Fransa VDS ve GDPR: Avrupa'da Veri Barındırma Rehberi

Avrupa Birliği'ndeki müşterilere hizmet veren her işletme, kişisel verileri nerede ve nasıl sakladığını açıklayabilmek zorundadır. Genel Veri Koruma Tüzüğü (GDPR), verinin hangi ülkede tutulduğundan çok, nasıl korunduğuna ve kimin sorumlu olduğuna odaklanır; ama verinin Avrupa içinde kalması uyum sürecini belirgin şekilde sadeleştirir. Bu rehberde GDPR kapsamındaki verileri Fransa VDS üzerinde barındırırken uygulamanız gereken teknik tedbirleri, sunucu seviyesinde somut ayarlarla birlikte anlatıyoruz: şifreleme, erişim kontrolü, loglama, yedekleme, saklama süreleri ve ihlal hazırlığı.

GDPR'ın sunucu yöneticisi için anlamı

GDPR, kişisel veriyi işleyen kuruluşları iki rolde tanımlar. Veri sorumlusu (controller), verinin neden ve nasıl işleneceğine karar veren taraftır; çoğu durumda bu sizsiniz. Veri işleyen (processor) ise veriyi sorumlu adına işleyen taraftır; barındırma sağlayıcıları, e-posta servisleri ve bulut araçları bu rolde olabilir. Bir VDS kiraladığınızda sunucunun içindeki işletim sistemini, uygulamaları ve veriyi siz yönetirsiniz; dolayısıyla verinin güvenliğini sağlayacak teknik ayarların büyük kısmı sizin elinizdedir.

Tüzüğün güvenlik maddesi, işlemenin riskine uygun teknik ve idari tedbirlerin alınmasını ister ve örnek olarak takma ad kullanımını, şifrelemeyi, sistemlerin gizliliğini, bütünlüğünü, erişilebilirliğini ve dayanıklılığını, bir olaydan sonra verinin zamanında geri getirilebilmesini ve tedbirlerin düzenli olarak test edilmesini sayar. Aşağıdaki bölümler bu başlıkları sunucu üzerinde nasıl karşılayacağınızı gösterir.

Neden Avrupa'da bir sunucu?

GDPR, kişisel verilerin Avrupa Ekonomik Alanı dışına aktarılmasını yasaklamaz ama ek koşullara bağlar: yeterlilik kararı, standart sözleşme maddeleri gibi uygun güvenceler ve aktarım riskinin değerlendirilmesi. Verileri Fransa'daki bir sunucuda tutmak, bu aktarım katmanını büyük ölçüde ortadan kaldırır. Bu da hem uyum belgelerinizi sadeleştirir hem de müşterilerinize "verileriniz Avrupa'da" diyebilmenizi sağlar.

Fransa VDS sunucuları kuzey Fransa'da, Gravelines lokasyonunda barındırılır. Avrupa'daki müşterilerinize hizmet veren uygulamanızı ve veritabanınızı burada çalıştırmak, verinin coğrafi olarak Avrupa'da kalmasını sağlar. Ancak dikkat: uygulamanızın kullandığı e-posta servisi, analitik aracı, hata izleme sistemi veya yedekleme hedefi Avrupa dışındaysa veri yine de dışarı çıkıyor demektir. Veri haritanızı yalnız sunucuya değil, bağlı tüm servislere göre çıkarın.

Türkiye'deki kişilere ait verileri işliyorsanız KVKK'nın yurt dışına aktarım hükümleri devreye girer; bu konuyu Fransa VDS mi Türkiye VDS mi rehberinde ve KVKK sunucu rehberinde ele aldık.

Veri haritası: önce ne işlediğinizi bilin

Teknik tedbirlerin doğru seçilebilmesi için önce hangi veriyi nerede tuttuğunuzu bilmeniz gerekir. Basit bir veri haritası şu sorulara cevap verir:

• Hangi kişisel veri kategorilerini işliyorsunuz? Ad, e-posta, adres, ödeme bilgisi, sağlık verisi gibi.
• Bu veriler hangi sunucuda, hangi veritabanında ve hangi dizinde duruyor?
• Veriye hangi uygulamalar, hangi kullanıcılar ve hangi dış servisler erişiyor?
• Veriler ne kadar süre saklanıyor ve süre dolunca nasıl siliniyor?
• Yedekler nerede tutuluyor ve kimler erişebiliyor?

Bu haritayı bir kez çıkarıp her yeni özellik eklendiğinde güncellemek, hem ihlal anında hızlı hareket etmenizi hem de denetimlerde net cevap vermenizi sağlar.

