Sanal POS nedir? E-ticaret ödeme altyapısı nasıl seçilir

Sanal POS nedir sorusunu çoğu işletme sahibi, mağazasının ödeme adımına geldiğinde sorar. Müşteri sepeti doldurmuştur, kartını yazmaya hazırdır. Parayı size taşıyacak bir altyapı yoksa satış orada biter.

Biz web sitesi, reklam ve e-ticaret projelerini kuruyor ve yönetiyoruz; her mağaza projesinde ödeme altyapısı, tasarımdan önce konuşulan ilk kararlardan biridir. Bu yazı bir firma sıralaması değildir. Hangi şirketin en iyisi olduğunu söylemiyoruz, çünkü cevap işletmenizin hacmine, sektörüne ve sözleşme koşullarına göre değişir. Onun yerine üç şey veriyoruz: sanal POS'un ne olduğunu, kimlerin sunabildiğini ve resmî kaynaklarla doğrulayabileceğiniz seçim ölçütlerini.

Sanal POS nedir ve para nasıl akar

Merkez Bankası'nın ödeme alanındaki iş modellerini anlatan rehberi (Eylül 2022), sanal POS'u en yalın haliyle şöyle tanımlar: kredi kartı, banka kartı ve ön ödemeli kartla, kartın kendisi fiziksel olarak kullanılmadan ödeme yapılmasını sağlayan yazılım. Mağazadaki POS cihazının internetteki karşılığı gibidir. Rehber, sanal POS adıyla sunulan bazı iş modellerinin klasik ödeme aracı kabulünden farklılaşabildiğini de not eder.

Akış kabaca şöyle ilerler. Müşteri sitenizde kart bilgisini girer, sanal POS işlemi kartı çıkaran kuruluşa iletir, doğrulama ve yetkilendirme yapılır, onay gelirse satış tamamlanır. Para o anda hesabınıza düşmez. Rehbere göre fon, kartı çıkaran ödeme hizmeti sağlayıcısının altyapısı üzerinden ödemelerin toplam tutarı olarak, ilgili komisyon düşüldükten sonra sanal POS hizmetini sunan kuruluşa geçer; oradan da size aktarılır.

Kesintinin kaç gün sürdüğü ve hesabınıza ne zaman ulaştığı sözleşmede yazar. Burada rakam vermiyoruz, çünkü bu koşullar sağlayıcıdan sağlayıcıya değişir ve doğrulanabilir tek bir resmî kaynak yoktur.

Sanal POS, ödeme geçidi ve ödeme kuruluşu aynı şey mi

Günlük konuşmada üç terim birbirine karışır. Ayırmak, doğru soruyu sormanızı sağlar.

• Ödeme geçidi (payment gateway): kartlı ödemeyi yetkilendiren hizmettir. Bir banka bunu müşterilerine sunabilir, ayrı bir ödeme hizmeti sağlayıcısı da sunabilir.
• Ödeme hizmeti sağlayıcısı (PSP): işletmeler ile müşteriler arasında aracı olarak çalışan ve çoğu zaman geçit hizmetini de veren taraftır.
• Ödeme kuruluşu: 6493 sayılı Kanun'un tanımladığı, Merkez Bankası'ndan faaliyet izni almış kuruluş türüdür.

Sizin açınızdan pratik fark şudur. Bankadan doğrudan sanal POS alırsanız o bankanın kendi ürünüyle çalışırsınız; rehber de bankaların işyerlerine genellikle kendi sanal POS ürünlerini sunduğunu söyler. Ödeme kuruluşu ise farklı bankalarla POS anlaşması yapar, bankaların altyapısına API ile bağlanır ve birden çok bankanın hizmetini tek yazılımda sunabilir. Tek entegrasyon, birden çok banka: kolaylık budur. Bedeli, araya bir kuruluşun daha girmesidir ve komisyon, destek, sözleşme sorumluluğu o kuruluşla yürür.

