Fintech Yazılım ve Gömülü Finans: 2026 Mevzuat Rehberi

Fintech yazılım, ödeme, hesap, kredi veya yatırım gibi finansal hizmetleri dijital kanallardan sunan ya da bu hizmetleri başka ürünlere bağlayan yazılımdır. Gömülü finans ise bu hizmetlerin finans dışı bir şirketin uygulamasına veya web sitesine yerleştirilmesidir. Türkiye'de bu modellerde yazılım kadar, hizmetin hangi lisansla ve kimin sorumluluğunda sunulacağı da belirleyicidir.

Bu yazıda gömülü finansın Türkiye'deki çerçevesini 6493 sayılı Kanun, TCMB ve BDDK belgelerine dayanarak özetliyor, bir MVP için izlenecek adımları sıralıyoruz. Pazar büyüklüğü tahminlerine değil, ürün kararlarını etkileyen kurallara odaklanıyoruz.

Gömülü finans nedir ve nasıl çalışır?

Gömülü finans, kullanıcının bir e-ticaret, lojistik veya abonelik uygulamasından ayrılmadan ödeme yapması, hesap kullanması ya da finansmana erişmesi demektir. Arayüz markaya aittir; finansal hizmetin kendisini ise ilgili lisansa sahip bir banka, ödeme kuruluşu, elektronik para kuruluşu veya finansman şirketi sunar. İki taraf API'lerle birbirine bağlanır.

Bu ayrım yazılım mimarisini doğrudan etkiler. Fonların hangi hesapta tutulduğu, müşteri sözleşmesinin kiminle kurulduğu ve kimlik doğrulamanın hangi tarafta yapıldığı, lisans ihtiyacını belirleyen sorulardır. Örneğin bir e-ticaret sitesinin aynı ödeme ekranı, arka planda farklı hukuki modellerle kurulabilir.

Türkiye'de ödeme hizmetlerini kim düzenler?

Türkiye'de ödeme hizmetleri, 2013'te yürürlüğe giren 6493 sayılı Kanun'la düzenlenir. TCMB'nin açıklamasına göre 1 Ocak 2020'den bu yana ödeme hizmetleri, ödeme hizmeti sağlayıcıları ve elektronik para ihracının düzenlenmesi ve denetlenmesinden TCMB sorumludur. Bu yetki daha önce BDDK'daydı; 7192 sayılı Kanun'la TCMB'ye devredildi.

6493 sayılı Kanun'a göre ödeme hizmeti sağlayıcıları; bankalar, ödeme kuruluşları, elektronik para kuruluşları ve PTT'dir. TCMB ve bu kuruluşlar dışındaki kişilerin ödeme hizmeti sunması yasaktır. Ödeme ve elektronik para kuruluşları anonim şirket olarak kurulmalı, TCMB'den faaliyet izni almalı ve fonlar ile kullanıcı bilgilerinin güvenliğine yönelik tedbirleri almalıdır. İki kuruluş türü de kredi veremez.

BDDK ise bankaları ve 6361 sayılı Kanun kapsamındaki finansal kiralama, faktoring, finansman ve tasarruf finansman şirketlerini gözetir ve denetler; banka kartları ve kredi kartları mevzuatı kapsamındaki kuruluşlar da BDDK denetimindedir. Kredi, taksitli finansman veya kart ürünü içeren bir gömülü finans modeli bu nedenle BDDK mevzuatına da temas eder.

Açık bankacılık Türkiye'de nasıl işliyor?

Açık bankacılık, kullanıcının talebi veya onayıyla başka bir kuruluştaki hesabından ödeme başlatılmasını ya da hesap bilgilerinin tek ekranda toplanmasını sağlayan API tabanlı modeldir. 6493 sayılı Kanun, 2019'daki değişiklikle ödeme emri başlatma hizmetini ve hesap bilgisi hizmetini ayrı ödeme hizmetleri olarak tanımladı; bu hizmetler de TCMB lisansı gerektirir.

TCMB'nin ödeme iş modelleri rehberine göre bu yapıda üç taraf vardır: kullanıcı, hesabın bulunduğu hesap hizmeti sağlayıcısı (HHS) ve ödeme emri başlatma (ÖBHS) ya da hesap bilgisi hizmeti sağlayıcısı (HBHS). HHS'ler veri paylaşım servislerini ÖHVPS API standardına uygun geliştirir ve BKM API Geçidi üzerinden yetkili kuruluşlara sunar. Kanun, bu veri paylaşımının usul ve esaslarını belirleme yetkisini TCMB'ye verir.

