Fintek, Ödeme,
Elektronik Para ve
Kripto Varlıklar Hukuku

Fintek İş Modelinin Hukukî Tasarımı

Ürünün hedef kullanıcısı, gelir modeli, fon akışı, veri akışı, teknik mimarisi, sözleşme tarafları ve dış hizmetleri birlikte incelenir. Girişimin hangi faaliyeti kendisinin, hangi işlevi banka veya lisanslı kuruluş üzerinden yürüteceği yazılı hâle getirilir. Geliştirme başlamadan önce izin gerektiren işlevler ile lisanslı iş ortağı üzerinden kurulabilecek işlevlerin ayrılması; sonradan ürünün durdurulması, entegrasyonun yeniden yapılması veya yatırım sürecinde hukukî belirsizlik doğması riskini azaltır.

Düzenleyici Çevre ve Yetkili Kurum Haritası

Faaliyet; TCMB, SPK, BDDK, MASAK, KVKK, Ticaret Bakanlığı, Rekabet Kurumu ve koşulları varsa yabancı düzenleyiciler bakımından sınıflandırılır. Her kurum yönünden izin, bildirim, raporlama, inceleme ve yaptırım başlıkları ayrı tabloda gösterilir. Bir kurumdan alınan izin veya kayıt, başka bir mevzuattan doğan yükümlülükleri kendiliğinden ortadan kaldırmadığından, çok katmanlı yetki haritası yönetim kurulunun anlayabileceği bir karar belgesine dönüştürülür.

İzin Gerekliliği ve Faaliyet Sınırı İncelemesi

Ödeme hesabı işletme, para havalesi, ödeme emri başlatma, hesap bilgisi sağlama, ödeme aracının ihracı veya kabulü, fatura ödemesine aracılık, mobil ödeme, elektronik para ihracı, kripto platformu işletme veya saklama gibi işlevlerin izne tabi olup olmadığı belirlenir. Teknik hizmet istisnası, ticari temsilci, sınırlı ağ veya diğer kapsam dışı yapıların koşulları somut akışa göre incelenir; ürün adı üzerinden istisna varsayılmaz.

Ödeme ve Elektronik Para Kuruluşlarında Tescil Aşaması

Şirket türü, ana sözleşme, pay sahipliği, nitelikli paylar, mali güç, yönetim yapısı ve tescil öncesi sunulacak güncel formlar bütüncül hazırlanır. Ödeme veya elektronik para kuruluşu ibaresini taşıyan ticaret unvanının tescilinden önce TCMB’ye sunulması gereken belgeler, başvuru ücreti ve ön inceleme düzeni yönetilir. Ortak ve yöneticilere ilişkin şartlar ile fon kaynağı açıklamaları denetlenir; resmî form ile şirket içi belgeler arasındaki tutarsızlıklar giderilir.

TCMB İstihbari İnceleme, Nihai Onay ve Hizmet Kapsamı

Tescil aşamasını izleyen istihbari inceleme ve nihai onay başvurularında güncel süreler ile Yönetmelik eklerindeki bilgi ve belgeler esas alınır. Organizasyonun, personelin, sistemlerin, süreçlerin, sözleşmelerin, güvenlik kontrollerinin ve iş sürekliliğinin faaliyete hazır olduğu gösterilir. Talep edilen her ödeme hizmeti için ürün akışı ve teknik işlev ayrı açıklanır. Faaliyet izninden sonra yalnız izin verilen hizmetlerin sunulması ve yeni üründe kapsam genişletme gereğinin önceden incelenmesi sağlanır.

6493 Sayılı Kanun Kapsamında Ödeme Hizmeti Sınıflandırması

Ödeme hesabına para yatırma ve çekme, fon transferi, ödeme aracının ihracı veya kabulü, para havalesi, mobil ödeme, ödeme emri başlatma ve hesap bilgisi hizmetleri işlem bazında sınıflandırılır. Bir ürünün birden fazla ödeme hizmetini aynı anda içermesi mümkündür. Kullanıcı ekranı, arka plandaki banka bağlantısı ve fonun nihai alıcıya geçişi birlikte incelenerek lisans kapsamı ile fiilî faaliyet arasındaki uyum raporlanır.

Elektronik Para İhracı, Bakiye ve Geri Ödeme Yapısı

Fon kabulü üzerine elektronik olarak saklanan, ihraççı dışındaki kişilerce de kabul edilen parasal değerin elektronik para niteliği değerlendirilir. İhraç edilen değer ile alınan fonun eşleşmesi, kullanım ağı, koruma hesabı, geri ödeme, kullanılmayan bakiye, ücret, zaman aşımı iddiası ve müşteri bilgilendirmesi düzenlenir. Sadakat puanı, kapalı devre değer veya oyun içi birim gibi modellerde isim yerine ekonomik işlev ve kabul çevresi esas alınır.

