E-ticaret sitesi açmak: ETBİS, mesafeli satış, KVKK ve İYS yükümlülükleri

Kendi alan adınızda bir mağaza açmak teknik açıdan birkaç haftalık bir iş olabilir; yasal tarafı ise çoğu işletmenin tahmin ettiğinden fazla adım içerir. Kısa cevap şu: Türkiye'de kendi e-ticaret siteniz üzerinden satış yapacaksanız satışa başlamadan önce ETBİS'e kaydolmanız, sitede belirli bilgileri ve sipariş adımlarını göstermeniz, tüketiciye ön bilgilendirme yapıp 14 günlük cayma hakkını tanımanız, kişisel verileri KVKK'ya göre işlemeniz ve pazarlama mesajlarını yalnızca İYS'ye kayıtlı onaylarla göndermeniz gerekir.

Aşağıda her yükümlülüğü dayandığı mevzuatla birlikte, Ekim 2026 itibarıyla yürürlükteki metinlere göre özetliyoruz. Yazı genel bilgilendirme amaçlıdır; kendi iş modelinize uygularken avukatınız ve mali müşavirinizle birlikte ilerleyin.

Hangi kurallar sizi bağlıyor?

E-ticaret mevzuatı tek bir kanundan oluşmuyor. Kendi sitesi üzerinden satış yapan bir işletmeyi ilgilendiren ana metinler şunlar:

Önemli bir güncelleme notu: Eski rehberlerde sıkça anılan 2015 tarihli "Elektronik Ticarette Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Hakkında Yönetmelik" yürürlükten kaldırıldı. Yerine 2022 tarihli yönetmelik geldi ve en son 15 Mart 2025'te değiştirildi. Mesafeli Sözleşmeler Yönetmeliği'nde de 2022 ve 2025 değişiklikleriyle getirilen bazı kurallar 1 Ocak 2026'da uygulanmaya başladı. Birkaç yıl önce hazırlanmış sözleşme şablonları bu yüzden büyük ihtimalle güncel değil.

ETBİS kaydı: kim, ne zaman, nasıl?

ETBİS (Elektronik Ticaret Bilgi Sistemi), Ticaret Bakanlığı'nın e-ticaret yapan işletmeleri kayıt altına aldığı sistemdir. Tebliğ'in 5. maddesine göre şu kişiler faaliyete başlamadan önce kaydolmak zorundadır:

• Kendine ait bir e-ticaret ortamında, yani web sitesi, mobil site veya uygulamada satış yapan işletmeler,
• Pazaryeri gibi aracı hizmet sağlayıcılar,
• Türkiye'de yerleşik olup yalnızca yurt dışındaki bir pazaryeri üzerinden sipariş alan işletmeler.

Bakanlığın e-ticaret sık sorulan sorular sayfasına göre Türkiye'deki pazaryerlerinde satış yapanların ve yalnızca sosyal medya üzerinden satanların kayıt ve bildirim yükümlülüğü yok. Sözleşmeyi yalnızca e-posta, telefon veya kısa mesajla kuranlar da Tebliğ'in kapsamı dışında kalıyor. Ancak kendi sitenizde sepet ve ödeme adımı olduğu anda kayıt yükümlülüğü doğar.

Kayıt adımları

Kayıt, gerçek kişilerde kişinin kendisi veya yetkili temsilcisi, şirketlerde yetkili temsilci tarafından e-Devlet üzerinden yapılır. Bakanlık, işlem için belge ya da ücret istenmediğini; önce MERSİS (esnafta ESBİS) kaydının bulunması ve tebligata elverişli bir KEP adresi alınması gerektiğini belirtiyor. Kayıtta MERSİS ve vergi numarası ile satış yapılan alan adı ve varsa mobil uygulama girilir.

Kayıt tarihinden itibaren 30 gün içinde şu bilgiler bildirilir: KEP adresi, e-ticaretin türü, satılan mal ve hizmetler, ödeme yöntemleri, hizmet alınan banka ve ödeme kuruluşları, kargo firmaları, altyapı sağlayıcınız ve kişisel verilerin tutulduğu veri tabanlarının bulunduğu ülke ve adres. Son madde, sunucu seçiminin yalnızca teknik bir karar olmadığını gösteriyor. Bu bilgiler değiştiğinde 30 gün içinde güncelleme yapılır; yurt dışına satış yapıyorsanız ülke ve ödeme yöntemi bazındaki yıllık hacmi her yıl mart sonuna kadar bildirirsiniz.

