Veri Koruma

Veri İşleme Sözleşmesi(Data Processing Agreement - DPA)

Son güncelleme: 13 Aralık 2025

İçindekiler

1. Taraflar ve Tanımlar 2. Sözleşmenin Kapsamı 3. Veri İşleme Detayları 4. Veri İşleyenin Yükümlülükleri 5. Güvenlik Önlemleri 6. Alt İşleyenler 7. Veri Sahibi Hakları 8. Veri İhlali Bildirimi 9. Denetim Hakları 10. Sözleşmenin Sona Ermesi 11. Sorumluluk 12. İletişim

Bu Veri İşleme Sözleşmesi ("DPA"), PhoenixDB hizmetlerini kullanan müşteriler ("Veri Sorumlusu") ile PhoenixDB ("Veri İşleyen") arasında, kişisel verilerin işlenmesine ilişkin şartları ve koşulları belirler. Bu DPA, KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ve GDPR (Genel Veri Koruma Yönetmeliği) gerekliliklerine uygun olarak hazırlanmıştır.

Taraflar ve Tanımlar

1.1 Taraflar

Veri Sorumlusu: PhoenixDB hizmetlerini kullanan ve veritabanlarında kişisel veri saklayan müşteri.
Veri İşleyen: PhoenixDB - Müşteri adına veritabanı altyapısı sağlayan ve verileri işleyen taraf.

1.2 Tanımlar

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti, biyometrik ve genetik veriler.
Veri İşleme: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Hizmetler: PhoenixDB tarafından sağlanan yönetilen PostgreSQL veritabanı hizmetleri.

Sözleşmenin Kapsamı

Bu DPA, PhoenixDB'nin müşteri adına aşağıdaki hizmetleri sağlarken gerçekleştirdiği tüm veri işleme faaliyetlerini kapsar:

PostgreSQL Veritabanı Barındırma: İzole Docker container'larında çalışan özel PostgreSQL instance'ları.
Altyapı Yönetimi: Dedike/VDS sunucularda veritabanı altyapısının yönetimi ve bakımı.
Güvenlik Hizmetleri: SSL/TLS şifreleme, IP kısıtlama ve erişim kontrolü.
Yedekleme Hizmetleri: Otomatik günlük yedeklemeler ve veri kurtarma seçenekleri.

Veri İşleme Detayları

3.1 İşlenen Veri Kategorileri

PhoenixDB, müşterinin veritabanlarında sakladığı verilere doğrudan erişmez. İşlenen veriler şunları içerebilir:

Müşteri tarafından veritabanına kaydedilen tüm veriler
Bağlantı logları ve erişim kayıtları
Performans metrikleri ve kullanım istatistikleri
Yedekleme verileri

3.2 İşleme Amaçları

Veritabanı hizmetlerinin sağlanması ve sürdürülmesi
Sistem güvenliğinin ve bütünlüğünün korunması
Yedekleme ve felaket kurtarma işlemleri
Performans izleme ve optimizasyon
Teknik destek sağlanması

3.3 İşleme Süresi

Veriler, hizmet sözleşmesi süresince ve sözleşmenin sona ermesinden sonra yasal saklama süreleri boyunca işlenir. Müşteri hesabının silinmesi durumunda, veriler 30 gün içinde kalıcı olarak silinir (yedekler dahil).

3.4 Veri Konumu

Veriler, müşterinin seçtiği sunucu lokasyonunda barındırılır. PhoenixDB, dedike sunucular kullanarak verilerin belirtilen coğrafi bölgede kalmasını sağlar. Veriler, müşterinin açık onayı olmadan farklı bir bölgeye aktarılmaz.

Veri İşleyenin Yükümlülükleri

PhoenixDB, Veri İşleyen olarak aşağıdaki yükümlülükleri üstlenir:

a)Kişisel verileri yalnızca Veri Sorumlusunun yazılı talimatlarına uygun olarak işlemek.
b)Kişisel verilere erişimi olan personelin gizlilik yükümlülüğü altında olmasını sağlamak.
c)Uygun teknik ve organizasyonel güvenlik önlemlerini uygulamak.
d)Alt işleyen kullanımında bu DPA'daki yükümlülüklere uyumu sağlamak.
e)Veri sahibi haklarının kullanılmasında Veri Sorumlusuna yardımcı olmak.
f)Hizmet sona erdiğinde verileri silmek veya iade etmek.
g)Uyumluluğu kanıtlamak için gerekli bilgileri sağlamak ve denetimlere izin vermek.