Dijital Cüzdan ve Saklı Ödeme Aracı Modelleri

Dijital cüzdanın Yönetmelik m.4/A kapsamındaki işlevleri, ödeme aracı ihracı ve gerektiğinde diğer ödeme hizmeti veya elektronik para yetkileri birlikte incelenir. Yalnız teknik saklama istisnası, müşteriyle doğrudan ilişki ve hizmetin görünen yüzü olma dahil bütün koşullarıyla değerlendirilir. Cüzdana para yükleme, cihaz değişikliği, kimlik doğrulama, işlem limiti, kayıp cihaz, yetkisiz kullanım, bakiye iadesi ve hesabın kapatılması süreçleri hukukî metin ve kullanıcı arayüzüyle eşleştirilir.

Müşteri Fonlarının Korunması ve Hesap Ayrıştırması

Ödeme fonları ile elektronik para ihracı karşılığında toplanan fonların şirket malvarlığından ayrılması, koruma hesapları, gün sonu mutabakatı, erişim yetkisi, haciz/iflas riski ve iade süreçleri incelenir. Banka hesap adı, muhasebe kaydı ve operasyon akışının aynı hukukî amacı göstermesi sağlanır. Fonun üçüncü taraf nezdinde gecikmesi veya eksik mutabakat durumunda uygulanacak eskalasyon ve yönetim bildirimi yazılı hâle getirilir.

Asgari Özkaynak, Sermaye Yeterliliği ve Meslekî Sorumluluk

Kuruluşun izin türüne ve işlem hacmine bağlı asgari özkaynak, hesaplama, raporlama ve varsa meslekî sorumluluk sigortası yükümlülüğü izlenir. Her yıl güncellenebilen tutarlar web sayfasındaki kalıcı metne kesin rakam olarak yerleştirilmez; tarihli yönetim uyum çizelgesinde tutulur. Kâr dağıtımı, sermaye azaltımı, zarar, ilişkili taraf işlemi veya hızlı büyümenin özkaynak üzerindeki etkisi karar öncesinde incelenir.

Açık Bankacılık, Hesap Bilgisi ve Ödeme Emri Başlatma

Hesap bilgisi ve ödeme emri başlatma hizmetlerinde tarafların rolleri, kullanıcının talebi ve işlem onayı, güçlü kimlik doğrulama, erişim kapsamı, onayın geri alınması, API güvenliği ve kayıt sorumluluğu belirlenir. Ödeme Hizmetleri Veri Paylaşım Servisleri standartları ile sözleşme ve mahremiyet metinleri birlikte incelenir. ÖHVPS 2.0.0 ile devreye alınan kart bilgileri, ileri tarihli ve düzenli ödeme emirlerinin ürüne eklenmesi, izin kapsamı ve sürüm değişikliği bakımından ayrıca değerlendirilir.

API, Veri Paylaşımı ve Fintek Entegrasyon Sözleşmeleri

Banka, ödeme kuruluşu, elektronik para kuruluşu, teknoloji şirketi ve kurumsal müşteri arasındaki API sözleşmelerinde hizmet seviyesi, erişim yetkisi, veri alanları, kimlik doğrulama, değişiklik bildirimi, kesinti, hata, kayıt, denetim, alt yüklenici, fikrî hak, sorumluluk ve çıkış planı düzenlenir. Teknik dokümantasyonun sözleşmeye hangi sürümle bağlandığı ve API değişikliğinin müşteri işlemine etkisi açıkça belirlenir.

FAST, TR Karekod ve Anlık Ödeme Modelleri

FAST, kolay adres, TR Karekod ve kartlı ödeme altyapısıyla bağlantılı ürünlerde katılımcı sıfatı, mesaj akışı, ödeme emri, alıcı doğrulama, işlem limiti, iade, mutabakat ve operasyon sorumluluğu incelenir. Karekodun statik veya dinamik olması, işyeri veya kişiden kişiye ödeme senaryosu ve sahte karekod riski süreç tasarımına eklenir. BKM ve TCMB teknik ilke sürümleri sözleşme eki ve değişiklik takvimiyle yönetilir.

Üye İşyeri Edinimi, POS ve Ödeme Kabulü

Fizikî veya sanal POS, ödeme geçidi, alt üye işyeri, pazaryeri ödemesi ve ödeme kolaylaştırıcılığı modellerinde ödeme aracının kabulü, üye işyeri kabulü, komisyon, bloke, rezerv, mutabakat, ters ibraz, iade ve fesih hükümleri hazırlanır. Terminalin kim tarafından tahsis edildiği ve fiilen kim tarafından kullanıldığı izlenir. Üye işyeri tanıma, yasaklı faaliyet, işlem izleme ve terminalin üçüncü kişiye kullandırılmaması kontrolleri sözleşme ile operasyona birlikte yerleştirilir.

