İYS Kaydı Nedir, E-Posta ve SMS İzni Nasıl Alınır?

Sitenizin altına bir bülten kutusu koydunuz, kampanya duyurusu için bir SMS paketi aldınız ve listeye ilk toplu gönderimi yaptınız. Teknik olarak her şey çalıştı; e-postalar gitti, açılma oranları geldi. Ama o gönderimi yapabilmek için gereken İYS kaydı ve ticari elektronik ileti izni tarafında hiçbir şey yapılmadıysa, elinizde çalışan bir pazarlama kanalı değil, birikmiş bir idari para cezası riski var. Türkiye'de 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, bir alıcının elektronik posta adresine, telefonuna ya da kısa mesaj numarasına ticari amaçlı ileti göndermeyi önceden onay şartına bağlıyor ve bu onayın merkezî bir sistemde — İleti Yönetim Sistemi'nde — kayıtlı olmasını istiyor.

Bu yazı İYS'nin ne olduğunu tanımlayıp bırakmıyor. Asıl eksik olan yeri, yani site tarafını anlatıyor: bülten formunda onayın hukuken geçerli biçimde nasıl alınacağını, o onayın hangi alanlarla veritabanına yazılması gerektiğini, İYS'ye kaç iş günü içinde yüklenmesi gerektiğini, gönderim öncesinde izin listesinin nasıl doğrulanacağını ve her iletide bulunması zorunlu olan ret bağlantısının teknik olarak nasıl kurulacağını. Yıllardır gördüğüm en yaygın hata, İYS kaydını bir kereye mahsus bürokratik iş sanmak. Değil; onay toplayan formunuzla İYS arasında sürekli çalışan bir veri akışı kurmadığınız sürece, kayıt olmuş olmanız sizi korumaz.

İYS Kaydı Nedir ve Kimler İçin Zorunludur#

İYS, ticari elektronik ileti onaylarının ve ret bildirimlerinin tutulduğu merkezî bir izin veri tabanıdır. Mantığı basit: izin artık sizin Excel dosyanızda değil, alıcının da girip görebildiği ortak bir sistemde durur. Alıcı dilediği an oraya girip bir markanın kendisine e-posta göndermesini kapatabilir; siz de gönderim yapmadan önce o listeye bakmakla yükümlüsünüz.

Kayıt zorunluluğu, ticari elektronik ileti gönderen her hizmet sağlayıcıyı kapsar. Burada "şirket büyüklüğü" veya "gönderim adedi" gibi bir eşik yok. Ayda bir kez elli kişilik listesine kampanya maili atan butik bir mağaza da, günde on binlerce SMS gönderen bir e-ticaret sitesi de aynı yükümlülük altındadır. Şahıs şirketi olmanız da muaf tutmaz.

Sistemde izinler üç ayrı kanal olarak tutulur ve bunlar birbirinin yerine geçmez:

Bir müşteriniz bültene abone oldu diye ona SMS gönderemezsiniz. E-posta onayı yalnız E-POSTA kanalını açar. Formda "SMS de almak istiyorum" seçeneğini ayrı sunmadıysanız, MESAJ kanalı için izniniz yok demektir. Sahada gördüğüm ihlallerin belki yarısı bu tek noktadan çıkıyor: tek kutucukla alınan izinle üç kanaldan birden gönderim yapmak.

Bir istisna var: alıcı tacir veya esnaf ise, ticari elektronik ileti önceden onay alınmaksızın gönderilebilir. Ancak bu istisna sınırsız bir serbestlik değildir — kişi ret hakkını kullandığı anda gönderim durmak zorundadır ve bu adreslerin de sisteme işlenmesi gerekir. "B2B çalışıyoruz, bizi ilgilendirmiyor" cümlesi bu yüzden yanlıştır; sadece onay alma adımını atlarsınız, ret ve kayıt yükümlülüğü aynen durur.

Ticari Elektronik İleti Sayılan ve Sayılmayan Mesajlar#

Her otomatik e-posta ticari elektronik ileti değildir. Ayrımı doğru yapmak önemli, çünkü sipariş bilgilendirmesini de izin kapsamına sokarsanız sistem kilitlenir; kampanya mailini "bilgilendirme" sanırsanız ceza alırsınız.

