Ticari İleti Onay Kaydı: İspat Yükü ve Saklama Süresi (3 Yıl mı, 10 Yıl mı?)

İspat yükü kimde?

İki hüküm birlikte okunur. Yönetmelik m.7/10'a göre İYS üzerinden alınmayan onaylarda onayın alındığını ispat yükümlülüğü hizmet sağlayıcıya aittir. Yönetmelik m.13/1 ise şikâyet konusu işlemlerde ispat yükümlülüğünün hizmet sağlayıcıya ve/veya aracı hizmet sağlayıcıya (SMS veya çağrı firması) ait olduğunu söyler.

Bunun pratik anlamı şudur: bir alıcı "Ben izin vermedim" diye şikâyet ettiğinde, şikâyetçinin onay vermediğini ispatlaması beklenmez. Siz onayın alındığını belgeleyemezseniz ihlal tespit edilebilir. Şikâyet sürecinde il müdürlüğü belge istediğinde bunları talebin tebliğinden itibaren 15 gün içinde (gerekirse bir defaya mahsus 15 gün uzatmayla) sunmanız gerekir. Süre sonunda belge verilmezse karar şikâyetçinin sunduğu belgeler üzerinden verilir (Yönetmelik m.15/3). Şikâyet sürecinin vatandaş tarafı istenmeyen SMS şikâyet rehberinde anlatılıyor.

İYS kaydının kendisi tek başına "onay nasıl alındı" sorusunu yanıtlamaz. İYS'ye yüklediğiniz izin yalnızca iletişim adresi, izin tarihi, kanal, alıcı tipi ve izin kaynağını içerir (İYS SSS). Kaynak alanında "web sitesi" yazması, o tarihte gerçekten önceden işaretlenmemiş bir kutunun işaretlendiğini göstermez. Bunu sizin kayıtlarınız gösterir.

ViA ile ispat yükü kalkar

Entegratör Tebliği m.14/2'ye göre onay ve ret işlemlerinin doğrudan İYS üzerinden yapılması durumunda, Yönetmelik m.7/10 gereği onayın alındığına ilişkin ispat yükümlülüğü hizmet sağlayıcıya ait değildir. İYS de ViA hizmetini tanıtırken aynı noktayı vurgular: İYS üzerinden alınan ticari elektronik ileti onaylarında ispat yükümlülüğü hizmet sağlayıcıdan kalkar. ViA SSS'sine göre ViA üzerinden gerçekleşen işlemler kaynağında oluşur ve zaman damgası uygulanarak saklanır.

Bu nedenle yüksek hacimli ya da şikâyet riski yüksek kanallarda onayı ViA ile almak, ispat yükünü sizden kaldıran bir yöntemdir. ViA paketleri ve kurulum İYS ViA yazısında, ücretleri İYS ücret tarifesi yazısında anlatılıyor. ViA ile alınan onaylar için de kendi tarafınızda işlem numarası gibi referansları tutmanız, kayıtları kendi sisteminizle eşleştirmeyi kolaylaştırır.

Onay kaynağına göre tutulacak kayıtlar

Yönetmelik m.7/1'e göre onayda alıcının ticari elektronik ileti gönderilmesini kabul ettiğine dair olumlu irade beyanı, adı soyadı ve elektronik iletişim adresi yer alır. İYS üzerinden alınan onaylarda ad soyad aranmaz. Aşağıdaki tablo, her kaynak için mevzuattaki şartı ve bu şartı gösterecek kayıtları özetler. Tablodaki API kaynak kodları İYS API dokümantasyonundaki source değerleridir.

Elektronik ortamda alınan onaylarda gözden kaçan bir yükümlülük vardır: Yönetmelik m.7/3'e göre onayın alındığı bilgisi, reddetme imkânı da tanınarak alıcının elektronik iletişim adresine 24 saat içinde iletilir. Bu bilgilendirme mesajının gönderildiğini gösteren kaydı da saklayın. İYS üzerinden alınan onaylara bu fıkra uygulanmaz.

