Fintech şirketleri açısından bulut bilişim; yazılım geliştirme, veri saklama, işlem altyapısının ölçeklendirilmesi, fraud sistemleri, müşteri hizmetleri, veri analitiği ve iş sürekliliği bakımından önemli avantajlar sağlamaktadır. Bununla birlikte finans sektöründe bulut hizmeti kullanılması, sıradan bir teknoloji şirketinin sunucu kiralamasından çok daha kapsamlı hukuki sonuçlar doğurabilir.

Özellikle ödeme kuruluşları ve elektronik para kuruluşlarının bulut hizmeti kullanımı, Türkiye Cumhuriyet Merkez Bankasının (TCMB) bilgi sistemleri ve dış hizmet düzenlemelerine tabidir. Kuruluşun müşteri ve ödeme verilerini herhangi bir bulut ortamına aktarması, yalnızca KVKK bakımından değil; veri lokalizasyonu, bilgi güvenliği, dış hizmet alımı, bağımsız denetim ve TCMB’nin denetim yetkisi bakımından da değerlendirilmelidir. TCMB’nin yürürlükteki bilgi sistemleri Tebliği, ödeme ve elektronik para kuruluşlarının hangi şartlarla bulut bilişim hizmetlerinden yararlanabileceğini özel olarak düzenlemektedir.

Bu nedenle bir fintech girişiminin “AWS kullanabilir miyiz?”, “Azure’da müşteri verisi tutabilir miyiz?”, “Google Cloud kullanmak yasak mı?” veya “Sunucuların Türkiye’de olması zorunlu mu?” sorularına yalnızca bulut sağlayıcının markasına bakılarak cevap verilmesi mümkün değildir.

Asıl değerlendirilmesi gereken; şirketin hukuki statüsü, işlenen verinin niteliği, kullanılan bulut modeli, verilerin fiziksel olarak nerede işlendiği, alt hizmet sağlayıcıların kim olduğu ve kuruluşun bilgi sistemleri üzerindeki kontrolünü koruyup korumadığıdır.

Fintech Şirketleri Bulut Hizmeti Kullanabilir mi?

Evet. Ancak her fintech şirketi aynı hukuki rejime tabi değildir.

“Fintech şirketi” Türk hukukunda tek başına belirli bir lisans kategorisi değildir. Örneğin bankalara yazılım geliştiren bir teknoloji şirketi ile TCMB’den faaliyet izni almış elektronik para kuruluşunun bulut kullanımı bakımından yükümlülükleri aynı değildir.

Ödeme kuruluşları ve elektronik para kuruluşları bakımından TCMB Tebliği açık şekilde bulut bilişim hizmeti kullanımına izin vermektedir. Buna göre kuruluşlar, her türlü veriyi işlemek, saklamak ve iletmek amacıyla yurt içinde tesis edilmiş bulut bilişim hizmetlerinden dış hizmet olarak yararlanabilir. Ancak müşteri veya kişisel verilerin söz konusu olduğu durumlarda kullanılabilecek bulut modeline ilişkin önemli sınırlamalar bulunmaktadır.

Bu nedenle fintech şirketlerinin bulut altyapısı oluştururken öncelikle şirketin hangi düzenleyici rejime tabi olduğunu belirlemesi gerekir.

Ödeme ve Elektronik Para Kuruluşlarında Bulut Hizmeti Hangi Mevzuata Tabidir?

Ödeme ve elektronik para kuruluşları açısından temel düzenlemeler arasında 6493 sayılı Kanun ile Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ bulunmaktadır. TCMB’nin güncel ödeme sistemleri mevzuatı sayfasında söz konusu Tebliğ yürürlükteki temel bilgi sistemleri düzenlemeleri arasında yer almaktadır.

Tebliğin 16. maddesi, bilgi sistemleri alanındaki dış hizmet kullanımını ve bulut bilişime ilişkin şartları düzenlemektedir.

Bu rejimde bulut hizmeti esas itibarıyla dış hizmet alımı niteliğindedir.

Dolayısıyla yalnızca bulut teknolojisinin teknik özellikleri değil;

kuruluşun sorumluluğunun devam edip etmediği, dış hizmet sağlayıcının denetlenebilirliği, hizmet kesintilerine karşı alınan önlemler, verilerin güvenliği ve sözleşmesel yapı da önem taşır.

Özel Bulut Nedir?

TCMB düzenlemeleri bakımından müşteri ve kişisel verilerin kullanıldığı bulut projelerinde en önemli kavramlardan biri özel bulut modelidir.

