Türkiye'de kullanıcıdan kişisel veri toplayan bir mobil uygulamanın en az dört şeye ihtiyacı vardır: KVKK'ya uygun bir aydınlatma metni, gerekiyorsa ondan ayrı alınmış açık rıza, mağazaların istediği bir gizlilik politikası bağlantısı ve App Store ile Google Play'deki gizlilik formları. Bu dördünün birbiriyle ve uygulamanın gerçekte yaptığıyla tutarlı olması gerekir. Mağaza redlerinin ve şikâyetlerin çoğu, metinde yazanla uygulamanın topladığı verinin uyuşmamasından çıkar.
Bu yazı hukuki görüş değildir; uygulama ekibinin ve işletme sahibinin neyi hazırlaması gerektiğini anlatır. Metinlerin son hâli için bir KVKK danışmanına ya da avukata baktırmanızı öneririz.
Hangi metin ve form nerede kullanılır?
| Belge | Ne işe yarar | Nerede görünür | Dayanağı |
|---|---|---|---|
| Aydınlatma metni | Hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediğinizi ve kullanıcının haklarını anlatır | Kayıt ekranında, veri toplanmadan önce | KVKK m.10 ve Aydınlatma Tebliği |
| Açık rıza metni | Başka bir hukuki sebebi olmayan işleme için kullanıcının onayını alır | Ayrı onay adımı, önceden işaretsiz | KVKK m.5 |
| Gizlilik politikası | Uygulamanın veri uygulamalarının tamamı | Mağaza sayfasında bağlantı ve uygulama içinde | App Store 5.1.1(i), Google Play kullanıcı verisi politikası |
| App Privacy (gizlilik etiketi) | Toplanan veri türlerini mağaza sayfasında özetler | App Store sayfası | Apple, App Store Connect |
| Data safety formu | Toplanan ve paylaşılan veriyi, silme seçeneğini özetler | Google Play sayfası | Google Play Console |
| Hesap silme | Kullanıcının hesabını ve verisini silmesi | Uygulama içinde (Google Play ayrıca web bağlantısı ister) | App Store 5.1.1(v), Google Play hesap silme şartı |
Aydınlatma metni ile açık rıza neden ayrı olmalı?
Aydınlatma her veri işlemede zorunludur; açık rıza ise yalnız sözleşmenin ifası, kanuni yükümlülük ya da meşru menfaat gibi bir sebep bulunmadığında gerekir. Bir yemek uygulamasında teslimat adresini işlemek siparişin gereğidir, açık rıza istemez. Aynı adresi reklam hedeflemesi için kullanmak ise farklı bir amaçtır ve ayrı bir hukuki sebep ister.
Aydınlatma Tebliği'nin 5. maddesi, açık rızaya dayalı işlemede aydınlatma ile açık rızanın ayrı ayrı yerine getirilmesini istiyor. Kişisel Verileri Koruma Kurulu Mart 2026'da Resmî Gazete'de yayımlanan bir kararında da iki metnin birleştirilemeyeceğini yineledi. Uygulamada en sık görülen hata tam olarak budur: kayıt ekranında tek bir "Aydınlatma metnini okudum ve kabul ediyorum" kutusu. Doğru tasarım iki ayrı adımdır: aydınlatma metnine bir bağlantı (kabul kutusu gerekmez, bilgilendirmedir) ve yalnız gerçekten gerekiyorsa, önceden işaretlenmemiş, amacı belli bir açık rıza kutusu.
- Zorunlu olmayan rıza zorunlu tutulmamalı. Kullanıcı pazarlama rızası vermeden de üye olabilmeli.
- Her amaç ayrı olmalı. "Pazarlama, analiz ve üçüncü taraflarla paylaşım" tek kutuda birleşmez.
- Rıza geri alınabilmeli. Ayarlar ekranında aynı kolaylıkla kapatılabilmeli.
- Kayıt tutulmalı. Kimin, ne zaman, hangi metin sürümüne onay verdiği sunucuda saklanmalı.
App Store gizlilik etiketi nasıl doldurulur?
Apple 2020 sonundan beri her yeni uygulama ve güncelleme için App Store Connect'te "App Privacy" bölümünün doldurulmasını istiyor. Burada uygulamanın topladığı her veri türü (iletişim bilgisi, konum, kullanım verisi, tanımlayıcılar vb.) için üç soruya cevap verilir: hangi amaçla toplanıyor, kullanıcının kimliğine bağlanıyor mu, kullanıcıyı başka şirketlerin uygulama ve sitelerinde izlemek için kullanılıyor mu?
