Ödeme Uyumluluğu: Temel Düzenlemeler ve En İyi Uygulamalar

Para transferi yapan her işletmenin bir uyumluluk sorunu vardır. Kart işlemleri, e-ticaret ödemeleri, kripto para ödemeleri – hangi kanal olursa olsun fark etmez. Kurallar geçerlidir, cezalar gerçektir ve bunları görmezden gelmek nadiren sessizce sonuçlanır.

Ödeme mevzuatına uyumluluğu zorlaştıran şey, böyle bir uyumluluğun varlığından haberdar olmak değil; işletmenize hangi düzenlemelerin uygulandığını, bunların birbirleriyle nasıl etkileşimde bulunduğunu ve aslında ne yapmanız gerektiğini anlamaktır. Bu kılavuz da tam olarak bunu ele alıyor.

Ödeme Uyumluluğu Nedir ve Neden Önemlidir?

Beş farklı ödeme operatörüne "ödeme uyumluluğu"nun ne anlama geldiğini sorun, muhtemelen beş farklı cevap alırsınız. Uygulamada, bu, işletmelerin ödeme verilerini nasıl topladığı, sakladığı, ilettiği ve işlediğiyle ilgili tüm kuralları kapsar. Bu kurallar, ödeme sistemlerinde dolandırıcılık, kara para aklama veya veri ifşası gibi sorunlar yaşandığında hasarın hızla ve geniş çapta yayılması nedeniyle mevcuttur.

Bu yükümlülüklere tabi işletmeler temelde dijital olarak para işlemleri yapan herkesi kapsıyor. Çevrimiçi perakendeciler. SaaS platformları. Pazaryerleri. Fintech şirketleri. Kripto para satıcıları. Kurallarda büyüklük konusunda bir istisna yok. On kişilik bir girişim şirketi, büyük bir işletmeyle aynı temel gereksinimlere tabidir.

Durumu daha iyi anlamamızı sağlayan rakamlar: Ödeme dolandırıcılığı ve e-ticaret kayıplarının 2023 ile 2027 yılları arasında 343 milyar dolara ulaşması bekleniyor. Verizon'ın 2023 Ödeme Güvenliği Raporu, şirketlerin %64'ünün hala tam PCI DSS uyumluluğuna ulaşamadığını ortaya koydu. Ve tek bir veri ihlali, yıllarca sürebilecek davalara, zorunlu denetimlere ve kart şebekesi yaptırımlarına yol açabilir.

Kurallara uymak, ödeme ağlarına erişimi açık tutar. Bir ihlal veya güvenlik açığı nedeniyle bu erişimi kaybetmek, o kapıyı tamamen kapatabilir.

Küresel Ödeme Uyumluluğunu Kim Düzenliyor?

Dünya çapında ödeme uyumluluğunu tek bir yetkili kurum yönetmiyor. Birçok farklı kuruluş, standartları belirliyor ve kuralları farklı yetki alanlarında uyguluyor; çoğu işletme de birden fazla kuruluşa hesap vermek zorunda kalıyor.

Örneğin, uluslararası müşterilerden ABD kartlarını kabul eden AB merkezli bir işletme, PCI DSS, GDPR ve potansiyel olarak FinCEN yönergeleriyle aynı anda ilgilenmek zorundadır. İşletmeniz sınırları aştığında, bu örtüşmeyi yönetmek ödeme uyumluluğu ve düzenleyici uyumluluğun ne anlama geldiğidir.

Ödeme Uyumluluğuna İlişkin Temel Düzenlemeler Açıklandı

Beş düzenleme, çoğu işletmenin yapması gerekenlerin büyük bir bölümünü tanımlar. Her biri farklı bir risk alanını hedef alır ve kendine özgü bir ceza yapısına sahiptir.

1. PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı), kart sahibi verilerini depolayan, işleyen veya ileten tüm kuruluşlar için geçerlidir. 12 teknik ve operasyonel gereksinimi ortaya koymaktadır. Uyumsuzluk durumunda, ihlalin ciddiyetine bağlı olarak aylık 5.000 ila 100.000 dolar arasında para cezası uygulanmaktadır.
2. PSD2 — AB'nin Ödeme Hizmetleri Direktifi 2, Avrupa Ekonomik Alanı genelindeki ödeme hizmeti sağlayıcılarını düzenler. Başlıca gereklilik, elektronik işlemler için Güçlü Müşteri Kimlik Doğrulaması (SCA)'dır. Cezalar 5 milyon Euro'ya veya küresel yıllık gelirin %3'üne kadar ulaşabilir.
3. AML/KYC — Kara para aklama karşıtı düzenlemeler, işletmelerin müşteri kimliklerini doğrulamalarını (Müşterinizi Tanıyın), işlemleri şüpheli faaliyetler açısından izlemelerini ve Şüpheli Faaliyet Raporları sunmalarını gerektirir. Bu kurallar, FATF tavsiyeleri üzerine oluşturulmuş ulusal yasalardan kaynaklanmaktadır.
4. GDPR / CCPA — AB'nin Genel Veri Koruma Yönetmeliği ve Kaliforniya'nın Tüketici Gizliliği Yasası, ödemelerde veri gizliliği kurallarını belirleyerek kişisel verilerin ve ödeme bilgilerinin nasıl toplandığı, saklandığı ve işlendiğini düzenler. GDPR cezaları en fazla 20 milyon Euro veya küresel yıllık cironun %4'ü ile sınırlıdır. Meta'nın 2022'de aldığı 405 milyon Euro'luk ceza, düzenleyicilerin bu kuralları geniş ölçekte uygulayacağını teyit etmiştir.
5. BSA/FinCEN kuralları — ABD Banka Gizlilik Yasası, finans kuruluşlarının ve para hizmetleri işletmelerinin kara para aklama önleme programları yürütmesini, 10.000 doların üzerindeki nakit işlemlerini bildirmesini ve şüpheli işlem raporları (SAR) sunmasını zorunlu kılmaktadır. FinCEN, bu yükümlülükleri ABD'de faaliyet gösteren kripto para işletmelerine de genişletmiştir.

PCI DSS 4.0: Ödeme Veri Güvenliğinin Temeli

Çoğu çevrimiçi işletme, diğer düzenlemelerden önce PCI DSS'ye uyum sağladı. 4.0 sürümü 2022'de tamamlandı ve Nisan 2025'ten itibaren tam olarak yürürlüğe girdi; bu da satıcıların ve ödeme sağlayıcılarının bilmesi gereken önemli değişiklikler getirdi.

Uyumluluk düzeyi yıllık kart işlem hacmine bağlıdır:

• Seviye 1 : Yılda 6 milyondan fazla işlem — Nitelikli Güvenlik Değerlendiricisi (QSA) tarafından yıllık yerinde denetim.
• Seviye 2 : Yıllık 1-6 milyon işlem — yıllık Öz Değerlendirme Anketi (SAQ) artı üç aylık ağ taramaları
• Seviye 3 : Yıllık 20.000–1 milyon e-ticaret işlemi — SAQ artı üç aylık taramalar
• Seviye 4 : Yıllık 20.000'den az e-ticaret işlemi — SAQ tarafından önerilir

4.0 sürümü ile 3.2.1 sürümü arasında neler değişti:

• Özelleştirilmiş yaklaşım : Şirketler artık, katı teknik şartnamelere harfiyen uymak yerine, bir gerekliliğin amacına uygun alternatif kontroller uygulayabilirler.
• Zorunlu Çok Faktörlü Kimlik Doğrulama : Kart sahibi verilerine erişimin tamamı için artık çok faktörlü kimlik doğrulama gereklidir, sadece uzaktan erişim oturumları için değil.
• Kimlik avı ve sosyal mühendislik eğitimi : Hedefli farkındalık eğitimi, bir tavsiye değil, resmi bir zorunluluktur.
• Daha güçlü şifreler : minimum 12 karakter (8 karakterden yükseltildi), yüksek yetkili hesaplar için 90 günde bir otomatik değiştirme özelliği.