Güvenlik Önlemleri

PhoenixDB, kişisel verilerin güvenliğini sağlamak için aşağıdaki teknik ve organizasyonel önlemleri uygular:

Şifreleme

• SSL/TLS ile şifreli bağlantılar (sslmode=require)
• Let's Encrypt wildcard sertifikaları
• Aktarım sırasında veri şifreleme

Erişim Kontrolü

• IP allowlist (beyaz liste) desteği
• Güçlü şifre politikaları (32 karakter)
• Rol tabanlı erişim kontrolü

İzolasyon

• Her veritabanı için ayrı Docker container
• Dedike subdomain (abc123.server.phodb.space)
• Kaynak izolasyonu

Altyapı Güvenliği

• Dedike/VDS sunucular (paylaşımsız)
• Düzenli güvenlik güncellemeleri
• Firewall ve ağ segmentasyonu

5.1 Yedekleme ve Kurtarma

Günlük otomatik yedeklemeler
Business ve üzeri planlarda Point-in-Time Recovery (PITR)
Yedeklerin şifreli saklanması
Plana göre 1-30 gün yedek saklama süresi

5.2 İzleme ve Loglama

Gerçek zamanlı performans metrikleri
Bağlantı ve erişim logları
Anormallik tespiti
%99.9 uptime garantisi

Alt İşleyenler

PhoenixDB, hizmetlerin sağlanması için aşağıdaki alt işleyenleri kullanabilir:

Alt İşleyen	Amaç	Lokasyon
Sunucu Sağlayıcıları	Dedike/VDS sunucu altyapısı	Müşteri seçimine göre
Let's Encrypt	SSL sertifika sağlayıcısı	ABD

Önemli: PhoenixDB, Amazon AWS veya benzeri bulut sağlayıcıları kullanmaz. Tüm veritabanları dedike sunucularda barındırılır, bu sayede compute-hour ücreti uygulanmaz ve verileriniz üzerinde tam kontrol sağlanır.

Yeni alt işleyen eklenmesi durumunda, müşteriler en az 30 gün önceden bilgilendirilir. Müşteri, yeni alt işleyene itiraz etme hakkına sahiptir.

Veri Sahibi Hakları

PhoenixDB, Veri Sorumlusunun veri sahibi taleplerini yerine getirmesine yardımcı olur. KVKK ve GDPR kapsamında veri sahiplerinin hakları:

•Erişim Hakkı: Kişisel verilerin işlenip işlenmediğini öğrenme ve işlenen verilere erişim talep etme.
•Düzeltme Hakkı: Yanlış veya eksik verilerin düzeltilmesini talep etme.
•Silme Hakkı: Belirli koşullar altında verilerin silinmesini talep etme.
•İşlemeyi Kısıtlama: Belirli durumlarda veri işlemenin kısıtlanmasını talep etme.
•Veri Taşınabilirliği: Verilerin yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir formatta alınması.
•İtiraz Hakkı: Belirli işleme faaliyetlerine itiraz etme.

PhoenixDB, veri sahibi taleplerini aldığında, talebi derhal Veri Sorumlusuna iletir ve talebin yerine getirilmesi için gerekli teknik desteği sağlar.

Veri İhlali Bildirimi

Kişisel veri ihlali durumunda PhoenixDB:

1.İhlali fark ettikten sonra 72 saat içinde Veri Sorumlusunu bilgilendirir.
2.İhlalin niteliği, etkilenen veri kategorileri ve tahmini kayıt sayısı hakkında bilgi verir.
3.Olası sonuçları ve alınan/önerilen önlemleri açıklar.
4.İhlalin etkilerini azaltmak için gerekli tüm önlemleri alır.
5.Veri Sorumlusunun yetkili makama ve veri sahiplerine bildirim yapmasına yardımcı olur.

Denetim Hakları

Veri Sorumlusu, PhoenixDB'nin bu DPA'ya uyumunu doğrulamak için:

Güvenlik ve uyumluluk raporları talep edebilir
Makul önceden bildirimle (en az 30 gün) denetim gerçekleştirebilir
Bağımsız üçüncü taraf denetçi görevlendirebilir

PhoenixDB, denetim için gerekli tüm bilgi ve belgeleri sağlar. Denetim maliyetleri, denetimi talep eden tarafça karşılanır (ihlal tespit edilmesi hariç).

Sözleşmenin Sona Ermesi

Hizmet sözleşmesinin sona ermesi veya feshi durumunda:

1.Veri Sorumlusu, sözleşme sona ermeden önce verilerini dışa aktarabilir (pg_dump vb.).
2.PhoenixDB, talep üzerine tüm kişisel verileri güvenli bir şekilde siler.
3.Silme işlemi, hesap kapatıldıktan sonra 30 gün içinde tamamlanır.
4.Yedekler dahil tüm veriler kalıcı olarak yok edilir.
5.Talep üzerine silme sertifikası sağlanır.

Sorumluluk

Her taraf, kendi yükümlülüklerini ihlal etmesinden kaynaklanan zararlardan sorumludur.

PhoenixDB, bu DPA'daki yükümlülüklerini yerine getirmemesinden kaynaklanan doğrudan zararlardan sorumludur.
Sorumluluk, son 12 ayda ödenen hizmet bedeliyle sınırlıdır (kasıt veya ağır ihmal hariç).
Dolaylı, arızi veya cezai zararlardan sorumluluk kabul edilmez.

İletişim

Bu DPA veya veri koruma konularında sorularınız için:

dpo@phodb.space

Veri Koruma Görevlisi (DPO) sorularınızı en geç 30 gün içinde yanıtlayacaktır.

Kabul ve Onay

PhoenixDB hizmetlerini kullanarak, bu Veri İşleme Sözleşmesi'nin şartlarını kabul etmiş olursunuz. Bu DPA, ana hizmet sözleşmesinin ayrılmaz bir parçasıdır ve hizmet sözleşmesiyle birlikte yürürlüğe girer.