Tebliğe göre hassas müşteri verilerinin, rekabete duyarlı verilerin, kişisel verilerin veya müşteriyle ilişkilendirilebilen ve müşteriyi belirli ya da belirlenebilir hâle getiren bilgilerin bulutta işlenmesi, saklanması veya iletilmesi hâlinde kural olarak hizmetin yalnızca ilgili kuruluşa tahsis edilmiş donanım ve yazılım kaynakları üzerinden sunulduğu özel bulut modeliyle alınması gerekir.

Bu hüküm son derece önemlidir.

Çünkü ödeme kuruluşunun müşteri verilerinin standart ve herkese açık bir bulut ortamında tutulabileceği varsayımı her durumda doğru değildir.

Örneğin sistemde;

müşteri kimliği, IBAN, ödeme geçmişi, dijital cüzdan bakiyesi, işlem kayıtları veya kullanıcı hesapları

bulunuyorsa kullanılacak bulut mimarisinin TCMB Tebliği bakımından ayrıca değerlendirilmesi gerekir.

Topluluk Bulutu Nedir?

TCMB düzenlemeleri yalnızca özel bulut kullanımına izin vermemektedir.

Belirli şartların bulunması hâlinde topluluk bulutu modeli de kullanılabilir.

Topluluk bulutu sisteminde donanım ve yazılım kaynakları fiziksel olarak belirli finansal kuruluşlar arasında paylaşılabilmekte; ancak her ödeme hizmeti sağlayıcısına özgü kaynak mantıksal olarak ayrılmaktadır.

Bu modelin kullanılabilmesi için hizmeti sunan dış hizmet sağlayıcının TCMB tarafından uygun görülmesi ve bulut ortamının ödeme hizmeti sağlayıcıları veya bilgi sistemleri bakımından yetkili otoritelerce düzenlenen ve denetlenen belirli finansal kuruluşlara tahsis edilmiş olması gerekir.

Dolayısıyla ödeme kuruluşunun herhangi bir ticari public cloud hizmetini kendiliğinden “topluluk bulutu” olarak değerlendirmesi mümkün değildir.

TCMB’nin uygunluk sistemi bulunmaktadır.

Nitekim TCMB’nin 2025 yılı faaliyet raporunda, topluluk bulutu sağlayıcılarının TCMB tarafından uygunluk sürecine tabi tutulduğu ve bu hizmetlerin Banka tarafından izlendiği belirtilmektedir.

Topluluk Bulutu Kullanmak İçin TCMB’ye Başvuru Gerekir mi?

Evet.

TCMB’nin 19 Haziran 2026 tarihinde güncellenmiş Kamu Hizmet Standartları Tablosuna göre, topluluk bulutu hizmetinden yararlanmak isteyen ödeme ve elektronik para kuruluşlarının hizmeti almaya başlamadan önce, alınacak hizmetin ayrıntılarını belirterek TCMB’ye başvuru yapması gerekir. Aynı belgede topluluk bulutu dış hizmet sağlayıcısı başvurusu ve mevcut topluluk bulutuna yeni bir kuruluşun dâhil edilmesi bakımından da ayrı başvuru süreçleri gösterilmektedir. Bu işlemler için tabloda azami 30 iş günlük hizmet tamamlama süresi öngörülmektedir.

Dolayısıyla topluluk bulutu bakımından;

“önce sistemi kullanmaya başlayalım, sonra TCMB’ye bildiririz”

şeklindeki yaklaşım doğru değildir.

Ön değerlendirme ve başvuru hizmet kullanılmadan önce yapılmalıdır.

Public Cloud Ödeme Kuruluşlarında Kullanılabilir mi?

Bu sorunun cevabı işlenen veriye ve hizmetin niteliğine göre değişir.

TCMB Tebliği müşteriyle ilişkilendirilebilen verilerin işlendiği bulut altyapısında özel bulut veya şartları sağlanmış uygun topluluk bulutu modellerini esas almaktadır.

Bu nedenle müşteri verisinin standart olarak farklı müşterilerle ortak kaynaklarda işlendiği genel amaçlı public cloud modeli, ödeme kuruluşunun canlı müşteri sistemleri için doğrudan kullanılabilecek varsayılan çözüm olarak görülmemelidir.

Bununla birlikte Tebliğde önemli bir istisna bulunmaktadır.

