Giriş
Finansal teknolojiler ekosisteminde API (Application Programming Interface/Uygulama Programlama Arayüzü) kullanımı, bankalar, elektronik para kuruluşları ve fintech şirketleri arasında veri paylaşımını ve hizmet entegrasyonunu mümkün kılan temel bir yapı taşıdır. Özellikle açık bankacılık, ödeme hizmetleri, KYC/AML doğrulama süreçleri ve fraud önleme mekanizmaları açısından API’ler, 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, 5411 sayılı Bankacılık Kanunu ve 6698 sayılı Kişisel Verilerin Korunmasına ilişkin Kanun ve bağlı mevzuatları ile doğrudan temas eden bir nitelik taşır.
API entegrasyonlarının teknik boyutu kadar, sözleşmesel ve hukuki boyutu da kritik öneme sahiptir. Zira API üzerinden gerçekleşen bir hizmet kesintisi, veri aktarımı ya da güvenlik ihlali, yalnızca teknik bir aksaklık olarak kalmaz; aynı zamanda fintech şirketinin ticari itibarını, müşterilerine karşı sorumluluğunu, regülasyonlara uyum yükümlülüğünü ve hatta idari yaptırımlara maruz kalma riskini doğrudan tetikler.
Bu nedenle API entegrasyonları, yalnızca teknik ekiplerin değil, hukuk ve uyum birimlerinin de kontrolünde olduğu süreçler olmalıdır. Aksi halde fintech şirketleri, regülasyonun giderek sıkılaştığı bir alanda, hem sözleşmesel açıdan korunmasız kalmakta hem de denetimlerde ciddi risklerle karşı karşıya kalmaktadır.
API Sözleşmelerinde Risk Alanları
API entegrasyonu yapılırken imzalanan sözleşmeler, fintech şirketlerinin doğrudan iş sürekliliğini ve hukuki güvenliğini etkiler. Bu sözleşmelerde dikkat edilmesi gereken temel risk alanları şunlardır:
1. Hizmet Seviyesi (SLA) ve Kesinti Riskleri
API entegrasyonuna ilişkin sözleşmelerde hizmet sürekliliği ve kesinti yönetimi açık ve ölçülebilir kriterlerle düzenlenmelidir. Bu kapsamda, API’nin uptime oranı, planlı bakım ve güncelleme süreçleri, plansız kesinti yönetimi ve performans garantileri net olarak tanımlanmalıdır. Hukuki açıdan, bu hükümler sözleşmede yer almadığında veya belirsiz bırakıldığında, API hizmetinde meydana gelen bir aksaklık veya kesinti, müşteri mağduriyetinden doğan sorumluluğun tamamının fintech şirketine yüklenmesine sebep olabilir. Öte yandan, API sağlayıcısı kendisini sözleşmesel olarak sorumluluktan muaf tutabileceği bir konumda bulunabilir.
Bu nedenle, fintech şirketlerinin API sözleşmelerinde sorumluluk dağılımı, tazminat yükümlülükleri ve kesinti senaryolarına ilişkin mekanizmaların açıkça belirlenmesi, hem müşteri karşısında hem de regülasyon otoriteleri nezdinde hukuki güvence sağlamak açısından kritik öneme sahiptir.
2. Veri Paylaşımı ve KVKK Uyumu
API aracılığıyla aktarılan kişisel verilerde veri sorumlusu–veri işleyen ayrımı doğru yapılmalı. KVKK ve GDPR kapsamında açık rıza, hukuki sebep ve veri güvenliği tedbirleri sözleşmede yer almazsa, fintech şirketi veri ihlali nedeniyle doğrudan sorumlu tutulabilir. Dolayısıyla, fintech şirketlerinin API entegrasyon sözleşmelerinde veri işleme rolleri, izinler, güvenlik önlemleri ve sorumluluk dağılımı detaylı şekilde tanımlanmalı, veri aktarımının her aşaması hukuki teminatlarla desteklenmelidir.
3. Yetki ve Lisanslama
API’nin hangi amaçlarla kullanılabileceği, alt lisanslama veya üçüncü taraflarla paylaşım yasağı netleştirilmelidir. Aksi durumda, fintech şirketi API kullanım sınırlarını aşmakla itham edilebilir veya API sağlayıcısı operasyonel ve beklenmedik kısıtlamalar getirebilir.
