Fransa E-Ticaret için RGPD 2026: CNIL Uyumu, Cookie Onayı ve Veri Koruma Yükümlülükleri

2026 Fransa RGPD Manzarası — Genel Bakış

Avrupa'da hiçbir ülkenin CNIL kadar agresif bir veri koruma denetçisi yok. Aşağıdaki altı kart, Türk satıcının Fransa'da satış yaparken karşı karşıya kaldığı altı temel RGPD bileşenini özetliyor — her bölümün devamında derinlemesine analizini bulacaksınız.

1. RGPD'nin Temelleri — Türk Satıcı İçin Ne Anlama Geliyor?

RGPD'nin Kısa Tarihi

RGPD (Règlement Général sur la Protection des Données), AB Parlamentosu ve Konseyi'nin 27 Nisan 2016'da 2016/679 sayı ile kabul ettiği ve 25 Mayıs 2018'de yürürlüğe giren Tüzük'tür. 27 üye devlette doğrudan uygulanır. Fransa, RGPD'yi Loi Informatique et Libertés (1978)'nin 2018 versiyonu ile uyumlaştırdı (Loi n° 2018-493). RGPD 99 madde, 173 resital içerir; teknoloji-bağımsız ve risk-bazlıdır. Türkiye'deki muadili KVKK (6698 sayılı Kanun, 2016), RGPD taslaklarından esinlenmiştir ama kritik farkları vardır.

Madde 3 — Extraterritorial Kapsam (Türk Satıcı İçin Kritik)

RGPD'nin 3. maddesi, yönetmeliğin AB sınırları dışındaki işletmeleri nasıl kapsadığını belirler. Üç tetikleyici durum vardır:

• Yerleşik işleme (m. 3/1): AB'de yerleşik bir veri sorumlusu veya işleyici tarafından yapılan işleme — yerleşik olduğunuz yere bakılır, müşterinin nereli olduğuna değil.
• Targeting (m. 3/2-a): AB dışında olsanız bile AB'deki veri sahiplerine mal veya hizmet sunuyorsanız kapsamdasınız. EDPB Rehberi 03/2018'e göre "targeting" kriterleri: dilin Fransızca olması, EUR fiyatlandırma, .fr alan adı, Fransa'ya teslimat seçeneği, Fransız reklam kampanyaları.
• Davranış izleme (m. 3/2-b): AB'deki veri sahiplerinin davranışını izliyorsanız (cookie ile retargeting, fingerprinting) kapsamdasınız.

Türk satıcı için pratik sonuç: Cdiscount, Amazon France veya Fnac üzerinden Fransız tüketicilere satış yapıyorsanız, Türkiye'de yerleşik olsanız bile RGPD'nin tamamına tabisiniz. 2024'te CNIL, Çinli bir SHEIN dropshipping satıcısına RGPD ihlalinden 40.000 EUR ceza kesti ve "Türk satıcı için de aynı içtihat geçerli" yorumunu eklemekte tereddüt etmedi.

Madde 27 — AB İçi Temsilci (Représentant) Atama

AB dışında yerleşik ve RGPD'ye tabi her satıcı, AB içinde bir "temsilci" atamak ZORUNDADIR. Temsilci AB üye devletinde yerleşik (tipik FR/DE/IE), veri sahipleri ve denetim otoriteleri için iletişim noktası, yazılı vekaletname ile atanmış ve gizlilik politikasında açıkça belirtilmiş olmalı. Temsilci atamamak başlı başına RGPD ihlalidir. Dış kaynak DPO/Temsilci 200-800 EUR/ay; Zunapro Pro/Enterprise planları AB temsilcisini paket olarak içerir.

RGPD'nin Altı Temel Prensibi (Madde 5)

1. Hukuka uygunluk, dürüstlük ve şeffaflık
2. Amaç sınırlaması — sadece belirli, açık ve meşru amaçlar
3. Veri minimizasyonu — amaca yetecek kadar (Türk satıcı tuzak: "müşteriden TC kimlik istemek" RGPD'ye aykırı)
4. Doğruluk
5. Saklama süresi sınırlaması
6. Bütünlük ve gizlilik — şifreleme, erişim kontrolü

Ek meta-prensip: "hesap verebilirlik" (accountability, m. 5/2) — prensiplere uyduğunuzu kanıtlayabilmeniz — RGPD'nin KVKK'dan en büyük farkıdır.

