Gömülü finans, ana işi finans olmayan bir ürünün içine ödeme, hesap, kart veya kredi yerleştirmek demek: pazaryeri cüzdanı, maaş uygulaması, taksitli ödeme butonu. Hizmet olarak bankacılık (BaaS) ise bunun altyapısı: lisanslı bir kuruluş hizmetlerini API ile açıyor, bir marka da bunları kendi kullanıcısına sunuyor. Türk hukukunda tek bir “BaaS lisansı” yok. Her düzenlenmiş adım belirli bir lisans sahibine ait; bu yüzden her lansmanda iki soru cevaplanmalı: Bu adımın lisansı kimde ve platform onun yanında hangi sıfatla duruyor? Aşağıda Ekim 2026 itibarıyla haritayı çıkarıyoruz.
Lisansı kim tutmalı?
Üç faaliyet lisanslı kuruluşlara ayrılmış durumda ve her birinin cezai yaptırımı var.
- Ödeme hizmetleri ve elektronik para. Bankalar, elektronik para kuruluşları, ödeme kuruluşları ve PTT dışında kimse ödeme hizmeti sunamaz (6493 sayılı Kanun md. 13). Elektronik parayı yalnızca bankalar, PTT ve izinli elektronik para kuruluşları ihraç edebilir (md. 18/1). İzinsiz şekilde ödeme veya elektronik para kuruluşu gibi faaliyet göstermenin cezası bir yıldan üç yıla kadar hapistir (md. 28/1).
- Mevduat. Kredi kuruluşları ve özel kanunlarına göre yetkili olanlar dışında kimse meslek edinerek mevduat veya katılım fonu kabul edemez, bu izlenimi yaratacak ifade de kullanamaz (5411 sayılı Bankacılık Kanunu md. 60). İzinsiz mevduat kabulünün cezası üç yıldan beş yıla kadar hapistir (md. 150).
- Kredi. Ödeme ve elektronik para kuruluşları kredi veremez (6493 sayılı Kanun md. 14/4 ve 20/4); TCMB Yönetmeliği aracılık edilen tutarların taksitlendirilmesini de yasaklar (md. 16/1). Kredi bankalarda (5411 sayılı Kanun md. 4) ve BDDK Kurulundan izinli finansman şirketlerindedir (6361 sayılı Kanun md. 4); izinsiz finansman faaliyetinin cezası iki yıldan beş yıla kadar hapistir (md. 46).
TCMB Yönetmeliğinde temsilci ve dış hizmet yolu
Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021/31676) iki yol tanır. Birincisi temsilci: “Kuruluş adına ve hesabına hareket eden gerçek veya tüzel kişi” (md. 3/1-tt). Madde 18’e göre:
- temsilci elektronik veya fiziki kanalda, yazılı sözleşmeyle, belge kontrolü ve risk değerlendirmesinden sonra kullanılabilir (md. 18/1, 12, 13);
- temsilci, sözleşmeden itibaren 15 iş günü içinde TCMB’ye değil Türkiye Ödeme ve Elektronik Para Kuruluşları Birliğine (TÖDEB) bildirilir ve Birliğin kamuya açık listesine kaydedilir; listede olmayan temsilci kullanılamaz (md. 18/2, 4);
- temsilcilik dışında üçüncü kişileri yetkilendirmenin başka bir yolu yoktur, alt temsilci yasaktır (md. 18/1, 6);
- kuruluş temsilciden sorumludur ve temsilciyi seçerken özen gösterdiğini ileri sürerek sorumluluktan kurtulamaz; müşteriye temsilcinin kuruluş adına ve hesabına çalıştığı açıkça bildirilmelidir (md. 18/8, 9);
- elektronik para kuruluşunun temsilcisi elektronik para ihraç edemez (md. 18/7).
İkinci yol dış hizmet alımıdır (md. 21). Ödeme hizmeti sunma ve elektronik para ihracı dış hizmete konu edilemez (md. 21/1); bilgi sistemleri, pazarlama, reklam, kurumsal kaynak yönetimi, muhasebe ve çağrı merkezi ise yazılı sözleşmeyle verilebilir (md. 21/2). Dış hizmet, hizmetin ödeme hizmeti sağlayıcısı olmayan bir şirketçe sunulduğu izlenimini yaratamaz (md. 21/4) ve kuruluşun müşteriye karşı sorumluluğunu kaldırmaz (md. 21/10). Sınır fon akışıdır: pazarlama dahil dış hizmet alımları, “dış hizmet alınacak şirketin hiçbir şekilde fon aktarımına aracılık etmemesi şartıyla” temsilcilik sayılmaz (md. 18/1). Paraya hiç dokunmayan yönlendirme ortağı dış hizmet sağlayıcıdır; fon platformdan geçtiği anda platformun kayıtlı temsilci olması ya da kendisinin lisans alması gerekir.
