İçeriğe geç

KVKK ve Güvenlik Logları: IP Adresi Kişisel Veri mi?

Yazar: Yayın: Güncelleme: 5 dk okuma

Koruma proxy'si hangi verileri kaydeder?

Bir WAF veya DDoS koruma proxy'si, siteniz ile ziyaretçi arasında durur. Her isteği gördüğü için bazı verileri işlemek zorundadır; aksi hâlde saldırıyı tanıyamaz, engelleyemez ve size neden engellendiğini gösteremez.

Nexren Shield'in gizlilik sayfasında sayılan işlenen alanlar şunlardır: istemci IP adresi, bağlantı portu, ağ protokolü, istek zaman damgası, User-Agent, HTTP metodu ve istenen URL. Buna ek olarak WAF ve DDoS kurallarını tetikleyen istekler için güvenlik olayı kaydı tutulur.

Sayfaya göre meşru isteklerin gövdeleri saklanmaz, analiz için taranmaz ve üçüncü taraf analiz araçlarına aktarılmaz. Bu ayrım önemlidir: formlara girilen parola, kart numarası veya mesaj metni güvenlik kaydında yer almaz.

IP adresi neden kişisel veri sayılır?

KVKK, kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar (KVKK). GDPR de çevrimiçi tanımlayıcıları, IP adreslerini örnek olarak anar (GDPR, gerekçe 30).

Mantık şudur: Bir IP adresi tek başına isim taşımaz, ancak internet erişim sağlayıcısındaki kayıtla veya başka verilerle bir aboneye bağlanabilir. "Belirlenebilir" ifadesi bu dolaylı bağlantıyı da kapsar. Pratik sonuç: güvenlik loglarınızdaki IP'leri kişisel veri gibi ele alın.

Bu, log tutmanın yasak olduğu anlamına gelmez. Güvenliği sağlamak meşru bir amaçtır; ancak amacı, hukuki sebebi ve süreyi belirlemeniz gerekir.

Hukuki sebepler ve amaç sınırı

Kişisel veri işlemenin KVKK m.5/2'de sayılan şartlardan birine dayanması gerekir. Nexren Shield'in gizlilik sayfası şu sebepleri adıyla sayar:

  • m.5/2-c: Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması.
  • m.5/2-ç: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
  • m.5/2-f: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat için zorunlu olması.

Güvenlik amacı çoğu zaman meşru menfaat kapsamında değerlendirilir; ama bu sizin durumunuz için kesin bir yanıt değildir. Bu yazı hukuki tavsiye değildir. Kendi sitenizin yükümlülükleri için bir avukata veya KVKK uzmanına danışın.

Amaç sınırı da vardır: güvenlik için topladığınız IP'yi pazarlama profili çıkarmak için kullanamazsınız.

Saklama süresi

KVKK'nın ilkesi, verinin işlenme amacı için gereken süre kadar saklanmasıdır. Süre bitince silinir, yok edilir veya anonim hâle getirilir. Log için "ne kadar yeterli?" sorusunun tek cevabı yoktur; saldırı araştırması için haftalar, denetim için aylar istenebilir.

Nexren Shield'de olay kaydı saklama süresi plana bağlıdır: Starter 30 gün, Pro 90 gün, Enterprise 365 gün. Gizlilik sayfasında ayrıca kısa süreli telemetri verileri anlatılır; kesin ve güncel ayrıntı için sayfanın kendisine bakın.

5651 sayılı Kanun kapsamındaki erişim kayıtları için gizlilik sayfası, 1 ile 2 yıl arasında saklama süresini belirtir. Bu yükümlülüğün size uygulanıp uygulanmadığı statünüze bağlıdır; bunu bir hukukçuyla netleştirin.

IP maskeleme: kim neyi görür?

Veri minimizasyonu, herkesin tam IP'yi görmesine gerek olmadığı anlamına gelir. Nexren Shield panelinde IP görme izni olmayan roller, adresi maskeli görür: IPv4 için son bölüm gizlenir (198.51.100.xxx), IPv6 için yalnızca ilk iki grup kalır (2001:db8::xxxx). Site rolleri admin, editor ve viewer'dır. Böylece bir stajyerin veya dış danışmanın panele bakması, tam adres listesine erişmesi anlamına gelmez.

Panel işlemleri için tutulan denetim kaydı HMAC-SHA256 ile zincirlenir; kayıtta sonradan yapılan değişiklik fark edilir. Parola, OTP kodu ve anahtar gibi sırlar loglara yazılmaz.

Loglar da bir risk yüzeyidir

Güvenlik logu, kendisi korunmazsa bir sızıntı kaynağına dönüşür. URL'lerde sıkça e-posta adresi, oturum belirteci veya sipariş numarası bulunur; sorgu dizesine konan bir parola loga düşebilir. Bu yüzden iki kural işe yarar: hassas bilgiyi URL'ye koymayın (POST gövdesi veya başlık kullanın) ve loglara erişimi rolle sınırlayın.

Dışa aktarım da aynı dikkati ister. Logları e-posta veya sohbet kanalına yapıştırırken IP'leri maskelemek, bir olayı paylaşırken kişisel veriyi gereksiz yere çoğaltmaz.

