{"id":1094,"date":"2026-11-01T14:58:29","date_gmt":"2026-11-01T14:58:29","guid":{"rendered":"https:\/\/www.vps.tc\/blog\/?p=1094"},"modified":"2026-11-01T09:22:07","modified_gmt":"2026-11-01T09:22:07","slug":"kvkk-yurt-disi-hosting-aktarim-sartlari","status":"publish","type":"post","link":"https:\/\/www.vps.tc\/blog\/tr\/kvkk-yurt-disi-hosting-aktarim-sartlari\/","title":{"rendered":"KVKK A\u00e7\u0131s\u0131ndan Yurt D\u0131\u015f\u0131nda Hosting Kullan\u0131m\u0131"},"content":{"rendered":"<div class=\"aiw-summary\" id=\"aiw-ozet\">\n<p class=\"aiw-summary-title\">H\u0131zl\u0131 \u00d6zet &#8211; KVKK ve Yurt D\u0131\u015f\u0131 Hosting<\/p>\n<p>Yurt d\u0131\u015f\u0131nda ki\u015fisel veri bar\u0131nd\u0131rmak kategorik olarak yasak de\u011fildir; ancak i\u015fleme \u015fart\u0131 ve yurt d\u0131\u015f\u0131na aktar\u0131m \u015fartlar\u0131 ayr\u0131 ayr\u0131 kar\u015f\u0131lanmal\u0131d\u0131r. Sunucu \u00fclkesi kadar yedeklerin konumu ve destek personelinin eri\u015fim \u00fclkeleri de de\u011ferlendirilmelidir.<\/p>\n<ul>\n<li><strong>Veri ak\u0131\u015f\u0131<\/strong> \u2014 Hesap, sipari\u015f, IP ve eri\u015fim loglar\u0131 i\u00e7in al\u0131c\u0131lar\u0131, \u00fclkeleri, saklama s\u00fcrelerini ve silme sorumlular\u0131n\u0131 kaydedin.<\/li>\n<li><strong>\u0130ki ayr\u0131 de\u011ferlendirme<\/strong> \u2014 Kanun&#039;un 5. maddesindeki i\u015fleme \u015fart\u0131n\u0131 belirlemek, 9. maddesindeki aktar\u0131m \u015fartlar\u0131n\u0131 kendili\u011finden kar\u015f\u0131lamaz.<\/li>\n<li><strong>Aktar\u0131m mekanizmas\u0131<\/strong> \u2014 Yeterlilik karar\u0131n\u0131 ve kapsam\u0131n\u0131 kontrol edin; b\u00f6yle bir karar yoksa uygun g\u00fcvenceleri de\u011ferlendirin, s\u00fcrekli hosting hizmetini ar\u0131zi aktar\u0131m saymay\u0131n.<\/li>\n<li><strong>Standart s\u00f6zle\u015fme<\/strong> \u2014 Bu mekanizma se\u00e7ildi\u011finde do\u011fru taraf t\u00fcr\u00fcn\u00fc kullan\u0131n ve imzalar\u0131n tamamlanmas\u0131ndan itibaren be\u015f i\u015f g\u00fcn\u00fc i\u00e7inde Kuruma bildirim yap\u0131n.<\/li>\n<li><strong>Destek ve yedekler<\/strong> \u2014 Varsay\u0131msal Frankfurt ortam\u0131nda Almanya&#039;daki yedekleri ve ABD destek ekibinin eri\u015fimini ayr\u0131 veri ak\u0131\u015flar\u0131 olarak inceleyin.<\/li>\n<li><strong>Teknik tedbirler<\/strong> \u2014 Eri\u015fim s\u0131n\u0131rlar\u0131, veri minimizasyonu ve \u015fifreleme g\u00fcvenli\u011fi destekler; hukuki aktar\u0131m mekanizmas\u0131n\u0131n yerine ge\u00e7mez.<\/li>\n<\/ul>\n<\/div>\n<p class=\"aiw-lead\">Sunucunun Frankfurt&#039;ta olmas\u0131 tek ba\u015f\u0131na KVKK&#039;ya uygunluk sa\u011flamaz; yurt d\u0131\u015f\u0131nda hosting kullan\u0131m\u0131 da kendili\u011finden yasak de\u011fildir. T\u00fcrkiye&#039;deki i\u015fletmeniz ki\u015fisel verileri Almanya&#039;da bar\u0131nd\u0131racaksa i\u015fleme \u015fart\u0131n\u0131 ve yurt d\u0131\u015f\u0131na aktar\u0131m mekanizmas\u0131n\u0131 ayr\u0131 ayr\u0131 belirlemelidir. Yedeklerin konumu, sa\u011flay\u0131c\u0131n\u0131n alt i\u015fleyenleri ve ba\u015fka \u00fclkelerden destek eri\u015fimi de bu karar\u0131n kapsam\u0131na girer.<\/p>\n<div class=\"aiw-toc\" style=\"border:1px solid #dbe3ea;border-radius:8px;padding:16px 20px;margin:0 0 28px\">\n<p class=\"aiw-toc-head\"><strong>\u0130\u00e7indekiler<\/strong><span class=\"aiw-toc-meta\"> \u00b7 16 dk okuma<\/span><\/p>\n<ol style=\"margin:10px 0 0;padding-left:22px\">\n<li><a href=\"#frankfurttaki-sunucu-karari-hangi-verileri-sinir-disina-tasir\">Frankfurt&#039;taki sunucu karar\u0131 hangi verileri s\u0131n\u0131r d\u0131\u015f\u0131na ta\u015f\u0131r?<\/a><\/li>\n<li><a href=\"#veri-akisi-veritabanindan-yedege-yedekten-destek-erisimine\">Veri ak\u0131\u015f\u0131: veritaban\u0131ndan yede\u011fe, yedekten destek eri\u015fimine<\/a><\/li>\n<li><a href=\"#isleme-sarti-ile-yurt-disina-aktarim-mekanizmasi-ayni-sey-degil\">\u0130\u015fleme \u015fart\u0131 ile yurt d\u0131\u015f\u0131na aktar\u0131m mekanizmas\u0131 ayn\u0131 \u015fey de\u011fil<\/a><\/li>\n<li><a href=\"#standart-sozlesmede-dogru-taraflar-ve-bildirim-takvimi\">Standart s\u00f6zle\u015fmede do\u011fru taraflar ve bildirim takvimi<\/a><\/li>\n<li><a href=\"#saglayicinin-adresinden-fazlasini-sorun\">Sa\u011flay\u0131c\u0131n\u0131n adresinden fazlas\u0131n\u0131 sorun<\/a><\/li>\n<li><a href=\"#teknik-sinirlar-erisimi-daraltin-loglari-azaltin\">Teknik s\u0131n\u0131rlar: eri\u015fimi daralt\u0131n, loglar\u0131 azalt\u0131n<\/a><\/li>\n<li><a href=\"#tasinma-onayi-hangi-kanitlara-dayanmali\">Ta\u015f\u0131nma onay\u0131 hangi kan\u0131tlara dayanmal\u0131?<\/a><\/li>\n<li><a href=\"#tasinma-onayi-hangi-kanitlara-dayanmali-2\">Ta\u015f\u0131nma onay\u0131 hangi kan\u0131tlara dayanmal\u0131?<\/a><\/li>\n<li><a href=\"#sik-sorulan-sorular\">S\u0131k Sorulan Sorular<\/a><\/li>\n<li><a href=\"#kaynaklar\">Kaynaklar<\/a><\/li>\n<\/ol>\n<\/div>\n<h2 id=\"frankfurttaki-sunucu-karari-hangi-verileri-sinir-disina-tasir\">Frankfurt&#8217;taki sunucu karar\u0131 hangi verileri s\u0131n\u0131r d\u0131\u015f\u0131na ta\u015f\u0131r?<\/h2>\n<p>Frankfurt&#8217;tan sunulan bir giri\u015f ekran\u0131n\u0131n arkas\u0131nda yaln\u0131zca uygulama dosyalar\u0131 bulunmaz. Hesap bilgileri, sipari\u015fler ve eri\u015fim kay\u0131tlar\u0131 da Almanya&#8217;da tutulabilir. KVKK yurt d\u0131\u015f\u0131 hosting de\u011ferlendirmesini faturadaki \u015firket adresiyle s\u0131n\u0131rlamay\u0131n: belirleyici sorular, ki\u015fisel verilerin nerede i\u015flendi\u011fi ve kimlere eri\u015filebilir k\u0131l\u0131nd\u0131\u011f\u0131d\u0131r. Konum yetmez. Sunucu kiralama karar\u0131n\u0131n, uygulaman\u0131n \u00fcretti\u011fi kay\u0131tlar\u0131n saklama ve eri\u015fim ko\u015fullar\u0131yla birlikte ele al\u0131nmas\u0131 gerekir.