Ticari elektronik ileti sayılmayan tipik mesajlar:

• Sipariş onayı, kargo takip numarası, teslimat bildirimi
• Fatura ve ödeme makbuzu gönderimi
• Şifre sıfırlama, e-posta doğrulama, iki adımlı doğrulama kodu
• Randevu hatırlatması, üyelik sözleşmesi değişikliği bildirimi
• Devam eden bir hizmetle ilgili teknik bakım/kesinti duyurusu

Ticari elektronik ileti sayılan mesajlar:

• Kampanya, indirim, kupon, "size özel fırsat" içerikleri
• Yeni ürün duyurusu, bülten, blog yazısı özeti
• Terk edilmiş sepet hatırlatması (satışa yönlendirdiği için)
• "Bizi değerlendirin" içine indirim kodu iliştirilmiş anketler

Kritik nokta şu: bir işlem e-postasının içine kampanya bloğu koyduğunuz anda o mail ticari elektronik iletiye dönüşür. Kargo bildiriminin altına "Bu hafta tüm ayakkabılarda %30 indirim" banner'ı koyan bir e-ticaret sitesi, izinsiz gönderim yapmış olur. Şablonlarınızı ayırın; işlem maili sade kalsın.

Onay Nasıl Alınır: Web Sitesi Formunun Doğru Kurgusu#

Onay, alıcının olumlu irade beyanıyla alınır. Bu cümlenin teknik karşılığı nettir: onay kutucuğu sayfa yüklendiğinde işaretli gelemez, kullanıcı onu kendi tıklamalıdır.

Onay kutucuğu kuralları#

1. Önceden işaretli kutucuk (pre-checked checkbox) geçersizdir. checked özniteliğini şablondan silin.
2. Onay, üyelik sözleşmesinin içine gömülemez. "Üyelik sözleşmesini ve ticari ileti iznini kabul ediyorum" tek satırı hukuken sorunludur; sözleşmenin kabulü zorunlu, ticari ileti izni isteğe bağlıdır. İki ayrı kutucuk olmalı.
3. Kanallar ayrı seçilebilmelidir. E-posta ve SMS için tek kutucuk kullanmayın.
4. Onayın olmaması hizmeti engellememelidir. "İzin vermeden üye olamazsınız" kurgusu, onayı geçersiz kılar.
5. Onay metni ekranda okunabilir olmalıdır; sadece bir modalın arkasına saklanmamalı, hangi markanın hangi kanaldan ileti göndereceği yazmalıdır.

Doğru bir bülten formunun HTML iskeleti şuna benzer:

<form method="post" action="/abone-ol">
  <input type="email" name="eposta" required placeholder="E-posta adresiniz">
  <input type="tel" name="telefon" placeholder="Cep telefonu (isteğe bağlı)">

  <label>
    <input type="checkbox" name="izin_eposta" value="1">
    Örnek Ticaret A.Ş.'nin kampanya ve duyurularını
    <strong>e-posta</strong> ile almak istiyorum.
  </label>

  <label>
    <input type="checkbox" name="izin_sms" value="1">
    Kampanya bildirimlerini <strong>SMS</strong> ile almak istiyorum.
  </label>

  <input type="hidden" name="onay_metni_surum" value="2026-08-11-v3">
  <button type="submit">Abone ol</button>
</form>

onay_metni_surum alanına dikkat edin. Onay metnini altı ay sonra değiştirdiğinizde, o kişinin hangi metne onay verdiğini ispat edebilmeniz gerekir. Metni sürümleyip formda gizli alan olarak taşımak, sonradan yaşanan itirazların en ucuz çözümüdür.