Müşteri verisi içermeyen test ve geliştirme ortamları ile sistemlerinde, gerekli güvenlik tedbirlerinin alınması şartıyla bulut bilişim hizmeti kullanıldığında özel/topluluk bulutu şartlarına ilişkin ilgili fıkra uygulanmamaktadır.

Dolayısıyla development ortamı ile canlı production ortamının hukuki değerlendirmesi farklı olabilir.

Test Ortamında Gerçek Müşteri Verisi Kullanılabilir mi?

Bu noktada önemli bir risk bulunmaktadır.

TCMB’nin test ve geliştirme ortamlarına ilişkin istisnası müşteri verisi içermeyen ortamlar bakımından düzenlenmiştir.

Bu nedenle canlı sistemden gerçek müşteri verilerinin kopyalanarak standart bir test bulutuna aktarılması, “bu yalnızca test ortamı” gerekçesiyle otomatik olarak istisna kapsamına girmez.

Fintech şirketlerinin test ortamlarında mümkün olduğunca;

anonimleştirilmiş, sentetik veya gerçek müşteriyle ilişkilendirilemeyen test verileri

kullanması, hem TCMB bilgi sistemleri düzenlemeleri hem de kişisel verilerin korunması bakımından daha güvenli bir mimari oluşturabilir.

Ödeme ve Elektronik Para Kuruluşlarının Sunucuları Türkiye’de mi Olmalıdır?

TCMB düzenlemeleri bu konuda oldukça açık bir veri lokalizasyonu rejimi öngörmektedir.

Tebliğin 21. maddesine göre ödeme ve elektronik para kuruluşlarının birincil ve ikincil sistemleri ile veri yedekleme merkezlerinin yurt içinde bulunması zorunludur. Ayrıca müşteriler arasındaki ödeme işlemlerinin yürütülmesinde kullanılan bilgi sistemleri ve bunların yedeklerinin de kural olarak Türkiye’de bulunması gerekir.

Bu yükümlülük dış hizmet sağlayıcılar bakımından da önemlidir.

Ödeme işlemlerinin gerçekleştirilmesinde kullanılan sistemler dış hizmet yoluyla işletiliyorsa dış hizmet sağlayıcının söz konusu hizmet için kullandığı bilgi sistemlerinin ve yedeklerinin de yurt içinde bulunması esastır.

Dolayısıyla bulut sağlayıcının yabancı bir şirket olması ile verinin ve ilgili altyapının yurt dışında bulunması aynı şey değildir.

Global bir sağlayıcının Türkiye’de mevzuata uygun şekilde oluşturduğu altyapı ile yalnızca Frankfurt, Dublin veya başka bir yabancı lokasyonda çalışan hizmet aynı hukuki değerlendirmeye tabi tutulmayabilir.

AWS, Azure veya Google Cloud Kullanmak Yasak mıdır?

Bu tür sorular marka üzerinden cevaplandırılmamalıdır.

TCMB Tebliği belirli teknoloji şirketlerinin isimlerini esas alan bir yasak sistemi kurmamaktadır. Düzenleme;

bulut modelinin niteliği, kaynakların tahsisi, verinin bulunduğu yer, dış hizmet sağlayıcının denetlenebilirliği ve sistemin mevzuat şartlarını sağlayıp sağlamadığı

üzerinden uygulanmaktadır.

Dolayısıyla örneğin AWS, Microsoft Azure, Google Cloud veya başka bir global bulut sağlayıcısının belirli bir hizmetinin kullanılıp kullanılamayacağını belirlemek için;

hangi region’ın kullanıldığı, hizmetin public/private/community niteliği, müşteri verisinin nerede işlendiği, logların nerede tutulduğu, yedeklerin hangi ülkede bulunduğu ve sağlayıcının TCMB denetimine imkân verip vermediği

incelenmelidir.

“Dünyanın en büyük cloud şirketi olduğu için mutlaka uygundur” yaklaşımı kadar “yabancı şirket olduğu için kesinlikle kullanılamaz” yaklaşımı da hukuki değerlendirme açısından eksik kalır.

Bulut Sistemlerinde Yedeklerin Yurt Dışında Tutulması Mümkün müdür?

Ödeme ve elektronik para kuruluşlarının birincil ve ikincil sistemleri ile veri yedekleme merkezleri bakımından yurt içinde bulunma zorunluluğu bulunmaktadır.

Bu nedenle ana veritabanının Türkiye’de tutulup bütün yedeklerin otomatik olarak yabancı bir veri merkezine gönderildiği bir yapı ayrıca sorun oluşturabilir.

