Sanal POS İşleminde Kart Sahibi “Ben Yapmadım” Derse Hangi Kayıtlar Karşılaştırılır?

Sanal POS üzerinden yapılan bir kart işleminde kart sahibinin “Ben yapmadım” demesi hâlinde uyuşmazlık yalnızca 3D Secure kaydına bakılarak çözülemez. 3D Secure veya diğer kimlik doğrulama kayıtları; banka ve üye işyeri işlem kayıtları, sipariş hesabı, IP ve cihaz verileri, teslimat veya hizmetin ifasına ilişkin kayıtlar ve itirazın zaman çizelgesiyle birlikte karşılaştırılmalıdır.

Çünkü bu kayıtların her biri farklı bir olguyu ispatlamaya yarar. Bir kimlik doğrulama kaydı ödeme aşamasındaki teknik doğrulamayı gösterebilir; ancak tek başına cihazın başında bulunan gerçek kişinin kart sahibi olduğunu veya satın alınan malın kart sahibine teslim edildiğini kesinleştirmez. Aynı şekilde teslimat kaydı da ödemenin bizzat kart sahibi tarafından onaylandığını kendiliğinden ispatlamaz.

“Ben yapmadım” itirazında önce hangi olgular birbirinden ayrılmalıdır?

Sanal POS uyuşmazlığındaki temel hata, bütün kayıtların aynı şeyi ispatladığını varsaymaktır. Oysa en az dört ayrı soru vardır:

• Ödeme işlemi nasıl doğrulandı ve yetkilendirildi? 3D Secure, OTP, mobil onay veya benzeri doğrulama kayıtları bu katmanda önemlidir.
• Üye işyerinde hangi sipariş oluşturuldu? Kullanıcı hesabı, sepet, sipariş numarası, iletişim bilgileri ve fatura/teslimat adresleri bu soruya ilişkindir.
• İşlemin teknik kaynağı neydi? IP adresi, cihaz veya oturum bilgileri ve giriş geçmişi destekleyici teknik verilerdir.
• Mal veya hizmet kime ve nasıl teslim edildi? Kargo, teslim kodu, dijital erişim veya hizmet kullanım kayıtları ifa katmanına ilişkindir.

Bu nedenle “işlem sistemde başarılı” ile “işlemi kart sahibi yaptı” ve “satıcı edimini yerine getirdi” aynı hukukî önerme değildir.

3D Secure kaydı neyi gösterir?

Banka Kartları ve Kredi Kartları Hakkında Yönetmeliğin 27/A maddesinde, kart hamilinin başlattığı internet işlemlerinde diğer güvenlik önlemleriyle birlikte 3-D Secure veya en az bu protokolün güvenlik önlemlerini karşılayan kart hamili kimlik doğrulama teknolojisini içeren bir altyapı öngörülmektedir.

Bu nedenle başarılı bir 3D Secure doğrulaması, uyuşmazlıkta önemli bir teknik delildir. İncelenebildiği ölçüde doğrulama zamanı, sonuç durumu, işlemin tutarı ve üye işyeriyle ilişkilendirilen işlem referansları gibi veriler aynı ödeme ile eşleştirilmelidir.

Ancak “3D Secure başarılıysa işlemi kesinlikle kart sahibi yapmıştır” sonucu kurulamaz. Teknik doğrulamanın başarılı olması ile doğrulama aracını fiilen kullanan kişinin kimliği farklı ispat meseleleridir. Şifrenin veya cihazın üçüncü kişinin eline geçmesi, sosyal mühendislik, uzaktan erişim, ortak kullanılan cihazlar veya başka somut olgular aidiyet değerlendirmesini etkileyebilir.

Sanal POS işleminde hangi kayıtlar birlikte karşılaştırılır?

Kayıtlar aynı işleme nasıl bağlanır?

Delillerin değeri, farklı sistemlerde bulunan kayıtların aynı işleme güvenilir biçimde bağlanabilmesine bağlıdır. Bu nedenle önce ortak bir zaman çizelgesi oluşturulmalıdır.

1. İşlem tutarı ve para birimi eşleştirilir.
2. Sipariş, provizyon ve hesap hareketinin tarih-saat bilgileri karşılaştırılır; sistemlerin saat dilimleri dikkate alınır.
3. Sipariş numarası, üye işyeri kaydı ve ödeme işlem referanslarının birbirine bağlanıp bağlanmadığı kontrol edilir.
4. 3D Secure veya diğer doğrulama kaydının aynı ödeme işlemine ait olup olmadığı incelenir.
5. IP, cihaz ve oturum kaydı siparişin oluşturulduğu zaman dilimiyle karşılaştırılır.
6. Teslimat veya dijital hizmet kullanımı daha sonra aynı sipariş zincirine eklenir.
7. Kart sahibinin ilk bildirim ve itiraz zamanı bu kronolojiye yerleştirilir.

