E-Ticaret Sitesi Yasal Zorunluluklar 2026: KVKK, ETBİS ve Sözleşme Listesi

E-ticaret sitesi yasal zorunluluklar konusu, çoğu KOBİ için site yayına girdikten sonra hatırlanan bir başlık. Ürünler yüklenir, kampanyalar hazırlanır, sonra sanal POS başvurusunda "ETBİS kayıt numaranız nedir?" sorusu gelir ya da bir müşteri iade talebinde bulunduğunda sitede düzgün bir iade sayfası olmadığı fark edilir. Bu yazıda, 2026 yılında Türkiye'de online satış yapan bir işletmenin sitesinde bulunması gereken yasal unsurları tek tek ele alıyoruz.

Her maddede üç soruya cevap vereceğiz: Bu zorunluluk nedir, sitede nasıl görünmelidir ve eksik olursa ne olur? Amacımız avukat ya da mali müşavirin yerini almak değil; elinizde masaya oturduğunuzda neyi sormanız gerektiğini bilen, uygulanabilir bir kontrol listesi olsun istiyoruz.

E-ticaret sitesi yasal zorunluluklar: hızlı kontrol tablosu

Detaylara girmeden önce tüm listeyi tek tabloda görelim. Kendi sitenizi açıp her satırı karşılaştırabilirsiniz.

1. ETBİS kaydı nasıl yapılır ve neden ilk adım?

ETBİS (Elektronik Ticaret Bilgi Sistemi), Ticaret Bakanlığı'nın internet üzerinden satış yapan işletmeleri kayıt altına aldığı sistemdir. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik kapsamında, kendi sitesi veya uygulaması üzerinden satış yapan hizmet sağlayıcıların kayıt olması beklenir.

Adım adım ETBİS kaydı

1. e-Devlet üzerinden veya Ticaret Bakanlığı'nın e-ticaret bilgi platformu üzerinden ETBİS'e giriş yapın. Şirketler için yetkili kişinin girişi gerekir.
2. Şirket bilgilerinizi (vergi no, MERSİS, unvan, iletişim) kontrol edin.
3. Satış yaptığınız alan adlarını ekleyin. Birden fazla siteniz varsa her birini ayrı tanımlayın.
4. Pazaryerinde mağazanız varsa bu bilgileri de ilgili bölüme girin.
5. Kayıt tamamlandığında verilen karekodu ve doğrulama bağlantısını sitenizin alt bilgisine (footer) ekleyin.

Bilgileriniz değiştiğinde (adres, alan adı, unvan) ETBİS kaydını da güncellemeniz gerekir. Unutulan güncelleme, ödeme kuruluşunun kontrolünde uyumsuzluk olarak karşınıza çıkabilir.

Eksikse ne olur? Kanunda kayıt yükümlülüğüne uymayanlar için idari para cezası öngörülüyor. Pratikte daha hızlı hissedilen sonuç ise şu: iyzico, PayTR gibi ödeme kuruluşları ve bankalar sanal POS başvurusunda çoğunlukla ETBİS bilgisini soruyor. Kayıt yoksa başvuru bekletilebilir veya reddedilebilir.

2. Ön bilgilendirme formu ve mesafeli satış sözleşmesi örneği

6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği, tüketiciye satış öncesinde belirli bilgilerin verilmesini ve bunun onaylanmasını şart koşar. Bu iki belge sık karıştırılır, ama işlevleri farklıdır.

• Ön bilgilendirme formu: Müşteri ödeme yapmadan önce okuması gereken metin. Satıcının kimliği, ürünün temel özellikleri, vergiler dahil toplam fiyat, teslimat masrafları, ödeme ve teslim şekli, cayma hakkı ve kullanım koşulları, şikâyet yolları burada yer alır.
• Mesafeli satış sözleşmesi: Taraflar arasındaki asıl sözleşme. Sipariş özelinde alıcı bilgileri, ürün, fiyat ve teslimat detaylarını içerir.

İyi bir mesafeli satış sözleşmesi örneğinde neler olmalı?

