Fintek Yazılım Çözümleri: Ödeme Sistemlerinden Açık Bankacılığa Kapsamlı Rehber

Türkiye'nin fintek pazarı son beş yılda üç katına çıktı. Bankacılık Düzenleme ve Denetleme Kurulu (BDDK) verilerine göre, 2023'te 182 fintek şirketi aktif olarak faaliyet gösterirken, bu sayının 2026'da 350'i aşması bekleniyor.

Bu büyüme sadece finans kuruluşlarını değil, e-ticaret platformlarını, sağlık hizmeti sağlayıcılarını ve lojistik şirketlerini de etkiliyor. Ödeme sistemlerinden açık bankacılık API'lerine, uyumluluk yazılımlarından dijital cüzdan çözümlerine kadar geniş bir yelpazede, işletmeler finansal teknoloji entegrasyonu için hızla hareket ediyor.

Bu rehber, bir fintek yazılım projesi yönetecek karar vericilere -- teknoloji ekiplerine, proje müdürlerine ve üst düzey yöneticilere -- net bir harita sunmayı amaçlıyor.

---

Türkiye'de Fintek Ekosistemi

Türkiye'deki fintek çözümleri altı ana kategoride gelişiyor.

Ödeme ve Para Transferi pazarın en büyük dilimini oluşturuyor. 2024'te yaklaşık 620 milyon dolar hacme ulaştı. İyzico, PayTR, Stripe Türkiye gibi oyuncular gerçek zamanlı ödeme sistemleri, açık bankacılık tabanlı transferler ve cüzdan entegrasyonu sunuyor.

Açık Bankacılık (Open Banking) alanında BDDK'nin 2022'de yürürlüğe giren yönetmeliği, üçüncü taraf yazılımların banka verilerine erişimini düzenliyor. 2026'da tam olgunluğa erişmesi bekleniyor. Bu alan özellikle muhasebe yazılımı sağlayıcıları ve e-ticaret platformları için yeni fırsatlar yaratıyor.

Kredi ve Borç Verme Platformları 280 milyon dolarlık bir segmenti temsil ediyor. Alternatif veri kaynaklarıyla otomatik kredi skorlaması, özellikle küçük işletmeler ve gig ekonomisi çalışanları için yaygınlaşıyor.

Sigorta Teknolojisi (InsurTech) alanında talep anı sigorta ürünleri ve fiyatlandırma algoritmaları öne çıkıyor. Servet Yönetimi ve Yatırım Teknolojisi ise yıllık %42 büyüme hızıyla robo-advisor uygulamaları ve portföy yönetimi yazılımlarını kapsıyor.

Son olarak Düzenleme Teknolojisi (RegTech), KYC (Müşterini Tanı) ve AML (Kara Para Aklama Önleme) çözümleriyle büyüyor. MASAK raporlama yükümlülüğünün 2023-2025 arasında %150 artması bu alana olan talebi hızlandırdı.

---

Düzenleme ve Uyumluluk: Her Projenin Temeli

Türkiye'de fintek yazılım geliştirmenin en büyük zorluğu uyumluluk gereklilikleridir. Her projede aşağıdaki düzenleme alanlarının gözden geçirilmesi gerekir.

BDDK Gereklilikleri

BDDK, çoğu ödeme, kredi ve tasarruf platformunu kapsar. Temel şartlar arasında para alan fintek şirketleri için minimum sermaye yükümlülüğü (2024 kurunda 500.000 TL), ISO/IEC 27001 veri güvenliği standardı, 6 ayda bir penetrasyon testi ve son 10 yıllık işlem kaydı tutma zorunluluğu yer alıyor.

Özellikle 2022 Açık Bankacılık Yönetmeliği, katılımcı finansal kuruluşların veri güvenliği, kimlik doğrulama ve şifreleme standartlarını en az 6 aylık periyotlarla güncellemesini zorunlu kılıyor.

SPK Gereklilikleri

Borsa tabanlı platformlar ve yatırım danışmanlığı yazılımları için SPK uyumu gerekiyor. İçerden öğrenenlerin ticareti izleme sistemi zorunlu, yıllık bağımsız güvenlik denetimi yapılmalı ve mali hesaplamalarda sapma toleransı +/-0.01% ile sınırlı.

