Fintech Şirketlerinin KVKK Yükümlülükleri Nelerdir?

Finansal teknoloji şirketleri; ödeme işlemleri, elektronik para, dijital cüzdan, açık bankacılık, para transferi, sanal POS, finansal analiz, yatırım teknolojileri ve benzeri hizmetler nedeniyle çok sayıda kişisel veriyi sürekli olarak işlemektedir. Müşterinin kimlik bilgilerinden ödeme geçmişine, IP adresinden cihaz bilgilerine, konum verilerinden işlem alışkanlıklarına kadar uzanan bu veri setleri, fintech şirketlerinin faaliyetlerinin temel unsurlarından birini oluşturmaktadır.

Bu nedenle bir fintech şirketinin hukuki uyumu yalnızca TCMB, SPK, BDDK, MASAK veya diğer finansal düzenlemelere uyumdan ibaret değildir. Gerçek kişilere ilişkin verilerin işlendiği bütün süreçlerde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) hükümlerinin de dikkate alınması gerekir.

Özellikle ödeme ve elektronik para sektörüne ilişkin veri işleme faaliyetlerinin önemi nedeniyle Kişisel Verileri Koruma Kurumu tarafından sektör özelinde “Ödeme ve Elektronik Para Sektöründe Kişisel Verilerin Korunmasına İlişkin İyi Uygulamalar Rehberi” yayımlanmış; rehberde veri sorumlusu ve veri işleyen ayrımı, kişisel veri işleme şartları, veri aktarımı, veri güvenliği ve veri sorumlusunun yükümlülükleri ayrı ayrı ele alınmıştır.

Bu yazıda fintech şirketlerinin KVKK yükümlülükleri, ödeme kuruluşlarında KVKK uyumu, elektronik para kuruluşlarında kişisel verilerin korunması, finansal verilerin işlenmesi, açık rıza, yurt dışına veri aktarımı, VERBİS, veri ihlali ve veri güvenliği konuları ayrıntılı olarak ele alınmaktadır.

Fintech Şirketleri KVKK’ya Tabi midir?

Evet.

Türkiye’de faaliyet gösteren bir fintech şirketi gerçek kişilere ilişkin kişisel verileri işliyorsa, kural olarak 6698 sayılı Kanunun ilgili hükümlerine tabidir.

Üstelik kişisel veri işlemek yalnızca bir verinin şirket veri tabanına kaydedilmesi anlamına gelmez.

Bir kişinin verilerinin;

• elde edilmesi,
• kaydedilmesi,
• saklanması,
• değiştirilmesi,
• sınıflandırılması,
• görüntülenmesi,
• başka sistemlere aktarılması,
• üçüncü kişilerle paylaşılması,
• analiz edilmesi veya
• silinmesi

gibi veriler üzerinde gerçekleştirilen işlemler KVKK kapsamında kişisel veri işleme faaliyeti oluşturabilir. KVKK kapsamında kişisel verilerin işlenebilmesi için Kanunda sınırlı olarak sayılan hukuka uygunluk şartlarından birinin bulunması gerekir.

Bu nedenle bir fintech şirketinin KVKK uyumu yalnızca internet sitesine “KVKK Aydınlatma Metni” eklemekten ibaret değildir.

Asıl önemli olan şirketin bütün veri akışının hukuka uygun hâle getirilmesidir.

Fintech Şirketleri Hangi Kişisel Verileri İşleyebilir?

Fintech şirketlerinin işlediği veriler iş modeline göre değişmektedir.

Ödeme veya elektronik para kuruluşu örneğinde şirketler;

• ad ve soyadı,
• T.C. kimlik numarası,
• doğum tarihi,
• telefon numarası,
• e-posta adresi,
• adres bilgisi,
• banka hesap bilgileri,
• IBAN,
• ödeme ve transfer bilgileri,
• işlem geçmişi,
• müşteri numarası,
• IP adresi,
• cihaz bilgileri,
• oturum kayıtları,
• işlem zamanı,
• işlem yapılan işyeri bilgileri,
• kimlik doğrulama verileri,
• müşteri hizmetleri görüşme kayıtları

gibi çok sayıda veriyi işleyebilir.

Özellikle mobil uygulamalar üzerinden faaliyet gösteren fintech şirketlerinde veri işleme faaliyetleri klasik finans kuruluşlarına kıyasla daha geniş bir dijital iz oluşturabilir.