• Satıcının tam unvanı, MERSİS numarası, adresi, telefon ve e-postası
• Siparişe göre otomatik dolan ürün adı, adet, birim fiyat ve toplam tutar
• Teslim süresi (yasal üst sınır genel kural olarak 30 gündür)
• Cayma hakkının nasıl kullanılacağı ve süresi
• Cayma hakkı istisnaları (ör. kişiye özel üretilen ürünler)
• Uyuşmazlıkta başvurulacak tüketici hakem heyeti ve mahkeme bilgisi

Teknik tarafta önemli olan, iki metnin ödeme adımında ayrı ayrı onay kutusuyla kabul ettirilmesi ve kutuların önceden işaretli olmamasıdır. Sipariş sonrası sözleşmenin kopyası müşteriye e-postayla da gönderilmelidir.

Eksikse ne olur? Ön bilgilendirme yapılmadığı durumlarda tüketici lehine sonuçlar doğabilir; örneğin cayma süresiyle ilgili tartışmalarda işletme zor durumda kalır. Ayrıca idari para cezası ve tüketici hakem heyetinde kaybedilen dosyalar gündeme gelir.

3. İade ve cayma hakkı sayfası

Tüketici, mesafeli satışta genel kural olarak ürünü teslim aldığı günden itibaren 14 gün içinde gerekçe göstermeden cayma hakkına sahiptir. Cayma bildirimi ulaştıktan sonra satıcının ödemeyi belirli süre içinde iade etmesi gerekir. Bu kuralları sözleşmeye yazmak yetmez; müşterinin satın almadan önce kolayca bulabileceği ayrı bir "İade ve Değişim" sayfası olmalıdır.

Bu sayfada şunları sade dille anlatın:

• İade talebinin nasıl oluşturulacağı (form, e-posta, müşteri paneli)
• Kargo ücretinin kimde olduğu ve anlaşmalı kargo kodu
• Ürünün hangi koşulda geri gönderilmesi gerektiği
• Para iadesinin hangi yöntemle ve ne zaman yapılacağı
• Cayma hakkının kullanılamadığı ürün grupları

Eksikse ne olur? Müşteri iade koşullarını bulamazsa ya siparişten vazgeçer ya da sorun yaşadığında doğrudan şikâyet platformlarına yönelir. Pazaryerleri ve ödeme kuruluşları da başvuru incelemesinde iade politikasını kontrol eder. Pazaryeri ile kendi siteniz arasında farklı politikalar uyguluyorsanız bunu netleştirin; pazaryeri entegrasyonu yaparken iade süreçlerinin de senkron çalışması gerekir.

4. KVKK aydınlatma metni ve çerez politikası

6698 sayılı Kişisel Verilerin Korunması Kanunu, e-ticaret sitelerini doğrudan ilgilendirir; çünkü ad, adres, telefon, e-posta ve sipariş geçmişi gibi veriler sürekli işlenir.

Aydınlatma metni ile açık rıza farkı

Aydınlatma metni, hangi veriyi neden, hangi hukuki sebeple işlediğinizi, kimlere aktardığınızı ve kişinin haklarını anlatan bilgilendirmedir. Müşteriden onay alınmaz, yalnızca bilgilendirilir. Açık rıza ise sözleşmenin ifası gibi başka bir hukuki sebebe dayanamayan işlemler (ör. pazarlama amaçlı profil çıkarma) için ayrıca ve özgür iradeyle alınmalıdır. Sık yapılan hata, ikisini tek kutuda birleştirmek ya da sipariş vermeyi açık rızaya bağlamaktır.

KVKK çerez politikası web sitesi için nasıl uygulanır?

KVKK'nın yayımladığı çerez rehberine göre, sitenin çalışması için kesinlikle gerekli çerezler dışındaki analiz, kişiselleştirme ve reklam çerezleri için kullanıcının açık rızası aranır. Pratikte bu şu anlama gelir:

• Ziyaretçi ilk girdiğinde çerez bandı görünmeli; Google Analytics, Meta Pixel gibi etiketler onaydan önce çalışmamalı.
• "Kabul et" kadar "Reddet" seçeneği de kolay bulunmalı.
• Kategori bazında tercih yapılabilmeli ve bu tercih sonradan değiştirilebilmeli.
• Ayrı bir çerez politikası sayfasında kullanılan çerezler listelenmeli.