MASAK Zorunlulukları

Kara para aklama (AML) ve terör finansmanı (CFT) alanında MASAK, şüpheli işlem raporlamasını 10 iş günü içinde zorunlu kılıyor. Müşteri verileri en az 5 yıl tutulmalı ve riskli ülke listesi haftalık olarak güncellenmeli. 2023'te MASAK'a 89.320 şüpheli işlem raporu iletildi -- bir önceki yıl bu sayı 73.450'ydi.

PCI DSS (Kart Verisi Güvenliği)

Ödeme işleyen her fintek projesi PCI DSS uyumuna tabi. Uyumluluk seviyesi işlem hacmine göre belirlenir:

Seviye	Yıllık İşlem Hacmi	Gereklilikler	Yıllık Maliyet
1	6 milyondan fazla	Tam denetim, WAF, IDS	5.000-15.000 USD
2	1-6 milyon	Dönem denetimi, token depolama	3.000-8.000 USD
3	20 bin - 1 milyon	Kendini değerlendirme (SAQ)	1.000-3.000 USD
4	20 binden az	Basit SAQ	200-500 USD

Çoğu fintek startup'ı Level 2 veya 3'te başlar.

KVKK (Kişisel Verileri Koruma)

Finansal veriler için KVKK ekstra koşullar getirir: açık rıza (opt-in) mekanizması zorunlu, veri ihlali bildirimi 72 saat içinde yapılmalı ve veri işleme sözleşmeleri yazılı ve imzalı olmalı.

---

Ödeme Altyapısı: Doğru Gateway Seçimi

Türkiye'deki fintek projeleri için ödeme altyapısı katmanlı bir mimariye sahiptir. Mobil uygulama veya web sitesi üzerinden gelen ödeme talepleri bir tokenization katmanından geçerek ödeme gateway API'sine iletilir, oradan banka altyapısına ulaşır.

Doğru gateway seçimi projenin başarısını doğrudan etkiler. İşte Türkiye'deki başlıca seçenekler:

Gateway	İşlem Ücreti	Destek	Başarı Oranı	3D Secure 2.0	En Uygun Kullanım
İyzico	%2,4 + 0,15 TL	Türkçe, 7/24	%95	Var	Yerel işletmeler, yüksek hacim
PayTR	%2,48 + 0,30 TL	Türkçe, iş saatleri	%93	Var	B2B projeler
Stripe TR	%2,9 + 0,25 TL	İngilizce, 7/24	%97	Var + Fraud Tools	Enterprise, global operasyon
Param	%2,15 + 0,50 TL	Türkçe, sınırlı	%90	Var	Mikro işlemler, düşük maliyet

Nasıl seçmeli? Yerel işletmeler için İyzico veya PayTR (Türkçe destek, düşük ücret), ihracata yönelik projeler için Stripe (global erişim, dolandırıcılık tespiti), yüksek hacimli projeler (ayda 10 milyon TL üstü) için İyzico (daha düşük oransal ücret müzakereleri) öneriyoruz.

Ödeme entegrasyonunda önemli bir teknik detay: PCI DSS uyumu gereği, ham kart verileri sunucu bellekte tutulmaz. Bunun yerine token tabanlı ödeme (tokenized payment) kullanılır. Ödeme sağlayıcısı kart bilgisini bir token'a çevirir ve bu token üzerinden işlemler gerçekleşir. Bu yaklaşım hem güvenliği artırır hem de uyumluluk yükünü azaltır.

Ayrıca tekrarlayan ödemeler (abonelikler) için ödeme sağlayıcısının subscription API'si kullanılır. Bu, SaaS fintek ürünleri için kritik bir özelliktir.

---

Açık Bankacılık ve PSD2

Türkiye'de açık bankacılık 2022'de BDDK tarafından resmi olarak tanımlanmıştır. Bu, fintek yazılım çözümleri için yeni bir veri kaynağı ve para aktarımı yöntemi açmıştır.

