1. Yeni çerçeve: ÖHVPS 2.0.0 neyi değiştirdi?
Türkiye Cumhuriyet Merkez Bankası, 17 Mart 2026 tarihli ve 2026-13 sayılı duyurusunda Bankalararası Kart Merkezi tarafından geliştirilen Ödeme Hizmetleri Veri Paylaşım Servisleri (ÖHVPS) 2.0.0 sürümünün kullanıma alındığını açıkladı. Yeni sürüm hesap bilgisi hizmetinin kapsamını kart bilgi ve hareketleriyle genişletti; ileri tarihli ödeme emri başlatma ve düzenli ödeme emri başlatma işlevlerini ortak altyapıya ekledi. Bu gelişme yeni bir kanun veya bağımsız lisans türü yaratmıyor. Ürün tasarımı, 6493 sayılı Kanun ile Ödeme Hizmetleri Yönetmeliğinin 4, 52 ve 58-62. maddeleri ve Bilgi Sistemleri ve Veri Paylaşım Servisleri Tebliğinin 23-27. maddeleri içinde değerlendirilmelidir. Araştırma tarihi 15 Eylül 2026’dır; teknik standartların yaşayan sürümü üretime geçiş tarihinde ayrıca teyit edilmelidir.
2. İlk soru özellik değil, lisans çevresidir
6493 sayılı Kanunun 12(1)(f) ve (g) bentleri ile Yönetmeliğin 4(1)(f) ve (g) bentleri, başka bir ödeme hizmeti sağlayıcısındaki çevrim içi ödeme hesabı için ödeme emri başlatmayı ve bir veya daha fazla ödeme hesabına ilişkin konsolide bilgiyi çevrim içi sunmayı ödeme hizmeti olarak tanımlar. Yönetmeliğin 4(2) maddesi bu hizmetlerin Banka, bankalar, Türkiye’de kurulu ve TCMB tarafından izin verilen kuruluşlar ile yetkisi dahilinde PTT tarafından sunulabileceğini düzenler. Bir uygulamanın kendisini kişisel finans yönetimi, kart paneli, muhasebe bağlantısı veya API katmanı olarak adlandırması tek başına sonucu belirlemez. Kimin müşteriyle sözleşme kurduğu, ödeme talimatını aldığı, hesap verisine eriştiği, veriyi hangi amaçla işlediği ve üçüncü taraflara hangi işlevi sunduğu ekran ve API bazında haritalanmalıdır. TCMB’nin 2025 Faaliyet Raporu da banka dışı mevcut kuruluşlar için BKM teknik sertifikasyonuna ek olarak faaliyet genişletme iznini, henüz ödeme kuruluşu olmayanlar için ise faaliyet iznini ayrı gereklilikler olarak açıklamaktadır.
3. HHS, ÖBHS ve HBHS rolleri sözleşmede ayrıştırılmalıdır
Tebliğin 23. maddesi veri paylaşım servisindeki temel rolleri ayırır: ödeme hesabının bulunduğu kuruluş HHS, ödeme emri başlatan yetkili sağlayıcı ÖBHS ve hesap bilgisini sunan yetkili sağlayıcı HBHS’dir. HHS gerekli bağlantıları BKM API Geçidine kurar; taraflar TCMB’nin belirlediği elektronik sertifikaları kullanır ve yetki kontrolünden geçer. Veri gizliliği, bütünlüğü, güncelliği ve güvenliği ortak bir sonuç olsa da her ihlalden bütün tarafların aynı ölçüde sorumlu olduğu varsayılamaz. Sözleşme ve sorumluluk matrisi; arayüz sahibi, müşteri bilgilendirmesi, kimlik doğrulama, onay kaydı, API erişilebilirliği, hata kodu, talimatın iletimi, işlemin icrası, iade, şikayet ve delil üretimi için ayrı sahip belirlemelidir. Çok taraflı altyapı, müşteri karşısındaki kanuni yükümlülüğü belirsiz bir ortak sorumluluk hükmüne bırakamaz.
4. 1.1.0’dan 2.0.0’a geçiş ürün kapsamını büyütüyor
TCMB’nin 2025 Faaliyet Raporuna göre önceki faal 1.1.0 standardı; ilk 1.0.2 sürümüne kıyasla dijital cüzdana kart ekleme, olay bildirim ve abonelik servisleri ile ayrık güçlü kimlik doğrulama akışlarını içeriyordu. Aynı rapor kart bilgi ve hareketleri ile ileri tarihli ve düzenli tekrarlı ödemelerin 2.0.0 sürümü için geliştirilmekte olduğunu kaydetti; 17 Mart 2026 duyurusu bu işlevlerin devreye alındığını açıkladı. Değişiklik yalnız yeni veri alanları değildir. Kart verisinin kapsamı, müşteri ekranları, saklama amacı, rıza yenileme mantığı, ödeme talimatının yaşam döngüsü, hata yönetimi, dolandırıcılık senaryoları, çağrı merkezi metinleri ve taraf sözleşmeleri yeniden test edilmelidir. Bu karşılaştırma BKM GEÇİT standardına ilişkindir; kurumların daha önce farklı özel bağlantılarla benzer bir işlev sunup sunmadığı ayrıca incelenir.