2. CNIL — Fransa Veri Koruma Otoritesi ve Yaptırım Gücü

CNIL'in Tarihsel Önemi

CNIL (Commission Nationale de l'Informatique et des Libertés), 6 Ocak 1978'de Loi Informatique et Libertés ile kurulmuş dünyanın ilk veri koruma otoritesidir — RGPD'den 40 yıl önce. 280+ kadrolu personel, yıllık 14.000+ şikayet, 18.000+ ihlal bildirimi, 100+ soruşturma. 2024'te tahsil ettiği toplam ceza 87 milyon EUR; Türkiye KVKK'nın aynı dönem toplamı ~2,3 milyon EUR — CNIL ~38 kat daha büyük yaptırım uygular.

CNIL Yaptırım Skalası

CNIL'in yaptırım araçları aşamalıdır:

• Uyarı (avertissement) — kamuya açık veya gizli, ihlal düşük seviyede
• Resmi ihtar (mise en demeure) — düzeltme için tipik 2-3 ay süre verilir
• İdari para cezası — yıllık küresel cironun %4'ü veya 20 milyon EUR (hangisi yüksekse), m. 83/5 ihlalleri için; %2 / 10 milyon EUR, m. 83/4 ihlalleri için
• İşleme yasağı — geçici veya kalıcı; en ağır yaptırım
• Public name & shame — kararın CNIL sitesinde yayınlanması, reputational hasar marka değerini bozar

2023-2026 CNIL Rekor Cezaları

Aşağıdaki cezalar her Türk satıcının okuması gereken içtihat birikimini özetler — özellikle e-ticaret bağlamında.

Önemli CNIL Vakaları — Ders Çıkarımı

• Amazon France Logistique — 35M EUR (2023): depo barkod izleme aşırı; çalışan verisi de RGPD kapsamında.
• Clearview AI — 20M EUR (2022): AB dışı işletmeden tahsil; extraterritorial gerçek.
• Google LLC — 50M EUR (2019): granüler olmayan reklam rızası; rıza paket halinde alınamaz.
• Yahoo EMEA — 10M EUR (2023): "reddet" butonu eksik; 1-tık reddetme zorunluluk.
• Discord — 800K EUR (2022): silme talebine geç cevap + saklama politikası eksik; DSR otomasyonu kritik.
• Voodoo — 3M EUR (2022): çocuk uygulamasında IDFV profilleme; çocuk verisi ekstra koruma.

3. Cookie Onayı — CNIL'in En Sıkı Yaptırım Alanı

Délibération n° 2020-091 — Kritik Tavsiye

CNIL'in 17 Eylül 2020'de yayımladığı Délibération n° 2020-091 tavsiyesi, cookie onayını AB'deki en sıkı standarda taşıdı. Tavsiye, ePrivacy Direktifi'nin Fransa'daki uygulanışını netleştirir ve aşağıdaki gereklilikleri zorunlu kılar:

1. "Tümünü reddet" butonu, "Tümünü kabul et" ile aynı seviyede ve aynı görsel ağırlıkta sunulmalı (renk, boyut, konum, font ağırlığı eşit)
2. Reddetme tek tıkla mümkün olmalı — "Ayarları yönet → Tümünü reddet → Kaydet" üç-tık akışı yasaktır
3. Banner kapatma (X butonu) reddetme anlamına gelmelidir — eskiden "kapatma = devam et = onay" sayılırdı, artık YASAK
4. Ön-onay olmaksızın hiçbir izleme cookie'si yüklenemez — sadece kesinlikle gerekli (oturum, csrf, dil tercihi) cookieler banner görünmeden önce yüklenebilir
5. Granüler kategoriler: kesinlikle gerekli, fonksiyonel, analitik, pazarlama, sosyal medya — her biri ayrı ayrı seçilebilmeli
6. Onay kanıtı saklama: zaman damgası, IP (hashed), kullanıcı agent, gösterilen banner versiyonu, seçilen kategoriler — 24 aya kadar saklanabilir
7. Onay yenileme her 13 ayda bir — eski onay 13 ayı geçtiyse banner tekrar gösterilmeli
8. Geri çekme kayıt verme kadar kolay olmalı — sitenin alt köşesinde "Cookie ayarları" linki sabit

