Otel web sitesinde çerez ve reklam pikseli: KVKK rehberine göre neler yapılır?

Çerez, bir web sitesinin ziyaretçinin tarayıcısında sakladığı küçük bir dosyadır; reklam pikseli ise ziyareti bir reklam platformuna bildiren minik bir görsel ya da koddur. Türkiye'nin veri koruma kurumu, kesinlikle gerekli olmayan her çerezin, 6698 sayılı Kanun'da başka bir işleme şartı yoksa, yerleştirilmeden önce açık rıza istediğini belirtir. Bu kural, otel web sitesi çerez politikasının her katmanına, bandan rezervasyon motoruna kadar uzanır.

Rezervasyon sayfası yüklenir ve kapak fotoğrafıyla fiyat takvimi arasında birkaç komut dosyası aynı anda çalışmaya başlar: bir analitik etiketi, kimin açtığını kimsenin hatırlamadığı bir reklam hesabından gelen yeniden pazarlama pikseli, bir sohbet penceresi, rezervasyon motorunun kendi oturum çerezi. Otelde üç kişiye bunları kimin yerleştirdiğini sorun, üç farklı yanıt alırsınız. Bu yazının sonunda hangi etiketlerin rızaya tabi olduğunu, bandın gerçekte ne sunması gerektiğini ve geri kalan her şeyi mümkün kılan tek belgeyi, yani tam bir etiket envanterini nasıl kuracağınızı bileceksiniz.

Çerez ile reklam pikseli arasındaki fark nedir?#

Çerez, sitenin tarayıcıdan saklamasını ve sonraki isteklerde geri göndermesini istediği küçük bir metin dosyasıdır; böylece site aynı tarayıcıyı sayfalar ve ziyaretler arasında tanır. Reklam pikseli ise sayfadaki minik bir görsel ya da kısa bir koddur; ziyareti bir reklam platformuna bildirir ve platform bunu bir reklam hesabıyla ya da kitleyle eşleştirebilir.

İkisi pratikte iç içedir. Birçok piksel kendi çerezini yerleştirir; sayfadaki tek bir kayıt hem çerez hem piksel olabilir. Bu yüzden otel web sitesi çerez politikası çerez listesiyle yetinemez: onları taşıyan komut dosyaları da önemlidir.

Başvuru belgesi, Kişisel Verileri Koruma Kurumunun Çerez Uygulamaları Hakkında Rehberi (yeni sekmede açılır)'dir (KVKK Yayınları No: 69, güncel sürüm Temmuz 2025). Rehber, internet sitesi işleten her veri sorumlusuna, yani rezervasyon sayfası olan her otele yönelik pratik tavsiyeler içerir.

Rehberin kapsamı sorundan dardır. Yalnızca kişisel veri işlemekte kullanılan çerezleri kapsar; piksel, kullanıcı parmak izi, yerel depolama ve beacon gibi benzer teknolojiler için yönlendirme içermediğini açıkça belirtir. Bu boşluk bir izin değildir: kişisel veri işleyen bir piksel yine de 6698 sayılı Kanun'da bir işleme şartına ihtiyaç duyar. Rehber sadece hangi şart olduğunu söylemez. Dolayısıyla rehber çerez katmanının kontrol listesidir; sayfadaki geri kalan her şeyi otelin kendi envanteri kapsamak zorundadır.

Her iki mekanizma da adı bilinen bir kişiyi değil bir tarayıcıyı tanımlar ve bu bağ kişisel veridir. Tarayıcı, bir ziyareti, bir yeniden pazarlama kitlesini ve sonraki bir rezervasyonu birbirine bağlayan bağdır.

KVKK rehberine göre hangi çerezler açık rıza gerektirir?#

Yalnızca iki tür açık rızanın dışındadır: iletişimin yalnızca elektronik haberleşme şebekesi üzerinden sağlanması için kullanılan çerezler ve ziyaretçinin açıkça talep ettiği bir bilgi toplumu hizmeti için kesinlikle gerekli olan çerezler. İkisine de uymayan her çerez, 6698 sayılı Kanun'un 5 ve 6. maddelerindeki başka bir işleme şartı yoksa açık rıza gerektirir.

Rehber, açık rıza gerektirmediğini belirttiği çerezleri tek tek sayar: kullanıcı girdili, kimlik doğrulama, kullanıcı merkezli güvenlik, multimedya oynatıcısı oturum, yük dengeleme, ara yüz kişiselleştirme, sosyal eklenti içerik paylaşımı, açık rıza yönetimi ve site güvenliği çerezleri. Birinci taraf analitik çerezler meşru menfaat grubundadır; açık rıza dışındadır, ama yalnızca koşullarla: anonim istatistik üretmeli, siteler arası takip yapmamalı, IP maskelemesi önerilir, makul bir ömürde kalmalı ve üçüncü taraflara aktarılmamalıdır. Meşru menfaate dayanan çerezlerde açık rıza gerekmez, ama ziyaretçiye açık bir itiraz yolu sunulmalıdır.