Bu nedenle şirketin ilk olarak hangi veriyi, hangi sistemde, hangi amaçla ve hangi hukuki sebebe dayanarak işlediğini belirlemesi gerekir.

Finansal Veriler Özel Nitelikli Kişisel Veri midir?

Her finansal veri, KVKK anlamında özel nitelikli kişisel veri değildir.

6698 sayılı Kanunda özel nitelikli kişisel veriler sınırlı şekilde sayılmıştır. Bunlar arasında ırk, etnik köken, siyasi düşünce, din, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler gibi veri kategorileri bulunmaktadır. Finansal bilgiler bu liste içerisinde ayrıca özel nitelikli kişisel veri olarak sayılmamıştır.

Bununla birlikte banka hesap bilgileri, ödeme hareketleri, kredi bilgileri veya işlem geçmişleri kişilerin ekonomik hayatı hakkında son derece ayrıntılı bilgiler içerebildiğinden güvenlik ve mahremiyet bakımından yüksek risk taşıyabilir.

Dolayısıyla bir verinin teknik olarak “özel nitelikli kişisel veri” olmaması, şirketin bu veriyi sınırsız şekilde işleyebileceği veya paylaşabileceği anlamına gelmez.

Biyometrik Kimlik Doğrulama Kullanılıyorsa Ne Olur?

Fintech uygulamalarında uzaktan müşteri edinimi sırasında yüz tanıma, canlılık kontrolü ve benzeri teknolojiler kullanılabilmektedir.

Biyometrik veriler KVKK kapsamında özel nitelikli kişisel veri kategorisindedir. Özel nitelikli kişisel verilerin işlenmesi Kanunun 6. maddesinde yer alan özel işleme şartlarına tabidir. 2024 yılında yapılan kanun değişiklikleriyle özel nitelikli kişisel verilerin işlenmesine ilişkin hukuki sebepler önemli ölçüde yeniden düzenlenmiştir.

Bu nedenle müşteri tanıma sisteminde yüz görüntüsünün alınması ile bu görüntünün kişiyi benzersiz biçimde tanımlamaya yarayan biyometrik veriye dönüştürülmesi birbirinden ayrılarak değerlendirilmelidir.

Fintech Şirketlerinde Veri Sorumlusu Kimdir?

KVKK bakımından veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen kişidir.

Fintech şirketi;

hangi müşteriden hangi verilerin alınacağını, verilerin hangi amaçlarla işleneceğini, ne kadar süre saklanacağını ve kimlere aktarılacağını belirliyorsa kural olarak ilgili işlemler bakımından veri sorumlusu olacaktır.

Buna karşılık şirket adına yalnızca teknik hizmet sunan bir bulut sağlayıcı, çağrı merkezi, yazılım şirketi veya benzeri hizmet sağlayıcı belirli ilişkilerde veri işleyen sıfatıyla hareket edebilir.

Ancak tarafların sözleşmede kendilerini “veri işleyen” olarak isimlendirmesi tek başına yeterli değildir. Veri sorumlusu ile veri işleyenin belirlenmesinde kişisel veri işleme faaliyetinin amaç ve araçlarını gerçekte kimin belirlediği dikkate alınmaktadır.

Bu ayrım fintech sektöründe özellikle;

• banka-fintech iş birliklerinde,
• ödeme kuruluşu-işyeri ilişkilerinde,
• fintech-bulut hizmet sağlayıcısı ilişkilerinde,
• grup şirketleri arasında,
• dış hizmet sağlayıcılarında

önem taşımaktadır.

Her Kişisel Veri İçin Açık Rıza Almak Gerekir mi?

Hayır.

KVKK uygulamasında en sık yapılan hatalardan biri, bütün kişisel veri işleme faaliyetlerinin açık rızaya bağlanmasıdır.

6698 sayılı Kanunun 5. maddesinde açık rıza dışında da kişisel veri işlenmesine imkân veren hukuki sebepler bulunmaktadır.

Örneğin veri işlemenin;

• kanunlarda açıkça öngörülmesi,
• sözleşmenin kurulması veya ifası için gerekli olması,
• veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması,
• bir hakkın tesisi, kullanılması veya korunması için gerekli olması,
• ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması

hâllerinde koşullarına göre açık rıza alınmaksızın veri işlenmesi mümkün olabilir.

Örneğin müşterinin ödeme talimatının gerçekleştirilmesi amacıyla işlem bilgilerinin işlenmesi, sözleşmenin ifası kapsamında değerlendirilebilecek veri işleme faaliyetlerinden biri olabilir.

