Takipçi Siparişinde Kart Bilgim Saklanır mı? PCI DSS Nedir?

Kartla ödeme yaptığınızda kart bilgilerinizin hangi kısmının, kim tarafından ve ne kadar süre tutulabileceği keyfî değildir. Uluslararası kart güvenliği standardı PCI DSS'e göre kartın arkasındaki üç ya da dört haneli güvenlik kodu (CVV, CVC gibi adlarla bilinen kart doğrulama kodu) ödeme onaylandıktan sonra şifrelenmiş olsa bile saklanamaz; kart numarası ise saklanacaksa okunamaz hale getirilerek korunmak zorundadır. Türkiye'de de 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, üye işyerlerinin kart ve kart hamiline ilişkin bilgileri kart hamilinin yazılı rızası olmadan saklamasını ve kopyalamasını yasaklar. Takipox'un gizlilik ve KVKK sayfalarında ödeme verileri ve ödeme işlemcileri anılır; kart numarasının ya da güvenlik kodunun tutulup tutulmadığı ise bu sayfalarda ayrıca belirtilmiyor, bu konu destek ekibine sorulabilir.

Hızlı sıra şudur: (1) Siparişi satıcının kendi sitesinde oluşturun ve kart bilgilerini yalnızca ödeme adımında açılan sayfaya girin. (2) Kart bilgisini girmeden önce adres çubuğunda https ve kilit simgesini, sayfanın hangi alan adında açıldığını kontrol edin. (3) Güvenlik kodunu, son kullanma tarihini ve kart numarasını hiçbir zaman WhatsApp, e-posta veya telefonla paylaşmayın. (4) Bankanızdan gelen doğrulama mesajında tutarı ve iş yeri adını okuyun, kodu yalnızca kendi başlattığınız işlem için girin. (5) Ödemeden sonra kartınızın ekstresini takip edin; tanımadığınız bir işlem görürseniz kart çıkaran kuruluşu hemen arayın.

Bu rehber, takipçi paketi almak isteyen ve ödeme adımında kart bilgilerini girerken "Bu numaralar bir yerde kalıyor mu?" diye soran kişinin sorusunu cevaplar. Cevap; PCI Güvenlik Standartları Konseyi'nin (PCI SSC) resmî PCI DSS sayfası, terimler sözlüğü ve sıkça sorulan sorular makaleleri, Bankalararası Kart Merkezi'nin (BKM) güvenlik ve güvenli internet alışverişi sayfaları, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, 6493 sayılı Kanun, Türkiye Cumhuriyet Merkez Bankası'nın (TCMB) ödeme kuruluşları sayfası ile Takipox'un Gizlilik Politikası ve KVKK Aydınlatma Metni sayfalarına dayanır. Bu yazı hukuki veya mali tavsiye değildir; kartınıza özgü koşullar için kart çıkaran bankanızın güncel bilgileri esas alınmalıdır.

Ödeme güvenliğine geçmeden önce siparişin kendisini netleştirmek işinizi kolaylaştırır. Takipçi satın al hizmetlerini bir arada sunan Takipox Instagram, YouTube, TikTok, Twitter (X) ve Facebook kategorilerinde paketleri ayrı ayrı listeler; sipariş için şifre istenmez, yalnız kullanıcı adı veya profil ya da içerik linki girilir. Ödeme seçenekleri sipariş ekranında gösterilir. Kart bilgisi ise yalnız bu ödeme adımıyla ilgilidir; sosyal medya hesabınızla ya da siparişin teslimiyle bir bağlantısı yoktur.

Kart Bilgisi Dediğimiz Şey Tam Olarak Nedir?

Günlük dilde "kart bilgilerim" denince çoğu kişi kartın ön yüzündeki uzun numarayı düşünür. Oysa kart güvenliği açısından kartın üzerindeki ve içindeki veriler farklı gruplara ayrılır ve her grubun saklanma kuralı farklıdır. PCI SSC'nin resmî terimler sözlüğü bu verileri tek tek tanımlar. Bu tanımları bilmek, bir sitenin gizlilik metnini okurken ya da ödeme sayfasında bilgi girerken neyin ne kadar hassas olduğunu anlamanın ilk adımıdır.

Sözlüğe göre PAN (primary account number, birincil hesap numarası), kartı çıkaran kuruluşu ve kart hamilinin hesabını tanımlayan benzersiz kart numarasıdır. Kredi kartı, banka kartı veya ön ödemeli kart fark etmez; kartın ön yüzündeki uzun numara budur. Kart hamili verisi (cardholder data) en az tam PAN'dan oluşur; tam PAN'ın yanında kart hamilinin adı, son kullanma tarihi ve servis kodu da bu grubun içinde yer alabilir.

İkinci grup hassas kimlik doğrulama verisidir (sensitive authentication data, kısaca SAD). Sözlük bunu, kart hamilinin kimliğini doğrulamak ve kart işlemine yetki vermek için kullanılan güvenlikle ilgili bilgiler olarak tanımlar. Kart doğrulama kodları, manyetik şeritteki ya da çipteki tam iz verisi, PIN ve PIN blokları bu gruba girer. İnternet alışverişinde karşınıza çıkan üç ya da dört haneli güvenlik kodu da buradadır.

Sözlük kart doğrulama kodunu, kartın ön ya da arka yüzüne basılmış üç ya da dört haneli değer olarak tanımlar ve kart markalarına göre CAV2, CVC2, CVN2, CVV2 veya CID adlarıyla anılabileceğini belirtir. Yani bir sitede "CVV", başka bir sitede "CVC" ya da "güvenlik kodu" yazması aynı alanı anlatır. PIN ise yalnız kullanıcının ve sistemin bildiği gizli sayısal paroladır; internet alışverişinde PIN istenmesi olağan değildir.