Onay kaydında saklanması gereken alanlar#

İspat yükümlülüğü hizmet sağlayıcıdadır. Yani "bu kişi izin vermişti" demek yetmez, göstermeniz istenir. Onay anında en az şu alanları yazın:

CREATE TABLE ileti_onay (
  id            BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
  kanal         ENUM('EPOSTA','MESAJ','ARAMA') NOT NULL,
  adres         VARCHAR(255) NOT NULL,
  onay_durumu   ENUM('ONAY','RET') NOT NULL,
  kaynak        VARCHAR(64) NOT NULL,          -- HS_WEB, HS_FIZIKSEL_ORTAM ...
  onay_tarihi   DATETIME NOT NULL,
  ip_adresi     VARBINARY(16) NOT NULL,
  user_agent    VARCHAR(255) NULL,
  metin_surum   VARCHAR(32) NOT NULL,
  iys_yuklendi  TINYINT(1) NOT NULL DEFAULT 0,
  iys_yukleme   DATETIME NULL,
  UNIQUE KEY uq_kanal_adres (kanal, adres)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

ip_adresi alanını VARBINARY(16) yapmamın nedeni IPv6'yı da INET6_ATON() ile aynı kolonda tutabilmek. Sunucunuz Cloudflare gibi bir katmanın arkasındaysa REMOTE_ADDR size proxy'nin IP'sini verir; gerçek ziyaretçi adresini kaydettiğinizden emin olun, aksi halde binlerce onay kaydının hepsi aynı IP ile durur ve ispat değeri kalmaz.

Bu kayıtlar, tıpkı VERBİS kaydı ve KVKK aydınlatma metni tarafındaki belgeler gibi, denetimde ilk istenen şeydir. Onay kayıtlarının saklanmasında kural, onayın geçerliliği sona erdikten sonra da bir süre daha tutulmasıdır; pratikte "abonelikten çıktı, satırı sildim" yaklaşımı sizi savunmasız bırakır — satırı silmeyin, durumunu RET yapın.

Alınan Onay İYS'ye Nasıl ve Ne Kadar Sürede Yüklenir#

Onay alındıktan sonra üç iş günü içinde İYS'ye yüklenmelidir. Bu, yazının en çok atlanan cümlesidir. Formunuz mükemmel çalışsa bile, toplanan izinler ayda bir elle CSV olarak yüklendiği sürece süre şartını sürekli ihlal edersiniz.

Doğru kurgu, onay kaydı oluşur oluşmaz bir kuyruğa düşmesi ve arka planda İYS'ye aktarılmasıdır. İYS'nin sunduğu servis arayüzü üzerinden gönderilecek kayıt, kabaca şu şekle sahiptir:

{
  "recipient": "[email protected]",
  "recipientType": "BIREYSEL",
  "status": "ONAY",
  "type": "EPOSTA",
  "source": "HS_WEB",
  "consentDate": "2026-08-11 14:32:07"
}

source alanı önemlidir: onayın web sitesinden mi, fiziksel ortamdan mı (mağazada imzalı form), çağrı merkezinden mi alındığını söyler. Yanlış kaynak yazmak, itiraz hâlinde ispat zincirinizi kırar.

Kuyruğu boşaltan işi zamanlanmış görev olarak çalıştırın. Günde bir kez yeterli görünse de, gün içinde gelen onayların üç iş günü penceresine rahat sığması için saatlik çalıştırmak daha güvenlidir:

# Her saat başı bekleyen onayları İYS'ye aktar
0 * * * * /usr/bin/php /home/kullanici/public_html/bin/iys-senkron.php >> /home/kullanici/logs/iys.log 2>&1

Aktarım başarılıysa iys_yuklendi = 1 ve iys_yukleme alanlarını doldurun. Başarısız kayıtları silmeyin, tekrar denenecek şekilde bırakın; İYS tarafında geçici bir kesinti yaşandığında tek kaybettiğiniz şey birkaç saatlik gecikme olsun, kaybolmuş izinler değil.

Her İletide Bulunması Zorunlu Unsurlar ve Ret Bağlantısı#

Gönderdiğiniz her ticari elektronik iletide, alıcının kimden ileti aldığını anlaması ve tek adımda reddedebilmesi gerekir. E-posta şablonunuzun altında şunlar bulunmalı:

• Ticaret unvanınız (tacirseniz MERSİS numaranızla birlikte), marka adınız
• İletişim bilgileriniz (adres, telefon veya e-posta)
• İletinin ticari amaçlı olduğunu anlatan açık ifade
• Ücretsiz ve kolay bir ret bağlantısı

Ret bağlantısı için en yaygın hata, kullanıcıyı önce üye girişi ekranına düşürmektir. Alıcıya şifre sordurmak "kolay ret" değildir. Bağlantı, tek tıkla çalışan imzalı bir jetona sahip olmalıdır:

