İYS Rehberi: Kayıttan İzin Yüklemeye, Ret Yönetiminden Cezalara Tam Uygulama Kılavuzu

Cuma akşamı 17.40. Web sitenizdeki formu dolduran bir müşteri, "kampanyalardan haberdar olmak istiyorum" kutucuğunu işaretledi. Bu onay, o an itibarıyla hukuken hiçbir şey ifade etmiyor. Değer kazanması için İleti Yönetim Sistemi'ne yazılması gerekiyor ve elinizde üç iş günü var. Pazartesi, salı, çarşamba. Çarşamba akşamına kadar sisteme girmezse, o onay geçersiz sayılıyor. Ertesi hafta o kişiye kampanya SMS'i attığınızda, teknik olarak izinsiz gönderim yapmış oluyorsunuz.

Türkiye'de ticari elektronik ileti mevzuatının en pahalı tarafı bu değil aslında. En pahalı tarafı, çoğu işletmenin bu kuralı bildiği hâlde onu bir kuyruğa bağlamamış olması. İzin toplayan formlar var, çağrı merkezi kayıtları var, mağazada imzalatılan taahhütnameler var; ama hepsini üç iş günü içinde tek bir yere akıtan bir mekanizma yok. Onaylar Excel dosyalarında, e-posta eklerinde ve satış temsilcisinin telefonunda birikiyor, sonra ayda bir toplu hâlde yükleniyor. O toplu yükleme, hukuken geç kalmış bir yüklemedir.

Bu yazı İYS'yi hukuk bülteni gibi anlatmıyor. Madde numaraları var, çünkü denetimde madde numarası soruluyor. Ama asıl derdi şu: pazartesi sabahı işe geldiğinizde hangi sırayla ne yapacaksınız, hangi kararları vereceksiniz, hangi tuzağa düşeceksiniz. Kayıt sürecinden entegratör seçimine, izin kaydının hangi alanlarla oluştuğundan CRM ile İYS arasındaki senkronun nasıl kurulacağına kadar operasyonel tarafı anlatıyoruz.

Bir uyarı: burada yazanlar hukuki danışmanlık değildir. Mevzuat metinlerine ve resmî kaynaklara bağlantı verdik, kendi durumunuz için avukatınıza danışın. Ekran adımlarını da bilerek anlatmadık, çünkü arayüzler değişiyor; süreci mantık düzeyinde kurarsanız arayüz değişse de kararlarınız ayakta kalır.

İYS tam olarak nedir, kimin sistemi, kim denetliyor

İleti Yönetim Sistemi, ticari elektronik ileti onaylarının ve retlerinin tutulduğu merkezî bir kayıt platformu. Kısacası ulusal bir izin defteri. Bir markanın bir telefon numarasına SMS atma izni olup olmadığı bu defterde yazıyor; o defter de markanın kendi veritabanında değil, ortak bir sistemde duruyor.

Sistemin hukuki dayanağı ve sahipliği

Dayanak, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve buna bağlı Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik. Yönetmelik 15 Temmuz 2015'te Resmî Gazete'de yayımlandı, İYS'yi kuran hükümler ise 4 Ocak 2020 ve 28 Ağustos 2020 tarihli değişikliklerle eklendi.

Sistemi kurma görevi T.C. Ticaret Bakanlığı tarafından Türkiye Odalar ve Borsalar Birliği'ne verildi. TOBB da bu amaçla İleti Yönetim Sistemi A.Ş.'yi kurdu. Şirket, kendi sitesinde tek hissedarının TOBB olduğunu belirtiyor. Denetim yetkisi Bakanlıkta; işletme İYS A.Ş.'de.

Bu ayrım pratikte önemli. İYS A.Ş. size ceza kesmez, size hizmet verir. Ceza, Ticaret il müdürlüklerinden gelir. Yani "İYS'ye kaydoldum, sorun kalmadı" cümlesi eksiktir; İYS kayıt yerinizdir, uyum sorumluluğunuz size aittir.

İYS ne yapar, ne yapmaz

İYS izin tutar. Mesaj göndermez. Bu, işletmelerin en sık karıştırdığı nokta. İYS'ye kaydolmakla SMS gönderemezsiniz; SMS göndermek için ayrıca bir toplu mesaj sağlayıcısıyla çalışmanız gerekir. İYS o sağlayıcının size "bu numaraya gönderebilirsin" ya da "gönderemezsin" cevabını verdiği yerdir.

İYS ayrıca size müşteri bulmaz, izin üretmez ve pazarlama listesi satmaz. İçindeki her kayıt, sizin ya da alıcının koyduğu bir kayıttır. Sistemin size sağladığı tek şey hukuki güvence: onayın varlığını merkezî bir kayıtla ispatlayabilir hâle gelirsiniz.

2026'da denetim gerçekten yapılıyor mu

Yapılıyor. Ticaret Bakanlığı'nın 2026 yılı ocak-nisan dönemi piyasa denetim bilançosuna göre dört ayda 170.011 firma denetlendi ve toplam 1,1 milyar TL idari para cezası uygulandı. Bilançoda ticari elektronik ileti, çalışma saatleri ve lisanslı depolara ilişkin denetimlerde uygulanan idari para cezası tutarı 21,9 milyon TL olarak açıklandı. Bu kalem üç konuyu birlikte gösterdiği için yalnızca ticari iletiye düşen payı ayrıştıramıyoruz, ama başlığın bilançoda ayrı satır olarak yer alması denetimin sürdüğünü gösteriyor.

Şikayet mekanizması da çalışıyor. Yönetmeliğin 14. maddesine göre alıcı, kendisine gelen bir iletiyi e-Devlet kapısı, İYS veya Bakanlığın internet sitesi üzerinden ya da yazılı olarak ikametgâhının bulunduğu ildeki il müdürlüğüne şikayet edebiliyor. Aynı madde başvuruda nelerin bulunacağını da sayıyor: şikayetçinin T.C. kimlik numarası, iletiyi gönderenin numarası veya alfanümerik başlığı, gönderim tarihi ve saati, iletinin görsel bir örneği. Yani denetimin başlaması için müfettişin kapınıza gelmesi gerekmiyor; ekran görüntüsünü saklamış tek bir müşteri yeterli.

Kim kayıt olmak zorunda, kim değil

Kural sade: elektronik iletişim adreslerine ticari elektronik ileti gönderen her hizmet sağlayıcı İYS'ye kaydolmak zorunda. Ciro, çalışan sayısı, sektör ya da şirket türü fark etmiyor. Şahıs işletmesi de kapsamda, anonim şirket de.

"Hizmet sağlayıcı" ve "ticari elektronik ileti" ne demek

Yönetmeliğin 4. maddesi ticari elektronik iletiyi şöyle tanımlıyor: telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar kullanılarak elektronik ortamda gerçekleştirilen ve ticari amaçlarla gönderilen veri, ses ve görüntü içerikli iletiler.

Buradaki "gibi vasıtalar" ifadesi sayımı kapatmıyor, açık bırakıyor. Yani listede adı geçmeyen bir kanal otomatik olarak kapsam dışı sayılmıyor. Bu ayrıntı, birazdan geleceğimiz WhatsApp ve Instagram tartışmasının kilit noktası.

Onay gerektirmeyen gönderimler

Yönetmeliğin 6. maddesi bazı iletileri onay şartından muaf tutuyor. Bunlar tanıtım değil, işin doğal akışı sayılıyor:

• Alıcının kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini vermesi hâlinde, temin edilen mal veya hizmete ilişkin değişiklik, kullanım ve bakım bildirimleri
• Devam eden abonelik, üyelik veya ortaklık durumuna dair tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat bildirimleri
• Tacir veya esnaf olan alıcılara gönderilen iletiler
• Sermaye piyasası mevzuatı kapsamındaki bilgilendirmeler

Kritik şart: bu iletilerin içinde tanıtım, promosyon veya kampanya olamaz. "Kargonuz yola çıktı, bu arada indirim kuponunuz da hazır" cümlesi, muaf bir bildirimi ticari iletiye çevirir. Cümlenin ikinci yarısı yüzünden birinci yarısının muafiyeti kaybolur.