Onay İYS dışında alındıysa 3 iş günü içinde İYS'ye kaydedilmelidir; kaydedilmeyen onay geçersizdir (m.7/11-12). Bu yüzden ispat dosyanızda İYS'ye kayıt anını da tutun: API kullanıyorsanız yanıtta dönen transactionId ve creationDate bu iş için uygundur.

Saklama süresi: 3 yıl mı, 10 yıl mı?

İki metin farklı süre öngörür ve ikisi de yürürlüktedir:

• Yönetmelik m.13/2: Hizmet sağlayıcı ve/veya aracı hizmet sağlayıcı onay kayıtlarını onayın geçerliliğinin sona erdiği tarihten, ticari elektronik iletilere ilişkin diğer kayıtları ise kayıt tarihinden itibaren üç yıl süreyle saklar. Talep edilirse bu kayıtlar Bakanlığa sunulur.
• 6563 sayılı Kanun m.11/3: 7416 sayılı Kanunla 2022'de eklenen cümleye göre aracı hizmet sağlayıcı ve hizmet sağlayıcı, bu Kanun kapsamındaki iş ve işlemlerine ilişkin bilgi, belge, defter ve elektronik kayıtlarını, iş veya işlemin gerçekleştiği tarihten itibaren on yıl süreyle saklamakla yükümlüdür.

Kanun, Yönetmelik'ten üst normdur ve 10 yıl hükmü Yönetmelik'in son değişikliğinden (2020) sonra, 2022'de eklenmiştir. Ticari elektronik ileti onayları Kanun m.6'da düzenlendiği için bu hükmün kapsamında değerlendirilebilir. Bu nedenle onay kayıtlarını 10 yıl saklamak daha güvenli tercihtir. Kanun m.11/3'e aykırılık için m.12/1-e bendinde ayrı bir ceza öngörülür; 2026 yılında bu tutar 143.102 ile 715.516 TL arasıdır. Bu bant, ileti bazlı ceza bentlerinden çok daha yüksektir.

Başlangıç tarihini nasıl hesaplayacağınız da önemlidir. Yönetmelik onay kayıtları için süreyi onayın sona erdiği tarihten, yani alıcının ret verdiği tarihten başlatır. Kanun ise işlemin gerçekleştiği tarihi esas alır. Güvenli bir yaklaşım, onay kaydını onay geçerli olduğu sürece hiç silmemek ve ret tarihinden itibaren en az 10 yıl daha saklamaktır. Onaya dayanarak gönderdiğiniz kampanya kayıtlarını da gönderim tarihinden itibaren 10 yıl tutmak bu yaklaşımla uyumludur. Bu, mevzuattaki iki hükmün birlikte en temkinli okunuşudur; somut durumunuz için hukuk danışmanınızın görüşünü alın.

KVKK açısından saklama

Onay kayıtları kişisel veri içerir (ad soyad, telefon, e-posta, IP adresi). 6698 sayılı KVKK m.4/2-d'ye göre kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir. m.7 ise işlenmesini gerektiren sebepler ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini ister ve diğer kanunlardaki hükümleri saklı tutar.

Bu iki hüküm birlikte okunduğunda, 6563 sayılı Kanun'un öngördüğü saklama süresi boyunca ispat kayıtlarını tutmanın KVKK ile çeliştiği söylenemez; KVKK m.5/2-ç (hukuki yükümlülük) ve m.5/2-e (bir hakkın tesisi, kullanılması veya korunması) bu tür saklamaya dayanak olarak gösterilebilir. Süre dolduğunda ise kayıtları silme veya anonimleştirme planınız olmalıdır. Bu saklamayı aydınlatma metninizde belirtin; ayrıntı için aydınlatma metni rehberine ve KVKK açık rızası ile İYS onayı farkı yazısına bakın.