Özellikle global SaaS ve bulut sözleşmelerinde;

“disaster recovery”,
“geo-redundancy”,
“backup replication”
veya “support copy”

adı altında verinin yurt dışındaki farklı bölgelere otomatik olarak kopyalanıp kopyalanmadığı teknik olarak kontrol edilmelidir.

Fintech şirketlerinin veri lokalizasyon analizini yalnızca ana sunucunun lokasyonu üzerinden yapması yeterli değildir.

Sınır Ötesi Ödemelerde Yurt Dışına Veri Gönderilebilir mi?

Belirli şartlarla mümkündür.

TCMB Tebliğinde 2023 yılında eklenen düzenlemeye göre ödeme işleminin taraflarından birinin kendisinin veya hizmet sağlayıcısının yurt dışında bulunması hâlinde, verilerin Türkiye’de saklanmaya devam edilmesi şartıyla, ödeme işleminin sorunsuz gerçekleşmesi için gerekli olan ve ölçülülük ilkesine uygun veriler yurt dışındaki ilgili üçüncü kişilerle paylaşılabilir.

Ancak bu aktarım bakımından KVKK’nın yurt dışına veri aktarımına ilişkin 9. maddesinden doğan yükümlülükler ayrıca devam etmektedir.

Dolayısıyla TCMB düzenlemesinin belirli sınır ötesi ödeme veri akışına izin vermesi, kişisel verilerin yurt dışına aktarımında KVKK’nın uygulanmayacağı anlamına gelmez.

Fintech Şirketlerinde Bulut Kullanımı ve KVKK

Bulut bilişim projeleri çoğu zaman yoğun kişisel veri işleme faaliyeti içermektedir.

Örneğin bulut sisteminde;

müşteri kimlik bilgileri, ödeme geçmişi, cihaz bilgileri, telefon numarası, finansal hareketler veya müşteri destek kayıtları

işlenebilir.

Bu durumda fintech şirketinin bulut sağlayıcısıyla ilişkisi KVKK bakımından da değerlendirilmelidir.

Bulut hizmet sağlayıcı somut ilişkinin özelliklerine göre veri işleyen konumunda olabilir. Ancak yalnızca sözleşmede “data processor” yazılması hukuki statünün belirlenmesi için yeterli değildir; tarafların veri üzerindeki gerçek karar yetkileri değerlendirilmelidir.

Özellikle bulut sağlayıcının veya alt yüklenicilerinin yurt dışında verilere erişmesi hâlinde KVKK m.9 kapsamındaki yurt dışına veri aktarımı rejimi gündeme gelebilir.

Yurt Dışındaki Bulut Şirketinin Veriye Uzaktan Erişmesi Yurt Dışına Veri Aktarımı Sayılabilir mi?

Bir bulut hizmetinde yalnızca sunucunun fiziksel konumu incelenmemelidir.

Örneğin veri Türkiye’deki sunucuda tutuluyor olsa dahi yabancı ülkedeki destek personelinin müşteri verisine uzaktan erişmesi, yurt dışına veri aktarımı bakımından ayrıca değerlendirilmesi gereken bir veri akışı oluşturabilir.

Benzer şekilde;

logların yabancı merkeze gönderilmesi, teknik destek dosyasında müşteri kaydının bulunması, hata raporlarının ana şirkete iletilmesi veya global güvenlik sistemlerinin veriyi yurt dışında analiz etmesi

de veri aktarım haritasında dikkate alınmalıdır.

Bu nedenle fintech şirketlerinin yalnızca “data residency: Turkey” ifadesine dayanması yerine sağlayıcının support access, telemetry, logging, subprocessor ve disaster recovery yapısını da incelemesi gerekir.

KVKK Kapsamında Yurt Dışına Veri Aktarımı Nasıl Yapılır?

KVKK’nın 9. maddesi kapsamında yurt dışına veri aktarımı için güncel sistemde yeterlilik kararı, uygun güvenceler ve Kanunda öngörülen sınırlı arızi aktarım hâlleri bulunmaktadır.

Uygun güvence yöntemlerinden biri Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşmelerdir. Kurumun güncel sisteminde veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım için ayrı standart sözleşme türleri bulunmaktadır.

Standart sözleşme kullanılması hâlinde aktarım için ayrıca Kurul izni alınması gerekmemekle birlikte mevzuatta öngörülen Kurula bildirim yükümlülüğünün yerine getirilmesi gerekir.