Ticaret Bakanlığı'nın kaydı ile İYS kaydı aynı şey değil

E-ticaret yapan işletmelerin ETBİS kaydı ayrı bir yükümlülük, İYS kaydı ayrı. ETBİS elektronik ticaret faaliyetinizi Bakanlığa bildirdiğiniz yer; İYS izinlerinizi tuttuğunuz yer. İkisi de Ticaret Bakanlığı çatısı altında ama birbirinin yerine geçmez. E-ticaret hacminin 2025'te 4,567 trilyon TL'ye ulaştığı ve ETBİS'e kayıtlı işletme sayısının 634 bin'e çıktığı bir pazarda, bu iki kaydı karıştıran işletme sayısı hiç de az değil.

İYS yalnızca üç kanal tutuyor: arama, SMS, e-posta

Bu bölüm, İYS hakkında yazılan Türkçe içeriğin çoğunda ya hiç geçmiyor ya bir cümleyle geçiştiriliyor. Oysa bugün müşteriyle konuşan işletmelerin çoğu için en önemli gerçek bu.

Kanıt sistemin kendi arayüzünde

İYS'nin izin kaydı tuttuğu kanal tipleri üç tane: ARAMA, MESAJ ve EPOSTA. Bu, yorum değil; İYS'nin hizmet sağlayıcı API dokümantasyonunda izin nesnesinin type alanı yalnızca bu üç değeri kabul ediyor ve doküman bunu açıkça yazıyor: "İYS üzerinde şu an için sadece ARAMA, MESAJ ve EPOSTA kanalları için izinler saklanmaktadır." Dördüncü bir tip yok. WhatsApp için bir izin tipi yok, Instagram doğrudan mesajı için yok, Telegram için yok, uygulama içi bildirim için yok.

Dolayısıyla şu iki cümlenin ikisi de doğru ve aynı anda geçerli: WhatsApp üzerinden toplu pazarlama mesajı atmak için İYS'ye izin yükleyemezsiniz, çünkü yükleyeceğiniz bir alan yok. Ve bu, WhatsApp'ın serbest bölge olduğu anlamına gelmez.

Peki anlık mesajlaşma kanalları kapsam dışı mı

Hayır, en azından güvenle "evet" diyemezsiniz. Yönetmeliğin 4. maddesindeki tanım, kanalları "gibi vasıtalar" diyerek örnekleme yoluyla sayıyor. Hukuk çevrelerinde yaygın değerlendirme, ticari amaçla gönderilen anlık mesajların, push bildirimlerin ve benzer içeriklerin de bu tanım içinde değerlendirilebileceği yönünde. Yani İYS'de teknik bir kutucuk olmaması, 6563 sayılı Kanun'un ruhundan muaf olduğunuz anlamına gelmiyor.

Buna bir de platform kuralları ekleniyor. WhatsApp Business Platform'un kendi politikaları, Instagram'ın soğuk mesaj kısıtları ve Telegram'ın spam mekanizmaları, mevzuattan bağımsız olarak sizi durdurabilir. Bu tarafın ayrıntısını WhatsApp toplu mesajın yasal durumunu incelediğimiz yazıda açtık.

Boşluğu nasıl yönetmeli

Pratik cevap: İYS'de tutamadığınız izinleri kendi sisteminizde, İYS ile aynı titizlikte tutun. Yani bir müşterinin WhatsApp'tan pazarlama mesajı almayı kabul ettiğini kaydederken, İYS'nin sorduğu bilgileri siz de sorun. Kim, hangi kanal, hangi tarih, hangi kaynak, hangi metni okuyarak kabul etti. Bir gün bu kayıtları göstermeniz gerektiğinde, "sistemde yeri yoktu" savunması işinize yaramaz; "sistemde yeri yoktu, biz de aynı standartla kendimiz tuttuk" savunması yarar.

İkinci pratik cevap: kanal seçimini izin altyapısına göre yapın, tersine değil. Bir kampanyayı SMS'le mi WhatsApp'la mı yürüteceğinize karar verirken maliyet kadar izin durumu da belirleyici olmalı. Kanal başına gerçek maliyet hesabını ayrı bir yazıda tablolaştırdık.

Kayıt süreci: hangi kararı hangi sırada veriyorsunuz

İYS başvurusunu bir form doldurma işi gibi görürseniz, üç ay sonra düzeltmesi zor kararlar vermiş olursunuz. Süreç teknik olarak yarım gün sürer, ama içindeki üç karar yıllarca sizinle kalır: kaç marka açacaksınız, yetkiyi kime vereceksiniz, entegrasyonu kimin üzerinden yürüteceksiniz.

Başlamadan önce elinizde olması gerekenler

Başvuru iys.org.tr üzerinden yapılıyor ve iki yol var: MERSİS kaydınız varsa e-Devlet şifrenizle, ya da elektronik imzayla. İYS'nin kendi başvuru sayfasındaki tek katı koşul şu: başvuruyu yalnızca MERSİS kaydı olan ve bu kayda göre yetkili görünen kişiler yapabilir. MERSİS'te yetkili görünmeyen bir kişi başvuruyu tamamlayamaz ve bilgiler eskiyse ancak MERSİS üzerinden güncellenebilir; bu yüzden başvurudan önceki ilk işiniz MERSİS kaydınızı açıp bakmak olsun.

İkinci hazırlık kalemi, marka tescil belgeleriniz. Kural İYS'nin sayfasında net: ticari unvanınız dışında farklı isimlerle de ticari elektronik ileti gönderiyorsanız, marka tescil belgelerinin sisteme yüklenmesi zorunlu. Belgeleri başvurudan önce PDF olarak hazırlayın. Yalnızca ticari unvanınızla gönderim yapıyorsanız bu adım sizi bağlamaz, çünkü İYS marka olarak ticari unvanın kendisini de kabul ediyor.

Marka tanımlama: kaç marka açmalısınız

İYS'de izinler markaya bağlanıyor, şirkete değil. Bu, sonradan geri dönmesi en zor karar. Aynı tüzel kişilik altında üç ayrı marka işletiyorsanız ve üçünü tek marka kaydı altında toplarsanız, müşteri bir markadan ret verdiğinde diğer ikisi de kapanır. Tersine, üçünü ayrı marka olarak tanımlarsanız her biri kendi izin havuzunu taşır.

Karar kuralı basit: müşteriniz sizi kaç isimle tanıyorsa o kadar marka açın. Müşteri "X mağazasından mesaj geliyor" diyorsa X ayrı bir markadır. Ama arka planda kullandığınız iç proje adlarını marka yapmayın, izin dağılır ve yönetimi imkânsızlaşır.

Bir de tersi hata var: her kampanya için ayrı marka açmak. Kampanya marka değildir. Marka sayısı arttıkça hem izin sorgulama maliyetiniz artar hem de aynı kişiden defalarca onay istemek zorunda kalırsınız.

Yetkili kullanıcı ve rol tasarımı

İlk başvuruyu yapan imza yetkilisi otomatik olarak sistemin sahibi olur. Ama günlük işi imza yetkilisi yapmaz. Pratikte üç rol tanımlamak gerekir: izinleri yükleyen operasyon kişisi, izin durumunu sorgulayan pazarlama kişisi ve entegrasyon anahtarlarını yöneten teknik kişi.

Buradaki klasik hata, tek bir hesabın herkes tarafından paylaşılması. Denetimde "bu izni kim yükledi" sorusuna cevap veremezsiniz; o kişi işten ayrıldığında da hesabı kimse devralamaz. Kişi bazlı kullanıcı açın, ayrılan personelin yetkisini aynı gün kapatın.

Taahhütname ve temel hizmetler

Başvurunun bir parçası olarak İYS'nin temel hizmetler kullanım taahhütnamesi elektronik ortamda onaylanıyor. Bu metin, sizin ile İYS A.Ş. arasındaki hizmet ilişkisini kuruyor: temel hizmetlerin kapsamı, veri sorumluluğu ve ücretlendirme mantığı burada tanımlı. Onaylamadan önce okuyun; sonradan "bunu görmemiştim" demek işe yaramıyor.

