Giriş: Ödeme Sistemlerinde Dönüşüm ve Hukuki Boyut
Türkiye'de dijital dönüşümün hız kazanmasıyla birlikte, işletmelerin ödeme kabul yöntemleri de çeşitlenmiştir. Geleneksel fiziksel POS (Point of Sale) cihazlarının yanı sıra, e-ticaretin yükselişiyle sanal POS sistemleri yaygınlaşmıştır. Ancak bu iki ödeme yöntemi arasında yalnızca teknik farklar değil, aynı zamanda önemli hukuki farklar da bulunmaktadır. payments.tr olarak, bağımsız bir bilgi platformu olarak, bu rehberde sanal POS ile fiziksel POS arasındaki hukuki farkları, Türkiye'ye özgü regülatör referanslarıyla (BDDK, TCMB) ele alıyoruz. Amacımız, KOBİ'lerden büyük işletmelere kadar tüm kullanıcıların bu farkları anlayarak bilinçli kararlar almasına yardımcı olmaktır.
1. Lisanslama ve Düzenleyici Çerçeve
1.1. BDDK ve TCMB Düzenlemeleri
Fiziksel POS cihazları, Türkiye'de Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) tarafından belirlenen bankacılık mevzuatına tabidir. Fiziksel POS hizmeti sunmak için bir banka veya yetkili bir ödeme kuruluşu olmak zorunludur. Ayrıca, Türkiye Cumhuriyet Merkez Bankası (TCMB) tarafından yayımlanan "Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik" kapsamında fiziksel POS işlemleri düzenlenir.
Sanal POS ise, e-ticaret işlemleri için kullanılan ve genellikle bir ödeme hizmeti sağlayıcısı (ÖHS) veya banka aracılığıyla sunulan bir hizmettir. 6493 sayılı "Ödeme ve Menkul Kıymet Mutabakat Sistemi, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun" çerçevesinde, sanal POS hizmeti sunan kuruluşların BDDK'dan faaliyet izni alması gerekmektedir. Ancak, bazı durumlarda bankalar kendi sanal POS altyapılarını sunarken, bağımsız ödeme kuruluşları da lisans alarak bu hizmeti verebilir.
| Özellik | Fiziksel POS | Sanal POS |
|---|---|---|
| Düzenleyici Kurum | BDDK, TCMB | BDDK, TCMB (6493 sayılı Kanun) |
| Lisans Türü | Banka veya yetkili ödeme kuruluşu lisansı | Ödeme hizmeti sağlayıcısı lisansı (bankalar için ayrı) |
| Fiziksel Varlık | Cihaz bazlı (donanım) | Yazılım bazlı (API/entegrasyon) |
1.2. Sözleşme Yükümlülükleri
Fiziksel POS kullanımı için işletmelerle bankalar arasında yapılan sözleşmeler, genellikle standart bankacılık sözleşmeleridir. Bu sözleşmelerde, işletmenin POS cihazını yalnızca belirtilen fiziksel lokasyonda kullanma zorunluluğu, cihazın güvenliği ve iade süreçleri gibi maddeler bulunur.
Sanal POS sözleşmeleri ise daha karmaşıktır. Bu sözleşmelerde, işletmenin web sitesinin güvenlik standartları (SSL sertifikası, PCI DSS uyumluluğu), veri gizliliği, 3D Secure kullanımı gibi teknik ve hukuki yükümlülükler detaylandırılır. Ayrıca, sanal POS sözleşmelerinde, işlemin gerçekleştiği anki IP adresi, cihaz bilgileri gibi verilerin saklanması ve paylaşılmasına ilişkin hükümler bulunur.
2. Veri Güvenliği ve Gizlilik Yükümlülükleri
2.1. Fiziksel POS'ta Veri Güvenliği
Fiziksel POS cihazları, donanım tabanlı olduğu için veri güvenliği genellikle cihazın fiziksel güvenliğine dayanır. Ancak, günümüzde fiziksel POS cihazları da EMV (Europay, Mastercard, Visa) çip teknolojisi ve PCI PTS (Payment Card Industry Pin Transaction Security) standartlarına uygun olarak üretilir. Bu cihazlarda, kart verileri şifrelenerek işlenir ve cihazın çalınması durumunda veri sızıntısı riski düşüktür.