Kimler sanal POS sunabilir: BDDK ve TCMB düzenlemesi

Çerçeveyi 2013'te yürürlüğe giren 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun çizer. Merkez Bankası'nın anlatımıyla bugün ödeme hizmeti sağlayıcıları dört gruptur: 5411 sayılı Bankacılık Kanunu kapsamındaki bankalar, ödeme kuruluşları, elektronik para kuruluşları ve Posta ve Telgraf Teşkilatı.

Yetkili kurum konusunda eski bilgilere dikkat edin. Başlangıçta ödeme ve elektronik para kuruluşlarıyla ilgili düzenleme yetkisi BDDK'daydı. 22 Kasım 2019 tarihli 7192 sayılı Kanun'la bu yetki Merkez Bankası'na devredildi ve 1 Ocak 2020'den itibaren ödeme hizmetlerinin düzenlenmesi ve denetimi TCMB'nin görevidir. Merkez Bankası'nın SSS sayfası da aynı şeyi söyler: ödeme kuruluşlarının yetkilendirilmesi, denetimi ve gözetimi Bankanın sorumluluğundadır. Yani "BDDK onaylı sanal POS" ifadesi ödeme kuruluşları için artık güncel değildir. Bankalar ise 5411 sayılı Kanun kapsamında kendi mevzuatlarına tabi olmaya devam eder.

Kanunun 12. maddesinin birinci fıkrasının (c) bendi, ödeme aracının ihraç veya kabulünü ödeme hizmeti sayar. Bu bent kapsamında izin alan ödeme kuruluşlarının izni yalnızca ödeme aracının kabulüyle sınırlıdır. Rehbere göre sanal POS hizmeti sunmak için (a) ve (b) bentlerinin yanında, (c) bendinin yalnızca kabul kısmı için izin gerekir. Rehber, bu iş modelleriyle ilgili olarak 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu çerçevesinde BDDK'nın yapacağı değerlendirmelerin saklı olduğunu da hatırlatır.

Bir ayrıntı seçimde işinize yarar. Kanunun 12. maddesinin ikinci fıkrası, teknik hizmet sağlayanların sunduğu ve işlemin hiçbir anında transfer edilen fonun sahibi olmadıkları hizmetleri ödeme hizmeti saymaz. Bu yüzden entegrasyonu yapan yazılım şirketi ile paranın üzerinden geçtiği izinli kuruluş aynı taraf olmayabilir. Hangisinin hangi rolü üstlendiğini sözleşmede arayın.

Seçmeden önce sağlayıcıyı nasıl doğrularsınız

Bir sağlayıcının lisanslı olup olmadığını kendi sitesindeki cümleye bakarak anlayamazsınız. Resmî kayıt Merkez Bankası'ndadır ve herkese açıktır. Sırayla şunları yapın:

1. Sözleşmeyi imzalayacağınız tüzel kişiyi belirleyin: banka mı, ödeme kuruluşu mu, yalnızca teknik hizmet veren bir şirket mi?
2. Banka değilse TCMB'nin "Ödeme Kuruluşları" sayfasını açın ve faaliyette bulunan kuruluşlar tablosunda unvanı arayın.
3. İzin kapsamına bakın. Tablo her kuruluş için 12. maddenin hangi bentlerinde yetkisi olduğunu gösterir.
4. Aynı sayfadaki faaliyet izni iptal edilen ve sona eren kuruluşlar listelerini de kontrol edin.
5. Sözleşmede paranın hangi kuruluşun hesabından geçtiğini ve kimin hangi sorumluluğu taşıdığını yazılı hale getirin.

Liste zamanla değişir; bu yüzden bu yazıda hiçbir şirket adı vermiyoruz. Karar anında sayfayı kendiniz açmanız, bizim yazdığımız her ismin tarihinden daha güvenilirdir.

Seçim ölçütleri: resmî olarak sorabileceğiniz sorular

Ölçütleri iki gruba ayırıyoruz. Birincisi mevzuat ve standartlarla doğrulanabilenler, ikincisi işletmenize göre değişenler.

