Sanal POS Nedir, Nasıl Alınır? Başvuru, Komisyon ve 3D Secure

Sanal POS, internet sitenizde kartla ödeme almanızı sağlayan hizmet; mağazadaki POS cihazının internetteki karşılığı. Müşteri kart bilgisini ödeme sayfasına giriyor, bilgi bankaya ya da ödeme kuruluşuna gidiyor, kartı veren banka işlemi onaylıyor ve tutar anlaştığınız sürenin sonunda hesabınıza geçiyor. Sanal POS'u bir bankadan ya da Türkiye Cumhuriyet Merkez Bankasından (TCMB) izinli bir ödeme veya elektronik para kuruluşundan alıyorsunuz. Başvuruda şirket ve vergi kaydı, yayında bir site ve yasal metinler isteniyor; maliyeti ise komisyon, valör ve varsa sabit ücretler belirliyor.

E-ticaret kurulumlarında ödeme adımını bağlamak benim işimin bir parçası. Bu yazıda sanal POS'un nasıl çalıştığını, bankayla ödeme kuruluşu arasında nasıl seçim yapılacağını, 3D Secure'un ne olduğunu, başvurudan önce hazırlamanızı istediğim şeyleri ve teklifleri karşılaştırırken baktığım kalemleri anlatıyorum. Belge ve kayıt tarafının tamamını e-ticaret sitesi kurmak için gerekenler yazısında topladım; burada yalnız ödeme tarafına odaklanıyorum.

Sanal POS nedir, nasıl çalışır?

Sanal POS, kart sahibinin fiziksel olarak orada olmadığı işlemlerde karttan tahsilat yapan altyapı. Bir ödeme şu sırayla ilerliyor:

1. Müşteri sepeti onaylıyor ve kart bilgisini ödeme formuna giriyor.
2. Bilgi, sanal POS'u sağlayan bankaya ya da ödeme kuruluşuna iletiliyor.
3. Kartı veren banka işlemi 3D Secure ile doğruluyor; riskli bulursa müşteriden ek doğrulama istiyor.
4. Banka işlemi onaylıyor ya da reddediyor, sonuç sitenize dönüyor ve sipariş buna göre oluşuyor.
5. Tahsil edilen tutar, sözleşmedeki komisyon düşüldükten sonra valör süresinin sonunda hesabınıza geçiyor.

Müşterinin gözünden bu birkaç saniyelik bir akış. Sizin açınızdan ise her adımın bir sözleşme maddesi var: hangi kartlarda taksit yapılacağı, paranın kaç gün sonra geleceği, iade ve itirazların nasıl yürüyeceği.

Sanal POS bankadan mı, ödeme kuruluşundan mı alınır?

İki yol da mümkün. Bankanızla çalışıp o bankanın sanal POS'unu alabilir ya da TCMB'den faaliyet izni almış bir ödeme kuruluşu veya elektronik para kuruluşuyla anlaşabilirsiniz.

Banka sanal POS'u

Ticari hesabınızın bulunduğu bankaya başvuruyorsunuz. Bankayla zaten bir çalışma geçmişiniz varsa görüşme kolaylaşabiliyor. Taksit seçenekleri ve kampanyalar bankanın kendi kart programına bağlı; hangi bankaların kartlarında taksit yapılabildiğini baştan sorun.

Ödeme kuruluşu ya da elektronik para kuruluşu

Bu kuruluşlar bankalardan ayrı olarak ödeme hizmeti sunuyor ve TCMB'nin denetiminde. TCMB, ödeme kuruluşlarının 6493 sayılı Kanun'un 12. maddesi uyarınca hangi hizmetleri sunmaya yetkili olduğunu sitesindeki bir tabloda yayımlıyor; elektronik para kuruluşları için de ayrı bir liste var.

Ödeme kuruluşuyla çalışacaksanız sözleşme imzalamadan önce tek bir kontrolü atlamayın: Kuruluşun TCMB listesinde olup olmadığına bakın. Listede kuruluşlar marka adıyla değil ticari unvanlarıyla duruyor; örneğin tanıdığınız bir marka listede "İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş." gibi bir unvanla geçebiliyor. Sözleşmedeki unvanı listeyle karşılaştırmak birkaç dakikanızı alıyor.

3D Secure nedir?

3D Secure, internetten yapılan kartlı alışverişte kartın gerçekten sahibi tarafından kullanıldığını doğrulayan güvenlik katmanı. Standardı yöneten EMVCo'ya göre EMV 3-D Secure, kart sahibi fiziksel olarak orada olmadığında yaşanan dolandırıcılığı önlemek için satıcı ile kartı veren banka arasında veri alışverişi yapıyor ve bu veriyle müşteriyi doğruluyor.

