KVKK للمتجر التركي: بيانات العملاء والكوكيز والموافقة | KVKK for Online Stores

[سفير تركيا]

KVKK للمتجر التركي: بيانات العملاء والكوكيز والموافقة
KVKK for Turkish Online Stores: Data, Cookies and Consent​

بيانات المتجر تبدأ قبل أول طلب: زائر يفتح صفحة، ومشتري يكتب عنوانه، وموظف دعم يقرأ الشكوى، وإضافة خارجية تقيس الإعلان. تطبيق KVKK يعني أن تعرف هذه الرحلة وتحدد لماذا تُجمع كل معلومة، ومن يصل إليها، وإلى أين تنتقل، ومتى تنتهي الحاجة إليها. وضع سياسة خصوصية طويلة لا يثبت وحده أن هذه القرارات اتُخذت داخل النظام.

هذا الدليل يساعد صاحب متجر تركي صغير على إعداد جرد عملي وإجراء يومي. ليست كل معالجة محتاجة إلى موافقة صريحة، وليست الموافقة العامة حلًا لكل استعمال. تبدأ الخطة من الغرض والأساس القانوني والتنوير، ثم تمتد إلى الموردين والكوكيز وحقوق العميل والأمن. اعرض الجرد على المختص مع وصف واقعي للأدوات التي تستعملها، بدل إرسال رابط الموقع وحده.

النتيجة المطلوبة: جرد بيانات محدث، وتنوير مفهوم، واختيارات موافقة حقيقية حيث تلزم، وصلاحيات محددة، وملف موثق للموردين والنقل الخارجي وطلبات العملاء.

تجربة الشراء تجمع بيانات يجب ربطها بغرض واضح. — صورة تعبيرية عامة.​

اعرف من يقرر معالجة البيانات​

حدد الكيان الذي يختار أغراض معالجة بيانات المتجر ووسائلها، لا اسم القالب أو المطور فقط. قد يكون المتجر مسؤول البيانات في الطلب وخدمة العملاء، بينما يقدم مورد خدمة معالجة بناء على تعليماته، وقد يقوم مورد آخر بمعالجة مستقلة ضمن دوره. لا تمنح جميع المتعاقدين الصفة نفسها دون قراءة الخدمة والعقد.

اكتب اسم النشاط ووسيلة التواصل والمسؤول الداخلي عن الخصوصية. في مشروع صغير قد يتابع صاحب المتجر هذا الملف، لكن يجب أن يعرف الموظفون لمن يوجهون سؤالًا أو طلب عميل. ارسم رحلة قصيرة: صفحة المنتج، ثم السلة، ثم مزود الدفع، ثم الفاتورة، ثم المخزن والناقل، ثم خدمة ما بعد البيع. ضع بجانب كل خطوة الأداة والشخص الذي يستخدمها، حتى ترى البيانات التي تنتقل خارج لوحة المتجر.

---

أنشئ جردًا يبدأ من غرض الاستعمال​

افتح جدولًا للمعلومات التي تجمع فعلًا، بما فيها البريد والعنوان والهاتف وسجل الدخول وتفضيلات التسويق. لا تكتف بالحقول الظاهرة في نموذج الشراء؛ برامج التحليل والدردشة والمراقبة قد تجمع بيانات دون أن يكتبها الزائر مباشرة. راجع تصدير البيانات والإضافات وحسابات البريد والأوراق المطبوعة داخل المخزن.

اسأل لكل معلومة: لماذا نحتاجها، ما الحد الأدنى اللازم، وما الضرر لو لم نجمعها؟ لا تطلب تاريخ ميلاد لبيع قطعة منزلية لمجرد أن القالب يوفر هذا الحقل. وإذا احتجت بيانات خاصة أو مستندات هوية لحالة محددة، افحص الأساس والضمانات المناسبة بدل نسخها إلى نظام الملاحظات العام. الجرد يجب أن يصف واقع المتجر اليوم، ويُحدَّث عند إضافة خدمة أو حملة جديدة.