Kart, Ön Ödemeli Araç ve Ödeme Aracı İhracı

Fizikî veya sanal kart, ön ödemeli araç, kurumsal harcama kartı ve tek kullanımlık ödeme aracı modellerinde ihraççı sıfatı, marka programı, kullanıcı yetkisi, limit, ücret, yükleme, kayıp/çalıntı, itiraz ve kapatma hükümleri düzenlenir. Kart şeması kuralları ile 6493 sayılı Kanun, banka kartları ve kredi kartları mevzuatı ve tüketici hükümleri arasındaki görev dağılımı somut modele göre belirlenir.

Mobil Ödeme ve Fatura Ödemesine Aracılık

Elektronik haberleşme cihazı üzerinden onaylanan mobil ödeme ile fatura ödemesine aracılık modellerinde hizmet türü, kullanıcı onayı, limit, tahsilat, iptal, iade ve taraf sorumlulukları belirlenir. Telekom işletmecisi, ödeme kuruluşu, hizmet sağlayıcı ve kullanıcı arasındaki ilişki ayrı sözleşme katmanlarında düzenlenir. Güncel işlem limitleri ve izin kapsamı sabit metne gömülmeden, tarihli uyum çizelgesinden yönetilir.

Para Havalesi, Yurt İçi ve Sınır Ötesi Fon Transferi

Gönderen, alıcı, aracı kuruluş, muhabir, yabancı iş ortağı ve ödeme zincirindeki diğer tarafların rolü belirlenir. Kur, ücret, kesinti, işlem süresi, eksik bilgi, yanlış alıcı, işlem reddi, geri çağırma, yaptırım taraması ve hata sorumluluğu sözleşmede açıklanır. Yurt dışı yerleşik tüzel kişiyle birlikte hizmet sunulması gereken modellerde TCMB izni, yerel düzenleme, veri aktarımı ve muhabir sözleşmesi birlikte incelenir.

Ödeme ve Menkul Kıymet Mutabakat Sistemleri Hukuku

Ödeme sistemi veya menkul kıymet mutabakat sistemi işleticileri yönünden kuruluş, faaliyet, sistem kuralları, katılımcı kabulü, teminat, mutabakat kesinliği, iş sürekliliği, operasyonel risk ve gözetim yükümlülükleri değerlendirilir. Katılımcı sözleşmeleri ile sistem kural kitabının tutarlılığı denetlenir. Kritik değişiklik, yeni katılımcı türü veya dış hizmet kullanımında TCMB bildirim ve izin gereği ayrıca belirlenir.

Dijital Bankacılık, Servis Modeli Bankacılığı ve Gömülü Finans

Dijital banka, servis bankası, arayüz sağlayıcı, fintek şirketi ve son kullanıcı arasındaki yapı BDDK düzenlemeleri çerçevesinde incelenir. Bankacılık hizmetinin hangi tüzel kişi tarafından sunulduğu, müşterinin bunu açıkça anlayıp anlamadığı, arayüz sağlayıcının eriştiği veri ve üstlendiği işlev belirlenir. Gömülü ödeme, hesap, kredi veya kart ürününde marka görünümü ile hukukî hizmet sağlayıcı sıfatının birbirine karışmaması sağlanır.

Dış Hizmet, Bulut, Yazılım ve Teknoloji Tedariki

Bulut, çekirdek ödeme altyapısı, kimlik doğrulama, sahtecilik izleme, çağrı merkezi, veri merkezi, yazılım geliştirme ve destek hizmetlerinde dış hizmete izin verilip verilmediği ve hangi koşulların uygulanacağı incelenir. Veri konumu, erişim, alt hizmet sağlayıcı, denetim hakkı, olay bildirimi, süreklilik, kaynak kodu, çıkış desteği ve veri iadesi düzenlenir. Kritik işlevin devredilmesi, kuruluşun düzenleyici sorumluluğunu ortadan kaldırmaz.

Bilgi Sistemleri, Siber Güvenlik ve Olay Yönetimi

Bilgi varlığı envanteri, erişim yönetimi, ayrıcalıklı hesaplar, kayıt tutma, şifreleme, ağ güvenliği, güvenli yazılım geliştirme, sızma testi, zafiyet yönetimi, yedekleme, felaket kurtarma ve olay müdahalesi hukukî yükümlülüklerle eşleştirilir. Siber olayın TCMB, SPK, KVKK, MASAK, müşteriler veya diğer paydaşlara bildirim gerektirip gerektirmediği olay türüne göre belirlenir. Teknik inceleme, meslekî sır, veri güvenliği, kayıtların muhafazası ve bildirim yükümlülükleriyle birlikte yürütülür. Teknik test ve müdahale ilgili uzman ekibin sorumluluğundadır.