Formu yalnız sizin yazdığınız kod değil, uygulamaya eklenen her üçüncü taraf kütüphane de etkiler. Firebase Analytics, çökme raporlama, reklam ve sosyal giriş kütüphaneleri kendi başlarına veri toplar. Apple, 1 Mayıs 2024'ten beri listesindeki yaygın üçüncü taraf kütüphaneler için "privacy manifest" dosyası istiyor; bu dosyalar Xcode'da uygulamanın gizlilik raporunu çıkarmayı kolaylaştırır. Formu doldururken bu rapordan ve kütüphanelerin kendi belgelerinden yararlanın.
Kullanıcıyı başka şirketlerin uygulama ve sitelerinde izliyorsanız (ör. reklam ölçümü için cihaz tanımlayıcısını paylaşmak), iOS 14.5'ten beri App Tracking Transparency izin penceresi de zorunludur. Bu izin KVKK açık rızasının yerine geçmez; ikisi ayrı yükümlülüktür.
Google Play Data safety formu nasıl doldurulur?
Google Play, Temmuz 2022'den beri bütün uygulamalardan Data safety formunu istiyor; hiç veri toplamayan uygulama da formu doldurup bunu beyan eder. Formda toplanan veri türleri, bu verinin üçüncü taraflarla paylaşılıp paylaşılmadığı, aktarımda şifrelenip şifrelenmediği ve kullanıcının verisinin silinmesini isteyip isteyemeyeceği sorulur.
Hesap oluşturulabilen uygulamalar için Google iki şey daha istiyor: uygulama içinden hesap ve veri silme yolu ve kullanıcının uygulamayı silmiş olsa bile silme talebinde bulunabileceği bir web bağlantısı. Hesabı dondurmak ya da geçici olarak kapatmak silme sayılmıyor (Google Play Console Yardım, Ekim 2026'da kontrol edildi). Apple da 5.1.1(v) maddesiyle hesap oluşturan her uygulamada uygulama içinden hesap silmeyi şart koşuyor. Yasal sebeple saklamanız gereken veriler (ör. fatura kayıtları) varsa bunu gizlilik politikasında açıkça yazın.
AppFellas
Mobil Uygulama için ücretsiz keşif görüşmesi
iOS ve Android, tek kod tabanı, mağazada yayında. Kapsamı ve gerçekçi bütçe aralığını ilk görüşmede netleştirelim.
Sunucu yurt dışındaysa ne değişir?
Mobil uygulamaların çoğu yurt dışındaki servisleri kullanır: bulut sunucu, Firebase, analitik, e-posta gönderimi, çökme raporu. Bu servislere kişisel veri gönderiyorsanız bu bir yurt dışına aktarımdır. KVKK'nın 9. maddesi 7499 sayılı Kanun'la değişti ve yeni düzen 1 Haziran 2024'te yürürlüğe girdi. Yeni düzende yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmeler gibi uygun güvencelerden biri kullanılır. Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurum'a bildirilmelidir; Kurum bunun için çevrim içi bir bildirim modülü açtı (KVKK duyurusu, Ekim 2024).
Pratik sonuç şu: uygulamanın kullandığı her dış servisi listeleyin, hangisinin kişisel veri aldığını ve sunucusunun nerede olduğunu not edin. Bu liste hem aydınlatma metnindeki "aktarılan taraflar" bölümünü hem de mağaza formlarındaki "paylaşılan veri" cevaplarını besler.
VERBİS kaydı gerekiyor mu?
Her uygulama sahibinin VERBİS'e kaydolması gerekmiyor. Kurul kararlarına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyetleri özel nitelikli kişisel veri işlemek değilse kayıttan muaf. Sağlık, biyometrik veri gibi özel nitelikli veriyi ana faaliyet olarak işleyenler için Ekim 2025'te ayrı bir eşik getirildi: 10 çalışan ve 10 milyon TL. Muafiyet yalnız kayıt içindir; aydınlatma, veri güvenliği ve diğer yükümlülükler herkes için geçerlidir.
Uyum eksikse yaptırım ne?
KVKK'nın 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla güncelleniyor. 2026 tutarları aydınlatma yükümlülüğüne aykırılık için 85.437 – 1.709.200 TL, veri güvenliği yükümlülüğüne aykırılık için 256.357 – 17.092.242 TL (Resmî Gazete'de ilan edilen 2026 yeniden değerleme oranına göre hesaplanan tutarlar). Mağaza tarafında yaptırım daha hızlı gelir: gizlilik formuyla uyuşmayan veri toplama, güncellemenin reddine ya da uygulamanın kaldırılmasına yol açabilir. Diğer mağaza redleri için App Store ve Google Play red nedenleri yazısına bakın.
