Fintech şirketlerinin faaliyetlerini tamamen kendi personeli ve kendi teknolojik altyapısı ile yürütmesi günümüzde çoğu zaman mümkün veya ekonomik değildir. Bulut bilişim, yazılım geliştirme, siber güvenlik, çağrı merkezi, kimlik doğrulama, dolandırıcılık önleme sistemleri, muhasebe, reklam ve müşteri destek hizmetleri gibi birçok faaliyette üçüncü taraf hizmet sağlayıcılardan yararlanılmaktadır.

Ancak ödeme ve elektronik para sektöründe dış hizmet alımı, sıradan bir teknoloji şirketinin tedarikçi kullanmasından farklı bir hukuki rejime tabidir. Özellikle ödeme kuruluşları ve elektronik para kuruluşları, faaliyetlerini Türkiye Cumhuriyet Merkez Bankasının (TCMB) düzenleme ve denetimi altında yürüttüklerinden, hangi faaliyetlerin dışarıdan alınabileceği ve dış hizmet sağlayıcılarla nasıl sözleşme yapılacağı mevzuatta ayrıntılı biçimde düzenlenmiştir.

Türkiye’de ödeme ve elektronik para kuruluşları bakımından dış hizmet alımının temel hukuki çerçevesini 6493 sayılı Kanun, Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik ve Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ oluşturmaktadır.

Bu nedenle fintech şirketlerinde dış hizmet alımı planlanırken yalnızca maliyet ve teknik yeterlilik değerlendirmesi yapılması yeterli değildir. Lisans kapsamı, sorumluluk, TCMB denetimi, bilgi güvenliği, iş sürekliliği, KVKK, alt yükleniciler ve hizmetin sona ermesi hâlinde uygulanacak çıkış planı birlikte değerlendirilmelidir.

Fintech Şirketlerinde Dış Hizmet Alımı Nedir?

Dış hizmet alımı, şirketin kendi organizasyonu içerisinde gerçekleştirebileceği belirli bir faaliyeti sözleşme yoluyla başka bir gerçek veya tüzel kişiden temin etmesidir.

Fintech sektöründe dış hizmet alımına örnek olarak;

• yazılım geliştirme ve bakım,
• bilgi sistemleri işletimi,
• veri merkezi hizmetleri,
• bulut bilişim,
• siber güvenlik,
• fraud ve işlem izleme teknolojileri,
• çağrı merkezi,
• muhasebe,
• kurumsal kaynak yönetimi,
• reklam ve pazarlama,
• teknik müşteri destek hizmetleri

gösterilebilir.

Ancak ödeme kuruluşunun hangi hizmeti dışarıdan aldığı kadar, dış hizmet sağlayıcının kuruluş adına hangi fonksiyonu fiilen yerine getirdiği de önemlidir.

Bir teknoloji şirketinin ödeme kuruluşuna yalnızca yazılım sağlaması ile müşterinin karşısında doğrudan ödeme hizmeti sağlayıcısı gibi hareket etmesi aynı hukuki sonucu doğurmaz.

Ödeme Hizmeti Tamamen Başka Bir Şirkete Devredilebilir mi?

Kural olarak hayır.

TCMB Yönetmeliğinin 21. maddesi uyarınca, Yönetmelikte aksine özel bir hüküm bulunmadıkça ödeme kuruluşu veya elektronik para kuruluşu ödeme hizmeti sunma faaliyetini veya elektronik para ihraç etme faaliyetini dış hizmet alımına konu edemez.

Bu düzenlemenin temel amacı, TCMB’den faaliyet izni alan kuruluşun lisansa tabi finansal faaliyeti fiilen lisanssız başka bir şirkete devretmesini engellemektir.

Örneğin TCMB’den ödeme kuruluşu lisansı alan A şirketinin;

“Bütün ödeme faaliyetlerini B teknoloji şirketi yürütüyor, biz yalnızca lisans sahibi olarak duruyoruz.”

şeklinde bir yapı kurması mümkün değildir.

Dış hizmet modeli, 6493 sayılı Kanun kapsamındaki faaliyetlerin ödeme hizmeti sağlayıcısı olmayan bir şirket tarafından sunulduğu sonucunu veya izlenimini yaratacak şekilde oluşturulamaz.

Dolayısıyla lisans sahibi şirketin müşterinin karşısındaki gerçek ödeme hizmeti sağlayıcısı olmaya devam etmesi gerekir.

Hangi Faaliyetler Dış Hizmet Alımına Konu Edilebilir?

TCMB Yönetmeliği, ödeme hizmeti veya elektronik para ihracının kendisini kural olarak dış hizmete kapatırken bunlarla bağlantılı birçok faaliyetin üçüncü taraflardan alınmasına izin vermektedir.