Türk mevzuatı da benzer bir ayrım yapar. 6493 sayılı Kanun'un tanımlar maddesinde "kişisel güvenlik bilgileri", ödeme aracı ile işlem gerçekleştirirken kullanılabilecek şifre, son kullanma tarihi, güvenlik numarası gibi ödeme aracını ve ödeme aracı kullanıcısının kimliğini belirleyici bilgiler olarak tanımlanır. Bu tanım, son kullanma tarihini ve güvenlik numarasını açıkça "kişisel güvenlik bilgisi" sayar; dolayısıyla bu bilgilerin hiçbir mesajlaşma kanalında paylaşılmaması gerektiğinin hukuki arka planı da budur.

PCI DSS Nedir, Kimler Uymak Zorundadır?

PCI DSS, açık adıyla Payment Card Industry Data Security Standard, yani Ödeme Kartı Sektörü Veri Güvenliği Standardı'dır. PCI SSC'nin resmî sayfasına göre standart, ödeme kartı hesap verilerinin güvenliğini teşvik etmek, güçlendirmek ve tutarlı veri güvenliği önlemlerinin dünya çapında benimsenmesini kolaylaştırmak için geliştirilmiştir. Sayfa, PCI DSS'in ödeme hesap verilerini korumaya yönelik teknik ve operasyonel gerekliliklerden oluşan bir temel çizgi sunduğunu belirtir.

Standardı yayımlayan kuruluş PCI Güvenlik Standartları Konseyi'dir. Konseyin "Hakkımızda" sayfasına göre PCI SSC, hesap verilerinin korunmasına yönelik güvenlik standartlarının geliştirilmesi, saklanması, yayılması ve uygulanması için küresel bir forumdur. Konsey American Express, Discover, JCB International, MasterCard ve Visa Inc. tarafından kurulmuştur ve kurucu üyelerin her biri PCI DSS'i kendi veri güvenliği uyum programlarının teknik gereklilikleri arasına almıştır.

Peki standarda kimler muhatap? Resmî sayfadaki "hedef kitle" bölümüne göre kart hamili verisini ve hassas kimlik doğrulama verisini saklayan, işleyen veya ileten ya da kart hamili veri ortamının güvenliğini etkileyebilecek tüm kuruluşlar bu kapsamdadır. Sayfa bunları üye işyerleri (merchants), işlemciler (processors), üye işyeri bankaları (acquirers), kart çıkaranlar (issuers) ve hizmet sağlayıcılar olarak sayar. Sözlüğe göre üye işyeri, PCI SSC'ye katılan kart markalarının logosunu taşıyan kartları mal ya da hizmet karşılığında kabul eden her kuruluştur.

Burada önemli bir ayrıntı vardır: PCI DSS bir yasa değil, kart markalarının uyum programlarında kullandığı bir sektör standardıdır. Resmî sayfada, bir kuruluşun bir PCI SSC standardına uymak ya da uyumunu doğrulamak zorunda olup olmadığının uyum programlarını yöneten kuruluşların (örneğin kart markası veya üye işyeri bankası) takdirinde olduğu yazar. Konseyin bir başka sık sorulan sorular makalesi de uyum ve raporlama gereklilikleri için kuruluşların doğrudan kart markalarına başvurması gerektiğini, ayrıca yerel yasa ve düzenlemelerdeki farkların standardın uygulanmasını etkileyebileceğini hatırlatır.

Okur açısından bunun anlamı şudur: Bir sitenin "PCI DSS uyumluyuz" demesi tek başına bir belge değildir. Konseyin sık sorulan sorular sayfasına göre PCI DSS Uyum Beyanı (Attestation of Compliance) kart markası kuralları çerçevesinde talep eden kuruluşlarla paylaşılmak üzere hazırlanır. Bu belge çoğunlukla kuruluşlar arası bir belgedir; son kullanıcıya her durumda gösterilmesi beklenmez. Bir tüketici olarak sizin için daha pratik olan, ödeme sayfasının nerede açıldığına ve kart verisini kimin işlediğine bakmaktır.

PCI DSS'e Göre Neler Saklanabilir, Neler Saklanamaz?

Kart bilgisinin saklanıp saklanmayacağı sorusunun en net cevabı, PCI SSC'nin sık sorulan sorular makalelerinde yer alır. Konseyin bir makalesine göre standardın uygulanabilirlik bölümünde, hassas kimlik doğrulama verisinin yetkilendirmeden (ödeme onayından) sonra şifrelenmiş olsa bile saklanmaması gerektiği yazar ve bu kural ortamda hiç kart numarası bulunmasa bile geçerlidir.

Kart doğrulama koduyla ilgili makale daha da açıktır. Bu makaleye göre kart doğrulama kodu, toplandığı belirli satın alma veya işlem onaylandıktan sonra tutulamaz. PCI DSS, belirli bir işlemin onayından önce kodun toplanmasını yasaklamaz; yasak, onaydan sonraki saklamadır. Makale, kayıtlı kartla yapılan işlemlerde ve düzenli ödemelerde (örneğin her ay çekilen spor salonu üyeliği) kart doğrulama koduna ihtiyaç olmadığını ve bu amaçlarla saklanmasının da yasak olduğunu belirtir.

Aynı makalede dikkat çekici bir cümle daha vardır: Müşterinin kuruluşa güvenlik kodunu saklama izni vermesi PCI DSS açısından hiçbir geçerlilik taşımaz ve saklamaya dayanak oluşturmaz. Yani bir site "kodunuzu bir dahaki sefere sormamak için kaydedelim mi?" diye sorsa bile, standart açısından bu bir izin sayılmaz. Makaleye göre işlem onayından sonra hassas kimlik doğrulama verisini yalnız kart çıkaran kuruluşlar ve meşru bir kart çıkarma iş ihtiyacı olan, bu hizmeti destekleyen şirketler saklayabilir.

Konsey bu yasağın nedenini de açıklar. Kart doğrulama kodu ve PIN, kartı çıkaran kuruluşun işlem sırasında kartın ve kart hamilinin doğru olduğundan emin olmak için kullandığı değerlerdir. Bir kuruluş ortamında kart numarası olmasa bile kodu saklarsa, saldırganlar bir siteden çalınan kart numarası ile e-posta adresini, başka bir siteden çalınan güvenlik kodu ve aynı e-posta adresiyle eşleştirebilir. Bu durumda kart çıkaran kuruluşun işlemin meşru mu sahte mi olduğunu ayırt etme imkânı azalır.

