Kartlı ödeme almak, sanal POS kurmak ya da dijital tahsilat çözümü kullanmak artık yalnızca teknik bir karar değil; aynı zamanda yasal bir sorumluluk alanıdır. Türkiye'de ödeme hizmetleri belirli bir lisans ve denetim çerçevesi içinde sunulur; bu çerçevenin dışında faaliyet yürütmek hem hizmet sağlayıcılar hem de işletmeler açısından risk oluşturur.

Ödeme mevzuatına hâkim olmak hukuki danışmanlık gerektiren bir uzmanlık alanıdır. Bununla birlikte işletmelerin temel çerçeveyi tanıması; lisanslı sağlayıcılarla çalışmanın önemini kavraması ve kullanıcı haklarına ilişkin yükümlülüklerin farkında olması, sağlıklı bir ödeme altyapısı kurmanın ön koşullarından biridir. Aşağıda ödeme sistemleri mevzuatının ana hatları ve işletmelere yönelik pratik çıkarımları ele alınmaktadır.

Ödeme Mevzuatı Neyi Kapsar?

Türkiye'de ödeme hizmetleri mevzuatı; kimlerin ödeme hizmeti sunabileceğini, bu hizmetlerin nasıl lisanslandırılacağını, hangi güvenlik ve şeffaflık standartlarının uygulanacağını ve kullanıcıların hangi haklara sahip olduğunu düzenler. Hem ödeme kuruluşlarını hem de son kullanıcıları doğrudan etkileyen kapsamlı bir yapı söz konusudur.

6493 Sayılı Kanun ve Ödeme Hizmetleri

Türkiye'de ödeme ve elektronik para alanının temel yasal dayanağı, 2013 yılında yürürlüğe giren 6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun'dur.

Kanun, 22 Kasım 2019 tarihli değişikliklerle önemli ölçüde güncellendi. Bu güncellemelerle birlikte ödeme hizmeti tipleri yeniden tanımlandı; ödeme başlatma hizmeti ve hesap bilgisi hizmeti gibi yeni kategoriler mevzuata eklendi. Kripto varlıkların ödeme aracı olarak kullanılması da bu değişiklikler kapsamında yasaklandı.

1 Ocak 2020 itibarıyla ödeme hizmetleri ve elektronik para kuruluşlarına ilişkin düzenleme, lisanslama ve denetim sorumluluğu Türkiye Cumhuriyet Merkez Bankası'na (TCMB) devredildi. Daha önce Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) tarafından yürütülen bu görevler, söz konusu tarihten itibaren TCMB bünyesinde sürdürülmektedir.

Ödeme hizmetleri yönetmeliği kapsamında işletmelerin dikkat etmesi gereken temel başlık şudur: ödeme hizmeti sunmak isteyen her kuruluşun TCMB'den lisans ya da izin alması zorunludur. Lisanssız ödeme hizmeti sunmak yasal yaptırımlarla karşılaşılmasına yol açabilir.

Ödeme Kuruluşları ve Elektronik Para Kuruluşları

6493 Sayılı Kanun kapsamında iki temel kuruluş tipi tanımlanmıştır:

• Ödeme kuruluşu: Para transferi, ödeme işlemi gerçekleştirme, ödeme aracı ihraç veya kabulü gibi hizmetleri sunan ve TCMB lisansına sahip kuruluşlardır. Sanal POS hizmeti sunan şirketler bu kategori altında değerlendirilir.
• Elektronik para kuruluşu: Elektronik para ihraç eden ve bu paraya bağlı ödeme hizmetleri sunan lisanslı kuruluşlardır. Dijital cüzdan ve ön ödemeli kart hizmetleri bu kategori kapsamında incelenir.

Bankalar, ödeme ve elektronik para hizmetlerini kendi mevzuatları (5411 Sayılı Bankacılık Kanunu) çerçevesinde sunabildiğinden ayrıca ödeme kuruluşu lisansı almak zorunda değildir. Banka dışı tüm ödeme hizmeti sağlayıcıları için ise TCMB lisansı zorunludur.

Türkiye'de Ödeme Mevzuatında Yetkili Kurumlar

Ödeme mevzuatı tek bir kurumun denetim alanıyla sınırlı değildir. Farklı boyutlarda birden fazla kurum devreye girer.