<?php
// Gönderim anında üretilir; şablona basılır.
$adres = '[email protected]';
$imza  = hash_hmac('sha256', $adres . '|EPOSTA', RET_GIZLI_ANAHTAR);
$url   = 'https://ornek.com/ret?a=' . rawurlencode($adres)
       . '&k=EPOSTA&s=' . $imza;

Ret sayfası açıldığında imzayı doğrulayın, kaydı RET durumuna çekin ve kullanıcıya ek bir form doldurtmayın. Ret talebini de İYS'ye bildirmeniz gerekir ve burada da üç iş günlük bir pencere vardır. Ret aldıktan sonra gönderime devam etmek, izinsiz gönderimden daha ağır bir ihlaldir; çünkü niyet unsurunu tartışmaya kapatır.

Gönderim Öncesi İzin Kontrolü ve Ret Listesinin Senkronu#

İYS tek yönlü bir depo değildir. Alıcı, sizin sitenize hiç uğramadan İYS üzerinden "bu markadan e-posta almak istemiyorum" diyebilir. Bu durumda sizin veritabanınızda hâlâ ONAY yazıyor olur ve gönderime devam ederseniz ihlal doğar.

Bu yüzden kampanya göndermeden önce listeyi mutlaka İYS ile karşılaştırın. Pratik akış şudur:

1. Gönderim listesini oluşturun (segment, filtre, hedef kitle).
2. İYS'den güncel ret listesini çekip yerel tabloya işleyin.
3. Listeyi onay_durumu = 'ONAY' ve iys_yuklendi = 1 koşuluyla süzün.
4. Gönderimi başlatın.
5. Bounce ve şikâyet geri bildirimlerini işleyip listeyi temizleyin.

Çoğu toplu gönderim aracı 2. adımı sizin yerinize yapar; yapmıyorsa manuel olarak kurmanız gerekir. Toplu mail gönderimi tarafındaki teknik hazırlıkla bu izin kontrolü aynı boru hattının iki ucudur: biri "gidebilir mi", diğeri "ulaşabilir mi" sorusunu çözer.

Yaygın bir kör nokta: yalnız kampanya aracına yüklenen liste kontrol edilir, ancak sitedeki "terk edilmiş sepet" otomasyonu doğrudan uygulama içinden mail atar ve o akış İYS kontrolünden geçmez. Otomasyonlarınızı tek bir gönderim fonksiyonundan geçirin; izin kontrolü o fonksiyonun içinde olsun, çağıran kodun insafına bırakılmasın.

E-Posta Tarafında Teknik Uygulama: List-Unsubscribe ve Kayıt Tutma#

Hukuki ret bağlantısı gövdede durur, ama e-posta sağlayıcıları artık başlıkta da bir çıkış yolu bekliyor. List-Unsubscribe ve tek tıkla ret için List-Unsubscribe-Post başlıklarını eklemek hem alıcıyı memnun eder hem de spam şikâyetini düşürür:

List-Unsubscribe: <https://ornek.com/ret?a=musteri%40ornek.com&k=EPOSTA&s=...>, <mailto:[email protected]?subject=unsubscribe>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Precedence: bulk

Bu başlıklar sayesinde posta kutusu arayüzündeki "abonelikten çık" düğmesi doğrudan çalışır ve kullanıcı sizi spam olarak işaretlemek yerine listeden çıkar. Şikâyet oranınızın düşük kalması, Gmail ve Yahoo'nun gönderici kuralları açısından da doğrudan belirleyicidir.

Bu noktada üç ayrı kayıt kümesini karıştırmamak gerekir:

Denetimde en çok zorlanan işletmeler, üçüncüsünü hiç tutmayanlardır. Hangi kampanyanın hangi tarihte kimlere gittiğini gösteremezseniz, "biz o kişiye göndermedik" savunmanız havada kalır. MTA seviyesinde tutulan gönderim günlükleri bu yüzden değerlidir; kendi sunucusundan gönderim yapan işletmelerin elindeki en somut kanıt budur.

