Giriş
Finansal teknolojiler (Fintech) sektörü, Türkiye’de hem dijitalleşmenin ivmesi hem de geleneksel finans kurumları ile teknoloji girişimleri arasındaki işbirliklerinin artmasıyla birlikte hızla büyümektedir. Bu gelişim, beraberinde çok aktörlü, teknik içerikli ve yoğun regülasyon yükümlülüğü barındıran sözleşmesel ilişki yapılarını da getirmektedir. Ne var ki, sektörün dinamizmine rağmen sözleşmelerin hukuki altyapısında görülen eksiklikler, fintech şirketlerini gerek idari yaptırımlar gerekse ticari uyuşmazlıklar bakımından ciddi risklerle karşı karşıya bırakmaktadır.
Bu yazımda, fintech sektöründe faaliyet gösteren şirketlerin Türk hukuku bakımından sözleşmelerde en sık yaptığı hatalar beş başlık altında ele alınmakta ve her biri için uygulamaya dönük çözüm önerileri sunulmaktadır.
1. Mevzuatla Uyumsuz veya Güncelliğini Yitirmiş Hükümler
Fintech şirketleri, 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun başta olmak üzere; 5411 sayılı Bankacılık Kanunu, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 4054 sayılı Rekabetin Korunması Hakkında Kanun gibi çok sayıda düzenlemeye tabidir. Sözleşme hükümlerinin bu mevzuatlarla uyumlu olmaması; başta TCMB, BDDK, KVKK olmak üzere hem MASAK hem de Rekabet Kurumu nezdinde ciddi yaptırımlara neden olabilmektedir.
Öneri: Sözleşmelerin, düzenleyici ve denetleyici kuruluşlar nezdinde yürürlükteki mevzuatla uyumluluğu periyodik olarak kontrol edilmeli, özellikle TCMB ve BDDK’nın çıkardığı ikincil düzenlemeler (yönetmelik, tebliğ vb.) yakından takip edilmelidir. Örneğin, TCMB’nin dijital ödemeler veya dijital cüzdanlara ilişkin güncel bir yönetmeliği, ödeme hizmet sağlayıcısının sorumluluklarını değiştirebilir; bu durumda, sözleşme hükümlerinin hızlı bir şekilde revize edilmesi gerekebilir. Her yeni ürün, hizmet veya iş modeli özelinde standart sözleşme formatları güncellenmeli ve hukuk birimi kontrol & takibinde versiyon izleme mekanizması kurulmalıdır. Zira her sözleşme revizyonu, şirketin gelecekteki hukuki ve ticari süreçleri için kritik ve delil arz eden bir belge haline gelir. Sözleşmelerin güncel mevzuat hükümleri ile uyumlu kalabilmesi için versiyon takip mekanizması kurulması, şirketin hukuki güvencesini sağlayacak önemli bir adımdır. Bu mekanizma, sadece sözleşme metnindeki değişiklikleri takip etmekle kalmaz, aynı zamanda hangi düzenlemelerin hangi revizyonlarla dahil edildiği, hangi risklerin bertaraf edildiği ve hangi yükümlülüklerin yerine getirildiği konusunda tarih bazında net bir kayıt tutar. Versiyon takip sistemi, aynı zamanda denetim süreçlerinde de kritik bir rol oynamaktadır. Örneğin, bir düzenleyici denetim otoritesi incelemesi sırasında, sözleşmelerin her bir değişiklik versiyonunun belgelenmiş olması, şirketin güncellenen mevzuatlar ile uyum gösterdiğini ispat etmek adına önemli bir delil oluşturur. Bu sistem, hukuki belirsizliklerin ortadan kaldırılmasına yardımcı olur ve şirketin her zaman güncel bir sözleşme altyapısına sahip olmasını sağlar.
2. Belirsiz Hizmet Tanımları ve Yetersiz Teknik Ekler
Fintech sözleşmeleri çoğunlukla teknik ve finansal çözümler sunan altyapıya dayalı hizmetleri konu edinmektedir. Ancak bu hizmetlerin sözleşmede genel geçer ifadelerle tanımlanması, hizmet ifasında belirsizliklere ve taraflar arasında yorum farklılıklarına neden olmaktadır. Bu tür belirsizlikler, Türk Borçlar Kanunu kapsamında ifa eksikliği veya ayıplı hizmet gibi değerlendirilerek tazminat sorumluluğunu doğurabilmektedir. Diğer taraftan belirsiz hizmet tanımları, tarafların haklarını net bir şekilde belirleyememesi nedeniyle şirketlere ciddi finansal ve itibar kayıpları yaşatabilir.