Ücretlendirme tarafında dikkatli olun. İYS'nin kendi ifadesiyle tüm hizmet sağlayıcılar sistemi Temel Hizmetler kapsamında, mevzuatın zorunlu kıldığı bütün işlevler için ücretsiz kullanabiliyor. Temel Hizmetler her şeyi İYS'nin web arayüzü üzerinden, elle yaptırıyor: izin ekleme ve değiştirme, izin sorgulama, günlük raporlama, marka ile bayi yönetimi. Ücret, entegrasyon (API) tarafında ve onaylı adres sayınız büyüdükçe devreye giriyor. İYS bunu İLETİ paketleri adıyla adres bantlarına göre fiyatlıyor; 25.000 onaylı adrese kadar olan bantlar da ücretsiz. Güncel tutarlar her yıl değiştiği için burada rakam yazmıyoruz. Bütçe planlaması yapacaksanız İYS'nin kurumsal hizmetler sayfasındaki güncel tabloyu esas alın, blog yazılarında dolaşan eski rakamları değil.

Entegratör mü, kendi entegrasyonunuz mu

İzinleri İYS'ye üç yoldan yazabilirsiniz: panele elle girerek, yetkili bir entegratör üzerinden veya kendi yazılımınızı doğrudan İYS'ye bağlayarak. Üçüncü yol herkese açık değil: İYS'nin kurumsal hizmetler sayfasına göre onaylı iletişim adresi sayısı 250.000'in altında olan hizmet sağlayıcılar entegrasyon hizmetlerine ancak yetkilendirdikleri bir entegratör üzerinden erişebiliyor. Yani "kendi yazarız" seçeneği, çoğu işletme için masada bile değil.

Dördüncü bir yol daha var ve az konuşuluyor: ViA modülü. Burada onayı veya reddi doğrudan İYS üzerinden alıyorsunuz. Farkı şu: İYS'nin kendi anlatımıyla, işleme ilişkin ispat yükümlülüğü bu yolda hizmet sağlayıcıdan kalkıyor. Bu, Yönetmeliğin 7. maddesinin onuncu fıkrasıyla da örtüşüyor; ispat yükü, İYS üzerinden alınmayan onaylar için hizmet sağlayıcıya ait. Onay hacminiz yüksekse ve ispat dosyası tutmakla uğraşmak istemiyorsanız bu yolu ayrıca değerlendirin. Yol hangisi olursa olsun seçim, 2024 sonunda yapılan bir düzenlemeyle eskisinden çok daha kurallı hâle geldi.

18 Eylül 2024 tebliği neyi değiştirdi

Resmî Gazete'de 18 Eylül 2024 tarih ve 32666 sayı ile yayımlanan Ticari Elektronik İleti Yönetim Sistemi Entegratörleri Hakkında Tebliğ, entegratörlüğü Ticaret Bakanlığı iznine bağladı. Artık isteyen herkes "biz İYS entegratörüyüz" diyip hizmet veremiyor.

Tebliğ, yetki almak isteyen şirketlere ağır şartlar getiriyor. Bakanlığın konuya ilişkin basın açıklamasında sayılan başlıklar şunlar: anonim veya limited şirket olmak, en az 1 milyon TL ödenmiş sermaye, ISO/IEC 27001, ISO/IEC 27701 ve ISO 22301 belgeleri, sızma testi, yedekli ve kesintisiz teknik altyapı, belirli uzmanlık alanlarında personel bulundurma. Bir madde daha var ki uyum açısından en kritiği: entegratörlük hizmetinde kullanılan yazılım, donanım ve sunucu altyapısının Türkiye Cumhuriyeti sınırları içindeki bir veri tabanında bulunması.

Hâlihazırda hizmet veren şirketlere geçiş süresi tanındı. Bakanlığın açıklamasına göre bu şirketlerin 31 Mart 2025 tarihine kadar yetki belgesi alması gerekiyordu; alamayanlar hizmet sağlayıcı adına İYS üzerinde işlem yapamaz hâle geldi.

Bu sizin için ne demek

Bir işletme olarak sizin doğrudan yetki almanız gerekmiyor. Ama çalıştığınız tarafın yetkili olduğunu doğrulamanız gerekiyor. Bugün hâlâ eski sözleşmeyle bir "İYS iş ortağı" üzerinden çalışıyorsanız, o tarafın Bakanlık yetkisinin bulunup bulunmadığını sorun. Yetkisiz bir aracıya bağlı kalırsanız izinleriniz sisteme yazılmaz ve bunu ancak ilk şikayet geldiğinde fark edersiniz.

Veri yerelleştirme şartı, yurt dışı bulut hizmetleriyle çalışan işletmeler için ayrı bir düşünme başlığı açıyor. Entegratörünüzün altyapısı Türkiye'de olmak zorunda, ama sizin CRM'iniz için böyle bir zorunluluk yok; sizin tarafınızdaki kural KVKK'nın yurt dışına aktarım rejimi. İki kuralı birbirine karıştırmayın. Aktarım tarafını KVKK ve yurt dışı bulut kullanımını anlattığımız yazıda ayrıntılandırdık.

Üç yolun karşılaştırması

Kararı sadeleştiren soru şu: izin toplama noktalarınız kaç tane ve kaç farklı yazılımda duruyorlar. Tek bir web formunuz varsa panel yeter. Web formu, mağaza tableti, çağrı merkezi ve pazaryeri entegrasyonu aynı anda çalışıyorsa elle giriş üç iş günü içinde bitmez, entegratöre geçin. Adres sayınız eşiğin altındaysa üçüncü sütun zaten sizin için kapalı; "kendimiz yazarız" tartışmasına vakit harcamayın, doğrudan entegratör seçimine geçin.

Entegratör seçerken soracağınız yedi soru

1. Ticaret Bakanlığı'ndan alınmış entegratörlük yetki belgeniz var mı, belge numarası nedir?
2. Altyapınız Türkiye'de mi barındırılıyor, hangi veri merkezinde?
3. Onay yükleme işlemi kaç saniye içinde İYS'ye yansıyor, kuyruk gecikmesi ölçülüyor mu?
4. İYS tarafında oluşan ret kayıtlarını bize hangi yöntemle ve hangi sıklıkla bildiriyorsunuz?
5. Toplu yükleme kısmen başarısız olursa ne oluyor, hata satırlarını nasıl görüyoruz?
6. Her işlemin kim tarafından, hangi tarihte yapıldığını gösteren bir denetim izi var mı, dışa aktarılabiliyor mu?
7. Sözleşme biterse verimizi hangi formatta ve kaç gün içinde alırız?

Yedincinin cevabı önemsiz gibi durur ama değildir. Tebliğ, hizmet sağlayıcının verisine erişmesini ve bu veriyi bedelsiz ve etkin biçimde taşımasını entegratörün sağlamasını zorunlu tutuyor; talep en geç on beş gün içinde karşılanmak durumunda. Yani asgari bir hakkınız zaten var. Siz de kendi sözleşmenizde formatı, kapsamı ve teslim yöntemini bunun üstüne yazılı hâle getirin, çünkü "veriyi veririz" ile "kullanılabilir bir dosya veririz" arasında aylar fark eder.

Üç iş günü kuralı: rehberin en pahalı bölümü

Uyumsuzluğun en sık kaynağı bilgisizlik değil, gecikme. Kural biliniyor, ama iş akışına gömülmemiş oluyor.