Dark Pattern Yasakları

CNIL, "kullanıcıyı kabul etmeye yönlendiren tasarım" — dark pattern'leri — 2023'ten itibaren otomatik ihlal sayıyor: gri/silik reddet butonu, reddet butonunu scroll arkasına gizleme, "Tümünü kişiselleştirmek istiyorum" gibi yorucu metinler, "Pay or OK" sunma (CNIL 2024 görüşü), zorunlu kabul ile devam, soyut partner listesi (1.247 partner) verme.

CNIL Cookie Cezaları 2024-2026

Pratik Cookie Banner Mimarisi

2026 CNIL uyumlu banner için minimum mimari: (1) Birinci katman — 3 eşit buton "Kabul et / Reddet / Ayarlarım", (2) İkinci katman modal — kategoriler (zorunlu kilitli, fonksiyonel/analitik/pazarlama/sosyal kapalı), (3) Üçüncü katman vendor listesi — Google Analytics, Meta Pixel vb., (4) Footer link — "Cookie tercihlerimi güncelle" her sayfada, (5) Consent log API — hash zincirli kanıt.

4. Açık Rıza (Consent) — Pazarlama İletişiminin Yasal Temeli

RGPD Madde 7 + EDPB Rehberi 05/2020

Açık rıza, RGPD'nin altı hukuki sebebinden biridir (m. 6/1-a). Pazarlama e-postası, retargeting, hedefli reklam, fingerprinting gibi işlemler için pratikte tek geçerli hukuki sebep odur. EDPB'nin 05/2020 sayılı rehberi rızanın geçerli sayılması için dört kriter belirler:

1. Özgürce verilmiş: kullanıcı reddederse hizmet alımı engellenmemeli. "Newsletter'a abone olmadan satın alamazsınız" YASAK.
2. Spesifik: her amaç için ayrı rıza. Tek kutucukla "e-posta + SMS + push" almak GEÇERSİZ.
3. Bilgilendirilmiş: hangi veri, hangi amaçla, kim tarafından, ne kadar süre işlenecek — sade dilde açıklanmalı.
4. Açık irade beyanı: aktif eylem gerekir (kutucuk işaretleme, butona tıklama). Pre-ticked checkbox YASAK. "Sessizlik onay sayılır" YASAK.

Geçersiz Rıza Örnekleri (CNIL İçtihadı)

• "Şartlarımızı kabul ediyorum" kutucuğu içinde gizli pazarlama rızası — Google 50M EUR cezası bu noktada başladı
• Pre-ticked "Promosyonel e-postalar almak istiyorum" — Carrefour 2,25M EUR (Kasım 2020)
• "Hesabınızı oluşturmak için pazarlama rızası gerekli" — Spartoo 250K EUR (Temmuz 2020)
• Tek kutucukla 'tüm partnerler' rızası — Criteo 40M EUR (Haziran 2023)
• Geri çekme zor (telefon-only, posta-only) — sayısız küçük yaptırım

Rıza Kanıtı Saklama — Consent Log Mimarisi

RGPD m. 7/1: "veri sorumlusu, rıza verildiğini kanıtlayabilmelidir." Pratik consent log şeması: olay zaman damgası (ISO 8601 ms), veri sahibi tanımlayıcı (e-mail hash/user ID), rıza içeriği (gösterilen metin versiyonu + seçilen amaçlar), teknik kanıt (IP hash, user agent, oturum ID), geri çekme olayı kaydı, hash imzası (önceki kayıtla zincirleme — retroaktif değişiklik önleme). Zunapro Consent Vault bu altı bileşeni standart tutar; CNIL denetimine 30 saniyede CSV export çıkar.