Güçlü Kimlik Doğrulama, Uzaktan Müşteri Edinimi ve E-Sözleşme

Uzaktan kimlik tespiti, görüntülü görüşme veya uygun elektronik yöntemler, cihaz bağlama, çok unsurlu doğrulama, riskli işlem için ek kontrol, elektronik imza ve kalıcı veri saklayıcısı süreçleri incelenir. Kimlik doğrulama ile MASAK kimlik tespitinin aynı kavram olmadığı açıklanır. Hatalı deneme, hesap ele geçirme, SIM değişimi, cihaz değişikliği ve erişilebilirlik gereksinimleri kullanıcı hakkını gereksiz yere sınırlamadan güvenli akışa dönüştürülür.

KVKK, Finansal Veri ve Yurt Dışına Aktarım

Müşteri edinimi, işlem izleme, risk skoru, sahtecilik önleme, çağrı merkezi, çerez, cihaz izi, biyometri ve pazarlama süreçleri için veri işleme envanteri hazırlanır. Veri sorumlusu ve veri işleyen rolleri, saklama süreleri, ilgili kişi başvuruları, ihlal yönetimi ve yurt dışına aktarım mekanizması belirlenir. Zorunlu düzenleyici kayıt ile ürün analitiği veya pazarlama verisi aynı amaç altında birleştirilmez.

Kurumsal Yönetim, İç Kontrol, Risk ve İç Denetim

Yönetim kurulu sorumluluğu, görevler ayrılığı, iç kontrol, risk yönetimi, iç denetim, uyum, bilgi güvenliği ve iş sürekliliği fonksiyonları kuruluşun ölçeğine uygun biçimde düzenlenir. Politika metinlerinin yalnız dosyada bulunması yeterli görülmez; kontrol sahibi, sıklık, örneklem, bulgu sınıfı, düzeltme süresi ve yönetim raporlaması belirlenir. Çıkar çatışması ve kritik yetkinin tek kişide toplanması riskleri organizasyon şemasında giderilir.

MASAK Uyum Programı, Müşterinin Tanınması ve Şüpheli İşlem Bildirimi

Risk yönetimi, izleme ve kontrol, uyum görevlisi, eğitim, iç denetim, müşteri kabulü, gerçek faydalanıcı, kamusal nüfuz sahibi kişi, yüksek riskli ülke, yaptırım listesi ve şüpheli işlem bildirimi süreçleri kuruluş türüne göre kurulur. Bildirim gizliliği korunur; müşteriyle iletişim, incelemeyi açığa çıkarmayacak biçimde yönetilir. Ödeme, elektronik para ve kripto işlemlerine özgü risk göstergeleri senaryo ve vaka yönetimi kayıtlarına bağlanır.

Ekonomik Yaptırımlar ve Malvarlığının Dondurulması

Birleşmiş Milletler kararları, Türkiye’de uygulanan malvarlığı dondurma rejimi, ülke ve ürün kısıtları ile sözleşmesel yabancı yaptırım hükümleri birbirinden ayrılır. Müşteri, gerçek faydalanıcı, alıcı, gönderen, cüzdan ve işlem taramasının kapsamı belirlenir. Eşleşme, yanlış eşleşme, işlemi bekletme, ret, bildirim ve kayıt adımları yazılı hâle getirilir; yabancı yaptırım maddelerinin Türk hukuku bakımından uygulanabilirliği ayrıca incelenir. 34 sıra numaralı MASAK Genel Tebliği kapsamındaki listeleme kararları için duyuru, eşleşme, ivedi bildirim ve işlemin ertelenmesi adımları ayrıca değerlendirilir.

TCMB Gözetimi, Raporlama ve İdarî Süreçler

Periyodik raporlama, bağımsız denetim, bilgi talebi, yerinde inceleme, bulgu cevabı, düzeltici eylem ve yönetim kurulu takibi yürütülür. İstenen verinin kaynağı ve hesaplama yöntemi doğrulanmadan kuruma gönderilmemesi için hukuk, finans ve teknoloji onay düzeni kurulur. İdarî para cezası, faaliyet sınırlaması, geçici durdurma veya izin iptali riski doğuran bulgularda süre, yetki, ölçülülük ve yargı yolu incelenir.