Sık Yapılan Hatalar ve Ceza Riskleri#

Sahada tekrar tekrar karşılaştığım hataların listesi:

• Satın alınmış/kazınmış listeye gönderim. Onay devredilemez. Bir listeyi satın almanız, o kişilerin size onay verdiği anlamına gelmez ve bu, en kısa yoldan şikâyet toplayan senaryodur.
• Eski müşteri listesini "zaten müşterimizdi" diye yükleme. Geçmişteki alışveriş, ticari ileti onayı değildir.
• Tek kutucukla üç kanal açma. E-posta izniyle SMS göndermek ayrı bir ihlaldir.
• İşlem mailine kampanya iliştirme. Fatura mailinin altındaki indirim kutusu o maili ticari iletiye çevirir.
• Ret talebini geciktirme. Ret alındıktan sonra gönderilen tek bir mail bile ihlaldir.
• İYS'ye hiç yüklememe. Onaylarınız gerçek olsa bile sistemde görünmüyorsa, alıcı kendi kaydını göremez ve izniniz ispatlanamaz.

Yaptırım tarafında ise şunu bilmek yeterli: idari para cezaları Ticaret Bakanlığı tarafından uygulanır, her yıl yeniden değerleme oranıyla güncellenir ve aynı ihlal binden fazla kişiye yönelik toplu gönderimle işlenirse ceza kat kat artırılabilir. Rakam vermek yerine şunu söyleyeyim — cezanın büyüklüğü tek bir gönderimde bile küçük bir işletmenin aylık pazarlama bütçesini aşacak ölçüdedir, ve toplu gönderimde çarpan devreye girdiğinde tablo hızla ağırlaşır. Sitenizin zorunlu yasal metinleri tamamken izin altyapısının eksik kalması, en pahalı eksiklerden biridir.

Sıkça Sorulan Sorular#

İYS kaydı her işletme için zorunlu mu#

Ticari elektronik ileti gönderen her hizmet sağlayıcı için zorunludur. Ciro, çalışan sayısı veya gönderim adedi bakımından bir alt sınır bulunmaz; ayda bir kez elli kişiye kampanya maili atan şahıs işletmesi de kapsamdadır. Yalnızca sipariş onayı, kargo bildirimi, fatura ve şifre sıfırlama gibi işlem mesajları gönderiyorsanız ticari elektronik ileti göndermiyorsunuz demektir ve bu yükümlülük doğmaz. Ancak bu mesajların içine kampanya içeriği eklediğiniz anda kapsam içine girersiniz.

Onayı aldıktan sonra İYS'ye kaç gün içinde yüklemem gerekir#

Onayın alınmasından itibaren üç iş günü içinde İYS'ye kaydedilmesi gerekir. Bu süre pratikte manuel yüklemeyi imkânsız kılar; her yeni abonelikte kaydın otomatik olarak bir kuyruğa düşüp arka planda aktarılması gerekir. Zamanlanmış görevi saatlik çalıştırmak, hafta sonuna denk gelen onaylarda bile pencereyi rahat karşılar. Aktarımı başarısız olan kayıtları silmeyin, tekrar denenecek durumda bırakın.

E-posta izni aldığım kişiye SMS gönderebilir miyim#

Gönderemezsiniz. İYS'de izinler E-POSTA, MESAJ ve ARAMA olmak üzere ayrı kanallarda tutulur ve bir kanaldaki onay diğerini kapsamaz. Formunuzda kanalları ayrı kutucuklarla sunmadıysanız, yalnız işaretlenen kanal için izniniz vardır. Tek kutucukla toplanmış izinlerle çok kanallı gönderim yapmak, denetimde en hızlı tespit edilen ihlallerden biridir.

Kendi müşteri listeme onay almadan gönderim yapabilir miyim#

Alıcı tacir veya esnaf değilse yapamazsınız. Geçmişte alışveriş yapmış olmak, ticari elektronik ileti onayı yerine geçmez; onay ayrıca ve açık biçimde alınmalıdır. Tacir ve esnaf alıcılara önceden onay almadan gönderim yapılabilir, ancak bu kişiler ret hakkını kullandığında gönderim derhâl durmalıdır. Karma bir listeniz varsa, bireysel ve kurumsal kayıtları ayırıp bireysel taraf için onay toplamaya başlamak en sağlıklı yoldur.