Dolayısıyla yabancı bulut sağlayıcısıyla standart bir “Data Processing Agreement” yapılması her zaman Türk hukukundaki yurt dışı aktarım yükümlülüklerini kendiliğinden karşılamaz.

Bulut Sağlayıcının Alt Yüklenicileri Neden Önemlidir?

Büyük bulut sağlayıcılarının hizmet zincirinde çok sayıda alt hizmet sağlayıcı bulunabilir.

Örneğin şirket ana bulut sağlayıcısıyla sözleşme yapmış olsa dahi;

müşteri destek hizmeti, siber güvenlik, veri merkezi işletmesi veya belirli yazılım modülleri başka şirketler tarafından sağlanabilir.

TCMB Tebliği, dış hizmet sözleşmesinde dış hizmet sağlayıcıya yüklenen yükümlülüklerin alt yüklenicilerle yapılan sözleşmelere de bağlayıcı şekilde yansıtılmasını sağlayacak hükümler bulunmasını istemektedir.

Bu nedenle fintech şirketinin yalnızca doğrudan sözleşme yaptığı bulut sağlayıcıyı değil, kritik alt yüklenici zincirini de değerlendirmesi gerekir.

Bulut Hizmet Sağlayıcının Müşteri Verilerine Erişimi Sınırlandırılmalı mıdır?

Evet.

TCMB Tebliğine göre dış hizmet sağlayıcılara verilecek erişim işin gerektirdiği bilgiyle sınırlandırılmalıdır.

Bu nedenle örneğin yalnızca sunucu performansını takip eden teknik destek personelinin müşterilerin açık kimlik veya ödeme bilgilerini görmesine gerek yoksa bu erişimin teknik olarak engellenmesi gerekir.

Bulut altyapısında;

yetki matrisi, role-based access control, ayrıcalıklı kullanıcı yönetimi, loglama ve erişim kayıtlarının izlenmesi

bu açıdan önemli hâle gelmektedir.

Bulut Hizmeti Kullanılması Fintech Şirketinin Sorumluluğunu Kaldırır mı?

Hayır.

TCMB Tebliği, bilgi sistemleri bakımından dış hizmet kullanılması durumunda kuruluşun ve üst yönetimin sorumluluklarının devam ettiğini açıkça düzenlemektedir. Kuruluş dış hizmete konu faaliyetler bakımından dış hizmet sağlayıcının işlemlerinden de sorumludur.

Dolayısıyla müşteri verisinin bulut sağlayıcıdaki güvenlik açığı nedeniyle sızması hâlinde;

“Veriler bizim sunucumuzda değildi.”

savunması kuruluşun düzenleyici yükümlülüklerini kendiliğinden ortadan kaldırmaz.

Fintech şirketinin tedarikçi seçerken gerekli özeni göstermesi, güvenlik önlemlerini kontrol etmesi ve hizmet sağlayıcıyı devamlı şekilde izlemesi gerekir.

Bulut Sağlayıcı Sadece İlk Sözleşmede mi Kontrol Edilir?

Hayır.

TCMB Tebliği, dış hizmet kullanımında sürekli bir gözetim yaklaşımını benimsemektedir.

Kuruluş üst yönetiminin dış hizmet sağlayıcının;

erişilebilirliğini, performansını, hizmet kalitesini, güvenlik ihlallerini, güvenlik kontrollerini, mali durumunu ve sözleşmeye uygunluğunu takip etmesi öngörülmektedir.

Bu nedenle cloud vendor due diligence yalnızca satın alma aşamasında yapılan bir form doldurma işlemi olmamalıdır.

Bulut sağlayıcı;

yeni bir alt yüklenici eklediğinde, veri merkezi değiştirdiğinde, hizmet modelini değiştirdiğinde veya önemli bir güvenlik olayı yaşadığında fintech şirketinin yeniden risk değerlendirmesi yapması gerekebilir.

Bulut Sözleşmesinde Hangi Hükümler Bulunmalıdır?

TCMB’nin bilgi sistemleri Tebliği dış hizmet sözleşmeleri bakımından ayrıntılı asgari içerik şartları getirmektedir. Bunlar bulut sözleşmeleri açısından da dikkate alınmalıdır.