2.2. Sanal POS'ta Veri Güvenliği
Sanal POS sistemlerinde veri güvenliği çok daha kritiktir. Çünkü kart sahibi verileri internet üzerinden iletilir. Bu nedenle, sanal POS hizmeti sunan kuruluşların PCI DSS (Payment Card Industry Data Security Standard) uyumluluğu zorunludur. Ayrıca, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, işletmeler müşteri verilerini korumakla yükümlüdür. Sanal POS işlemlerinde, kart bilgilerinin işletme tarafından saklanmaması (tokenizasyon) ve 3D Secure doğrulama gibi ek güvenlik katmanları yasal zorunluluk haline gelmiştir.
payments.tr olarak hatırlatıyoruz: Sanal POS kullanırken, ödeme hizmeti sağlayıcınızın PCI DSS ve KVKK uyumluluğunu kontrol etmek, hem yasal yükümlülüklerinizi yerine getirmenizi sağlar hem de müşteri güvenini artırır.
3. Sorumluluk ve İade Süreçleri
3.1. Yetkisiz İşlem ve Chargeback Sorumluluğu
Fiziksel POS işlemlerinde, kart sahibinin fiziksel olarak kartını kullanması ve PIN girmesi nedeniyle yetkisiz işlem riski daha düşüktür. Ancak, kartın çalınması veya kopyalanması durumunda, sorumluluk genellikle bankaya veya kart sahibine aittir. Fiziksel POS'ta chargeback (ters ibraz) süreçleri daha az yaygındır ve genellikle ürün iadesi veya hizmet memnuniyetsizliği durumlarında ortaya çıkar.
Sanal POS işlemlerinde ise yetkisiz işlem riski daha yüksektir. 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında, tüketiciler mesafeli satış sözleşmelerinde 14 gün içinde cayma hakkına sahiptir. Bu durumda, işletme chargeback riskiyle karşı karşıya kalır. Sanal POS sözleşmelerinde, chargeback durumunda sorumluluğun işletmeye ait olduğu maddeler sıkça yer alır. Ayrıca, 3D Secure kullanılmaması durumunda, yetkisiz işlemlerde sorumluluk tamamen işletmeye geçebilir.
3.2. İade ve İptal Prosedürleri
Fiziksel POS'ta iade işlemleri, genellikle cihaz üzerinden yapılır ve anında gerçekleşir. Banka, işletmeye iade tutarını yansıtır ve süreç hızlıdır.
Sanal POS'ta iade işlemleri daha karmaşıktır. İade, genellikle ödeme hizmeti sağlayıcısının paneli üzerinden yapılır ve bankalar arası mutabakat süreci nedeniyle 3-5 iş günü sürebilir. Ayrıca, kısmi iadeler, iptal edilen siparişler ve başarısız işlemler gibi durumlar için ayrı prosedürler uygulanır. Bu nedenle, e-ticaret işletmelerinin iade politikalarını net bir şekilde belirlemesi ve sözleşmelerde bu süreçleri tanımlaması hukuki açıdan önemlidir.
4. KOBİ'ler İçin Pratik Hukuki Tavsiyeler
4.1. Hangi POS Türünü Seçmelisiniz?
KOBİ'ler için POS seçimi, iş modeline bağlıdır. Fiziksel mağaza işleten işletmeler için fiziksel POS zorunludur. Ancak, e-ticaret yapan işletmeler için sanal POS vazgeçilmezdir. Hibrit iş modellerinde (hem fiziksel mağaza hem online satış) her iki POS türünü de kullanmak gerekir. payments.tr olarak önerimiz, her iki POS türü için ayrı sözleşmeler yapmak ve yükümlülükleri netleşt