<\/p>\n<p>Varsay\u0131msal senaryoda T\u00fcrkiye&#8217;de yerle\u015fik i\u015fletme veri sorumlusu, Frankfurt&#8217;ta bar\u0131nd\u0131rma sunan kurgusal sa\u011flay\u0131c\u0131 ise i\u015fletmenin talimatlar\u0131yla hareket eden veri i\u015fleyendir. G\u00fcvenlik g\u00fcncellemelerinin uyguland\u0131\u011f\u0131 Ubuntu Server 24.04 LTS \u00fczerinde Nginx 1.24.x ve PostgreSQL 16.x \u00e7al\u0131\u015f\u0131r; uygulaman\u0131n alan ad\u0131 <code>app.example.com<\/code> olarak belirlenmi\u015ftir. Ad, e-posta, sipari\u015f ve IP kay\u0131tlar\u0131 sentetiktir. Burada ger\u00e7ek ki\u015filerin verilerinin aktar\u0131ld\u0131\u011f\u0131 ileri s\u00fcr\u00fclmez; \u00f6zel nitelikli ki\u015fisel veriler de senaryo d\u0131\u015f\u0131ndad\u0131r.<\/p>\n<p>Bu d\u00fczen ger\u00e7ek kullan\u0131c\u0131larla i\u015fletildi\u011finde, PostgreSQL&#8217;deki ad ve e-posta alanlar\u0131 ile ki\u015fiyle ili\u015fkilendirilebilen sipari\u015fler aktar\u0131m incelemesine girer. Loglar da dahildir. Nginx&#8217;in HTTP Log Module belgesine g\u00f6re eri\u015fim kay\u0131tlar\u0131n\u0131n i\u00e7eri\u011fi yap\u0131land\u0131r\u0131lan log bi\u00e7imine ba\u011fl\u0131d\u0131r; istemci adresi, istek ve zaman bilgileri kaydedilebilir. Bu nedenle <code>\/var\/log\/nginx\/app.access.log<\/code> yaln\u0131zca teknik bir dosya say\u0131larak envanter d\u0131\u015f\u0131nda b\u0131rak\u0131lamaz. IP ve istek bilgilerinin ki\u015fiyi belirlenebilir k\u0131l\u0131p k\u0131lmad\u0131\u011f\u0131n\u0131 ba\u011flam\u0131yla de\u011ferlendirin.<\/p>\n<p>6698 say\u0131l\u0131 Kanun&#8217;un 9. maddesi ve 10 Temmuz 2024 tarihli Y\u00f6netmelik \u00e7er\u00e7evesinde, Almanya&#8217;daki ana sunucuda ki\u015fisel veri tutulmas\u0131 yurt d\u0131\u015f\u0131na aktar\u0131m incelemesi gerektirir. \u015eifreli yedekler de Almanya&#8217;dad\u0131r; \u015fifreleme tek ba\u015f\u0131na aktar\u0131m \u015fartlar\u0131n\u0131n yerine ge\u00e7mez. Sa\u011flay\u0131c\u0131n\u0131n ABD&#8217;deki destek ekibinin talep \u00fczerine uzaktan eri\u015febilmesi ayr\u0131ca de\u011ferlendirilmelidir. Y\u00f6netmelikteki aktar\u0131m tan\u0131m\u0131, verilerin yurt d\u0131\u015f\u0131ndaki al\u0131c\u0131ya g\u00f6nderilmesi yan\u0131nda ba\u015fka \u015fekilde eri\u015filebilir h\u00e2le getirilmesini de kapsar.<\/p>\n<p>Sa\u011flay\u0131c\u0131n\u0131n kurulu\u015f \u00fclkesi, fiziksel bar\u0131nd\u0131rma konumu ve destek eri\u015fiminin ger\u00e7ekle\u015fti\u011fi \u00fclke farkl\u0131 bilgilerdir. Yerli sa\u011flay\u0131c\u0131n\u0131n yabanc\u0131 veri merkezi kullanmas\u0131 da aktar\u0131m incelemesi gerektirebilir; yabanc\u0131 \u015firket unvan\u0131 ise verinin nerede i\u015flendi\u011fini kan\u0131tlamaz. Ba\u015flang\u0131\u00e7ta CDN, harici e-posta ve analitik hizmetleri bulunmad\u0131\u011f\u0131ndan bunlara ili\u015fkin ek ak\u0131\u015f varsay\u0131lmaz.<\/p>\n<p>Frankfurt se\u00e7imi tek ba\u015f\u0131na hukuka uygunluk veya ayk\u0131r\u0131l\u0131k h\u00fckm\u00fc verdirmez. Kanun&#8217;un 5. maddesindeki i\u015fleme \u015fartlar\u0131, 2024&#8217;te de\u011fi\u015fen 9. maddesindeki aktar\u0131m ko\u015fullar\u0131, 10. maddesindeki ayd\u0131nlatma ve 12. maddesindeki g\u00fcvenlik y\u00fck\u00fcml\u00fcl\u00fckleri birlikte de\u011ferlendirilmelidir. Sa\u011flay\u0131c\u0131dan ana verinin ve yedeklerin tutuldu\u011fu \u00fclkelerle destek eri\u015fimi \u00fclkelerini ayr\u0131 ayr\u0131, yaz\u0131l\u0131 olarak isteyin.<\/p>\n<h2 id=\"veri-akisi-veritabanindan-yedege-yedekten-destek-erisimine\">Veri ak\u0131\u015f\u0131: veritaban\u0131ndan yede\u011fe, yedekten destek eri\u015fimine<\/h2>\n<p>Yede\u011fin Almanya&#8217;da bulunmas\u0131, ona yaln\u0131zca Almanya&#8217;dan eri\u015fildi\u011fini g\u00f6stermez. Ayr\u0131 kaydedin. KVKK yurt d\u0131\u015f\u0131 hosting de\u011ferlendirmesinde depolama konumu ile eri\u015fim \u00fclkesini ay\u0131rman\u0131z gerekir. Varsay\u0131msal senaryoda T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu, Frankfurt&#8217;taki kurgusal sa\u011flay\u0131c\u0131 i\u015fletmenin talimatlar\u0131yla hareket eden veri i\u015fleyendir; sa\u011flay\u0131c\u0131n\u0131n ABD destek ekibinin talep \u00fczerine uzaktan eri\u015fimi ayr\u0131 bir ak\u0131\u015ft\u0131r.<\/p>\n<p>G\u00fcvenlik g\u00fcncellemeleri uygulanm\u0131\u015f Ubuntu Server 24.04 LTS, Nginx 1.24.x ve PostgreSQL 16.x ortam\u0131 i\u00e7in a\u015fa\u011f\u0131daki i\u00e7erik, <code>\/srv\/compliance\/data-flow.csv<\/code> dosyas\u0131n\u0131n sentetik tasla\u011f\u0131d\u0131r. Sat\u0131rlar yaln\u0131zca sentetik ad, e-posta, sipari\u015f ve IP kay\u0131tlar\u0131n\u0131 temsil eder. \u00d6zel nitelikli ki\u015fisel veriler kapsam d\u0131\u015f\u0131ndad\u0131r; CDN, harici e-posta ve analitik hizmetleri bulunmaz.<\/p>\n<pre><code>akis,veri_kategorisi,isleme_amaci,alici,ulke,erisim_bicimi,saklama_suresi,silme_sorumlusu\nana_veritabani,sentetik ad\/e-posta\/siparis,siparis yonetimi,kurgusal saglayici veri isleyen,Almanya,uygulama ve yetkili yonetim,lab varsayimi 30 gun,isletme talimatiyla saglayici\nnginx_log,sentetik IP,erisim inceleme,kurgusal saglayici veri isleyen,Almanya,yetkili dosya erisimi,lab varsayimi 7 gun,isletme sistem yoneticisi\nsifreli_yedek,sentetik ad\/e-posta\/siparis\/IP,kurtarma,kurgusal saglayici veri isleyen,Almanya,yedekleme hesabi ve kontrollu geri yukleme,lab varsayimi 30 gun,isletme talimatiyla saglayici\nuzaktan_destek,talepte acilan sentetik kayitlar,ariza giderme,saglayicinin ABD destek ekibi,ABD,talep uzerine sureli uzak oturum,lab varsayimi oturumla sinirli ve yerel kopya yasak,isletme talimatiyla saglayici destek yoneticisi<\/code><\/pre>\n<p>CSV&#8217;deki 7 ve 30 g\u00fcn, hukuki s\u00fcre de\u011fil laboratuvar politikas\u0131 varsay\u0131mlar\u0131d\u0131r. 6698 say\u0131l\u0131 Kanun&#8217;un 4. maddesi uyar\u0131nca ger\u00e7ek saklama s\u00fcrelerini ama\u00e7 ve mevzuatla gerek\u00e7elendirin. Kanun&#8217;un 10. maddesindeki ayd\u0131nlatma ve 12. maddesindeki g\u00fcvenlik y\u00fck\u00fcml\u00fcl\u00fcklerini de\u011ferlendirirken bu envanterden yararlan\u0131n. Silme i\u015fini sa\u011flay\u0131c\u0131ya vermeniz, i\u015fletmenin veri sorumlusu s\u0131fat\u0131ndan do\u011fan y\u00fck\u00fcml\u00fcl\u00fcklerini ortadan kald\u0131rmaz.