Tablodaki son satır çoğu kişiyi şaşırtır. PCI SSC'nin 3DS ile ilgili makalesine göre 3D Secure işleminden doğan kimlik doğrulama değerleri PCI DSS açısından hassas kimlik doğrulama verisi sayılmaz ve standart bunların onaydan sonra saklanmasını yasaklamaz. Bu, bankanızın SMS ile gönderdiği tek kullanımlık kodu başkasıyla paylaşabileceğiniz anlamına gelmez; yalnızca PCI DSS'in sınıflandırmasıyla ilgilidir. 3D Secure akışı için ayrıca takipçi satın alırken 3D Secure'un nasıl çalıştığını anlatan rehber okunabilir.

Maskeleme ve Kırpma: Ekranda Görülen Son Dört Hane Ne Anlatır?

Sipariş geçmişinizde, e-postada veya ödeme dekontunda kart numaranızın yalnız birkaç hanesini görmeniz olağandır. Bu görünüm iki farklı tekniğin sonucu olabilir ve PCI SSC bu iki tekniği birbirinden açıkça ayırır. Konseyin maskeleme ile kırpma farkını anlatan makalesine göre bu terimler eş anlamlı değildir ve birbirinin yerine kullanılmamalıdır.

Maskeleme (masking), kart numarasının bir bölümünü ekranda ya da çıktıda gizleme yöntemidir. Sözlüğe göre tam numarayı görmenin iş açısından gerekli olmadığı durumlarda kullanılır ve ekranlar, kâğıt fişler, raporlar gibi görüntüleme ortamlarıyla ilgilidir. Önemli nokta şudur: Maskeleme yapılmış olsa bile tam numara sistemde elektronik olarak saklanıyor olabilir. Makale, maskelenmiş numaranın "maskesinin kaldırılabileceğini" ve bu durumda tam numaranın standarda göre korunması gerektiğini belirtir.

Kırpma (truncation) ise kart numarasının bir bölümünü silerek tam numarayı okunamaz hale getirme yöntemidir ve elektronik olarak saklanan veriyle ilgilidir. Makaleye göre kırpılan haneler sistemden çıkarılır ve sistem içinde geri getirilemez; numarayı başka bir kaynaktan yeniden oluşturmadıkça "kırpmayı geri almak" mümkün değildir.

Kırpmada kaç hanenin bırakılabileceği de tanımlıdır. Konseyin kabul edilebilir kırpma biçimlerini anlatan makalesine göre kırpmadan sonra saklanabilecek haneler için başlangıç çizgisi en fazla ilk 6 ve son 4 hanedir. İş ihtiyacı daha fazla hane gerektiriyorsa kart markası ve numara uzunluğuna göre farklı biçimler tanımlanmıştır; örneğin 16 haneli numaralarda en az 4 hanenin silinmesi gerekir. Konsey ayrıca aynı numaranın farklı sistemlerde farklı biçimlerde kırpılmasının, numaranın yeniden birleştirilmesini kolaylaştırabileceği uyarısını yapar.

Bu ayrımın okur için pratik sonucu şudur: Bir hesap ekranında yalnız son dört haneyi görmeniz, tam numaranın hiçbir yerde tutulmadığını kanıtlamaz; yalnız ekranda gösterilmediğini anlatır. Numaranın nerede ve nasıl tutulduğu, ödemeyi işleyen yapıya ve o yapının uyduğu kurallara bağlıdır. Konsey, kart verisinin görüntülenmesine ilişkin daha sıkı kart markası kuralları ya da yerel yasal düzenlemeler olabileceğini ve PCI DSS'in yerel yasaların yerine geçmediğini de ayrıca not eder.

Kartlı Ödemede Kim Ne Görür? Satıcı, Ödeme Kuruluşu ve Banka

İnternetten kartla ödeme yaptığınızda tek bir şirketle değil, bir zincirle işlem yaparsınız. PCI SSC'nin sözlüğü bu zincirdeki rolleri tanımlar ve bu tanımlar, "kart bilgimi kim görüyor?" sorusunu cevaplamanın en sağlam yoludur.

Sözlüğe göre kart çıkaran kuruluş (issuer), kartı çıkaran ya da kart çıkarma hizmetlerini yürüten, kolaylaştıran veya destekleyen kuruluştur; çoğu zaman sizin bankanızdır. Üye işyeri bankası (acquirer), üye işyerleri adına kart işlemlerini işleyen ve kart markası tarafından bu rolde tanımlanan, genellikle bir finansal kuruluştur. Ödeme işlemcisi (payment processor), bazen ödeme geçidi veya ödeme hizmeti sağlayıcısı (PSP) olarak da anılır ve üye işyeri adına kart işlemlerini yürütmesi için görevlendirilen kuruluştur. Hizmet sağlayıcı ise başka bir kuruluş adına kart hamili verisini işleyen, saklayan veya ileten işletmedir; ödeme geçitleri ve ödeme hizmeti sağlayıcıları da bu tanımın içindedir.

Ödeme formunun nerede durduğu da önemlidir. PCI SSC'nin e-ticaret üye işyerleriyle ilgili makalesi üç farklı yapıyı ayırır: Ödeme işlemcisinin ödeme sayfasının ya da formunun satıcının sayfasına gömülü bir çerçeve (iframe) içinde açılması; müşterinin satıcı sayfasından ödeme işlemcisinin sayfasına yönlendirilmesi; ödeme işlevlerinin tümüyle işlemciye devredilmesi, örneğin müşteriye ödeme için işlemcinin sitesine giden bir bağlantı gönderilmesi. Makale, bu yapıların her birinde satıcının hangi güvenlik yükümlülüklerini taşıdığını ayrı ayrı ele alır.