Yurt dışına veri aktarımı (yabancı sunucular, reklam platformları) konusunda 2024 yılında yapılan kanun değişiklikleri de metinlerinizi güncellemenizi gerektirebilir. Güncel rehberler için KVKK'nın resmî sitesini takip edin. VERBİS kaydının sizin için zorunlu olup olmadığı ise çalışan sayısı ve mali bilanço eşiklerine bağlıdır; bu eşikleri de resmî kaynaktan kontrol edin.

Eksikse ne olur? KVKK kapsamında aydınlatma yükümlülüğüne ve veri güvenliğine aykırılık için idari para cezaları öngörülüyor. Bunun yanında, reklam ölçümünüzün hukuka aykırı biçimde veri toplaması da ayrı bir risk; bir şikâyet tüm pazarlama altyapınızın sorgulanmasına yol açabilir.

Çerez bandını "görüntü olsun" diye koymak, hiç koymamaktan çok farklı değildir. Önemli olan, onay verilmeden takip kodlarının gerçekten çalışmamasıdır.

5. İYS kaydı zorunlu mu? Ticari ileti izinleri

İleti Yönetim Sistemi (İYS), ticari elektronik iletiler için verilen izinlerin merkezi olarak tutulduğu sistemdir. SMS, e-posta veya arama yoluyla kampanya, indirim, yeni ürün duyurusu gönderiyorsanız genel kural olarak İYS'ye kayıt olmanız ve aldığınız izinleri sisteme yüklemeniz gerekir. İYS'de kaydı bulunmayan izinler, ileti gönderimi açısından geçersiz sayılabilir.

Sitenizde dikkat edilecek noktalar:

• Bülten ve SMS izin kutuları önceden işaretli olmamalı.
• İzin metni neye onay verildiğini açıkça söylemeli (SMS, e-posta, arama ayrı ayrı).
• Sitede alınan izinler, e-posta veya SMS altyapınız aracılığıyla İYS'ye aktarılmalı.
• Her iletide kolay bir ret (abonelikten çıkma) yolu bulunmalı.

Sipariş onayı, kargo takip ve fatura bildirimi gibi işlem bilgilendirmeleri ticari ileti sayılmaz. Ancak bu mesajların içine "bir sonraki siparişinize yüzde indirim" gibi bir kampanya eklediğiniz anda iletinin niteliği değişir. Küçük işletmelere yönelik muafiyet ve eşikler dönem dönem değiştiği için kendi durumunuzu İYS'nin resmî duyurularından kontrol edin.

Eksikse ne olur? İzinsiz ileti şikâyetleri Ticaret Bakanlığı'na iletilebilir ve ileti başına hesaplanan cezalar gündeme gelir. Toplu gönderimlerde bu risk hızla büyür.

6. E-arşiv, e-fatura ve fiyat gösterimi

İnternet üzerinden satış yapan işletmeler, belirli ciro eşiklerini aştığında e-fatura ve e-arşiv fatura uygulamasına geçmek zorundadır. Eşik değerler Gelir İdaresi Başkanlığı tarafından güncellenir; mali müşavirinizle yıllık olarak kontrol edin. İnternet satışlarında düzenlenen e-arşiv faturada ödeme şekli, gönderim tarihi ve taşıyıcı bilgisi gibi alanların da yer alması gerekir.

Operasyon tarafında en verimli yöntem, e-ticaret altyapınızın bir entegratör aracılığıyla faturayı sipariş onaylandığında otomatik kesmesidir. Elle fatura kesmek hem zaman alır hem de unutulan faturalar nedeniyle vergi riski doğurur. Altyapı seçerken bu entegrasyonu baştan sorun; e-ticaret altyapısı karşılaştırması yazımızda bu kriteri de ele aldık.

Fiyat gösterimi de mevzuata bağlıdır: Fiyatlar vergiler dahil gösterilmeli, indirim yapılıyorsa indirim öncesi fiyat olarak ilgili yönetmelikte tanımlanan referans fiyat (son 30 gün içindeki en düşük fiyat kuralı) esas alınmalıdır. "Yüzde 50 indirim" yazıp üstü çizili fiyatı şişirmek, haksız ticari uygulama kapsamında değerlendirilebilir.