Doğrulama her işlemde aynı değil. EMVCo'nun anlatımıyla düşük riskli işlemlerde müşteri yalnız "Satın al" düğmesine basıyor ve ödeme onaylanıyor; banka işlem, ödeme yöntemi ve cihaz bilgisine bakarak riski düşük buluyor. Riskli görünen işlemlerde ise banka ek doğrulama istiyor: tek kullanımlık şifre, bilgi soruları ya da biyometri gibi. Türkiye'de çoğu kullanıcının tanıdığı hâli, bankanın telefona gönderdiği tek kullanımlık şifre.

Satıcı için pratik anlamı şu: Doğrulanmış işlem, kartın sahibinin alışverişi kendisinin onayladığını gösteriyor. Bu da "bu alışverişi ben yapmadım" itirazlarında elinizi güçlendiriyor. İtiraz durumunda sorumluluğun kime kaldığı ise kart kuruluşlarının ve sanal POS sağlayıcınızın kurallarına bağlı; bu maddeyi sözleşmede mutlaka okuyun. Ben kurduğum mağazalarda 3D Secure'u açık tutuyorum.

Sanal POS nasıl alınır? Başvuru adım adım

Sanal POS başvurusu, kurumun formunu doldurmakla başlamıyor; ondan önce sitenin ve kayıtların hazır olması gerekiyor. Ben şu sırayla ilerliyorum:

1. Şirket ve vergi kaydını netleştirin. Sanal POS ticari bir hizmet; kurumlar başvuruda vergi kaydı istiyor. Şahıs şirketi mi limited şirket mi kurulacağını mali müşavirinizle konuşun, çünkü sanal POS başvurusu da fatura altyapısı da bu karara göre şekillenecek.
2. Siteyi başvuruya hazır hâle getirin. Ürünler ve fiyatlar yayında, iletişim bilgileriniz açık, mesafeli satış sözleşmesi ve ön bilgilendirme formu ödeme akışına bağlı, iade ve teslimat koşulları, gizlilik ve kişisel veri metinleri yerinde olsun. Site SSL/TLS ile şifreli olmalı. Bir kurumsal sitede bulunması gereken sayfaların genel listesini web sitesinde olması gerekenler yazısında verdim. Başvuruyu değerlendiren kurum sitenize bakıyor; yarım bir siteyle yapılan başvuru geri dönebiliyor.
3. ETBİS kaydını yapın. Ticaret Bakanlığına göre kendi sitesinde satış yapan işletme, faaliyete başlamadan önce e-Devlet üzerinden Elektronik Ticaret Bilgi Sistemi'ne kayıt olmak zorunda. Kayıt alan adına bağlı olduğu için alan adınızı baştan kesinleştirin.
4. Teklif alın ve karşılaştırın. Bir sonraki bölümdeki kalemleri her kurumdan yazılı isteyin.
5. Belgeleri hazırlayın. Kurum vergi levhası, imza sirküleri gibi şirket belgelerini istiyor; tam liste kuruma göre değişiyor, başvurudan önce yazılı olarak isteyin.
6. Entegrasyonu test ortamında deneyin. Başarılı ödeme, reddedilen kart, 3D Secure doğrulaması, iptal ve iade senaryolarının hepsini canlıya geçmeden önce çalıştırın.
7. Canlıya küçük bir işlemle geçin. Gerçek bir kartla küçük tutarlı bir sipariş verin, sonra iade edin. Paranın hesaba ne zaman geçtiğini ve iadenin nasıl göründüğünü kendi gözünüzle görün.

Sanal POS komisyon oranları neye göre değişir?

Bu yazıda oran vermiyorum. Oranlar kuruma, cironuza, sektörünüze ve seçtiğiniz valöre göre değişiyor ve sık güncelleniyor; bugün yazdığım bir rakam yarın yanıltıcı olur. Onun yerine teklifi okurken baktığım kalemleri yazıyorum.

İşlem komisyonu

Tek çekim işlemlerde tutardan kesilen yüzde. Teklifte çoğunlukla ilk görünen ve karşılaştırmada en çok bakılan kalem bu, ama tek başına resmi vermiyor.

