QueryProxy kullanmak KVKK'ya uyum sağlar mı?

Hayır. KVKK veri sorumlusuna aydınlatma, hukuka uygun işleme, ilgili kişi hakları ve veri güvenliği gibi yükümlülükler getirir. QueryProxy yalnızca veritabanı erişimi için kanıt üretmeye yardım eder; diğer yükümlülükler kuruluşunuza kalır.

QueryProxy KVKK'nın hangi maddesiyle ilgilidir?

Veri güvenliğini düzenleyen 12. maddeyle ve Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi'nde anlatılan teknik ve idari tedbirlerle ilgilidir. Hangi tedbirin yeterli olduğuna veri sorumlusu ve danışmanları karar verir.

Maskeleme kişisel veriyi KVKK kapsamından çıkarır mı?

Bunu varsaymayın. Maskeleme, saklanan sonuç dosyalarına ve ekranda görünene giren ham değeri azaltır; ancak yalnızca kurallarınızın eşleştiği değerleri maskeler. Veritabanının kendisi aynı kişisel verileri tutmaya devam eder.

Denetim kaydı ne kadar süre saklanır?

Dokümantasyon denetim kaydı için bir saklama süresi belirtmez, bu sayfa da vermez. Sonuç dosyaları ayarladığınız süre sonunda otomatik silinir. Saklama süresini kendi mevzuat ve politika gereksiniminize göre belirleyin.

Kişisel veri ihlalini QueryProxy bildirir mi?

Hayır. Bildirim süreci veri sorumlusunun işidir. Denetim kaydı, bir veriye kimin eriştiğini belirlemenize yardım edebilir ama ihlali tespit etmez ve Kurul'a bildirim yapmaz.

KVKK ve veritabanı erişim denetimi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verileri işleyen veri sorumlularına yükümlülükler getirir. Hiçbir araç bunları sizin yerinize yerine getiremez. Araç, bir teknik tedbirin çalıştığına dair kanıt üretebilir: bir veritabanındaki kişisel verilere kimin eriştiği, kimin onayladığı ve ne gördüğü. QueryProxy veritabanı erişimi için bu kanıtı üretmeye yardım eder.

Bu sayfa hukuki ya da denetim tavsiyesi değildir. Kanunun sizden ne istediğine veri sorumlusu olarak siz ve hukuk danışmanınız karar verirsiniz.

KVKK’nın veri güvenliği hükmü ne söyler?

Kanunun 12. maddesi veri güvenliğine ayrılmıştır. Kişisel Verileri Koruma Kurumu’nun veri güvenliğine ilişkin yükümlülükler sayfasında yer alan özetiyle madde, veri sorumlusunun şu konularda uygun güvenlik düzeyini sağlamak için gerekli her türlü teknik ve idari tedbiri almasını ister:

kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
kişisel verilerin muhafazasını sağlamak.

Madde ayrıca kanunun uygulanması için gerekli denetimin yapılmasını ya da yaptırılmasını, verileri öğrenenlerin bunları kanun dışında ifşa edememesini ve verilerin hukuka aykırı biçimde başkalarınca elde edilmesi hâlinde ilgili kişiye ve Kurul’a bildirimi düzenler. Madde metnini 6698 sayılı Kanun’un resmî metninde, Kurum özetini yukarıdaki sayfada okuyun (ikisi de 2026-10-13 tarihinde okundu); bu sayfadaki özet yerine geçmez.

Hangi tedbirlerin uygun sayılacağını madde tek tek saymaz. Kurum’un Kişisel Veri Güvenliği Rehberi teknik ve idari tedbirleri ayrıntılı biçimde anlatır. Bağlantıdaki PDF’in üstverisi Nisan 2025 tarihini gösteriyor; kapakta basılı bir tarih ya da sürüm bilgisi görmedik, güncel sürümü Kurum’un sayfasından kontrol edin. Denetçinizin ya da danışmanınızın hangi bölümleri esas aldığını onlara sorun.

QueryProxy hangi kanıtı üretir?

QueryProxy bu tedbirler için kanıt üretmeye yardım eder. Tek başına hiçbirini karşılamaz.

Tedbir alanı	QueryProxy’nin ürettiği kanıt	Kapsamadığı
Kişisel verilere hukuka aykırı erişimin önlenmesi	Geliştiriciler üretim kimlik bilgisini hiç görmez; bilgi QueryProxy’de AES-256 ile şifreli tutulur (onay akışı referansı). Geliştirici yalnızca bir DBA’nın yetkilendirdiği bağlantılara ulaşır. Yöneticiler, DBA’ler ya da tüm kullanıcılar için TOTP ile iki aşamalı doğrulama zorunlu tutulabilir (yapılandırma).	Ağ denetimleri, veritabanındaki kendi yetkiler ve QueryProxy’yi çalıştıran sunucunun güvenliği.
Yetki ayrımı	Admin, DBA, Developer ve Auditor rolleri. Bir DBA kendi talebini onaylayamaz; yönetici bu kuralı aşarsa bu denetim kaydında işaretlenir.	Hangi kişiye hangi rolün verileceği kararı ve bunun düzenli gözden geçirilmesi.
Verinin gereğinden fazla görünmesinin ve saklanmasının azaltılması	Maskeleme kuralları (`full`, `partial`, `hash`) her sonuç değeri saklanmadan önce uygulanır, hata mesajları da maskelenir. Varsayılan `LIMIT` 1000, sert üst sınır 10000’dir (SQL korumaları).	Hangi verinin hassas olduğunu bulmak. Kurallar yalnızca eşleştiği değeri maskeler.
Erişimin kaydı ve denetimi	Uygulama üzerinden değiştirilemez denetim kaydı: kim istedi, kim onayladı, hangi kanaldan, ne çalıştı, ne kadar sürdü, kaç satır etkilendi, sonuç indirmeleri, girişler. Denetçi rolü bu kaydı süzer ve CSV olarak dışa aktarır.	Kaydın incelenmesi, alarm üretilmesi, saklanması.