Çerçeve Sözleşme, Ön Bilgilendirme ve Ücret Şeffaflığı

Ödeme hizmeti çerçeve sözleşmesi, tek seferlik ödeme bilgisi, elektronik para sözleşmesi, kripto varlık müşteri sözleşmesi ve kurumsal müşteri metinleri ilgili ürüne göre hazırlanır. Ücret, kur, işlem süresi, benzersiz tanımlayıcı, onayın geri alınması, iletişim, itiraz, fesih ve değişiklik bildirimi açıkça düzenlenir. Kullanıcı arayüzünde gösterilen bilgi ile imzalanan sürüm ve operasyon uygulaması arasında tutarlılık kurulur.

Yetkisiz veya Hatalı Ödeme İşlemleri ve İade Süreçleri

Müşterinin işlemi yetkilendirip yetkilendirmediği, bildirimin zamanı, güçlü kimlik doğrulama, ağır ihmal iddiası, benzersiz tanımlayıcı, hizmet sağlayıcılar arasındaki sorumluluk ve iade zamanı incelenir. Otomatik ret yerine işlem türüne göre inceleme ve gerekçeli cevap akışı kurulur. Çağrı kaydı, cihaz kaydı, doğrulama adımı, oturum, ödeme mesajı ve bildirim kayıtlarının bütünlüğü korunur.

Ödeme Sahteciliği, Ters İbraz ve Üye İşyeri Uyuşmazlıkları

Kartın fiziken bulunmadığı işlemler, hesap ele geçirme, sosyal mühendislik, sahte işyeri, dostane sahtecilik iddiası, teslim uyuşmazlığı ve ters ibraz süreçleri yönetilir. Kart şeması süresi ile kanunî başvuru süresi birbirinden ayrılır. Üye işyeri sözleşmesi, sipariş/teslim kaydı, kimlik doğrulama, itiraz kodu, rezerv ve bloke işlemleri incelenerek ödeme kuruluşu, işyeri ve kullanıcı arasındaki sorumluluk dağılımı belirlenir.

İdarî, Ticari, Tüketici ve Ceza Uyuşmazlıkları

TCMB veya SPK işlemlerine ilişkin idarî başvurular ve iptal davaları; lisanslı kuruluşlar arası sözleşme uyuşmazlıkları; müşteri fonu, yetkisiz ödeme, ters ibraz, kripto transferi, hesap kısıtı, listeleme veya saklama uyuşmazlıkları yürütülür. Sahtecilik, bilişim suçu, güveni kötüye kullanma, piyasa bozucu işlem veya izinsiz faaliyet iddialarında hukukî ve teknik kayıtlar birlikte incelenir. Arabuluculuk, tahkim, dava ve koşulları varsa geçici hukukî koruma yolları dosyanın niteliğine göre seçilir.

Pay Devri, Birleşme, Yönetici Değişikliği ve Kurumsal İşlemler

Lisanslı ödeme ve elektronik para kuruluşları ile kripto varlık hizmet sağlayıcılarında doğrudan veya dolaylı pay devri, kontrol değişikliği, birleşme, bölünme, esas sözleşme değişikliği ve kritik yönetici atamaları düzenleyici izin ve bildirim yönünden incelenir. Yatırım sözleşmesindeki kapanış şartları, düzenleyici onay alınmadan fiilî kontrol devri yaratmayacak biçimde kurulur. İnceleme sürecinde veri odası, pay sahibi uygunluğu ve fon kaynağı belgeleri kademeli yönetilir.

Kripto Varlık ve Token Hukukî Sınıflandırması

Tokenin ekonomik hakkı, ihraç biçimi, transfer edilebilirliği, kullanım amacı, yönetişim hakkı, gelir veya varlık bağlantısı, geri alım vaadi ve teknik altyapısı incelenir. Ürünün kripto varlık, sermaye piyasası aracı, elektronik para, ödeme aracı, dijital hak veya başka bir sözleşmesel hak niteliği taşıyıp taşımadığı belirlenir. Teknik dokümandaki adlandırma yerine yatırımcıya sunulan gerçek hak ve ekonomik yapı esas alınır.

Stabil Değerli Tokenler, Varlık Tokenizasyonu ve NFT Modelleri

İtibari paraya, emtiaya, menkul kıymete, gayrimenkule veya başka varlığa bağlı tokenlerde ihraççı, rezerv, geri alım, hak sahipliği, saklama ve ikincil işlem yapısı incelenir. Tekil dijital varlık veya NFT adı, ürünü kendiliğinden düzenleme dışına çıkarmaz; seri üretim, bölünebilirlik, yatırım amacı ve ekonomik haklar değerlendirilir. Türkiye ile hedef ülke düzenlemesi ve MiCA kapsamı ayrı hukuk notlarında ele alınır.

