Maps Scraping Yasal mı? B2B Lead Gen'de Etik Sınırlar

"Maps scraping yasal mı?" sorusu, B2B lead generation yürüten her pazarlama ekibinin er ya da geç karşısına çıkar. Cevap çoğu kişinin beklediği kadar net değil: ne "tamamen serbest" ne de "tamamen yasak". Gerçek, veriyi nasıl topladığınız, ne topladığınız ve topladıktan sonra ne yaptığınız arasındaki ince ayrımda saklı. Bu yazıda konuyu sloganlarla değil, çalışırken karşınıza çıkacak gerçek senaryolarla ele alacağız.

Yöntem olarak yaygın 5 yanlış inanışı tek tek alacağız. Her birinde önce sahada sık duyduğumuz "Sanılan"ı, ardından KVKK ve ilgili mevzuat çerçevesindeki "Gerçek"i koyacağız. Amacımız size avukat tavsiyesi vermek değil — bu yazı hukuki danışmanlık yerine geçmez — pipeline'ınızı kurarken hangi soruları sormanız gerektiğini netleştirmek.

Önce çerçeve: "scraping" tek bir şey değil

Tartışmanın çoğu, "scraping" kelimesini tek bir eylem sanmaktan çıkıyor. Oysa Google Maps'ten lead toplarken aslında üç ayrı katmanda iş yapıyorsunuz: erişim (veriye nasıl ulaştınız — resmi API mi, sayfa kazıma mı), içerik (ne topladınız — firma adı ve adres mi, yoksa kişisel e-posta ve isim mi), ve kullanım (toplanan veriyi ne için işlediniz — analiz mi, soğuk e-posta mı, satış mı).

"Maps scraping yasal mı" sorusunun cevabı bu üç katmanın hangisinden geçtiğinize göre değişir. Bir katmanda temiz olmanız diğerlerini meşru kılmaz. Aşağıdaki mitlerin her biri, bu katmanlardan birini gözden kaçırmaktan doğuyor.

Mit 1: "Halka açık veri, herkesin malı — istediğimi yaparım"

Sanılan: Bir firmanın adı, adresi ve telefonu Google Maps'te zaten herkese açık duruyor. Açık veri serbest veridir; toplayıp dilediğim gibi kullanabilirim.

Gerçek: Bir verinin herkese görünür olması, sınırsız işlenebilir olduğu anlamına gelmez. KVKK (6698 sayılı kanun) açısından kritik ayrım toplama değil, işleme amacıdır. Birisi işletmesinin telefonunu Maps'e koyduğunda amacı "müşteriler beni arasın"dır; "binlerce firma toplu soğuk e-posta listesine eklensin" değil. Veriyi orijinal yayınlanma amacının dışında bir amaçla sistematik olarak işlediğiniz anda, "halka açıktı" savunması zayıflar.

Pratikte bu, halka açık veriyle çalışamayacağınız anlamına gelmez. Anlamı şu: topladığınız verinin amacını tanımlamanız, bu amacı kayıt altına almanız ve veri sahibine itiraz/silme hakkı tanımanız gerekir. Maps'ten bir kafenin adresini almak ile o kafenin sahibinin kişisel cep numarasını CRM'inize işleyip pazarlama dizisine sokmak, hukuken aynı eylem değildir.

Mit 2: "Scraping yapmak başlı başına yasadışı / bir tür hacking"

Sanılan: Otomatik veri kazıma yapmak suçtur, hatta bir tür siber saldırıdır. Bu işe hiç girmemek lazım.

Gerçek: Otomatik veri toplama, tek başına ve soyut olarak Türk hukukunda "suç" diye tanımlanmış bir fiil değil. Mesele yöntemde ve bağlamda. Sorun çıkaran şey scraping fikri değil, çoğu zaman şu üç ayrıntıdır:

• Hizmet şartları ihlali (ToS): Google Maps'in kullanım koşulları otomatik kazımayı kısıtlar. Bu bir sözleşme ihlalidir — sonucu hesap kapatma, erişim engeli, sivil dava riski olabilir. Ceza hukuku değil ama gerçek bir risk.
• Erişim yöntemi: Sayfayı normal kullanıcı gibi görüntülemek ile bir korumayı aşmak, oturum açma engelini kırmak arasında fark vardır. İkincisi bilişim sistemine yetkisiz erişim tartışmasına kapı açar.
• Sistemi zorlamak: Saniyede yüzlerce istekle bir servisi yormak, hizmeti aksatma boyutuna geçebilir.