<\/p>\n<p>Nginx&#8217;in resm\u00ee HTTP Log Module belgesine g\u00f6re <code>access_log<\/code> yaz\u0131m hedefini, <code>log_format<\/code> ise kay\u0131t bi\u00e7imini belirler. A\u015fa\u011f\u0131daki salt okunur komut mevcut site dosyas\u0131ndaki ilgili y\u00f6nergeleri arar; yap\u0131land\u0131rmay\u0131 de\u011fi\u015ftirmez veya servisi yeniden y\u00fcklemez:<\/p>\n<pre><code>sudo grep -nE '^[[:space:]]*(server_name|access_log|error_log|log_format|include)[[:space:]]' \/etc\/nginx\/sites-available\/app.example.com<\/code><\/pre>\n<p>E\u015fle\u015fme varsa beklenen \u00e7\u0131kt\u0131, sat\u0131r numaras\u0131yla ba\u015flayan yap\u0131land\u0131rma sat\u0131rlar\u0131d\u0131r; burada \u00e7al\u0131\u015ft\u0131r\u0131lm\u0131\u015f bir sonu\u00e7 sunulmuyor. <code>app.example.com<\/code> i\u00e7in eri\u015fim logu hedefini <code>\/var\/log\/nginx\/app.access.log<\/code> ile kar\u015f\u0131la\u015ft\u0131r\u0131n. \u00c7\u0131kt\u0131 bo\u015fsa loglaman\u0131n kapal\u0131 oldu\u011funu varsaymay\u0131n: \u00fcst ba\u011flamdan devral\u0131nan ayarlar\u0131 ve <code>include<\/code> dosyalar\u0131n\u0131 okuyun. PostgreSQL ba\u011flant\u0131 kurallar\u0131n\u0131 <code>\/etc\/postgresql\/16\/main\/pg_hba.conf<\/code> \u00fczerinden inceleyin; veritaban\u0131 i\u00e7indeki rol yetkileri ayr\u0131ca de\u011ferlendirilir.<\/p>\n<p>10 Temmuz 2024 tarihli Y\u00f6netmelik, verilerin yurt d\u0131\u015f\u0131ndan eri\u015filebilir k\u0131l\u0131nmas\u0131n\u0131 da aktar\u0131m tan\u0131m\u0131na dahil eder. Kanun&#8217;un 2024&#8217;te de\u011fi\u015fen 9. maddesi bak\u0131m\u0131ndan ABD destek eri\u015fimini Almanya&#8217;daki ana sistem ve \u015fifreli yedeklerden ayr\u0131 de\u011ferlendirin. Oturum s\u00fcresi, destek s\u0131ras\u0131nda olu\u015fturulan kopyalar\u0131n saklama s\u00fcresiyle ayn\u0131 de\u011fildir; kopya yasa\u011f\u0131n\u0131 yaln\u0131zca envantere yazmak yeterli olmaz.<\/p>\n<p>DNS veya IP sorgusu ger\u00e7ek veri yerle\u015fimini tek ba\u015f\u0131na kan\u0131tlamaz. Sunucu adresi <code>203.0.113.10<\/code> ve T\u00fcrkiye&#8217;deki varsay\u0131msal y\u00f6netim kayna\u011f\u0131 <code>198.51.100.20<\/code> dok\u00fcmantasyon de\u011ferleridir; ger\u00e7ek ba\u011flant\u0131 veya konum kan\u0131t\u0131 sunmazlar. Yedek konumunu, destek eri\u015fim \u00fclkelerini ve olas\u0131 destek kopyalar\u0131n\u0131n silme prosed\u00fcr\u00fcn\u00fc sa\u011flay\u0131c\u0131n\u0131n belgeleriyle do\u011frulay\u0131n.<\/p>\n<div class=\"aiw-callout aiw-callout-field\">\n<p class=\"aiw-callout-label\">Sahadan not<\/p>\n<p>Varsay\u0131msal saha notu &#8211; ger\u00e7ek bir m\u00fc\u015fteri olay\u0131 veya test sonucu de\u011fildir. Kurgusal Frankfurt sa\u011flay\u0131c\u0131s\u0131n\u0131n ABD&#039;deki destek ekibine talep \u00fczerine eri\u015fim verebilmesi, yaln\u0131zca Almanya&#039;y\u0131 i\u00e7eren bir envanterin eksik kalabilece\u011fini g\u00f6sterir. \/srv\/compliance\/data-flow.csv tasla\u011f\u0131nda bu eri\u015fim i\u00e7in ayr\u0131 bir sat\u0131r a\u00e7\u0131lmas\u0131 planlan\u0131r.<\/p>\n<\/div>\n<h2 id=\"isleme-sarti-ile-yurt-disina-aktarim-mekanizmasi-ayni-sey-degil\">\u0130\u015fleme \u015fart\u0131 ile yurt d\u0131\u015f\u0131na aktar\u0131m mekanizmas\u0131 ayn\u0131 \u015fey de\u011fil<\/h2>\n<p>Bir sipari\u015fi yerine getirmek i\u00e7in m\u00fc\u015fterinin bilgilerini i\u015flemeniz gerekebilir; bu ihtiya\u00e7, bilgileri Frankfurt&#8217;a aktarmay\u0131 tek ba\u015f\u0131na hukuka uygun hale getirmez. \u0130ki ayr\u0131 de\u011ferlendirme gerekir. Varsay\u0131msal senaryoda T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu, onun talimatlar\u0131yla hareket eden kurgusal Frankfurt sa\u011flay\u0131c\u0131s\u0131 veri i\u015fleyendir. <strong>KVKK yurt d\u0131\u015f\u0131 hosting de\u011ferlendirmesinde i\u015fleme \u015fart\u0131n\u0131 ve aktar\u0131m mekanizmas\u0131n\u0131 ayr\u0131 kaydedin.<\/strong><\/p>\n<p>6698 say\u0131l\u0131 Kanun&#8217;un 5. maddesi, ki\u015fisel verilerin i\u015flenme \u015fartlar\u0131n\u0131 d\u00fczenler. \u00d6rne\u011fin s\u00f6zle\u015fmenin kurulmas\u0131 veya ifas\u0131yla do\u011frudan ilgili olmas\u0131 kayd\u0131yla, s\u00f6zle\u015fmenin taraflar\u0131na ait ki\u015fisel verilerin i\u015flenmesinin gerekli olmas\u0131 a\u00e7\u0131k r\u0131za d\u0131\u015f\u0131ndaki \u015fartlardan biridir. Sipari\u015f kayd\u0131 ile eri\u015fim logundaki IP adresini otomatik olarak ayn\u0131 gerek\u00e7eye ba\u011flamay\u0131n; ama\u00e7lar\u0131n\u0131 ayr\u0131 inceleyin. Senaryodaki sentetik kay\u0131tlar de\u011ferlendirmeyi modellemek i\u00e7indir; \u00f6zel nitelikli ki\u015fisel veriler kapsam d\u0131\u015f\u0131ndad\u0131r.<\/p>\n<p>Kanun&#8217;un 2024&#8217;te de\u011fi\u015fen 9. maddesi uyar\u0131nca ilk kontrol, aktar\u0131m\u0131 kapsayan bir <strong>yeterlilik karar\u0131<\/strong> bulunup bulunmad\u0131\u011f\u0131d\u0131r. Bu yol, 5. maddedeki \u015fartlardan birinin varl\u0131\u011f\u0131n\u0131 da gerektirir. Yeterlilik karar\u0131 \u00fclke, \u00fclke i\u00e7erisindeki sekt\u00f6rler veya uluslararas\u0131 kurulu\u015f hakk\u0131nda verilebilir. Almanya&#8217;n\u0131n Avrupa Birli\u011fi \u00fcyesi olmas\u0131, T\u00fcrk hukuku bak\u0131m\u0131ndan kendili\u011finden yeterlilik sa\u011flamaz. Kurulun g\u00fcncel karar\u0131n\u0131 ve kapsam\u0131n\u0131 do\u011frulay\u0131n.<\/p>\n<p>Yeterlilik karar\u0131 bulunmuyorsa, i\u015fleme \u015fart\u0131na ek olarak ilgili ki\u015finin aktar\u0131m \u00fclkesinde haklar\u0131n\u0131 kullanabilmesi ve etkili kanun yollar\u0131na ba\u015fvurabilmesi imk\u00e2n\u0131 aran\u0131r. Bu durumda Kanun&#8217;daki <strong>uygun g\u00fcvencelerden<\/strong> biri sa\u011flanmal\u0131d\u0131r. Kurulun ilan etti\u011fi standart s\u00f6zle\u015fme veya Kurul iznine ba\u011fl\u0131 yaz\u0131l\u0131 taahh\u00fctname bunlara \u00f6rnektir. Frankfurt&#8217;taki ana sunucu ve Almanya&#8217;daki \u015fifreli yedeklerle s\u0131n\u0131rl\u0131 kalmay\u0131n; ABD&#8217;deki destek ekibinin talep \u00fczerine uzaktan eri\u015febilmesini de ayr\u0131ca de\u011ferlendirin.