Onay kutucuğu formda önceden işaretli gelebilir mi#

Gelemez, önceden işaretli kutucukla alınan onay geçerli sayılmaz. Onay, kullanıcının kendi olumlu irade beyanını gerektirir; kutucuğu kullanıcının işaretlemesi gerekir. Ayrıca onay, üyelik sözleşmesinin kabulüyle aynı kutucuğa gömülemez ve izin vermemek hizmetten yararlanmayı engelleyecek şekilde kurgulanamaz. Şablonunuzda checked özniteliği varsa, ilk yapmanız gereken onu kaldırmaktır.

Ret talebini aldıktan sonra ne yapmam gerekir#

Gönderimi derhâl durdurup kaydı ret durumuna çekmeli ve ret bilgisini üç iş günü içinde İYS'ye bildirmelisiniz. Ret bağlantısı ücretsiz ve kolay olmalı; kullanıcıyı üye girişine zorlamak ya da gerekçe formu doldurtmak kabul edilebilir bir yöntem değildir. Kaydı veritabanından silmek yerine durumunu ret olarak işaretleyin, çünkü aynı adres yeniden listeye eklendiğinde geçmişteki reddi görebilmeniz gerekir. Ret sonrası gönderilen tek bir ileti bile ayrı bir ihlal oluşturur.

İYS'ye hiç kayıt olmadan gönderim yaparsam ne olur#

Bu durumda hem izinsiz ticari elektronik ileti göndermiş hem de kayıt yükümlülüğünü ihlal etmiş olursunuz. İdari para cezası Ticaret Bakanlığı tarafından uygulanır ve tutarlar her yıl yeniden değerleme oranıyla güncellenir. Aynı ihlalin binden fazla kişiye yönelik toplu gönderimle işlenmesi hâlinde ceza önemli ölçüde artırılabilir. Ayrıca alıcı şikâyeti tek başına süreci başlatmaya yeterlidir; şikâyet eden kişi sayısının az olması riski küçültmez.

Bültenimi gönderen aracı firma İYS kontrolünü yapıyorsa ben yine de sorumlu muyum#

Evet, sorumluluk hizmet sağlayıcı olarak sizde kalır. Aracı hizmet sağlayıcının gönderim öncesi kontrol yapması sizi kendi yükümlülüklerinizden kurtarmaz; onayı toplamak, ispat kayıtlarını tutmak ve ret taleplerini işlemek sizin görevinizdir. Uygulamada en riskli nokta, kampanya aracından geçen gönderimlerin kontrol edilip sitenizin kendi kodundan çıkan otomatik maillerin kontrolsüz kalmasıdır. Tüm gönderimleri tek bir fonksiyondan geçirip izin kontrolünü oraya koymak bu boşluğu kapatır.

Kapanış#

İYS kaydı, tek seferlik bir form doldurma işi değil; onay toplayan formunuzdan gönderim yapan koda kadar uzanan bir veri akışıdır. Doğru kurgu şudur: kanallar ayrı kutucuklarla toplanır, onay anında IP, tarih ve metin sürümü kaydedilir, kayıt üç iş günü içinde otomatik olarak İYS'ye aktarılır, her gönderim öncesi ret listesi karşılaştırılır ve her iletide tek tıkla çalışan bir ret bağlantısı bulunur. Bu beş adımı kuran bir işletme, yıllar sonra gelen bir şikâyette bile elindeki kayıtlarla savunmasını yapabilir. Kurmayan işletme, listesi büyüdükçe riskini de büyütür.

Gönderim tarafını sağlam bir altyapıya oturtmak istiyorsanız, izin akışının üstünde duracak teknik zemini de düşünmek gerekir. Kendi alan adınızdan kimliği doğrulanmış gönderim yapmak için SMTP sunucu paketleri, kurumsal posta kutularınız için e-posta hizmetleri ve kampanya süreçlerinin yönetimi için e-posta pazarlama hizmeti bu işi kendiniz kurmak istemediğinizde yükü devralır. İzin toplama ve İYS bildirimi yasal olarak sizin sorumluluğunuzda kalır; teknik tarafın sizi yavaşlatmaması ise çözülebilir bir problemdir.