# GDPR ve veritabanı erişimi > İnsanlar kişisel verileri sorguladığında QueryProxy'nin GDPR işleme güvenliği, veri minimizasyonu ve hesap verebilirlik için kanıt üretmeye nasıl yardım ettiği. - Kaynak: https://queryproxy.com/tr/gdpr-veritabani-erisimi/ - Dil: tr-TR - Yazar: Muhammet Şafak --- GDPR, veri sorumlularının ve veri işleyenlerin kişisel verilerle ne yapması gerektiğini düzenler. Belirli bir aracı şart koşmaz ve hiçbir araç onu sizin yerinize karşılayamaz. Bir aracın yapabildiği, bir teknik tedbirin çalıştığına dair *kanıt* üretmektir: bir veritabanındaki kişisel verilere kimin eriştiği, kimin onayladığı ve kendilerine ne gösterildiği. QueryProxy, veritabanı erişimi için bu kanıtı üretmeye yardım eder. Bu sayfa hukuki ya da denetim tavsiyesi değildir. GDPR'nin sizden ne istediğine veri koruma görevliniz ya da hukuk danışmanınız karar verir. ## Hangi GDPR hükümleri veritabanı erişimiyle ilgilidir? [Regulation (EU) 2016/679](https://eur-lex.europa.eu/eli/reg/2016/679/oj) içindeki üç hüküm (metin 2026-10-13 tarihinde, madde madde yayınlayan [gdpr-info.eu](https://gdpr-info.eu/) yansısından okundu): - **Madde 32, işleme güvenliği.** Veri sorumlusu ve veri işleyen, riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve idari tedbirleri uygulamalıdır; bunlar arasında, uygun olduğunda, takma adlandırma ve şifreleme, süregelen gizlilik, bütünlük, erişilebilirlik ve dayanıklılığı sağlama yeteneği ve tedbirlerin etkinliğini düzenli olarak test etme ve değerlendirme süreci bulunur. - **Madde 25, tasarım ve varsayılan olarak veri koruma.** Varsayılan olarak, işlemenin her belirli amacı için yalnızca gerekli kişisel veriler işlenmelidir. - **Madde 5, ilkeler.** Kişisel veriler yeterli, ilgili ve gerekli olanla sınırlı olmalı (5(1)(c)) ve uygun güvenlikle işlenmelidir (5(1)(f)). 5(2) uyarınca veri sorumlusu, ilkelere uyduğunu gösterebilmelidir. Belirli bir tedbirin uygun olup olmadığı riskinize ve bağlamınıza bağlıdır. Bu değerlendirme sizindir. ## QueryProxy hangi kanıtı üretebilir? QueryProxy bu hükümler için kanıt üretmeye yardım eder. Hiçbirini tek başına karşılamaz. | Hüküm | QueryProxy'nin ürettiği | Kapsamadığı | | :-- | :-- | :-- | | Md. 32, işleme güvenliği | Geliştiriciler, şifreli saklanan üretim kimlik bilgisini hiç tutmaz (AES-256; bkz. [onay akışı referansı](/tr/docs/onay-akisi/)). İfadeler çalışmadan önce bir guard'dan ve ikinci bir kişinin onayından geçer. Bir yönetici kendi talebini onaylamama kuralını aşabilir ve bu aşma denetim kaydında işaretlenir. Yöneticiler, DBA'ler ya da tüm kullanıcılar için TOTP ile iki aşamalı doğrulama zorunlu tutulabilir ([yapılandırma](/tr/docs/yapilandirma/)). | Tüm işlemenizin güvenlik değerlendirmesi, tedbirlerin test edilmesi ve sistemlerinizin dayanıklılığı. | | Md. 25 ve 5(1)(c), minimizasyon | Maskeleme kuralları (`full`, `partial`, `hash`; bkz. [maskeleme referansı](/tr/docs/veri-maskeleme/)) her sonuç değerine ve hata mesajlarına saklanmadan önce uygulanır. Varsayılan `LIMIT` 1000 ve sert üst sınır 10000, bir okumanın kaç satır döndürebileceğini sınırlar ([SQL korumaları](/tr/docs/sql-korumalari/)). | Bir amaç için hangi verinin gerekli olduğuna karar vermek. Maskeleme, kuralların eşleştiği şey üzerinde çalışır. | | Md. 5(2), hesap verebilirlik | Uygulama üzerinden düzenlenemeyen ya da silinemeyen bir denetim kaydı: talep sahibi, onaylayan, kanal, yürütme, süre, etkilenen satırlar, sonuç indirmeleri, girişler ve yetkilendirmeler. Bir Denetçi rolü, sonuç satırlarını görmeden bunu okur. | İşleme kayıtlarınız, politikalarınız ve kanıtın geri kalanı. | [Dinamik veri maskeleme](/tr/dinamik-veri-maskeleme/) sayfası maskelemenin nasıl çalıştığını, [onay akışı](/tr/sql-sorgu-onay-akisi/) sayfası ise bir talebin bir veritabanına nasıl ulaştığını anlatır. ## Kuruluşunuza ne kalır? - Hukuka uygunluk sebebi, amaçla sınırlılık, şeffaflık ve rıza. - İlgili kişi talepleri: erişim, düzeltme, silme ve diğerleri. - İhlal tespiti ve bildirimi. Denetim kaydı verilere kimin eriştiğini belirlemenize yardım