Google Ads Gelişmiş Dönüşümler: Hash'lenmiş E-posta KVKK'da Hâlâ Kişisel Veri mi?

Google Ads'te "Gelişmiş dönüşümler" ayarını açtığınızda, formu dolduran ya da satın alma yapan kişinin e-postası, telefonu ve adresi hash'lenip Google'a gidiyor. Anlatımların çoğu burada bitiyor ve "hash'lendiği için sorun yok" cümlesiyle kapanıyor. Bu yazıda o cümlenin neresinin doğru, neresinin eksik olduğuna bakıyoruz. Kaynak olarak Google'ın yardım sayfalarını, KVKK Kurumu'nun yönetmeliğini ve EDPB'nin yönergesini kullandık.

Kısa Cevap

Hash'lemek veriyi güvenli taşımanın bir yolu, ama anonimleştirme sayılması için güçlü bir dayanak yok. E-posta adresinin hash'i, adresi bilen biri tarafından yeniden üretilip eşleştirilebildiği için büyük olasılıkla kişisel veri olarak kalıyor. Bu yüzden gelişmiş dönüşümleri açarken rıza altyapınızın (banner, Consent Mode) ve aydınlatma metninizin bu akışı kapsadığından emin olmanız gerekiyor.

Gelişmiş dönüşümler tam olarak ne yapıyor?

Google'ın yardım sayfasına göre özellik, karma oluşturma işlemi uygulanmış birinci taraf dönüşüm verilerini Google'a göndererek mevcut dönüşüm ölçümünüzü destekliyor. Kullanılabilecek veriler arasında müşterinin e-posta adresi, adı, ev adresi ve telefon numarası sayılıyor. Eşleştirme, karma verilerin oturum açmış Google hesaplarıyla karşılaştırılmasıyla yapılıyor.

Amaç basit: çerez ya da tıklama kimliği tek başına yetmediğinde, sipariş sayfasındaki gerçek müşteri bilgisiyle dönüşümü reklam tıklamasına bağlayabilmek. İki tür var. Web için gelişmiş dönüşümler sitedeki dönüşüm etiketini tamamlıyor, potansiyel müşteriler için olan sürüm ise çevrimdışı dönüşüm içe aktarmayı geliştiriyor.

Hash'leme nasıl işliyor?

Google, verileri göndermeden önce baştaki ve sondaki boşlukların silinmesini, metnin küçük harfe çevrilmesini, telefonun E.164 biçimine getirilmesini ve gmail.com ile googlemail.com adreslerinde alan adından önceki noktaların kaldırılmasını istiyor. Ardından onaltılık SHA256 uygulanıyor. Google bunu tek yönlü bir algoritma olarak tanımlıyor.

Ayrıntı şu: hash'i illa sizin atmanız gerekmiyor. Google etiketi ya da GTM'in otomatik toplama yöntemiyle veri toplanırsa hash'leme Google tarafında yapılıyor. GTM'de özel kodla bir user_data nesnesi hazırlarsanız veriyi önceden hash'leyebiliyor ya da Google'ın yapmasına bırakabiliyorsunuz. Hangi yolu seçerseniz seçin kurallar aynı.

"Tek yönlü" demek "anonim" demek değil

Tek yönlü olmak, hash'ten e-postayı hesaplayarak geri çıkaramamak demek. Ama sorun geri çıkarmak değil, eşleştirmek. Aynı e-posta adresi her seferinde aynı hash'i üretiyor. E-postayı zaten bilen biri, kendi listesindeki adresleri aynı şekilde hash'leyip karşılaştırarak kişiyi bulabiliyor. Gelişmiş dönüşümlerin çalışma mantığı da bu: Google, hash'i kendi hesaplarındaki kişilerle eşleştiriyor.

KVKK tarafındaki ölçüt bu noktada belirleyici. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in 10. maddesine göre anonim hale getirme, verilerin başka verilerle eşleştirilse bile kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi. Aynı madde, veri sorumlusunun ya da alıcının geri döndürme ve eşleştirme tekniklerinin tümünü kullansa bile bu sonucun sağlanmış olmasını arıyor. Eşleştirmeye dayanan bir akışın bu ölçütü karşıladığını savunmak zor.