Kural tam olarak ne diyor

Yönetmelikte üç iş günü üç ayrı yerde karşınıza çıkıyor ve üçü farklı şeyi anlatıyor:

• Onayın yüklenmesi (madde 7, fıkra 11 ve 12): İYS üzerinden alınmayan onaylar hizmet sağlayıcı tarafından üç iş günü içinde İYS'ye kaydedilir; İYS'ye kaydedilmeyen onaylar geçersiz kabul edilir. Aynı maddenin onuncu fıkrası da ekliyor: İYS üzerinden alınmayan onaylarda ispat yükümlülüğü hizmet sağlayıcıdadır.
• Ret bildiriminin İYS'ye yazılması (madde 9, fıkra 6): Hizmet sağlayıcı, kendisine iletilen ret bildirimlerini üç iş günü içinde İYS'ye bildirir.
• Gönderimin durdurulması (madde 10): Hizmet sağlayıcı, alıcının ret talebinin kendisine ulaşmasını takip eden üç iş günü içinde o alıcıya ticari elektronik ileti göndermeyi durdurur.

Üçü de aynı süreyi kullanıyor ama farklı sistemleri ilgilendiriyor. Birincisi izin yükleme kuyruğunuzun işi, ikincisi senkron katmanınızın işi, üçüncüsü gönderim motorunuzun işi. Bir işletmede bu üçünden ikisi çalışıp biri çalışmıyorsa, uyum yine sağlanmamış olur.

"Üç iş günü" nasıl sayılır

Yönetmeliğin 4. maddesi iş gününü tanımlıyor: ulusal bayram ile genel ve hafta sonu tatil günleri hariç diğer günler. Hukuki sürelerin sayımında, olayın gerçekleştiği gün genellikle hesaba katılmaz, sayım ertesi iş gününden başlar. Bu güvenli okumayla giriş cümlesindeki örneğe dönelim.

Tablodaki esneklik sizi rahatlatmasın. Bu hesap, aksi yönde bir yorumla karşılaşırsanız savunma marjınızın ne kadar dar olduğunu gösteriyor. Doğru operasyonel hedef üç iş günü değil, aynı gün. Aynı gün yüklerseniz resmî tatil takvimini hiç düşünmezsiniz, izin toplandığı an geçerli hâle gelir ve pazarlama ekibi listeyi beklemez.

Kuyruk mimarisi: izin toplayan her nokta bir kuyruğa bağlanmalı

İşin özü şu: izin toplayan hiçbir nokta doğrudan insana bağlanmamalı. Formu dolduran müşteri, çağrı merkezinde onay veren müşteri, mağazada tablet imzalayan müşteri; hepsi aynı kuyruğa düşmeli, kuyruk da İYS'ye yazmalı.

Kuyruğun taşıması gereken minimum davranış üç maddeyle özetlenir. Birincisi kalıcılık: yükleme başarısız olursa kayıt kaybolmamalı, tekrar denenmeli. İkincisi tekrar edilebilirlik: aynı kayıt iki kez işlenirse çift kayıt oluşmamalı, en son durum geçerli olmalı. Üçüncüsü görünürlük: kuyrukta bekleyen ve başarısız olan kayıtların sayısı bir ekranda görülmeli, kimse "acaba yüklendi mi" diye merak etmemeli.

Küçük bir işletme için bu ürkütücü gelebilir ama pratikte bir tablo ve bir zamanlanmış görev demek. Bekleyen izinler tablosuna satır yazarsınız, saatte bir çalışan görev o satırları İYS'ye yollar ve durum sütununu günceller. Kritik olan, "elle Excel'e yazıp ay sonunda toplu yüklerim" alışkanlığından çıkmak.

Alarm eşiği koyun

Kuyruğun sessizce durması, kuyruğun hiç olmamasından tehlikelidir; çünkü bir de yanlış güven duygusu üretir. En az iki alarm kurun: kuyrukta 24 saatten uzun bekleyen kayıt varsa ya da son 24 saatte başarısız yükleme oranı belirlediğiniz eşiği aştıysa sorumlu kişiye bildirim gitsin. Bu, teknik borç değil, ceza sigortası.

İzin kaydının anatomisi: hangi alanı yanlış doldurursanız ne olur

İYS'ye yazdığınız her izin kaydı birkaç alandan oluşuyor ve bu alanlar denetimde tek tek anlam taşıyor. İYS'nin hizmet sağlayıcı API dokümantasyonunda tanımlanan temel alanlar ve her birinin arkasında durması gereken kanıt şöyle. Dokümanın kendi ifadesiyle bir izin kaydında ad, soyad, adres gibi kişisel bilgiler yer almıyor; kayıt yalnızca iletişim adresi ve izin bilgisi taşıyor.

Alıcı, kanal, durum ve tarih

Alıcı alanı, izin verilen elektronik iletişim adresi. Telefon numaraları uluslararası biçimde, e-postalar tam adres olarak yazılır. Bu alandaki en sık hata, aynı kişinin farklı biçimlerde yazılmış numaralarının farklı kayıtlar üretmesi. Numaraları sisteminize kaydederken normalize edin, İYS'ye yazarken değil.

Kanal alanı üç değerden birini alır: ARAMA, MESAJ, EPOSTA. Burada dikkat edilecek nokta, bir müşterinin e-posta iznine sahip olmanızın SMS iznine sahip olduğunuz anlamına gelmemesi. Üç kanal ayrı defterdir. "Bültenimize abone oldu, o zaman SMS de atarız" cümlesi, tek başına bir ihlal senaryosudur.

Durum alanı ONAY veya RET değerini alır. Tarih alanı, iznin gerçekten alındığı tarihtir; sisteme yüklendiği tarih değil. Bu ikisini karıştırmak, denetimde en can sıkıcı çelişkiyi üretir: kayıtta yazan tarih ile elinizdeki form kaydının tarihi tutmaz.

Onay kaynağı: ispat yükünün taşındığı alan

Kaynak alanı, iznin nereden alındığını söyler ve serbest metin değildir. API'nin kabul ettiği değerler tam olarak on üç tane: HS_FIZIKSEL_ORTAM, HS_ISLAK_IMZA, HS_WEB, HS_CAGRI_MERKEZI, HS_SOSYAL_MEDYA, HS_EPOSTA, HS_MESAJ, HS_MOBIL, HS_EORTAM, HS_ETKINLIK, HS_2015, HS_ATM, HS_KARAR. Sondaki ikisi özel: HS_2015, alıcının 1 Mayıs 2015 öncesinde onaylı olarak kaydedildiğini; HS_KARAR ise izin durumunun hizmet sağlayıcının kendi isteğiyle ret olarak belirlendiğini gösteriyor. HS_KARAR ilk izin ekleme işleminde kullanılamıyor, çünkü var olmayan bir izni kendi kararınızla reddedemezsiniz.

Bu alan bir etiket değil, bir taahhüt. Yönetmeliğin 13. maddesine göre şikayet konusu işlemlerde ispat yükümlülüğü hizmet sağlayıcıya ve varsa aracı hizmet sağlayıcıya aittir. Yani kaynağa HS_WEB yazdıysanız, denetimde o web formunun kaydını, tarihini ve kullanıcının gördüğü metni gösterebilmeniz beklenir. Kaynağı gelişigüzel doldurmak, kendi elinizle üretemeyeceğiniz bir kanıt sözü vermektir.

Bu tabloyu bir kez doldurup dosyaya kaldırmayın. İzin metniniz her değiştiğinde yeni bir sürüm numarası verin ve o tarihten sonra alınan izinleri yeni sürümle ilişkilendirin. Üç yıl sonra "2026 yılının haziran ayında müşterinin okuduğu metin neydi" sorusuna cevap verecek tek yapı budur.

BIREYSEL ve TACIR: aynı sistemde iki farklı hukuk

İYS'de her izin kaydının bir alıcı tipi var: BIREYSEL veya TACIR. Bu ikisi arasındaki fark, B2B satış yapan her ekibi doğrudan ilgilendiriyor.

Tacir ve esnafa neden önceden onay gerekmiyor

Yönetmeliğin 6. maddesi, tacir veya esnaf olan alıcıların elektronik iletişim adreslerine önceden onay alınmaksızın ticari elektronik ileti gönderilebileceğini söylüyor. Yani bir mobilya toptancısı, mobilyacı esnafına kampanya duyurusu göndermek için önceden onay toplamak zorunda değil.