TCMB'nin Yetki ve Sorumlulukları

Türkiye Cumhuriyet Merkez Bankası, 1 Ocak 2020'den itibaren ödeme kuruluşları ve elektronik para kuruluşlarının birincil denetçisidir. TCMB'nin bu alandaki yetki ve sorumlulukları şunları kapsar:

• Ödeme kuruluşu ve elektronik para kuruluşu lisansı verme ve iptal etme
• Faaliyet izinleri ve yetki belgelerine ilişkin koşulları belirleme
• Kuruluşların faaliyetlerini ve mali durumlarını denetleme
• Ödeme sistemleri mevzuatı kapsamında düzenleyici kararlar yayımlama
• TR Karekod gibi standartları belirleyerek karekod ödemelerine ilişkin yönetmelik çıkarma

TCMB'nin ödeme sistemleri alanındaki düzenleyici rolü, Avrupa Birliği'ndeki Ödeme Hizmetleri Direktifi (PSD2) benzeri bir çerçevenin Türkiye'ye uyarlanmış halidir. Lisanslı bir ödeme sağlayıcısıyla çalışmak, işletmenin TCMB denetim güvencesinden dolaylı olarak yararlanması anlamına gelir.

TÖDEB ve MASAK'ın Rolü

Türkiye Ödeme ve Elektronik Para Kuruluşları Birliği (TÖDEB), sektörün öz düzenleyici kuruluşudur. TCMB tarafından kuruluşu zorunlu tutulan TÖDEB; üye kuruluşların uyum süreçlerini destekler, sektör standartlarının geliştirilmesine katkı sağlar ve TCMB ile sektör arasında köprü işlevi görür.

Mali Suçları Araştırma Kurulu (MASAK), kara para aklamayla mücadele ve terörün finansmanının önlenmesi alanında ödeme kuruluşlarının yükümlülüklerini denetler. MASAK ödeme kuruluşları açısından uyum gerektiren temel alanlar şunlardır:

• Müşteri kimlik doğrulama (KYC — Know Your Customer) zorunluluğu
• Şüpheli işlem bildirimi yükümlülüğü
• İşlem kayıtlarının belirli sürelerle muhafaza edilmesi
• Risk bazlı yaklaşımla müşteri ve işlem izleme

İşletmeler doğrudan MASAK yükümlüsü olmasa da çalıştıkları ödeme sağlayıcısının bu yükümlülükleri yerine getirip getirmediği, hesap açılış ve doğrulama süreçlerini doğrudan etkiler.

Ödeme Hizmeti Sayılan İşlemler Nelerdir?

6493 Sayılı Kanun, hangi faaliyetlerin ödeme hizmeti kapsamında değerlendirileceğini açıkça tanımlar. İşletmelerin bu sınıflandırmayı bilmesi; hangi hizmetleri almak için lisanslı bir sağlayıcıya ihtiyaç duyduklarını anlamak açısından önemlidir.

Tablodaki hizmetlerden herhangi birini sunan ya da aracılık eden kuruluşların TCMB lisansına sahip olması zorunludur. İşletmeler bu hizmetleri kendi altyapılarıyla değil, lisanslı sağlayıcılar üzerinden alır.

Kripto varlıkların ödeme aracı olarak kullanılması Türkiye'de yasal olarak yasaklanmıştır. 22 Kasım 2019 tarihli değişiklikle getirilen bu düzenleme, kripto varlıkların mal veya hizmet alımında ödeme aracı olarak kabul edilmesini engeller.

İşletmeler Ödeme Mevzuatında Nelere Dikkat Etmeli?

Dijital ödeme mevzuatı, işletmeleri doğrudan ödeme hizmeti sağlayıcısı olarak değil; bu hizmetleri kullanan taraf olarak kapsar. Ancak kullandıkları altyapının mevzuata uygun olup olmadığı, işletmelerin de sorumlu tutulabileceği bir alan oluşturur.

Lisanslı Sağlayıcılarla Çalışma ve Bilgilendirme Yükümlülükleri

Sanal POS mevzuatı ve online tahsilat süreçleri açısından işletmelerin yapması gereken en temel kontrol şudur: çalışılan ödeme sağlayıcısının TCMB tarafından lisanslandırılıp lisanslandırılmadığı. TCMB'nin kamuoyuna açık lisans listesinden bu bilgiye ulaşmak mümkündür.

Lisanslı bir sağlayıcıyla çalışmak birkaç pratik güvence sağlar:

• Ödeme altyapısının yasal çerçevede denetlendiği güvencesi
• Kullanıcı fonlarının korunmasına ilişkin mevzuat yükümlülüklerinin yerine getirilmesi
• Anlaşmazlık ve şikâyet durumlarında resmi bir başvuru mercii bulunması
• Veri güvenliği ve ödeme bilgilerinin işlenmesinde standart uyumu

İşletmelerin bir diğer yükümlülüğü ise müşteri bilgilendirmesidir. Ödeme hizmetlerinde kullanıcılara işlem koşulları, ücretlendirme yapısı ve şikâyet yolları hakkında önceden açık bilgi sunulması mevzuat gereğidir. Bu yükümlülüğü büyük ölçüde sağlayıcı yerine getirir; ancak işletmenin ödeme sayfasındaki iletişim de bu standardı destekler nitelikte olmalıdır.