عملية المتجر	بيانات نموذجية	غرض محدد
الطلب والتسليم	اسم وعنوان ووسيلة اتصال	تنفيذ الشراء ووصول الشحنة
الفوترة	بيانات لازمة بحسب المستند	الوفاء بمتطلبات ضريبية
خدمة العملاء	رقم طلب ووصف المشكلة	معالجة استفسار أو نزاع
التسويق الاختياري	قناة وتفضيل وسجل إذن	إرسال حملة ضمن نطاقها
أمن الموقع	سجلات دخول محدودة	حماية الحساب ومنع وصول غير مشروع

---

اختر الأساس القانوني لكل معالجة​

تتضمن شروط معالجة البيانات في القانون موافقة صريحة وشروطًا أخرى، مثل الضرورة المباشرة لإبرام العقد أو تنفيذه، والالتزام القانوني، وحماية حق، والمصلحة المشروعة ضمن شروطها. لذلك لا تجمع كل أعمال المتجر تحت مربع أوافق على استخدام بياناتي. معالجة عنوان لازم لإرسال طلب تختلف عن استعماله لإنشاء جمهور إعلاني.

وثّق الأساس بحسب العملية والغرض والحدود، وليس بحسب اسم قاعدة البيانات. عندما تستند إلى مصلحة مشروعة، افحص الضرورة والتناسب وأثر المعالجة على الحقوق بدل استعمال العبارة كاختصار إداري. إذا تغير غرض البيانات، أعد التقييم قبل إعادة استخدامها. نسخة قائمة العملاء التي استُخرجت لحل مشكلة شحن لا تصبح تلقائيًا قائمة رسائل دعائية، حتى لو بقيت داخل الشركة نفسها.

---

افصل التنوير عن الموافقة​

قدّم التنوير عند جمع البيانات: هوية مسؤول البيانات، وأغراض المعالجة، وجهات النقل وأغراضه، وطريقة الجمع والأساس القانوني، وحقوق الشخص المعني. استعمل نصًا تركيًا واضحًا يناسب جمهور المتجر، مع نسخة عربية مساعدة عند الحاجة. معلومات الخصوصية ليست إعلانًا عن جودة الخدمة؛ يجب أن تقول ما يجري فعلًا لا ما تتمنى تنفيذه لاحقًا.

الموافقة الصريحة، عندما تكون أساسًا مطلوبًا، تحتاج موضوعًا محددًا ومعلومة كافية وإرادة حرة. افصلها عن التنوير وعن موافقة العقد وعن إذن الرسائل التسويقية. لا تحول الاطلاع على سياسة الخصوصية إلى موافقة شاملة على جميع الأغراض. احتفظ بالنص والإصدار والوقت والخيار المسجل، بحيث تستطيع إثبات ما اختاره الشخص تحديدًا، وما لم يختره.

عنصر الواجهة	وظيفته	خطأ يجب تصحيحه
نص التنوير	شرح المعالجة والحقوق	وصف غامض يشمل أي استعمال
موافقة مطلوبة	اختيار لغرض محدد	مربع واحد لكل الأغراض
عقد الشراء	تنظيم عملية البيع	إخفاء التسويق داخل العقد
إذن التسويق	قرار بحسب القناة والنطاق	اعتبار كل مشترٍ مشتركًا تلقائيًا

بيانات الدفع تحتاج صلاحيات محددة ومسارًا معروفًا. — صورة تعبيرية عامة.​

---

راجع OTP والعضوية دون إخفاء إذن التسويق​

رمز التحقق قد يؤكد رقم هاتف أو دخول حساب، لكنه لا يصلح وسيلة مخفية للحصول على موافقة إعلانية. قرار الهيئة بشأن هذه الممارسة يتطلب شرح غرض الرمز ونتيجته، وفصل الإجراءات المختلفة، وعدم جعل الموافقة التسويقية شرطًا لإتمام تقديم المنتج أو الخدمة. اشرح للعميل ما الذي سيحدث عند إدخال الرمز قبل طلبه.

