App launch fine traps: KVKK, GDPR, Supabase RLS

Uygulamanız tek satış yapmadan ceza yiyebilir: kontrol promptu

Nasıl kullanılır: Projenizin klasöründe Claude Code'u (ya da Cursor'u) açın, aşağıdaki promptu yapıştırın. Önce sadece rapor ister, kodu değiştirmez; düzeltmeleri siz onaylayınca yapar.

Bu projeyi yayına almadan önce bir uyum ve güvenlik kontrolünden geçir. Önce hiçbir dosyayı değiştirme; bulduklarını raporla.

1. Supabase / veritabanı: public (dışa açık) şemadaki her tabloda RLS açık mı? RLS'i kapalı ya da politikası olmayan tabloları listele. Ön yüz kodunda service_role anahtarı ya da başka gizli anahtar var mı?
2. Formlar: kişisel veri toplayan her formda (kayıt, bülten, iletişim) aydınlatma metnine link var mı? Pazarlama izni, işaretlenmemiş ayrı bir onay kutusuyla mı alınıyor?
3. E-posta: kampanya ya da pazarlama maili gönderen kod var mı? Sadece izin vermiş kullanıcılara mı gidiyor, iznin tarihi kaydediliyor mu, her mailde abonelikten çıkma linki var mı?
4. Ödeme ve abonelik: ödemeden önce ön bilgilendirme formu ve mesafeli satış sözleşmesi gösterilip onaylatılıyor mu? Abonelikte fiyat, yenileme tarihi ve iptal yolu açıkça yazıyor mu?
5. Veri ihlali: hata ve erişim kayıtları tutuluyor mu? Bir sızıntıda 72 saat içinde KVKK'ya bildirim için kimin ne yapacağını yazan bir plan yoksa docs/veri-ihlali.md taslağı öner.
6. Yurt dışına giden veri: Google Fonts, analiz ve takip betikleri ziyaretçinin tarayıcısından doğrudan yurt dışı sunuculara mı yükleniyor? Fontları projeye dahil etmeyi (kendi sunucunda barındırmayı) öner.

Sonunda tablo ver: madde · durum (tamam / eksik / risk) · dosya ve satır · önerilen düzeltme. Hukuki yorum yapma, sadece teknik bulguları yaz.

4 tuzak ve 2026 tutarları

• Aydınlatma metni yok (KVKK m.10, ceza m.18/1-a): 85.437 TL ile 1.709.200 TL arası.
• İzinsiz kampanya maili (6563 sayılı Kanun m.6, ceza m.12/1-a): 2.859 TL ile 14.309 TL arası; tek seferde birden fazla kişiye giderse on katına kadar (143.090 TL).
• Ön bilgilendirme yok (6502 sayılı Kanun m.48/2, ceza m.77/1-a): Türkiye'deki tüketiciye her satış ya da sözleşme için 3.973 TL.
• Veri güvenliği (KVKK m.12, ceza m.18/1-b): 256.357 TL ile 17.092.242 TL arası. Supabase'de RLS kapalı tablo, ön yüzdeki anahtarla okunup yazılabiliyor. Sızıntıyı öğrendiğiniz andan itibaren en geç 72 saat içinde Kurul'a bildirmeniz gerekiyor (KVK Kurulu kararı 2019/10).

Bir de şu var

• Avrupa Birliği'ndeki kullanıcılara hizmet veriyorsanız GDPR da sizi kapsıyor (ücretsiz uygulama dahil).
• Google Fonts'u Google'ın sunucusundan yüklemek ziyaretçinin IP adresini yurt dışına gönderiyor. Almanya'da bir mahkeme 2022'de bu yüzden site sahibini ziyaretçiye 100 euro tazminat ödemeye mahkûm etti. Fontu kendi sunucunuzda barındırmak bu riski kaldırıyor.

Kaynaklar

• KVKK 2026 ceza tutarları: https://www.kvkk.gov.tr/Icerik/8145/6698-sayili-kisisel-verilerin-korunmasi-kanunu-kapsaminda-idari-para-cezasi-tutarlari
• KVKK veri ihlali bildirimi: https://www.kvkk.gov.tr/Icerik/5362/Veri-Ihlali-Bildirimi
• Supabase RLS: https://supabase.com/docs/guides/database/postgres/row-level-security
• İleti Yönetim Sistemi (İYS): https://iys.org.tr

Tutarlar 2026 için geçerli (kontrol: 30 Ekim 2026); cezanın miktarını kurum ihlalin ağırlığına göre belirliyor. Hukuki tavsiye değildir; emin olmadığınız yerde bir avukata danışın.