Uygulama yapılırken nelere dikkat edilmeli?
Gizlilik metinleri yazılımdan sonra yazılan evraklar değildir; bazı kararlar kodda verilir.
- Az veri toplayın. Doğum tarihi gerekmiyorsa sormayın; tam konum yerine yaklaşık konum yetiyorsa onu isteyin.
- İzni gerektiği anda isteyin. Kamera izni kullanıcı fotoğraf eklemeye bastığında istenir, ilk açılışta değil.
- Kütüphane envanteri tutun. Uygulamaya eklenen her yeni kütüphane, mağaza formlarının güncellenmesi gerekip gerekmediği sorusuyla birlikte eklenmeli.
- Silmeyi gerçekten silme yapın. Hesap silme, kullanıcının verisini yedekler ve üçüncü taraf servisler dahil temizleyen bir süreç olmalı.
- Veriyi koruyun. Aktarımda ve saklamada şifreleme, yetki ayrımı ve erişim kaydı veri güvenliği yükümlülüğünün teknik tarafıdır; ayrıntısı mobil uygulama güvenliği ve veri güvenliği nedir yazılarında.
Bu işleri kimin yapacağını sözleşmeye yazın: mağaza formlarını genelde geliştirici ekip doldurur, metinlerin hukuki sorumluluğu ise uygulama sahibindedir. Hangi maddelerin sözleşmede olması gerektiğini yazılım projesi sözleşmesi yazısında anlattık. Bizim projelerimizde kütüphane envanteri, izin akışları ve mağaza gizlilik formları yayın hazırlığının parçası; süreci mobil uygulama geliştirme sayfasında görebilirsiniz. Yayından sonra her yeni kütüphane ve işletim sistemi kuralı formları yeniden etkilediği için bu iş bakım kapsamında da sürer.
Sık sorulan sorular
Mobil uygulama için KVKK aydınlatma metni zorunlu mu?
Uygulama kişisel veri işliyorsa evet. Üyelik, telefon numarası, konum, hatta cihaz tanımlayıcısıyla eşleşen kullanım verisi kişisel veridir. Aydınlatma metni veri toplanmadan önce, kayıt ya da ilgili ekranda erişilebilir olmalıdır.
Aydınlatma metni için "okudum, kabul ediyorum" kutusu gerekir mi?
Gerekmez; aydınlatma bir bilgilendirmedir, onay istemez. Açık rıza gereken bir işleme varsa onu ayrı, önceden işaretlenmemiş ve amacı belli bir kutuyla alın. Aydınlatma ile açık rızayı tek kutuda birleştirmek Kurul'un ilke kararıyla uyardığı bir hatadır.
Hiç veri toplamayan uygulama da Data safety formunu doldurmalı mı?
Evet. Google Play bütün uygulamalardan formu istiyor; veri toplamıyorsanız bunu formda beyan edersiniz. Uygulamadaki kütüphanelerin de veri toplamadığından emin olun, çünkü beyan onları da kapsar.
Firebase kullanmak yurt dışına veri aktarımı sayılır mı?
Firebase'e kişisel veri gönderiliyorsa ve veri yurt dışındaki sunucularda işleniyorsa yurt dışına aktarım kurallarını değerlendirmeniz gerekir. 1 Haziran 2024'ten beri standart sözleşme gibi güvenceler kullanılabiliyor ve imzalanan standart sözleşme 5 iş günü içinde Kurum'a bildiriliyor. Hangi yolun size uyduğunu bir KVKK danışmanıyla netleştirin.
Gizlilik politikası ile aydınlatma metni aynı belge olabilir mi?
İçerikleri büyük ölçüde örtüşür ama amaçları farklıdır. Aydınlatma metni KVKK'nın saydığı unsurları içermeli; gizlilik politikası mağazaların istediği, uygulamanın bütün veri uygulamalarını anlatan belgedir. Birçok uygulama ikisini ayrı tutar ve birbirine bağlantı verir; önemli olan ikisinin de aynı veri listesine dayanmasıdır.
Uygulamayı yapan yazılım firmasının KVKK'da konumu nedir?
Uygulamanın sahibi veri sorumlusudur. Geliştirici firma sunucuyu yönetiyor ya da kullanıcı verisine erişiyorsa çoğu durumda veri işleyen konumundadır. Bu ilişkiyi, verinin hangi amaçla ve hangi güvenlik önlemleriyle işleneceğini yazan bir sözleşmeyle netleştirin.