Mevzuat şartlarına uyulması ve dış hizmetin kapsamının yazılı sözleşmeyle belirlenmesi şartıyla özellikle;

• bilgi sistemleri,
• pazarlama,
• reklam,
• kurumsal kaynak yönetimi,
• muhasebe,
• çağrı merkezi,
• idari işlerin takibi

gibi faaliyetler dış hizmet alımına konu edilebilir.

Buradaki temel sınır, dış hizmet alımının şirketin kendi yönetim ve karar mekanizmalarını fiilen dışarıya devretmemesidir.

Şirket Yönetimi de Dışarıdan Hizmet Olarak Alınabilir mi?

Dış hizmet alımı, üst yönetimin Türk Ticaret Kanunu, ödeme hizmetleri mevzuatı ve şirketin iç düzenlemelerinden kaynaklanan yetkilerinin başka bir şirkete devredilmesi sonucunu doğuramaz.

Örneğin şirket;

risk yönetimi için teknoloji sağlayabilir, danışmanlık alabilir veya belirli yazılımlar kullanabilir.

Ancak;

“Risk kararlarını dış hizmet sağlayıcı verir, yönetim kurulu yalnızca uygulamakla yükümlüdür.”

şeklindeki bir yapılanma mevzuat bakımından sorun oluşturabilir.

Finansal kuruluşun karar alma gücü, yönetim sorumluluğu ve düzenleyici otoriteye karşı hesap verebilirliği kendi bünyesinde kalmalıdır.

Bilgi Sistemleri Dış Hizmet Olarak Alınabilir mi?

Evet.

Bilgi sistemleri fintech sektöründeki en önemli dış hizmet alanlarından biridir.

TCMB Tebliğine göre ödeme veya elektronik para kuruluşu; bilgi sistemlerinin tamamı veya bir bölümü için dış hizmet alabilir. Ancak bilgi sistemlerinin yönetimi, içerik tasarımı, erişim, kontrol, güncelleme, bilgi ve rapor alma gibi fonksiyonlarında karar alma gücünün ve sorumluluğun kuruluşta kalması gerekir.

Dolayısıyla şirketin;

• sunucu altyapısını,
• uygulama geliştirmesini,
• siber güvenlik araçlarını,
• veri tabanı yönetiminde belirli teknik işleri

dışarıdan alması mümkün olsa da, bilgi sistemlerinin bütün kontrolünü dış hizmet sağlayıcıya bırakması doğru değildir.

Dış Hizmet Alınması Şirketin Sorumluluğunu Ortadan Kaldırır mı?

Hayır.

Fintech şirketlerinde dış hizmet alımına ilişkin en önemli hukuki prensiplerden biri budur.

TCMB Yönetmeliğinde açıkça dış hizmete konu edilen faaliyet bakımından dış hizmet sağlayıcının işlemlerinden lisans sahibi kuruluşun da sorumlu olduğu belirtilmiştir. Dış hizmet kullanılması kuruluşun müşterilerine karşı sorumluluğunu da ortadan kaldırmaz.

Bilgi sistemleri bakımından da aynı yaklaşım geçerlidir. Dış hizmet alınsa dahi;

• kuruluşun sorumluluğu,
• üst yönetimin sorumluluğu,
• müşterilere ve diğer ilgili taraflara karşı yükümlülükler,
• faaliyet izninin devamı için gerekli koşullar

aynen devam eder.

Bu nedenle örneğin dışarıdan alınan bir yazılım hizmetindeki hata nedeniyle müşterinin ödeme işlemi gerçekleştirilemezse;

“Teknik firma hata yaptı, bizim sorumluluğumuz yok.”

şeklindeki savunma ödeme kuruluşu açısından tek başına yeterli olmayacaktır.

Kuruluş, kendi müşterisine karşı sorumluluğunu korur; daha sonra dış hizmet sağlayıcıyla arasındaki sözleşme kapsamında rücu veya tazminat ilişkisi gündeme gelebilir.

Dış Hizmet Sağlayıcı Seçilirken Nelere Dikkat Edilmelidir?

TCMB düzenlemeleri kuruluşun dış hizmet sağlayıcı seçiminde gerekli özeni göstermesini zorunlu tutmaktadır. Kuruluş ayrıca dış hizmet nedeniyle ortaya çıkabilecek ilave riskleri önceden değerlendirmeli ve etkin şekilde yönetmelidir.

Bu nedenle yalnızca fiyat karşılaştırması yapılması yeterli değildir.

Dış hizmet sağlayıcı bakımından özellikle;

• teknik yeterlilik,
• mali güç,
• bilgi güvenliği seviyesi,
• sektörel tecrübe,
• çalışan yetkinliği,
• iş sürekliliği altyapısı,
• geçmiş güvenlik ihlalleri,
• alt yüklenicileri,
• verilerin nerede işlendiği,
• TCMB ve bağımsız denetim taleplerine cevap verebilme kabiliyeti

incelenmelidir.

Özellikle kuruluşun temel teknolojik altyapısını sağlayan kritik tedarikçiler için vendor due diligence – tedarikçi hukuki ve teknik incelemesi yapılması önem taşımaktadır.