اختبر تسجيل حساب وشراء ضيف وتحديث هاتف من وجهة نظر العميل. يجب أن يستطيع رفض التسويق واستكمال الخدمة متى لم تكن المعالجة الاختيارية لازمة لها. راجع النص الذي يقرؤه موظف الدعم أيضًا؛ عبارة أعطني الرمز لإنهاء الفاتورة قد تخفي واقعًا مختلفًا في النظام. درّب الموظف على استخدام كلمات دقيقة، وافحص أن النظام يسجل اختيار العميل دون إنشاء إذن تلقائي من مجرد نجاح التحقق.

---

صنّف الكوكيز بحسب عملها الحقيقي​

قد تساعد كوكيز ضرورية على حفظ السلة أو دخول المستخدم أو تفضيل الخصوصية المطلوب. لا تحتاج كل هذه العمليات موافقة صريحة تلقائيًا عندما يتوافر أساس آخر صحيح. في المقابل، تتبع السلوك لأغراض الإعلان يحتاج تقييمًا مختلفًا، ولا يصبح ضروريًا لمجرد أنه يفيد مبيعات المتجر. افحص وظيفة كل ملف وأداة والجهة التي تتلقى البيانات.

يقدم دليل الهيئة الحالي أمثلة وحالات، بينها تحليل من الطرف الأول تحت شروط محددة؛ لذلك تجنب عبارتي كل التحليل معفى وكل التحليل ممنوع دون موافقة. دوّن لماذا ينطبق الأساس المختار على إعدادك الفعلي. بعض الإضافات تغير وظيفتها عند تفعيل مشاركة إعلانية أو ربط حساب آخر، فراجع الإعدادات أيضًا. تخصيص الألوان أو الاسم داخل لوحة الإدارة لا يثبت أن الوظيفة خالية من جمع بيانات شخصية.

---

اجعل اختيار الكوكيز قابلًا للتنفيذ​

اعرض قبولًا ورفضًا وتفضيلات بطريقة واضحة ومتقاربة في الظهور، مع رابط للتنوير التفصيلي. عند الحاجة إلى موافقة، ينبغي أن يكون القرار فعلًا إيجابيًا، لا مجرد استمرار التصفح. اربط الاختيار بالتشغيل الفعلي: رفض إعلان يفترض أن يمنع أدوات الإعلان التي تعتمد على هذا الإذن، وليس أن يخفي الشريط بينما يستمر التتبع.

اطلب من المطور اختبار زائر جديد، ثم رفضًا كاملًا، ثم قبول فئة واحدة، ثم تغيير الاختيار. سجّل الأدوات التي تعمل في كل حالة، وحدد مدة حفظ الاختيار ومتى تُعاد مراجعة التنوير. لا تعتمد على صورة نافذة جميلة كدليل اختبار. الجدول التالي سجل عمل للفريق، ويمكن توسيعه باسم الملف والمورد والمدة والغرض والأساس بعد الفحص.

حالة الاختبار	المتوقع	دليل التحقق
قبل أي اختيار	تشغيل ما له أساس صحيح فقط	قائمة الأدوات العاملة
رفض الاختياري	عدم تشغيل ما يعتمد على الإذن	اختبار تحميل الصفحة
قبول الإعلان وحده	احترام نطاق القرار	سجل الاختيار والأدوات
سحب الاختيار	تحديث التشغيل في الزيارات اللاحقة	وقت التغيير والنتيجة

لا يكفي تغيير نص الشريط إذا كانت الإضافات تعمل قبل اختيار الزائر. التحقق يجب أن يشمل السلوك الفعلي للموقع على الهاتف والحاسوب.