Kayıt ve bildirim yükümlülüğüne uymamak, 6563 sayılı Kanun'un 12. maddesi kapsamında idari para cezasına konu olabilir. Ceza tutarları her yıl yeniden değerleme oranıyla güncellenir; 2026 tutarları 25.12.2025 tarihli Resmî Gazete'de yayımlandı.

Sitede bulunması zorunlu bilgiler ve sipariş akışı

2022 tarihli e-ticaret yönetmeliği, kendi sitesinden satış yapan işletmeden iki sabit bölüm ister. İkisinin de ana sayfadan doğrudan ulaşılabilir olması gerekir.

"İletişim" başlığı (md. 5): Şirketler için ticaret unvanı, MERSİS numarası ve merkez adresi; esnaf için ad soyad, vergi kimlik numarası ve adres. Bunlara ek olarak KEP adresi, e-posta, telefon, varsa işletme adı ve tescilli marka ile bağlı olunan meslek odası ve meslek kurallarına elektronik ortamda nasıl ulaşılacağı.

"İşlem rehberi" başlığı (md. 7): Ürün seçiminden sipariş onayına kadar teknik adımlar; sözleşmenin saklanıp saklanmayacağı ve müşterinin ona ne kadar süre erişebileceği; sipariş öncesinde hataları düzeltmeye yarayan özet sipariş formu veya "geri al" gibi araçlar; varsa alternatif uyuşmazlık çözüm yolları.

Sipariş akışında öne çıkan kurallar (md. 8 ve 9):

• Ödeme bilgileri girilmeden önce vergi ve teslimat masrafları dahil toplam bedel açıkça görünmeli.
• İkinci el ürünler ayrı bir kategoride satışa sunulmalı.
• Müşteri siparişi onaylamadan önce bir özet görmeli ve girdiği bilgileri düzeltebilmeli.
• Sipariş, işlemin yapıldığı sitede ve ayrıca e-posta, SMS veya telefon gibi araçlardan en az biriyle gecikmeksizin teyit edilmeli.

Teknik açıdan bir ayrıntı daha önemli: 6563 sayılı Kanun'un 11. maddesi, Kanun kapsamındaki işlemlere ait bilgi, belge ve elektronik kayıtların on yıl saklanmasını şart koşuyor. Sipariş kayıtlarının, onay e-postalarının ve sözleşme sürümlerinin düzenli yedeklenmesi bu yüzden altyapının ayrılmaz bir parçası.

Mesafeli satış: ön bilgilendirme ve 14 günlük cayma hakkı

Tüketiciye internet üzerinden yapılan satışlar mesafeli sözleşme sayılır. Mesafeli Sözleşmeler Yönetmeliği burada üç şey ister: eksiksiz ön bilgilendirme, bu bilgilendirmenin teyidi ve cayma hakkının tanınması.

Ön bilgilendirme ve teyit

Yönetmeliğin 5. maddesi sözleşmeden önce verilmesi gereken bilgileri sayar: ürünün temel nitelikleri, satıcının unvanı ile MERSİS ya da vergi numarası, açık adres ve telefon, vergiler dahil toplam fiyat ve ek masraflar, teslim süresi, cayma hakkının şartları, süresi ve usulü, iade için öngörülen taşıyıcı, cayma hakkının bulunmadığı durumlar ve uyuşmazlıkta tüketici hakem heyetine ya da arabulucuya başvuru yolu. Bu bilgiler en az 12 punto ve sade bir dille sunulur; internet satışlarında ürünün nitelikleri, toplam fiyat ve cayma hakkına ilişkin bilgiler ödeme adımından hemen önce ayrıca gösterilir (md. 6).

Müşterinin ön bilgileri edindiğini teyit etmesi sağlanmazsa sözleşme kurulmamış sayılır (md. 7). Sipariş butonu da siparişin ödeme yükümlülüğü doğurduğunu açıkça anlatmalıdır; aksi halde tüketici siparişiyle bağlı değildir (md. 8). Ücret doğuran ek seçeneklerin önceden işaretli sunulması da yasaktır (md. 19).