Öneri: Sunulan hizmetlerin kapsamı, tarafların hak & yükümlülükleri, teknik sınırları ve performans kriterleri ayrıntılı şekilde tanımlanmalı; ek protokoller ve hizmet seviyesini gösterir SLA (“Service Level Agreement” – “Hizmet Seviyesi Sözleşmesi”) dokümanları ek protokol formatında sözleşmenin ayrılmaz parçası haline getirilmelidir. Zira özellikle hizmet alan taraf için hizmetin kalitesini ve sürekliliğini işbu ek protokoller ile güvence altına almak temel gaye olmalıdır. Ayrıca, ürün yönetimi ve teknik ekiplerin katkısı ile sözleşme eki olarak API (Application Programming Interface” – “Uygulama Programlama Arayüzü”) dökümantasyonları, log kayıt standartları ve bakım/destek prosedürleri de eklenmelidir. Özellikle API (Uygulama Programlama Arayüzü) gibi kritik teknik unsurlar, sözleşmeye net bir şekilde entegre edilmeli veya yazılı olarak e-posta aracılığıyla olsa dahi taraflar nezdinde mutabık kalınmış olmalıdır. Zira API dökümantasyonları, teknik altyapının nasıl çalıştığı, veri akışının nasıl sağlandığı ve sistemler arasında iletişimin nasıl kurulacağı gibi önemli bilgileri içerir.
3. Kişisel Verilerin Korunmasına İlişkin Yetersiz Düzenlemeler
Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR), fintech şirketleri için sadece uyum konusu değil aynı zamanda rekabet avantajı unsuru haline gelmiştir. Ancak, taraflar arasında imzalanan sözleşmelerde veri işleme, aktarım, saklama ve silme gibi süreçlerin yeterince düzenlenmemesi, şirketleri hem Kişisel Verileri Koruma Kurulu tarafından uygulanacak idari yaptırımlara hem de doğrudan tazminat davalarına açık hale getirmektedir. 2025 Nisan ayında Kişisel Verileri Koruma Kurumu (KVKK) ile Türkiye Ödeme ve Elektronik Para Kuruluşları Birliği (TÖDEB) tarafından hazırlanan “Ödeme ve Elektronik Para Sektöründe Kişisel Verilerin Korunmasına İlişkin İyi Uygulamalar Rehberi” kapsamında elektronik para ihracı, para havalesi hizmetleri, POS hizmetleri, fatura ödemeye aracılık hizmetleri ve mobil ödeme hizmetleri çerçevesinde gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin 6698 sayılı Kanun kapsamındaki değerlendirmelere ve iyi uygulama örneklerine yer verilmiştir. Örneğin POS Hizmetleri iş modeli özelinde yalnızca POS hizmeti sunan ödeme kuruluşu değil; üye işyerleri ve bankalar da veri sorumlusu olarak kabul edilmiştir.
Öneri: Veri sorumlusu – veri işleyen ayrımı açık şekilde yapılmalı, kişisel verilerin hangi amaçla, ne süreyle ve kimlerle paylaşılabileceği hüküm altına alınmalıdır. Özellikle açık rıza ve aydınlatma yükümlülüğünün kim tarafından yerine getirileceği net olarak belirlenmeli ve mümkünse DPA (“Data Processing Agreement” – “Veri İşleme Sözleşmesi”) formatında ek protokol hazırlanmalıdır. Diğer taraftan sözleşmede, veri işleme faaliyetlerinin amacı, kapsamı ve süresi net bir şekilde belirtilmelidir. Hangi verilerin, hangi amaçla işlendiği, hangi süreçlerde kullanılacağı, kimlerle paylaşılacağı, verilerin saklama sürelerinin ne olacağı gibi kritik unsurlar, sözleşme metnine dahil edilmelidir. Ayrıca, verilerin silinmesi ve yok edilmesi süreçlerinin hangi koşullarda ve ne şekilde yapılacağı da açıkça belirtilmelidir. Paralel şekilde veri sahiplerine sağlanacak aydınlatma yükümlülüğü de önem arz etmektedir. Örneğin, Ödeme Hizmetleri ve Elektronik Para İhracı İle Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik kapsamında elektronik para kuruluşları, elektronik para hizmeti verecekleri ve bu suretle devamlı iş ilişkisine girecekleri ödeme hizmeti kullanıcıları ile çerçeve sözleşme kurmakta olup, kişisel verilerin işlenmesine ilişkin aydınlatma yükümlülüğünün de kuruluşlar tarafından bu aşamada yerine getirilmiş olması beklenmektedir.
4. Sözleşmenin Sona Ermesi ve Sorumluluk Rejiminin Belirsizliği
Fintech sektöründe, iş birlikleri hızla kurulup sona erebilmektedir. Ancak sözleşmelerde süre, fesih halleri ve feshin sonuçlarının açıkça tanımlanmamış olması, şirketleri sözleşme süresi boyunca özellikle hukuki güvenlik ve ticari öngörülebilirlik başlıklarında sınırlı hareket kabiliyetine mahkum edebilmektedir. Ayrıca, hizmet kesintisi, mali yükümlülükler, geç/ayıplı ifa, lisans iptalleri ya da veri kaybı gibi durumlarda karşı tarafın sorumluluğuna ilişkin hüküm bulunmaması, zararın telafisini imkânsız hale getirebilir.