---

راجع الموردين والوصول إلى البيانات​

احصر منصة المتجر والاستضافة والدردشة والبريد والتحليل والدفع والشحن وبرنامج المحاسبة. اطلب وصفًا للبيانات التي يتعامل معها المورد، ومكان المعالجة، وأدواره، والموردين الفرعيين، ومدة الحفظ، وضمانات الأمن، وطريقة التعامل مع طلبات العملاء أو الحوادث. عقد خدمة عام لا يجيب دائمًا عن هذه الأسئلة.

امنح المخزن بيانات التسليم اللازمة، ولا تمنحه قائمة الموافقات التسويقية أو تفاصيل نزاع لا يحتاجها. موظف المالية يحتاج مستندات الدفع والتسوية، ولا يحتاج كلمة مرور العميل. استخدم حسابًا لكل موظف وصلاحيات بحسب عمله، وألغ الوصول عند انتهاء العلاقة. عند الاستعانة بمطور مؤقت، استخدم وصولًا محدودًا ووقت انتهاء، واحذف النسخ التجريبية التي تحتوي بيانات فعلية أو استبدلها ببيانات مصطنعة.

بيانات الطلب تمتد إلى التشغيل والمخزن والتسليم. — صورة تعبيرية عامة.​

---

افحص النقل الخارجي وفق النظام الحالي​

قد يحدث النقل الخارجي عندما تستضيف خدمة بيانات العملاء خارج تركيا أو تسمح بالوصول إليها من هناك. هذا التقييم مستقل عن أساس جمع البيانات أولًا. النظام الجاري منذ تعديلات 2024 يضم قرار الكفاية والضمانات المناسبة والحالات العرضية المحددة، ولكل طريق شروطه. لا تستخدم قرارًا قديمًا عن الكوكيز لتصف الموافقة وحدها باعتبارها الطريق العام الحالي للنقل المستمر.

من الضمانات العقود القياسية المعتمدة عند انطباق شروطها، وتوجد متطلبات إخطار للهيئة خلال خمسة أيام عمل من توقيعها. لا تكتف بنموذج عام من مورد أجنبي وتعتبر الملف مكتملًا. طابق دور كل طرف ونوع النقل وملحق البيانات والتدابير، وتحقق من وسيلة الإخطار المعتمدة. اسأل المختص عن الإعداد الذي تستخدمه فعلًا؛ موقع الشركة الأم أو عملة الاشتراك وحدهما لا يحددان أين توجد بياناتك.

---

⁦⁩ افحص VERBIS بحسب حالة النشاط​

قيد مسؤول البيانات في السجل له قاعدة واستثناءات قانونية وقرارات تنطبق وفق معايير محددة. لا يصح القول إن كل متجر صغير معفى أو إن كل موقع ملزم بلا استثناء. اجمع بيانات الكيان والنشاط الرئيسي وحجم العمالة والبيانات المالية وطبيعة البيانات والإقامة القانونية، ثم طابق القرار الجاري مع حالتك وتاريخ دخول الالتزام.

احفظ نتيجة الفحص وسببه ومستنداته ومن اعتمدها، وراجعها عند نمو النشاط أو تغير طبيعته. الإعفاء من التسجيل، إن انطبق، لا يلغي واجبات التنوير والأمن واحترام شروط المعالجة وحقوق الأشخاص. وإذا وجب التسجيل، يجب أن يعكس السجل واقع المعالجة لا قالبًا عامًا. تساعد مراجعة الجرد الدوري على منع ظهور خدمة جديدة في الموقع بينما تظل معلومات السجل والعقود قديمة.