<\/p>\n<p>Yeterlilik karar\u0131 bulunmad\u0131\u011f\u0131nda ve uygun g\u00fcvenceler sa\u011flanamad\u0131\u011f\u0131nda, 9. maddedeki istisnalar yaln\u0131zca <strong>ar\u0131zi aktar\u0131mlar<\/strong> i\u00e7in g\u00fcndeme gelir. 10 Temmuz 2024 tarihli Y\u00f6netmelik; d\u00fczenli olmama, s\u00fcreklilik ta\u015f\u0131mama ve ola\u011fan faaliyet ak\u0131\u015f\u0131 d\u0131\u015f\u0131nda ger\u00e7ekle\u015fme \u00f6l\u00e7\u00fctlerini belirtir. S\u00fcrekli yabanc\u0131 hosting kullan\u0131m\u0131 bu niteli\u011fi kendili\u011finden kazanmaz. Muhtemel riskler hakk\u0131nda bilgilendirmeye dayanan a\u00e7\u0131k r\u0131za da ar\u0131zi aktar\u0131m istisnalar\u0131ndand\u0131r &#8211; d\u00fczenli bar\u0131nd\u0131rman\u0131n genel kestirme yolu de\u011fildir.<\/p>\n<p>Kanun&#8217;un 10. maddesindeki ayd\u0131nlatma y\u00fck\u00fcml\u00fcl\u00fc\u011f\u00fcn\u00fc bu iki de\u011ferlendirmeden ayr\u0131 tutun. Veri sorumlusunun kimli\u011fi, i\u015fleme ama\u00e7lar\u0131, verilerin kimlere hangi ama\u00e7la aktar\u0131labilece\u011fi, toplama y\u00f6ntemi, hukuki sebep ve ilgili ki\u015finin haklar\u0131 a\u00e7\u0131klanmal\u0131d\u0131r. Ayd\u0131nlatma metnine &#8220;yurt d\u0131\u015f\u0131nda bar\u0131nd\u0131r\u0131l\u0131r&#8221; yazman\u0131z, eksik i\u015fleme \u015fart\u0131n\u0131 veya aktar\u0131m mekanizmas\u0131n\u0131 tamamlamaz.<\/p>\n<div class=\"aiw-callout aiw-callout-warn\">\n<p class=\"aiw-callout-label\">Dikkat<\/p>\n<p>2024&#039;te de\u011fi\u015fen aktar\u0131m rejiminde a\u00e7\u0131k r\u0131za, d\u00fczenli yabanc\u0131 hosting kullan\u0131m\u0131n\u0131 otomatik olarak hukuka uygun h\u00e2le getiren genel bir \u00e7\u00f6z\u00fcm de\u011fildir. Yeterlilik karar\u0131 ve uygun g\u00fcvencelerin bulunmad\u0131\u011f\u0131 durumdaki istisnalar ar\u0131zi aktar\u0131mlar i\u00e7indir; s\u00fcrekli bar\u0131nd\u0131rmay\u0131 bu kapsama yerle\u015ftirmeyin.<\/p>\n<\/div>\n<h2 id=\"standart-sozlesmede-dogru-taraflar-ve-bildirim-takvimi\">Standart s\u00f6zle\u015fmede do\u011fru taraflar ve bildirim takvimi<\/h2>\n<p>S\u00f6zle\u015fmede &#8220;veri koruma&#8221; ba\u015fl\u0131\u011f\u0131n\u0131n bulunmas\u0131, yurt d\u0131\u015f\u0131na aktar\u0131m i\u00e7in uygun g\u00fcvencenin sa\u011fland\u0131\u011f\u0131n\u0131 g\u00f6stermez. Ba\u015fl\u0131k yetmez. Varsay\u0131msal senaryoda T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu ve veri aktaran; Frankfurt&#8217;ta bar\u0131nd\u0131rma sunan, i\u015fletmenin talimatlar\u0131yla hareket eden kurgusal sa\u011flay\u0131c\u0131 ise veri i\u015fleyen ve veri al\u0131c\u0131d\u0131r. Standart s\u00f6zle\u015fme yolu kullan\u0131lacaksa <strong>veri sorumlusundan veri i\u015fleyene aktar\u0131m<\/strong> i\u00e7in Kurulun ilan etti\u011fi metni se\u00e7in. Belirleyici olan sunucunun i\u015fletim sistemi de\u011fil, taraflar\u0131n fiil\u00ee g\u00f6revleridir.<\/p>\n<p>6698 say\u0131l\u0131 Kanun&#8217;un 9. maddesinde d\u00fczenlenen standart s\u00f6zle\u015fme, Kurul taraf\u0131ndan ilan edilen metindir. Genel hizmet s\u00f6zle\u015fmesi, veri i\u015fleme eki veya Avrupa Birli\u011fi standart s\u00f6zle\u015fme h\u00fck\u00fcmleri kendili\u011finden KVKK aktar\u0131m mekanizmas\u0131n\u0131n yerine ge\u00e7mez. Bu belgeler ticari ve operasyonel y\u00fck\u00fcml\u00fcl\u00fckleri tamamlayabilir; ancak imzalanm\u0131\u015f olmalar\u0131 tek ba\u015f\u0131na T\u00fcrkiye&#8217;deki aktar\u0131m \u015fartlar\u0131n\u0131n kar\u015f\u0131land\u0131\u011f\u0131n\u0131 kan\u0131tlamaz.<\/p>\n<p>10 Temmuz 2024 tarihli Y\u00f6netmeli\u011fin 14. maddesi, standart s\u00f6zle\u015fme metninin de\u011fi\u015ftirilmeden kullan\u0131lmas\u0131n\u0131 \u00f6ng\u00f6r\u00fcr. Eklerde istenen bilgileri doldurmakla standart h\u00fck\u00fcmleri yeniden yazmak ayn\u0131 i\u015flem de\u011fildir. Taraflar\u0131n tam ticaret unvanlar\u0131n\u0131, adreslerini ve imzalayan ki\u015filerin temsil yetkilerini do\u011frulay\u0131n. Yetkiyi g\u00f6steren belgeleri ve yabanc\u0131 dildeki belgelerin gerekli noter onayl\u0131 T\u00fcrk\u00e7e \u00e7evirilerini bildirim dosyas\u0131na haz\u0131rlay\u0131n. S\u00f6zle\u015fmedeki sa\u011flay\u0131c\u0131 ile faturay\u0131 d\u00fczenleyen t\u00fczel ki\u015fi farkl\u0131ysa ili\u015fkiyi imzadan \u00f6nce a\u00e7\u0131kl\u0131\u011fa kavu\u015fturun.<\/p>\n<p>Ekleri <code>\/srv\/compliance\/data-flow.csv<\/code> envanter tasla\u011f\u0131yla kar\u015f\u0131la\u015ft\u0131r\u0131n. Sentetik ad, e-posta, sipari\u015f ve IP kay\u0131tlar\u0131n\u0131n temsil etti\u011fi veri kategorilerini; ilgili ki\u015fi gruplar\u0131, aktar\u0131m amac\u0131, s\u0131kl\u0131\u011f\u0131, saklama s\u00fcreleri ve teknik-idari tedbirlerle e\u015fle\u015ftirin. \u00d6zel nitelikli ki\u015fisel veriler senaryo d\u0131\u015f\u0131ndad\u0131r. Ana sunucunun ve \u015fifreli yedeklerin Almanya&#8217;da bulunmas\u0131n\u0131 kaydedin; sa\u011flay\u0131c\u0131n\u0131n ABD&#8217;deki destek ekibinin talep \u00fczerine uzaktan eri\u015febilmesini &#8220;Almanya&#8217;da bar\u0131nd\u0131rma&#8221; ifadesiyle \u00f6rtmeyin. Bu eri\u015fimin sonraki aktar\u0131m bak\u0131m\u0131ndan ayr\u0131ca de\u011ferlendirilmesi gerekir.<\/p>\n<p><strong>Bildirim s\u00fcresi be\u015f i\u015f g\u00fcn\u00fcd\u00fcr.<\/strong> Kanun&#8217;un 9. maddesi bildirim y\u00fck\u00fcml\u00fcl\u00fc\u011f\u00fcn\u00fc, Y\u00f6netmeli\u011fin 14. maddesi ise s\u00fcrenin imzalar\u0131n tamamlanmas\u0131ndan itibaren i\u015flemesini d\u00fczenler. \u0130mzalar farkl\u0131 tarihlerde at\u0131lm\u0131\u015fsa son imza tarihini esas al\u0131n; hizmetin a\u00e7\u0131lmas\u0131n\u0131 beklemeyin. Veri aktaran veya veri al\u0131c\u0131 bildirim yapabilir. Bildirimi hangi taraf\u0131n \u00fcstlenece\u011fini s\u00f6zle\u015fmede ve i\u015f takviminde a\u00e7\u0131k\u00e7a belirleyin.