Bu nedenle fintech şirketinin doğru yaklaşımı;

“Her müşteriden toplu açık rıza alalım.”

değil;

“Her bir veri işleme faaliyeti için hangi hukuki sebep geçerli?”

sorusunu cevaplandırmak olmalıdır.

Aydınlatma Metni ile Açık Rıza Metni Aynı Belge Olabilir mi?

Fintech şirketleri açısından 2026 yılında özellikle dikkat edilmesi gereken konulardan biri budur.

Kişisel Verileri Koruma Kurulu, 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı ile aydınlatma ve açık rıza süreçlerinin birbirinden ayrılması gerektiğini yeniden ve açık şekilde ortaya koymuştur.

Kurul; aydınlatma metni ile açık rıza metninin iç içe geçirilmesini, aydınlatma yapıldığına ilişkin kullanıcıdan onay veya rıza istenmesini ve başka veri sorumlularının metinlerinin şirketin kendi süreçlerine uyarlanmadan kullanılmasını sorunlu uygulamalar arasında göstermiştir.

Dolayısıyla mobil uygulamada;

“KVKK Aydınlatma Metni’ni okudum, kabul ediyorum ve kişisel verilerimin işlenmesine izin veriyorum.”

şeklinde tek bir kutucuğun kullanılması her durumda doğru bir yapı değildir.

Aydınlatma yükümlülüğü ile açık rıza alınması gereken veri işleme faaliyetlerinin ayrı süreçler hâlinde tasarlanması gerekir.

Fintech Şirketinin Aydınlatma Metninde Neler Bulunmalıdır?

KVKK’nın 10. maddesi kapsamında kişisel verilerin elde edildiği sırada ilgili kişiye belirli bilgilerin verilmesi gerekir.

Aydınlatma kapsamında esas olarak;

• veri sorumlusunun ve varsa temsilcisinin kimliği,
• kişisel verilerin hangi amaçlarla işlendiği,
• verilerin kimlere ve hangi amaçlarla aktarılabileceği,
• kişisel veri toplamanın yöntemi,
• kişisel veri işlemenin hukuki sebebi,
• ilgili kişinin KVKK kapsamındaki hakları

açıklanmalıdır.

Fintech şirketinin aydınlatma metninin kendi gerçek veri işleme faaliyetlerine uygun olması gerekir.

Örneğin şirket gerçekte;

• dolandırıcılık önleme,
• kimlik doğrulama,
• yaptırım kontrolleri,
• MASAK yükümlülükleri,
• işlem güvenliği,
• müşteri hizmetleri,
• pazarlama,
• davranış analizi

amaçlarıyla veri işliyorsa bu süreçlerin hukuki dayanakları ayrıca değerlendirilmelidir.

“Verileriniz mevzuata uygun olarak işlenmektedir.” şeklindeki genel ifadeler tek başına yeterli değildir.

Kişisel Verileri Koruma Kurulunun 2026 tarihli kararlarında da aydınlatma kapsamında amaçların belirli, açık ve meşru şekilde ifade edilmesi ve veri işleme hukuki sebebinin açıkça belirtilmesi gerektiği vurgulanmaktadır.

Fintech Şirketlerinde Müşteri Profillemesi KVKK’ya Uygun mudur?

Fintech şirketleri kullanıcı davranışlarından önemli miktarda veri elde edebilir.

Örneğin;

müşterinin hangi saatlerde işlem yaptığı, hangi işyerlerinden alışveriş yaptığı, ne kadar para transfer ettiği, hangi cihazları kullandığı veya hangi finansal ürünlerle ilgilendiği analiz edilebilir.

Bu veriler;

• dolandırıcılık tespiti,
• risk analizi,
• müşteri deneyimi,
• ürün geliştirme,
• pazarlama veya
• kişiselleştirilmiş teklif

amacıyla kullanılabilir.

Ancak bir verinin şirketin elinde bulunması, verinin istenilen bütün amaçlarla kullanılabileceği anlamına gelmez.

Her yeni kullanım amacı bakımından;

işleme amacı + hukuki sebep + ölçülülük + saklama süresi + aktarım

analizi yapılmalıdır.

Örneğin ödeme işleminin gerçekleştirilmesi için alınan işlem verisinin daha sonra davranışsal reklamcılık amacıyla kullanılması farklı bir veri işleme faaliyeti olabilir ve ayrıca hukuki değerlendirme gerektirebilir.

