VakıfBank & Cerezgo: KVKK Başarı Hikâyesi

VakıfBank’ın Cerezgo entegrasyonu, bankacılık sektöründe çerez yönetimi (CMP) alanında güçlü bir kurumsal referans niteliği taşımaktadır. Cerezgo, Türkiye’de geliştirilmiş, KVKK ve GDPR odaklı, kurumsal ölçekli kurumlar için tasarlanmış bir Çerez Yönetim Platformu (Consent Management Platform – CMP) çözümüdür.

Bu proje ile VakıfBank; hem KVKK hem de ilgili ikincil düzenlemelere uyum sağlamış, veri güvenliği risklerini azaltmış ve çerez yönetimi süreçlerini otomatikleştirerek operasyonel maliyetlerini önemli ölçüde düşürmüştür. VakıfBank örneği, bankacılık gibi yüksek regülasyonlu alanlarda çerez yönetiminin yalnızca teknik bir konu değil; aynı zamanda KVKK uyumu, iç denetim, bilgi güvenliği ve müşteri deneyimini aynı anda etkileyen stratejik bir alan olduğunu göstermektedir.

1. VakıfBank’ın Çerez Yönetimindeki Temel Zorlukları Nelerdi?

Bankacılık sektörü, KVKK Madde 12 kapsamında “en yüksek veri güvenliği” yükümlülüğüne sahip kritik bir alandır. Proje başlangıcında VakıfBank tarafında tespit edilen temel zorluklar özetle şu şekildeydi:

1.1. Yüksek Trafik ve Dinamik Veri Akışı

Milyonlarca kullanıcıya hizmet veren dijital kanallarda, anlık çerez değişiklikleri ve dış servislerin (3. taraf) tetiklediği yeni script’ler, klasik ve statik çerez çözümleriyle sürdürülebilir biçimde yönetilemiyordu. Pazarlama ve analitik ekiplerinin kullandığı yeni araçlar, IT ve uyum birimlerinin haberi olmadan canlıya çıkabiliyor; bu durum da görünmeyen KVKK riskleri yaratıyordu.

1.2. KVKK Çerez Rehberi ve Açık Rıza Yükümlülüğü

Kurul’un çerezlere ilişkin rehberinde yer alan “açık rıza”, “rıza öncesi script engelleme” ve “kategorik tercih yönetimi” gibi gerekliliklerin manuel yöntemlerle hepsini aynı anda sağlamak zordu. Her yeni kampanya, etiket veya üçüncü taraf araç, teorik olarak yeni bir uyum riskine dönüşebiliyordu.

1.3. Çoklu Domain ve Mikro Site Mimarisi

Ana site, alt markalar, kampanya sayfaları ve mikro siteler dahil olmak üzere farklı domain ve sub-domain yapılarının tek merkezden, tutarlı bir çerez politikasıyla yönetilmesi gerekiyordu. Farklı birimlerin yönettiği onlarca site için ayrı ayrı banner ve metin güncellemek, hem riskli hem de ciddi anlamda maliyetliydi.

2. Çözüm: VakıfBank Neden Cerezgo CMP’yi Tercih Etti?

Global ve yerel pek çok alternatif değerlendirilirken, Cerezgo’nun hem teknik mimarisi hem de KVKK odaklı tasarımı VakıfBank için belirleyici oldu. Öne çıkan gerekçeler şunlardı:

• 🇹🇷 Türkiye Lokasyonlu Veri Saklama: Verilerin yurt dışına çıkarılmaması kuralına tam uyum sağlayan, Türkiye lokasyonlu veri saklama altyapısı.
• 🛡️ Otomatik Script Engelleme: Kullanıcı açık rıza vermeden, analitik ve pazarlama amaçlı çerez ve script’lerin çalışmasını engelleyen “rıza öncesi bloklama” mekanizması.
• ⚖️ Hukuki ve Teknik Uyum: Yalnızca bir yazılım değil, KVKK uzmanlarınca tasarlanmış bir “uyum (compliance)” altyapısı olarak çalışması; çerez politikasının ve aydınlatma metinlerinin Cerezgo ile uyumlu yönetilebilmesi.
• 📊 Denetime Hazır Kayıt Yapısı: Rıza ve tercih kayıtlarının denetime hazır, değiştirilemez formatta tutulması ve bankacılık denetim standartlarıyla uyumlu log mimarisi.

Bu tercih ile VakıfBank, bankacılık alanındaki çerez yönetimi ve KVKK uyum süreçlerinde Cerezgo’yu stratejik bir çözüm ortağı olarak konumlandırmıştır. Benzer yaklaşım, diğer kurumsal sektörler için de Cerezgo çerez yönetimi mimarisinin temel tasarım prensibini oluşturur.

3. Uygulama Modeli: VakıfBank’ta Cerezgo Entegrasyonu Nasıl Kurgulandı?

3.1. Envanter Çıkarma ve Haritalama

İlk aşamada tüm VakıfBank siteleri Cerezgo tarama motoru ile kapsamlı şekilde tarandı. First-party ve third-party çerezler, izleme pikselleri ve script’ler tespit edilerek detaylı bir envanter oluşturuldu. Google Analytics, reklam ağları ve sosyal medya pikselleri gibi araçlar, KVKK Çerez Rehberi’ne uygun kategoriler altında sınıflandırıldı.

3.2. Risk Analizi, Kategorilendirme ve Rıza Öncesi Bloklama

Rıza olmadan çalışan “riskli çerezler” belirlendi ve Cerezgo’nun “Önce Rıza, Sonra Script” kuralı devreye alındı. Açık rıza gerektiren analitik ve pazarlama çerezleri, kullanıcı onayı gelene kadar otomatik olarak bloklandı. Böylece KVKK’nın açık rıza, ölçülülük ve şeffaflık ilkeleri teknik yönden de güvence altına alınmış oldu.

3.3. Loglama, Denetim ve Raporlama

İç denetim ve regülatör beklentilerine uygun, zaman damgalı, IP gizlemeli ve değiştirilemez log yapısı kurgulandı. Cerezgo paneli üzerinden hangi tarihte, hangi sitede, hangi kategori için ne kadar rıza verildiği anlık olarak izlenebilir hâle getirildi. Hazırlanan raporlar, hem KVKK hem de bilgi güvenliği ve iç denetim ekipleri tarafından kullanılabilir formatta tasarlandı.

Bu model, diğer sektörlerde de uygulanabilir “best practice” örneği olarak konumlandırılabilir ve Cerezgo’nun blog tarafında yer alan sigortacılıkta dijital dönüşüm ve çerez yönetimi gibi sektörel rehber içerikleri ile desteklenebilir.

4. Sonuçlar: Cerezgo Entegrasyonu Sonrasında Elde Edilen Kazanımlar

VakıfBank ve Cerezgo ekiplerinin ortak çalışması sonucunda çerez yönetimi, rıza süreçleri ve denetim tarafında somut kazanımlar elde edildi. Aşağıdaki göstergeler, Cerezgo CMP kullanımının etkilerini özetlemektedir:

Bu sonuçlar, Cerezgo’nun yalnızca banner düzeyinde bir çözüm olmadığını; çerez mimarisi, rıza yönetimi, kayıt tutma ve denetim boyutlarını birlikte ele alan kurumsal bir CMP platformu olduğunu ortaya koymaktadır. Detaylı teknik ve hukuki çerçeve için ayrıca Kişisel Verileri Koruma Kurumu ve Avrupa siber güvenlik otoritesi ENISA tarafından yayımlanan rehberler de dikkate alınabilir.

Sıkça Sorulan Sorular (SSS)