Ama ret hakkı aynen duruyor

Buradaki incelik şu: 9. madde, alıcının hiçbir gerekçe göstermeksizin ticari elektronik ileti almayı reddedebileceğini düzenliyor ve bu hak tacir ile esnaf için de geçerli. Ret hakkını kullanan bir tacire artık onaysız gönderim yapamazsınız; o noktadan sonra gönderebilmek için onay almanız gerekir.

Sonuç pratikte tersine dönüyor: onay gerekmiyor diye İYS'yi atlayamazsınız, çünkü retleri takip etmek zorundasınız. Bu bir yorum da değil. Yönetmeliğin 6. maddesinin altıncı fıkrası açıkça şunu söylüyor: tacir veya esnaf olan alıcılara ileti gönderilmesinden önce bu alıcıların elektronik iletişim adresleri hizmet sağlayıcı tarafından İYS'ye kaydedilir ve İYS üzerinden ret hakkını kullanıp kullanmadıkları kontrol edilir. Yani B2B listelerinizi de İYS'ye TACIR tipiyle işlemek ve ret durumunu oradan okumak zorunludur.

Alıcı tipini yanlış seçmenin sonucu

Bireysel bir tüketiciyi TACIR olarak işaretlemek, onay yokluğunu meşrulaştırmaya çalışmaktır ve denetimde savunulamaz. Tersi de zararlıdır: gerçekten tacir olan bir alıcıyı BIREYSEL işaretlerseniz, kendinize gereksiz bir onay şartı yaratır ve elinizdeki hukuki muafiyeti kaybedersiniz.

Doğru yaklaşım, alıcı tipini kayıt anında belirlemek ve dayanağını saklamak. Vergi numarası, ticaret sicil kaydı veya esnaf sicil bilgisi gibi bir dayanağınız yoksa tacir varsayımıyla ilerlemeyin. B2B tarafındaki gri alanları, istisnanın gerçek sınırlarını tartıştığımız tacir ve esnaf yazısında ayrıntılı ele aldık.

Ret akışı: beş ayrı kapıdan gelen tek olay

İzin toplamak kolaydır, ret yönetmek zordur. Çünkü onay hep sizin kontrol ettiğiniz bir noktadan gelir; ret ise kontrol etmediğiniz her yerden gelebilir.

Ret nereden gelir

Bir müşterinin size "artık mesaj istemiyorum" demesinin en az beş yolu var ve bunların yalnızca biri sizin sisteminizden geçer.

1. İYS ve e-Devlet: Alıcı, e-Devlet veya İYS üzerinden markanızın iznini kapatır. Siz haberdar olmazsınız, gidip bakmanız gerekir.
2. E-postadaki abonelikten çık bağlantısı: Kendi e-posta aracınızda gerçekleşir. İYS'ye siz yazmazsanız yazılmaz.
3. SMS içindeki ret yolu: Kısa numara veya ret bağlantısı üzerinden. Genelde toplu SMS sağlayıcınızın sisteminde biter.
4. Çağrı merkezi veya mağaza: Müşteri telefonda söyler, temsilci not düşer. Buradan İYS'ye giden otomatik bir yol yoktur.
5. Doğrudan sohbet: Müşteri size WhatsApp'tan veya canlı sohbetten yazar. Kayıt bile oluşmaz.

Beş kapının hepsinden gelen olay aynı olay. İşletmelerin çoğu birinci ve ikinci kapıyı kurar, kalan üçünü kurmaz. Denetime konu olan şikayetler tam olarak o üçünden çıkar.

Kanal dışı reti yakalamak

Sohbette gelen "beni listeden çıkarın" cümlesini ret saymak, güvenli okumadır. Yönetmeliğin 9. maddesi alıcının istediğinde hiçbir gerekçe göstermeksizin reddedebileceğini söylüyor ve ret bildirimini biçim şartına bağlamıyor. Aynı madde bir ayrıntı daha veriyor: ret bildirimi, bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılar. Yani mevzuat açısından bir kanaldan gelen ret o kanalın iznini düşürür; diğer kanalları da kapatmak sizin ticari tercihinizdir, mecburiyet değil. Pratikte tercihi hepsini kapatmaktan yana kullanmak sizi korur. Bu yüzden mesajlaşma kanallarınızda ret niyetini yakalayan bir mekanizma kurun.

Pratik yol, iki katmanlı çalışır. Birinci katman kural tabanlıdır: belirli kalıpları içeren mesajlar otomatik olarak işaretlenir. İkinci katman insandır: temsilci sohbeti kapatırken "ret" etiketini elle atabilmelidir. Etiket atıldığı anda kişi hem gönderim listelerinden çıkmalı hem de İYS senkron kuyruğuna düşmelidir.

Bunun ürün tarafındaki karşılığı, çoğu CRM'de bulunan iletişime geçilmeyecekler listesidir. CRM Solid'de bu liste otomasyon akışlarının altında duruyor ve gönderim kuyruğuna giren her mesaj bu listeye karşı kontrol ediliyor. Tek gelen kutusunda WhatsApp, Instagram, Telegram, e-posta ve canlı sohbet aynı kişi kaydında birleştiği için, bir kanaldan gelen ret talebini kişinin tamamına uygulamak mümkün oluyor. Bu, İYS'ye yazma işini yapmaz; İYS'ye yazılacak olayı kaçırmamanızı sağlar. Kanalları tek kayıtta toplama mantığını tek gelen kutusu sayfasında anlattık.

Üç iş günü, üç ayrı iş

Ret geldiğinde başlayan sayaç, birbirine benzeyen ama ayrı olan iki yükümlülüğü aynı anda tetikler: gönderimi durdurmak ve İYS'ye bildirmek. Gönderimi durdurmayı unutmazsınız, çünkü müşteri ikinci mesajı aldığında hemen şikayet eder. Asıl unutulan ikincisidir. İYS'ye yazılmamış bir ret, sizin sisteminizde kapalı ama ulusal defterde açık görünen bir izindir; bu çelişki denetimde aleyhinize okunur.

Geri dönüş: ret veren müşteri tekrar onay verebilir mi

Verebilir. Ret kalıcı bir yasak değil, güncel bir durumdur. Ancak yeni onayın da kurallara uygun alınması ve üç iş günü içinde İYS'ye yazılması gerekir. Burada dikkat edilecek nokta, ret veren bir müşteriye "bir daha onay verir misiniz" diye ticari ileti göndermenin kendisinin ihlal olması. Yeni onayı ancak müşterinin size geldiği bir temas noktasında, örneğin sipariş ekranında veya mağazada isteyebilirsiniz.

Entegrasyon mimarisi: CRM ile İYS arasında izin senkronu

Buraya kadar anlattığımız her şey tek bir teknik soruda birleşiyor: izin durumu iki yerde tutuluyorsa, hangisi doğru? Cevabı baştan vermek gerekirse, gönderim anında İYS doğrudur. Ama gönderim anına kadar sizin kaydınız çalışır. Senkron mimarisi bu iki cümlenin çelişmemesini sağlayan şeydir.

Tek yönlü senkron neden yetmez

İşletmelerin ilk kurduğu şey tek yönlü akıştır: CRM'de onay oluşur, İYS'ye yazılır, iş biter. Bu akış onayları taşır ama retleri taşımaz. Çünkü retlerin bir kısmı İYS tarafında doğar; alıcı e-Devlet'ten iznini kapattığında CRM'inizin bundan haberi olmaz.

Dolayısıyla senkron çift yönlü olmak zorunda. Bir yönde siz yazarsınız (izin ve ret olayları), diğer yönde İYS'den okursunuz (alıcı kaynaklı durum değişiklikleri). Tek yönle yetinirseniz, izinli sandığınız bir listeye gönderim yaparsınız ve ihlali gönderdikten sonra öğrenirsiniz.

Yazma tarafı: olay tabanlı, sınırlara saygılı, tekrarlanabilir

Yazma tarafında üç tasarım kararı var.