4. Güvenlik ve Fraud Önleme
API anahtarlarının korunması, şifreleme standartları ve fraud önleme yükümlülükleri belirlenmelidir. Bu kapsamda, API anahtarlarının korunması, veri şifreleme standartlarının belirlenmesi, erişim kontrolleri ve izleme mekanizmalarının sağlanması kritik öneme sahiptir. Fraud kaynaklı zararlarda sorumluluğun hangi taraf üzerinde olduğu net yazılmadıkça, fintech şirketi tek başına zararı üstlenmek zorunda kalabilir.
5. Uyum Yükümlülükleri
TCMB, BDDK, MASAK, KVKK gibi otoritelerin yanı sıra uluslararası kart şemalarının kuralları da API entegrasyonunu etkiler. API sağlayıcısının bu regülasyonlara uyum taahhüdü olmadan entegrasyon yapılması, fintech şirketini doğrudan idari yaptırımlarla karşı karşıya bırakabilir.
Fintech Şirketleri İçin Kritik Sözleşme Maddeleri
API sözleşmesi imzalanırken aşağıdaki maddelerin eksiksiz şekilde yer alması büyük önem taşır:
- Sorumluluk Sınırları: Kesinti, veri kaybı veya fraud halinde hangi tarafın sorumlu olacağı açıkça belirtilmeli.
- Tazminat ve Limitler: API sağlayıcısının sorumluluk limitleri fintech aleyhine daraltılmamalı.
- Denetim ve Raporlama: Fintech’in API sağlayıcısını denetleme veya rapor talep etme hakkı bulunmalı.
- Fesih Koşulları: API hizmeti tek taraflı durdurulduğunda fintech müşterilerinin mağduriyetini önleyecek zarar tazmini içeren hükümler yer almalı.
- Gizlilik ve Rekabet Yasağı: API sağlayıcısının verileri farklı amaçlarla veya rakiplerle paylaşması yasaklanmalı.
- Uluslararası Boyut: Yurt dışı API sağlayıcılarıyla yapılan sözleşmelerde yabancı hukuk ve tahkim şartları dikkatle incelenmeli.
Sonuç: Teknik Entegrasyon Kadar Hukuki Entegrasyon da Şart
API entegrasyonları, fintech sektöründe hizmet çeşitliliğinin artması, müşteri deneyiminin gelişmesi ve ekosistem oyuncuları arasında iş birliğinin derinleşmesi için vazgeçilmezdir. Ne var ki, API’nin sağladığı teknik kolaylık, beraberinde ciddi hukuki risk alanlarını da doğurmaktadır.
Bir fintech şirketi açısından API entegrasyonuna ilişkin riskler yalnızca teknik kesinti veya operasyonel aksamalarla sınırlı değildir. 6493 sayılı Kanun kapsamındaki elektronik para ve ödeme hizmetleri yükümlülükleri, KVKK ve GDPR çerçevesinde veri işleme sorumlulukları, BDDK ve MASAK düzenlemelerine uyum ile uluslararası kart şeması kuralları dikkate alındığında, API sözleşmelerinin yetersiz veya tek taraflı düzenlenmiş olması doğrudan idari yaptırımlara, ticari itibar kaybına, yüksek tazminat yükümlülüklerine ve hatta faaliyet izinlerinin riske girmesine yol açabilir.
Bu nedenle API entegrasyonları, teknik bir “uygulama geliştirme süreci” olmaktan öte, sözleşmesel risklerin öngörülerek yönetilmesi gereken bir hukuki taahhüt olarak görülmelidir. Fintech şirketleri, entegrasyon öncesinde API sağlayıcısı ile yapılacak sözleşmeleri yalnızca operasyonel şartlar üzerinden değil, sorumluluk sınırları, veri güvenliği, zarar tazmini mekanizmaları ve regülasyona uyum hükümleri açısından da titizlikle incelemelidir.
Sonuç olarak, fintech ekosisteminde hukuki entegrasyon, teknik entegrasyon kadar vazgeçilmezdir. Güçlü bir API sözleşmesi olmadan kurulan her entegrasyon, fintech şirketini hem müşteri karşısında hem de regülatör nezdinde savunmasız bırakabilir. Bu nedenle API entegrasyonlarının, hukuk ve uyum perspektifinden stratejik bir risk yönetimi süreci olarak ele alınması, yalnızca bir tercih değil, giderek artan bir zorunluluktur.
Av. Elif GÜR
Kaynakça:
- 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ve bağlı mevzuat
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu
- 5411 sayılı Bankacılık Kanunu
- European Parliament and Council. (2015). Directive (EU) 2015/2366 on payment services (PSD2)
- European Parliament and Council. (2016). General Data Protection Regulation (GDPR)
Turkish