PCI DSS Uyumluluğu: E-Ticarette Kart Verisi Güvenliğinin Kuralları

Kart Numarasını Excel'e Kaydettiniz mi? O Zaman Bu Yazı Sizin İçin

Bir müşteri telefonda sipariş verdi, çağrı merkezi elemanınız kart numarasını, son kullanma tarihini ve CVV'yi bir Excel dosyasına not aldı. Zararsız görünüyor, değil mi? Aslında bu tek hareket, işletmenizi Visa ve Mastercard'ın PCI DSS (Payment Card Industry Data Security Standard) kurallarına aykırı bir duruma düşürür ve bir veri sızıntısı halinde ayda 5.000-100.000 dolar arasında ceza riski doğurur. Türkiye'de pek çok KOBİ, sanal POS'u iyzico, PayTR veya KuveytTürk üzerinden aldığı için "bu bizi ilgilendirmez" diye düşünüyor. Oysa PCI DSS uyumluluğu, ödeme sağlayıcınızdan bağımsız olarak sizin de taşıdığınız bir sorumluluk.

PCI DSS Nedir, Neden Sanal POS'unuz Yetmez?

PCI DSS, kart ağlarının (Visa, Mastercard, Amex) ortaklaşa belirlediği, kart verisini işleyen, saklayan veya ileten her işletmeyi kapsayan bir güvenlik standardı. 2024'te yürürlüğe giren PCI DSS v4.0 ile çok faktörlü kimlik doğrulama ve sürekli zafiyet taraması zorunlu hale geldi.

iyzico, PayTR ve KuveytTürk Sanal POS gibi sağlayıcılar kendi altyapılarını PCI DSS Seviye 1 sertifikasıyla işletir — ama bu sertifika sadece onların sunucularını kapsar. Sizin web siteniz, CRM'iniz, çağrı merkezi ekranınız veya WhatsApp üzerinden kart bilgisi topladığınız her nokta ayrı bir risk alanıdır. Yani "ödeme sağlayıcım PCI uyumlu" demek, "ben de otomatik uyumluyum" anlamına gelmez.

Kimler Kapsam Dahilinde?

Kendi checkout formunu barındıran (hosted olmayan) her e-ticaret sitesi
Telefon/WhatsApp üzerinden sipariş alıp kart bilgisini not eden işletmeler
Kart bilgisini CRM, Excel veya e-posta arşivinde tutan ekipler
Kendi sunucusunda 3D Secure öncesi kart verisini geçici olarak işleyen yazılımlar

SAQ A ile SAQ A-EP Arasındaki Fark Cebinizi Doğrudan Etkiler

PCI DSS uyumluluğu, işletme büyüklüğüne göre değil, kart verisiyle nasıl etkileşim kurduğunuza göre farklı "Self-Assessment Questionnaire" (SAQ) seviyelerine ayrılır:

SAQ Türü	Ne Zaman Geçerli	Yıllık Denetim Yükü
SAQ A	Ödeme tamamen iyzico/PayTR'ın hosted sayfasında veya iframe'inde gerçekleşiyor, kart verisi sitenize hiç dokunmuyor	En düşük, ~22 soru
SAQ A-EP	Checkout sayfanız kendi tasarımınız ama arka planda ödeme sağlayıcının scripti kart verisini doğrudan sağlayıcıya iletiyor	Orta, ~191 soru
SAQ D	Kart verisini kendi sunucunuzda işliyor veya saklıyorsunuz	En yüksek, tam kapsamlı denetim

Çoğu Türk KOBİ'nin aslında ihtiyacı olan tek şey SAQ A seviyesinde kalmak. Bunun yolu da basit: Ödeme formunu kendi sunucunuzda render etmeyin, iyzico Checkout Form veya PayTR'ın iFrame API'sini kullanın. Markanıza özel tasarım görünümünü bozmadan kart verisi hiçbir zaman sizin sunucunuza uğramaz.