Dış Hizmet Sağlayıcının Mali Durumu da İzlenmeli midir?

Bilgi sistemleri alanındaki dış hizmetlerde evet.

TCMB Tebliği, kuruluş üst yönetiminin dış hizmet alınan servislerin;

• erişilebilirliğini,
• performansını,
• kalitesini,
• güvenlik ihlallerini,
• dış hizmet sağlayıcının güvenlik kontrollerini,
• mali durumunu ve
• sözleşmeye uygunluğunu

takip etmesini öngörmektedir. Bu değerlendirmelerin yılda en az bir kez yönetim kuruluna raporlanması gerekir.

Dolayısıyla tedarikçi incelemesi yalnızca sözleşmenin imzalandığı gün yapılan tek seferlik bir kontrol değildir.

Hizmet ilişkisi devam ettiği sürece tedarikçi gözetiminin de sürdürülmesi gerekir.

Dış Hizmet Sözleşmesi Yazılı Olmak Zorunda mıdır?

Evet.

Genel dış hizmet alımının kapsamının yazılı sözleşmeyle belirlenmesi gerekmektedir. Bilgi sistemleri dış hizmetleri bakımından ise TCMB Tebliği sözleşmede bulunması gereken asgari konuları ayrıntılı şekilde saymaktadır.

Bu nedenle standart bir yazılım lisans sözleşmesi veya birkaç sayfalık genel hizmet sözleşmesi, ödeme kuruluşunun düzenleyici yükümlülükleri bakımından yeterli olmayabilir.

Fintech Dış Hizmet Sözleşmesinde Hangi Maddeler Bulunmalıdır?

Bilgi sistemlerine ilişkin dış hizmet alım sözleşmelerinde asgari olarak;

• hizmetin kapsamı,
• hizmet seviyeleri,
• tarafların hak ve yükümlülükleri,
• sözleşmenin sona erme koşulları,
• hizmet sona erdiğinde verilerin, bilgi ve kayıtların imhası,
• iş sürekliliğine ilişkin yükümlülükler,
• kuruluşun risk yönetimi ve güvenlik politikalarına uyum,
• fikrî mülkiyet hakları,
• alt yüklenicilerin yükümlülükleri,
• beklenmeyen hizmet kesintilerine ilişkin risk yönetimi,
• mevzuat hükümlerine uyum,
• bağımsız denetime tabi olma,
• TCMB’ye bilgi ve belge verme,
• TCMB, kuruluş ve bağımsız denetçinin denetim ve bilgi isteme yetkileri,
• TCMB talimatlarının uygulanması,
• kayıtların mülkiyeti ve gizliliği,
• sözleşme ihlalinde uygulanacak prosedürler

yer almalıdır.

Bu düzenlemeler nedeniyle fintech sektöründeki dış hizmet sözleşmeleri yalnızca ticari sözleşmeler değildir; aynı zamanda kuruluşun düzenleyici uyum sisteminin bir parçasıdır.

Hizmet Seviyesi Sözleşmesi – SLA Neden Önemlidir?

Fintech hizmetlerinin kesintisiz çalışması kritik olduğundan dış hizmet sağlayıcının performansının ölçülebilir kriterlere bağlanması gerekir.

Örneğin sözleşmede;

• aylık erişilebilirlik oranı,
• olaylara müdahale süresi,
• kritik hata çözüm süresi,
• veri kurtarma süresi,
• destek hizmeti cevap süreleri

belirlenebilir.

TCMB Tebliği, dış hizmet sağlayıcı performansının değerlendirilmesinde sözleşmedeki hizmet seviyesi tanımlarının asgari performans göstergeleri olarak kullanılmasını öngörmektedir.

Bu nedenle fintech dış hizmet sözleşmelerinde yalnızca;

“Sağlayıcı hizmeti en iyi şekilde sunacaktır.”

şeklindeki soyut ifadeler yerine ölçülebilir SLA kriterlerinin oluşturulması önem taşımaktadır.

Alt Yüklenici Kullanılabilir mi?

Dış hizmet sağlayıcının başka şirketlerden hizmet alması mümkündür; ancak fintech kuruluşunun bu zincir üzerindeki kontrolünü kaybetmemesi gerekir.

TCMB Tebliğine göre dış hizmet sözleşmesinde sağlayıcıya yüklenen düzenleyici yükümlülüklerin, alt yüklenicilerle yapılacak sözleşmelere de bağlayıcı şekilde aktarılmasını sağlayacak hükümler bulunmalıdır.

Örneğin ödeme kuruluşu bir yazılım şirketiyle sözleşme yapıyor ve yazılım şirketi veritabanı hizmetini başka bir şirkete devrediyorsa;

“Bizim sözleşmemiz yalnızca ana sağlayıcıyla, alt yüklenici bizi ilgilendirmez.”

yaklaşımı doğru değildir.