Bulut sözleşmesinde özellikle;

1. hizmetin kapsamı ve hizmet seviyeleri,
2. veri ve sistemlerin bulunduğu yer,
3. erişim yetkileri ve bilgi güvenliği tedbirleri,
4. hizmetin sona erme şartları ve verilerin imhası,
5. iş sürekliliği ve disaster recovery süreçleri,
6. alt yükleniciler,
7. plansız hizmet kesintileri,
8. TCMB ve bağımsız denetçilerin bilgi ve denetim hakları,
9. veri ihlali ve olay bildirim prosedürleri,
10. hizmet sona erdiğinde verilerin geri alınması ve silinmesi

gibi konuların açıkça düzenlenmesi önemlidir.

TCMB Tebliği ayrıca dış hizmet sağlayıcının talep edilen kayıtları incelemeye hazır bulundurması ve Bankanın bilgi-belge taleplerini karşılayabilmesini sağlayacak sözleşmesel hükümler öngörmektedir.

Yabancı Bulut Şirketinin Standart Sözleşmesi Yeterli midir?

Her zaman değil.

Global bulut şirketlerinin standart sözleşmeleri dünya çapında çok sayıda müşteriye hitap ettiği için Türk finansal mevzuatındaki özel gerekliliklerin tamamını otomatik olarak karşılamayabilir.

Örneğin standart sözleşmede;

TCMB’nin denetim hakkı, verinin belirli lokasyonda tutulması, alt yüklenici değişikliklerinin kontrol edilmesi, belirli sürede veri iadesi, zorunlu çıkış desteği veya Türkiye’deki düzenleyici otoriteye kayıt gösterme yükümlülüğü

bulunmayabilir.

Bu nedenle fintech şirketinin cloud agreement, DPA, SLA ve subprocessor eklerini birlikte incelemesi gerekir.

Bulut Hizmetinde İş Sürekliliği Nasıl Sağlanmalıdır?

Fintech şirketlerinde birkaç saatlik sistem kesintisi dahi müşterilerin para gönderememesi, ödeme alamaması veya elektronik para bakiyelerine erişememesi sonucunu doğurabilir.

Bu nedenle dış hizmet alınırken iş sürekliliği ve çıkış stratejisi oluşturulması gerekir.

TCMB Tebliği kuruluşun dış hizmetin beklenmedik şekilde sona ermesi veya kesintiye uğramasından kaynaklanan riskleri yönetmesini ve uygun çıkış stratejisi belirlemesini öngörmektedir.

Örneğin bulut sağlayıcıyla ilişkinin ani şekilde sona ermesi durumunda;

verilerin ne kadar sürede başka sisteme taşınacağı, ödeme hizmetlerinin ne kadar süre içinde yeniden çalıştırılacağı ve müşterilerin kayıtlarına nasıl erişileceği

önceden planlanmalıdır.

Vendor Lock-In Fintech Şirketleri İçin Hukuki Bir Risk midir?

Evet.

Vendor lock-in, şirketin kullandığı teknoloji nedeniyle başka sağlayıcıya geçmesinin aşırı zor veya maliyetli hâle gelmesidir.

Bu yalnızca ticari bir problem değildir.

Bulut sağlayıcının mevzuata aykırı hâle gelmesi, TCMB’nin hizmet modelini uygun görmemesi veya ciddi güvenlik sorunlarının ortaya çıkması hâlinde fintech şirketinin sağlayıcıyı değiştirebilmesi gerekir.

Bu nedenle kritik sistemlerde;

veri taşınabilirliği, teknik dokümantasyon, kaynak kod bağımlılığı, API bağımlılıkları ve alternatif sağlayıcıya geçiş süresi

daha sözleşme kurulurken değerlendirilmelidir.

Fintech Şirketleri Bulut Sistemlerinde Verileri Şifrelemeli midir?

Ödeme sektöründe müşteri ve hassas verilerin güvenliği temel düzenleyici yükümlülüklerden biridir.

TCMB Tebliği bilgi sistemleri, erişim güvenliği ve veri gizliliği bakımından teknik ve idari tedbirlerin uygulanmasını öngörmektedir. Bulut kullanılması bu yükümlülükleri ortadan kaldırmaz.

Fintech şirketlerinin özellikle;

verilerin aktarım sırasında ve saklanırken şifrelenmesi, anahtar yönetimi, erişim logları, ayrıcalıklı kullanıcı hesapları ve çok faktörlü kimlik doğrulama

gibi güvenlik tedbirlerini bulut mimarisinin bir parçası hâline getirmesi gerekir.

Bulut Hizmeti Lisans Başvurusunda TCMB Tarafından İncelenir mi?

Ödeme veya elektronik para kuruluşu faaliyet izni başvurularında bilgi sistemlerinin mevzuata uygunluğu lisans sürecinin önemli unsurlarından biridir.