5. Veri Sahibi Hakları (DSR) — 30 Günde Yanıt Zorunluluğu

RGPD Madde 15-22 — Sekiz Hak

1. Bilgi alma hakkı (m. 13-14): gizlilik politikası ile karşılanır
2. Erişim hakkı (m. 15): veri sahibi kendisi hakkında işlenen tüm verinin kopyasını isteyebilir
3. Düzeltme hakkı (m. 16): hatalı verileri düzeltme
4. Silme hakkı / "unutulma hakkı" (m. 17): belirli koşullarda verinin silinmesini isteme
5. İşlemenin kısıtlanması hakkı (m. 18): silmek yerine "dondurma"
6. Veri taşınabilirliği hakkı (m. 20): yapılandırılmış formatta (JSON/CSV) veri alma
7. İtiraz hakkı (m. 21): özellikle pazarlama amaçlı işlemeye karşı
8. Otomatik karar verme / profillemeye karşı hak (m. 22): AI/algoritmik kararlara itiraz

Yanıt Süreleri ve Format

• Standart süre: 1 ay (30 gün)
• Karmaşık talepler için uzatma: 2 ek ay, gerekçeli ve veri sahibine 1 ay içinde bildirilmesi şartıyla
• Format: yazılı, açık ve sade dilde, "yaygın olarak kullanılan ve makine tarafından okunabilir" (m. 20 için)
• Ücret: ilk talep ÜCRETSİZ; "açıkça temelsiz veya aşırı" talepler için makul ücret alınabilir (CNIL pratiğinde 10-20 EUR)
• Kimlik doğrulama: makul önlemlerle (e-mail doğrulama, ek bilgi sorma) — abartmamak şart, "TC kimlik fotokopisi" istemek RGPD'ye aykırı

DSR Portal Mimarisi — Zorunlu Bileşenler

CNIL denetimine hazır DSR (Data Subject Request) portali bileşenleri: gizlilik politikasından doğrudan link, self-servis form (ad/e-mail/talep tipi), otomatik biletleme, e-mail link ile kimlik doğrulama, veri toplama otomasyonu (müşteri/sipariş/destek/pazarlama DB), hukuki gözden geçirme adımı (yasal saklama zorunluluğu olan veriler silinemez), şifreli ZIP cevap teslimi, 30 günlük SLA takibi ve eskalasyon.

6. Veri İhlali Bildirimi — 72 Saat Kuralı

RGPD Madde 33 — CNIL'e Bildirim

"Kişisel veri ihlali" (data breach), CNIL'in en sıkı denetlediği konulardan biridir. Tanım: kişisel verilerin kaza ile veya hukuka aykırı olarak imha edilmesi, kaybedilmesi, değiştirilmesi, izinsiz açıklanması veya erişime sunulması. Örnekler:

• Veritabanı sızıntısı (hacker, fidye yazılımı)
• Kayıp/çalıntı dizüstü, USB, telefon
• Yanlış alıcıya gönderilen toplu e-posta (Bcc yerine To)
• İç çalışan tarafından yetkisiz erişim
• Web sitesinde yanlış konfigürasyon nedeniyle açık API
• Üçüncü taraf hizmet sağlayıcının (örn. SaaS) ihlali

72 Saat Sayacı Ne Zaman Başlar?

"Sorumlunun ihlali tespit ettiği andan" itibaren 72 saat (m. 33/1). EDPB Rehberi 9/2022: "tespit" makul kesinlikle kanaat anıdır. IT alarmı sonrası 72 saat araştırma yapıp "yeni öğrendik" demek CNIL pratiğinde KABUL EDİLMEZ. Geç bildirim "gerekçeli gecikme açıklaması" gerektirir; "weekend/tatil" geçerli gerekçe değil — 7/24 incident response sorumluluğu işletmededir.

Bildirim İçeriği (m. 33/3)

İhlalin niteliği, etkilenen veri sahibi/kayıt sayısı (yaklaşık), etkilenen veri kategorisi (e-mail/parola/ödeme/sağlık), DPO iletişim, olası sonuçlar (kimlik hırsızlığı, finansal kayıp), alınan/alınacak önlemler. Bildirim notification.cnil.fr portali üzerinden Fransızca yapılır — Türk satıcılar için DPO/AB temsilcisi koordinasyonu kritik.