Özellikle müşteri verilerinin hangi alt yüklenicilere ulaştığı belirlenmelidir.

Dış Hizmet Sağlayıcı Müşteri Verilerine Erişebilir mi?

Yalnızca işin gerektirdiği ölçüde.

TCMB Tebliği, dış hizmet sağlayıcıya verilecek erişimin işin gerektirdiği bilgiyle sınırlandırılmasını zorunlu tutmaktadır. Fiziksel ve mantıksal erişim hakları bakımından ayrıca risk değerlendirmesi yapılmalıdır.

Bu nedenle örneğin yalnızca sistem performansı takibi yapan bir şirketin bütün müşterilerin kimlik belgelerine veya ödeme hareketlerine erişmesi gerekmiyorsa bu yetkinin verilmemesi gerekir.

Burada en az yetki prensibi – least privilege önemli hâle gelmektedir.

Fintech Şirketlerinde Dış Hizmet Alımı ve KVKK

Dış hizmet sağlayıcıların önemli bir bölümü kişisel verilere eriştiği için 6698 sayılı KVKK ayrıca değerlendirilmelidir.

Ödeme ve elektronik para sektöründe;

kimlik bilgileri, iletişim bilgileri, finansal geçmiş ve işlem kayıtları gibi çok sayıda kişisel veri yoğun biçimde işlenmektedir. Kişisel Verileri Koruma Kurumu tarafından ödeme ve elektronik para sektörüne özel iyi uygulamalar rehberi yayımlanmış ve veri sorumlusu, veri işleyen, veri aktarımı ve veri güvenliği konuları ayrıca ele alınmıştır.

Örneğin ödeme kuruluşunun adına yalnızca belirli teknik işlemleri gerçekleştiren dış hizmet sağlayıcı, ilişkinin niteliğine göre veri işleyen konumunda olabilir.

Ancak tarafların sözleşmede bir şirketi “veri işleyen” olarak adlandırması tek başına hukuki statüyü belirlemez. Fiilen veri işleme amaç ve araçlarını kimin belirlediği ayrıca incelenmelidir.

KVKK Sorumluluğu Dış Hizmet Sağlayıcıya Devredilebilir mi?

Kişisel verilerin üçüncü taraf hizmet sağlayıcı tarafından işlenmesi, veri sorumlusu fintech şirketinin bütün yükümlülüklerinin ortadan kalktığı anlamına gelmez.

Özellikle;

• erişim yetkileri,
• gizlilik,
• veri güvenliği,
• saklama süreleri,
• alt veri işleyen kullanımı,
• veri ihlali bildirimi,
• hizmet sona erdiğinde verilerin silinmesi veya iadesi

sözleşmeyle açık biçimde düzenlenmelidir.

TCMB Yönetmeliği de dış hizmet alımında müşterilere ait hassas müşteri verileri, sırlar ve kişisel verilerin korunması için kuruluşun gerekli tedbirleri almasını zorunlu tutmaktadır.

Bulut Hizmetleri Dış Hizmet Olarak Alınabilir mi?

Evet; ancak ödeme ve elektronik para kuruluşlarında bulut kullanımı sıradan teknoloji şirketlerinden daha sıkı kurallara tabidir.

TCMB Tebliğine göre kuruluşlar veri işlemek, saklamak veya iletmek için Türkiye’de tesis edilmiş bulut bilişim hizmetlerinden yararlanabilir.

Ancak;

• hassas müşteri verileri,
• rekabete duyarlı veriler,
• kişisel veriler veya
• müşteriyi belirli veya belirlenebilir hâle getiren bilgiler

bulut ortamında işlenecekse kural olarak hizmetin yalnızca kuruluşa tahsis edilmiş donanım ve yazılım kaynakları üzerinden sunulduğu özel bulut modeli kullanılması gerekir. TCMB tarafından uygun görülen şartlarda belirli topluluk bulutu modelleri de kullanılabilir.

Müşteri verisi içermeyen test ve geliştirme ortamları bakımından ise gerekli güvenlik tedbirlerinin alınması kaydıyla özel bir istisna bulunmaktadır.

Bu nedenle standart bir public cloud paketinin doğrudan satın alınması, ödeme kuruluşu bakımından her durumda mevzuata uygun bir çözüm değildir.

AWS, Microsoft Azure veya Google Cloud Kullanılabilir mi?

Bu soruya yalnızca hizmet sağlayıcının markasına bakılarak cevap verilemez.

Önemli olan;

• hizmetin hangi ülkedeki altyapı üzerinden sunulduğu,
• müşteri verisinin nerede bulunduğu,
• hangi bulut modelinin kullanıldığı,
• fiziksel ve mantıksal kaynakların nasıl ayrıştırıldığı,
• hizmet sağlayıcının TCMB düzenlemelerindeki şartları sağlayıp sağlamadığı,
• alt hizmet sağlayıcıların kim olduğu

gibi unsurlardır.