Öneri: 6098 sayılı Türk Borçlar Kanunu’nun “haklı nedenle fesih” ve “ayıplı ifa” hükümleri göz önünde bulundurularak, olağan ve olağanüstü fesih şartları ayrıntılı biçimde düzenlenmeli; feshin sonuçları, cezai şart, mücbir sebep, tazminat ve sorumluluğun sınırlandırılması gibi maddelere mutlaka yer verilmelidir. Ayrıca, sözleşme sona erse dahi devam edecek sözleşmesel yükümlülükler (örneğin ticari sırların korunması, veri silme/aktarım, gizlilik) açıkça belirtilmiş olmalıdır.
5. Uyuşmazlık Çözüm Yolu ve Yetkili Mahkeme Belirsizliği
Fintech şirketlerinin ulusal ve uluslararası düzeyde çok sayıda paydaşla çalışması, sözleşmelerde yargı yetkisi ve uygulanacak hukuk seçimi konularını kritik hale getirmiştir. Türk hukukunda, taraflar arasında çıkan uyuşmazlıklarda görevli ve yetkili mahkemelerin belirlenmesi öncelikle sözleşmesel hükümlere, yoksa genel usul hükümlerine göre yapılmaktadır. Ancak özellikle fintech sektöründe faaliyet gösteren şirketler, farklı şehirlerde ya da ülkelerde mukim paydaşlarla çalıştığından, tek tip yargı yeri tayini ihtiyacı doğar. Aksi takdirde, taraflardan biri dava açmak istediğinde, yetkisizlik itirazları, delil toplanması sorunları, hatta kararların tenfizi veya tanınması güçlükleri gibi usuli engellerle karşı karşıya kalınması riski mevcuttur.
Öneri: Fintech şirketleri özelinde verilerin korunması, ödeme hizmetleri, lisanslı faaliyet, white-label işbirlikleri, elektronik para, POS ve cüzdan gibi alanlarda, her ülkenin kendine özgü kamu düzeni hassasiyetleri bulunduğundan, fintech şirketleri açısından sözleşmeye Türk hukukunun uygulanacağına dair açık hüküm konulması, hem regülasyonlara uyum hem de yetkili kurumların taleplerinin karşılanabilirliği açısından avantaj sağlar. Sözleşmelerde, uygulanacak hukukun Türk hukuku olduğu açıkça belirtilmeli, her iki taraf da İstanbul’da mukim ise (Anadolu/Çağlayan) mahkemeleri yetkili kılınmalıdır. Uluslararası tarafların yer aldığı sözleşmelerde ICC gibi kurumsal ve uluslararası tahkim alternatifleri değerlendirilmelidir. Söz konusu bu düzenlemeler, hem hukuk biriminin sözleşme takibini kolaylaştırır hem de uyuşmazlık anında hızlı, öngörülebilir, ekonomik ve adil çözüm yolları sunar.
Sonuç: Sözleşmesel Güvence, Fintech’in Dayanıklılığını Belirler
Fintech şirketleri için sözleşmeler, yalnızca ticari ilişkinin çerçevesini çizmekle kalmaz; aynı zamanda hukuki güvenliğin, yatırım fırsatlarının ve regülasyon uyumunun temel zeminini oluşturur. Yukarıda incelenen başlıca hatalar, çoğu zaman iyi niyetli ve hızlı iş yapma motivasyonuyla göz ardı edilse de, uzun vadede ciddi hukuki ve finansal sorunlara yol açabilmektedir.
Bu nedenle, sözleşme yönetimi süreçlerinin “destek fonksiyonu” değil, “stratejik karar mekanizması” olarak ele alınması; hukuk ve teknik birimlerin birlikte çalıştığı multidisipliner yapılar kurulması büyük önem taşımaktadır.
Kaynakça:
- 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun ve bağlı mevzuat.
- 5411 sayılı Bankacılık Kanunu.
- 6698 sayılı Kişisel Verilerin Korunması Kanunu.
- 4054 sayılı Rekabetin Korunması Hakkında Kanun.
- Ödeme ve Elektronik Para Sektöründe Kişisel Verilerin Korunmasına İlişkin İyi Uygulamalar Rehberi.
- Arner, W.D. (2016). The Evolution of Fintech: A New Post-Crisis Paradigm, University of Hong Kong Faculty of Law Research.
- Lukonga, I. (2018). Fintech, Inclusive Growth and Cyber Risks: A Focus on the MENAP and CCA Regions. IMF Working Paper 201.
Turkish