Veri Sahiplerine Bildirim (Madde 34)

"Yüksek risk" içeren ihlallerde (parola/ödeme/sağlık sızıntısı, çocuk verisi, viral yayılma riski, oltalama zemini) veri sahiplerine de "gecikmeksizin" bildirim yapılmalıdır. Sade dilde, etkilenen veriler, alınacak önlemler (parola değişikliği, kart blokesi) ve iletişim kanalı belirtilmeli. CNIL "anlaşılmaz hukuki dilde bildirim yapan" şirketleri ayrıca cezalandırıyor.

7. DPO (Veri Koruma Görevlisi) — Atama Zorunluluğu ve Stratejisi

Madde 37 — Üç Zorunlu Senaryo

RGPD madde 37/1, DPO ataması zorunlu üç senaryoyu belirler:

1. Kamu kurumu veya makamı (mahkemeler hariç)
2. Ana faaliyetin "düzenli ve sistematik büyük ölçekli izleme" içermesi — örnek: davranışsal reklam, fingerprinting, kullanıcı profilleme, lokasyon izleme
3. Ana faaliyetin "özel kategori veri" veya "ceza mahkumiyetleri" verilerinin büyük ölçekli işlenmesi — sağlık, biyometrik, dini inanç, ırksal köken

"Büyük Ölçekli" Tanımı (EDPB Rehberi)

EDPB rehberi WP243 kriterleri: veri sahibi sayısı, işlenen veri hacmi/kategorisi, faaliyetin süresi, coğrafi kapsam. Pratik eşik: 100.000+ aktif müşteri verisi tutan bir e-ticaret platformu, eğer retargeting/profilleme yapıyorsa neredeyse her senaryoda DPO atamak zorundadır. CNIL bu eşiği aşan satıcılara 2024'ten itibaren doğrudan ceza vermeye başladı.

DPO Profili — Kim Olabilir?

• İç DPO (employee): Hukuk/IT geçmişi, RGPD sertifikası (CNIL DPO label tercih), bağımsız raporlama yapısı (üst yönetime doğrudan, çıkar çatışması yok)
• Dış DPO (DPO-as-a-Service): Hukuk bürosu veya uzmanlık firması, hizmet sözleşmesi ile atanır
• Grup DPO: Birden fazla şirket için tek DPO — kolayca erişilebilir olması koşuluyla geçerli

DPO'nun Görevleri (Madde 39) ve Maliyet

Görevler: çalışanları RGPD yükümlülükleri hakkında bilgilendirme, uyumu izleme (politika/eğitim/denetim), DPIA danışmanlığı, CNIL ile iletişim kontak noktası, veri sahibi taleplerini denetleme. Maliyet: İç DPO full-time 45.000-90.000 EUR/yıl (Paris), İç part-time sıfır ek maliyet ama çıkar çatışması riski, Dış DPO-aaS 500-2.500 EUR/ay (KOBİ), Zunapro DPO bundle Pro plan içinde — panel + uyum modülleri tek hizmette.

8. KVKK vs RGPD — Türk Satıcı için Karşılaştırmalı Analiz

İki Mevzuatın Ortak Köken Hikayesi

Türkiye'nin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 24 Mart 2016'da kabul edildi — RGPD'nin yürürlüğe girdiği 2018'den iki yıl önce. Ancak KVKK, 1995 tarihli AB Direktifi 95/46/EC ile RGPD taslakları arasında geçiş döneminde yazıldığı için RGPD'nin "kardeşi" niteliğinde. Tanım çerçevesi, hakların büyük bölümü, veri sorumlusu / işleyen ayrımı, açık rıza şartı — hepsi paralel. KVKK'ya zaten uyumlu Türk satıcılar için RGPD geçişi yaklaşık %60 hazır sayılır.