Şifreleme: aktarımda ve diskte

Aktarımda şifreleme

Kişisel veri taşıyan tüm bağlantılar şifreli olmalıdır. Web trafiği için TLS 1.2 ve üzerini zorunlu kılın, eski protokolleri kapatın ve HSTS başlığı ekleyin. Uygulama ile veritabanı farklı sunuculardaysa aradaki bağlantıyı da TLS ile veya özel bir ağ tüneliyle koruyun. Nginx için temel bir yapılandırma şöyledir:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Diskte şifreleme

Diskte şifreleme, sunucunun disk imajına yetkisiz erişim ihtimaline karşı ikinci bir katman sağlar. Linux'ta ayrı bir veri bölümünü veya disk imajı dosyasını LUKS ile şifreleyip veritabanı dizinini bu alana taşıyabilirsiniz. Windows Server'da BitLocker aynı işlevi görür. Şifreleme anahtarını sunucunun üzerinde düz metin olarak saklamayın; aksi halde şifrelemenin koruma değeri büyük ölçüde kaybolur.

cryptsetup luksFormat /dev/vdb
cryptsetup open /dev/vdb veri
mkfs.ext4 /dev/mapper/veri
mount /dev/mapper/veri /srv/veri

Uygulama seviyesinde şifreleme ve takma ad

Kimlik numarası, sağlık bilgisi gibi özellikle hassas alanları veritabanında alan seviyesinde şifrelemek veya takma adla (pseudonymisation) saklamak, bir ihlal durumunda sızan verinin etkisini azaltır. Parolalar ise asla geri çözülebilir biçimde saklanmamalı; bcrypt veya Argon2 gibi algoritmalarla özetlenmelidir.

Erişim kontrolü: en az yetki ilkesi

Kişisel veriye yalnız ihtiyacı olan kişi ve süreçler, yalnız ihtiyaç duydukları kadar erişebilmelidir. Sunucu seviyesinde bunun anlamı şudur:

• Root veya Administrator hesabıyla doğrudan girişi kapatın; her yönetici kendi adına açılmış hesapla bağlansın.
• SSH'de parola ile girişi kapatıp yalnız anahtar ile girişe izin verin, mümkünse iki aşamalı doğrulama ekleyin.
• Yönetim portlarını (SSH, RDP, veritabanı) güvenlik duvarında yalnız şirket IP adreslerinize açın.
• Veritabanında uygulama için ayrı, yalnız gerekli tablolara yetkili bir kullanıcı oluşturun; raporlama için salt okunur kullanıcı kullanın.
• Ayrılan çalışanların hesaplarını aynı gün kapatın ve erişim listesini üç ayda bir gözden geçirin.

SSH sertleştirme adımlarını Linux sunucu güvenliği rehberinde ayrıntılı anlattık.

Loglama: kim, neye, ne zaman erişti?

Bir ihlali tespit edebilmek ve kapsamını belirleyebilmek için iyi tutulmuş loglar şarttır. Sunucu üzerinde en az şu kayıtları tutun: sisteme girişler ve yetki yükseltmeleri, web sunucusu erişim logları, uygulamanın yönetici işlemleri ve kişisel veriye toplu erişimler. Linux'ta auditd ile kritik dosya ve dizinlere erişimi izleyebilirsiniz:

apt install auditd
auditctl -w /srv/veri -p rwa -k kisisel_veri
ausearch -k kisisel_veri --start today

Logların kendisi de kişisel veri (IP adresi, kullanıcı adı) içerebilir; bu yüzden onların da saklama süresi ve erişim kuralı olmalıdır. Logları sunucunun dışındaki ayrı bir sisteme göndermek, saldırganın izlerini silmesini zorlaştırır.

Erişilebilirlik ve yedekleme

GDPR yalnız gizliliği değil, verinin erişilebilir kalmasını ve bir olaydan sonra zamanında geri getirilebilmesini de ister. Fransa VDS'te bunun için iki katman kurabilirsiniz. İlki, sipariş adımında seçilebilen Yedekleme Hizmeti'dir; sunucunun tam imajını aylık, haftalık veya günlük olarak ayrı depolamada tutar. İkincisi, uygulama seviyesindeki şifreli veritabanı ve dosya yedekleridir. Yedeklerin de kişisel veri içerdiğini unutmayın: şifreleyin, erişimi kısıtlayın ve saklama süresi dolduğunda silin. Yedeğin işe yaradığını bilmenin tek yolu düzenli geri yükleme testidir.