Fintech Şirketlerinde Pazarlama İçin Açık Rıza Gerekir mi?

Pazarlama faaliyetlerinde KVKK ile elektronik ticari ileti mevzuatı birlikte değerlendirilmelidir.

Müşteri bilgilerinin yalnızca sözleşmenin yürütülmesi amacıyla alınmış olması, bu verilerin otomatik olarak her türlü reklam ve pazarlama amacıyla kullanılabileceği anlamına gelmez.

Özellikle farklı bir veri işleme şartı bulunmadığında kişisel verilerin reklam ve pazarlama amacıyla işlenmesi bakımından uygun hukuki sebebin belirlenmesi gerekir.

Kişisel Verileri Koruma Kurumu 2026 yılında üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama amacıyla kullanılmasına ilişkin açıklamasında da aydınlatma ile açık rıza işlemlerinin birbirinden ayrı yürütülmesi gerektiğini vurgulamıştır.

Bu nedenle fintech şirketinin;

hizmet sözleşmesi onayı + KVKK aydınlatması + pazarlama izni + ticari elektronik ileti onayı

süreçlerini tek bir zorunlu onay kutusunda toplamaması gerekir.

Fintech Şirketleri VERBİS’e Kayıt Olmak Zorunda mıdır?

Fintech şirketleri bakımından VERBİS yükümlülüğü şirketin özelliklerine göre değerlendirilmelidir.

2026 itibarıyla yürürlükte bulunan istisna sistemine göre ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişi veri sorumlularından;

yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olanlar

kural olarak VERBİS kayıt yükümlülüğünden istisna kapsamındadır. 2025 yılında yapılan düzenlemeyle ana faaliyet konusu özel nitelikli kişisel veri işleme olan bazı küçük ölçekli veri sorumluları bakımından da ayrıca istisna getirilmiştir.

Dolayısıyla fintech şirketinin çalışan sayısı veya mali bilanço toplamı belirtilen sınırları aşıyorsa VERBİS yükümlülüğü ayrıca değerlendirilmelidir.

Ancak önemli bir nokta vardır:

VERBİS’e kayıt yükümlülüğünden istisna olmak, KVKK’dan istisna olmak anlamına gelmez.

Şirket VERBİS’e kayıtlı olmasa dahi kişisel verilerin hukuka uygun işlenmesi, aydınlatma, veri güvenliği ve ilgili kişi hakları gibi KVKK yükümlülükleri devam eder.

Fintech Şirketleri Kişisel Veri İşleme Envanteri Hazırlamalı mıdır?

Fintech şirketleri açısından kişisel veri işleme envanteri yalnızca formalite olarak görülmemelidir.

Şirketin;

• hangi departmanın hangi veriyi işlediğini,
• verinin kimden toplandığını,
• hangi amaçla kullanıldığını,
• hukuki sebebini,
• kimlere aktarıldığını,
• yurt dışına gönderilip gönderilmediğini,
• hangi sistemde tutulduğunu,
• saklama süresini

gösteren ayrıntılı bir veri haritası oluşturması gerekir.

Özellikle ödeme ve elektronik para şirketlerinde veriler yazılım, fraud sistemi, CRM, muhasebe, ödeme altyapısı, çağrı merkezi, kimlik doğrulama ve bulut altyapısı arasında hareket edebildiğinden veri envanteri önemli bir uyum aracıdır.

Fintech Şirketlerinde Kişisel Veriler Ne Kadar Süre Saklanabilir?

KVKK açısından temel ilke, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanmasıdır.

Bu nedenle bütün kişisel verilere tek bir saklama süresi uygulanması doğru değildir.

Örneğin;

• müşteri sözleşmeleri,
• ödeme işlem kayıtları,
• kimlik doğrulama kayıtları,
• muhasebe verileri,
• kamera kayıtları,
• çağrı merkezi kayıtları,
• iş başvurusu kayıtları,
• pazarlama verileri

farklı saklama sürelerine tabi olabilir.

Fintech şirketlerinin ayrıca 6493 sayılı Kanun, MASAK mevzuatı, Türk Ticaret Kanunu, Vergi Usul Kanunu ve diğer özel mevzuattan doğan saklama yükümlülüklerini de KVKK ile birlikte değerlendirmesi gerekir.

Saklama Süresi Dolunca Veriler Ne Yapılmalıdır?

Kişisel verilerin işlenmesini gerektiren hukuki sebepler ortadan kalktığında verilerin duruma göre silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.