Banka ortaklıkları ve servis modeli bankacılığı
Ortak bir banka olduğunda platform çoğunlukla destek hizmeti kuruluşudur: mevduat kabulü ve kredi verme dışındaki faaliyetleri banka adına yürüten ya da bankaya yardımcı hizmet veren kuruluş (5411 sayılı Kanun md. 3). Banka hizmeti almadan önce yazılı risk raporu hazırlar (md. 35). Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik (RG 5.11.2011/28106), kredi taleplerinin değerlendirilmesi ve kredi kararı ile mevduat kabulü ve buna yönelik pazarlamanın destek hizmetine verilmesini yasaklar (md. 4/1-b, ç); sözleşmelerde BDDK denetimi kabul edilmelidir (md. 7).
Dijital Bankaların Faaliyet Esasları ile Servis Modeli Bankacılığı Hakkında Yönetmelik (RG 29.12.2021/31704, yürürlük 1.1.2022) Türk hukukunun BaaS’a en yakın düzenlemesi. Servis modeli bankacılığında müşteri, arayüz sağlayıcının mobil uygulaması veya web arayüzü üzerinden servis bankasının sistemlerine açık bankacılık servisleriyle doğrudan bağlanır ve işlemlerini o banka üzerinden yapar (md. 3/1-b, jj). Madde 13’ün kuralları:
- servis bankası yalnızca yurt içinde yerleşik arayüz sağlayıcılara hizmet verir; bankalar arayüz sağlayıcı olamaz (md. 13/1-2);
- kredi tahsis kararı dahil her hizmete servis bankası karar verir ve işlem servis bankasının bilançosunda gerçekleşir (md. 13/3);
- müşteri servis bankasıyla sözleşme kurar; uzaktan kurulan ilişkide kimlik tespitini servis bankası yapar (md. 13/4);
- arayüz sağlayıcı ve servis bankası kimlik doğrulama ve işlem güvenliğinden müteselsilen sorumludur (md. 13/5);
- arayüz sağlayıcı servis bankasının destek hizmeti kuruluşudur ve BDDK Kurulu izni gerekir; birden fazla servis bankasıyla çalışmak da izne tabidir; bu izin ödeme emri başlatma veya hesap bilgisi hizmetleri için TCMB lisansı yükümlülüğünü kaldırmaz (md. 13/6, 10).
Yelpazenin diğer ucunda dijital banka var: şubesiz bir kredi kuruluşu; kredi müşterileri yalnızca finansal tüketiciler ve KOBİ’ler olabilir (md. 3/1-i, 5/1). Yayımlanan metinde asgari ödenmiş sermaye bir milyar Türk lirası; Kurul bu tutarı artırabilir (md. 9).
Gömülü kredi, BNPL ve beyaz etiketli kartlar
Ödeme ve elektronik para kuruluşları kredi veremediği için ödeme sayfasındaki taksit butonu çoğunlukla bir banka veya finansman şirketinin kredisidir. 6361 sayılı Kanundaki finansman sözleşmesi, mal veya hizmet alımının bedeli doğrudan satıcıya ödenerek kredilendirilmesidir; finansman şirketi satıcılarla önceden genel sözleşme yapmak zorundadır (md. 39/1-2). Servis bankası, arayüz sağlayıcının kanallarından kredi kartı talebi de toplayabilir (Dijital Bankalar Yönetmeliği md. 13/6). Ayrıntılar BNPL yazımızda.
Platform renklerindeki beyaz etiketli cüzdan, lisanslı bir elektronik para kuruluşunun ihraç ettiği elektronik paradır: fonlar mevduat sayılmaz (6493 sayılı Kanun md. 20/7), elde tutma süresine bağlı faiz veya menfaat sağlanamaz (md. 20/5) ve platform kendisi elektronik para ihraç edemez. Yalnızca elektronik paranın dağıtımı ve fona çevrilmesi işlemlerini yürütenler temsilci maddesine tabi değildir (Yönetmelik md. 18/23). Servis modelinde arayüz sağlayıcı için ihraç edilen kartın üzerinde banka adı ve logosu görünür şekilde yer almalıdır (Dijital Bankalar Yönetmeliği md. 13/8-d).