PCI DSS'yi göz ardı etmenin maliyeti çok ağırdır. Heartland Payment Systems 2008'de bir güvenlik ihlali yaşadığında, toplam kayıplar 200 milyon doları aştı. Hisse senedi birkaç gün içinde %50 düştü ve toparlanmadan önce değerinin %77'sini kaybetti. Küçük işletmeler genellikle bu tür durumları atlatamaz.

AML ve KYC: Mali Suçları Kaynağında Tespit Etme

AML uyumluluğu, finansal suçların platformunuzdan geçmeden önce yakalanmasını sağlayan sistemler kurmak anlamına gelir. KYC (kimlik doğrulama katmanı), bu izlemeyi mümkün kılan şeydir.

AML uyumluluğunun gerçekte gerektirdiği şeyler:

• İşlem izleme : Olağandışı kalıpları işaretleyen otomatik sistemler — büyük transferler, hızlı fon hareketleri, yapılandırma (raporlama eşiklerinin altında kalmak için işlemleri bölme).
• Şüpheli Faaliyet Bildirimi (SAR) sunumu : Şüpheli bir faaliyet ortaya çıktığında, belirtilen süreler içinde ilgili makama Şüpheli Faaliyet Bildirimi sunulmalıdır.
• Yaptırım taraması : Her müşteri ve karşı taraf, OFAC, BM ve AB yaptırım listelerine karşı gerçek zamanlı olarak kontrol edilir.
• Müşteri durum tespiti (CDD) : Sadece bir kerelik bir kayıt kontrolü değil, sürekli risk profili incelemesi.
• Gelişmiş durum tespiti (EDD) : Yüksek riskli müşteriler için daha derinlemesine inceleme — siyasi olarak etkili kişiler (PEP'ler) ve yüksek riskli yargı bölgelerinden gelen herkes.

Yeni müşteri kabul sürecinde KYC (Müşterini Tanı) genellikle belge doğrulama (resmi kimlik, adres kanıtı) ve canlılık kontrolü anlamına gelir. eKYC çözümleri artık yapay zeka kullanarak bunu saniyeler içinde hallediyor; büyük ölçekli işletme kabul süreçleri için bu standart haline geldi.

FATF Seyahat Kuralı, kripto paralara özgü bir katman ekliyor: sanal varlık hizmet sağlayıcıları, 1.000 doların üzerindeki transferlerde gönderici ve alıcı bilgilerini toplamalı ve iletmelidir. Tam eşik, yargı yetkisine göre biraz değişmekle birlikte, bu yükümlülük transferin Bitcoin, stablecoin veya başka herhangi bir dijital varlık olup olmadığına bakılmaksızın geçerlidir.

PSD2, SCA ve Açık Bankacılık Gereksinimleri

PSD2, AB genelindeki ödeme hizmeti sağlayıcıları için kimlik doğrulama yöntemlerini yeniden şekillendirdi. Temel görevi olan Güçlü Müşteri Kimlik Doğrulaması, artık Avrupa Ekonomik Alanı'nda faaliyet gösteren tüm ödeme hizmetleri için standart haline geldi.

SCA, en az üç bağımsız faktörden ikisini kullanarak kimlik doğrulaması yapılmasını gerektirir:

• Bildiğiniz bir şey : parola, PIN, güvenlik sorusu
• Sahip olduğunuz bir şey : cep telefonu, donanım belirteci, akıllı kart
• Sizin kimliğinizi ortaya koyan unsurlar : parmak izi, yüz tanıma, ses kalıbı.