5. Müşteri onayı ile veri işleme amacı aynı şey değildir
Tebliğin 23(7) maddesi her bilgi talebi ve ödeme emri başlatma işlemi için ayrı onay öngörür; hesap bilgisi hizmetinde belirli hesap ve işlemler için onay sözleşmeyle de verilebilir. Yönetmeliğin 60. maddesi ÖBHS’nin fonu hiçbir zaman elinde tutamayacağını, hassas müşteri verisini koruyacağını ve yalnız hizmet için gereken veriye erişebileceğini düzenler. 61. madde HBHS’nin sadece müşterinin onayladığı hizmetleri sunmasına, belirlenen hesap ve işlemlerle sınırlı erişimine ve hizmet amacı dışında veri kullanmamasına dayanır. 62. madde ödeme hizmetiyle doğrudan ilgili olmayan kullanım için onay, kişisel veri varsa açık rıza gerektirir; ayrıca ÖHVPS verisinin müşteri talep veya talimatı olmadan yurt içi veya dışındaki üçüncü kişilere aktarılmasını, müşteri onayı bulunsa dahi, yasaklar. Ürün ekranı; hizmet onayı, ödeme yetkilendirmesi, KVKK hukuki sebebi, pazarlama tercihi ve üçüncü kişiye aktarım talimatını tek kutuda birleştirmemelidir.
6. Teknik sertifikasyon hukuki canlıya geçiş dosyasının yalnız bir parçasıdır
Yönetmeliğin 59(1)-(4) maddesi teknik ve operasyonel gerekliliklerin TCMB tarafından belirleneceğini, uyumun BKM teknik kontrol ve değerlendirmesiyle tespit edileceğini ve başarılı katılımcıların kayıt altına alınacağını düzenler. Teknik geçişin tamamlanması faaliyet izninin kapsamı, müşteri sözleşmesi, veri işleme şartı veya iç onay eksikliğini kendiliğinden gidermez. Tebliğin 24. maddesine göre HHS, yetkili sağlayıcılara altyapı ve test ortamı sunmalı; test ortamında hassas müşteri verisi paylaşmamalı; teknik değişiklikleri ilgili taraflara üç ay önceden bildirmeli ve hizmetin kullanılabilirlik, performans ve destek seviyesinde kendi doğrudan çevrim içi erişimine kıyasla ayrım yaratmamalıdır. Canlıya geçiş dosyası bu nedenle lisans teyidi, sertifikasyon sonucu, hukuk görüşü, ürün ve bilgi güvenliği onayları, sözleşme sürümleri, test kanıtı, iş sürekliliği testi ve yönetim kararı arasında iz kurulacak şekilde tasarlanmalıdır.
7. İleri tarihli ve düzenli ödeme için talimat yaşam döngüsü kurulmalıdır
Yönetmeliğin 52. maddesi tek bir ödeme veya ödeme dizisi için onayın tarafların kararlaştırdığı yöntem ve usulle verilmesini; usulüne uygun onaylanmayan işlemin yetkisiz sayılmasını düzenler. Birden fazla işlem için verilen onay geri alındığında gelecekteki ödemeler yetkisiz hale gelir. 58(3) maddesine göre belirli gün veya dönem sonu için kararlaştırılan ödemede kararlaştırılan gün, iş günü değilse izleyen ilk iş günü, emrin alınma zamanı sayılır. 64(4) maddesi bu tür bir emrin kural olarak kararlaştırılan günden önceki iş gününün sonuna kadar geri alınabilmesini sağlar. Ürün ve sözleşme; dizinin kurulması, tutar veya hesap değişikliği, sıklık, başlangıç ve bitiş, iş günü kayması, yetersiz bakiye, mükerrer icra, kısmi hata, durdurma, geri alma ve sona erme olaylarını ayrı tanımlamalıdır. Her olayın müşteriye bildirimi ve hangi sürüm onaya dayandığı sonradan üretilebilir olmalıdır.
