Residential Proxy Yasal mı? KVKK, Hizmet Şartları ve KYC

Residential proxy yasal mı sorusunun kısa cevabı şudur: hukuk, araçla yapılan işi değerlendirir. Bir isteği kendi bağlantınızdan göndermek hangi kurallara tabiyse, aynı isteği başka bir ülkedeki konut IP’si üzerinden göndermek de aynı kurallara tabidir. Proxy ne izin yaratır ne de yasak; yalnız isteğin hedefe hangi adresten ulaştığını değiştirir. Dolayısıyla soruyu “proxy kullanabilir miyim” diye sormak eksik kalır, doğru soru “bu veriyi bu kaynaktan bu yöntemle toplayabilir miyim” sorusudur.

Bu sorunun cevabı dört ayrı kural katmanından geçer: ceza hukuku, kişisel verilerin korunması, hedef siteyle aranızdaki sözleşme ve platformun kendi kuralları. Katmanlar birbirinin yerine geçmez; bir iş ceza hukuku açısından sorunsuzken sözleşme açısından ihlal olabilir, kişisel veri içermezken platform kuralını çiğniyor olabilir. Her katmanın Türkiye mevzuatındaki kaynağı farklıdır; madde metinleri 9 Kasım 2026’da mevzuat.gov.tr’deki resmî kanun metninden alınmıştır.

Konu, proxy satın alan ve kullanan tarafın sorumluluğudur. Konut IP’lerinin havuza nasıl girdiği, cihaz sahibinin rızası ve sağlayıcının tedarik etiği ayrı bir konudur ve etik residential IP kaynağı rehberinde işlenir; burada yalnız şu kadarı söylenir: tedarik tarafı temiz olsa bile kullanıcının kendi işi için sorumluluğu devam eder.

Türk Ceza Kanunu’nun 243. maddesi “bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye” hapis ya da adli para cezası öngörür. Buradaki ölçüt hukuka aykırı giriştir. Herkese açık bir ürün sayfasını istemek, o sayfayı tarayıcıda açan herhangi bir ziyaretçinin yaptığı işin aynısıdır; giriş gerektiren bir alana şifre, güvenlik açığı ya da başkasının oturumuyla ulaşmak ise maddenin tam konusudur. Residential proxy bu ayrımı değiştirmez; yetkisiz alana konut IP’siyle girmek de yetkisiz giriştir.

Aynı maddenin dördüncü fıkrası, sisteme girmeden veri nakillerini teknik araçlarla hukuka aykırı olarak izleyen kişiyi de kapsar. Bu fıkra, proxy’yi başkasının trafiğini dinlemek için kullanan tarafı ilgilendirir; sizin kendi isteklerinizin sizin kiraladığınız proxy üzerinden geçmesi bu tanıma girmez, ama bir proxy’yi başkalarının trafiğini araya girerek izlemek için kurmak girer.

244. madde ise “bir bilişim sisteminin işleyişini engelleyen veya bozan” ve “verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren” fiilleri cezalandırır. Veri toplama işinde bu maddeyle temas noktası istek yüküdür: hedef sunucuyu yavaşlatacak ya da hizmeti aksatacak yoğunlukta istek göndermek, işleyişi engelleme tartışmasını açar. Rotasyonla IP değiştirmek yükü hedef açısından azaltmaz, yalnız kaynağını dağıtır. Hız sınırına uymak, eşzamanlılığı hedefin kaldırabileceği düzeyde tutmak ve hedefin açık engelini aşmaya çalışmamak bu katmanın pratik karşılığıdır.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3. maddesi kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar; işlemeyi de verilerin “elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması” dahil her türlü işlem olarak sayar. Bir sayfayı çekip veritabanına yazmak, tanımdaki “elde etme” ve “kaydetme” fiilleridir. Çektiğiniz alan gerçek bir kişiye ilişkinse, bu kişi yabancı bir ülkede de olsa, kişisel veri işliyorsunuz demektir.