Tetikleyici zamanlanmış değil olay tabanlı olsun. "Her gece 03.00'te dünkü izinleri yükle" kurgusu üç iş günü kuralına uyar ama gereksiz risk taşır. Onay oluştuğu anda kuyruğa düşen bir olay, hem daha hızlı hem daha izlenebilir. Zamanlanmış görevi yedek olarak tutun: kuyrukta takılı kalmış kayıtları toplayıp tekrar denesin.

Toplu yüklemenin gerçek kurallarını hesaba katın. İYS'nin API dokümantasyonu çoklu izin ekleme için üç somut sınır koyuyor. Birincisi, bir istekte kabul edilen izin sayısı 1.000. İkincisi, aynı iletişim adresi için farklı izin durumları aynı listede gönderilmemeli; sistem yazma kuyruğunda bir adres için tek bir izin hareketi kaydediyor, dolayısıyla aynı kişinin önce onayını sonra reddini aynı pakete koyarsanız biri sessizce düşer. Aynı adrese ait birden fazla hareket için tekil izin ekleme metodu kullanılmalı. Üçüncüsü, işlem asenkron: yanıtta dönen istek kimliği yalnızca listenin işleme alındığını gösteriyor, sonucu sorgulamak için en az 300 saniye beklemek gerekiyor. Bu yüzden doğrulamayı gönderim öncesinde kendi tarafınızda yapın; telefon biçimi, tarih biçimi ve alıcı tipi gibi alanları paketlemeden önce kontrol ederseniz geri dönen hata sayısı çok azalır.

Aynı kaydı iki kez göndermeye hazır olun. Ağ hatası, zaman aşımı veya yeniden deneme yüzünden aynı izin iki kez gidebilir. Sisteminizde her izin olayına benzersiz bir anahtar verin ve o anahtarla daha önce başarılı yükleme yapılmışsa tekrar göndermeyin. Bu, hem gereksiz işlem maliyetini hem de çelişkili kayıt riskini ortadan kaldırır.

Okuma tarafı: durum değişikliklerini çekmek

Okuma tarafında iki yaklaşım var: dönemsel çekme ve gönderim anında sorgulama. İkisini birden kullanmak en sağlıklısı.

Dönemsel çekme, İYS tarafında oluşan değişiklikleri düzenli aralıklarla alıp kendi kaydınıza işlemektir. Sıklık, gönderim temponuza göre belirlenir. Ayda bir kampanya yapan bir işletme için günde bir kez yeterlidir. Haftada birkaç gönderim yapan bir ekip için saatte bir makul. Sürekli otomasyon akışı çalıştıran bir yapı için çekme sıklığını artırmak yerine gönderim anı kontrolünü sıkılaştırmak daha doğru.

Burada gözden kaçan bir sınır var. İYS, bir önceki gün içinde kayıtlarınızda oluşan değişiklikleri gösteren günlük bir rapor üretiyor, ama Temel Hizmetler kapsamındaki raporlama ekranında yalnızca son yedi günün raporuna erişilebiliyor. Yani tatile çıkıp on gün rapor indirmeyi unutursanız, aradaki değişiklikleri o ekrandan geri alamazsınız. Okuma akışını haftada bir değil, günde bir kurun.

Gönderim anında sorgulama, listeyi göndermeden hemen önce izin durumunu doğrulamaktır. Küçük listelerde tek tek, büyük listelerde toplu sorgu ile yapılır. Maliyeti ve gecikmesi vardır, ama en son durumu görmenizi sağlar. API tarafında hız sınırları da bu tasarımı etkiliyor: doküman bir IP adresinden saniyede en fazla 10 istek, tekil izin durumu sorgulamada saatte en fazla 1.000 istek ve izin geçmişi listelemede saatte en fazla 100 istek diyor. Yüz binlik bir listeyi gönderimden beş dakika önce tek tek sorgulamayı planlıyorsanız, bu sayılar planınızı baştan bozar. Kampanya büyüdükçe bu adımı atlamak cazip gelir; atlamayın, yerine toplu sorgulamaya ve gece çalışan bir ön kontrole geçin.

Çakışma çözümü: hangi kayıt kazanır

İki tarafta farklı durumlar varsa karar kuralınız yazılı olmalı. Sektörde yerleşmiş ve savunulabilir kural şu: en güncel tarihli kayıt kazanır, tarih eşitse ret kazanır.

İkinci yarısı önemli. Aynı gün hem onay hem ret görüyorsanız, hangisinin önce geldiğini saat düzeyinde bilemiyor olabilirsiniz. Bu durumda ret tarafında kalmak sizi korur: fazladan bir kişiye mesaj göndermemenin maliyeti, izinsiz gönderimin maliyetinin yanında hiçbir şeydir.

Kayıt tutma: senkronun kendisini de kaydedin

Çoğu ekip izinleri kaydeder, senkron olaylarını kaydetmez. Oysa denetimde sorulan soru "iznin var mıydı" kadar "ne zaman kaydettin" sorusudur. Her yükleme denemesi için şunları saklayın: olay anahtarı, gönderim zamanı, gönderilen alanlar, İYS'nin döndüğü cevap ve nihai durum. Bu kayıt üç iş günü kuralına uyduğunuzun tek ispatıdır.

Nerede duruyor, ne yapmıyor

Bu mimariyi kurarken CRM'inizin rolünü doğru çerçevelemek gerekiyor. Açık olalım: CRM Solid'in İYS ile hazır bir entegrasyonu yok. İYS kaydını ve izin yüklemesini yetkili entegratörünüz üzerinden yürütürsünüz. CRM'in üstlendiği rol, izin olaylarının doğduğu ve tüketildiği yer olmak.

Pratikte kurulumu şöyle yaparsınız. Kişi kaydında kanal bazında izin durumunu tutan özel alanlar açarsınız (SMS izni, e-posta izni, arama izni, kaynak, izin tarihi). Bu alanlar değiştiğinde giden webhook tetiklenir ve entegratörünüze giden ara katmanı besler. Ters yönde, entegratörden gelen ret bilgisini REST API ile kişi kaydına yazarsınız ve aynı anda iletişime geçilmeyecekler listesine eklersiniz. Genel REST API, giden webhook ve MCP sunucusu Business planına özel; ayrıntılar API sayfasında ve entegrasyonlar sayfasında duruyor. Küçük ölçekte aynı işi Zapier benzeri bir aracıyla da kurabilirsiniz.

Kişi kaydının etiket, özel alan ve zaman çizelgesi tarafını, otomasyon akışlarının bu izin alanlarına göre filtrelenmesiyle birlikte kişiler ve CRM sayfasında görebilirsiniz.

Denetime hazırlık: şikayet geldiğinde masaya ne koyuyorsunuz

Uyum çalışmasının değeri, hiçbir şey olmadığında görünmez. Bir şikayet geldiğinde görünür. O yüzden hazırlığı olaydan önce yapmak gerekir.

Üç ay, üç yıl, on beş gün

Üç sayı akılda tutulmalı ve üçü farklı tarafı bağlar.

Üç ay: Yönetmeliğin 14. maddesine göre şikayet, iletinin gönderildiği tarihten itibaren üç ay içinde yapılır. Yani bir gönderim yaptıktan sonra risk penceresi üç ay boyunca açık kalır.

Üç yıl: 13. maddeye göre hizmet sağlayıcı, onay kayıtlarını onayın geçerliliğinin sona erdiği tarihten, ticari elektronik iletilere ilişkin diğer kayıtları ise kayıt tarihinden itibaren üç yıl saklamak zorunda. Bu süre 2020 değişikliğiyle bir yıldan üç yıla çıkarıldı. İnternette dolaşan on yıl gibi daha uzun süreler bu yönetmelikten gelmiyor; yükümlülük üç yıl.

On beş gün: 15. maddeye göre şikayet incelemesi kapsamında istenen bilgi ve belgeler on beş gün içinde teslim edilir; bu süre bir defaya mahsus uzatılabilir. On beş gün, kayıt sistemi olmayan bir işletme için çok kısa bir süredir. Kayıtlarınız dağınıksa, o iki hafta boyunca başka iş yapamazsınız.