VERBİS’e kayıtla yükümlü veri sorumlularının kişisel veri işleme envanterine uygun kişisel veri saklama ve imha politikası hazırlaması gerekmektedir.

Şirketin yalnızca uygulamadaki kullanıcı hesabını “pasif” hâle getirmesi, kişisel verilerin bütün yedeklerden ve sistemlerden hukuka uygun biçimde imha edildiği anlamına gelmeyebilir.

Fintech Şirketlerinde Yurt Dışına Veri Aktarımı Nasıl Yapılır?

Fintech şirketleri bakımından en önemli KVKK başlıklarından biri yurt dışına kişisel veri aktarımıdır.

Özellikle;

• yabancı bulut hizmetleri,
• global CRM sistemleri,
• fraud ve siber güvenlik servisleri,
• yabancı ana şirketler,
• grup şirketleri,
• yabancı yazılım sağlayıcıları,
• küresel müşteri destek sistemleri

nedeniyle kişisel verilerin yurt dışına aktarılması gündeme gelebilir.

KVKK’nın yurt dışına aktarım rejimi 2024 yılında önemli ölçüde değiştirilmiştir. Güncel sistemde yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara aktarım yanında uygun güvencelere dayalı aktarım yöntemleri ve belirli şartlarda arızi aktarım hâlleri düzenlenmektedir.

Standart Sözleşme ile Yurt Dışına Veri Aktarılabilir mi?

Evet.

Güncel sistem kapsamında Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşmeler, uygun güvence yöntemlerinden biri olarak kullanılabilmektedir.

Standart sözleşmeler;

• veri sorumlusundan veri sorumlusuna,
• veri sorumlusundan veri işleyene,
• veri işleyenden veri işleyene,
• veri işleyenden veri sorumlusuna

gibi farklı aktarım modelleri için düzenlenmiştir.

Standart sözleşmenin imzalanması ilave Kurul iznine ihtiyaç duyulmaksızın aktarım bakımından uygun güvence sağlayabilir; ancak mevzuatta öngörülen Kurula bildirim yükümlülüğünün de yerine getirilmesi gerekir.

Dolayısıyla fintech şirketinin AWS, Google Cloud, Microsoft, yabancı CRM veya başka bir uluslararası teknoloji sağlayıcısını kullanması hâlinde yalnızca hizmet sözleşmesinin imzalanması yeterli olmayabilir.

Öncelikle verinin gerçekte yurt dışına aktarılıp aktarılmadığının ve aktarılıyorsa KVKK m.9 kapsamında hangi mekanizmaya dayanılacağının belirlenmesi gerekir.

TCMB Mevzuatı ile KVKK Birlikte Değerlendirilmeli midir?

Ödeme ve elektronik para kuruluşlarında evet.

Ödeme ve elektronik para kuruluşları yalnızca KVKK’ya değil, aynı zamanda TCMB’nin bilgi sistemleri mevzuatına tabidir. TCMB’nin güncel ödeme sistemleri mevzuatı içerisinde ödeme ve elektronik para kuruluşlarının bilgi sistemleri ve ödeme hizmetlerindeki veri paylaşım servislerine ilişkin özel Tebliğ bulunmaktadır.

Dolayısıyla bir bulut veya dış hizmet sağlayıcısının KVKK bakımından kullanılabilir olması, TCMB mevzuatı bakımından da otomatik olarak uygun olduğu anlamına gelmez.

Nitekim TCMB, ödeme ve elektronik para kuruluşlarının bilgi sistemleri bağımsız denetimlerini ve topluluk bulutu kullanımlarını ayrıca gözetmektedir.

Bu nedenle ödeme veya elektronik para şirketlerinde;

KVKK + TCMB bilgi sistemleri düzenlemeleri + MASAK + siber güvenlik

yükümlülükleri birlikte değerlendirilmelidir.

Açık Bankacılıkta KVKK Neden Daha Önemlidir?

Açık bankacılık sistemlerinde müşterilerin farklı finans kuruluşlarındaki hesaplarına ilişkin veriler API’ler üzerinden paylaşılabilmektedir.

Bu nedenle;

• müşterinin kimliği,
• hesap bilgileri,
• işlem geçmişi,
• bakiye bilgisi,
• ödeme emirleri

birden fazla ödeme hizmeti sağlayıcısının sistemleri arasında hareket edebilir.

TCMB tarafından ödeme hizmetleri veri paylaşım servisleri açık bankacılık hizmetleri kapsamında düzenlenmiştir.