Nexren Shield bunu nasıl ele alır

Gizlilik sayfasının (sürüm 5.2, 11 Eylül 2026) anlattığı şekliyle:

  • İşlenenler: IP, port, protokol, zaman damgası, User-Agent, HTTP metodu, URL ve güvenlik olayı kayıtları.
  • İşlenmeyenler: meşru isteklerin gövdeleri saklanmaz; Google Analytics, Meta Pixel veya reklam ve pazarlama çerezi kullanılmaz.
  • Çerezler: güvenlik çerezleri oturumla veya en geç 24 saat içinde sona erer.
  • Konum: veri, Türkiye'deki bir veri merkezinde, tek bir sanal sunucuda barındırılır.
  • Satış: veri satılmaz, kiralanmaz.
  • Origin'e giden veri: meşru istekler origin'inize iletilir; orada saklama sizin kendi politikanıza tabidir.
  • Başvurular: veri sahibi başvuruları en geç 30 gün içinde yanıtlanır.

Dürüst sınır: bu özet, gizlilik sayfasının yerine geçmez; geçerli metin sayfadır ve değişebilir. Hizmet tek bölgede çalıştığı için veri yedeklemesi ve olağanüstü durum planlarınızı kendi tarafınızda ayrıca düşünün. Ürünün genel tanımı için Nexren Shield nedir yazısına bakın.

Ziyaretçi hakları ve başvuru yolu

KVKK m.11, veri sahibine verisinin işlenip işlenmediğini öğrenme, düzeltme ve silme isteme gibi haklar tanır. Başvuruya yanıt süresi, veri sorumlusu için en geç 30 gündür (m.13). Bir ziyaretçi size "IP adresimle ilgili hangi kayıtlar var?" diye sorarsa, koruma sağlayıcınızın kayıtları da bu yanıtın parçası olabilir. Başvuruları nereye ileteceğinizi önceden belirleyin.

Müşteriler için kısa kontrol listesi

Koruma proxy'si kullanmak, kendi yükümlülüklerinizi ortadan kaldırmaz. Başlangıç noktası olarak:

  1. Ziyaretçileri bilgilendirin. Aydınlatma metninizde güvenlik amacıyla IP ve istek verisi işlendiğini ve bir koruma sağlayıcısı kullandığınızı belirtin (KVKK m.10).
  2. Saklama sürenizi seçin. Panelde olay kaydı süresini amacınıza göre belirleyin; "her şeyi sonsuza kadar" seçeneği yoktur.
  3. Rolleri ve tarafları netleştirin. Sağlayıcınızla hangi tarafın hangi veriden sorumlu olduğunu yazılı olarak sorun. Veri işleyen sözleşmesi gerekip gerekmediğini hukukçunuza sorun; sorularınızı iletişim kanalından iletebilirsiniz.
  4. Çerez bildirimini gözden geçirin. Sitenizin kendi çerezleri (analitik, reklam) ayrı bir izin akışı gerektirebilir.
  5. Erişimi sınırlayın. Tam IP'yi görmesi gerekmeyen ekip üyelerine IP izni vermeyin; Zero Trust ile paneli de koruyun.
  6. Başvuru sürecini hazırlayın. Veri sahibi başvurusu gelirse 30 günlük süreyi kim takip edecek?

Bunlar hukuki görüş değil, hazırlık sorularıdır. Saldırı tespiti için neden kayıt gerektiğini anlamak isterseniz WAF nedir yazısı faydalıdır.

Kaynaklar

İlgili ürün sayfaları:Gizlilik ve KVKK

Sık sorulan sorular

IP adresi KVKK'ya göre kişisel veri midir?

Bir IP adresi, bir kişiyi doğrudan veya dolaylı olarak belirlenebilir kılıyorsa kişisel veri olabilir. Güvenlik loglarındaki IP'leri kişisel veri gibi ele almak güvenli yaklaşımdır. Kesin değerlendirme için bir hukukçuya danışın.

Güvenlik logunu ne kadar süre saklamalıyım?

Sabit bir sayı yoktur; amaç için gerekli olan süre kadar saklayın ve sonra silin. Nexren Shield'de olay kaydı süresi plana göre 30, 90 veya 365 gündür.

Ziyaretçilerime çerez bildirimi göstermem gerekir mi?

Sitenizin kendi kullandığı çerezlere göre değişir. Nexren Shield reklam veya pazarlama çerezi kullanmaz, yalnızca güvenlik ve tercih çerezleri kullanır; sitenizdeki diğer çerezler sizin sorumluluğunuzdadır.

Nexren Shield veriyi nerede tutar?

Privacy sayfasına göre Türkiye'deki bir veri merkezinde, sanal sunucuda tutulur. Veri satılmaz, kiralanmaz.

Veri sahibi başvurusuna ne kadar sürede yanıt verilir?

Nexren Shield'in gizlilik sayfasına göre usulüne uygun başvurular en geç 30 takvim günü içinde yanıtlanır. KVKK m.13 de benzer bir azami süre öngörür.

İlgili rehberler

Nexren Shield’i yakından inceleyin

Paketleri ve fiyatları inceleyin; hesaplar ekibimiz tarafından açılır, iletişim formundan hesap talebi gönderebilirsiniz.

Paketleri görünİletişim