Doğrulanabilir olanlar:

• İzin kapsamı: yukarıdaki TCMB tablosunda unvan ve bent bilgisi görünüyor mu?
• Kimlik doğrulama: 3D Secure desteği var mı ve hangi sürümle çalışıyor?
• Kart verisi güvenliği: PCI DSS belgesi var mı, kart bilgisi sizin sunucunuzdan geçiyor mu?
• Ek ücret kuralı: kartla ödemeye ek bedel yansıtılacaksa müşteriye ödemeden önce bildirimi mümkün mü?
• İade ve iptal: tam iade, kısmi iade ve iptal aynı panelden ya da API'den yapılabiliyor mu?

İşletmeye göre değişenler:

• Altyapı uyumu: mağaza yazılımınız için hazır bir modül var mı, yoksa API ile özel entegrasyon mu gerekecek?
• Kart ve taksit desteği: hedef kitlenizin kullandığı kart ailelerini ve taksit seçeneklerini kapsıyor mu?
• Raporlama: günlük mutabakat raporu ve işlem dökümü muhasebenizin okuyabileceği biçimde geliyor mu?
• Destek: bir ödeme düştüğünde ya da sistem kesildiğinde ulaşacağınız kanal, saat ve yanıt süresi yazılı mı?
• Sözleşme: çıkış şartları, ücret değişikliği bildirimi ve hesabın bloke edilebileceği durumlar açık mı?

Hosting ve alan adı kararlarınız da bu listeyle bağlantılı. Sunucunun ödeme sağlayıcısına bağlanma biçimi hosting nedir yazımızdaki sorularla birlikte düşünülmeli, sitenin kendi adresi ise alan adı kararında netleşmelidir.

Maliyet kalemleri: rakam yok, liste var

Komisyon oranlarını ve ücretleri bu yazıda yazmıyoruz. Oranlar hacme, sektöre ve pazarlığa göre değişiyor, güncel ve tarafsız tek bir kaynak da yok. Bunun yerine sözleşmede ayrı satır olarak aramanız gereken kalemleri veriyoruz:

• İşlem başına komisyon ve taksitli işlemlerde farkın kimde kaldığı.
• Kurulum, aylık kullanım ya da minimum işlem ücreti var mı?
• İade ve iptal işlemlerinde komisyonun iade edilip edilmediği.
• Tutarın hesabınıza geçiş süresi; süre uzadıkça nakit akışınızın maliyeti artar.
• Entegrasyon için yazılım geliştirme emeği ve yıllık bakım.

Ek ücret konusunda bir kural bilmeye değer. 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete'de yayımlanan ödeme hizmetleri yönetmeliğinin 51. maddesine göre alıcı, bir ödeme aracının kullanımı için ilave ücret, masraf veya komisyon istiyorsa ya da indirim teklif ediyorsa bunu ödeme işleminden önce göndericiye bildirmek zorundadır. Merkez Bankası da bu tür talepleri yasaklamaya yetkilidir. Kartla ödemeye fark yansıtmak isteyen bir işletme önce bu maddeyi okumalıdır.

Güvenlik katmanı: 3D Secure ve PCI DSS

Kart bilgisi internette dolaşırken iki ayrı koruma devreye girer ve ikisi de farklı işi yapar.

3D Secure, kartın fiziksel olarak bulunmadığı işlemlerde müşterinin kimliğini doğrulayarak dolandırıcılığı azaltmayı amaçlayan bir protokoldür. EMVCo, EMV 3-D Secure'ü tam olarak bu amaçla tanımlar. Ek doğrulama adımı bazı müşterilerde işlemin yarıda bırakılmasına yol açabilir; sağlayıcıya sorulacak soru bu yüzden "3D Secure var mı" değil, "akış mobilde nasıl görünüyor" olmalıdır.

PCI DSS ise ödeme kartı verisini korumak için teknik ve operasyonel gereksinimler koyan bir veri güvenliği standardıdır. PCI Güvenlik Standartları Konseyi, standardın hedef kitlesini kart verisini saklayan, işleyen veya ileten ya da bu verinin güvenliğini etkileyebilecek tüm taraflar olarak tanımlar; üye işyerleri de bunun içindedir. Ödeme sayfasında kart bilgisinin sizin sunucunuza uğrayıp uğramadığı, size düşen sorumluluğun boyutunu belirleyen ilk sorudur. Cevabı sağlayıcıdan yazılı alın.