Dolayısıyla bir global teknoloji sağlayıcısının dünya çapında güvenilir veya yaygın olması, hizmet modelinin Türk ödeme mevzuatına otomatik olarak uygun olduğu anlamına gelmez. TCMB’nin bilgi sistemleri dış hizmet rejimi bulut altyapısının niteliğine özel şartlar getirmektedir.

Yurt Dışındaki Şirketten Dış Hizmet Alınabilir mi?

Yönetmelik bunu mutlak olarak yasaklamamaktadır.

Ancak dış hizmet sağlayıcı yurt dışında kurulmuşsa, sağlayıcının faaliyet gösterdiği ülkenin mevzuatı veya uygulamaları TCMB’nin ihtiyaç duyduğu bilgi ve belgeleri zamanında, eksiksiz ve doğru biçimde elde etmesine ve alınan hizmet hakkında denetim yapmasına engel olmamalıdır.

Dolayısıyla yabancı şirket;

“Ülkemizdeki gizlilik mevzuatı nedeniyle TCMB’ye sistem veya kayıtlarımızı gösteremeyiz.”

diyorsa bu yapı Türkiye’deki ödeme kuruluşu bakımından ciddi sorun oluşturabilir.

Bu nedenle yabancı tedarikçi sözleşmesi imzalanmadan önce hem tedarikçinin sözleşmesi hem de bulunduğu ülkenin hukuki ortamı değerlendirilmelidir.

Yurt Dışından Yazılım Hizmeti Almak ile Yurt Dışına Veri Aktarmak Aynı Şey midir?

Hayır.

Bir yazılımın yabancı şirket tarafından geliştirilmesi tek başına müşteri verisinin yurt dışına aktarıldığı anlamına gelmeyebilir.

Ancak yabancı yazılım şirketinin;

• canlı sistemlere erişmesi,
• üretim verilerini görüntülemesi,
• hata kayıtlarında müşteri bilgilerini görmesi,
• yurt dışındaki sunucularında veri tutması

durumunda yurt dışına kişisel veri aktarımı gündeme gelebilir.

Böyle bir durumda TCMB bilgi sistemleri düzenlemelerinin yanında KVKK’nın yurt dışına veri aktarım rejimi de ayrıca uygulanmalıdır.

Bu nedenle fintech şirketlerinin dış hizmet sözleşmesi imzalanmadan önce bir veri akış analizi yapması önemlidir.

İş Sürekliliği ve Çıkış Stratejisi Neden Gereklidir?

Fintech şirketlerinin önemli faaliyetlerini tek bir dış hizmet sağlayıcıya bağlaması operasyonel bağımlılık yaratabilir.

Örneğin bütün ödeme uygulamasının tek teknoloji sağlayıcı tarafından işletildiğini ve bu şirketin aniden faaliyetine son verdiğini düşünelim.

Ödeme kuruluşunun;

“Sağlayıcımız kapandı, artık müşterilerimize hizmet veremiyoruz.”

demesi düzenleyici açıdan yeterli değildir.

TCMB Tebliği bu nedenle kuruluşun dış hizmet alımının beklenmedik şekilde sona ermesi veya kesintiye uğraması risklerini yönetebilecek bir çıkış stratejisi oluşturmasını zorunlu tutmaktadır.

Sözleşmede de plansız hizmet kesintilerinden kaynaklanacak risklerin yönetimine ilişkin hükümler bulunmalıdır.

Exit Plan Nasıl Hazırlanmalıdır?

Çıkış planında örneğin;

• verilerin nasıl geri alınacağı,
• yeni sağlayıcıya geçişin nasıl yapılacağı,
• yazılım kaynak koduna erişim,
• sistemlerin geçiş süresince çalışmaya devam etmesi,
• kullanıcı hesaplarının korunması,
• sağlayıcının elindeki verilerin silinmesi,
• alternatif teknik altyapının ne kadar sürede devreye alınabileceği

belirlenebilir.

Özellikle kritik fintech altyapılarında dış hizmet sözleşmesi yalnızca hizmete nasıl başlanacağını değil, hizmetten nasıl çıkılacağını da düzenlemelidir.

TCMB Dış Hizmet Sağlayıcıyı Denetleyebilir mi?

Dış hizmet kullanılması TCMB’nin denetim yetkisinin ortadan kalkmasına neden olmaz.

Bilgi sistemleri dış hizmet sözleşmelerinde TCMB’nin, kuruluşun ve bağımsız denetim kuruluşunun dış hizmet sağlayıcıdan gerekli bilgi ve belgeleri isteyebilmesini sağlayacak hükümler bulunmalıdır. Dış hizmet sağlayıcı, TCMB tarafından talep edilen kayıt ve sistemleri incelemeye hazır bulundurmalıdır.

Bu nedenle fintech şirketinin tedarikçisiyle yaptığı sözleşmede;

“Sağlayıcı hiçbir üçüncü kişiye sistemlerini veya kayıtlarını açmak zorunda değildir.”