<\/p>\n<p>Y\u00f6netmelik fiziki bildirime, kay\u0131tl\u0131 elektronik postaya ve Kurulun belirledi\u011fi di\u011fer y\u00f6ntemlere izin verir. Yay\u0131n tarihinde Kurumun g\u00fcncel kanal ve belge talimatlar\u0131n\u0131 kontrol edin. Taraflarda, s\u00f6zle\u015fme i\u00e7eri\u011finde veya sunulan bilgilerde de\u011fi\u015fiklik olmas\u0131 ve s\u00f6zle\u015fmenin sona ermesi de Kuruma bildirilmelidir. \u0130mzal\u0131 n\u00fcshayla bildirim al\u0131nd\u0131s\u0131n\u0131 ayn\u0131 dosyada saklay\u0131n.<\/p>\n<div class=\"aiw-callout aiw-callout-tip\">\n<p class=\"aiw-callout-label\">\u0130pucu<\/p>\n<p>Varsay\u0131msal senaryoda T\u00fcrkiye&#039;deki veri sorumlusundan Almanya&#039;daki veri i\u015fleyene aktar\u0131m i\u00e7in bu taraf yap\u0131s\u0131na uygun standart s\u00f6zle\u015fme se\u00e7ilir. Be\u015f i\u015f g\u00fcnl\u00fck bildirim takvimini imzalar\u0131n tamamland\u0131\u011f\u0131 tarihten ba\u015flat\u0131n. Genel hizmet s\u00f6zle\u015fmesini veya AB standart s\u00f6zle\u015fme h\u00fck\u00fcmlerini KVKK standart s\u00f6zle\u015fmesinin yerine koymay\u0131n.<\/p>\n<\/div>\n<h2 id=\"saglayicinin-adresinden-fazlasini-sorun\">Sa\u011flay\u0131c\u0131n\u0131n adresinden fazlas\u0131n\u0131 sorun<\/h2>\n<p>Teklifte &#8220;Frankfurt&#8221; yazmas\u0131, ki\u015fisel verilere yaln\u0131zca Almanya&#8217;dan eri\u015filece\u011fini g\u00f6stermez. Varsay\u0131msal senaryoda T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu, onun talimatlar\u0131yla hareket eden kurgusal sa\u011flay\u0131c\u0131 ise veri i\u015fleyendir; ana sunucu ve \u015fifreli yedekler Almanya&#8217;dad\u0131r. ABD&#8217;deki destek ekibinin talep \u00fczerine uzaktan eri\u015febilmesi, incelemeye ayr\u0131 bir eri\u015fim \u00fclkesi ve olas\u0131 aktar\u0131m ili\u015fkisi ekler. Adres yetmez.<\/p>\n<p>S\u00f6zle\u015fmeyi imzalayan t\u00fczel ki\u015finin tam unvan\u0131n\u0131, kurulu\u015f \u00fclkesini ve hizmeti fiilen sunan kurulu\u015fla ili\u015fkisini isteyin. Veri merkezi i\u015fletmecisiyle hosting sa\u011flay\u0131c\u0131s\u0131n\u0131 ayn\u0131 taraf saymay\u0131n. Ana depolama, yedekleme ve varsa felaket kurtarma \u00fclkelerini ayr\u0131 ayr\u0131 yaz\u0131l\u0131 teyit ettirin; &#8220;Avrupa b\u00f6lgesi&#8221; ifadesiyle yetinmeyin. Alt veri i\u015fleyen listesindeki kurulu\u015flar\u0131n g\u00f6revlerini, eri\u015febildikleri veri kategorilerini ve hizmet \u00fclkelerini sorgulay\u0131n. Liste de\u011fi\u015fikliklerinin bildirim s\u00fcresini ve itiraz halinde kullan\u0131labilecek se\u00e7enekleri s\u00f6zle\u015fmede aray\u0131n.<\/p>\n<p>ABD deste\u011finde belirleyici ayr\u0131m, personelin hangi t\u00fczel ki\u015fi ad\u0131na \u00e7al\u0131\u015ft\u0131\u011f\u0131d\u0131r. Ekibin ayn\u0131 sa\u011flay\u0131c\u0131n\u0131n \u00e7al\u0131\u015fanlar\u0131ndan m\u0131, ayr\u0131 bir grup \u015firketinden mi, ba\u011f\u0131ms\u0131z destek firmas\u0131ndan m\u0131 olu\u015ftu\u011funu netle\u015ftirin. Grup \u015firketi, ayn\u0131 t\u00fczel ki\u015fi de\u011fildir. Eri\u015fimi a\u00e7an taraf\u0131, al\u0131c\u0131y\u0131, amac\u0131 ve kapsam\u0131 belgeleyin. Almanya&#8217;daki sa\u011flay\u0131c\u0131n\u0131n veriyi ABD&#8217;deki ayr\u0131 bir al\u0131c\u0131ya a\u00e7mas\u0131 halinde sonraki aktar\u0131m yap\u0131s\u0131n\u0131 ayr\u0131ca de\u011ferlendirin. Ayn\u0131 t\u00fczel ki\u015finin personeli s\u00f6z konusuysa da eri\u015fim \u00fclkesini hukuki ve teknik risk incelemesinden \u00e7\u0131karmay\u0131n.<\/p>\n<p>6698 say\u0131l\u0131 Kanun&#8217;un 9. maddesi ve 10 Temmuz 2024 tarihli Y\u00f6netmelik uyar\u0131nca aktar\u0131m h\u00fck\u00fcmleri sonraki aktar\u0131mlar i\u00e7in de ge\u00e7erlidir. <strong>Almanya&#8217;n\u0131n AB \u00fcyeli\u011fi veya sa\u011flay\u0131c\u0131n\u0131n GDPR uyum beyan\u0131, KVKK bak\u0131m\u0131ndan otomatik yeterlilik de\u011fildir.<\/strong> Se\u00e7im tarihinde Kurulun g\u00fcncel yeterlilik kararlar\u0131n\u0131 ve kapsamlar\u0131n\u0131 resm\u00ee kaynaklardan kontrol edin; yeterlilik bulunmuyorsa se\u00e7ilen uygun g\u00fcvencenin taraflara ve aktar\u0131m zincirine uygulanabilirli\u011fini do\u011frulat\u0131n. <a href=\"https:\/\/www.vps.tc\/blog\/tr\/soc-2-nedir-guvenlik-ve-uyum-rehberi\/\">SOC 2<\/a> raporu, aktar\u0131m mekanizmas\u0131n\u0131n yerine ge\u00e7mez.<\/p>\n<p>Kanun&#8217;un 12. maddesindeki g\u00fcvenlik y\u00fck\u00fcml\u00fcl\u00fcklerini de\u011ferlendirirken eri\u015fim yetkilerini ve denetim kan\u0131tlar\u0131n\u0131 isteyin. Kamu makamlar\u0131n\u0131n eri\u015fim taleplerinin nas\u0131l incelendi\u011fini, hukuken m\u00fcmk\u00fcn oldu\u011funda m\u00fc\u015fteriye bildirim yap\u0131l\u0131p yap\u0131lmad\u0131\u011f\u0131n\u0131 ve kapsam\u0131 a\u015fan taleplere itiraz s\u00fcrecini sorun. Gizlilik, ihlal bildirimi, alt veri i\u015fleyen de\u011fi\u015fiklikleri ve denetim hakk\u0131 i\u00e7in s\u00f6zle\u015fmede somut h\u00fck\u00fcmler aray\u0131n.<\/p>\n<p>\u00c7\u0131k\u0131\u015f ko\u015fullar\u0131n\u0131 ta\u015f\u0131nmadan \u00f6nce netle\u015ftirin: veri iadesinin bi\u00e7imi, aktif kopyalar\u0131n silinme s\u00fcresi ve yedeklerin saklama d\u00f6ng\u00fcs\u00fc ayr\u0131 yaz\u0131ls\u0131n. Yaln\u0131zca &#8220;hesap kapat\u0131ld\u0131&#8221; bildirimiyle yetinmeyin; silme kan\u0131t\u0131nda kapsanan sistemleri, varsa saklama istisnalar\u0131n\u0131 ve tamamlanma tarihini g\u00f6steren kay\u0131t talep edin.<\/p>\n<h2 id=\"teknik-sinirlar-erisimi-daraltin-loglari-azaltin\">Teknik s\u0131n\u0131rlar: eri\u015fimi daralt\u0131n, loglar\u0131 azalt\u0131n<\/h2>\n<p>Veritaban\u0131ndan sildi\u011finiz e-posta adresi, eri\u015fim logundaki sorgu dizesinde kalabilir. Kayd\u0131 azalt\u0131n. KVKK yurt d\u0131\u015f\u0131 hosting de\u011ferlendirmesinde Kanun&#8217;un 12. maddesindeki g\u00fcvenlik y\u00fck\u00fcml\u00fcl\u00fckleri i\u00e7in eri\u015fim yetkilerini ve kay\u0131t kapsam\u0131n\u0131 birlikte s\u0131n\u0131rland\u0131r\u0131n.