Bir talebin nasıl ilerlediği SQL sorgu onay akışı sayfasında, maskelemenin nasıl çalıştığı dinamik veri maskeleme sayfasında anlatılır. Rollerin ve denetim kaydının ayrıntısı için onay akışı referansına ve maskeleme stratejileri için veri maskeleme referansına bakın.

Kuruluşunuza ne kalır?

Aydınlatma, hukuka uygunluk sebebi, açık rıza ve kişisel veri envanteri.
İlgili kişilerin başvuruları: erişim, düzeltme, silme ve diğer haklar.
Kişisel veri ihlalinin tespiti ve ilgili kişiye ile Kurul’a bildirim süreci. Denetim kaydı kimin eriştiğini belirlemeye yardım edebilir; süreci siz yürütürsünüz.
Saklama ve imha süreleri. Dokümantasyon denetim kaydı için bir süre belirtmez; sonuç dosyaları ayarladığınız süreye göre silinir. Denetim kaydı SQL metni, talep sahibi ve istemci IP adresi tuttuğu için kendisi de kişisel veri içerebilir.
Yurt dışına aktarım, veri işleyen sözleşmeleri ve kanundan doğan kayıt ve bildirim yükümlülükleri.
AB’deki kişilerin verisini de işliyorsanız GDPR yükümlülükleri; bkz. GDPR ve veritabanı erişimi.
Sunucunun, ters vekil sunucunun ve QueryProxy’nin kendi veritabanının güvenliği. Ters vekil arkasında çalışıyorsa vekili TRUSTED_PROXIES içinde belirtin, yoksa kayıtlara kullanıcının değil vekilin adresi yazılır. Bkz. üretim güvenliği.

Sınırlar neler?

Maskeleme kural tabanlıdır. Hiçbir kuralla eşleşmeyen değer olduğu gibi döner; geniş yetkili bir veritabanı kullanıcısı da geniş okuyabilir.
Denetim kaydı yalnızca QueryProxy üzerinden gelen talepleri kapsar. Veritabanına başka yoldan erişen biri bu kayda düşmez.
“Düzenlenemez” ifadesi uygulama için geçerlidir; kaydı tutan veritabanına doğrudan erişimi olan birini bağlamaz.
SQL guard bir yasak listesidir ve doğası gereği eksiktir. Yetkilendirme sınırı DBA’in onayıdır.
QueryProxy kullanmak size KVKK açısından bir güvence belgesi kazandırmaz.

Ne zaman ihtiyacınız yok?

Veritabanlarınızda kişisel veri tutulmuyorsa bu sayfa sizi ilgilendirmez. Veritabanını tek bir kişi yönetiyor ve başka kimse ulaşmıyorsa onaylayacak ikinci bir kişi yoktur. Analistleriniz yalnızca toplulaştırılmış, anonim çıktılarla çalışıyorsa ham veriye erişim zaten bir sorun olmayabilir. Yalnızca kimin bağlanabileceğini kısıtlamak istiyorsanız veritabanı rolleri yeterli olabilir; bkz. veritabanı erişim denetimi nedir.

Sık sorulanlar

QueryProxy kullanmak KVKK'ya uyum sağlar mı?: Hayır. KVKK veri sorumlusuna aydınlatma, hukuka uygun işleme, ilgili kişi hakları ve veri güvenliği gibi yükümlülükler getirir. QueryProxy yalnızca veritabanı erişimi için kanıt üretmeye yardım eder; diğer yükümlülükler kuruluşunuza kalır.
QueryProxy KVKK'nın hangi maddesiyle ilgilidir?: Veri güvenliğini düzenleyen 12. maddeyle ve Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi'nde anlatılan teknik ve idari tedbirlerle ilgilidir. Hangi tedbirin yeterli olduğuna veri sorumlusu ve danışmanları karar verir.
Maskeleme kişisel veriyi KVKK kapsamından çıkarır mı?: Bunu varsaymayın. Maskeleme, saklanan sonuç dosyalarına ve ekranda görünene giren ham değeri azaltır; ancak yalnızca kurallarınızın eşleştiği değerleri maskeler. Veritabanının kendisi aynı kişisel verileri tutmaya devam eder.
Denetim kaydı ne kadar süre saklanır?: Dokümantasyon denetim kaydı için bir saklama süresi belirtmez, bu sayfa da vermez. Sonuç dosyaları ayarladığınız süre sonunda otomatik silinir. Saklama süresini kendi mevzuat ve politika gereksiniminize göre belirleyin.
Kişisel veri ihlalini QueryProxy bildirir mi?: Hayır. Bildirim süreci veri sorumlusunun işidir. Denetim kaydı, bir veriye kimin eriştiğini belirlemenize yardım edebilir ama ihlali tespit etmez ve Kurul'a bildirim yapmaz.