PCI-DSS uyumu kart işleyen fintech için zorunlu; ihmal = ciddi yaptırım + sigorta dışı.
Seviyeler
- Seviye 1: yıllık 6M+ işlem.
- Seviye 2: 1-6M.
- Seviye 3: 20K-1M e-ticaret.
- Seviye 4: <20K e-ticaret.
Temel gereksinimler
- Güvenli ağ + firewall.
- Kart verisi şifreleme.
- Erişim kontrol + log.
- Düzenli pen-test + audit.
KVKK paralel
- Kart verisi özel nitelikli benzeri tutulur.
- Açık rıza + saklama süreci.
Sıkça sorulan
Kart numarasını saklamamak yeterli mi?
Tokenization ile risk azalır ama uyum yine gerek.
PCI-DSS 4.0 zorunlu mu?
Evet, 2024-2025 geçiş tamamlandı.
Outsource ediyorsam (Stripe vb.) sorumluluk?
Paylaşılır; ana sorumluluk hala işleten taraf.
İlgili mevzuat
- 6493 sayılı Kanun — Ödeme & elektronik para; lisanslama, faaliyet izni.
- BDDK Yönetmelikleri — Ödeme kuruluşu / EPK izin, sermaye, raporlama.
- 5549 SK — MASAK; KYC, STR, düzenli faaliyet.
- KVKK + GDPR — Veri güvenliği, sınır ötesi aktarım.
- PCI-DSS — Kart saklama; PCI seviye 1-4 uyumu.
Yasal uyarı: Bu yazı genel bilgilendirme amaçlıdır; somut olay için avukatlık görüşmesi gereklidir.