<\/p>\n<p>Varsay\u0131msal laboratuvarda T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu, Frankfurt&#8217;taki kurgusal sa\u011flay\u0131c\u0131 talimatla \u00e7al\u0131\u015fan veri i\u015fleyendir. G\u00fcvenlik g\u00fcncellemeleri uygulanm\u0131\u015f Ubuntu Server 24.04 LTS, Nginx 1.24.x ve PostgreSQL 16.x kullan\u0131l\u0131r. Kay\u0131tlar sentetiktir: ad, e-posta, sipari\u015f ve IP. \u00d6zel nitelikli veriler kapsam d\u0131\u015f\u0131ndad\u0131r; ba\u015flang\u0131\u00e7ta CDN, harici e-posta ve analitik hizmetleri yoktur.<\/p>\n<h3>Sorgu dizelerini log d\u0131\u015f\u0131nda b\u0131rak\u0131n<\/h3>\n<p>Nginx HTTP Log Module belgesi, <code>log_format<\/code> y\u00f6nergesini <code>http<\/code> ba\u011flam\u0131nda tan\u0131mlar. Ubuntu&#8217;nun standart yap\u0131land\u0131rmas\u0131nda bu ba\u011flamdan y\u00fcklenen <code>\/etc\/nginx\/conf.d\/privacy-log.conf<\/code> dosyas\u0131na \u015fu tan\u0131m\u0131 ekleyin:<\/p>\n<pre><code>log_format privacy '$remote_addr [$time_local] '\n                   '\"$request_method $uri $server_protocol\" '\n                   '$status $body_bytes_sent';<\/code><\/pre>\n<p><code>\/etc\/nginx\/sites-available\/app.example.com<\/code> dosyas\u0131ndaki mevcut uygulama <code>server<\/code> blo\u011funun eri\u015fim logu y\u00f6nergesini de\u011fi\u015ftirin:<\/p>\n<pre><code>access_log \/var\/log\/nginx\/app.access.log privacy;<\/code><\/pre>\n<p>De\u011fi\u015fikli\u011fi \u00e7al\u0131\u015fan servise y\u00fcklemeden \u00f6nce do\u011frulay\u0131n:<\/p>\n<pre><code>sudo nginx -t &amp;&amp; sudo systemctl reload nginx<\/code><\/pre>\n<p>Ba\u015far\u0131 halinde <code>syntax is ok<\/code> ve <code>test is successful<\/code> mesajlar\u0131 beklenir; do\u011frulama ba\u015far\u0131s\u0131zsa yeniden y\u00fckleme \u00e7al\u0131\u015fmaz. Bunlar g\u00f6zlemlenmi\u015f test sonu\u00e7lar\u0131 de\u011fildir. <code>$uri<\/code> sorgu dizesini i\u00e7ermez; IP, zaman ve yoldaki kullan\u0131c\u0131 tan\u0131mlay\u0131c\u0131lar\u0131 ise ki\u015fisel veri olu\u015fturabilir. Di\u011fer eri\u015fim loglar\u0131n\u0131, hata loglar\u0131n\u0131 ve uygulama kay\u0131tlar\u0131n\u0131 ayr\u0131ca inceleyin. <strong>Bu de\u011fi\u015fiklik mevcut loglar\u0131 temizlemez.<\/strong> Saklama s\u00fcrelerini ama\u00e7la gerek\u00e7elendirin; rotasyonun yan\u0131nda silmeyi ve yedeklerdeki kopyalar\u0131 da planlay\u0131n.<\/p>\n<h3>Yetkinin biti\u015f tarihi olsun<\/h3>\n<p>PostgreSQL i\u00e7in yerel ba\u011flant\u0131y\u0131 tercih edin; TCP 5432&#8217;yi internete a\u00e7may\u0131n. Dinleme adresini ve <code>\/etc\/postgresql\/16\/main\/pg_hba.conf<\/code> kurallar\u0131n\u0131 daralt\u0131n. TCP 22 y\u00f6netim eri\u015fimini <code>198.51.100.20\/32<\/code> kayna\u011f\u0131yla k\u0131s\u0131tlay\u0131n. Bu adres, <code>203.0.113.10<\/code> ve <code>app.example.com<\/code> dok\u00fcmantasyon de\u011ferleridir; ger\u00e7ek ba\u011flant\u0131 veya konum kan\u0131tlamaz.<\/p>\n<p>ABD&#8217;deki destek ekibine yaln\u0131zca onayl\u0131 talep kapsam\u0131nda, ki\u015fiye \u00f6zel hesaplarla, asgari ve otomatik sona eren yetkiler verin. Destek i\u015flemlerinin denetim kay\u0131tlar\u0131n\u0131 da ama\u00e7la s\u0131n\u0131rlay\u0131n. Ana sunucu ve \u015fifreli yedekler Almanya&#8217;da kal\u0131r; anahtarlar\u0131 yedeklerden ayr\u0131, farkl\u0131 eri\u015fim yetkileriyle y\u00f6netin. A\u011f \u00fczerinden aktar\u0131mlarda TLS kullan\u0131n.<\/p>\n<p>Kanun&#8217;un 2024&#8217;te de\u011fi\u015fen 9. maddesi ve 10 Temmuz 2024 tarihli Y\u00f6netmelik \u00e7er\u00e7evesinde TLS ve \u015fifreleme, yurt d\u0131\u015f\u0131na aktar\u0131m\u0131 ortadan kald\u0131rmaz; ABD&#8217;den destek eri\u015fimi ayr\u0131ca de\u011ferlendirilmelidir. Takma adland\u0131rma anonimle\u015ftirme de\u011fildir. Log, destek ve yedek ak\u0131\u015flar\u0131n\u0131n saklama s\u00fcrelerini ve yetkililerini <code>\/srv\/compliance\/data-flow.csv<\/code> tasla\u011f\u0131na kaydedin.<\/p>\n<div class=\"aiw-callout aiw-callout-warn\">\n<p class=\"aiw-callout-label\">Dikkat<\/p>\n<p>Nginx loglar\u0131ndan sorgu dizelerini \u00e7\u0131karmak, IP adreslerini veya URL yolundaki ki\u015fisel verileri otomatik olarak kald\u0131rmaz; eski loglar\u0131 da de\u011fi\u015ftirmez. Yap\u0131land\u0131rmay\u0131 uygulamadan \u00f6nce nginx -t ile do\u011frulay\u0131n. TLS ve \u015fifreli yedekler aktar\u0131m\u0131 ortadan kald\u0131rmaz, takma adland\u0131rma da anonimle\u015ftirme de\u011fildir.<\/p>\n<\/div>\n<h2 id=\"tasinma-onayi-hangi-kanitlara-dayanmali\">Ta\u015f\u0131nma onay\u0131 hangi kan\u0131tlara dayanmal\u0131?<\/h2>\n<p>Sunucunun haz\u0131r olmas\u0131, ki\u015fisel verilerin ta\u015f\u0131nabilece\u011fi anlam\u0131na gelmez. Teknik kurulum yetmez. Varsay\u0131msal Frankfurt ortam\u0131na ge\u00e7i\u015fi, incelenebilir bir kan\u0131t dosyas\u0131na ba\u011flay\u0131n. T\u00fcrkiye&#8217;deki i\u015fletme veri sorumlusu, kurgusal sa\u011flay\u0131c\u0131 ise i\u015fletmenin talimatlar\u0131yla hareket eden veri i\u015fleyen olarak kaydedilmelidir. Onay kayd\u0131nda inceleyen ki\u015filer, tarih, belge s\u00fcr\u00fcmleri ve a\u00e7\u0131k kalan i\u015fler g\u00f6r\u00fcnmelidir.<\/p>\n<p>\u0130lk dayanak, <code>\/srv\/compliance\/data-flow.csv<\/code> dosyas\u0131ndaki tamamlanm\u0131\u015f veri ak\u0131\u015f\u0131 envanteridir. Ad, e-posta, sipari\u015f ve IP kay\u0131tlar\u0131n\u0131n ama\u00e7lar\u0131, al\u0131c\u0131lar\u0131, saklama s\u00fcreleri ve silme y\u00f6ntemleri belirtilmelidir. Almanya&#8217;daki ana sunucu ile \u015fifreli yedekler ayr\u0131 ak\u0131\u015flar olarak g\u00f6sterilmeli; ABD&#8217;deki destek ekibinin talep \u00fczerine uzaktan eri\u015fimi ayr\u0131ca de\u011ferlendirilmelidir. Ba\u015flang\u0131\u00e7ta CDN, harici e-posta ve analitik hizmetlerinin bulunmad\u0131\u011f\u0131n\u0131, \u00f6zel nitelikli ki\u015fisel verilerin senaryo d\u0131\u015f\u0131nda tutuldu\u011funu kaydedin. Sentetik kay\u0131tlarla haz\u0131rlanan tasla\u011f\u0131, ta\u015f\u0131nmas\u0131 planlanan ger\u00e7ek veri kategorileriyle kar\u015f\u0131la\u015ft\u0131r\u0131n.