz bir kanal var mı?

Bu sorulara net cevap veremeyen bir servis, KVKK açısından risk taşıyabilir.

Veri sorumlusu ve veri işleyen

KVKK'da iki temel rol vardır. Veri sorumlusu, kişisel verilerin işlenme amacını ve yöntemini belirleyen taraftır; çoğu durumda bu, e-postayı kullanan işletmedir. Veri işleyen ise veriyi sorumlu adına işleyen taraftır; e-posta altyapısını sağlayan servis bu role girebilir.

Bu ayrım önemlidir, çünkü işletme kendi müşteri verilerinden birinci derecede sorumludur. Kullandığınız e-posta sağlayıcısıyla aranızdaki ilişkinin ve verinin nasıl işlendiğinin net olması, olası bir denetimde işinizi kolaylaştırır.

Çalışan e-postaları ve gizlilik

İşletmeler, çalışanlarına tahsis ettikleri kurumsal e-posta hesaplarını yönetirken de KVKK ilkelerini gözetmelidir. Çalışanların kişisel verilerinin işlenmesi, izleme yapılacaksa bunun önceden ve açıkça bildirilmesi ve ölçülülük ilkesine uyulması gerekir. Şeffaf bir e-posta politikası hem çalışan güvenini hem hukuki uyumu güçlendirir.

Sık sorulan sorular

Yurt dışı sunucu kullanmak KVKK'ya aykırı mı? Tek başına aykırı değildir; ancak yurt dışına veri aktarımı KVKK'da özel kurallara tabidir. Önemli olan, sağlayıcının veri işleme ve aktarım süreçlerini şeffaf biçimde açıklaması ve gerekli güvenlik önlemlerini almasıdır.

Küçük işletmeler de KVKK kapsamında mı? Evet. KVKK ölçek ayrımı yapmaz; kişisel veri işleyen her işletme kapsamdadır. Bu nedenle küçük işletmeler için de uyumlu bir e-posta altyapısı önemlidir.

imail.com.tr ve KVKK

imail.com.tr; KVKK uyumunu temel bir tasarım ilkesi olarak alır. Reklamsızdır ve içerik reklam için taranmaz; bağlantılar TLS ile şifrelenir; SPF/DKIM/DMARC kimlik doğrulaması kullanılır. Hizmet, Türkiye merkezli bir kuruluş tarafından işletilir ve Türkiye mevzuatına tabidir.

Ayrıntılar için KVKK Aydınlatma Metni ve Gizlilik Politikası sayfalarına bakabilirsiniz.

> Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumsal uyum için bir KVKK danışmanına başvurmanız önerilir.