Üç soru veri envanterini çıkarır. Birincisi: alan bir gerçek kişiye mi, bir şirkete mi ait? Ürün adı, fiyat, stok, kargo süresi ve mağaza puanı şirket verisidir; satıcı adı bir şahıs adıysa, kullanıcı yorumu bir takma ada bağlıysa, profil sayfası bir kişiye aitse kişisel veridir. İkincisi: veri “belirlenebilir” bir kişiye götürüyor mu? Tek başına anlamsız görünen kullanıcı adı, başka bir alanla birleşince kişiyi işaret ediyorsa yine kişisel veridir. Üçüncüsü: kimin adına topluyorsunuz? Kanun, verilerin “işleme amaçlarını ve vasıtalarını belirleyen” kişiyi veri sorumlusu sayar; amaç ve yöntemi siz belirliyorsanız sorumluluk sizdedir. Proxy sağlayıcısı sizin topladığınız veriyi görmez ve işlemez, trafiği taşır; sağlayıcıyla sözleşmeniz bunu başka türlü düzenliyorsa danışmanınıza gösterin.

Kişisel veri varsa 5. madde devreye girer. Kural açık rızadır; ikinci fıkra, rıza aranmadan işlemeyi mümkün kılan şartları sayar. Veri toplama projelerinde en çok iki bent konuşulur: (d) bendi “ilgili kişinin kendisi tarafından alenileştirilmiş olması”, (f) bendi “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması”. Herkese açık bir profildeki bilgi alenileştirilmiş sayılabilir; ancak bu şart yalnız rıza aramayı kaldırır. 4. maddedeki ilkeler her durumda geçerlidir: işleme “belirli, açık ve meşru amaçlar için”, “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” ve “gerekli olan süre kadar” olmalıdır. Herkese açık profilleri toplu çekip süresiz saklamak, bu ilkelerle kolay bağdaşmaz.

İki yükümlülük daha vardır. 12. madde veri sorumlusunu “kişisel verilerin hukuka aykırı olarak işlenmesini önlemek”, “hukuka aykırı olarak erişilmesini önlemek” ve “muhafazasını sağlamak” için “gerekli her türlü teknik ve idari tedbirleri almak” zorunda tutar; toplanan verinin durduğu sunucu, erişim yetkileri ve yedekler bu kapsama girer. 18. madde aydınlatma, veri güvenliği, Kurul kararlarına uyma ve sicil yükümlülüklerinin ihlali için idari para cezası öngörür; tutarlar kanunda taban ve tavan olarak yazılıdır ve yeniden değerleme ile güncellenir, güncel rakam için resmî kaynağa bakın. Kişisel veri hiç toplamamak çoğu projede en ucuz uyumdur: alan listesinden kişiye ait sütunları baştan çıkarın ya da kanunun 3. maddesindeki tanımla “hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle” getirin.

Hedef sitenin hizmet şartları ceza hükmü içermez; sizinle site arasında bir sözleşmedir. Bir hesapla giriş yapıp şartları tıklayarak kabul ettiyseniz sözleşme açıkça kurulmuştur ve şartlardaki “otomatik erişim yasaktır” türü madde sizi bağlar. Hesapsız, herkese açık sayfaları ziyaret eden bir istemci için sözleşmenin kurulup kurulmadığı tartışmalıdır ve ülkeden ülkeye farklı sonuçlanmıştır; tartışmanın sonucunu beklemek yerine şartları okumak daha ucuzdur. İhlalin olağan sonuçları hesap kapatma, IP engeli ve ağır durumlarda tazminat talebidir.