Örneğin yalnız “aynı tutarda bir 3D Secure işlemi var” denilmesi yeterli olmayabilir. Doğrulama kaydının gerçekten uyuşmazlık konusu siparişe ait olduğu işlem referansları ve zaman bilgileriyle gösterilebilmelidir.

Sanal POS işleminde ispat yükü kimdedir?

Bu konuda özel bir düzenleme bulunmaktadır. 5464 sayılı Banka Kartları ve Kredi Kartları Kanununun 32. maddesine göre, kart numarası bildirilerek üye işyerinden telefon, elektronik ortam, sipariş formu veya diğer iletişim araçlarıyla yapılan işlemlerden doğan uyuşmazlıklarda ispat yükü üye işyerine aittir.

Aynı madde, kart çıkaran kuruluş ile kart hamili arasındaki uyuşmazlıkta işlemin hatasız biçimde kaydedildiğini, hesaba intikal ettirildiğini ve teknik yetersizlik veya arıza bulunmadığını ispat yükünü kart çıkaran kuruluşa yüklemektedir.

Bu özel hükümler nedeniyle, sanal POS uyuşmazlığında yalnız Hukuk Muhakemeleri Kanunundaki genel ispat yükü kuralına bakmak yeterli değildir. Bununla birlikte HMK m.199, elektronik ortamdaki verilerin uyuşmazlık konusu vakıaları ispata elverişli olmaları hâlinde belge niteliğinde olduğunu açıkça düzenlemektedir.

6493 sayılı Kanun ve ödeme hizmetleri düzenlemeleri nasıl devreye girer?

Ödeme hizmetleri mevzuatında da işlemin onaylanması ve yetkilendirilmemiş işlemler bakımından ayrıntılı kurallar vardır. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmeliğin 52. maddesi, ödeme işleminin gönderen tarafından mutabık kalınan yöntemle onaylanması hâlinde yetkilendirilmiş sayılmasını düzenler. Yönetmeliğin 54. maddesinde de müşterinin işlemi yetkilendirmediğini ileri sürmesi hâlinde belirli ispat yükümlülükleri ödeme hizmeti sağlayıcısına yüklenmektedir.

Ancak burada önemli bir kapsam ayrımı vardır. Aynı Yönetmeliğin 83. maddesinin dördüncü fıkrası, banka ve kredi kartları hakkında 5464 sayılı Kanun ve ilgili alt düzenlemelerde aynı hususun düzenlendiği durumlarda Ödeme Hizmetleri Yönetmeliğinin aynı konudaki hükümlerinin uygulanmayacağını belirtmektedir.

Bu nedenle her sanal POS uyuşmazlığında 6493 rejimindeki yetkilendirilmemiş işlem hükümlerinin doğrudan ve tek başına uygulanacağı kabul edilmemelidir. Kartın türü, işlemde rol alan ödeme hizmeti sağlayıcıları ve uyuşmazlığın hangi hukukî meseleye ilişkin olduğu belirlenerek özel kart düzenlemeleri ile ödeme hizmetleri düzenlemelerinin kapsamı ayrılmalıdır.

3D Secure kaydı ile satış sözleşmesi ve teslimat kaydı aynı şeyi mi ispatlar?

Hayır. Kartın kimlik doğrulama aşaması ile satıcının tüketiciyle kurduğu satış ilişkisi farklı delil katmanlarıdır.

Bir tüketici işlemi söz konusuysa 6502 sayılı Tüketicinin Korunması Hakkında Kanunun 48. maddesi mesafeli sözleşmeyi ayrıca düzenler. Satıcı veya sağlayıcının bilgilendirme ve edimin ifasıyla ilgili yükümlülükleri, ödeme sistemindeki kart doğrulamasından ayrı olarak değerlendirilir.

Dolayısıyla bir ürünün kart sahibinin kayıtlı adresine teslim edilmiş olması, satıcının edimini yerine getirdiğine ilişkin güçlü bir veri olabilir; fakat kart sahibinin ödeme işlemini bizzat onayladığının otomatik kanıtı değildir. Bunun tersi de geçerlidir: başarılı kimlik doğrulama kaydı bulunması, mal veya hizmetin sözleşmeye uygun teslim edildiğini tek başına göstermez.

IP adresi veya cihaz bilgisi kart sahibini ispatlar mı?

IP adresi ve cihaz bilgileri çoğu zaman değerli destekleyici verilerdir; ancak gerçek kişinin kimliğiyle aynı şey değildir.

Aynı internet bağlantısını birden fazla kişi kullanabilir. Mobil operatör altyapısı, ortak Wi-Fi ağı, NAT, VPN veya benzeri teknolojiler bir IP adresinin tek kişiye özgülenmesini engelleyebilir. Aynı şekilde bilgisayar veya telefon da ortak kullanılıyor olabilir.