Onay kayıtlarını teknik olarak saklamak: uygulama önerileri

Bu bölümdeki öneriler mevzuatın açıkça saydığı şartlar değildir; yukarıdaki yükümlülükleri ileride kanıtlayabilmeniz için iyi uygulama örnekleridir. Amaç, bir şikâyette "bu kişi, şu tarihte, şu metni görerek, şu eylemle onay verdi" cümlesini belgeyle kurabilmektir.

• Zaman damgası: Onay anını saniye hassasiyetinde ve Türkiye saatiyle kaydedin. İYS API consentDate alanını YYYY-MM-DD HH:mm:ss biçiminde ve Türkiye saatiyle bekler; kendi kaydınızla aynı değeri kullanmak eşleştirmeyi kolaylaştırır.
• Form metninin sürümü: Onay metnini her değiştirdiğinizde yeni bir sürüm numarası verin ve metnin tamamını ayrı bir tabloda saklayın. Onay kaydı yalnızca sürüm numarasını ve metnin özetini (hash) tutsun. Böylece yıllar sonra o kişinin tam olarak hangi metni gördüğünü gösterebilirsiniz.
• Eylem bilgisi: Kutunun varsayılan olarak boş geldiğini ve kullanıcının işaretlediğini gösteren alan, kanal (MESAJ, ARAMA, EPOSTA) ve marka.
• Teknik bağlam: IP adresi, tarayıcı veya uygulama bilgisi, sayfa adresi, varsa oturum veya kullanıcı kimliği. Bunlar kişisel veridir; yalnızca ispat için gerekeni tutun.
• İYS referansı: İYS'ye kayıt tarihi, transactionId, gönderdiğiniz source değeri.
• Bilgilendirme kaydı: m.7/3 kapsamında 24 saat içinde gönderilen onay bilgisi mesajının gönderim zamanı ve içeriği.
• Değiştirilemezlik: Kayıtları yalnızca ekleme yapılan (append-only) bir tabloda tutun, güncelleme ve silme yetkisini kısıtlayın. Ret geldiğinde eski satırı değiştirmeyin; yeni bir RET satırı ekleyin.
• Yedek ve erişim: Düzenli, şifreli yedek alın ve kayıtlara erişimi rol bazlı sınırlayın. 10 yıllık süre boyunca okunabilir bir biçimde (ör. düz metin, CSV veya standart veri tabanı dökümü) saklayın.

Örnek bir tablo yapısı aşağıdadır. Alan adları örnektir, mevzuatta tanımlı değildir:

-- Onay metni sürümleri
CREATE TABLE onay_metni (
  surum        VARCHAR(20) PRIMARY KEY,
  metin        TEXT NOT NULL,
  metin_hash   CHAR(64) NOT NULL,      -- SHA-256 özeti
  yayin_tarihi TIMESTAMP NOT NULL
);

-- Onay ve ret hareketleri (yalnızca ekleme yapılır)
CREATE TABLE izin_hareketi (
  id               BIGSERIAL PRIMARY KEY,
  alici            VARCHAR(265) NOT NULL,  -- +905XXXXXXXXX veya e-posta
  ad_soyad         VARCHAR(200),
  kanal            VARCHAR(10) NOT NULL,   -- MESAJ, ARAMA, EPOSTA
  alici_tipi       VARCHAR(10) NOT NULL,   -- BIREYSEL, TACIR
  durum            VARCHAR(4)  NOT NULL,   -- ONAY, RET
  kaynak           VARCHAR(30) NOT NULL,   -- HS_WEB, HS_CAGRI_MERKEZI ...
  izin_zamani      TIMESTAMP NOT NULL,     -- Türkiye saati
  metin_surum      VARCHAR(20) REFERENCES onay_metni(surum),
  kutu_varsayilan_bos BOOLEAN,
  ip_adresi        VARCHAR(45),
  kullanici_ajani  TEXT,
  kanit_dosyasi    TEXT,                   -- ses kaydı, taranmış form yolu
  bilgi_mesaji_zamani TIMESTAMP,           -- m.7/3 bilgilendirmesi
  iys_transaction_id  VARCHAR(64),
  iys_kayit_zamani    TIMESTAMP,
  olusturma        TIMESTAMP NOT NULL DEFAULT now()
);