Bu yapılarda her kurumun veri sorumlusu veya veri işleyen statüsünün, verinin hangi hukuki sebeple paylaşıldığının ve API üzerinden erişilen verilerin hangi amaçlarla kullanılabileceğinin açık biçimde belirlenmesi gerekir.

Müşterinin bir finansal veriye erişim yetkisi vermesi, şirketin bu veriyi sınırsız biçimde pazarlama veya profilleme amacıyla kullanabileceği anlamına gelmez.

Fintech Şirketlerinde Veri Güvenliği Nasıl Sağlanmalıdır?

KVKK yalnızca hukuki metin hazırlanmasını değil, kişisel verilerin güvenliği için teknik ve idari tedbirlerin alınmasını da gerektirir.

Fintech şirketlerinde teknik tedbirlerin kapsamı iş modeline göre değişmekle birlikte özellikle;

• erişim yetkilerinin sınırlandırılması,
• çok faktörlü kimlik doğrulama,
• şifreleme,
• log kayıtları,
• yetkisiz erişim tespiti,
• güvenlik testleri,
• veri tabanı güvenliği,
• ağ güvenliği,
• yedekleme,
• iş sürekliliği,
• kullanıcı yetki yönetimi,
• sızma testleri,
• zararlı yazılım koruması,
• olay müdahale prosedürleri

gibi mekanizmaların değerlendirilmesi gerekir.

İdari tedbirler bakımından ise;

• KVKK politika ve prosedürleri,
• çalışan eğitimleri,
• gizlilik taahhütleri,
• yetki matrisi,
• tedarikçi kontrolleri,
• veri işleyen sözleşmeleri,
• saklama-imha politikası,
• veri ihlali müdahale planı

önem taşımaktadır.

Fintech Şirketi Veri İhlali Yaşarsa Ne Yapmalıdır?

Fintech şirketlerinde siber saldırı, yanlış e-posta gönderimi, yetkisiz personel erişimi, veri tabanı sızıntısı veya üçüncü taraf hizmet sağlayıcısındaki güvenlik açığı kişisel veri ihlaline neden olabilir.

Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı kapsamında veri sorumlusu, kişisel veri ihlalini öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirim yapmakla yükümlüdür.

İhlalden etkilenen kişilerin belirlenmesinden sonra ilgili kişilere de makul olan en kısa süre içerisinde uygun yöntemle bildirim yapılması gerekir.

Bu nedenle fintech şirketlerinin veri ihlali meydana geldikten sonra kimin karar vereceğinin tartışıldığı bir sistem yerine önceden hazırlanmış veri ihlali müdahale prosedürü oluşturması önemlidir.

Dış Hizmet Sağlayıcısındaki Veri İhlalinden Fintech Şirketi Sorumlu Olabilir mi?

Evet.

Fintech şirketinin kişisel verileri kendi adına işleyen bir hizmet sağlayıcıya aktarması, veri güvenliğine ilişkin bütün sorumluluğun hizmet sağlayıcıya geçtiği anlamına gelmez.

Örneğin müşteri verilerinin;

• bulut sağlayıcısında,
• çağrı merkezinde,
• KYC şirketinde,
• CRM platformunda,
• yazılım firmasının sistemlerinde

tutulması hâlinde veri sorumlusu fintech şirketinin ilgili hizmet sağlayıcının güvenlik ve uyum yeterliliğini değerlendirmesi gerekir.

Bu nedenle dış hizmet sözleşmelerinde;

• veri işleme amaçları,
• erişim sınırları,
• gizlilik,
• teknik güvenlik şartları,
• alt yükleniciler,
• veri ihlali bildirimi,
• verilerin iadesi veya silinmesi,
• yurt dışına aktarım

hükümlerinin açık biçimde düzenlenmesi önem taşır.

Fintech Şirketlerinde Çalışan Verileri de KVKK Kapsamında mıdır?

Evet.

KVKK uyumu yalnızca müşterileri kapsamaz.

Şirket;

• çalışanlar,
• çalışan adayları,
• stajyerler,
• danışmanlar,
• işyeri yetkilileri,
• tedarikçiler

gibi farklı gerçek kişilere ilişkin veriler de işleyebilir.

Örneğin çalışanların özlük dosyaları, maaş bilgileri, kamera kayıtları, performans değerlendirmeleri ve sağlık belgeleri farklı veri işleme amaçları ve hukuki sebeplere tabi olabilir.