Şikayet dosyasında ne olmalı

Bir şikayet geldiğinde ideal olarak tek bir sorgu ile şu bilgileri çıkarabilmelisiniz:

• Şikayet edilen iletinin tam metni, gönderim tarihi ve saati
• Gönderimin hangi marka adına, hangi kanaldan yapıldığı
• O alıcı için elinizdeki iznin durumu, tarihi ve kaynağı
• İznin İYS'ye hangi tarihte yazıldığı ve İYS'nin döndüğü cevap
• İznin alındığı anda alıcının okuduğu metnin o tarihteki sürümü
• Varsa daha önceki ret ve geri dönüş hareketleri
• Gönderim öncesi yapılan izin kontrolünün kaydı

Listedeki maddeler dört ayrı sistemde duruyorsa (form aracı, SMS sağlayıcısı, CRM, entegratör paneli), on beş gün içinde birleştirmek zor olur. Bu yüzden şikayet dosyasını olaydan önce, düzenli olarak üretilen bir rapor hâline getirin. Aylık bir tatbikat yapın: rastgele bir müşteri seçin, o kişinin izin geçmişini baştan sona çıkarmayı deneyin. Çıkaramıyorsanız, açık orada.

Şikayet gelme olasılığını düşüren üç davranış

Birincisi, ret yolunu zorlaştırmamak. Ret bağlantısını küçük punto ile e-postanın en altına saklamak kısa vadede liste büyüklüğünüzü korur, uzun vadede şikayet üretir. Reddetmek isteyen müşteri, reddedemezse şikayet eder.

İkincisi, gönderim sıklığını dizginlemek. Türkiye'de tüketicinin şikayet refleksi güçlü. Şikayetvar'ın 2025 verilerine göre platformda 2.868.914 şikayet açıldı ve bunların 533.117'si çözüme kavuştu. Bu iki sayının oranı %18,6 eder; yani her beş şikayetten dördü açık kalıyor. Şikayet eden müşteri, cevap alamayınca bir sonraki adımı resmî kanaldan atıyor.

Üçüncüsü, gönderen kimliğini net göstermek. Yönetmeliğin 8. maddesi, tacirler için MERSİS numarası ve ticaret unvanının, esnaflar için ad soyad ile T.C. kimlik veya vergi kimlik numarasının iletide yer almasını istiyor. Aynı madde bir şart daha koyuyor: iletinin niteliği içeriğinden açık biçimde anlaşılamıyorsa, tanıtım, kampanya veya bilgilendirme gibi niteliği belirleyici bir ibare eklenmeli. Kim olduğu belli olmayan mesaj, hem ihlaldir hem de şikayet mıknatısıdır.

İYS ile KVKK aynı şey değil, ikisine birden uymanız gerekiyor

Sık karşılaşılan bir yanılgı, "İYS'ye kaydolduk, veri işleme tarafı da tamamdır" cümlesi. Değil. İki ayrı mevzuat, iki ayrı denetim otoritesi, iki ayrı ceza rejimi.

Hangi kanun neyi düzenliyor

6563 sayılı Kanun ve buna bağlı yönetmelik, ticari elektronik ileti gönderme iznini düzenliyor ve denetimi Ticaret Bakanlığı yapıyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verinin işlenmesini düzenliyor ve denetimi Kişisel Verileri Koruma Kurumu yapıyor. Aynı davranış her ikisini birden ihlal edebilir ve iki ayrı ceza doğurabilir.

Somut örnek: izinsiz bir listeye kampanya SMS'i attınız. Ticaret Bakanlığı tarafında onaysız ticari elektronik ileti gönderimi, KVKK tarafında hukuka aykırı veri işleme ve muhtemelen aydınlatma yükümlülüğünün ihlali. Tek bir kampanyanın iki dosyası olur.

Doğrulama kodu üzerinden izin alma uygulaması sona erdirilmeli

Kişisel Verileri Koruma Kurulu'nun 10 Haziran 2025 tarihli ve 2025/1072 sayılı İlke Kararı (Resmî Gazete 26 Haziran 2025, sayı 32938), SMS doğrulama kodu gönderimi üzerinden ticari elektronik ileti izni veya açık rıza alınması uygulamasına son verilmesine hükmetti. Kararın özü şu: tek bir işlemle birden fazla veri işleme faaliyeti yürütülemez, açık rıza ile aydınlatma ayrı ayrı gerçekleştirilmelidir ve ticari ileti onayı ürün veya hizmet sunumunun zorunlu koşulu gibi sunulamaz.

Bu karar, e-ticaret sitelerinde yaygın olan bir tasarımı doğrudan hedefliyor: doğrulama kodunu gönderirken mesajın içine "onaylayarak kampanya iletilerini kabul etmiş olursunuz" cümlesi eklemek. Sisteminizde böyle bir akış varsa kaldırın.

Aydınlatma, onaydan bağımsız bir yükümlülük

ETK kapsamında alınan onayın KVKK açık rızası yerine geçip geçmediği tartışmalı bir konu ve Kurul bunu kesin biçimde çözmedi. Ancak tartışmasız olan şu: aydınlatma yükümlülüğü, açık rıza gerekmeyen hâllerde bile yerine getirilmek zorunda. Yani "bu veri işlemeyi meşru menfaate dayandırıyorum" deseniz bile, kişiye kim olduğunuzu, verisini niçin işlediğinizi ve haklarını anlatmak zorundasınız.

2026 idari para cezaları ve on kat çarpanı

Rakamlar her yıl yeniden değerleme oranıyla güncelleniyor. Aşağıdaki tutarlar 25 Aralık 2025 tarihli ve 33118 sayılı Resmî Gazete'de yayımlanan tebliğ uyarınca 2026 yılı için geçerli; yeniden değerleme oranı %25,49 olarak uygulandı. Derleme için Erdem & Erdem'in yayımladığı tabloyu esas aldık.

Asıl mesele üst sınır değil, çarpan

Tabloya bakıp "14.309 TL'ye kadar, katlanılabilir" demek kolay. Ama 6563 sayılı Kanun'un 12. maddesinin ikinci fıkrası şunu söylüyor: bir defada birden fazla kimseye 6. maddenin birinci fıkrasına aykırı olarak ileti gönderilmesi hâlinde, birinci fıkranın (a) bendinde öngörülen idari para cezası on katına kadar artırılarak uygulanır.

Toplu gönderim tam olarak "bir defada birden fazla kimseye" gönderim demek. Yani izinsiz bir kampanya için ceza bandının üst ucu tek bir gönderimde on katına kadar çıkabilir. Fıkranın kurgusu, cezanın alıcı sayısıyla çarpılması yerine tek bir gönderim için artırılması yönünde; ama bu çarpan tek bir kampanyayı altı haneli bir kaleme dönüştürmeye yeter.

Ceza dışındaki maliyet

İdari para cezası çoğu zaman en ucuz kalemdir. Gerçek maliyet, gönderim kanalınızın kapanmasıdır. Toplu SMS sağlayıcınız şikayet yoğunluğunda hesabınızı askıya alır, e-posta gönderiminde teslim edilebilirlik puanınız düşer, mesajlaşma platformlarında hesabınız kısıtlanır. Bunlar aylarca sürer ve ceza gibi bir kerelik değildir. Kanal sağlığının nasıl korunacağını hesap kapanma riski yazısında ayrıca ele aldık.

Uygulama kontrol listesi

Aşağıdaki listeyi olduğu gibi kullanabilirsiniz. Her maddenin karşısına sorumlu kişi ve tarih yazın; bitmemiş maddeleri haftalık toplantıya taşıyın.