Bu yapıyı bir web uygulamasında kurarken veri tabanı parolalarını ve İYS API bilgilerini kodun içine değil ortam değişkenlerine koyun (.env dosyası rehberi). Sunucu ve yedekler yurt dışındaysa KVKK'nın yurt dışı aktarım kurallarını da değerlendirin (yurt dışı sunucu ve KVKK).

Kontrol listesi

• Her onay kaynağı için hangi kanıtın tutulduğu yazılı olarak belirlendi.
• Web ve mobil formlarda onay metni sürümleniyor, kutunun varsayılan olarak boş olduğu kayıt altında.
• Elektronik onaylarda 24 saat içinde onay bilgisi gönderiliyor ve bunun kaydı tutuluyor.
• İYS dışı onaylar 3 iş günü içinde İYS'ye kaydediliyor ve İYS referansı saklanıyor.
• Onay ve ret kayıtları silinmiyor; yeni hareket yeni satır olarak ekleniyor.
• Saklama süresi en az 10 yıl olarak belirlendi ve süre sonunda silme planı var.
• Kayıtlar 15 günlük belge sunma süresi içinde kolayca bulunup dışa aktarılabiliyor.
• Şikâyet riski yüksek kanallarda ViA ile onay alma değerlendirildi.

Sık Sorulan Sorular

Onay kayıtlarını kaç yıl saklamalıyım?

Yönetmelik m.13/2 üç yıl der, 6563 sayılı Kanun m.11/3 ise 2022'den bu yana on yıl öngörür. Kanun üst norm olduğu için en az 10 yıl saklamak daha güvenli tercihtir. Onay kaydının süresini ret tarihinden başlatmak, iki hükmün birlikte en temkinli okunuşudur.

İYS'de kayıt varsa ayrıca kanıt tutmam gerekir mi?

İYS dışında aldığınız onaylar için evet. İYS kaydı onayın İYS'de kayıtlı olduğunu gösterir, ama onayın şartlara uygun alındığını göstermez; bu ispat Yönetmelik m.7/10'a göre size aittir. ViA ile İYS üzerinden alınan onaylarda ise ispat yükü sizde değildir.

Ret veren bir müşterinin onay kaydını silebilir miyim?

Silmemelisiniz. Yönetmelik onay kayıtlarının saklama süresini onayın sona erdiği tarihten başlatır. Retten önce gönderdiğiniz mesajların onaylı olduğunu bu kayıtla gösterirsiniz. Ret süreci için ret bildirimi yazısına bakın.

Belge istendiğinde ne kadar sürem olur?

İl müdürlüğünün talebinin tebliğinden itibaren 15 gün; gerekirse bir defaya mahsus en fazla 15 gün uzatılabilir (Yönetmelik m.15/3). Süre içinde belge sunulmazsa karar şikâyetçinin belgeleri üzerinden verilir.

Onayları SMS firmam tutuyor, bu yeterli mi?

Aracı hizmet sağlayıcı başkaları adına onay alamaz (Yönetmelik m.11/4); onay sizin adınıza sizin tarafınızdan alınır ve ispat yükü sizdedir. Firmanın tuttuğu gönderim kayıtları faydalıdır, ancak onayın nasıl alındığına dair kanıtı sizin saklamanız gerekir.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: İYS nedir · Ticari ileti onayı nasıl alınır · İYS ViA nedir · İYS ret bildirimi · KVKK açık rıza ve İYS onayı farkı · İYS cezaları 2026 · İYS API entegrasyonu