Hangi model? Karar tablosu
| Model | Platformun hukuki statüsü | Müşteriyle sözleşmeyi kim kurar? | Ana sınırlama |
|---|---|---|---|
| Yönlendirme / pazarlama | Dış hizmet veya destek hizmeti sağlayıcı | Lisanslı ortak | Fon akışı yok; hizmeti platformun sunduğu izlenimi yok |
| Temsilci | Ödeme veya elektronik para kuruluşunun kayıtlı temsilcisi (md. 18) | Kuruluş; temsilci onun adına hareket eder | TÖDEB kaydı; bilgilendirme; alt temsilci ve e-para ihracı yok |
| Beyaz etiketli cüzdan veya kart | İhraççının temsilcisi, dış hizmet sağlayıcısı veya dağıtıcısı ya da bankanın arayüz sağlayıcısı | İhraççı (elektronik para kuruluşu veya banka) | İhraççı görünür; e-paraya faiz yok; banka izlenimi yok |
| Servis modeli bankacılığı | BDDK Kurulu izinli arayüz sağlayıcı | Servis bankası | Kararı banka verir ve kendi bilançosuna alır; güvenlikte müteselsil sorumluluk; veri sınırları |
| Kendi lisansı | Ödeme veya elektronik para kuruluşu (TCMB), finansman şirketi veya banka (BDDK) | Platformun kendisi | Sermaye, yönetişim, fon koruma ve denetim |
Müşteri verisi ve bilgilendirme
Ödeme ve elektronik para kuruluşları banka adını veya banka izlenimi veren ifadeleri kullanamaz (TCMB Yönetmeliği md. 15/7). Arayüz sağlayıcı banka veya ödeme hizmeti sağlayıcısı izlenimi yaratamaz (Dijital Bankalar Yönetmeliği md. 13/3); müşteriye banka olmadığını açıkça bildirmeli, ana sayfasında servis bankasının adı ve logosuna, bankanın şikâyet kanallarına yer vermelidir (md. 13/8-a ila ç).
KVKK’da roller işleve göre belirlenir: veri sorumlusu amaç ve vasıtaları belirler, veri işleyen onun adına işler (6698 sayılı Kanun md. 3/1-ğ, ı) ve güvenlik tedbirlerinden birlikte müştereken sorumludurlar (md. 12/2). Uygulamada lisanslı ortak düzenlenmiş hizmeti için veri sorumlusudur; platform müşteri kazanımı verisini onun adına işler, kendi kullanıcı ilişkisinde ise ayrı bir veri sorumlusudur. Banka sırrı bunun üstüne eklenir: 73 üncü maddede sayılan istisnalar (bankaya destek hizmeti verilmesi sırasında öğrenilen bilgiler bunlardandır, md. 73/4) dışında müşteri sırrı, müşteriden gelen bir talep veya talimat olmaksızın, “6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca müşterinin açık rızası alınsa dahi” üçüncü kişilerle paylaşılamaz (5411 sayılı Kanun md. 73/3). Arayüz sağlayıcıya aktarılan sır niteliğindeki veri yalnızca müşteriyle sözleşmesi, hukuki yükümlülüğü veya bir hakkı için ve yurt içindeki sistemlerde işlenebilir (Dijital Bankalar Yönetmeliği md. 13/8-e, f); ödeme tarafında, dış hizmet sağlayıcının ödeme işlemlerini yürütmede kullandığı bilgi sistemleri ve yedekleri de yurt içinde tutulur (TCMB Bilgi Sistemleri Tebliği md. 21/2).