Bu yüzden ciddi B2B araçları sayfa kazıma yerine resmi veri kaynaklarını tercih eder. Örneğin LeaderMix'in firma keşfi Google'ın Places API'sini kullanır — yani Google'ın bu veriyi programatik kullanım için açtığı resmi kapıyı. Bu, "ToS ihlali" ve "sistemi zorlama" risklerinin ikisini birden büyük ölçüde ortadan kaldırır. "Scraping yasal mı" sorusunu "resmi API üzerinden veri çekmek" haline getirdiğinizde, tartışmanın çoğu zaten kapanır.

Mit 3: "Şirket verisi kişisel veri sayılmaz, KVKK beni bağlamaz"

Sanılan: Ben tüketiciyle değil firmalarla çalışıyorum. B2B'de kişisel veri yok, dolayısıyla KVKK benim alanım değil.

Gerçek: B2B'de "firma verisi" ile "kişisel veri" iç içe geçer ve sınırı çoğu kişi yanlış çizer. KVKK, "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi"yi kişisel veri sayar. Buna göre:

• Bir şahıs işletmesinin verisi (tek kişilik danışmanlık, serbest meslek) çoğu zaman doğrudan bir gerçek kişiye işaret eder — kişisel veridir.
• [email protected] gibi isimli e-postalar belirli bir çalışana ait olduğu için kişisel veridir.
• Kişi adı + unvan + iletişim kombinasyonu (ör. "Satış Müdürü Ayşe K., 053X...") açıkça kişisel veridir.

Buna karşılık [email protected], [email protected] gibi rol tabanlı/genel kurumsal adresler ile tüzel kişiliğe ait genel telefon ve adres, kişisel veri tartışmasının dışında kalmaya daha yakındır. Pratik çıkarım: lead listenizi "rol tabanlı kurumsal iletişim" ile "isimli kişisel iletişim" diye iki kovaya ayırın ve ikincisine her zaman daha temkinli davranın. Bu ayrım, ölçeklediğinizde sizi en çok koruyacak operasyonel alışkanlıktır.

Mit 4: "Açık rıza (consent) almadan tek bir B2B mail bile atılamaz"

Sanılan: Soğuk e-posta tamamen bitti; herkesten önce onay almazsam her gönderim yasadışı.

Gerçek: Bu, B2C'nin katı kurallarını B2B'ye olduğu gibi taşımaktan doğan bir abartı. Türkiye'de ticari elektronik iletiyi düzenleyen 6563 sayılı Elektronik Ticaret Kanunu ve İYS (İleti Yönetim Sistemi) çerçevesinde, tacirler ve esnaflara yönelik ticari iletilerde önceden onay şartı, bireysel alıcılara kıyasla daha esnektir. Yani B2B soğuk iletişim tümüyle yasak değildir.

Ama bu esneklik bir bedava bilet değil. Uymanız gereken sınırlar net:

1. Çıkış hakkı (opt-out) her iletide bulunmalı. Alıcı tek tıkla listeden çıkabilmeli ve çıkış isteği derhal işlenmeli.
2. Çıkanlar kalıcı olarak engellenmeli. Bir kez "hayır" diyene tekrar yazmak en sık yapılan ve en kolay ispatlanan ihlaldir.
3. Gönderen kimliği şeffaf olmalı. Kimsiniz, neden yazıyorsunuz, nereden ulaştınız — gizlenmemeli.
4. İçerik gerçekten ilgili olmalı. Meşru menfaat savunması, ancak alıcının işiyle gerçekten ilgili bir teklif sunuyorsanız ayakta kalır. Alakasız toplu gönderim bu savunmayı çürütür.