Sunucuya erişemediğiniz bir durumda müşteri panelindeki HTML5 VNC konsol ve kurtarma modu, verinize yeniden ulaşmanızı sağlayan acil durum araçlarıdır. Bu araçları önceden tanımak, erişilebilirlik hedefinizin bir parçasıdır.

Saklama süreleri ve silme

GDPR'ın temel ilkelerinden biri, verinin amaç için gerekli olandan uzun süre saklanmamasıdır. Bunu teknik olarak uygulamak için her veri türü için bir saklama süresi belirleyin ve silme işlemini otomatikleştirin: süresi dolan hesapları anonimleştiren veya silen zamanlanmış görevler, eski log dosyalarını döndüren logrotate ayarları ve yedek saklama politikaları. Bir kişinin silme talebi geldiğinde verinin hangi tablolarda ve hangi yedeklerde bulunduğunu bilmek, veri haritasının en somut faydasıdır.

İhlal hazırlığı: 72 saati planlayın

GDPR, kişisel veri ihlallerinin farkına varılmasından itibaren gecikmeksizin ve mümkünse 72 saat içinde denetim makamına bildirilmesini öngörür. Bu süre, hazırlıksız bir ekip için çok kısadır. Basit bir olay müdahale planı şunları içermelidir:

1. Şüpheli bir durumda kimin karar vereceği ve kime haber verileceği.
2. Sunucuyu izole etmek için yapılacaklar: güvenlik duvarında erişimi kesmek, gerekirse sunucuyu kurtarma moduna almak.
3. Delilleri korumak için log ve disk durumunun kaydedilmesi.
4. Etkilenen veri ve kişi sayısının veri haritası üzerinden belirlenmesi.
5. Bildirim metinlerinin hukuk danışmanıyla hazırlanması.

Güncelleme ve zafiyet yönetimi

Bilinen bir güvenlik açığının yamanmamış olması, veri ihlallerinin en yaygın nedenlerinden biridir ve GDPR açısından "uygun teknik tedbir alınmadı" değerlendirmesine yol açabilir. Linux sunucularda otomatik güvenlik güncellemelerini açmak bu riski büyük ölçüde azaltır:

apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

Windows Server'da Windows Update'i otomatik güvenlik güncellemeleri için yapılandırın ve yeniden başlatma pencerelerini iş saatleri dışına planlayın. Uygulama tarafında ise kullandığınız çerçevenin, eklentilerin ve kütüphanelerin güvenlik duyurularını takip edin. Ayda bir kez kısa bir yama kontrolü yapmak, hangi bileşenin geride kaldığını görmenizi sağlar.

Sözleşmeler ve alt işleyenler

Kişisel veriyi sizin adınıza işleyen her hizmet sağlayıcıyla, işlemenin konusunu, süresini, güvenlik yükümlülüklerini ve alt işleyen kullanımını düzenleyen bir veri işleme sözleşmesi yapılması gerekir. Barındırma sağlayıcınız, e-posta servisiniz, yedekleme hedefiniz ve destek araçlarınız bu listeye girer. Hangi sağlayıcının hangi veriye eriştiğini veri haritanıza ekleyin ve sözleşmelerinizin güncel olduğundan emin olun. Bu belgelerin içeriği hukuki bir konudur; şablonlar ve kontroller için hukuk danışmanınızla çalışın.

Teknik kontrol listesi

Bu tablo bir başlangıç noktasıdır; işlediğiniz verinin riskine göre tedbirleri artırmanız gerekebilir. Sağlık, finans veya çocuklara ait veriler gibi yüksek riskli kategorilerde veri koruma etki değerlendirmesi yapmak, ek şifreleme katmanları kullanmak ve erişim kayıtlarını daha uzun süre saklamak gerekebilir. Tedbirlerin işe yaradığını görmek için yılda en az bir kez sızma testi ya da bağımsız bir güvenlik değerlendirmesi yaptırmak, hem riskleri erken yakalamanızı hem de denetimlerde aldığınız önlemleri belgelemenizi sağlar.

İlgili Rehberler

• Fransa VDS paketleri
• Almanya VDS paketleri
• Fransa VDS mi Türkiye VDS mi?
• KVKK ve Türkiye lokasyon sunucu rehberi
• Linux sunucu güvenliği rehberi
• Fransa VDS kiralama rehberi
• Avrupa ping ve gecikme rehberi
• VDS mail sunucusu: rDNS, SPF, DKIM, DMARC
• Almanya VDS seçim rehberi
• Almanya VDS ile e-ticaret ve SaaS altyapısı
• Almanya VDS'te Windows Server ve RDP

Sık Sorulan Sorular