Cayma hakkı ve 2026'da değişen iade kuralları

Tüketici, 14 gün içinde gerekçe göstermeden ve cezai şart ödemeden sözleşmeden cayabilir (md. 9). Süre mal satışlarında ürünün teslim alındığı gün, hizmetlerde sözleşmenin kurulduğu gün başlar. Cayma hakkı konusunda gereği gibi bilgilendirme yapılmazsa bu süre bir yıla kadar uzayabilir (md. 10).

1 Ocak 2026'dan itibaren uygulanan kurallarla iade süreci şöyle işliyor:

• Satıcı, ön bilgilendirmede iade için bir taşıyıcı belirtir. Ürün bu taşıyıcıya teslim edildiği tarihten itibaren 14 gün içinde, teslimat masrafı dahil tüm ödemeler tek seferde ve tüketiciye masraf çıkarılmadan iade edilir (md. 12).
• Belirtilen taşıyıcıyla yapılan iadelerde iade masrafı tüketiciye yüklenemez; satıcı hiç taşıyıcı belirtmemişse de tüketiciden iade bedeli istenemez.
• Belirtilen taşıyıcının tüketicinin bulunduğu yerde şubesi yoksa satıcı, ürünü ek masraf çıkarmadan tüketiciden aldırır.
• Tüketici, cayma bildiriminden itibaren 14 gün içinde ürünü geri gönderir (md. 13).

Cayma hakkının kullanılamadığı durumlar

Yönetmeliğin 15. maddesi istisnaları sayar. Bunlar arasında kişiye özel hazırlanan ürünler, çabuk bozulan ürünler, ambalajı açılmış ve sağlık ile hijyen açısından iadesi uygun olmayan ürünler, ambalajı açılmış kitap, dijital içerik ve bilgisayar sarf malzemeleri, belirli bir tarihte yapılması gereken konaklama, eşya taşıma, araç kiralama ve eğlence hizmetleri, elektronik ortamda anında ifa edilen hizmetler ve tüketicinin onayıyla cayma süresi dolmadan ifasına başlanan hizmetler bulunur. Bu istisnalar ön bilgilendirmede açıkça yazılmalıdır.

2022'de eklenen motorlu araçlar, canlı müzayede ve kurulumu yapılmış ürünlere ilişkin bentler ise mevzuat.gov.tr'deki güncel metinde Danıştay Onuncu Dairesi'nin 6 Mayıs 2026 tarihli kararıyla iptal edilmiş olarak gösteriliyor. Bu ürün gruplarında satış yapıyorsanız güncel durumu avukatınızla teyit edin. Teslimatta da bir üst sınır var: Kişiye özel ürünler dışında mal satışlarında teslim süresi 30 günü geçemez (md. 16). İşlemlere ilişkin bilgi ve belgeler üç yıl saklanır (md. 20).

KVKK: aydınlatma, çerezler ve veri tabanının yeri

Bir mağaza sitesi üyelik, sipariş, teslimat ve ödeme süreçlerinde yoğun biçimde kişisel veri işler. KVKK tarafında üç başlık özellikle önemlidir:

• Aydınlatma metni: Veriler toplanırken kimin, hangi amaçla ve hangi hukuki sebeple veri işlediği, verilerin kimlere aktarıldığı anlatılmalıdır (KVKK md. 10). Sipariş ve teslimat için yapılan işlemler çoğu zaman sözleşmenin kurulması ve ifasına dayanır; bunlar için ayrıca açık rıza istenmez.
• Çerezler: Sepet ve oturum gibi zorunlu çerezler dışındaki analitik ve pazarlama çerezleri, kullanıcı onay vermeden çalıştırılmamalıdır.
• Veri tabanının yeri: Müşteri verileriniz yurt dışındaki bir sunucuda tutuluyorsa bu, yurt dışına aktarım olarak değerlendirilebilir; bu durumda KVKK md. 9'daki mekanizmalardan birine dayanmanız gerekir. Aynı bilgiyi ETBİS'e de bildirirsiniz.