SPK Nezdinde Kripto Platformu Kuruluş ve Faaliyet İzni

Yeni platformun anonim şirket yapısı, pay sahipleri, sermayesi, yönetimi, organizasyonu, iç sistemleri, bilgi sistemleri, müşteri kabulü, emir ve işlem altyapısı değerlendirilir. Kuruluş ve faaliyet izni başvuruları, her aşamanın güncel form ve eklerine göre ayrı hazırlanır; bütün faaliyet hazırlıklarının yalnız kuruluş izni aşamasında tamamlandığı varsayılmaz. Geçici liste kaydı, kuruluş izni ve faaliyet izni yatırımcı, iş ortağı ve tanıtım metinlerinde doğru sıfatlarla gösterilir.

Kripto Müşteri Sözleşmeleri, Risk Bildirimi ve Tanıtım

Platform veya saklama sözleşmesinde hizmet kapsamı, emir yöntemi, ücret, saklama, transfer, çatallanma, airdrop, ağ güncellemesi, hata, erişim kesintisi, hesabın sınırlandırılması, fesih ve uyuşmazlık yolu açıklanır. Kripto varlıkların yatırımcı tazmin hükümlerine tabi olmamasının ve varlığa özgü risklerin görünür biçimde belirtilmesi sağlanır. Getiri veya değer artışı izlenimi yaratan tanıtım dili, müşteri deneyimi ve yönlendirme kampanyaları hukukî denetime alınır.

Kripto Varlık Saklama ve Anahtar Yönetimi

Sıcak, soğuk ve çoklu imzalı cüzdan yapısı; özel anahtar oluşturma, saklama, yedekleme, erişim, imha ve kurtarma süreçleri incelenir. Müşteri varlığı ile kuruluş varlığının ayrılması, zincir üstü ve iç kayıt mutabakatı, transfer onayı, personel yetkisi, üçüncü taraf saklama ve olay müdahalesi sözleşme ve politika düzeyinde düzenlenir. Saklama hizmetinin fiilen hangi kuruluş tarafından sunulduğu müşteriye açıkça bildirilir.

Müşteri Kripto Varlıkları, Kayıt, Mutabakat ve Rezerv Kanıtı

Müşteri nakdi ve kripto varlıklarının kuruluş varlıklarından ayrılığı, hak sahipliği kayıtları, günlük mutabakat, zincir üstü cüzdanlar, borç kayıtları ve erişim yetkileri incelenir. Bağımsız denetim ve rezerv kanıtı süreçlerinde kapsam, veri kaynağı, örneklem, cüzdan doğrulaması, yükümlülüklerin tamlığı ve rapor kullanım sınırı belirlenir. Rezerv kanıtı, mali tablo denetimi veya ödeme gücü değerlendirmesinin yerine geçen genel bir güven beyanı olarak sunulmaz.

Kripto Varlık Transferi, Seyahat Kuralı ve Transfer Tedbirleri

Gönderen ve alıcı bilgilerinin transfer mesajına eklenmesi, eksik bilgi, başka hizmet sağlayıcıyla transfer, barındırılmayan cüzdan, riskli adres, transfer bekleme süreleri ve limitler güncel SPK ve MASAK düzenlemelerine göre uygulanır. Zincir analizi sonucu tek başına kesin hukukî nitelendirme sayılmaz; risk göstergesi diğer müşteri ve işlem verileriyle değerlendirilir. İşlemi reddetme, askıya alma, ek bilgi isteme ve şüpheli işlem bildirimi süreçleri birbirinden ayrılır.

Kripto Varlık Listeleme ve Listeden Çıkarma

Listeleme komitesi, teknik ve hukukî inceleme, çıkar çatışması, ihraççı/proje ekibi bağlantısı, dağılım, likidite, siber risk, akıllı sözleşme, piyasa bozucu işlem ve devamlı izleme ölçütleri hazırlanır. Listeleme ücreti veya ticari ilişki karar sürecini gölgelememelidir. Listeden çıkarma hâlinde duyuru, emirlerin kapatılması, transfer, saklama ve müşteri varlığının iadesi için ölçülü geçiş planı kurulur.

Emir, İşlem, Fiyat Oluşumu ve Piyasa Bütünlüğü

Emir kabulü, öncelik, eşleştirme, iptal, olağan dışı fiyat hareketi, piyasa yapıcılık, kurum hesabına işlem, çalışan işlemleri ve çıkar çatışması kuralları düzenlenir. Wash trading, sahte emir, yanıltıcı görünüm, hesap bağlantısı ve içeriden bilgi riski için izleme senaryoları hazırlanır. İşlem durdurma veya sınırlama kararının yetkisi, gerekçesi, müşteriye bildirimi ve kayıt altına alınması belirlenir.