سؤال الفحص	المعلومة المطلوبة	المخرج
من مسؤول البيانات؟	الكيان ومقره ودوره	تحديد الحالة القانونية
هل يوجد استثناء؟	معايير القرار المنطبق	سبب موثق وتاريخ مراجعة
ما البيانات والأغراض؟	جرد العمليات والموردين	بيان واقعي عند وجوب القيد
هل تغير النشاط؟	نمو أو خدمة أو بيانات جديدة	إعادة تقييم الالتزام

---

⁦⁩ نظم الحفظ والحقوق والحوادث​

ضع مدد حفظ بحسب فئة السجل والغرض والالتزام القانوني، ولا تضع مدة واحدة لكل شيء. سحب موافقة التسويق لا يقتضي محو فاتورة يجب الاحتفاظ بها قانونًا، لكنه يستلزم وقف المعالجة التي تعتمد على ذلك الإذن. عند نهاية أسباب المعالجة، طبّق الإجراء المناسب للحذف أو الإتلاف أو إخفاء الهوية، وراجع النسخ الاحتياطية وسياسة المورد.

استقبل طلبات الأشخاص المعنيين عبر قناة معروفة، وتحقق من هوية صاحب الطلب بصورة متناسبة، ثم أجب بأسرع وقت وبحد أقصى ثلاثين يومًا وفق الأحكام السارية. لا ترسل ملف العميل الكامل لمن يكتب بريدًا مشابهًا لاسمه. جهز أيضًا خطة لحادث كشف أو وصول غير مشروع: حفظ الأدلة وتقييد الضرر وتقييم واجبات الإبلاغ ومواعيدها. جرّب الخطة قبل وقوع الحادث، مع جهة اتصال بديلة إذا غاب المسؤول.

---

⁦⁩ أسئلة شائعة وقائمة جاهزية​

راجع الخصوصية عند كل إضافة أو تغيير مورد، لا مرة واحدة يوم الإطلاق. استخدم طلبًا تجريبيًا ببيانات مصطنعة لترى أين تصل المعلومات ومن يستطيع تصديرها. ثم جرّب رفض التسويق وتغيير الكوكيز وطلب حقوق. النتيجة المطلوبة نظام يحترم الاختيار ويقدم جوابًا ثابتًا، لا مجرد ملف نصي محفوظ في مكان لا يفتحه الفريق.

هل أحتاج موافقة صريحة لكل طلب؟
ليس بالضرورة؛ حدّد أساس كل معالجة، مثل الضرورة لتنفيذ العقد أو الالتزام القانوني حيث تنطبق شروطه. يبقى التنوير واجبًا مستقلًا.

هل الإعفاء من VERBIS يعفيني من الخصوصية؟
لا. الإعفاء يتعلق بالقيد في السجل، ولا يلغي تلقائيًا بقية التزامات KVKK.

هل موافقة الكوكيز تحل النقل الخارجي تلقائيًا؟
لا. يجب فحص النظام الحالي للنقل ودوره وشروطه مستقلًا، بما فيها الضمانات المناسبة عند استعمالها.

جردت بيانات الطلب والزيارة والدعم والإضافات.
حددت الغرض والأساس القانوني لكل عملية.
فصلت التنوير والعقد والموافقات الاختيارية.
اختبرت قبول الكوكيز ورفضها وسحب الاختيار.
راجعت الموردين والنقل الخارجي والصلاحيات.
وثقت فحص VERBIS ومدد الحفظ وخطة الطلبات.

---

مواضيع ذات صلة ​

• التزامات المتجر الإلكتروني في تركيا: ملف البائع قبل الإطلاق
• الذكاء الاصطناعي للمتجر التركي: المحتوى والدعم والتحقق من النتائج
• إطلاق متجر إلكتروني في تركيا: خارطة الطريق من الفكرة إلى أول طلب
• سياسة الشحن والإرجاع في تركيا: صياغة تطابق الحقوق والتشغيل
• أخطاء شائعة في الدفع الإلكتروني تضيع مبيعات المتاجر في تركيا
• قبول حساب التاجر في تركيا: المستندات وتطابق البيانات والمتابعة
• مشاكل شائعة في التجارة الإلكترونية بتركيا وحلول عملية لها
• المتجر الصغير في تركيا: تجربة أول 90 يومًا ومتى تتوسع
• رسائل التسويق للمتاجر في تركيا: IYS والإذن وإلغاء الاشتراك