8. Denetim izi, uyuşmazlık dosyası olarak tasarlanmalıdır
Tebliğin 25. maddesi uçtan uca güvenli ve takip edilebilir iletişim, her oturum için biricik numara ve zaman damgası ile işlem numarası ve ilgili işlem verilerinin güvenli ve ayrıntılı kaydını ister. 26. madde hesap bilgisi onayı ile ödeme emri başlatmada güçlü kimlik doğrulamayı; ödeme emrinde ayrıca işlem doğrulama kodunu düzenler. 27. madde kesinti halinde iletişim ve alternatif erişim yöntemlerini içeren olağanüstü durum planını bilgi sistemleri süreklilik planına bağlar. Delil paketi; müşteri ekranını ve onay metnini, kimlik doğrulama adımlarını, sertifika ve taraf kimliğini, oturum ve işlem numaralarını, talimatın alınma ve planlanan icra zamanını, API istek-cevaplarını, hata kodlarını, erişim engelini, bildirimleri, icra sonucunu ve varsa iade ya da düzeltmeyi aynı olay zincirinde birleştirmelidir. Logların varlığı tek başına yeterli değildir; bütünlük, erişim yetkisi, saklama, dışa aktarım ve okunabilirlik de test edilmelidir.
9. Banka–fintech sözleşmesi API teknik ekinden ibaret değildir
Yönetmeliğin 60(4) ve 61(4) maddeleri, kanuni ve teknik şartlar karşılandığında HHS ile ÖBHS veya HBHS arasında ücret ve diğer menfaatler dışında konuya özgü bir anlaşmayı hizmetin ön şartı yapmaz. Bu hüküm, tarafların veri koruma, bilgi güvenliği, hizmet seviyesi, değişiklik yönetimi, destek, olay bildirimi, ispat, sorumluluk ve çıkış konularını sözleşmesiz bırakması gerektiği anlamına gelmez. Mevcut sözleşmeler; 2.0 veri sözlüğü, kart verisinin kapsamı, ileri tarihli ve tekrarlı ödeme akışları, üç aylık teknik değişiklik bildirimi, test ortamı, temel performans göstergeleri, alt yükleniciler, denetim erişimi, olay sınıflandırması, müşteri iletişimi, şikayet paylaşımı, zarar ve rücu mekanizması bakımından gözden geçirilmelidir. Yurt dışı teknoloji sağlayıcısı kullanılan yapılarda 62. maddedeki işlem verisi kısıtları ile 6698 sayılı Kanunun yurt dışı aktarım rejimi ayrı testlerdir; genel bir bulut maddesi ikisinin yerine geçmez.
10. İlk ücretli iş: Açık Bankacılık 2.0 Hukuki Uyum ve Sözleşme Paketi
Hedef müşteri; bankaların açık bankacılık, dijital kanal, hukuk, uyum ve bilgi güvenliği yöneticileri ile ödeme kuruluşları, elektronik para kuruluşları, muhasebe ve hazine yazılımları, kurumsal finans uygulamaları ve Türkiye’ye girmek isteyen yabancı fintechlerin kurucu, genel müdür ve hukuk ekipleridir. Tetikleyici ihtiyaç; 2.0 entegrasyonu, yeni kart verisi kullanımı, ileri tarihli veya düzenli ödeme lansmanı, banka sözleşmesi yenilemesi, faaliyet kapsamı değişikliği, denetim bulgusu ya da müşteri uyuşmazlığıdır. Aktay’ın sabit kapsamlı ilk işi, iki haftalık Açık Bankacılık 2.0 Hukuki Uyum ve Sözleşme Paketi olabilir: işlev–lisans matrisi, rol ve sorumluluk haritası, onay ve veri kullanım envanteri, sözleşme madde listesi, canlıya geçiş kontrol listesi ve örnek uyuşmazlık delil paketi teslim edilir. Ayrı ve isteğe bağlı bir teknoloji projesinde DETAI; mevzuat maddesiyle bağlantılı kontrol kütüphanesi, onay sürüm kaydı, API olay günlüğü ve insan onaylı istisna panosu tasarlayabilir. Teknoloji hizmeti hukuk danışmanlığının yerine geçmez ve hizmetlerden hiçbiri diğerinin satın alınmasına bağlı değildir. Bu çalışma genel bilgidir; somut ürün, lisans veya uyuşmazlık için hukuki görüş değildir.
Kaynaklar ve notlar
TCMB - Açık Bankacılık Hizmetlerinin Yeni Özelliklerine İlişkin Basın Duyurusu 2026-13, 17 Mart 2026
TCMB - 6493 sayılı Kanun, özellikle m. 12, 13, 14 ve 23
TCMB - Bilgi Sistemleri ve Veri Paylaşım Servisleri Tebliği, özellikle m. 23-27
TCMB - 2025 Faaliyet Raporu, Finansal Altyapı, ÖHVPS GEÇİT çalışmaları
TCMB - Ödeme Hizmetlerinde Veri Paylaşım Servislerine İlişkin Rehber
Bu yayın genel hukuki bilgilendirme amacıyla hazırlanmıştır. Somut işlem veya uyuşmazlık bakımından güncel mevzuat, olaylar ve dosya belgeleri birlikte değerlendirilmelidir.
Bu konu sizin için ne ifade ediyor?
Sorunuzu bu yazının başlığıyla birlikte sohbet alanına taşıyın. Sohbet şu anda senaryo demosudur.
Bu konuda soru sor