Bu zincirin okur için anlamı şudur: "Kart bilgim saklanır mı?" sorusunun cevabı çoğu zaman satıcı sitede değil, ödemeyi işleyen kuruluşta düğümlenir. Satıcının gizlilik metninde "ödeme işlemcileri" ifadesinin geçmesi, ödeme verisinin bu tür bir aracı kuruluşla paylaşıldığını anlatır; ancak hangi kuruluşla, hangi yapıyla çalışıldığı ayrıca belirtilmedikçe metinden çıkarılamaz.

3D Secure ile Kart Saklama Arasındaki İlişki

3D Secure ile kart verisinin saklanması iki ayrı konudur, ancak sık karıştırılır. BKM'nin "Güvenli İnternet Alışverişi" sayfasına göre 3D Secure, e-ticaret işlemlerinde güvenliğin artırılması amacıyla EMVCo tarafından geliştirilmiş bir kart hamili doğrulama sistemidir. Aynı sayfa, EMVCo'nun American Express, Discover, JCB, Mastercard, UnionPay ve Visa'nın kurduğu, uluslararası teknik standartları belirleyen kuruluş olduğunu belirtir.

BKM sayfasına göre kart hamili doğrulaması yapılarak e-ticaret işlemlerinde hem iş yerlerine hem de kart hamillerine güven sağlanır: İş yerleri sahtekârlıklardan korunurken kart hamilleri de hangi işlem için doğrulama yaptıklarını ekranda ya da cep telefonlarına gelen kısa mesaj veya anlık bildirimde görerek işlem yapar. Kart markaları bu sistem için farklı adlar kullanır; BKM sayfasında American Express için "SafeKey", Discover için "ProtectBuy", JCB için "J/Secure", Mastercard için "Identity Check" ve Visa için "Visa Secure" adları sayılır. BKM ayrıca yurt içi işlemlerde kullanılmak üzere geliştirdiği ve 3D Secure ile benzer işleyişe sahip "GO, Güvenli Öde" adlı bir kart hamili doğrulama sisteminden söz eder.

Peki 3D Secure kart verisinin saklanıp saklanmadığını değiştirir mi? Hayır. 3D Secure, işlemi yapanın gerçekten kart hamili olduğunu doğrulayan bir adımdır; kart numarasının ya da güvenlik kodunun satıcı veya işlemci tarafında nasıl tutulduğu ise PCI DSS'in saklama kurallarıyla ilgilidir. İki katman birbirini tamamlar: Biri işlemin sizin onayınızla yapıldığını gösterir, diğeri kart verisinin korunma biçimini belirler.

Okur açısından 3D Secure'un en işe yarar tarafı, doğrulama ekranındaki ya da mesajdaki bilgilerdir. Doğrulama kodunu girmeden önce tutarın sipariş ekranındaki tutarla aynı olduğuna ve iş yeri adına bakın. Kendiniz başlatmadığınız bir işlem için gelen kodu hiçbir koşulda girmeyin ve kimseyle paylaşmayın. BKM'nin güvenlik sayfası da cep telefonunuza SMS ile gönderilen şifreleri hiç kimseyle paylaşmamanızı açıkça önerir.

Türk Mevzuatı Kart Bilgisi Hakkında Ne Diyor?

PCI DSS bir sektör standardıdır; Türkiye'de ise kart bilgilerinin korunması doğrudan kanunla da düzenlenmiştir. Bu bölüm, mevzuat.gov.tr'de yayımlanan güncel kanun metinlerine dayanır ve hukuki tavsiye değildir.

5464 sayılı Banka Kartları ve Kredi Kartları Kanunu'nun "Bilgilerin saklanması" başlıklı 23. maddesine göre üye işyerleri, kartın kullanımı sonucunda kart ve kart hamili ile ilgili edindikleri bilgileri, kanunla yetkili kılınan kişi, kurum ve kuruluşlar hariç olmak üzere kart hamilinin yazılı rızasını almadan başkasına açıklayamaz, saklayamaz ve kopyalayamaz. Aynı maddeye göre üye işyerleri kart bilgilerini üye işyeri anlaşması yaptığı kuruluş dışındaki şahıs veya kuruluşlarla paylaşamaz, satamaz, satın alamaz ve takas edemez. Madde, üye işyeri anlaşması yapan kuruluşların bu hükmün uygulanmasını gözetmekle yükümlü olduğunu da ekler.

Aynı Kanun'un "Bildirim zorunluluğu" başlıklı 16. maddesi ise kart hamiline yükümlülük getirir. Bu maddeye göre kart hamili, kartı ve kartın kullanılması için gereken kod numarası, şifre veya kimliği belirleyici başka bir yöntemi güvenli bir şekilde korumak, başkaları tarafından kullanılmasını engelleyecek önlemleri almak ve kartın kaybolması, çalınması veya iradesi dışında gerçekleşmiş herhangi bir işlemi öğrenmesi halinde kart çıkaran kuruluşu derhal haberdar etmek zorundadır. Kısacası güvenlik yalnız sitenin değil, kart hamilinin de sorumluluğundadır.

Kanun'un 12. maddesi, kartın ya da 16. maddede belirtilen bilgilerin kaybolması veya çalınması halinde kart hamilinin, bildirimden önceki yirmi dört saat içinde gerçekleşen hukuka aykırı kullanımdan doğan zararlardan kanun metninde yüz elli Yeni Türk Lirası olarak geçen bir sınırla sorumlu olduğunu düzenler. Madde, hukuka aykırı kullanımın hamilin ağır ihmaline veya kastına dayanması ya da bildirimin yapılmaması hallerinde bu sınırın uygulanmayacağını belirtir. Bu hükmün sizin kartınıza nasıl uygulandığı ve sigorta seçenekleri için kart çıkaran kuruluşunuza danışmanız gerekir.