şeklinde mutlak bir gizlilik hükmünün bulunması düzenleyici denetim bakımından problem yaratabilir.

TCMB Dış Hizmet Alımının Durdurulmasını İsteyebilir mi?

Evet.

TCMB;

• mevzuattaki dış hizmet hükümlerine uyulmadığını,
• dış hizmet kullanımının kuruluşun faaliyetlerini olumsuz etkilediğini veya
• dış hizmet sağlayıcının TCMB denetimini engellediğini

tespit ederse kuruluşun söz konusu dış hizmet alımını durdurmasını isteyebilir.

Bu nedenle kritik bir tedarikçinin mevzuata aykırılığı yalnızca o tedarikçiyle yaşanan sözleşmesel problem değildir.

Kuruluşun operasyonlarının devamlılığını doğrudan etkileyebilir.

Dış Hizmetler TCMB’ye Bildirilir mi?

Yönetmeliğe göre dış hizmet alımları ve dış hizmet alınan firmalar, TCMB tarafından belirlenen usul ve esaslar çerçevesinde TCMB’ye raporlanır.

Bu nedenle fintech kuruluşlarının güncel bir dış hizmet sağlayıcı envanteri tutması önem taşımaktadır.

Bu envanterde örneğin;

• tedarikçinin unvanı,
• alınan hizmet,
• sözleşme süresi,
• kritik olup olmadığı,
• eriştiği veri türleri,
• alt yükleniciler,
• hizmetin sunulduğu ülke,
• bulut veya veri merkezi altyapısı

takip edilebilir.

Avukatlık ve Hukuk Danışmanlığı Dış Hizmet Sayılır mı?

Yönetmeliğin 21. maddesinde ilginç ve uygulamada önemli bir istisna bulunmaktadır.

Yemek, ulaşım, temizlik, belirli teknik ekipman bakım ve onarımları, eğitim hizmetleri yanında avukatlık hizmetleri, hukuk danışmanlığı ve danışmanlık faaliyetleri için Yönetmeliğin 21. maddesindeki özel dış hizmet rejiminin uygulanmayacağı düzenlenmiştir.

Dolayısıyla ödeme kuruluşunun dışarıdan hukuk bürosundan hukuki danışmanlık alması ile ana ödeme teknolojisini dışarıdan alması aynı dış hizmet rejimine tabi değildir.

Bununla birlikte hukuk bürosuna müşteri kişisel verilerinin aktarılması hâlinde KVKK ve sır saklama yükümlülükleri elbette ayrıca uygulanmaya devam eder.

Reklam ve Sosyal Medya Hizmetlerinde Özel Bir Kural Var mıdır?

Evet.

TCMB Tebliği, ödeme ve elektronik para kuruluşlarının reklam hizmeti aldığı arama motoru veya sosyal medya platformları bakımından da özel hükümler içermektedir.

Kuruluş, reklam hizmeti alacağı sağlayıcının kuruluş adına verilen sahte reklamların engellenmesine yönelik gerekli tedbirleri alıp almadığını kontrol etmek zorundadır. Uygun tedbirleri almayan sağlayıcılardan reklam hizmeti alınamaz. Sözleşmede de sahte reklam vakalarında müşterilerin korunması amacıyla gerekli bilgilerin edinilebilmesini sağlayan hükümler bulunmalıdır.

Bu hüküm, fintech şirketlerinin dış hizmet değerlendirmesinin yalnızca sunucu ve yazılım firmalarıyla sınırlı olmadığını göstermektedir.

Kritik Bilgi Sistemleri Hizmetlerinde Yerli Ürün Şartı Var mıdır?

TCMB Tebliğinde kritik bilgi sistemleri ve güvenlik kapsamında alınacak ürün ve hizmetlerin Türkiye’de üretilmesi veya üreticilerin Ar-Ge merkezlerinin Türkiye’de bulunması konusunda azami özen gösterilmesi ve bunun dış hizmet seçiminde önemli bir kriter olarak değerlendirilmesi öngörülmektedir.

Ayrıca bu tür sağlayıcı ve üreticilerin Türkiye’de müdahale ekiplerinin bulunması şarttır.

Burada Türkiye’de üretim veya Ar-Ge merkezi bulunması mutlak bir genel yasak/izin kriteri olarak değil, mevzuatta “azami özen” gösterilecek önemli bir tercih kriteri olarak düzenlenmiştir. Buna karşılık Türkiye’de müdahale ekibi bulunmasına ilişkin hüküm daha açık bir zorunluluk içermektedir.

Dış Hizmet Alımı Lisans Şartlarını Etkileyebilir mi?

Evet.

Ödeme veya elektronik para kuruluşunun dış hizmet modeli, TCMB’nin faaliyet izni verirken aradığı şartların kaybedilmesine veya değişmesine yol açacak şekilde oluşturulamaz.