1. MERSİS bilgilerinizin güncel olduğunu ve imza yetkilisinin doğru göründüğünü kontrol edin.
2. Başvuruyu e-Devlet şifresiyle mi elektronik imzayla mı yapacağınıza karar verin ve gerekli erişimi hazırlayın.
3. Ticari unvanınız dışında isimle gönderim yapıyorsanız marka tescil belgelerinizi PDF olarak tek klasörde toplayın.
4. Kaç marka tanımlayacağınıza müşterinin sizi tanıdığı isim sayısına bakarak karar verin.
5. İYS başvurusunu tamamlayın ve temel hizmetler taahhütnamesini okuyup onaylayın.
6. Yetkili kullanıcıları kişi bazında açın, paylaşılan tek hesap kullanmayın.
7. İzin toplayan bütün noktaların envanterini çıkarın: web formu, mağaza, çağrı merkezi, uygulama, etkinlik, pazaryeri.
8. Her nokta için hangi kaynak değerinin kullanılacağını yazılı olarak belirleyin.
9. Onay metninizi sürümleyin ve her sürümü tarihiyle saklayın.
10. Doğrulama kodu mesajlarınızın içinde ticari ileti onayı alan bir cümle varsa kaldırın.
11. Entegratörünüzün Ticaret Bakanlığı yetkisini belge numarasıyla doğrulayın.
12. Sözleşmenize veri devri süresi ve dışa aktarım formatı maddesi ekletin.
13. İzinleri İYS'ye taşıyan kuyruğu kurun; hedefi üç iş günü değil aynı gün yapın.
14. Kuyruk için iki alarm tanımlayın: bekleyen kayıt yaşı ve başarısızlık oranı.
15. Alıcı tipi (bireysel veya tacir) kararını kayıt anında verin ve dayanağını saklayın.
16. Kanal bazında izin tutun; e-posta izninden SMS izni türetmeyin.
17. İYS'den durum değişikliklerini çeken bir okuma akışı kurun, en az günde bir çalışsın.
18. Her kampanya öncesi izin kontrolü adımını zorunlu hâle getirin, atlanamaz olsun.
19. Çakışma kuralınızı yazın: en güncel tarih kazanır, eşitlikte ret kazanır.
20. Ret yakalamayı beş kapının hepsinde kurun: İYS, e-posta, SMS, çağrı merkezi, sohbet.
21. Sohbetten gelen ret talepleri için etiket ve iletişime geçilmeyecekler listesi akışı tanımlayın.
22. Her senkron olayının kaydını tutun: zaman, alanlar, cevap, nihai durum.
23. Onay kayıtlarını ve gönderim kayıtlarını üç yıl saklayacak bir arşiv politikası yazın.
24. Aylık tatbikat yapın: rastgele bir müşterinin izin geçmişini baştan sona çıkarın.
25. İzinsiz liste satın almayın; satın alınan listede kaynak alanına yazacak dürüst bir değer yoktur.

Sık sorulan sorular

İYS'ye kaydolmazsam ne olur?

İYS'ye kayıtlı olmayan bir hizmet sağlayıcı adına ticari elektronik ileti gönderilemez. Aracı hizmet sağlayıcılar, kayıtlı olmayan hizmet sağlayıcılar için gönderim yapmamakla yükümlü. Pratikte toplu SMS veya e-posta sağlayıcınız gönderimi reddeder. Buna ek olarak onaysız gönderim ihlali oluşur ve idari para cezası gündeme gelir.

Sadece e-posta bülteni gönderiyorum, yine de gerekli mi?

Evet. İYS'nin kapsadığı üç kanaldan biri e-posta. Tanıtım içeren bülten ticari elektronik iletidir ve alıcının onayı İYS'de kayıtlı olmalıdır. Yalnızca sipariş ve teslimat bildirimi gönderiyorsanız durum değişir; o iletiler onay gerektirmez.

Müşterim WhatsApp'tan yazdı, izin vermiş sayılır mı?

Size yazması, sizinle o konuşma içinde iletişim kurmanızı doğal kılar. Ancak bu, ona kampanya mesajı gönderme izni vermez. Pazarlama amaçlı gönderim için ayrı ve açık bir onay gerekir. İYS'de WhatsApp için bir izin tipi bulunmadığından, bu onayı kendi kayıtlarınızda İYS standardında tutmanız gerekir.

Eski müşteri listemi İYS'ye toplu yükleyebilir miyim?

Yükleme teknik olarak mümkün, ama izin olmadan yüklemek izin yaratmaz. İYS bir onay üretim makinesi değil, kayıt defteri. Elinizde o kişinin gerçekten onay verdiğine dair bir kanıt yoksa (form kaydı, ses kaydı, imzalı belge), yüklediğiniz kayıt sizi denetimde korumaz, aksine kaynak alanına yazdığınız değerle kendi aleyhinize beyanda bulunmuş olursunuz.

Onayı üç iş günü geçtikten sonra yüklersem ne olur?

Yönetmelik, süresinde İYS'ye kaydedilmeyen onayların geçersiz olduğunu söylüyor. Bu durumda doğru davranış, geç kalmış onaya dayanarak gönderim yapmamak ve izni yeniden, kurallara uygun biçimde almak. Geç yüklemeyi doğru tarihmiş gibi göstermek ise ayrı ve daha ağır bir sorundur.

Alıcı e-Devlet'ten iznimi kapattı, bundan nasıl haberim olur?

Kendiliğinden haberdar olmazsınız; gidip okumanız gerekir. Bu yüzden senkronun okuma tarafı zorunludur. Entegratörünüzden düzenli durum akışı alın ve her kampanya öncesi izin kontrolü yapın. Bu iki adımı kurmayan işletmelerin çoğu, ihlali ancak şikayet geldiğinde öğreniyor.

Ret veren müşteriye "sizi kaybetmek istemiyoruz" mesajı atabilir miyim?

Hayır. Ret sonrası gönderilen bu tür mesajlar da ticari elektronik iletidir ve ret yükümlülüğüne aykırılık oluşturur. Bu ihlalin ceza bandı, tablodaki verilere göre onaysız gönderimden daha yüksek. Müşteriyi geri kazanma girişimlerinizi, onun size geldiği temas noktalarında yapın.

KOBİ'yim, üç kişilik ekibim var. Bu kadar yapıyı kurmam gerçekten gerekli mi?

Ölçeğe göre sadeleşir ama vazgeçilmez üç parça var: izinleri tek yerde tutmak, üç iş günü kuralını otomatikleştirmek ve ret yakalamayı bütün kanallara yaymak. Türkiye'de CRM yazılımı kullanan girişim oranının TÜİK'in 2025 Girişimlerde Bilişim Teknolojileri Kullanım Araştırması'na göre %12,0'de kaldığını düşünürsek, bu üç parçayı kuran küçük işletme rakiplerinin çoğundan önde başlıyor. Dijitalleşme tablosunun tamamını TÜİK verileriyle derlediğimiz yazıda bulabilirsiniz.

Nereden başlamalı

Bu rehberi kapatıp tek bir iş yapacaksanız, o iş şu olsun: izin toplayan noktalarınızın envanterini çıkarın. Bir sayfa yeter. Sol sütuna noktayı yazın (site formu, mağaza, çağrı merkezi, fuar standı, uygulama), sağ sütuna o noktadan çıkan iznin bugün nereye gittiğini yazın. Karşısında "hiçbir yere" veya "Excel'e" yazan her satır, açık bir risktir.

İkinci iş, o envanterdeki en yüksek hacimli noktayı kuyruğa bağlamak. Hepsini aynı anda çözmeye çalışmayın; izinlerinizin çoğu tek bir noktadan geliyorsa, o noktayı otomatikleştirmek riskin büyük kısmını kapatır. Kalanları haftalık ritimle ekleyin.

Üçüncü iş, ret yakalamayı sohbet kanallarına yaymak. Bu, en çok gözden kaçan ve en kolay çözülen parça. Bir etiket, bir liste ve temsilcilere verilen bir talimat yeterli.

Uyum, tek seferlik bir proje değil. Kampanya takviminiz gibi düzenli bakım isteyen bir sistem. İyi haber şu: bir kez doğru kurulduğunda, hem denetim riskini düşürür hem de pazarlama tarafını hızlandırır. İzin durumundan emin olan bir ekip, listeyi göndermeden önce iki gün tereddüt etmez.