Bu nedenle şirketin temel müşteri ve ödeme altyapısını bulutta kurmayı planlaması hâlinde kullanılan bulut modeli, dış hizmet sağlayıcı ve veri mimarisi faaliyet izni hazırlıklarında değerlendirilmelidir.

Özellikle müşteri verilerinin nerede tutulduğu, birincil ve ikincil sistem yapısı, iş sürekliliği ve dış hizmet sağlayıcıların görevleri lisans dosyası ve bilgi sistemleri bağımsız denetimi bakımından önem taşıyabilir.

Bu nedenle TCMB lisans başvurusundan hemen önce bulut mimarisinin değiştirilmek zorunda kalmaması için hukuki analiz ürün geliştirme sürecinin başında yapılmalıdır.

Yabancı Ana Şirketin Bulut Altyapısı Türkiye’deki Fintech Şirketi Tarafından Kullanılabilir mi?

Yabancı sermayeli fintech şirketlerinde bu soru sıklıkla gündeme gelmektedir.

Örneğin global grubun Avrupa’da merkezi bir AWS veya Azure altyapısı bulunabilir ve ana şirket Türkiye’deki iştirakin de aynı altyapıyı kullanmasını isteyebilir.

Ancak Türkiye’deki şirket ödeme veya elektronik para kuruluşuysa, global grubun mevcut teknoloji mimarisinin doğrudan kopyalanması mümkün olmayabilir.

TCMB’nin;

birincil ve ikincil sistemler, yedekler, bulut modeli ve yurt içi sistem gereklilikleri

ayrıca dikkate alınmalıdır.

Ayrıca Türk müşterilere ilişkin verilerin yabancı ana şirket tarafından görülmesi KVKK kapsamında yurt dışına veri aktarımı doğurabilir.

Bu nedenle yabancı fintech gruplarının Türkiye’ye girişinde global cloud architecture ile Türkiye regulator architecture arasında ayrı bir uyum analizi yapılması gerekir.

Fintech Şirketlerinde Bulut Kullanımında En Sık Yapılan Hatalar

Uygulamada en önemli hata, fintech şirketinin bulut hizmetini yalnızca teknik ekibin vereceği bir altyapı kararı olarak görmesidir.

Sık karşılaşılan diğer hatalar arasında standart public cloud yapısının müşteri verileri için doğrudan kullanılabileceğinin varsayılması, ana sunucunun Türkiye’de olması yeterli görülerek yurt dışındaki yedeklerin gözden kaçırılması, yabancı teknik destek ekiplerinin verilere erişiminin analiz edilmemesi, test ortamlarında gerçek müşteri verilerinin kullanılması, alt yüklenicilerin kontrol edilmemesi, TCMB topluluk bulutu başvurusunun hizmet başladıktan sonraya bırakılması, KVKK yurt dışı aktarım sürecinin kurulmamış olması ve çıkış stratejisinin hazırlanmaması yer almaktadır.

Bulut sistemlerinin karmaşık olması nedeniyle teknik ekip tarafından “veri Türkiye’de” şeklinde verilen genel bir cevap her zaman yeterli değildir.

Verinin;

ana kopyası + yedeği + logları + telemetry kayıtları + teknik destek kopyaları + disaster recovery kopyaları

ayrı ayrı incelenmelidir.

Sıkça Sorulan Sorular

Fintech şirketi bulut kullanabilir mi?

Evet. Ancak şirketin faaliyet alanına göre farklı mevzuat uygulanır. Ödeme ve elektronik para kuruluşları, TCMB’nin bilgi sistemleri Tebliğindeki özel bulut, topluluk bulutu, veri lokalizasyonu ve dış hizmet şartlarına tabidir.

Ödeme kuruluşları public cloud kullanabilir mi?

Müşteri veya kişisel verilerin işlendiği canlı sistemlerde standart public cloud modelinin doğrudan kullanılabileceği varsayılmamalıdır. TCMB Tebliği bu tür veriler bakımından özel bulut modelini veya gerekli şartları sağlayan TCMB uygunluklu topluluk bulutu modelini esas almaktadır.

Test ortamında cloud kullanılabilir mi?

Müşteri verisi içermeyen test ve geliştirme ortamlarında gerekli güvenlik tedbirleri alınmak kaydıyla bulut kullanımına ilişkin özel/topluluk bulutu sınırlamasının uygulanmayacağı düzenlenmiştir.