Türkiye'nin Açık Bankacılık Yol Haritası

Faz	Dönem	Kapsamı	Durum
Faz 1	2022-2023	Hesap bilgilerine erişim (okuma)	Tamamlandı
Faz 2	2023-2024	Ödeme başlatma	Devam ediyor
Faz 3	2024-2026	Veri entegrasyonu, alternatif kredi skoru	Taslak aşamasında
Faz 4	2026 ve sonrası	Gerçek zamanlı ödeme, yatırım hizmetleri	Planlanmış

Açık bankacılığın temelinde "consent" (onay) mekanizması var. Müşteri, üçüncü taraf bir yazılıma belirli hesap bilgilerine erişim izni verir. Bu izin sınırlı süreli (maksimum 90 gün), sınırlı kapsamlı (sadece izin verilen hesaplar ve işlem türleri) ve her zaman iptal edilebilir.

Bu yapı, muhasebe yazılımlarının banka hesap hareketlerini otomatik çekmesini, kredi değerlendirme platformlarının finansal profil oluşturmasını ve e-ticaret sitelerinin doğrudan banka transferi başlatmasını mümkün kılıyor.

Teknik açıdan baktığımızda, açık bankacılık API'leri JWT tabanlı yetkilendirme, HTTPS zorunluluğu ve KVKK uyumlu veri maskeleme gerektiriyor. Örneğin IBAN numaraları API yanıtlarında maskelenmeli, işlem geçmişi sorguları günlük çağrı limitine tabi olmalıdır.

---

Dijital Cüzdan ve Mobil Ödeme

Fintek projelerinin yaklaşık %65'i mobil tabanlı. Dijital cüzdan, kredi kartı entegrasyonu olmadan ödeme altyapısı oluşturmak için kritik bir teknoloji.

Türkiye'de mobil ödeme teknolojileri farklı olgunluk seviyelerinde:

Teknoloji	Türkiye'de Yaygınlık	Maliyet	Güvenlik Seviyesi
NFC (Temassız)	%45	Orta	Çok yüksek (EMV)
QR Code	%92	Düşük	Orta (HTTPS)
Tokenization	%78	Yüksek	Çok yüksek
SMS OTP	%100	Çok düşük	Düşük (kullanımı azalıyor)

Türkiye için QR Code ve Tokenization kombinasyonu en uygun çözüm olarak öne çıkıyor. QR Code yaygınlığı çok yüksek ve altyapı maliyeti düşük; tokenization ise güvenlik katmanını sağlıyor.

---

Kredi Platformları ve Dolandırıcılık Önleme

Fintek çözümleri arasında en karmaşık yapı kredi platformlarına ait. Bu platformlar makine öğrenmesi tabanlı kredi skorlaması ve gerçek zamanlı dolandırıcılık tespiti gerektiriyor.

Bir kredi skorlama motoru tipik olarak şu veri noktalarını değerlendirir: müşterinin yaşı, yıllık geliri, istihdam süresi, mevcut borçları, ödeme geçmişi, hesap yaşı, kredi limiti kullanım oranı ve alternatif veri kaynakları (örneğin e-ticaret satın alma geçmişi).

Dolandırıcılık tespiti için ise şu kontroller yapılır:

• Tutar anomalisi: İşlem tutarının müşterinin normal harcama örüntüsünden ne kadar farklı olduğu
• Konum hızı kontrolü: İki işlem arasındaki coğrafi mesafe ve zaman farkı (örneğin İstanbul'dan 5 dakika sonra Dubai'de işlem = şüpheli)
• Cihaz doğrulama: İşlemin müşterinin bilinen cihazlarından yapılıp yapılmadığı
• Satıcı risk kategorisi: Yüksek riskli iş kategorileri (kumar, kripto borsası gibi) için ekstra kontrol
• İşlem hızı: Son 1 saatte yapılan işlem sayısı normalin üzerinde mi

Bu kontrollerin sonucunda bir risk skoru (0-100) üretilir. 80 üstü otomatik reddedilir, 50-80 arası manuel incelemeye alınır, 50 altı onaylanır.

MASAK uyumu gereği, tüm bu işlemler kayıt altına alınmalı ve FATF/AB terör finansmanı listelerine karşı otomatik filtreleme yapılmalıdır.