Burada teknik altyapı doğrudan uyumla buluşur. LeaderMix'te her giden mail otomatik bir optout token taşır ve gönderim öncesi optout listesi kontrol edilir — yani çıkış isteyen birine ikinci kez yazılması sistemsel olarak engellenir. Ayrıca gönderimler arasına kasıtlı gecikme konur; bu hem deliverability hem de "sistemi zorlamama" açısından doğru davranıştır. Uyumu manuel disipline değil, aracın varsayılan davranışına gömmek, ekibiniz ölçeklendikçe sizi insan hatasından korur.

Mit 5: "Mail bulma ve doğrulama araçları zaten her şeyi yasal hale getirir"

Sanılan: Hunter, Reacher gibi araçlarla e-posta buluyor ve doğruluyorsam, süreç onaylı demektir; gerisini düşünmeme gerek yok.

Gerçek: Bu araçlar veriyi bulmanızı ve kalitesini artırmanızı sağlar; verinin amacını ve kullanımını meşrulaştırmaz. Doğrulanmış bir e-posta, yanlış amaçla kullanıldığında hâlâ sorunludur — sadece artık daha temiz teslim edilen bir sorundur.

Aslında bu araçların asıl katkısı uyumun farklı bir boyutunda: veri minimizasyonu ve doğruluk. KVKK, işlediğiniz verinin amaçla sınırlı, doğru ve güncel olmasını ister. Reacher gibi doğrulama servisleriyle geçersiz/çalışmayan adresleri elemek, hem bounce oranınızı düşürür hem de "gereksiz/yanlış kişisel veri işliyorsunuz" eleştirisinin önünü keser. Yani doğrulama, scraping'i yasal yapmaz ama doğru yapılan lead generation'ın bir parçasıdır. Aracı bir muafiyet belgesi değil, kalite filtresi olarak görün.

Mitlerin ötesinde: uygulanabilir bir uyum çerçevesi

Beş miti çürüttükten sonra, geriye sahada gerçekten işe yarayan bir kontrol listesi kalıyor. "Maps scraping yasal mı" sorusunu her seferinde baştan tartışmak yerine, pipeline'ınızı şu beş prensibe oturtun:

• Resmi kapıdan girin. Mümkün olan her yerde sayfa kazıma yerine resmi API kullanın. Bu hem ToS hem teknik risk tarafını kapatır.
• Amacı önceden tanımlayın. Bu listeyi neden topluyorsunuz? Cevabı yazılı tutun; gerektiğinde meşru menfaat dayanağınız bu olur.
• Kişisel ve kurumsal veriyi ayırın. İsimli e-posta ve şahıs verisine, genel kurumsal iletişimden daha temkinli davranın.
• Çıkışı kutsal sayın. Her iletide opt-out, anında işleme, kalıcı engelleme. Bu pazarlık konusu değildir.
• Sadeleştirin ve güncel tutun. Sınırsız veri biriktirmeyin; ihtiyacınız olanı, doğrulanmış ve güncel haliyle tutun.

Bu prensiplerin hiçbiri size lead generation'ı bıraktırmaz — tam tersine, sürdürülebilir biçimde yapmanızı sağlar. Bir gün bir denetimle ya da bir şikâyetle karşılaştığınızda fark, "veri toplamış olmanız" değil, nasıl topladığınızı ve kullandığınızı gösterebilmeniz olacaktır.

Sonuç: doğru soru "yasal mı" değil, "sorumlu mu"

Tek somut çıkarım şu: Maps scraping yasal mı ikili bir soru değil, bir tasarım kararıdır. Veriyi resmi API üzerinden çekiyor, amacını tanımlıyor, kişisel veriyi ayrıştırıyor ve her iletide gerçek bir çıkış hakkı sunuyorsanız — hem hukuki zemininiz hem de marka itibarınız sağlamdır. Bu dördünü atlayıp "halka açıktı" diye savunmaya kalkarsanız, ne kadar veri topladığınızın bir önemi kalmaz.

Uyumu sonradan eklenen bir katman değil, sürecin varsayılanı haline getirmek istiyorsanız, LeaderMix tam olarak bu mantıkla kurulu: resmi Places API ile keşif, doğrulanmış e-posta, ve her gönderimde otomatik opt-out kontrolü. Lead generation altyapınızı nasıl sorumlu biçimde kurabileceğinizi görmek için planları inceleyebilir ya da konuyu derinleştiren diğer yazılar için blogumuza göz atabilirsiniz.