6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun da ödeme kuruluşlarını düzenler. Kanun'un tanımlar maddesine göre ödeme kuruluşu, ödeme hizmeti sağlamak ve gerçekleştirmek için bu Kanun kapsamında yetkilendirilmiş tüzel kişidir. 14. maddeye göre ödeme hizmetleri alanında faaliyette bulunmak isteyen ödeme kuruluşu, Bankadan (TCMB) izin almak kaydıyla faaliyette bulunabilir. Kanun ayrıca ödeme aracına ilişkin kişisel güvenlik bilgilerine yetkisiz üçüncü kişilerin erişimini engelleyecek önlemleri almayan kuruluş görevlileri için cezai yaptırım öngörür.

TCMB'nin "Ödeme Kuruluşları" sayfasında, faaliyette bulunan ödeme kuruluşları ve faaliyet izinlerinin kapsamı bir tablo halinde yayımlanır. Sayfaya göre 6493 sayılı Kanun'un 12. maddesinin birinci fıkrasının (c) bendi kapsamında izni olan ödeme kuruluşlarının izin kapsamı yalnız "ödeme aracının kabulü" ile sınırlıdır. TCMB'nin "Ödeme Hizmetleri" sayfasında ayrıca izinsiz ödeme hizmeti sunan kişi ve kuruluşlarla ilgili TCMB'ye ihbarda bulunmaya ilişkin bir başvuru rehberi yer alır.

Ödeme Sayfasının Hangi Kuruluşa Ait Olduğu Nasıl Anlaşılır?

Kart bilgisinin nereye gittiğini anlamanın en somut yolu, bilgiyi girdiğiniz anda ekranda ne olduğuna bakmaktır. Bunun için teknik bilgi gerekmez; birkaç dakikalık dikkat yeterlidir.

İlk olarak adres çubuğuna bakın. BKM'nin güvenlik sayfası, kart bilgilerinizi girdiğiniz sayfanın güvenli olduğundan emin olmak için adres çubuğunda kilit işareti olup olmadığına ve adresin "https" ile başlayıp başlamadığına bakmayı önerir; sayfa, "s" harfinin İngilizce "secure" (güvenli) kelimesinden geldiğini hatırlatır. Ödeme adımında adres çubuğundaki alan adı satıcının alan adından farklı bir alan adına geçiyorsa, büyük olasılıkla bir ödeme kuruluşunun sayfasına yönlendirilmişsinizdir. Alan adı aynı kalıyor ama form bir çerçeve içinde açılıyorsa, formu bir ödeme işlemcisi de sağlıyor olabilir; bu ayrım her zaman gözle anlaşılamaz.

İkinci olarak ödeme sayfasında hangi kuruluşun adının ya da logosunun yer aldığına bakın. Sayfada bir ödeme kuruluşunun adı geçiyorsa, bu adı TCMB'nin faaliyette bulunan ödeme kuruluşları tablosunda arayabilirsiniz. Bankaların sanal pos sayfaları ise bu tabloda değil, bankanın kendi adıyla görünür. Kuruluşun adı ödeme sayfasında belirtilmiyorsa, satıcının destek ekibine hangi ödeme altyapısıyla çalıştığını sorabilirsiniz.

Üçüncü olarak satıcının yasal sayfalarını okuyun. BKM, alışveriş yapacağınız sitede şirketin iletişim bilgilerinin, gizlilik prosedürlerine ve iade prosedürlerine ilişkin bilgilerin yer alıp almadığına bakmayı önerir. Takipox'ta satıcı bilgileri kullanım şartları sayfasında, kişisel verilere ilişkin açıklamalar gizlilik politikası ve KVKK aydınlatma metninde yer alır. Kişisel verilerin bir takipçi siparişinde nasıl ele alındığına ilişkin ayrıntılar için takipçi siparişinde kullanıcı adının kişisel veri sayılıp sayılmadığını anlatan KVKK rehberi de okunabilir.

Siteyi seçme aşamasında ise ödeme sayfasından önce sitenin kendisini doğrulamak gerekir. BKM, alışveriş yapacağınız siteye size gelen bir e-postadan ya da başka bir siteden değil, doğrudan tarayıcıya sitenin adresini yazarak bağlanmanızı önerir. Paket listesine de bu yolla ulaşmak mantıklıdır: Instagram takipçi satın al paketlerinin yer aldığı Takipox ana sayfası adres çubuğuna takipox.com yazılarak açılabilir; reklam ya da mesaj bağlantısı yerine bu yol, sahte kopya sitelere düşme olasılığını azaltır. Sahte siteleri tanıma ve USOM listesini kullanma adımları için sahte takipçi sitelerini tanıma rehberi ayrıntılı bir kontrol sırası sunar.

Takipox Gizlilik ve KVKK Sayfalarında Ödeme Verisi Hakkında Ne Yazıyor?

Bir sitenin kart verisi konusundaki tutumunu anlamak için ilk bakılacak yer gizlilik metni ve KVKK aydınlatma metnidir. Takipox'un bu iki sayfası 31 Ekim'de okunmuş ve ödeme verisiyle ilgili ifadeler aşağıda sayfada geçtiği biçimiyle özetlenmiştir. Sayfalarda yazmayan konular "belirtilmiyor" olarak işaretlenmiştir.

Takipox Gizlilik Politikası sayfasındaki "Toplanan Kişisel Veriler" tablosunda "İşlem Bilgileri" başlığı altında sipariş geçmişi, ödeme bilgileri ve işlem tutarları sayılır; bu verilerin toplanma yöntemi "otomatik" olarak belirtilir. "Üçüncü Taraf Paylaşımları" bölümünde ödeme işlemcileri, "ödeme işlemlerinin güvenli şekilde gerçekleştirilmesi" amacıyla verilerin paylaşılabileceği taraflar arasında yer alır. Aynı bölümde kişisel verilerin hiçbir koşulda üçüncü taraflara satılmadığı yazar.

Gizlilik Politikası'nın "Veri Güvenliği" bölümünde sayılan önlemler şunlardır: 256-bit SSL/TLS şifreleme ile veri iletimi, Bcrypt algoritması ile şifrelerin hash'lenmesi, düzenli güvenlik denetimleri ve penetrasyon testleri, erişim kontrolü ve yetkilendirme mekanizmaları, veritabanı şifreleme ve yedekleme prosedürleri. Burada geçen "şifre" ifadesi site hesabınızın giriş parolasıyla ilgilidir; sosyal medya şifresi değildir, çünkü sipariş için sosyal medya şifresi istenmez.