Residential proxy bu katmanda sık yanlış anlaşılır. Konut IP’si isteğinizi gerçek bir ziyaretçinin isteği gibi gösterir; sözleşme ihlalini ortadan kaldırmaz, yalnız görünürlüğünü azaltır. Görünmez bir ihlal yine ihlaldir ve sağlayıcı kayıtları, ödeme bilgileri ya da hedefin tuttuğu kanıtlarla ilişkilendirilebilir. Proxy’yi kurala uygun işi doğru konumdan yapmak için kullanın: Almanya’daki kullanıcının gördüğü fiyatı Almanya’dan görmek buna örnektir; giriş arkasındaki veriyi hesap kuralına rağmen çekmek ise sözleşme ihlali olarak kalır.

robots.txt bir kanun maddesi değildir ve tek başına ceza doğurmaz; ancak sitenin otomatik erişim konusundaki iradesini yazılı olarak gösterir. Bu irade hem sözleşme yorumunda hem de dürüstlük kuralı değerlendirmesinde karşınıza çıkabilir. Hedefin herkese açık sayfalarında robots.txt’nin izin verdiği yolları, verdiği hızda tarayın; engellediği yolları atlayın; resmî bir API ya da veri akışı sunuyorsa önce ona bakın. Erişim kuralını aşmak bu düzenin hiçbir adımında yer almaz.

Residential ağlar, çıkış adresi gerçek kişilere ait cihazlar olduğu için kötüye kullanıma karşı daha dikkatli işletilir. Sektörde yaygın uygulama, sağlayıcının sipariş öncesinde ya da ilk kullanımda müşteriyi tanımasıdır: şirket ya da kişi bilgisi, kullanım amacı beyanı, bazen hedef türlerinin listesi ve kabul edilebilir kullanım politikasının onayı istenir. Finans sektöründen ödünç alınan “müşterini tanı” kısaltması bu yüzden proxy sektöründe de dolaşır. Bu adım sizi yavaşlatıyor gibi görünse de aynı havuzu paylaştığınız diğer müşterilerin ne yaptığını sınırladığı için IP itibarını korur; itibarın hedef tarafında nasıl okunduğu IP fraud skoru rehberinde anlatılır.

Sizin tarafınızda hazırlık üç parçadır: şirketinizin resmî bilgileri, bir paragraflık kullanım amacı (hangi veri, hangi kaynaktan, ne sıklıkla) ve kullanım politikasında yasaklanan işlerin listesini okuyup kendi işinizle karşılaştırmak. Sipariş verdiğiniz her sağlayıcının koşullarını sipariş anında okuyun; koşullar sağlayıcıya ve ürüne göre değişir ve burada belirli bir sağlayıcının ne istediği hakkında iddia yoktur. Sağlayıcı hiçbir şey sormuyorsa bu bir rahatlık işareti olmayabilir; havuzun geri kalanını kimin kullandığını da bilmiyorsunuz demektir.

Fiyat ve stok izleme, herkese açık ürün sayfalarında: kişisel veri yok, ceza hukuku katmanı sessiz; sözleşme katmanı için hedefin hizmet şartları ve robots.txt okunur, hız sınırı tutulur. Reklam ve açılış sayfası doğrulama, marka koruma için taklit ilan izleme: aynı profil; kanıt kaydında satıcı adı gibi kişisel alanlar varsa KVKK envanterine girer. Yerel arama sonucu takibi: kişisel veri yok, platform şartları belirleyici.

Sosyal medya hesabı yönetimi: platform kuralı ve hesap sözleşmesi belirleyicidir, hesabın kendisi sizin ya da yetki verenin olmalıdır; düzen sosyal medya yönetimi rehberinde anlatılır. Kullanıcı profili, yorum ve takipçi listesi toplama: KVKK tam devrededir, 5. madde dayanağı ve 4. madde ilkeleri yazılı olarak belirlenmeden başlanmaz. Giriş arkasındaki veriyi hesap kuralına rağmen çekmek: sözleşme ihlali kesin, 243. madde tartışması açık. Hedefin açık engelini, yani yazılı yasağı ya da uygulanmış IP engelini aşmaya çalışmak: her katmanda değerlendirmeyi aleyhinize çevirir ve bu rehberin önerdiği hiçbir düzenin parçası değildir. Kendi sitenizi ya da yetki aldığınız bir müşterinin sitesini farklı ülkelerden test etmek: katmanların hiçbiri devrede değildir, yalnız yetki yazılı olsun.