Aydınlatma ile açık rızanın neden ayrı tutulması gerektiğini, çerez bannerının nasıl kurulacağını, VERBİS eşiklerini ve yurt dışında barındırmanın kurallarını KVKK uyumlu web sitesi rehberimizde ayrıntılı olarak ele aldık. Kendi barındırma tercihlerimizi ise güvenlik ve veri koruma sayfamızda açıkça paylaşıyoruz.

Kampanya e-postası ve SMS: İYS kuralları

Kampanya e-postası, indirim SMS'i veya tanıtım amaçlı arama, 6563 sayılı Kanun'a göre ticari elektronik iletidir ve tüketicilere ancak önceden onay alınarak gönderilebilir (md. 6). Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik bu onayların İleti Yönetim Sistemi (İYS) üzerinden yönetilmesini şart koşar:

• Ticari ileti göndermek isteyen işletmeler İYS'ye kaydolur; İYS'de onayı bulunmayan alıcıya ileti gönderilemez (md. 5).
• Sitenizdeki bir form gibi İYS dışında alınan onaylar üç iş günü içinde İYS'ye kaydedilir; kaydedilmeyen onay geçersiz kabul edilir (md. 7).
• Onay kutusu önceden işaretli olamaz ve onay, ürün veya hizmetin satın alınması için ön şart yapılamaz (md. 7).
• Her iletide kolay ve ücretsiz bir ret yolu bulunur; ret bildirimleri üç iş günü içinde İYS'ye iletilir ve gönderim durdurulur (Yönetmelik md. 9, Kanun md. 8).
• İletide şirketler için ticaret unvanı ve MERSİS numarası yer alır; SMS gibi sınırlı alanlarda MERSİS numarası yeterlidir (md. 8).

Sipariş onayı, kargo bilgisi veya ödeme hatırlatması gibi bildirimler için onay gerekmez; ancak bu mesajlara tanıtım eklenemez (md. 6). Esnaf ve tacirlere onaysız ileti gönderilebilir, fakat göndermeden önce adreslerin İYS'ye kaydedilmesi ve ret durumunun kontrol edilmesi gerekir. Pratikte en sağlıklı yol, e-posta ve SMS hizmet sağlayıcınızın İYS ile entegre çalışması ve ödeme sayfasındaki "kampanyalardan haberdar olmak istiyorum" kutusunun boş ve isteğe bağlı bırakılmasıdır.

e-Arşiv fatura ve ödeme güvenliği

e-Arşiv fatura

509 Sıra No'lu VUK Genel Tebliği, internet üzerinden mal ve hizmet satanlar için genel eşikten daha düşük bir sınır öngörür: 2022 ve sonraki hesap dönemlerinde brüt satış hasılatı 500 bin TL ve üzerinde olan e-ticaret işletmeleri e-Fatura uygulamasına geçmek zorundadır. e-Arşiv'e dahil olup internetten satış yapanlar ise faturayı müşteriye elektronik ortamda iletir ve faturaya "Bu satış internet üzerinden yapılmıştır." ibaresi gibi e-ticarete özgü bilgileri ekler. Geçiş tarihleri ve zorunlu alanların tam listesi için e-Fatura ve e-Arşiv geçiş rehberimize bakabilirsiniz.

Teknik açıdan önemli olan, mağaza yazılımının bu bilgileri fatura entegratörüne otomatik aktarmasıdır; böylece her siparişte elle düzeltme gerekmez. Bunun için sistem entegrasyonu tarafını projenin başında planlamak gerekir.

Ödeme güvenliği ve PCI DSS

Türkiye'de ödeme hizmeti sunmak isteyen ödeme kuruluşları, 6493 sayılı Kanun'un 14. maddesi uyarınca Türkiye Cumhuriyet Merkez Bankası'ndan izin almak zorundadır. Sanal POS veya ödeme altyapısı seçerken izinli bir banka ya da ödeme kuruluşuyla çalıştığınızı doğrulayın; bu bilgiyi ETBİS'e de bildireceksiniz.