KVKK Aydınlatma Metni'nde "Müşteri İşlem Verileri" kategorisi sipariş bilgileri, ödeme geçmişi ve hedef hesap bilgileri olarak tanımlanır. İşleme amaçları arasında "sipariş ve ödeme işlemlerinin gerçekleştirilmesi" yer alır. Verilerin aktarılabileceği taraflar arasında "ödeme işlemcileri ve bankalar" sayılır. Saklama süreleri tablosunda "ödeme verileri" için "10 yıl (vergi mevzuatı)" ifadesi geçer.

Tablodaki "ödeme bilgileri" ve "ödeme verileri" ifadelerinin kapsamı sayfalarda ayrıca tanımlanmaz. Bu ifadeler sipariş tutarı, ödeme tarihi ve ödeme durumu gibi işlem kayıtlarını anlatabileceği gibi başka ayrıntıları da kapsayabilir; metinden kesin bir sonuç çıkarmak doğru olmaz. Kart verisi konusunda net bilgi isteyen okur, destek@takipox.com adresine ya da WhatsApp destek hattına sipariş öncesinde soru iletebilir. KVKK kapsamındaki haklar için de aynı e-posta adresi gösterilir.

Ödeme yöntemleri konusunda yazının dayandığı tek ifade şudur: Takipox'ta ödeme seçenekleri sipariş ekranında gösterilir. Fiyatlar KDV dahil Türk lirası olarak listelenir; güncel sipariş durumu ve fiyatlar hizmet sayfalarında gösterilir.

Kartla Ödemeden Önce Adım Adım Kontrol Listesi

Aşağıdaki liste, resmî kaynaklardaki önerileri takipçi siparişinin akışına göre sıralar. Her adımı tek tek uygulamak birkaç dakikanızı alır ve kart bilgisinin yanlış yere gitme olasılığını belirgin biçimde azaltır.

1. Siteye doğrudan girin. Adresi tarayıcıya kendiniz yazın; mesaj veya e-postadaki bağlantıdan girmeyin. Bu, BKM'nin güvenlik sayfasındaki önerilerden biridir.
2. Siparişi hazırlayın. Kullanıcı adını ya da profil veya içerik linkini doğru girin, hesabın sipariş süresince herkese açık olduğundan emin olun. Şifre istenmez; şifre isteyen bir alanla karşılaşırsanız işlemi durdurun.
3. Yasal sayfalara göz atın. Satıcı bilgilerinin, gizlilik metninin ve iade koşullarının sitede yer aldığını kontrol edin.
4. Ödeme adımında adres çubuğuna bakın. Kilit simgesini, https ifadesini ve alan adını okuyun. Alan adı değiştiyse hangi kuruluşa geçtiğinizi not edin.
5. Kuruluşu doğrulayın. Ödeme sayfasında bir ödeme kuruluşunun adı geçiyorsa TCMB'nin faaliyette bulunan ödeme kuruluşları tablosunda arayın.
6. Yalnız gerekli alanları doldurun. İnternet alışverişinde kart numarası, son kullanma tarihi, kart üzerindeki ad ve güvenlik kodu istenir. Kart şifresi (PIN) isteyen bir sayfa olağan dışıdır.
7. Tarayıcının kart kaydetme önerisini düşünün. Paylaşılan ya da başkasının kullandığı bir cihazdaysanız tarayıcının kartı kaydetme önerisini kabul etmeyin. BKM, halka açık bilgisayarlarda alışverişte çok dikkatli olunmasını önerir.
8. 3D doğrulama mesajını okuyun. Tutar ve iş yeri adı sipariş ekranıyla uyuşuyorsa kodu girin; uyuşmuyorsa girmeyin.
9. Sipariş numaranızı saklayın. Takipox'ta TPX ile başlayan takip numarası siparişi izlemenizi ve gerektiğinde destek talebi oluşturmanızı sağlar.
10. Ekstrenizi takip edin. Ödemeden sonraki günlerde kartınızın hareketlerine bakın; tanımadığınız bir işlem görürseniz 5464 sayılı Kanun'un 16. maddesindeki bildirim yükümlülüğü gereği kart çıkaran kuruluşa hemen haber verin.

Sık Yapılan Hatalar

Kart bilgisiyle ilgili sorunların büyük bölümü teknik açıklardan değil, gündelik alışkanlıklardan doğar. Aşağıdaki tablo, takipçi siparişi sırasında sık karşılaşılan hataları ve resmî kaynaklara dayanan doğru davranışı bir arada gösterir.

Bu hataların ortak noktası, kart bilgisinin ödeme sayfası dışında bir yere taşınmasıdır. BKM'nin güvenlik sayfası, kart numaranızı sanal alışveriş ortamları dışında internette hiçbir yere girmemenizi ve banka logosu ya da adı kullanılsa bile kart ve kişisel bilgilerinizi isteyen e-postalara ve sitelere yanıt vermemenizi önerir. Aynı sayfa, bankanızı ararken telefon numarasını kendinizin çevirmesini de tavsiye eder.

Ödemeden Sonra Bir Şüphe Doğarsa Ne Yapılır?

Ödemeden sonra kartınızda tanımadığınız bir hareket görürseniz ya da kart bilgilerinizi yanlış bir sayfaya girdiğinizi düşünürseniz izlenecek yol bellidir. 5464 sayılı Kanun'un 16. maddesi, kart hamilinin iradesi dışında gerçekleşmiş bir işlemi öğrendiğinde kart çıkaran kuruluşu derhal haberdar etmesini zorunlu tutar. BKM de kartın kaybolması ya da çalınması halinde hemen bankanızı arayarak kartı iptal ettirmenizi, acil durumlarda hızla ulaşabilmek için banka telefon numaralarını telefonunuza kaydetmenizi önerir.