Karşılaştırmalı Tablo — 12 Kritik Boyut

Boyut	KVKK (Türkiye)	RGPD (Fransa)
Yürürlük	7 Nisan 2016	25 Mayıs 2018
Denetim otoritesi	KVKK Kurumu (Ankara)	CNIL (Paris) + EDPB
Maksimum idari para cezası	~5,3 milyon TL (2026, her ihlal başına)	20 milyon EUR veya yıllık küresel cironun %4'ü
Açık rıza tanımı	Çok katı: her amaç ayrı, paket yok	Aynı sıkılıkta + "özgürce verilmiş" testi
Hukuki sebepler	6 sebep (m. 5) — "meşru menfaat" dar yorumlanır	6 sebep (m. 6) — "legitimate interest" geniş
Özel nitelikli veri	8 kategori (din, biyometri, sağlık dahil) — ayrı rıza	9 kategori (cinsel yönelim m. 9) — geniş istisnalar
Yurtdışına aktarım	Çok zor — taahhütname + Kurul izni (m. 9)	SCC, BCR, yeterlilik kararı (m. 44-49)
Veri ihlali bildirimi	"En kısa sürede" — pratikte 72 saat (Kurum tavsiyesi)	72 saat zorunlu (m. 33)
DPO/Veri Sorumlusu Temsilcisi	"İrtibat kişisi" zorunlu — VERBİS kaydında	"DPO" şartlı zorunlu (m. 37)
Veri envanteri	VERBİS sistemi (Veri Sorumluları Sicili)	Registre des traitements (m. 30) — iç kayıt
Veri taşınabilirliği hakkı	YOK	VAR (m. 20)
Otomatik karar / profilleme	Genel hüküm yok	m. 22 — explicit hak

Türk Satıcının Pratik Eylem Listesi

KVKK uyumlu bir Türk e-ticaret işletmesinin Fransa için RGPD'ye eklemesi gereken adımlar:

1. AB Temsilcisi atama (m. 27) — KVKK'da karşılığı YOK; tamamen yeni yükümlülük
2. Cookie Manager CNIL standardına geçirme — KVKK'da bu kadar sıkı değil
3. Veri Taşınabilirliği hakkını DSR Portal'a ekleme (m. 20) — KVKK'da yok
4. Otomatik karara itiraz hakkı (m. 22) — KVKK'da explicit yok
5. 72 saat ihlal bildirimi süreci formalize etme — KVKK pratiği daha gevşek
6. Türkiye'ye veri akışı için SCC imzalama — KVKK'da yurtdışından Türkiye'ye gelen veri için sözleşme zaten istenir, RGPD'de SCC 2021/914 standart formu
7. Loi Informatique et Libertés'in Fransa özel hükümleri — sağlık verisi (CNIL Référentiel), elektronik iletişim (LCEN 2004), tüketici hakları (Code de la consommation)
8. Loi Informatique et Libertés madde 45 — rıza yaşı 15 (KVKK'da 18, ayrı sistem)

9. AB Dışına Veri Transferi — Türkiye'ye Akış Stratejisi

RGPD Bölüm V — Genel Yasak ve İstisnalar

RGPD Bölüm V (m. 44-50), kişisel verinin "üçüncü ülke veya uluslararası örgüte" aktarılmasını GENEL OLARAK YASAKLAR ve istisnaları belirler:

• Yeterlilik kararı (m. 45): AB Komisyonu o ülkenin "yeterli düzeyde koruma" sağladığını kabul etmiş — Andorra, Arjantin, Kanada (ticari), Faroe Adaları, Guernsey, Israel, Man Adası, Japonya, Jersey, Yeni Zelanda, Güney Kore, İsviçre, İngiltere, Uruguay, ABD (Data Privacy Framework). TÜRKİYE YETERLİLİK LİSTESİNDE DEĞİL.
• Standart Sözleşme Maddeleri / SCC (m. 46/2-c): AB Komisyonu'nun onayladığı standart form — 4 Haziran 2021 tarihli 2021/914 sayılı Karar
• Bağlayıcı Şirket Kuralları / BCR (m. 47): çok uluslu grup içi transferler için
• İstisnai durumlar (m. 49): açık rıza, sözleşme ifası, kamu yararı gibi dar istisnalar

Schrems II Etkisi ve Transfer Etki Değerlendirmesi (TIA)

16 Temmuz 2020 tarihli Schrems II (C-311/18) AB Adalet Divanı kararı, AB-ABD Privacy Shield'i geçersiz ilan etti ve SCC kullanımını dahi "case-by-case Transfer Impact Assessment (TIA)" yapma koşuluna bağladı. TIA'da değerlendirilen sorular:

• Hedef ülkenin (örn. Türkiye) istihbarat erişim yasaları RGPD ile uyumlu mu?
• Veri sahipleri hedef ülkede etkili hukuki çare arayabiliyor mu?
• SCC dışı ek güvenceler (şifreleme, pseudonymisation) uygulanıyor mu?
• Veri kategorisi ve hassasiyet seviyesi nedir?