İkisinde uyarı vardır. Kimlik doğrulama çerezleri oturum çerezi sayılır; ancak tarayıcı oturumları arasında kullanıcının girişini açık tutan kalıcı çerezler kesin gereklilik kapsamına girmez, rehber bunun yerine "beni hatırla" kutucuğu önerir. Sosyal eklenti içerik paylaşımı çerezleri yalnızca o sosyal ağa giriş yapmış ziyaretçiler için bu kapsamdadır; üye olmayanlar ve çıkış yapmışlar için açık rıza alınması tavsiye edilir.

Sosyal eklenti takip çerezleri ve çevrim içi davranışsal reklamcılık çerezleri açık rıza ister. Rehber reklam amaçlarını açıkça listeler: gösterim sıklığı, finansal kayıt tutma, reklam ortaklığı, tıklama sahtekârlığını algılama, araştırma ve pazar analizi, ürün geliştirme ve hata ayıklama. Sitenizdeki bir etiket bu amaçlardan birine hizmet ediyorsa rıza katmanına aittir.

Rehber yol gösterir, kanun değildir. Yükümlülük 6698 sayılı Kanun'dan doğar; bu yüzden bir şeyi yeniden yazmadan önce rehberin kendi sitenize nasıl uygulandığını bir hukuk müşaviriyle doğrulayın. Web sitesi katmanının ötesindeki aydınlatma ve rıza yükümlülükleri için otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri yazısına bakın.

Bir çerez bandındaki seçenekler ne zaman gerçek olur?#

Bant, sunduğu her seçim belirli, bilgilendirilmiş, özgür iradeyle verilmiş, her çerez yerleştirilmeden önce aktif bir onay eylemiyle alınmış ve geri alınması verilmesi kadar kolay olduğunda işler. Bunun altı, bir tıklama kaydıdır; rıza değildir.

Rıza belirli olmalıdır: çerezin amacını, süresini ve birinci ya da üçüncü taraf olduğunu belirtmelidir. Bir düzine farklı amacı kapsayan tek bir "tümünü kabul et" düğmesi bu sınavı geçmez. Siteye girmek rıza değildir; önceden işaretli bir kutu de değildir. Onay, çerez yerleştirilmeden önce gelmelidir.

Rehber bir iyi uygulama örneği verir: siteye girişte açılan, eşit renk, büyüklük ve puntoda "kabul et", "reddet" ve "tercihler" düğmeleri sunan bir panel; açık rızaya tabi çerezler ilk anda kapalıdır. Reklam çerezleri için rıza kullanım koşullarına ya da gizlilik bildirimine eklenemez, sitenin kullanımının ön koşulu yapılamaz. Rehber, çerez duvarının rızayı geçersiz kılabileceğini belirtir.

Geri alma kolay olmalı; örneğin ilk ziyaretten sonra da erişilebilir kalan bir ikon ya da küçük bir bantla. Her ziyaretçinin neyi, ne zaman seçtiğini ve bandın hangi sürümünü gördüğünü kaydedin. Bu kayıt, seçimin belirli ve bilgilendirilmiş olduğunu sonradan göstermenizi sağlayan şeydir.

Otel web sitesindeki her etiketin envanteri nasıl çıkarılır?#

Sitedeki her komut dosyasını ve çerezi; tedarikçisi, amacı, ömrü ve kaldırabilecek kişiyle birlikte listeleyin. Adını koyamadığınız etiketler için belirli bir rıza alamazsınız; bu yüzden envanter bandın önünden gelir, arkasından değil.

Etiketler birçok yönden gelir: sitenin yapımı sırasında, reklam ajansından, sayfaya gömülü rezervasyon motorundan, sohbet ve yorum pencerelerinden, harita yerleşimlerinden, başka komut dosyalarını yükleyen bir etiket kapsayıcısından ve çoktan ayrılmış çalışanların açtığı hesaplardan. Bu yayılma kimsenin planı değildir; kampanya kampanya birikir.

Bunları bulmak için canlı siteyi bir tarayıcıda açın ve geliştirici araçlarını, sayfanın ne sakladığını listeleyen paneli kullanın. Denetimi yalnızca ana sayfada değil, rezervasyon adımlarında ve onay sayfasında da yineleyin; çünkü rezervasyon motoru kendi çerçevesi içinde kendi etiketlerini yerleştirir. Her tedarikçiden, ürününün yerleştirdiği çerez ve benzer teknolojileri amaç ve ömürleriyle yazılı olarak isteyin ve bu listeyi bir e-posta dizisine değil sözleşmeye koyun. Üçüncü taraf çerez yerleştirildiğinde otel ve üçüncü taraf ziyaretçileri bilgilendirmek ve rızalarını almakla yükümlüdür; tedarikçinin sessizliği bir savunma değildir.