İade, itiraz ve kayıt tutma

Ödeme altyapısı seçerken satış anına bakmak yetmez; satıştan sonra olacaklar da seçimin parçasıdır.

Mesafeli sözleşmelerde cayma hakkı kullanıldığında satıcı, tahsil ettiği tüm ödemeleri 14 gün içinde iade etmek zorundadır. Ticaret Bakanlığı'nın tüketici rehberi, iadenin tüketicinin satın alırken kullandığı ödeme aracına uygun biçimde yapılması gerektiğini, ürün taksitle alınmış olsa bile iadenin tek seferde yapılacağını açıkça yazar. Dolayısıyla panelden kolayca iade verememek, yasal bir süreyi kaçırma riskidir.

İtiraz tarafında da süre uzun. Aynı yönetmeliğin 54. maddesine göre müşteri, yetkilendirmediği ya da hatalı gerçekleştirilmiş bir ödeme işleminin düzeltilmesini işlemden itibaren en geç 13 ay içinde isteyebilir ve işlemin müşteri tarafından onaylandığını ispat yükü ödeme hizmeti sağlayıcısındadır. Bu zincirin en altında işletme vardır. Her işlem için sipariş numarası, onay kaydı, teslimat bilgisi ve müşteri yazışmasını en az bu süre boyunca saklayabileceğiniz bir düzen kurun.

Sitenizde cayma hakkı ve iade koşullarının müşteriye açıkça anlatılması da gerekir; Ticaret Bakanlığı rehberi, müşteri bu konuda gerektiği gibi bilgilendirilmezse cayma süresine bağlı kalmadığını belirtir.

Başvurudan canlıya geçiş: pratik sıra

Başvuruda hangi belgelerin isteneceği sağlayıcıya göre değişir; listeyi her sağlayıcıdan yazılı alın. Süreci biz şu sırayla yönetiyoruz:

1. Ne sattığınızı, hangi kartlarla ve kaç taksitle satacağınızı yazın.
2. Sağlayıcıyı TCMB tablosu ve sözleşmeyle doğrulayın.
3. Test ortamında başarılı, başarısız, iptal ve iade senaryolarını deneyin.
4. Canlıya geçince küçük tutarlı gerçek bir işlem yapın ve aynı işlemi iade edin.
5. Hesabınıza geçen tutarı mutabakat raporuyla karşılaştırın.

Ödeme adımı sepet akışının bir parçasıdır; müşterinin kaç adımda ödeme yaptığı, web sitesi tasarımı kararlarıyla birlikte planlanmalıdır.

Biz bu seçimi müşterilerimizle birlikte aynı sırayla yapıyor, entegrasyonu kuruyor ve yayına aldıktan sonra da yönetmeye devam ediyoruz. Hizmet kapsamımızı hizmet paketleri sayfasında görebilirsiniz. Önce doğrulama, sonra sözleşme, en son entegrasyon: sıra bu olursa ödeme altyapısı sessizce çalışır.

Yazar: Blakfy Studio ekibi, web sitesi, reklam ve e-ticaret projelerinde kurulum ve yönetim. Kaynaklar aşağıda listelenmiştir.

Kaynaklar

• TCMB, Ödeme Hizmetleri Alanına Genel Bakış
• TCMB, Ödeme Kuruluşları
• TCMB, Ödeme Hizmetleri SSS
• 6493 sayılı Kanun, TCMB
• TCMB, Ödemeler Alanında Sunulan İş Modellerinin Ödeme Hizmeti Türleri ile İlişkilendirilmesine İlişkin Rehber
• Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik, TCMB
• Resmî Gazete, 1 Aralık 2021, sayı 31676
• Mesafeli Sözleşmeler Yönetmeliği, Resmî Gazete
• Ticaret Bakanlığı, Mesafeli sözleşmeler hakkında bilgilendirme
• PCI Security Standards Council, PCI DSS
• EMVCo, EMV 3-D Secure
• Wikipedia, Payment gateway
• Wikipedia, Payment service provider
• Wikipedia, 3-D Secure