7. Ödeme güvenliği: SSL, 3D Secure ve kart verisi

Ödeme güvenliği hem yasal hem ticari bir zorunluluktur. Kişisel verilerin güvenliğini sağlama yükümlülüğü KVKK'dan gelir; kart güvenliği standartları ise ödeme kuruluşlarının sözleşmelerinde yer alır.

• SSL (HTTPS): Yalnızca ödeme sayfası değil, sitenin tamamı HTTPS üzerinden çalışmalı. Aksi halde tarayıcılar "güvenli değil" uyarısı gösterir.
• 3D Secure: Kart sahibinin bankası üzerinden doğrulama yapılması, dolandırıcılık kaynaklı itirazlarda (chargeback) işletmeyi korur.
• Kart verisini saklamayın: Kart numarası sizin sunucunuzda tutulmamalı; ödeme kuruluşunun güvenli formu veya tokenizasyon kullanılmalı.
• Güncel yazılım: Eski eklentiler ve güncellenmemiş altyapılar veri sızıntısının en yaygın kapılarındandır.

Eksikse ne olur? SSL eksikliği hem ziyaretçiyi kaçırır hem de SEO açısından olumsuz sinyal verir. 3D Secure olmadan yapılan çekimlerde itiraz durumunda tutar çoğunlukla işletmeden geri alınır. Veri sızıntısı ise KVKK'ya bildirim yükümlülüğü ve ciddi itibar kaybı demektir.

E-ticaret sitesinde olması gereken sayfalar

Yukarıdaki maddeleri sayfa listesine çevirdiğimizde, footer'ınızda en az şunlar görünmeli:

1. Hakkımızda ve iletişim / künye (unvan, MERSİS no, adres, telefon, e-posta, kayıtlı olunan meslek odası)
2. Ön bilgilendirme formu
3. Mesafeli satış sözleşmesi
4. İade, değişim ve cayma hakkı
5. Teslimat ve kargo koşulları
6. KVKK aydınlatma metni
7. Gizlilik politikası
8. Çerez politikası ve çerez tercih paneli
9. Üyelik sözleşmesi (üyelik sistemi varsa)
10. ETBİS karekodu ve ödeme logoları

Bunlara ek olarak sitenizin engelli kullanıcılar için erişilebilirliği de giderek gündeme gelen bir başlık; detayları web sitesi erişilebilirlik zorunluluğu yazımızda bulabilirsiniz. Sıfırdan kurulum aşamasındaysanız, e-ticaret sitesi kurma rehberimiz yasal sayfaları planlama sırasına nasıl yerleştireceğinizi de anlatıyor.

Sitenizin uyumunu nasıl kontrol edersiniz?

Bu listeyi elle kontrol etmek mümkün ama zaman alır ve bazı sorunlar gözle görünmez. Örneğin çerez bandı görünür olsa bile analiz kodlarının onaydan önce çalışıp çalışmadığını anlamak için tarayıcının geliştirici araçlarına bakmak gerekir. SSL sertifikasının süresi, karışık içerik (HTTPS sayfada HTTP kaynak) uyarıları veya footer'daki kırık sözleşme bağlantıları da kolayca gözden kaçar.

Bu yüzden önerimiz iki aşamalı ilerlemeniz:

1. Teknik tarama: Site Röntgeni ile ücretsiz site analizi yaparak SSL, yasal sayfa bağlantıları, çerez davranışı ve temel güvenlik başlıklarını kontrol edin. İlk 10 sorun ekranda hemen görünür, tam rapor e-postanıza gelir.
2. Hukuki kontrol: Sözleşme ve KVKK metinlerinin içeriğini bir hukukçuya gözden geçirtin; teknik tarama metnin doğruluğunu değil, varlığını ve çalışmasını kontrol eder.

Sorunları tespit ettikten sonra düzeltmeleri kendi ekibinizle yapabilirsiniz. Altyapınız bu değişikliklere izin vermiyorsa veya ödeme, fatura ve izin süreçlerini tek seferde toparlamak istiyorsanız, Fietto Creative'in e-ticaret hizmeti kapsamında bu yasal katmanları kurulumun parçası olarak ele alıyoruz. Unutmayın: Mevzuat yılda birkaç kez değişebilir, bu listeyi en az yılda bir kez yeniden gözden geçirmek iyi bir alışkanlıktır.

Sık sorulan sorular