Ayrıca dış hizmet;

kuruluşun yasal yükümlülüklerini yerine getirmesini, mevzuata uyum sağlamasını veya TCMB tarafından etkin biçimde denetlenmesini engelleyemez.

Dolayısıyla şirketin kuruluşta kendi bünyesinde göstermiş olduğu operasyonel veya teknik kabiliyetlerin daha sonra tamamen başka şirkete aktarılması, lisans şartlarının devamlılığı açısından da değerlendirilmelidir.

Fintech Şirketlerinde Dış Hizmet Alımı İçin Hukuki Süreç Nasıl Yürütülmelidir?

Sağlıklı bir dış hizmet süreci genel olarak şu şekilde tasarlanabilir:

1. Alınacak hizmetin niteliği belirlenir.
2. Faaliyetin dış hizmet alımına konu edilmesinin hukuken mümkün olup olmadığı kontrol edilir.
3. Dış hizmet sağlayıcı hakkında hukuki, mali ve teknik inceleme yapılır.
4. Hizmetin kritikliği ve kuruluş üzerindeki etkisi belirlenir.
5. Veri ve sistem erişim haritası hazırlanır.
6. KVKK ve yurt dışı veri aktarımı değerlendirmesi yapılır.
7. Bilgi güvenliği risk analizi gerçekleştirilir.
8. İş sürekliliği ve çıkış planı hazırlanır.
9. TCMB mevzuatındaki zorunlu hükümleri içeren dış hizmet sözleşmesi hazırlanır.
10. Alt yükleniciler kontrol edilir.
11. Hizmet seviyeleri ve performans göstergeleri belirlenir.
12. Dış hizmet ilişkisi başladıktan sonra düzenli tedarikçi gözetimi gerçekleştirilir.
13. Gerekli TCMB raporlama ve kayıt yükümlülükleri yerine getirilir.

Bu süreç özellikle lisans başvurusu aşamasında kurulacak fintech şirketleri için önemlidir. Çünkü TCMB değerlendirmesi sırasında kuruluşun bilgi sistemleri ve operasyonel altyapısının hangi bölümünü kendisinin, hangi bölümünü dış hizmet sağlayıcılar aracılığıyla gerçekleştireceğinin açıklanması gerekebilir.

Fintech Şirketlerinde Dış Hizmet Alımında En Sık Yapılan Hatalar

Fintech kuruluşlarında dış hizmet alımında sık karşılaşılan hatalar arasında şunlar bulunmaktadır:

• lisansa tabi esas ödeme faaliyetinin fiilen başka şirkete bırakılması,
• standart teknoloji sözleşmelerinin TCMB hükümleri eklenmeden imzalanması,
• dış hizmet sağlayıcı seçilirken düzenleyici uyum incelemesi yapılmaması,
• müşteri verilerine gereğinden geniş erişim verilmesi,
• alt yüklenicilerin kim olduğunun bilinmemesi,
• hizmet sağlayıcının verileri hangi ülkede işlediğinin kontrol edilmemesi,
• KVKK yurt dışına aktarım analizinin yapılmaması,
• bütün sistemlerin tek tedarikçiye bağımlı hâle getirilmesi,
• çıkış planı oluşturulmaması,
• SLA ve ölçülebilir performans kriterlerinin belirlenmemesi,
• TCMB’nin denetim ve bilgi alma hakkının sözleşmeye eklenmemesi,
• hizmet sona erdiğinde müşteri verilerinin nasıl silineceğinin düzenlenmemesi,
• dış hizmet sağlayıcının güvenlik olaylarının düzenli takip edilmemesi,
• dış hizmet kullanıldığı için sorumluluğun sağlayıcıya geçtiğinin düşünülmesi.

Özellikle hazır SaaS sözleşmelerinde yabancı teknoloji şirketlerinin standart sözleşme şartlarının TCMB’nin talep ettiği denetim, veri erişimi, alt yüklenici ve sözleşmenin sona ermesine ilişkin koşulları karşılamaması uygulamada önemli sorunlara neden olabilir.

Sıkça Sorulan Sorular

Ödeme kuruluşları dışarıdan yazılım hizmeti alabilir mi?

Evet. Bilgi sistemleri dış hizmet alımına konu edilebilir. Ancak bilgi sistemleri üzerindeki karar alma gücü ve sorumluluk kuruluşta kalmalı; TCMB Tebliğinde belirtilen dış hizmet, güvenlik, denetim ve sözleşme şartlarına uyulmalıdır.

Ödeme hizmetinin tamamı başka şirkete devredilebilir mi?

Kural olarak hayır. Yönetmelikte aksine özel bir düzenleme bulunmadıkça ödeme hizmeti sunumu ve elektronik para ihracı doğrudan dış hizmet alımına konu edilemez.

Dış hizmet sağlayıcının hatasından kim sorumludur?