Ödeme kuruluşunun sunucuları Türkiye’de olmak zorunda mı?

Birincil ve ikincil sistemler ile veri yedekleme merkezlerinin Türkiye’de bulunması zorunludur. Ödeme işlemlerinin yürütülmesinde kullanılan bilgi sistemleri ve yedeklerinin de kural olarak yurt içinde bulunması gerekir.

Topluluk bulutu kullanmak için TCMB izni gerekir mi?

Topluluk bulutundan yararlanmak isteyen ödeme veya elektronik para kuruluşunun hizmeti almaya başlamadan önce TCMB’ye başvuru yapması gerekir. TCMB’nin Haziran 2026 tarihli hizmet standartlarında bu süreç ayrıca gösterilmektedir.

Yabancı bulut sağlayıcı kullanılabilir mi?

Sağlayıcının yabancı olması tek başına belirleyici değildir. Hizmetin TCMB düzenlemelerindeki veri lokalizasyonu, bulut modeli, dış hizmet ve denetim şartlarına uygunluğu değerlendirilmelidir. Yurt dışından kişisel verilere erişim bulunuyorsa KVKK m.9 ayrıca gündeme gelir.

Veriler Türkiye’de olsa bile yabancı şirketin erişmesi sorun olur mu?

Yabancı ülkedeki personelin Türkiye’de saklanan kişisel verilere uzaktan erişmesi KVKK’nın yurt dışına veri aktarımı hükümleri bakımından ayrıca değerlendirilmelidir. Bu nedenle yalnızca veri merkezinin fiziksel konumuna bakılması yeterli değildir.

Yurt dışına veri aktarımı standart sözleşmeyle yapılabilir mi?

KVKK kapsamında standart sözleşmeler uygun güvence yöntemlerinden biridir. Aktarım ilişkisinin taraflarına göre dört farklı standart sözleşme modeli bulunmaktadır ve mevzuattaki bildirim yükümlülüğünün ayrıca yerine getirilmesi gerekir.

Sonuç: Fintech Şirketlerinde Bulut Stratejisi Teknik Olduğu Kadar Hukuki Bir Karardır

Bulut bilişim, fintech şirketlerine ölçeklenebilirlik, maliyet avantajı ve teknolojik esneklik sağlamaktadır. Ancak ödeme kuruluşları ve elektronik para kuruluşları açısından bulut kullanımı serbest ve sınırsız bir teknoloji tercihi değildir.

TCMB’nin mevcut düzenlemeleri;

bulutun yurt içinde tesis edilmesini, müşteri ve kişisel veriler bakımından özel bulut veya şartları oluşmuş uygun topluluk bulutu modellerinin kullanılmasını, birincil ve ikincil sistemlerle yedeklerin Türkiye’de tutulmasını, dış hizmet sağlayıcıların denetlenebilir olmasını ve kuruluşun sorumluluğunun devam etmesini

esas almaktadır.

Ayrıca topluluk bulutu kullanmak isteyen ödeme ve elektronik para kuruluşlarının hizmete başlamadan önce TCMB’ye başvurmaları gerekmektedir.

Yabancı bulut sağlayıcıları veya global grup altyapıları kullanılan projelerde buna ilave olarak KVKK’nın yurt dışına veri aktarım hükümleri de değerlendirilmelidir. Güncel KVKK sisteminde standart sözleşmeler uygun güvence yöntemlerinden biri olmakla birlikte, TCMB’nin sistemlerin Türkiye’de bulunmasına ilişkin kuralları bundan bağımsız şekilde uygulanmaya devam eder.

Bu nedenle bir ödeme kuruluşu, elektronik para kuruluşu, dijital cüzdan veya açık bankacılık şirketi için bulut altyapısı oluşturulurken en sağlıklı yöntem;

önce işlenecek verilerin sınıflandırılması → bulut modelinin belirlenmesi → sistem ve veri lokasyonlarının tespiti → alt yüklenici ve yurt dışı erişim analizinin yapılması → TCMB ve KVKK uyumunun değerlendirilmesi → dış hizmet sözleşmelerinin düzenlenmesi → iş sürekliliği ve çıkış planının oluşturulması

şeklinde hareket etmektir.

Böylece cloud mimarisi şirket faaliyete geçtikten sonra mevzuata uydurulmaya çalışılan bir teknik yapı olmaktan çıkar ve doğrudan fintech şirketinin lisans, bilgi güvenliği ve hukuki uyum mimarisinin bir parçası hâline gelir.