---

Regtech: KYC ve AML Platformu

Türkiye'de artan KYC ve AML yükümlülüğü RegTech çözümlerine olan talebi hızlandırdı. MASAK 2023'te 89.320 şüpheli işlem raporu aldığını açıkladı; bu sayının 2026'da 150.000'i aşması bekleniyor.

Bir KYC (Müşterini Tanı) süreci üç aşamadan oluşur:

Belge Doğrulama: Kimlik fotoğrafının OCR ile okunması, yüz tanıma ile eşleştirilmesi ve NFC chip okuma ile doğrulanması.

Canlılık Kontrolü: Müşterinin gerçek bir kişi olduğunu doğrulamak için yüz hareketleri (gözünü kırpma, başını sallama) ve deepfake algılama.

Risk Skorlama: Ülke riski (FATF Gray/Black list kontrolü), iş sektörü riski ve alternatif veri kaynakları üzerinden değerlendirme.

---

Blockchain ve Kripto Entegrasyonu

Dünya çapında kripto ve stablecoin entegrasyonu artarken, Türkiye'de BDDK henüz tam düzenleme çıkarmamıştır. Ancak yatırımcılar blockchain tabanlı fintek çözümlerine ilgi gösteriyor.

Blockchain tabanlı bir ödeme sistemi üç katmandan oluşur: yerleşim katmanı (Ethereum Layer 2 veya Solana gibi), akıllı kontratlar (escrow, otomatik piyasa yapıcılığı) ve stablecoin dönüşüm katmanı (TL - stablecoin - blockchain). Uyumluluk için Chainalysis gibi işlem izleme araçları ve MASAK raporlama entegrasyonu gerekiyor.

---

Maliyet Analizi ve Proje Bütçelemesi

Bir fintek yazılım projesinin bütçesi, projenin türüne ve kapsamına göre önemli farklılıklar gösterir:

Proje Türü	MVP Maliyeti	Yıllık İşletme	Ekip Yapısı	Süre
Ödeme Gateway	35.000 USD	28.000 USD	2 Backend, 1 Frontend	8-12 hafta
Açık Bankacılık Entegrasyonu	58.000 USD	45.000 USD	2 Backend, 1 Güvenlik	12-16 hafta
Dijital Cüzdan Uygulaması	72.000 USD	52.000 USD	2 Mobil, 1 Backend, 1 Güvenlik	14-20 hafta
Kredi Platformu (ML dahil)	150.000 USD	95.000 USD	1 Backend, 1 ML, 1 Veri, 1 Frontend	20-24 hafta
RegTech/AML Sistemi	45.000 USD	35.000 USD	1 Backend, 1 Uyumluluk	10-14 hafta

Bu rakamlara altyapı maliyetleri (AWS/GCP için aylık 5.000-12.000 USD), uyumluluk denetimleri (PCI DSS, BDDK, MASAK için yıllık 3.000-8.000 USD) ve yasal danışmanlık dahil değildir.

Tam kapsamlı bir fintek platformu için 12 aylık toplam bütçe yaklaşık 420.000 USD olarak hesaplanabilir. Bunun %74'ü insan kaynakları, %17'si altyapı ve araçlar, %9'u uyumluluk ve denetim için harcanır.

---

Teknoloji Seçimi: Hangi Yapı Ne Zaman?

Fintek projeleri için teknoloji seçimi projenin doğasına göre değişir. Genel yaklaşım şu şekilde özetlenebilir:

• Ödeme ve cüzdan projeleri için Node.js tabanlı bir backend tercih edilir -- yüksek işlem hacminde iyi performans gösterir.
• Kredi skorlama ve makine öğrenmesi gerektiren projeler için Python tercih edilir -- TensorFlow, scikit-learn gibi kütüphanelerle güçlü bir ekosistem sunar.
• Ultra yüksek hızlı işlemler (örneğin gerçek zamanlı borsa uygulamaları) için Go tercih edilir -- düşük gecikme süresi ve verimli bellek kullanımı sağlar.

Veritabanı tarafında PostgreSQL (ACID uyumu ve fintek standartları için uygun), önbellekleme için Redis, arama için Elasticsearch yaygın tercihlerdir. Altyapıda Docker ve Kubernetes ile konteyner yönetimi, GitHub Actions ile CI/CD, Prometheus ve Grafana ile izleme standart haline gelmiştir.