<\/p>\n<p>6698 say\u0131l\u0131 Kanun&#8217;un 5 ve 9. maddeleri, i\u015fleme \u015fart\u0131 ile yurt d\u0131\u015f\u0131na aktar\u0131m dayana\u011f\u0131n\u0131n ayr\u0131 de\u011ferlendirilmesini gerektirir. Almanya&#8217;da bar\u0131nd\u0131rma, tek ba\u015f\u0131na yeterlilik karar\u0131 bulundu\u011funu g\u00f6stermez. 2024&#8217;te de\u011fi\u015fen 9. madde ve 10 Temmuz 2024 tarihli Y\u00f6netmelik temelinde se\u00e7ilen mekanizman\u0131n uygulanabilirli\u011fi belgelenmelidir. Standart s\u00f6zle\u015fme kullan\u0131l\u0131yorsa uygun s\u00f6zle\u015fme t\u00fcr\u00fc, imzal\u0131 n\u00fcsha ve imzalar\u0131n tamamlanmas\u0131ndan itibaren be\u015f i\u015f g\u00fcn\u00fc i\u00e7inde Kuruma yap\u0131lan bildirimin kayd\u0131 dosyada bulunmal\u0131d\u0131r.<\/p>\n<p>Kanun&#8217;un 10. maddesindeki ayd\u0131nlatma y\u00fck\u00fcml\u00fcl\u00fc\u011f\u00fc do\u011frultusunda g\u00fcncellenen metin, al\u0131c\u0131 gruplar\u0131n\u0131, aktar\u0131m ama\u00e7lar\u0131n\u0131 ve veri toplaman\u0131n hukuki sebebini do\u011fru yans\u0131tmal\u0131d\u0131r. Ayd\u0131nlatma, aktar\u0131m mekanizmas\u0131n\u0131n yerine ge\u00e7mez. 12. madde kapsam\u0131ndaki g\u00fcvenlik tedbirlerini somutla\u015ft\u0131rmak i\u00e7in yetki matrisini, destek eri\u015fiminin onay s\u00fcrecini ve eri\u015fim kay\u0131tlar\u0131n\u0131 inceleyecek sorumluyu belirleyin. G\u00fcvenlik g\u00fcncellemeleri uygulanm\u0131\u015f Ubuntu Server 24.04 LTS, Nginx 1.24.x ve PostgreSQL 16.x kullan\u0131lmas\u0131, hukuki uygunlu\u011fu tek ba\u015f\u0131na kan\u0131tlamaz.<\/p>\n<p>Saklama-silme plan\u0131 yedekleri de kapsamal\u0131d\u0131r. S\u00f6zle\u015fmede sa\u011flay\u0131c\u0131n\u0131n ihlali i\u015fletmeye bildirme y\u00f6ntemi, sunaca\u011f\u0131 inceleme kay\u0131tlar\u0131 ve hizmetten \u00e7\u0131k\u0131\u015fta verilerin iade, silme ve silmeyi do\u011frulama sorumluluklar\u0131 a\u00e7\u0131klanmal\u0131d\u0131r. \u0130\u015fletmenin Kurula ve ilgili ki\u015filere y\u00f6nelik ihlal bildirimi y\u00fck\u00fcml\u00fcl\u00fckleri ayr\u0131ca ele al\u0131nmal\u0131d\u0131r. Sa\u011flay\u0131c\u0131, \u00fclke veya alt i\u015fleyen de\u011fi\u015fikli\u011fini yeniden de\u011ferlendirme tetikleyicisi yap\u0131n; yeni eri\u015fim ba\u015flamadan aktar\u0131m dayana\u011f\u0131n\u0131 ve g\u00fcvenlik ko\u015fullar\u0131n\u0131 kontrol edin.<\/p>\n<p><strong>Bu kan\u0131tlar tamamlanmadan ger\u00e7ek ki\u015fisel veriler varsay\u0131msal Frankfurt ortam\u0131na ta\u015f\u0131nmamal\u0131d\u0131r.<\/strong> \u0130\u015fletmeye \u00f6zg\u00fc hukuki inceleme tamamlanana kadar \u00e7al\u0131\u015fmalar\u0131 yaln\u0131zca senaryodaki sentetik kay\u0131tlarla s\u00fcrd\u00fcr\u00fcn.<\/p>\n<h2 id=\"tasinma-onayi-hangi-kanitlara-dayanmali-2\">Ta\u015f\u0131nma onay\u0131 hangi kan\u0131tlara dayanmal\u0131?<\/h2>\n<ul class=\"aiw-checklist\">\n<li>Veri kategorilerini, ama\u00e7lar\u0131, al\u0131c\u0131lar\u0131, \u00fclkeleri, saklama s\u00fcrelerini ve silme sorumlular\u0131n\u0131 envantere i\u015fleyin.<\/li>\n<li>Ana sistem, yedek, alt i\u015fleyen ve uzaktan destek eri\u015fimlerini ayr\u0131 ak\u0131\u015flar olarak do\u011frulay\u0131n.<\/li>\n<li>\u0130\u015fleme \u015fart\u0131n\u0131 ve aktar\u0131m mekanizmas\u0131n\u0131 belgeleyin; g\u00fcncel yeterlilik karar\u0131n\u0131n kapsam\u0131n\u0131 veya uygun g\u00fcvencenin uygulanabilirli\u011fini kontrol edin.<\/li>\n<li>Standart s\u00f6zle\u015fme kullan\u0131l\u0131yorsa taraf t\u00fcr\u00fcn\u00fc, imza yetkilerini ve eklerini do\u011frulay\u0131n; be\u015f i\u015f g\u00fcnl\u00fck bildirimin kayd\u0131n\u0131 saklay\u0131n.<\/li>\n<li>Ayd\u0131nlatma metnini g\u00fcncelleyin; ihlal, sa\u011flay\u0131c\u0131 de\u011fi\u015fikli\u011fi ve hizmetten \u00e7\u0131k\u0131\u015f sorumluluklar\u0131n\u0131 yaz\u0131l\u0131 olarak belirleyin.<\/li>\n<li>Destek eri\u015fimini s\u00fcreyle s\u0131n\u0131rland\u0131r\u0131n; veritaban\u0131n\u0131 do\u011frudan internete a\u00e7may\u0131n ve \u015fifreleme anahtarlar\u0131n\u0131 yedeklerden ayr\u0131 y\u00f6netin.<\/li>\n<li>\u0130\u015fletmenize \u00f6zg\u00fc hukuki inceleme ve gerekli kan\u0131tlar tamamlanmadan ger\u00e7ek ki\u015fisel verileri Frankfurt ortam\u0131na ta\u015f\u0131may\u0131n.<\/li>\n<\/ul>\n<div class=\"aiw-cta\">\n<p>Sa\u011flay\u0131c\u0131dan ana sistem, yedek ve destek eri\u015fimi \u00fclkelerini yaz\u0131l\u0131 olarak isteyin. Bu bilgiler envanterinizle e\u015fle\u015fmeden ve i\u015fletmenize \u00f6zg\u00fc hukuki inceleme tamamlanmadan ger\u00e7ek ki\u015fisel verileri Frankfurt ortam\u0131na ta\u015f\u0131may\u0131n.<\/p>\n<p class=\"aiw-cta-action\"><a href=\"https:\/\/www.vps.tc\/tr\/vps\">VPS paketlerini inceleyin<\/a><\/p>\n<\/div>\n<h2 id=\"sik-sorulan-sorular\">S\u0131k Sorulan Sorular<\/h2>\n<div class=\"aiw-faq\">\n<details class=\"aiw-faq-item\" open>\n<summary>KVKK a\u00e7\u0131s\u0131ndan yurt d\u0131\u015f\u0131nda hosting kullanmak yasak m\u0131?<\/summary>\n<p>Hay\u0131r, KVKK yurt d\u0131\u015f\u0131nda hosting kullan\u0131m\u0131n\u0131 kategorik olarak yasaklamaz. Ki\u015fisel veri i\u015fleniyorsa Kanun&#039;un 5. maddesindeki i\u015fleme \u015fart\u0131 ile 9. maddesindeki aktar\u0131m \u015fartlar\u0131 ayr\u0131 ayr\u0131 de\u011ferlendirilmelidir. Ayd\u0131nlatma ve veri g\u00fcvenli\u011fi y\u00fck\u00fcml\u00fcl\u00fckleri de devam eder. Sunucu konumu, yedekler ve yurt d\u0131\u015f\u0131ndan eri\u015fimler belirlenmeden sa\u011flay\u0131c\u0131 hakk\u0131nda tek ba\u015f\u0131na uygunluk karar\u0131 verilemez.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>Sunucunun Almanya&#039;da olmas\u0131 veya sa\u011flay\u0131c\u0131n\u0131n GDPR uyumu yeterli mi?