Her etiket için şunları kaydedin: adı, tedarikçisi, amacı, birinci ya da üçüncü taraf olduğu, ömrü, rıza kategorisi, hangi hesabın sahibi olduğu ve kaldırma şifresini tutan kişi. Site yenilendiğinde, bir kampanya bittiğinde ve yılda bir kez envanteri yeniden çalıştırın. Sapmaların çoğu, hiç kapatılmamış bir kampanyadan gelir. Yeni bir site ısmarlıyorsanız bu düzeni baştan tedarikçi sözleşmesine işleyin; ayrıntılar için otel web sitesi fiyatları: teklifte neler olmalı, sözleşmede neye bakılır? ve otel web sitesinde olması gerekenler yazılarına bakın.

Çerez bildirimi ne demeli ve rızadan farkı nedir?#

Bildirim açıklar, rıza yetkilendirir. Bildirim ziyaretçiye veri sorumlusunun kim olduğunu, ne toplandığını, neden, ne kadar süreyle, üçüncü taraflara ulaşıp ulaşmadığını ve 6698 sayılı Kanun'da hangi şarta dayanıldığını anlatır; rıza ise kesin gerekli olanın ötesine izin veren ayrı bir eylemdir.

Çerezler için bildirim her kategoride amacı, süreyi ve birinci ya da üçüncü taraf bilgisini, ayrıca verilmiş bir seçimin nasıl geri alınacağını taşımalıdır. Kategorileri listeleyip tedarikçiyi hiç anmayan bir bildirim, ziyaretçiyi veriyi kimin aldığını anlamaktan yoksun bırakır. Rezervasyon motoru başlı başına bir tedarikçidir ve rezervasyon adımları içinde oturum ve analitik çerezler yerleştirebilir; bunlar pazarlama etiketleriyle aynı envanterde ve aynı bildirimde yer almalıdır.

Pazarlama mesajları ayrı bir yükümlülüktür. Çerez verisi bir e-posta ya da mesaj kampanyasını besliyorsa, elektronik ticari iletilere ilişkin kurallar çerez kurallarının üstüne biner; ayrıntı için misafire kampanya mesajı: İYS kaydı ve ticari ileti onayı yazısına bakın. Bildirimle bandı eş tutun: bant üç kategori sunarken bildirim yediyi anlatıyorsa, birinin güncellenmediğinin işaretidir.

Bildirimin kendisi için otel KVKK aydınlatma metni: bölüm bölüm örnek yazısı bu makalenin eş parçasıdır.

Ziyaretçi rızayı reddederse reklamlara ve yeniden pazarlamaya ne olur?#

Reklam çerezleri çalışmaz; dolayısıyla o ziyaretçiden bir yeniden pazarlama kitlesi kurulamaz. Reddi kaydeden ama pikseli yine de tetikleyen bir bant sahte bir seçimdir ve kabul eden herkesin rızasının altını oyar.

Ret yolunu kendiniz sınayın: her şeyi reddedin, sonra sonraki sayfada reklam etiketlerinin hâlâ yüklenip yüklenmediğine bakın. Bunu her otel sitesinde sınamaya değer. Rıza olmadan çevrim içi davranışsal reklamcılık çerezi olmaz; bu, o ziyaretçi için gösterim sıklığı, reklam ortaklığı ve kitle kurulumunu kaldırır.

Geriye kalan meşrudur: sayfa içeriğine göre yerleştirilen bağlamsal reklam, rehberin koşulları içinde birinci taraf anonim istatistikler, arama ve otelin kendi rezervasyon içeriği. Geri alma da yolculuk etmelidir: ziyaretçi rızasını geri çektiğinde etiket bir sonraki sayfa yüklemesinde durmalı ve o tarayıcıdan kurulmuş kitle segmenti güncellenmeli ya da kaldırılmalıdır.

Geçerli bir dayanağı olmadan çalışan bir piksel varsa önce durdurun, neyin ne kadar süreyle çalıştığını yazın ve başka ne yapılacağına karar vermeden önce danışın. Tarihleri, yaptırımları ve kendi durumunuzu bir hukuk müşaviri ya da veri koruma danışmanınızla doğrulayın. Rehber tavsiyeler içerir; bir yaptırım cetveli değildir.

Şimdi ne yapmalı#

Bu hafta, banda dokunmadan önce etiket envanterini çıkarın: her çerez ve pikselin adı, tedarikçisi, amacı, ömrü ve onu kapatabilecek kişi tek listede. Sonra bandı reddin gerçek olacak biçimde yeniden yazın, bildirimi onunla hizalayın ve bütün seti hukuk müşavirinize götürün. Rehber tavsiye eder, kanun yükümlü kılar; kendi sitenizin nerede durduğunu yalnızca danışmanınız söyleyebilir.