Güvenlik katmanında OAuth 2.0 + JWT yetkilendirme, TLS 1.3 şifreleme, sütun bazlı veritabanı şifreleme (KVKK gereği) ve AWS Secrets Manager ile gizli bilgi yönetimi kullanılır.

---

Smart Maple'ın Fintek Yaklaşımı

Smart Maple olarak her fintek projesinde üç temel ilkeyi takip ediyoruz:

Güvenlik öncelikli geliştirme. Ödeme ve kredi ilişkili tüm kod iki mühendis tarafından incelenir. Kullanıcı girdileri SQL injection, XSS ve CSRF'e karşı filtrelenir. API anahtarları ve şifreler asla kaynak kodda bulunmaz. Bağımlılıklar haftalık olarak güvenlik taramasından geçirilir.

Katmanlı test stratejisi. Birim test kapsamı minimum %85, ödeme kritik akışlarında %95. Penetrasyon testi 6 ayda bir yapılır. Geliştirme, staging ve üretim ortamları birbirinden izole edilir.

Proaktif izleme. Dolandırıcılık skoru 75 üstü, işlem başarısızlığı %5 üstü veya gecikme süresi 1 saniye üstü durumlarında anında alarm üretilir. Tüm finansal işlemler değiştirilemez (immutable) bir kayıt defterine yazılır. Kritik güvenlik sorunları 15 dakika içinde ekibe iletilir.

Uyumluluk Doğrulama Takvimi

Düzenleyici	Kontrol Alanı	Sıklık	Sorumlu
BDDK	Veri güvenliği, işlem kaydı, siber güvenlik	Yıllık	Güvenlik Müdürü
PCI DSS	Kart verileri işlenmesi, tokenization	Yıllık	PCI Denetçisi (3. taraf)
MASAK	Şüpheli işlem raporlama, AML kuralları	Aylık	Uyumluluk Müdürü
KVKK	Veri ihlali bildirimi, rıza yönetimi	Sürekli	Veri Koruma Görevlisi

---

Sık Sorulan Sorular

Fintek yazılım projesi ne kadar sürer? MVP için 8-12 hafta, üretim hazır platform için 16-24 hafta. Uyumluluk denetimi ek 4 hafta gerektirir.

PCI DSS Level 1 sertifikası zorunlu mu? Sadece yılda 6 milyondan fazla işlem yapan şirketler için. Çoğu fintek startup'ı Level 2 veya 3'te başlar.

Türkiye'de açık bankacılık ne kadar yaygın? 2024'te bankaların %35'i katılımcı. 2026'da %80 üstü hedefleniyor.

AML raporlaması otomatik yapılabilir mi? MASAK otomatik şüpheli işlem işaretlemesini teşvik ediyor. Ancak son karar için insan onayı gerekli.

Türkiye'de fintek proje ortalama maliyeti ne kadar? MVP: 35-75 bin USD. Tam platform: 120-200 bin USD.

---

Sonuç

Fintek yazılım çözümleri, Türkiye'nin finansal dijitalleşmesi için kritik altyapı oluşturuyor. BDDK'nin 2026 hedefi 500'den fazla fintek şirketi, ancak gerçek başarı kaliteli, uyumlu ve güvenli fintek uygulamalarına bağlı.

Başarılı bir fintek projesinin beş temel ayağı var: PCI DSS, BDDK ve MASAK standartlarında güvenlik; yüksek işlem hacminde düşük gecikme süresi; AML, KYC ve KVKK uyumluluğu; ölçeklenebilir altyapı; ve açık bankacılık, blockchain gibi yeni teknolojilere açıklık.

Bir fintek projesine başlamadan önce önerdiğimiz adımlar: hangi çözümün (ödeme, kredi, cüzdan) gerekli olduğuna karar verin (2-3 hafta), uyumluluk analizini tamamlayın (3-4 hafta), MVP geliştirin (8-12 hafta), denetim ve sertifikasyon sürecini geçirin (4-6 hafta) ve ardından canlı yayına geçin.

Smart Maple olarak Ankara merkezli fintek yazılım geliştirme projelerinde bu adımların her birinde destek sunuyoruz.

Daha fazla bilgi için: smart-maple.com