Bankanızla konuşurken hangi tarihte, hangi tutarda ve hangi sitede ödeme yaptığınızı, sipariş numaranızı ve ödeme sayfasının alan adını hazır bulundurmak süreci hızlandırır. Kartı kapattırıp yenisini istemek, işleme itiraz etmek ve süreçlere ilişkin ayrıntılar kart çıkaran kuruluşun koşullarına bağlıdır; bu ayrıntılar okunan resmî sayfalarda tek tip olarak belirtilmiyor.

Sorun kart güvenliğiyle değil siparişin kendisiyle ilgiliyse, örneğin teslimat başlamadıysa ya da iade istiyorsanız, önce satıcının destek kanalına sipariş numaranızla başvurmak gerekir. Takipox'ta başlamamış siparişlerde tam iade, kısmen tamamlanmış siparişlerde teslim edilmeyen kısmın iadesi yapılır; tamamlanmış siparişlerde iade yoktur. İade talepleri 24 saat içinde işleme alınır ve en geç 5 iş günü içinde sonuçlandırılır. İadenin karta yansıma süresi ise bankaya göre değişebilir; bu konudaki ayrıntılar için takipçi siparişi iadesinin karta ne zaman yansıdığını anlatan rehber okunabilir.

İzinsiz ödeme hizmeti sunduğundan şüphelendiğiniz bir kuruluşla karşılaştıysanız TCMB'nin "Ödeme Hizmetleri" sayfasında yer alan, izinsiz ödeme hizmeti sunan kişi ve kuruluşlarla ilgili ihbar başvuru rehberine bakabilirsiniz. Başvuru adımlarının ayrıntısı bu yazının kapsamı dışındadır ve güncel hali TCMB sayfasından kontrol edilmelidir.

Takipox'ta Hangi Paket Bu Duruma Uyar?

Kart bilgisi sorusu hangi paketi seçeceğinizi değiştirmez; ödeme adımı tüm paketlerde aynı sipariş akışının parçasıdır. Paket seçiminde belirleyici olan hesabınızın türü, hedefiniz ve içerik planınızdır. Takipox ana sayfası Instagram, YouTube, TikTok, Twitter (X) ve Facebook için hizmetleri kategori kategori listeler; güncel sipariş durumu ve fiyatlar hizmet sayfalarında gösterilir.

Paketin rolünü gerçekçi tanımlamak gerekir: Bir takipçi paketi hesaba sosyal kanıt ve bir başlangıç tabanı sağlar. İçeriğin dağıtımı ve erişimi ise içerik kalitesi ve izleyici ilgisiyle gelir. Bu nedenle sipariş öncesinde profilinizi ve paylaşım planınızı hazırlamak, paketten beklentinizi doğru kurmanıza yardım eder.

Sipariş akışında bilmeniz gereken temel noktalar şunlardır: Şifre istenmez, yalnız kullanıcı adı ya da profil veya video linki girilir. Hesabınız ve içeriğiniz sipariş süresince herkese açık olmalıdır. Teslim genellikle 0-24 saat içinde başlar, büyük miktarlar 24-72 saat sürebilir; bu süreler tahminidir. Siparişten sonraki 30 gün içinde ücretsiz telafi hakkı vardır; telafi talebi sipariş numarasıyla yapılır ve inceleme 48 saate kadar sürebilir. Aynı hesap ya da içerik için aynı anda başka bir firmadan işlem yaptırmanız önerilmez, çünkü sayıların takibi ve telafi incelemesi zorlaşır.

Destek WhatsApp ve destek@takipox.com üzerinden verilir. Fiyatlar KDV dahil TL olarak gösterilir, ödeme seçenekleri sipariş ekranında yer alır. 18 yaşından küçükler hizmetlerden yararlanamaz; kart sahibi olmayan biri adına ya da başkasının kartıyla ödeme yapılmaması da hem bu kural hem de 5464 sayılı Kanun'un kart hamiline yüklediği koruma yükümlülüğü açısından önemlidir.

Platform Kuralları ve Dikkat Edilecekler

Bu yazının konusu ödeme güvenliği olduğu için ilgili kural sosyal medya platformundan değil, kart mevzuatından gelir: 5464 sayılı Kanun'un 23. maddesi üye işyerlerinin kart bilgilerini kart hamilinin yazılı rızası olmadan saklamasını ve kopyalamasını yasaklar; 16. maddesi de kart hamiline kartı ve şifre gibi bilgileri koruma yükümlülüğü getirir. Siparişin hangi sosyal medya hesabı için verildiğine gelince, satın alınan etkileşim konusunda platformun kendi kuralları geçerlidir, karar sizindir.

Kaynaklar ve Doğrulama Notu

Bu yazı 31 Ekim'de okunan resmî sayfalara dayanır; arayüz ve özellikler değişebilir. Okunan sayfalar:

• PCI Security Standards Council, "PCI Data Security Standard (PCI DSS)" sayfası (EN)
• PCI Security Standards Council, "About Us" sayfası (EN)
• PCI Security Standards Council, "Glossary" terimler sözlüğü (EN)
• PCI Security Standards Council, "Merchant Resources" sayfası (EN)
• PCI SSC SSS: "Can card verification codes be stored for card-on-file or recurring transactions?" (EN)
• PCI SSC SSS: "For PCI DSS, why is storage of sensitive authentication data (SAD) after authorization not permitted even when there are no primary account numbers (PANs) in an environment?" (EN)
• PCI SSC SSS: "What is the difference between masking and truncation?" ve "What are acceptable formats for truncation of primary account numbers?" (EN)
• PCI SSC SSS: "Are authentication values from a 3DS transaction considered sensitive authentication data for PCI DSS purposes?" (EN)
• PCI SSC SSS: "How does an e-commerce merchant meet the SAQ A eligibility criteria for scripts?" (EN)
• PCI SSC SSS: "Is the PCI DSS Attestation of Compliance intended to be shared?", "Where do I direct questions about complying with PCI standards?" ve "Does PCI DSS define which versions of TLS must be used?" (EN)
• Bankalararası Kart Merkezi, "Güvenli İnternet Alışverişi" sayfası (TR)
• Bankalararası Kart Merkezi, "Güvenlik" sayfası (TR)
• Mevzuat Bilgi Sistemi, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu (TR)
• Mevzuat Bilgi Sistemi, 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun (TR)
• Türkiye Cumhuriyet Merkez Bankası, "Ödeme Hizmetleri" ve "Ödeme Kuruluşları" sayfaları (TR)
• Takipox, "Gizlilik Politikası" ve "KVKK Aydınlatma Metni" sayfaları (TR)