Lisansı olmayan bir yazılım şirketi bu hizmetleri kendi adına sunamaz; ancak lisanslı bir ÖBHS veya HBHS ile entegrasyon kurarak ürününe ekleyebilir. Rehber, BKM API Geçidi'nin girişim niteliğindeki kuruluşların hesap hizmeti sağlayıcılarıyla tek ve güvenli bir platform üzerinden iletişim kurmasını kolaylaştıracağını belirtir.

Servis modeli bankacılığı (BaaS) nedir?

Servis modeli bankacılığı, bankacılık hizmetlerinin finansal teknoloji şirketlerine ve diğer işletmelere servis olarak sunulmasını düzenleyen modeldir. BDDK'nın 29 Aralık 2021 tarihli yönetmeliğine göre müşteri, bir arayüz sağlayıcının mobil uygulaması veya web arayüzü üzerinden, açık bankacılık servisleriyle servis bankasına bağlanarak bankacılık işlemi yapar.

• Servis bankası yalnızca yurt içinde yerleşik arayüz sağlayıcılara ve kendi faaliyet izni çerçevesinde hizmet verebilir; bankalar arayüz sağlayıcı olamaz.
• Kredi tahsisi dahil hizmetin sunulup sunulmayacağına servis bankası karar verir; işlemler bankanın bilançosu üzerinden gerçekleşir.
• Müşteri ile servis bankası arasında sözleşme kurulur; elektronik ortamda kurulacaksa kimlik tespiti uzaktan kimlik tespiti yönetmeliğine uygun yapılır.
• Arayüzün kimlik doğrulama ve işlem güvenliği kurallarına uygunluğundan arayüz sağlayıcı ile servis bankası müteselsilen sorumludur.
• Arayüz sağlayıcı, izin almadan unvanında ve reklamlarında banka ya da ödeme kuruluşu izlenimi veren ifadeler kullanamaz.

Hangi fintech modeli hangi lisansı veya iş ortaklığını gerektirir?

Hangi lisansın gerektiği, ürünün adından değil, fonların nerede tutulduğundan ve hangi ödeme hizmetinin fiilen sunulduğundan anlaşılır. TCMB rehberi yaygın iş modellerini Kanun'daki ödeme hizmetleriyle eşleştirir; farklı veya birleşik modellerin ise ayrıca değerlendirileceğini belirtir. Aşağıdaki tablo bu eşleştirmeyi sadeleştirilmiş biçimde özetliyor.

Fintech yazılımında hangi güvenlik gereksinimleri öne çıkar?

Fintech yazılımında güvenlik, lisans şartlarının bir parçasıdır. 6493 sayılı Kanun, ödeme ve elektronik para kuruluşlarından fonların ve kullanıcı bilgilerinin güvenliği ile gizliliğine yönelik tedbirleri almalarını ister; bilgi sistemleri yönetimine ilişkin esasları TCMB'nin yönetmelikle belirlemesini öngörür. Bu kuruluşların bilgi sistemleri de bağımsız denetimden geçer.

• Uzaktan müşteri edinimi: Kanun, çerçeve sözleşmenin uzaktan kurulmasını, müşteri kimliğinin biyometrik yöntemlerle veya elektronik kimlik doğrulama özelliği olan kimlik belgeleriyle doğrulanmasına imkân veren yöntemlere bağlar; bu ifade 24 Aralık 2025 tarihli 7571 sayılı Kanun'la eklendi.
• Arayüz güvenliği: Servis modeli bankacılığında arayüz sağlayıcının uygulaması, BDDK'nın bilgi sistemleri yönetmeliğindeki kimlik doğrulama ve işlem güvenliği yükümlülüklerine uymalıdır.
• Kişisel veriler: Kimliği belirli veya belirlenebilir kişilere ait finansal veriler KVKK kapsamındadır; aydınlatma, güvenlik ve yurt dışı aktarım kuralları için web sitesi KVKK uyumu rehberimize bakabilirsiniz.
• İzlenebilirlik: Kanun'a göre TCMB, denetlediği kuruluşlardan işlem kayıtlarını gerektiğinde anlık ve işlem bazında isteyebilir. Bu yüzden işlemler, onaylar ve yetki değişiklikleri denetlenebilir biçimde kaydedilmeli; dolandırıcılık tespitinde yapay zekâ modelleri kullanılıyorsa kararların gerekçesi izlenebilir olmalıdır.