3D Secure 2.0, kartın fiziksel olarak mevcut olmadığı işlemlerde Güçlü Müşteri Kimlik Doğrulamasını (SCA) uygulamak için kullanılan ana teknik standarttır. Tüccar, kart ağı ve ihraç eden banka arasında risk sinyallerini ileterek düşük riskli işlemlerin sorunsuz bir şekilde gerçekleşmesini sağlar.

SCA muafiyetleri gereksiz sürtüşmeleri azaltmak için mevcuttur:

PSD2 ayrıca açık bankacılığı da zorunlu kılıyor. Bankalar, müşteri onayıyla, lisanslı üçüncü taraf sağlayıcılara API'ler aracılığıyla müşteri hesap verilerine erişim izni vermek zorundadır. Bu erişim kurallarına uyum, lisanslamanın bir koşuludur; isteğe bağlı değildir.

Kripto ve Dijital Varlık Alanında Ödeme Uyumluluğu

Çoğu ödeme uyumluluk kılavuzu, kart ödemeleri ve banka havaleleriyle sınırlı kalıyor. Bu gerçek bir eksiklik. Kripto para tüccarları, ödeme ağ geçitleri ve dijital varlık işletmeleri, AML/KYC düzenlemelerinin tüm ağırlığını ve bunun üzerine giderek artan kripto paraya özgü kuralları taşımak zorunda kalıyor.

Sanal Varlık Hizmet Sağlayıcıları (VASP'ler) - kripto para borsaları, cüzdanlar, ödeme ağ geçitleri - FATF kılavuzuna göre kara para aklama ile mücadele (AML) amaçları doğrultusunda finansal kurumlar olarak kabul edilir. Pratikte bu şu anlama gelir:

• Müşteri kabul sürecinde tam KYC (Müşterini Tanı), devam eden işlem takibi ve Şüpheli İşlem Bildirimi (SAR) yükümlülükleri
• FATF Seyahat Kuralı : 1.000 doların üzerindeki transferlerde gönderenin adı, gönderen hesap numarası ve alıcı bilgilerinin işlemle birlikte iletilmesi gerekmektedir.
• ABD merkezli kripto para işletmelerinin FinCEN'e Para Hizmetleri İşletmesi olarak kayıt olması
• 2024'ten beri yürürlükte olan AB MiCA (Kripto Varlık Piyasaları Yönetmeliği) kapsamında lisanslama, stablecoin ihraççıları ve kripto hizmet sağlayıcıları için rezerv gereksinimlerini, tüketici koruma kurallarını ve açıklama yükümlülüklerini kapsamaktadır.

Pratik zorluk, uyumluluğun her biri farklı ödeme kesinliğine ve izlenebilirliğe sahip yüzlerce varlık ve blok zincirinde işlev görmesi gerektiğidir. Bunu sıfırdan inşa etmek pahalı ve yavaştır.

Plisio, uyumluluk süreçlerini ödeme geçidi seviyesinde yöneterek 200'den fazla kripto para birimini desteklerken, kara para aklama karşıtı (AML) uyumlu işlem izleme ve müşteri tanıma (KYC) dostu satıcı kayıt işlemlerini de sağlar. Kendi uyumluluk altyapılarını kurmak istemeyen e-ticaret işletmeleri için, bu düzenleyici karmaşıklığı ortadan kaldıran bir ödeme geçidi seçmek pratik bir yoldur.

Ödeme Uyumluluğu İş Akışı Nasıl Oluşturulur?

Uyumluluk, açıp kapatabileceğiniz bir araç değil. Sürekli devam eden bir süreçtir ve tek seferlik bir proje olarak ele alındığında aksamaya uğrar.