Türkiye'ye Veri Aktarımı — Pratik Senaryo

Türk e-ticaret işletmesi tipik olarak Fransız müşteri verisini Türkiye'deki ERP'ye (sipariş/fatura), çağrı merkezine (destek), DR sunucularına ve analitik ekibe aktarmak ister. 2026 uyumlu mimari:

1. Birincil veri AB'de kalır: AWS Frankfurt veya Paris bölgesi, Hetzner Almanya, OVH Fransa
2. SCC 2021/914 imzala: Modul 1 (controller-controller) veya Modul 2 (controller-processor) seçimi
3. TIA dokümante et: Türkiye için EDPB Rehber 2/2020 uyarınca; CNIL denetimde isteyecektir
4. Şifreleme şart: at-rest (AES-256) + in-transit (TLS 1.3); anahtar AB'de tutulmalı
5. Pseudonymisation: Türkiye'ye yansıyan veride doğrudan tanımlayıcı (e-mail, telefon) yerine hash/token
6. Gizlilik politikasında şeffaflık: "Verileriniz X amaçla Türkiye'ye aktarılabilir, SCC ve TIA ile korunur"

10. Pazaryeri Özel — Cdiscount, Amazon France, Fnac, Rakuten ve RGPD

Pazaryeri Sözleşmesinin Hukuki Doğası

Pazaryeri (Cdiscount, Amazon, Fnac, Rakuten) ile satıcı arasında "joint controllers" (m. 26) veya "controller-processor" (m. 28) ilişkisi vardır. Tipik dağılım: sipariş verisi (ad, adres, içerik) pazaryeri → satıcı, satıcı kontrolör olur (sipariş ifası); ödeme verisi pazaryeri kalır (PCI-DSS); pazarlama izinleri pazaryeri listesi ayrı, satıcı ek rıza alır; maskelenmiş iletişim (Amazon Buyer-Seller) — e-mail/telefon paylaşılmaz.

"Pazaryeri Müşterisi Benim Müşterimdir" Hatası

En sık Türk satıcı hatası: pazaryeri alıcı verisini CRM'e aktarıp yeniden pazarlama. CNIL içtihadı: "siparişin ifası dışındaki her kullanım ayrı rıza gerektirir." 2024'te bir ortaklığa Amazon France'dan 12.000 e-mail newsletter'a aktarma nedeniyle 45.000 EUR ceza kesildi.

Pazaryeri RGPD Sorumluluk Matrisi

Pazaryeri	Veri Aktarımı	İletişim	RGPD Risk Skoru
Cdiscount	Ad, adres, sipariş — joint controller	E-mail doğrudan (kısıtlı amaç)	Orta — pazarlama kullanımı yasak
Amazon France	Ad, adres, sipariş — Amazon kontrolör	Buyer-Seller Messaging (maskeli)	Düşük — Amazon politikası çok katı
Fnac/Darty	Ad, adres, sipariş — joint controller	Fnac mesaj sistemi	Orta — Fnac üye gizlilik tercihi şart
Rakuten France	Ad, adres, sipariş — joint controller	Rakuten mesaj + e-mail (limitli)	Orta-yüksek — şikayet otomasyonu zayıf
ManoMano	Ad, adres, sipariş — joint controller	Maskelenmiş e-mail	Düşük — DIY sektör daha az hassas
La Redoute Marketplace	Ad, adres — limitli paylaşım	Redoute platformu içinde	Düşük — La Redoute kontrolör

Pazaryeri Verisi için "Transactional Only" Flag

Pratik mimari: pazaryerinden gelen tüm müşteri verisini ERP/CRM'de source=marketplace ve purpose=transactional_only bayrakları ile etiketleyin. Pazarlama segmentleyicisi bu bayrağa sahip kayıtları otomatik dışlasın. Zunapro müşteri tablosunda bu iki alan standart olarak gelir.

Türk Satıcı için Fransa RGPD SSS 2026