Kimlik avı, fidye yazılımı ve e-posta dolandırıcılığına karşı temel kontroller için KOBİ siber güvenlik önlemleri yazımıza göz atabilirsiniz.

2026'da fintech yazılımını hangi eğilimler şekillendiriyor?

2026'da fintech yazılımında öne çıkan eğilimler, mevzuatın açtığı alanlarla birlikte okunmalıdır: finansal hizmetlerin finans dışı ürünlere gömülmesi, API tabanlı açık bankacılık, şubesiz dijital bankalar ile servis modeli bankacılığı, uzaktan müşteri edinimi ve yapay zekâ destekli risk yönetimi. Bu yazıda pazar tahmini değil, bu alanların kurallarını esas alıyoruz.

• Dijital bankalar: BDDK yönetmeliği şubesiz dijital bankalara imkân tanır; bu bankaların kredi müşterileri finansal tüketiciler ve KOBİ'lerle sınırlıdır.
• Tek noktadan açık bankacılık: BKM API Geçidi, lisanslı girişimlerin her bankayla ayrı entegrasyon yerine ortak bir standart üzerinden bağlanmasını sağlar.
• Dijital cüzdanlar: TCMB rehberi, cüzdanın işyerinde ödeme aracı olarak kullanıldığı ve tutarın cüzdan kuruluşu üzerinden aktarıldığı modellerde elektronik para yetkisi arandığını belirtir.
• Yapay zekâ: İşlem izleme ve dolandırıcılık tespitinde kullanılabilir; ancak kişisel veri ve bilgi sistemleri yükümlülüklerinden bağımsız değildir.

Bir fintech MVP'si hangi adımlarla geliştirilir?

Bir fintech MVP'si, önce iş modelinin hangi ödeme veya bankacılık hizmetine karşılık geldiği netleştirilerek geliştirilir. Lisans ya da iş ortağı kararı verilmeden yazılan kod, fon akışı ve sözleşme yapısı değiştiğinde yeniden yazılmak zorunda kalabilir. Aşağıdaki adımlar, ürün ve mevzuat kararlarını aynı takvimde ilerletmeye yardımcı olur.

1. Para akışını çizin: Fon kimde duruyor, ne kadar süre bekliyor, kim kime ödeme yapıyor?
2. Mevzuat eşleştirmesi yapın: Modeli TCMB rehberindeki iş modelleriyle karşılaştırın; hukuk danışmanıyla TCMB ve BDDK kapsamını netleştirin.
3. Lisans veya iş ortağı kararını verin: Kendi lisansınızı mı alacaksınız, yoksa lisanslı bir ödeme kuruluşu, banka veya finansman şirketiyle mi çalışacaksınız?
4. Entegrasyon mimarisini kurun: İş ortağının API'lerini, mutabakat akışlarını, hata ve iade senaryolarını tasarlayın.
5. Güvenliği tasarıma yerleştirin: Kimlik doğrulama, yetkilendirme, şifreleme, işlem kayıtları ve KVKK metinlerini ilk sürümden itibaren kurun.
6. Sınırlı bir pilotla başlayın: İş ortağının onay süreçleriyle birlikte küçük hacimli bir pilot yürütün.
7. İzleme ve şikâyet süreçlerini hazırlayın: Kanun'un lisanslı kuruluşlardan beklediği şikâyet ve itiraz birimleriyle uyumlu bir destek akışı kurun.

Uni Digital Group bu konuda ne yapıyor?

Uni Digital Group olarak finansal hizmet içeren projelerde yazılım tarafını üstleniyoruz: lisanslı iş ortaklarının API'leriyle entegre web ve mobil arayüzler, yönetim panelleri ve mutabakat gibi arka uç süreçleri. Lisans ihtiyacı ve iş ortağı seçimi gibi kararları ise sizin hukuk danışmanınız ve iş ortaklarınızla birlikte netleştiriyoruz; hukuki görüş vermiyoruz.

Ayrıntılar için özel yazılım geliştirme hizmetimizi ve İstanbul'da yazılım şirketi olarak çalışma yöntemimizi inceleyebilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Finans mevzuatı ve düzenleyici kurumların yorumları değişebileceğinden ürün kararlarından önce güncel metinleri kontrol edin ve bir hukuk uzmanına danışın.