Bu nedenle IP veya cihaz eşleşmesi, diğer kayıtlarla tutarlı olduğunda delil zincirini güçlendirebilir. Fakat tek başına “bu IP kart sahibine ait, dolayısıyla işlemi kart sahibi yaptı” biçiminde kesin bir sonuç için yeterli kabul edilmemelidir.

Provizyon veya banka onay kodu kart sahibinin rızasını gösterir mi?

Provizyon veya işlem onay kaydı öncelikle ödeme sisteminin işlemi hangi sonuçla işlediğini gösterir. Belirli bir kart, tutar ve üye işyeri bakımından işlemin sistem tarafından kabul edildiğini göstermesi önemlidir.

Ancak ödeme ağı seviyesindeki teknik onay ile gerçek kişinin hukukî anlamda işlemi bizzat yaptığı veya rıza gösterdiği iddiası ayrı meselelerdir. Bu nedenle provizyon bilgisi 3D Secure, sipariş, cihaz ve itiraz kayıtlarıyla birlikte okunmalıdır.

Chargeback sonucu uyuşmazlığı kesin olarak çözer mi?

Hayır. Chargeback veya kart sistemi içerisindeki ters ibraz süreci; banka, üye işyeri, üye işyeri anlaşması yapan kuruluş ve kartlı sistem kuralları çerçevesindeki uyuşmazlık yönetimi bakımından önemlidir. Süreçte sunulan belgeler ve verilen sonuç daha sonraki bir uyuşmazlıkta delil değeri taşıyabilir.

Ancak chargeback sonucunu mahkeme kararıyla aynı nitelikte görmek veya sırf chargeback kabul/reddedildi diye kart sahibinin işlemi kesin olarak yaptığı ya da yapmadığı sonucuna ulaşmak isabetli değildir. Yargısal uyuşmazlıkta uygulanacak hukuk ve bütün deliller ayrıca değerlendirilir.

Kart sahibinin itirazında hangi belgeler korunmalıdır?

• Uyuşmazlık konusu kart hareketinin tarih, saat, tutar ve işyeri bilgileri,
• bankaya yapılan ilk itiraz ve varsa dolandırıcılık/kart kapatma bildirimi,
• SMS, push bildirimi ve işlem uyarıları,
• 3D Secure veya diğer kimlik doğrulama sürecine ilişkin bankadan temin edilebilen kayıtlar,
• üye işyerinden gelen sipariş ve ödeme e-postaları,
• kargo veya dijital hizmet teslim kayıtları,
• işlem tarihinde hesap veya cihaz güvenliğiyle ilgili olağandışı olaylara ilişkin mevcut kayıtlar.

Özellikle ilk itirazın zamanı önemlidir. 5464 sayılı Kanunun 16. maddesi, kart hamiline kartı ve kartın kullanımında gerekli güvenlik bilgilerini koruma ve iradesi dışında gerçekleşen bir işlemi öğrendiğinde kart çıkaran kuruluşu derhal haberdar etme yükümlülüğü yüklemektedir.

Üye işyeri bakımından hangi kayıtlar önemlidir?

Üye işyerinin yalnızca “ödeme başarılı” ekran görüntüsünü sunması çoğu uyuşmazlıkta delil zincirinin tamamını göstermez. Sipariş ile ödeme arasında denetlenebilir bağlantı kurulabilmesi önemlidir.

Bu kapsamda sipariş numarası, müşteri hesabı ve iletişim bilgileri, sanal POS işlem referansları, 3D Secure sonucu, tahsilat veya iade kayıtları, IP ve oturum kayıtları, teslimat veya hizmet kullanım bilgileri ve müşteriyle yapılan yazışmalar birbirleriyle ilişkilendirilebilir nitelikte korunmalıdır.

Elektronik kayıtların yalnız ekran görüntüsü olarak değil, mümkün olduğu ölçüde hangi sistemden, hangi zamanda ve hangi işlem kimliğiyle üretildiği anlaşılabilecek biçimde muhafaza edilmesi de ispat değeri açısından önem taşır.

Aile üyesi veya başka bir kişinin kartı kullanması durumunda değerlendirme değişir mi?

Evet. “İşlemi ben yapmadım” iddiası her zaman kart bilgilerinin hukuka aykırı biçimde ele geçirildiği anlamına gelmez. Kart veya güvenlik bilgileri başka bir kişiye verilmiş, önceki işlemlere izin verilmiş ya da kullanımın kapsamı konusunda taraflar arasında farklı bir rıza ilişkisi bulunmuş olabilir.

Bu özel durumda teknik kayıtların yanında rızanın varlığı ve kapsamı ayrıca değerlendirilmelidir. Konunun bu yönü aile üyesinin banka veya kredi kartını kullanması bakımından ayrı bir hukukî sorun oluşturur.