Kart verilerinin korunmasına ilişkin uluslararası standart PCI DSS'tir; standardı yayımlayan PCI SSC, Haziran 2024'te 4.0.1 sürümünü yayımladı. Küçük ve orta ölçekli bir mağaza için en sağlıklı mimari, kart bilgisinin sizin sunucunuza hiç uğramamasıdır: Ödeme kuruluşunun barındırdığı ödeme sayfası veya güvenli ödeme formu kullanıldığında kart numarası doğrudan ödeme kuruluşuna gider. Bu yaklaşım uyum yükünüzü belirgin biçimde azaltır; yine de ödeme kuruluşunuzun istediği güvenlik beyanlarını ve 3D Secure doğrulamasını eksiksiz uygulayın.

Yayına almadan önce kontrol listesi

1. MERSİS kaydı ve KEP adresi hazır; ETBİS kaydı satışa başlamadan önce e-Devlet'ten yapıldı.
2. Kayıttan sonraki 30 gün içinde ödeme, kargo, altyapı ve veri tabanı konumu bildirildi.
3. Ana sayfadan ulaşılan "İletişim" bölümünde unvan, MERSİS, adres, KEP, e-posta ve telefon yer alıyor.
4. "İşlem rehberi" sipariş adımlarını, sözleşmenin saklanmasını ve hata düzeltme araçlarını anlatıyor.
5. Ödeme adımından önce vergi ve kargo dahil toplam bedel görünüyor; ücretli seçenekler önceden işaretli değil.
6. Ön bilgilendirme formu ve mesafeli satış sözleşmesi 2026 kurallarına göre güncellendi; iade taşıyıcısı belirtildi.
7. Müşteri ön bilgileri onaylamadan sipariş veremiyor; sipariş butonu ödeme yükümlülüğünü açıkça belirtiyor.
8. Sipariş teyidi sitede ve e-posta ya da SMS ile anında gidiyor; kayıtlar saklanıyor ve yedekleniyor.
9. Cayma formu sitede erişilebilir; cayma talebi geldiğinde müşteriye teyit gönderiliyor.
10. Aydınlatma metni yayında; analitik ve pazarlama çerezleri onaydan önce yüklenmiyor.
11. Pazarlama onayı ayrı ve boş bir kutuyla alınıyor, üç iş günü içinde İYS'ye aktarılıyor.
12. e-Arşiv faturalar elektronik ortamda iletiliyor ve e-ticarete özgü zorunlu alanları içeriyor.
13. Kart verisi sunucunuzda işlenmiyor; ödeme TCMB izinli bir kuruluş üzerinden alınıyor.

Bu listeyi tasarımdan ayrı düşünmemek gerekir: Zorunlu sayfalar, onay kutuları ve sipariş özeti en baştan kullanıcı akışına yerleştirildiğinde hem yasal açıdan hem de dönüşüm açısından daha iyi çalışır. E-ticaret sitesi projelerimizde bu adımları tasarımın ve yazılımın ilk gününden itibaren birlikte ele alıyoruz.

Sık sorulan sorular

Kaynaklar

1. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (güncel metin, 2026 ceza tablosu dahil) – mevzuat.gov.tr, erişim: Ekim 2026
2. Elektronik Ticaret Aracı Hizmet Sağlayıcı ve Elektronik Ticaret Hizmet Sağlayıcılar Hakkında Yönetmelik – RG 29.12.2022/32058, son değişiklik RG 15.03.2025/32842; erişim: Ekim 2026
3. Elektronik Ticaret Bilgi Sistemi ve Bildirim Yükümlülükleri Hakkında Tebliğ – RG 11.08.2017/30151; erişim: Ekim 2026
4. Ticaret Bakanlığı – Elektronik ticaret sık sorulan sorular (ETBİS) – erişim: Ekim 2026
5. Mesafeli Sözleşmeler Yönetmeliği (güncel metin) – RG 27.11.2014/29188, son değişiklik RG 24.05.2025/32909; erişim: Ekim 2026
6. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik – RG 15.07.2015/29417; erişim: Ekim 2026
7. 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun – md. 14; erişim: Ekim 2026
8. PCI Security Standards Council – Just Published: PCI DSS v4.0.1 – 11 Haziran 2024; erişim: Ekim 2026

Bu yazı genel bilgilendirme amaçlıdır; hukuki, mali veya vergisel danışmanlık yerine geçmez. Mevzuat ve rakamlar yayın tarihindeki durumu yansıtır.