Okunan resmî sayfalarda belirtilmeyen konular: Takipox'un hangi ödeme kuruluşu veya altyapısıyla çalıştığı, kart numarasının veya güvenlik kodunun Takipox tarafında tutulup tutulmadığı, kart kaydetme seçeneğinin olup olmadığı ve bankaların itiraz süreçlerinin tek tip ayrıntıları. Bu konular için ilgili kuruluşa doğrudan sorulması gerekir. Bu yazı hukuki veya mali tavsiye değildir.

Sık Sorulan Sorular

Takipçi siparişinde kart bilgim saklanır mı?

Bu, ödemeyi işleyen yapıya bağlıdır. PCI DSS'e göre güvenlik kodu ödeme onayından sonra saklanamaz, kart numarası saklanacaksa korunmak zorundadır. Takipox'un gizlilik ve KVKK sayfalarında ödeme verileri ve ödeme işlemcileri anılır; kart numarası veya güvenlik kodunun tutulup tutulmadığı ayrıca belirtilmiyor, bu konu destek ekibine sorulabilir.

PCI DSS nedir?

PCI DSS, Ödeme Kartı Sektörü Veri Güvenliği Standardı'dır. PCI SSC'nin resmî sayfasına göre ödeme hesap verilerini korumak için teknik ve operasyonel gerekliliklerden oluşan bir temel çizgi sunar ve kart verisini saklayan, işleyen veya ileten tüm kuruluşlara yöneliktir.

CVV kodu bir sitede kayıtlı kalabilir mi?

PCI SSC'ye göre hayır. Kart doğrulama kodu, toplandığı işlem onaylandıktan sonra tutulamaz; şifrelenmiş olması da müşterinin izin vermesi de bu kuralı değiştirmez. Kayıtlı kartla ve düzenli ödemelerde de kod saklanmaz.

Ekranda yalnız son dört hane görünüyorsa kart numaram silinmiş midir?

Her zaman değil. PCI SSC'ye göre maskeleme yalnız görüntülemeyle ilgilidir ve tam numara sistemde saklanıyor olabilir. Kırpma ise saklanan veriden haneleri siler. Ekrandaki görünüm tek başına hangisinin uygulandığını göstermez.

3D Secure kart bilgimin saklanmasını engeller mi?

3D Secure bir kart hamili doğrulama sistemidir; işlemi sizin yaptığınızı doğrular. Kart verisinin saklanma biçimi ise PCI DSS kurallarıyla ilgilidir. İkisi birbirini tamamlar ama biri diğerinin yerine geçmez.

Türk mevzuatında kart bilgisinin saklanmasıyla ilgili bir hüküm var mı?

Evet. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu'nun 23. maddesine göre üye işyerleri kart ve kart hamiline ilişkin bilgileri kart hamilinin yazılı rızası olmadan başkasına açıklayamaz, saklayamaz ve kopyalayamaz. Bu yazı hukuki tavsiye değildir.

Ödeme sayfasının güvenli olduğunu nasıl anlarım?

BKM, adres çubuğunda kilit işareti olup olmadığına ve adresin https ile başlayıp başlamadığına bakmayı önerir. Ayrıca ödeme sayfasının alan adını ve sayfada adı geçen ödeme kuruluşunu TCMB'nin ödeme kuruluşları tablosunda kontrol edebilirsiniz.

Satıcı WhatsApp'tan kart bilgimi isterse ne yapmalıyım?

Paylaşmayın. Kart numarası, son kullanma tarihi ve güvenlik kodu ödeme sayfasına girilir; 6493 sayılı Kanun son kullanma tarihini ve güvenlik numarasını kişisel güvenlik bilgisi sayar. Takipox siparişlerinde de ödeme sipariş ekranındaki seçeneklerle yapılır.

Kartımda tanımadığım bir işlem görürsem ne yapmalıyım?

Kart çıkaran kuruluşu derhal arayın. 5464 sayılı Kanun'un 16. maddesi bu bildirimi kart hamiline yükümlülük olarak getirir; 12. maddeye göre bildirimin yapılmaması sorumluluk sınırının uygulanmamasına yol açabilir.

Bir sitenin PCI DSS uyumlu olduğunu nasıl doğrularım?

PCI SSC'ye göre uyum ve doğrulama, kart markaları ve üye işyeri bankalarının uyum programlarına bağlıdır; Uyum Beyanı çoğunlukla talep eden kuruluşlarla paylaşılır. Tüketici olarak en pratik kontrol, ödeme sayfasının hangi kuruluşa ait olduğuna bakmak ve gerekirse satıcıya sormaktır.

Takipox hangi ödeme kuruluşuyla çalışıyor?

Takipox'un gizlilik ve KVKK sayfalarında ödeme işlemcilerinden genel olarak söz edilir, kuruluş adı belirtilmiyor. Ödeme seçenekleri sipariş ekranında gösterilir; ayrıntı için destek@takipox.com veya WhatsApp destek hattına yazılabilir.

Tarayıcının kartımı kaydetmesine izin vermeli miyim?

Bu kişisel bir tercihtir. Paylaşılan veya başkalarının da kullandığı bir cihazdaysanız kaydetmemek daha uygundur; BKM, halka açık bilgisayarlarda internet alışverişinde kart bilgisinin güvenliği açısından çok dikkatli olunmasını önerir.