Güvenlik, Fonların Korunması ve Veri Güvenliği

E-ticaret ödeme mevzuatı kapsamında öne çıkan konulardan biri kullanıcı fonlarının korunmasıdır. Lisanslı ödeme kuruluşları, müşterilere ait fonları kendi işletme varlıklarından ayrı tutmak ve güvenli varlıklarda bulundurmak zorundadır. Bu yükümlülük, işletmelerin sağlayıcı seçiminde güvence olarak değerlendirebileceği kritik bir mevzuat şartıdır.

Ödeme sistemlerinde güvenlik alanında ise PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı) teknik bir zorunluluk olarak öne çıkar. Kart verilerini işleyen, ileten ya da saklayan her yapı bu standarda uymak durumundadır. İşletmenin kendi sunucuları üzerinden kart verisi geçirmemesi, yani ödemeyi tokenizasyon ve 3D Secure destekli bir altyapı üzerinden yürütmesi; hem PCI DSS uyumunu kolaylaştırır hem de sorumluluk riskini azaltır.

Sanal pos üzerinden tahsilat yapan işletmeler için güvenlik altyapısı sağlayıcı tarafından yönetilir. Sanal pos çözümleri, kart verilerinin işletmenin sisteminden geçmesini engelleyen yapısıyla hem teknik hem de yasal uyumu kolaylaştırır.

Dijital Ödemelerde Kullanıcı Hakları

Ödeme hizmetlerinde kullanıcı hakları, 6493 Sayılı Kanun ve ilgili yönetmeliklerle düzenlenmiştir. İşletmelerin bu hakları bilmesi; hem kendi müşterilerine karşı sorumlulukları hem de çalıştıkları sağlayıcıdan bekleyecekleri standartlar açısından yol göstericidir.

Yetkilendirilmemiş ve Hatalı İşlemler

Kullanıcının onayı alınmadan gerçekleştirilen ya da hatalı işleme yönlendirilen ödemeler, ödeme hizmetleri mevzuatı kapsamında iade yükümlülüğü doğurur. Temel ilkeler şöyle özetlenebilir:

• Yetkilendirilmemiş bir işlem fark edildiğinde kullanıcı, durumu fark ettiği andan itibaren belirli süre içinde ödeme hizmeti sağlayıcısına bildirmelidir.
• Sağlayıcı, yetkilendirilmemiş işlemin kullanıcının kastından ya da ağır ihmalinden kaynaklanmadığını tespit etmesi halinde işlem tutarını iade etmekle yükümlüdür.
• Hatalı yönlendirilen ödemelerde (yanlış hesap bilgisi nedeniyle gerçekleşen transferler) sağlayıcının geri alma girişiminde bulunması mevzuat gereğidir.

İşletmeler açısından bu durum şu anlama gelir: müşteri, işyerinin ödeme altyapısı üzerinden gerçekleşen yetkisiz bir işlemi bildirdiğinde çözüm süreci öncelikle lisanslı sağlayıcı üzerinden yürütülür. Sağlayıcının bu yükümlülüğü yerine getirip getirmediği, işyerinin tercihini doğrudan etkiler.

Kişisel Verilerin ve Ödeme Bilgilerinin Korunması

Ödeme işlemlerinde kullanıcıya ait kişisel veriler ve finansal bilgiler iki ayrı mevzuat katmanıyla korunur: 6493 Sayılı Kanun kapsamındaki ödeme verisi güvenliği ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki kişisel veri işleme yükümlülükleri.

İşletmelerin bu alanda dikkate alması gereken temel ilkeler:

• Müşterinin ödeme bilgileri yalnızca işlemin tamamlanması için gerekli ölçüde işlenmelidir; fazladan veri saklamak KVKK kapsamında sorumluluk doğurabilir.
• Kart bilgileri hiçbir aşamada işletmenin kendi sistemlerinde açık metin olarak saklanmamalıdır; tokenizasyon bu zorunluluğu karşılamanın standart yoludur.
• Ödeme sayfasında kullanıcıya hangi verilerin hangi amaçla işlendiği açıkça belirtilmelidir.
• Üçüncü taraf ödeme hizmeti sağlayıcısına veri aktarımı, KVKK'nın veri işleme ve aktarım koşullarına uygun biçimde düzenlenmelidir.

Ödeme altyapısını mevzuat uyumlu bir yapı üzerinde kurmak isteyen işletmeler için işiniz için ödeme çözümü sayfası farklı satış kanallarına yönelik seçenekleri karşılaştırmak açısından bir başvuru noktası olabilir.

Bağlantı üzerinden tahsilat yapmayı tercih eden işletmeler link ile ödeme çözümüyle, sanal POS ihtiyaçları için ise iyzico'nun iyzico ile öde altyapısıyla mevzuata uygun bir ödeme deneyimi sunabilir.