AB müşterileri ve belirsiz alanlar
Türk lisansı AB’ye taşınmaz. PSD2’ye (Direktif (AB) 2015/2366) göre ödeme kuruluşu izni yalnızca bir üye devlette kurulu tüzel kişiye verilir (md. 11/1); temsilciler faaliyete başlamadan sicile kaydedilir (md. 19/1-2) ve kuruluş temsilcilerinden “tam olarak sorumlu” kalır (md. 20/2). Mevduat kabulü kredi kuruluşlarına ayrılmıştır (Direktif 2013/36/AB md. 9/1). 11 Ocak 2027’den itibaren CRD VI, üye devletlerin üçüncü ülke kuruluşlarından, o devlette mevduat kabulü (bankaya benzer kuruluşlar için ayrıca kredi ve garanti) faaliyetine başlamadan önce izinli şube kurmalarını istemesini zorunlu kılıyor; müşterinin kendi girişimiyle hizmet talep etmesi (reverse solicitation) gibi istisnalar saklı (Direktif 2013/36/AB md. 21c, Direktif (AB) 2024/1619 ile eklendi; uygulama tarihi için md. 2/1).
Türkiye’de açık kalanlar: Genel bir BaaS statüsü olmadığından platformun konumu fon akışına ve kararı kimin verdiğine göre belirleniyor; Kurul arayüz sağlayıcılar için ilave şartlar belirleyebilir (md. 13/6); gömülü sigorta ise yukarıdaki rejimlerin dışında kalıyor.
Nereden başlamalı?
- Her özellik için fon akışını çizin: para platforma hiç uğruyor mu?
- Her özellik için sıfatı seçin: yönlendirme, temsilci, arayüz sağlayıcı veya kendi lisansı. Aynı sözleşmede karıştırmayın.
- Temsilcilikte TÖDEB kaydını, bilgilendirme metnini ve ortağın gözetim şartlarını lansmandan önce netleştirin.
- Banka ortaklığında arayüz sağlayıcı olarak BDDK izni gerekip gerekmediğini kontrol edin, 73. madde veri sınırlarını haritalayın.
- Uygulama metinlerini ve kart tasarımını banka izlenimi açısından tarayın; KVKK rol haritasını, gereken yerde yurt içi barındırmayla birlikte yazın.
Daha fazlası fintech hukuku sayfamızda; kendi lisansı yolu için ödeme ve elektronik para kuruluşu lisansı sayfamıza bakabilirsiniz.
Bir fintech banka lisansı olmadan banka hesabı sunabilir mi?
Kendi ürünü olarak hayır: mevduat kabulü kredi kuruluşlarına ayrılmıştır (5411 sayılı Kanun md. 60). BDDK Kurulu izniyle bir servis bankasının arayüz sağlayıcısı olabilir; ancak müşteri sözleşmeyi bankayla kurar ve hesaplar bankanın bilançosunda durur.
Ödeme kuruluşunun yönlendirme ortağı temsilci sayılır mı?
Yalnızca pazarlama yapıyor ve fon aktarımına hiç aracılık etmiyorsa hayır; bu dış hizmet alımıdır (TCMB Yönetmeliği md. 18/1, 21). Fon üzerinden geçtiği anda kayıtlı temsilci olması ya da kendisinin lisans alması gerekir.
Temsilci hata yaparsa müşteriye kim sorumlu olur?
İkisi de. Temsilcinin kendi sorumluluğu kuruluşun sorumluluğunu kaldırmaz; kuruluş temsilciyi özenle seçtiğini ileri sürerek sorumluluktan kurtulamaz (TCMB Yönetmeliği md. 18/9).
Kaynak. 6493 sayılı Kanun (RG 27.6.2013/28690), md. 13, 14, 18, 20, 28; Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik (RG 1.12.2021/31676, güncel metin), md. 3, 15, 16, 18, 21; Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ (RG 1.12.2021/31676), md. 21; 5411 sayılı Bankacılık Kanunu (RG 1.11.2005/25983 Mükerrer), md. 3, 4, 35, 60, 73, 150; Bankaların Destek Hizmeti Almalarına İlişkin Yönetmelik (RG 5.11.2011/28106), md. 4, 7; Dijital Bankaların Faaliyet Esasları ile Servis Modeli Bankacılığı Hakkında Yönetmelik (RG 29.12.2021/31704), md. 3, 5, 9, 13; 6361 sayılı Kanun (RG 13.12.2012/28496), md. 4, 39, 46; 6698 sayılı Kişisel Verilerin Korunması Kanunu (RG 7.4.2016/29677), md. 3, 12; Direktif (AB) 2015/2366 (PSD2), md. 11, 19, 20; Direktif 2013/36/AB, md. 9; Direktif (AB) 2024/1619 (CRD VI), md. 1(9), 2(1).
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz; somut durum için hukuki destek alınmalıdır.