Sınır Ötesi Fintek, MiCA, DORA ve Yabancı Lisans Koordinasyonu

Türkiye’den yurt dışına hizmet veya yurt dışından Türkiye’de yerleşik kullanıcılara yönelme hâlinde hedef ülke izni, yerel temsil, tüketici, ödeme, kripto, veri, siber dayanıklılık ve yaptırım kuralları incelenir. AB bakımından MiCA yetkilendirmesi, 1 Temmuz 2026’da sona eren geçiş düzeninin sonuçları, seyahat kuralı ve DORA kapsamı faaliyet bazında değerlendirilir. Yabancı izin Türkiye’de kendiliğinden faaliyet hakkı vermediği gibi Türkiye’deki izin de başka ülkede otomatik yetki oluşturmaz.

Şirketin “fintek” olarak kurulması tek başına özel izne tabi değildir; fakat sunulan işlev ödeme hizmeti, elektronik para ihracı, bankacılık hizmeti, kripto platformu veya saklama faaliyeti niteliğindeyse ilgili kurum izni gerekir. Ürün geliştirilmeden önce faaliyet sınırı incelenmelidir.

Ödeme kuruluşu yalnız izin verilen ödeme hizmetlerini sunar. Elektronik para kuruluşu elektronik para ihraç edebilir ve izin kapsamındaki ödeme hizmetlerini de sunabilir. Somut yetki, kurumun unvanından değil TCMB tarafından yayımlanan güncel faaliyet izni kapsamından anlaşılır.

Yalnız teknik hizmet veren bazı yapılar kapsam dışında kalabilir; ancak fon tutulmaması tek başına yeterli değildir. Özellikle ödeme emri başlatma, hesap bilgisi ve dijital cüzdan işlevleri ayrıca düzenlenmiştir. Müşteriyle ilişki, hizmetin görünen yüzü, sözleşme ve fiilî işlev birlikte incelenir.

Yönetmelik m.4/A tanımına giren dijital cüzdan için ilgili ödeme hizmeti yetkileri gerekir. Yalnız teknik veri saklama istisnası bütün koşullarıyla değerlendirilir. Bakiye tutmamak veya kart bilgisini saklamak tek başına kesin cevap vermez; fon ve işlem akışıyla müşteri ilişkisi birlikte görülmelidir.

Temel hizmetler hesap bilgisi sağlama ve ödeme emri başlatmadır. ÖHVPS 2.0.0 ile kart bilgi ve hareketleri, ileri tarihli ve düzenli ödeme emri özellikleri de kullanıma açılmıştır. Her API hizmeti kendiliğinden açık bankacılık değildir; işlev ve izin kapsamı ayrıca değerlendirilir.

Ödeme ve elektronik para kuruluşları bakımından tescil hazırlığı, istihbari inceleme ve nihai onay aşamaları izlenir. Yönetmelik m.11’in güncel şartları ve ekleri uygulanır. Başvuru yapılması veya tescil tek başına faaliyete başlama yetkisi vermez; izin kapsamı ve yayımlanan karar birlikte kontrol edilir.

Yeni ürün mevcut faaliyet iznindeki hizmetlerle, kuruluşun ana sözleşmesiyle, bilgi sistemleriyle ve iş planıyla uyumlu olmalıdır. Yeni bir ödeme hizmeti, dijital cüzdan işlevi veya önemli dış hizmet söz konusuysa izin, kapsam genişletme veya bildirim gereği önceden incelenir.

Ödeme fonları ve elektronik para ihracı için alınan fonlar kuruluşun serbestçe kullanabileceği şirket kaynağı değildir. İlgili mevzuattaki koruma, ayrıştırma ve iade kuralları uygulanır. Muhasebe ve banka hesabı yapısı bu ayrımı göstermelidir.

Hayır. Kuruluş ve faaliyet için aranan sermaye ile devamlı özkaynak yükümlülüğü aynı kavram olmayabilir; tutarlar dönemsel olarak güncellenebilir. İşlem tarihinde TCMB veya SPK’nın yürürlükteki düzenlemesi ve hesaplama yöntemi doğrulanmalıdır.

Yabancı lisans Türkiye’de kendiliğinden faaliyet yetkisi vermez. Türkiye’de yerleşik kullanıcılara yönelme, fon akışı, yerel iş ortağı, veri, tanıtım ve sözleşme yapısı incelenir. Bazı birlikte hizmet modelleri ayrıca TCMB iznine tabi olabilir.

Hayır. TCMB Yönetmeliği kripto varlıkların ödemelerde doğrudan veya dolaylı kullanılmasını ve buna yönelik hizmeti yasaklar. Ayrıca ödeme/e-para kuruluşlarının kripto platformlarına ve bu platformlardan fon aktarımına aracılığına ilişkin ayrı yasak vardır. Kripto alım satımı ile mal veya hizmet bedelinin kriptoyla ödenmesi aynı işlem değildir.