Tokenizasyon: Kartı Saklamadan "Hatırlama" Yöntemi

Abonelik modeli veya tek tıkla tekrar ödeme (one-click checkout) sunmak istiyorsanız kart verisini saklamanız gerektiğini düşünebilirsiniz — bu yanlış. Tokenizasyon, gerçek kart numarasını ödeme sağlayıcının güvenli kasasında tutup size sadece rastgele bir "token" (örneğin iyzico'nun cardUserKey/cardToken ikilisi) döndürür. Siz bu token'ı veritabanınızda saklarsınız, gerçek kart numarasına hiç erişmezsiniz.

Pratik faydası şu:

Abonelik bazlı satan işletmeler (dijital ürün, kozmetik kutusu) her ay kartı yeniden girdirmeden tahsilat yapabilir
Veri sızıntısı yaşasanız bile çalınan şey işe yaramaz bir token olur, gerçek kart numarası değil
PCI DSS kapsamınız SAQ A'da kalır, SAQ D'ye düşmezsiniz

Uyumsuzluğun Gerçek Maliyeti

PCI DSS'i "sonra bakarım" diye bırakmanın somut faturaları var:

Banka cezaları: Kart ağları uyumsuz işyerlerine aylık 5.000-100.000 dolar arasında ceza kesebilir; bu ceza genelde sözleşmeniz üzerinden sanal POS sağlayıcınıza, sağlayıcı da size fatura eder.
Sanal POS hesabının kapatılması: iyzico veya PayTR, kart ağlarından gelen uyarı sonrası hesabınızı askıya alabilir — bu da kampanya gününde satışın tamamen durması anlamına gelir.
Chargeback ve soruşturma maliyeti: Bir veri sızıntısı tespit edilirse adli bilişim incelemesi (forensic audit) zorunlu olur ve bu inceleme tek başına 20.000-50.000 TL arasında bir maliyete çıkabilir.
KVKK çakışması: Kart verisi sızıntısı aynı zamanda KVKK kapsamında veri ihlali bildirimi gerektirir; Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirim yapılmazsa ayrıca idari para cezası uygulanır.

Bugün Yapabileceğiniz 5 Somut Adım

Checkout formunuzu denetleyin: Kart numarası input'u kendi domaininizde mi render ediliyor, yoksa sağlayıcının iframe'inde mi? İkincisi değilse SAQ A-EP'ye düşmüşsünüz demektir.
Çağrı merkezi ekibinize kural koyun: Telefonla kart bilgisi asla not alınmaz, alınamıyorsa ödeme linki (iyzico Ödeme Linki, PayTR Link) ile tahsilat yapılır.
CRM ve e-posta aramasını tarayın: "kart no", "cvv" gibi terimlerle geçmiş kayıtları tarayıp varsa kalıcı olarak silin.
Tekrarlayan ödeme ihtiyacınız varsa tokenizasyona geçin: Kart verisini değil, token'ı saklayın.
Ödeme sağlayıcınızdan PCI DSS uyumluluk sertifikasını (AOC) isteyin: iyzico ve PayTR bunu talep üzerine paylaşır, bu belge aynı zamanda kurumsal müşterilerinize güven verir.

PCI DSS, bir kerelik proje değil; her yıl yenilenen bir disiplin. Ama doğru kurulmuş bir hosted checkout ile bu yük çoğunlukla sağlayıcınızın sırtında kalır, sizin işiniz sadece doğru entegrasyonu seçmek ve ekibinize doğru alışkanlıkları kazandırmak olur.

Shopizay ile Ücretsiz Başla

Shopizay'da e-ticaret altyapınızı kurarken ödeme entegrasyonları iyzico ve PayTR'ın PCI DSS uyumlu hosted checkout yapılarıyla doğrudan bağlanır — kart verisi sitenize hiç dokunmaz, siz SAQ A seviyesinde kalırsınız. İster yeni mağaza açıyor olun, ister mevcut altyapınızı güvenli bir yapıya taşımak isteyin, Shopizay'ı ücretsiz deneyin ve ödeme güvenliğini düşünmeden satışa odaklanın.