Dolayısıyla fintech şirketinin yalnızca “müşteri KVKK metni” hazırlaması yeterli değildir.

Fintech Şirketlerinde Çerezler ve Mobil Uygulama Takip Teknolojileri

Web sitesi ve mobil uygulama üzerinden kullanılan çerezler, SDK’lar, reklam tanımlayıcıları ve analitik teknolojileri de kişisel veri işleme faaliyetine neden olabilir.

Özellikle;

• davranışsal reklamcılık,
• kullanıcı profilleme,
• reklam dönüşüm ölçümü,
• üçüncü taraf analiz araçları

kullanılıyorsa çerez ve mobil takip altyapısının KVKK bakımından ayrıca değerlendirilmesi gerekir.

Uygulamanın cihaz kimliği, IP adresi veya kullanıcı davranışlarını üçüncü taraf reklam ağlarına göndermesi, fintech şirketinin temel ödeme hizmetinden bağımsız yeni bir veri aktarımı oluşturabilir.

Bu nedenle pazarlama teknolojilerinin yazılım ekibi tarafından sisteme teknik olarak eklenmiş olması bunların otomatik şekilde hukuka uygun olduğu anlamına gelmez.

Kullanıcı Fintech Şirketinden Verilerini Talep Edebilir mi?

Evet.

KVKK kapsamında ilgili kişiler veri sorumlusuna başvurarak Kanunda düzenlenen haklarını kullanabilir.

Bu nedenle fintech şirketinin kullanıcıların KVKK başvurularını alabileceği ve mevzuattaki süreler içerisinde cevaplayabileceği bir sistem oluşturması gerekir.

Başvuru süreci yalnızca hukuk departmanında tutulmamalıdır.

Örneğin kullanıcının;

“Benim hakkımda hangi verileri tutuyorsunuz?”

sorusunun cevaplandırılabilmesi için hukuk, bilgi teknolojileri, operasyon, müşteri hizmetleri ve veri ekiplerinin birlikte çalışabileceği bir veri haritasının bulunması gerekir.

Fintech Şirketlerinde KVKK Uyum Süreci Nasıl Yürütülmelidir?

Sağlıklı bir fintech KVKK uyum projesi genel olarak şu şekilde yürütülebilir:

1. Veri akışları tespit edilir.
2. Veri sorumlusu ve veri işleyen rolleri belirlenir.
3. Kişisel veri işleme envanteri hazırlanır.
4. Her işleme faaliyeti için hukuki sebep tespit edilir.
5. Aydınlatma metinleri hazırlanır.
6. Gereken işlemler için ayrı açık rıza mekanizmaları oluşturulur.
7. VERBİS yükümlülüğü değerlendirilir.
8. Saklama ve imha süreleri belirlenir.
9. Yurt dışına veri aktarımları tespit edilir.
10. Standart sözleşme veya diğer aktarım mekanizmaları değerlendirilir.
11. Tedarikçi ve veri işleyen sözleşmeleri gözden geçirilir.
12. Teknik ve idari güvenlik tedbirleri uygulanır.
13. Veri ihlali müdahale prosedürü hazırlanır.
14. İlgili kişi başvuru sistemi oluşturulur.
15. Çalışanlara düzenli KVKK ve bilgi güvenliği eğitimi verilir.

Burada esas amaç yalnızca belge üretmek değil, şirketin gerçek veri işleme sisteminin KVKK’ya uygun hâle getirilmesidir.

Fintech Şirketlerinin KVKK Konusunda En Sık Yaptığı Hatalar

Fintech şirketlerinde sık karşılaşılan hatalar arasında şunlar bulunmaktadır:

• bütün veri işlemelerini tek bir açık rızaya bağlamak,
• aydınlatma ve açık rıza metinlerini aynı belgeye dönüştürmek,
• başka fintech şirketlerinin KVKK metinlerini kopyalamak,
• ödeme verilerini pazarlama amacıyla otomatik olarak kullanmak,
• yurt dışındaki bulut servislerine yapılan aktarımları tespit etmemek,
• mobil SDK ve analitik araçlarının veri aktarımlarını gözden kaçırmak,
• saklama süresi belirlemeksizin bütün verileri süresiz tutmak,
• yalnızca müşteri verilerini değerlendirip çalışan ve tedarikçi verilerini dikkate almamak,
• dış hizmet sağlayıcısının KVKK uyumunu denetlememek,
• TCMB bilgi sistemleri mevzuatı ile KVKK’yı birbirinden bağımsız değerlendirmek,
• veri ihlali meydana gelmeden önce 72 saatlik bildirim sürecine ilişkin prosedür oluşturmamak.