Ceza soruşturması varsa elektronik kayıtlar nasıl değerlendirilir?

Uyuşmazlık yetkisiz kart kullanımı, bilişim sistemi üzerinden dolandırıcılık veya başka bir suç şüphesine dönüşmüşse delil değerlendirmesi ceza muhakemesi bakımından ayrıca yapılır. CMK m.217 uyarınca yüklenen suç hukuka uygun şekilde elde edilmiş her türlü delille ispat edilebilir.

Bu durumda banka ve üye işyeri kayıtlarının kaynağı, bütünlüğü, zaman damgaları ve işlem kimlikleri daha da önem kazanır. Bir ekran görüntüsünün içeriği ile banka, ödeme kuruluşu veya işyeri sisteminden usulüne uygun biçimde temin edilen asıl kayıt aynı ispat ağırlığına sahip olmayabilir.

Sanal POS uyuşmazlıklarında sık yapılan beş hata

• “3D Secure başarılıysa tartışma biter” demek: Teknik doğrulama ile gerçek kişinin aidiyeti aynı olgu değildir.
• IP adresini kişi kimliği gibi görmek: IP ve cihaz verileri destekleyici teknik göstergelerdir.
• Teslimatı ödeme onayıyla karıştırmak: Teslim/ifa ile kart işleminin yetkilendirilmesi ayrı ayrı ispatlanır.
• Chargeback sonucunu mahkeme kararı saymak: Kart sistemi içindeki uyuşmazlık sonucu yargısal değerlendirmeyi kendiliğinden belirlemez.
• Kayıtları farklı işlem kimlikleriyle sunmak: 3D Secure, sipariş, provizyon ve teslimat verilerinin gerçekten aynı işleme ait olup olmadığı ayrıca gösterilmelidir.

Sık Sorulan Sorular

3D Secure onayı tek başına kart sahibinin işlemi yaptığını ispatlar mı?

Tek başına kesin olarak değil. Başarılı 3D Secure kaydı önemli bir kimlik doğrulama delilidir; ancak doğrulama aracını fiilen kimin kullandığı, işlemle doğru biçimde eşleştirilip eşleştirilmediği ve diğer teknik verilerle uyumu ayrıca değerlendirilmelidir.

Ürün kart sahibinin adresine teslim edilmişse itiraz geçersiz olur mu?

Otomatik olarak olmaz. Teslimat, satış sözleşmesinin ifasına ilişkin güçlü bir delil olabilir. Buna karşılık kart işleminin kart sahibi tarafından yetkilendirilip yetkilendirilmediği farklı bir ispat konusudur.

IP adresinin kart sahibinin ev internetiyle aynı olması yeterli midir?

Tek başına yeterli değildir. Aynı bağlantıyı başka kişiler kullanabilir ve teknik ağ yapıları tek IP ile tek gerçek kişinin eşleştirilmesini engelleyebilir. IP kaydı, diğer delillerle birlikte değerlendirilir.

Sanal POS işleminde üye işyerinin ispat yükü var mıdır?

Evet. 5464 sayılı Kanunun 32. maddesi, kart numarası bildirilerek elektronik ortam veya diğer iletişim araçlarıyla üye işyerinden yapılan işlemlerden doğan uyuşmazlıklarda ispat yükünü üye işyerine yüklemektedir. Somut olarak hangi vakıanın hangi kayıtla ispatlanması gerektiği ise uyuşmazlığın niteliğine göre belirlenir.

Sonuç

Sanal POS işleminde kart sahibinin “Ben yapmadım” itirazını değerlendirmek için tek bir kayıt aranması doğru yaklaşım değildir. 3D Secure ve diğer kimlik doğrulama kayıtları; banka ve sanal POS kayıtları, sipariş hesabı, IP/device verileri, teslimat veya hizmet kullanımı ve itiraz kronolojisiyle aynı işlem üzerinde eşleştirilmelidir.

Asıl soru yalnızca “hangi kayıt var?” değil, “bu kayıt hangi vakıayı ispatlıyor ve diğer kayıtlarla aynı işlem üzerinde tutarlı mı?” olmalıdır. Kimlik doğrulamanın, siparişin ve teslimatın ayrı olgular olarak ele alınması hem kart sahibi hem üye işyeri hem de banka bakımından daha sağlıklı bir ispat analizi sağlar.

Somut olayın 3D Secure, banka, üye işyeri, cihaz ve teslimat kayıtları aynı zaman çizelgesi üzerinde birlikte değerlendirilmelidir.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.

Yazar: Av Batuhan Can ZANBAK   Yayınlanma Tarihi: 25.09.2026   Son Güncellenme Tarihi: 25.09.2026