edebilir (bkz. [denetim kaydı neyi içermeli](/tr/blog/uretim-sorgu-denetim-kaydi/)), ama süreci siz yürütürsünüz. - Kişisel verilerin saklanması ve silinmesi. Dokümantasyon denetim kaydı için bir saklama süresi belirtmez, sonuç dosyaları ise ayarlanan süreyi izler. Denetim girdilerinin SQL'i, talep sahiplerini ve istemci IP'lerini kaydettiğini, bunların kendilerinin de kişisel veri olabileceğini unutmayın. - Uluslararası aktarımlar, veri işleyen sözleşmeleri ve işleme kayıtları. - Veri koruma etki değerlendirmeleri. - Sunucunun ve QueryProxy'nin kendi veritabanının güvenliği. ## Sınırlar neler? - Maskeleme kural tabanlıdır. Hiçbir kuralla eşleşmeyen değer saklandığı gibi döner ve geniş yetkili bir veritabanı kullanıcısı yine geniş okuyabilir. Kuralları gerçek sütunlarınıza göre gözden geçirin. - Denetim kaydı QueryProxy üzerinden yapılan talepleri kapsar; veritabanına giden diğer yolları kapsamaz. - "Düzenlenemez" ifadesi uygulama için geçerlidir; uygulamanın veritabanına doğrudan erişimi olan biri için değil. - Madde 32'nin andığı takma adlandırma, sorgu çıktısını maskelemekten daha geniş bir uygulamadır. `hash` stratejisi deterministik bir SHA-256 öneki döndürür (bkz. [maskeleme referansı](/tr/docs/veri-maskeleme/)); bunun sizin için takma adlandırma sayılıp sayılmadığı hukuki bir sorudur. ## Ne zaman ihtiyacınız yok? GDPR işlemenize uygulanmıyorsa ([Madde 3](https://gdpr-info.eu/art-3-gdpr/) coğrafi kapsamı belirler: veri sorumlusunun ya da veri işleyenin nerede yerleşik olduğuna ve AB'deki kişilere mal ya da hizmet sunup sunmadığınıza ya da onları izleyip izlemediğinize bağlıdır) bu sayfanın size söyleyeceği az şey vardır. İnsanların sorguladığı veritabanları kişisel veri tutmuyorsa yine söyleyeceği azdır. Veritabanını tek kişi yönetiyor ve başka kimse ulaşmıyorsa onaylayacak ikinci bir kişi yoktur. Analistler yalnızca önceden toplulaştırılmış, anonimleştirilmiş çıktılarla çalışıyorsa ham veriye erişim hiç sorun olmayabilir. Yalnızca kimin bağlanabileceğini kısıtlamanız gerekiyorsa veritabanı rolleri yeterli olabilir; bkz. [veritabanı erişim denetimi nedir](/tr/veritabani-erisim-denetimi-nedir/). İlgili okumalar: [KVKK](/tr/kvkk-veritabani-erisim-denetimi/), [SOC 2](/tr/soc-2-veritabani-erisim-denetimi/), [PCI DSS](/tr/pci-dss-veritabani-erisim-denetimi/) ve [ISO 27001](/tr/iso-27001-veritabani-erisim-denetimi/). ## Sık sorulanlar ### QueryProxy GDPR'ye uymamızı sağlar mı? Hayır. GDPR; hukuka uygunluk sebebi, şeffaflık, ilgili kişi hakları, güvenlik ve daha fazlası hakkında veri sorumlularına ve veri işleyenlere yükümlülükler getirir. QueryProxy, veritabanı erişimi için işleme güvenliğinin bir kısmına dair kanıt üretmeye yardım eder. Geri kalanını kapsamaz. ### QueryProxy hangi GDPR maddeleriyle ilgilidir? İşleme güvenliğine ilişkin Madde 32, tasarım ve varsayılan olarak veri korumaya ilişkin Madde 25 ve Madde 5; özellikle veri minimizasyonu, bütünlük ve gizlilik ile 5(2)'deki hesap verebilirlik ilkesi. İşlemenizin bunları karşılayıp karşılamadığını siz ve danışmanlarınız değerlendirirsiniz. ### Maskeleme veri minimizasyonuyla nasıl ilişkilidir? Madde 5(1)(c), yeterli, ilgili ve gerekli olanla sınırlı kişisel veri ister. Maskeleme, bir kişinin ne gördüğünü ve bir sonuçta nelerin saklandığını sınırlar; iş ham değerlere ihtiyaç duymadığında minimizasyonu destekler. Yalnızca kurallarınızın eşleştiğini maskeler. ### QueryProxy ilgili kişi taleplerini karşılar mı? Hayır. Erişim ya da silme talepleri için kişisel verileri aramaz, dışa aktarmaz ya da silmez. Hangi ifadeyi kimin hangi veritabanına karşı çalıştırdığını kaydeder; bu, verilere kimin dokunduğunu göstermenize yardım edebilir, ama talep süreci sizindir. ### QueryProxy kişisel verilerimizin veri işleyeni midir? QueryProxy kendi sunucunuzda barındırılır, yani kendi altyapınızda çalıştırırsınız. Belirli bir düzenin veri işleyen içerip içermediği kurulumunuza ve sözleşmelerinize bağlıdır; bu sayfa bunu söyleyemez. Bu soruyu veri koruma görevlinize ya da hukuk danışmanınıza götürün.