Avrupa'da da benzer bir çizgi var. EDPB'nin Ocak 2025 genel kurulunda kabul ettiği takma adlandırma (pseudonymisation) yönergesinde, ek bilgiyle bir kişiye bağlanabilen takma adlı verinin kişisel veri olarak kaldığı yazıyor. Metin halka açık danışma için yayımlanmıştı ve danışma süresi 28 Şubat 2025'te bitti. Son hâlini kontrol etmenizi öneririz. Bir de not düşelim: bu yönerge GDPR içindir, KVKK'yı bağlamaz. Burada yaptığımız şey, iki düzenlemenin aynı yöne baktığını göstermek. KVKK Kurulu'nun gelişmiş dönüşümlere özel bir kararını bulamadık, dolayısıyla "Kurum şöyle dedi" demiyoruz. Bu yazı hukuki görüş değil, kendi okumamız.

Google'ın tarafında rıza nasıl bağlanıyor?

Google'ın gizlilik açıklamasına göre hizmet şartları kabul edilmeden ve gerekli izin parametreleri "izin verildi" olarak ayarlanmadan kullanıcı verisi toplanmıyor. İzin modu uygulanırsa reklam çerezinin ad_storage izin durumuna bağlı olduğu da aynı sayfada yazıyor. Bir dönüşüme bağlanamayan tüm veriler siliniyor. Etkinleştirmek için Reklamlar İçin Google Veri İşleme Şartları'nın kabulü ve müşteri veri politikalarına uyum isteniyor.

Bu, Consent Mode'un zaten doğru kurulmuş olması gerektiği anlamına geliyor. Varsayılan değerleri yanlış olan ya da banner'ı etiketlere hiç bağlanmamış bir sitede gelişmiş dönüşümler açmak, riski büyütüyor. Konuyu Consent Mode v2 yazımızda ayrıntılı anlattık. Google'ın sayfası, kullanıcıya gösterilecek çerez onayı arayüzü konusunda ayrıntı vermiyor; o kısım sizin ve hukuk danışmanınızın işi.

KVKK açısından kontrol edilecekler

• Aydınlatma metni: Reklam ölçümü için e-posta ve telefon gibi verilerin hash'lenerek Google'a aktarıldığını yazın. "Çerezler kullanıyoruz" cümlesi bu akışı anlatmıyor.
• Hukuki sebep ve rıza: Verinin hangi dayanakla işlendiğine karar verin. Reklam amaçlı akışlar için bunu avukatınızla netleştirin. Rıza alıyorsanız ret eden kişinin verisi gitmemeli.
• Yurt dışına aktarım: Google verileri yurt dışında işliyor. KVKK'nın yurt dışına aktarım hükümleri bu akış için de geçerli. Bu başlıkta hangi mekanizmayı kullandığınız sizin sözleşme ve onay yapınıza bağlı.
• Hassas kategoriler: Google'ın dokümanlarına göre hassas kategorilerle ilgili dönüşümler gelişmiş dönüşümlerde kullanılamıyor. Sağlık gibi alanlarda çalışıyorsanız bu özelliği hiç açmayın ya da önce uzmana sorun.
• Gereksiz alanları göndermeyin: Ad ve adres olmadan e-posta yetiyorsa yalnızca onu toplayın.

Kurulum ve doğrulama

Google Ads'te Hedefler, Dönüşümler, Ayarlar yolundan "Web için gelişmiş dönüşümler" bölümünü açıp özelliği etkinleştirebilir ve uygunluk beyanını kabul edebilirsiniz. Etiket tarafında Google etiketi, GTM ya da Google Ads API seçenekleri var. Menü adları arayüze göre değişebiliyor, güncel yolu Google'ın yardım sayfasından kontrol edin.

Doğrulamak için tarayıcının ağ isteklerinde em veya pn parametrelerinin karma bir değer taşıyıp taşımadığına bakın. Düz e-posta görüyorsanız kurulum hatalı. Google'ın teşhis raporu yaklaşık 48 saat sonra görünüyor. İlk günlerde "işleniyor" durumu görmeniz normal.

Satış sonrası WhatsApp üzerinden kapanan işleri Meta tarafında takip etmek isterseniz benzer bir mantık için ctwa_clid ve Conversions API yazısına bakabilirsiniz.

Açmaya değer mi?

Bu bir ölçüm kalitesi kararı. Google, özelliğin doğruluğu artırdığını söylüyor ama sizin hesabınızda ne kadar fark yaratacağını önceden bilemeyiz, o yüzden rakam vermiyoruz. Formla müşteri toplayan ya da çevrimiçi satış yapan, aylık reklam bütçesi anlamlı olan siteler için denemeye değer. Rıza yapısı oturmamış bir sitede ise önce onu düzeltin, sonra açın. Bu sırayla gidince hem veri daha temiz geliyor hem de savunabileceğiniz bir kurulumunuz oluyor.

Sık Sorulanlar