Dış hizmet alınması lisanslı kuruluşun sorumluluğunu ortadan kaldırmaz. Kuruluş, dış hizmete konu faaliyetler bakımından sağlayıcının işlemlerinden sorumlu olmaya devam eder.

Fintech şirketi bulut hizmeti kullanabilir mi?

Evet; ancak TCMB’nin bilgi sistemleri düzenlemelerindeki bulut şartlarına uyulmalıdır. Özellikle müşteri ve kişisel verilerin işlendiği yapılarda özel bulut veya şartları oluşmuşsa uygun topluluk bulutu modelleri gündeme gelir.

Yabancı teknoloji şirketinden dış hizmet alınabilir mi?

Mümkündür; ancak dış hizmet sağlayıcının bulunduğu ülke mevzuatı TCMB’nin bilgi ve belge edinmesini veya sağlayıcı hakkında denetim yapmasını engellememelidir. Kişisel verilerin yurt dışına aktarılması bulunuyorsa KVKK hükümleri ayrıca uygulanır.

Dış hizmet sözleşmesinde TCMB’nin denetim hakkı bulunmalı mıdır?

Bilgi sistemleri dış hizmet sözleşmelerinde TCMB’nin, kuruluşun ve bağımsız denetçinin gerekli bilgi ve belgeleri isteyebilmesini sağlayan hükümler bulunmalıdır.

Alt yüklenici kullanılabilir mi?

Kullanılabilir; ancak ana dış hizmet sağlayıcının mevzuat ve sözleşmeden doğan ilgili yükümlülüklerinin alt yüklenici sözleşmelerine de aktarılmasını sağlayan hükümler bulunmalıdır.

Dış hizmet alımı TCMB’ye bildirilir mi?

Yönetmelik uyarınca dış hizmet alımları ve dış hizmet alınan firmalar TCMB tarafından belirlenecek usul ve esaslara göre Bankaya raporlanır.

Hukuk bürosundan hizmet alınması TCMB dış hizmet rejimine tabi midir?

Yönetmeliğin 21. maddesindeki özel düzenlemeye göre avukatlık hizmetleri ve hukuk danışmanlığı bu maddenin dış hizmet hükümlerinin uygulanmadığı hizmetler arasında sayılmıştır. Ancak KVKK, sır saklama ve diğer mevzuat yükümlülükleri ayrıca devam eder.

Sonuç: Fintech Şirketlerinde Dış Hizmet Alımı Sorumluluğun Devri Anlamına Gelmez

Fintech şirketleri açısından dış hizmet kullanımı modern finansal teknolojilerin kaçınılmaz unsurlarından biridir. Ödeme veya elektronik para kuruluşunun bütün yazılım, veri merkezi, siber güvenlik, çağrı merkezi ve destek faaliyetlerini kendi personeliyle yürütmesi zorunlu değildir.

Ancak Türkiye’de ödeme ve elektronik para kuruluşlarında dış hizmet kullanımının temel prensibi şudur:

Hizmet dışarıdan alınabilir; ancak düzenleyici sorumluluk dışarıya devredilemez.

TCMB Yönetmeliğine göre lisansa tabi ödeme hizmetinin veya elektronik para ihracının kendisi kural olarak başka bir şirkete devredilemez; bilgi sistemleri, çağrı merkezi, muhasebe, reklam, pazarlama ve çeşitli destek hizmetleri ise mevzuattaki şartlarla dışarıdan alınabilir. Dış hizmet sağlayıcının işlemlerinden ve müşteriye karşı yükümlülüklerden lisans sahibi kuruluş sorumlu olmaya devam eder.

Özellikle bilgi sistemleri alanındaki dış hizmetlerde tedarikçi incelemesi, erişim yetkilerinin sınırlandırılması, hizmet seviyesi kriterleri, iş sürekliliği, çıkış stratejisi, alt yüklenici kontrolü, KVKK uyumu ve TCMB denetim hakları sözleşme ve operasyon yapısının başından itibaren planlanmalıdır.

Bu nedenle ödeme kuruluşu, elektronik para kuruluşu, dijital cüzdan veya açık bankacılık girişimi kuracak şirketlerin bir teknoloji sağlayıcısıyla sözleşme imzalamadan önce yalnızca fiyat ve teknik kapasiteyi değil, sağlayıcının TCMB dış hizmet rejimine uygunluğunu da incelemesi gerekir.

En sağlıklı yaklaşım;

hizmetin hukuki sınıflandırılması → tedarikçi incelemesi → veri ve sistem erişim analizi → risk değerlendirmesi → iş sürekliliği ve çıkış planı → TCMB uyumlu dış hizmet sözleşmesi → sürekli tedarikçi gözetimi

şeklinde bir süreç oluşturmaktır.

Böylece fintech şirketinin teknolojik faaliyetlerini dış kaynak kullanarak ölçeklendirmesi mümkün olurken, faaliyet izni, müşteri güvenliği ve düzenleyici uyum bakımından ortaya çıkabilecek riskler de kontrol altında tutulabilir.