1. Ortamınızı belirleyin — Ödeme verilerine erişen her sistemi haritalandırın: ödeme sayfaları, işlemciler, veritabanları, üçüncü taraf entegrasyonları. PCI DSS yalnızca kapsam dahilinde olanları kapsar ve çoğu ihlal, kapsam dahilinde olmayan köşelerde gerçekleşir.
2. Uyumluluk açığı analizi yapın — Mevcut kontrolleri PCI DSS, AML/KYC gereklilikleri ve GDPR (veya CCPA) ile karşılaştırın. Sadece mevcut olanları değil, eksik olanları da yazın.
3. Teknik kontrolleri uygulayın — Tokenizasyon, kart numaralarını hassas olmayan tokenlarla değiştirir; şifreleme, iletim halindeki ve depolanan verileri kapsar. Bu iki adım tek başına PCI DSS kapsamının büyük bir kısmını ortadan kaldırır.
4. İşlem izleme sistemini kurun — Otomatik sistemler, şüpheli işlemleri gerçek zamanlı olarak işaretlemelidir. Canlıya geçmeden önce, uyarı kurallarını tanımlayın, kuyrukları ve yükseltme yollarını gözden geçirin, sonrasında değil.
5. Personeli eğitin — Sosyal mühendislik ve kimlik avı, teknik arızalardan daha fazla güvenlik ihlaline neden olur. PCI DSS 4.0 artık hedefli güvenlik farkındalığı eğitimini zorunlu kılıyor; bunu gerçek bir kontrol olarak ele alın.
6. Her şeyi belgeleyin — Politikalar, prosedürler, denetim kayıtları, olay müdahale planları. Düzenleyici kurumlar, yalnızca işleyen sistemler değil, niyet ve yeteneğinizin de kanıtı olarak belgelemeyi istiyor.
7. Düzenli denetimler planlayın — Yıllık PCI DSS değerlendirmeleri, üç aylık ağ taramaları ve devam eden AML programı incelemeleri. Aktif bakım yapılmadığı takdirde uyumlulukta sapmalar meydana gelir.
8. Uyumlu ödeme ortakları seçin — İşlemci, ağ geçidi ve bankacılık ortaklarınız ortak sorumluluk taşır. Altyapı düzeyinde PCI DSS'yi ele alan bir ortak, sorumluluk alanınızı önemli ölçüde daraltır.

E-ticaret için Ödeme Uyumluluğu En İyi Uygulamaları

Ödeme uyumluluk programınız çalışmaya başladıktan sonra, bu uygulamalar programın sessizce çökmesini önler:

• PCI DSS Seviye 1 sertifikalı bir ağ geçidi kullanın — bu, kart sahibi verilerinin işlenmesini sağlayıcıya devrederek PCI DSS kapsamınızı genellikle SAQ A seviyesine düşürür.
• 3D Secure 2.0'ı etkinleştirin — kartın fiziksel olarak mevcut olmadığı işlemlerde sahtekarlık riskini azaltır ve AB SCA gereksinimlerini karşılar.
• Her şeyi tokenleştirin — giriş noktasında kart numaralarını tokenlerle değiştirin; ham kart sahibi verileri asla sistemlerinizde kalmamalıdır.
• Cihaz parmak izi ve IP coğrafi konum belirleme özelliğini kullanın — ödeme sürecini zorlaştırmadan davranışsal verilerden dolandırıcılık önleme sinyalleri oluşturun.
• Veri minimizasyonunu uygulayın — GDPR kapsamında, yalnızca ihtiyaç duyduğunuz verileri toplayın, yalnızca gerektiği kadar saklayın ve planlanan zamanda silin.
• Ödeme işlemlerini etkinleştirmeden önce satıcıları doğrulayın — bir pazar yeri veya platformda, uyumluluk süreci alt satıcıları da kapsar.
• Bir olay müdahale planı oluşturun ve sürdürün — GDPR, ihlal bildiriminin düzenleyici kurumlara 72 saat içinde yapılmasını gerektirir; ABD'deki çoğu eyalet 30 gün süre tanır. Test edilmemiş bir plan sadece bir belgeden ibarettir.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.