<\/summary>\n<p>Hay\u0131r. Almanya&#039;n\u0131n AB \u00fcyesi olmas\u0131 veya sa\u011flay\u0131c\u0131n\u0131n GDPR uyumu beyan\u0131, KVKK bak\u0131m\u0131ndan otomatik yeterlilik anlam\u0131na gelmez. Kurulun g\u00fcncel yeterlilik kararlar\u0131n\u0131 ve ilgili aktar\u0131m\u0131n karar kapsam\u0131nda kal\u0131p kalmad\u0131\u011f\u0131n\u0131 kontrol etmeniz gerekir. Yeterlilik karar\u0131 yoksa uygun g\u00fcvence ko\u015fullar\u0131 ayr\u0131ca incelenir; sa\u011flay\u0131c\u0131n\u0131n genel hizmet s\u00f6zle\u015fmesi tek ba\u015f\u0131na bu incelemenin yerini tutmaz.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>Yurt d\u0131\u015f\u0131 hosting i\u00e7in kullan\u0131c\u0131lardan a\u00e7\u0131k r\u0131za almak yeterli mi?<\/summary>\n<p>A\u00e7\u0131k r\u0131zay\u0131 s\u00fcrekli yabanc\u0131 hosting hizmeti i\u00e7in genel bir aktar\u0131m \u00e7\u00f6z\u00fcm\u00fc olarak kullanmay\u0131n. 2024&#039;te de\u011fi\u015fen rejimde, yeterlilik karar\u0131 ve uygun g\u00fcvencelerin bulunmad\u0131\u011f\u0131 durumdaki a\u00e7\u0131k r\u0131zaya dayal\u0131 istisna, muhtemel riskler hakk\u0131nda bilgilendirme ve ar\u0131zi aktar\u0131m ko\u015fullar\u0131yla de\u011ferlendirilir. D\u00fczenli bar\u0131nd\u0131rma i\u00e7in i\u015fleme \u015fart\u0131n\u0131 ve uygulanabilir aktar\u0131m mekanizmas\u0131n\u0131 ayr\u0131 ayr\u0131 belirlemeniz gerekir.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>KVKK standart s\u00f6zle\u015fmesi ka\u00e7 g\u00fcn i\u00e7inde bildirilmelidir?<\/summary>\n<p>Standart s\u00f6zle\u015fme, imzalar\u0131n tamamlanmas\u0131ndan itibaren be\u015f i\u015f g\u00fcn\u00fc i\u00e7inde Kuruma bildirilmelidir. T\u00fcrkiye&#039;deki veri sorumlusundan yabanc\u0131 veri i\u015fleyene aktar\u0131mda bu taraf yap\u0131s\u0131na uygun metin se\u00e7ilmeli, ekler ger\u00e7ek veri ak\u0131\u015f\u0131yla e\u015fle\u015fmelidir. Bildirimi kimin yapaca\u011f\u0131n\u0131 \u00f6nceden belirleyin; g\u00fcncel bildirim y\u00f6ntemini, yetki belgelerini ve sonradan olu\u015fabilecek de\u011fi\u015fikliklere ili\u015fkin y\u00fck\u00fcml\u00fcl\u00fckleri resm\u00ee kaynaklardan kontrol edin.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>Yabanc\u0131 destek ekibinin uzaktan eri\u015fimi de aktar\u0131m say\u0131l\u0131r m\u0131?<\/summary>\n<p>Ki\u015fisel verilerin yurt d\u0131\u015f\u0131ndaki bir al\u0131c\u0131n\u0131n eri\u015fimine a\u00e7\u0131lmas\u0131 da aktar\u0131m de\u011ferlendirmesine girer; dosyan\u0131n ayr\u0131ca indirilmesi tek \u00f6l\u00e7\u00fct de\u011fildir. Varsay\u0131msal Frankfurt senaryosunda ABD destek ekibinin eri\u015fimi, Almanya&#039;daki bar\u0131nd\u0131rmadan ayr\u0131 incelenmelidir. Ekibin ba\u011fl\u0131 oldu\u011fu t\u00fczel ki\u015fi, eri\u015fim yetkileri ve sonraki aktar\u0131m yap\u0131s\u0131 belirlenmeli; se\u00e7ilen g\u00fcvencelerin bu ak\u0131\u015f\u0131 kapsad\u0131\u011f\u0131 do\u011frulanmal\u0131d\u0131r.<\/p>\n<\/details>\n<details class=\"aiw-faq-item\">\n<summary>\u015eifreli yedekler ve IP adresi i\u00e7eren loglar KVKK kapsam\u0131 d\u0131\u015f\u0131nda m\u0131?<\/summary>\n<p>\u015eifreleme, ki\u015fisel veriyi kendili\u011finden anonim h\u00e2le getirmez; \u015fifreli yedeklerin yurt d\u0131\u015f\u0131nda tutulmas\u0131 da aktar\u0131m incelemesinden \u00e7\u0131kar\u0131lamaz. IP adresleri ve eri\u015fim loglar\u0131, ki\u015fiyi belirlenebilir k\u0131lan ba\u011flamlar\u0131yla de\u011ferlendirilmelidir. Nginx loglar\u0131ndan sorgu dizelerini kald\u0131rmak veri miktar\u0131n\u0131 azaltabilir; ancak kalan alanlar, eski kay\u0131tlar, saklama s\u00fcresi ve eri\u015fim yetkileri ayr\u0131ca kontrol edilmelidir.<\/p>\n<\/details>\n<\/div>\n<h2 id=\"kaynaklar\">Kaynaklar<\/h2>\n<ul class=\"aiw-sources\">\n<li><a href=\"https:\/\/www.mevzuat.gov.tr\/mevzuatmetin\/1.5.6698.pdf\" target=\"_blank\" rel=\"noopener\">6698 say\u0131l\u0131 Ki\u015fisel Verilerin Korunmas\u0131 Kanunu &#8211; \u0130\u015fleme, aktar\u0131m, ayd\u0131nlatma ve g\u00fcvenlik y\u00fck\u00fcml\u00fcl\u00fckleri<\/a> \u2014 mevzuat.gov.tr<\/li>\n<li><a href=\"https:\/\/www.resmigazete.gov.tr\/eskiler\/2024\/07\/20240710.pdf\" target=\"_blank\" rel=\"noopener\">10 Temmuz 2024 tarihli Resm\u00ee Gazete &#8211; Ki\u015fisel Verilerin Yurt D\u0131\u015f\u0131na Aktar\u0131lmas\u0131na \u0130li\u015fkin Y\u00f6netmelik<\/a> \u2014 resmigazete.gov.tr<\/li>\n<li><a href=\"https:\/\/nginx.org\/en\/docs\/http\/ngx_http_log_module.html\" target=\"_blank\" rel=\"noopener\">Nginx HTTP Log Module &#8211; Eri\u015fim loglar\u0131 ve log_format yap\u0131land\u0131rmas\u0131<\/a> \u2014 nginx.org<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Frankfurt&#8217;ta bar\u0131nd\u0131rma karar\u0131 yaln\u0131zca sunucu konumuyla ilgili de\u011fildir. Veritaban\u0131, yedekler ve ba\u015fka \u00fclkelerden destek eri\u015fimi i\u00e7in veri ak\u0131\u015f\u0131n\u0131, aktar\u0131m mekanizmas\u0131n\u0131 ve sa\u011flay\u0131c\u0131n\u0131n taahh\u00fctlerini birlikte de\u011ferlendirmeniz gerekir.<\/p>\n","protected":false},"author":2,"featured_media":1092,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[],"class_list":["post-1094","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-genel"],"lang":"tr","translations":{"tr":1094,"en":1095},"pll_sync_post":[],"_links":{"self":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1094","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/comments?post=1094"}],"version-history":[{"count":1,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1094\/revisions"}],"predecessor-version":[{"id":1096,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/posts\/1094\/revisions\/1096"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/media\/1092"}],"wp:attachment":[{"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/media?parent=1094"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/categories?post=1094"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.vps.tc\/blog\/wp-json\/wp\/v2\/tags?post=1094"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}