Hedef kişiler Avrupa Birliği’ndeyse topladığınız kişisel veri için KVKK’nın yanına Avrupa Birliği Genel Veri Koruma Tüzüğü eklenir; başka ülkelerin de kendi kanunları vardır. Türkiye’de faaliyet gösteren bir şirket için hedef sitenin yurt dışında olması KVKK yükümlülüğünü kaldırmaz, üstüne hedef kişilerin ülkesinin kuralları gelir. ResidentialProxy kataloğundaki static IPv4 ürünü 12 ülkede, rotating IPv4 ürünü 180’den fazla lokasyonda çıkış verir; her yeni ülke eklediğinizde o ülke için envanter sorusunu yeniden sorun.

Birinci adım, amacı tek paragraf yazmak: hangi veri, hangi kaynaktan, ne için, ne sıklıkla. İkinci adım, alan envanteri: her sütunun karşısına “kişisel veri mi” sorusunun cevabı; evet olanlar ya çıkarılır ya da bir sonraki adıma gider. Üçüncü adım, kişisel veri kalan her alan için 5. maddeden dayanak bendini ve 4. madde ilkelerine göre saklama süresini yazmak. Dördüncü adım, hedefin hizmet şartlarını ve robots.txt dosyasını okuyup otomatik erişim maddelerini not etmek; giriş arkasına girilmeyeceğini ve resmî API varsa onun kullanılacağını karara bağlamak.

Beşinci adım, teknik sınırlar: hedef başına eşzamanlılık ve istek aralığı, hedefin hız sınırına uyacak biçimde; engel görüldüğünde üstüne gitmek yerine durmak. Altıncı adım, 12. maddenin karşılığı: toplanan verinin durduğu yer, erişim yetkileri, şifreleme ve silme takvimi. Yedinci adım, kayıt: amaç belgesi, envanter, dayanak, hedef koşulları ve sağlayıcıya verdiğiniz kullanım beyanı tek klasörde dursun; bir gün sorulursa cevabınız hazır olur. Bu liste danışmanınızla yapacağınız görüşmenin gündemi olarak da iş görür.

Residential proxy kimliğimi gizlediği için sorumluluğu da kaldırır mı? Hayır. Hedef tarafında isteğiniz başka bir adresten görünür, ama sağlayıcı kayıtları, ödeme bilgileri ve kendi sunucunuzdaki veriler sizi işe bağlar.

Herkese açık veri KVKK kapsamı dışında mı? Hayır. Alenileştirilmiş veri için açık rıza aranmaz, ama işleme yine kanunun 4. maddesindeki ilkelere, 12. maddesindeki güvenlik yükümlülüğüne ve amaçla sınırlı olma kuralına tabidir.

Fiyat ve stok verisi toplamak kişisel veri işlemek midir? Ürüne ait alanlar şirket verisidir. Satıcı adı bir gerçek kişiye aitse, yorum bir kullanıcı adına bağlıysa o sütunlar kişisel veridir; envanterde ayrı işaretlenir.

Sağlayıcı kimlik ve kullanım amacı isterse vermeli miyim? Bu sektörde yaygın bir uygulamadır ve paylaştığınız havuzun temiz kalmasına yarar. Hangi bilginin isteneceği sağlayıcıya göre değişir; sipariş anındaki koşulları okuyun.

robots.txt dosyasını yok saymak suç mu? Dosya bir ceza hükmü değildir; ancak sitenin iradesini gösterir ve sözleşme ile dürüstlük kuralı değerlendirmesinde kullanılabilir. Bu rehber izin verilmeyen yolların taranmasını önermez.

Yurt dışındaki bir siteden veri toplarken KVKK geçerli mi? Türkiye’de faaliyet gösteren şirket için evet; hedef kişilerin ülkesinin kuralları da eklenir. Hangi kanunun hangi ölçüde uygulanacağı projeye göre değişir, bu yüzden danışmanınıza sorun.