Hayır. SPK, geçici listenin yetkilendirme anlamına gelmediğini açıkça belirtmektedir. Kuruluş izni, faaliyet izni ve geçiş dönemindeki liste statüsü birbirinden ayrı kontrol edilmelidir.

III-35/B.1 ve III-35/B.2 sayılı Tebliğlerdeki kuruluş ve faaliyet şartlarına uygun yapı kurularak SPK’ya güncel form ve eklerle başvurulur. Şirket, pay sahipliği, sermaye, yönetim, iç sistem, teknoloji, saklama, sözleşme ve operasyon dosyaları birlikte hazırlanır.

Saklama düzeni sunulan hizmet, alınan izin, SPK hükümleri ve ilgili saklama kuruluşu yapısına göre belirlenir. Özel anahtarın ve tasarruf yetkisinin kimde olduğu açık olmalı; müşteri varlığı kuruluş varlığından ayrılmalı ve düzenli mutabakat yapılmalıdır.

Müşteriye ait nakit ve kripto varlık kuruluş malvarlığından ayrıdır; kuruluşun borçları için haciz, rehin veya iflas masasına dahil edilmesine ilişkin kanunî koruma vardır. Bu, müşterinin kendi borcu veya somut adlî/idarî tedbirler bakımından her durumda dokunulmazlık anlamına gelmez. Hesap, hak sahipliği ve saklama kaydı ayrıca incelenir.

Listeleme kararı yazılı ölçüt, teknik ve hukukî inceleme, çıkar çatışması kontrolü ve devamlı izlemeye dayanmalıdır. Tokenin niteliği, proje ekibi, dağılımı, likiditesi, akıllı sözleşmesi ve piyasa riski değerlendirilmeden yalnız ticari talep üzerine listeleme yapılmamalıdır.

Belirli gönderen ve alıcı bilgilerinin transferle birlikte güvenli biçimde iletilmesini ve eksik bilgi içeren işlemler için kontrol uygulanmasını ifade eder. Türkiye’de SPK ve MASAK düzenlemeleri; işlem türü, limit, süre ve karşı hizmet sağlayıcıya göre birlikte uygulanır.

Her kişisel cüzdan transferi mutlak biçimde yasak değildir. Kimlik, adres sahipliği, risk, tutar, bekleme ve ek tedbirler güncel düzenlemeye göre değerlendirilir. Kuruluşun yazılı risk politikası ve kayıt düzeni bulunmalıdır.

Hayır. Müşterinin tanınması, gerçek faydalanıcı, risk derecelendirmesi, sıkılaştırılmış tedbirler, izleme, uyum programı, eğitim, iç denetim, bilgi ve belge verme, muhafaza ve ibraz ile bildirim gizliliği de uyum sisteminin parçasıdır.

Hayır. Kimlik belgesinin ve kişinin doğrulanması, canlılık, iletişim, risk kontrolleri, kayıt, resmî veri kaynağı doğrulaması ve sözleşmenin kurulması birlikte ele alınır. Sektör mevzuatı ile MASAK hükümlerinin ikisi de incelenmelidir.

İsmin “stabil token” olması kesin hukukî nitelik vermez. İtibari paraya bağlılık, ihraç karşılığı fon, geri ödeme hakkı, kabul çevresi, transfer ve kullanım amacı incelenir. Türkiye hukuku ve hedef ülke düzenlemesi ayrı değerlendirme gerektirir.

Hayır. AB yetkilendirmesi Türkiye’de kendiliğinden faaliyet hakkı vermez. Türkiye’deki yönelme ve izin kuralları ayrıca uygulanır. AB’de ise MiCA geçiş döneminin 1 Temmuz 2026’da sona ermesi nedeniyle hizmet sağlayan tüzel kişinin mevcut yetkisi kontrol edilmelidir.

Ürünün kısa tanımı, hedef kullanıcı, fon veya kripto akış şeması, mevcut izin/iş ortağı, hedef ülkeler ve incelenmesi istenen konunun özeti yeterlidir. Ayrıntılı şirket ve sistem kayıtları görevlendirme ile güvenli paylaşım yöntemi belirlendikten sonra kademeli alınır.

Süreler derhal belirlenir; ilgili ürün ve işlem sürümü korunur; kurum yazısı, sözleşme, müşteri bildirimi, ödeme veya kripto kaydı ve iç kararlar bir araya getirilir. Açıklama yapılmadan önce kayıtların anlamı hukuk, uyum ve teknik ekipçe birlikte doğrulanır.