Özellikle Kişisel Verileri Koruma Kurulunun 2026 yılında aydınlatma ve açık rıza süreçlerinin ayrı düzenlenmesi gerektiğine ilişkin ilke kararı dikkate alındığında, geçmiş yıllarda hazırlanmış KVKK metinlerinin de güncel mevzuata göre yeniden gözden geçirilmesi önem taşımaktadır.

Sıkça Sorulan Sorular

Fintech şirketleri KVKK’ya tabi midir?

Gerçek kişilere ilişkin kişisel veri işleyen fintech şirketleri kural olarak KVKK hükümlerine tabidir.

Ödeme bilgileri özel nitelikli kişisel veri midir?

Finansal bilgiler KVKK’nın 6. maddesinde özel nitelikli kişisel veriler arasında ayrıca sayılmamıştır. Bununla birlikte finansal veriler yüksek mahremiyet ve güvenlik riski taşıdığından sıkı teknik ve idari tedbirlerle korunmalıdır.

Müşteriden her işlem için açık rıza almak gerekir mi?

Hayır. Kanunun 5. maddesinde açık rıza dışında çeşitli kişisel veri işleme şartları bulunmaktadır. Veri işleme faaliyetinin hangi hukuki sebebe dayandığı somut olay özelinde belirlenmelidir.

KVKK aydınlatma metni ile açık rıza aynı kutucukta alınabilir mi?

Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli İlke Kararı doğrultusunda aydınlatma ve açık rıza süreçlerinin ayrı şekilde yürütülmesi gerekir.

Fintech şirketleri yurt dışındaki bulut hizmetlerini kullanabilir mi?

Kullanılacak sistem bakımından KVKK m.9 kapsamındaki yurt dışına veri aktarımı şartlarının ve fintech şirketinin tabi olduğu TCMB veya diğer sektörel bilgi sistemleri düzenlemelerinin birlikte değerlendirilmesi gerekir.

Veri ihlali kaç saat içinde bildirilmelidir?

Kişisel Verileri Koruma Kurulunun mevcut uygulamasına göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirim yapmalıdır.

VERBİS kaydı olmayan fintech şirketi KVKK’dan muaf mıdır?

Hayır. VERBİS kayıt yükümlülüğünden istisna olmak, KVKK kapsamındaki diğer yükümlülüklerin uygulanmayacağı anlamına gelmez.

Sonuç: Fintech Şirketlerinde KVKK Uyumu Yazılım Tasarımının Bir Parçası Olmalıdır

Fintech şirketlerinin KVKK yükümlülükleri yalnızca aydınlatma metni veya gizlilik politikası hazırlanmasından ibaret değildir.

Fintech şirketinin;

hangi veriyi topladığı, hangi amaçla kullandığı, hangi hukuki sebebe dayandığı, hangi şirketlerle paylaştığı, veriyi Türkiye’de mi yoksa yurt dışında mı sakladığı, ne kadar süre tuttuğu ve nasıl koruduğu

bir bütün hâlinde değerlendirilmelidir.

Özellikle ödeme kuruluşları ve elektronik para kuruluşları bakımından KVKK yükümlülüklerinin 6493 sayılı Kanun, TCMB bilgi sistemleri düzenlemeleri, MASAK mevzuatı ve siber güvenlik yükümlülükleriyle birlikte ele alınması gerekir. TCMB’nin ödeme ve elektronik para kuruluşlarına ilişkin güncel mevzuatı da bilgi sistemleri ve veri paylaşım servislerini özel olarak düzenlemektedir.

Fintech şirketlerinde veri akışının çok sayıda API, bulut hizmeti, banka, işyeri, yazılım sağlayıcısı ve grup şirketi arasında gerçekleşebilmesi nedeniyle KVKK uyumunun ürün piyasaya çıktıktan sonra yapılması önemli teknik ve hukuki sorunlara yol açabilir.

Bu nedenle ödeme kuruluşu, elektronik para kuruluşu, dijital cüzdan, açık bankacılık veya diğer finansal teknoloji girişimlerinde KVKK uyumunun ürün ve yazılım mimarisi oluşturulurken başlaması; veri akışlarının, yurt dışı aktarımların, hukuki sebeplerin ve güvenlik tedbirlerinin faaliyete geçilmeden önce belirlenmesi önem taşımaktadır.