Taksit komisyonu

Taksitli satışta taksit sayısı arttıkça kesinti de değişiyor. Taksit maliyetini müşteriye mi yansıtacağınızı, kendiniz mi üstleneceğinizi fiyatlamadan önce kararlaştırın; mağazanızdaki satışların ne kadarının taksitli olacağı toplam maliyeti belirliyor.

Valör

Tahsil edilen paranın hesabınıza geçme süresi. Valör süresi ile komisyon çoğu zaman birlikte pazarlık konusu oluyor. Nakit akışınız için paranın ne zaman geleceği, komisyondaki küçük bir farktan daha önemli olabilir.

Sabit ücretler

Kurulum, aylık ya da yıllık kullanım gibi işlem sayısından bağımsız ücretler. Az satışla başlayan bir mağazada bu kalemler oranın kendisinden daha belirleyici olabiliyor.

İade ve itiraz masrafları

İade edilen işlemde komisyonun geri verilip verilmediği ve kart sahibinin bankası üzerinden gelen itirazlarda (ters ibraz) uygulanan masraf. Sözleşmede genellikle ayrı bir maddede yazıyor.

İki teklifi ancak aynı ciro, aynı taksit dağılımı ve aynı valörle hesaplayarak karşılaştırabilirsiniz. Mağazanın giderlerinin tamamını e-ticaret sitesi fiyatları yazısında kalem kalem anlattım; sanal POS o listenin içindeki en değişken kalem.

Kart bilgisini kim taşıyor? PCI DSS'i hafife almayın

PCI DSS, kart verisinin güvenliği için kart kuruluşlarının oluşturduğu standart. PCI Security Standards Council'e göre kart verisini saklayan, işleyen ya da ileten ve bu ortamın güvenliğini etkileyebilecek herkes kapsamında. Yani kart numarası sizin sunucunuzdan geçiyorsa bu standardın yükü sizin üzerinize biniyor.

Entegrasyonu seçerken üç yol çıkıyor karşınıza:

• Ortak ödeme sayfası: Müşteri ödeme için sağlayıcının sayfasına yönlendiriliyor, kart bilgisi sizin sitenize hiç girmiyor.
• Gömülü form: Kart alanları sizin sayfanızda görünüyor ama sağlayıcının sunucusundan yükleniyor; bilgi yine doğrudan sağlayıcıya gidiyor.
• Doğrudan entegrasyon: Kart bilgisini kendi sayfanızda alıp sağlayıcıya siz iletiyorsunuz. En esnek yol ama kart verisi sizin sisteminizden geçiyor.

Benim kuralım net: Kart bilgisini kendi sunucumdan geçirmiyorum. Ortak ödeme sayfası ya da sağlayıcının gömülü formu hem güvenlik yükünü azaltıyor hem de bir hata anında kart verisinin sizin kayıtlarınıza düşmesini engelliyor. Kayıtlı kartla tek tıkla ödeme istiyorsanız bunu da sağlayıcının kart saklama hizmetiyle kuruyorum; kart numarası mağazanın veri tabanında durmuyor.

Sanal POS seçerken nelere bakmalı?

• Ödeme kuruluşuysa TCMB listesinde mi, sözleşmedeki unvan listedekiyle aynı mı?
• Komisyon, taksit, valör, sabit ücret ve iade kalemlerinin hepsi yazılı mı?
• Hangi bankaların kartlarında kaç taksit yapılabiliyor?
• Kullandığınız e-ticaret altyapısı için hazır bir entegrasyon var mı, yoksa özel geliştirme mi gerekiyor?
• Test ortamı var mı, belgeleri anlaşılır mı?
• Ödeme sayfası mobilde nasıl görünüyor?
• Sözleşmenin süresi ve fesih koşulları neler?

Mobildeki ödeme sayfasını özellikle kendi telefonunuzda deneyin. Sepete kadar gelip ödemede vazgeçen müşterinin sebebi çoğu zaman bu son ekranda; trafik var ama satış yok sorununu incelerken ilk baktığım yerlerden biri burası. Mağazanızı ödeme adımıyla birlikte baştan kurmak isterseniz e-ticaret çözümlerimize göz atabilirsiniz.

Sık Sorulan Sorular

Şahıs şirketiyle sanal POS alınır mı?

Sanal POS için vergi mükellefi olmanız gerekiyor; şirket türünün ne olacağı ise kurumun koşullarına bağlı. Başvurmadan önce çalışmak istediğiniz kuruma şahıs şirketlerini kabul edip etmediğini ve hangi belgeleri istediğini sorun.

Şirketim yoksa sanal POS alabilir miyim?

Genellikle hayır. Sanal POS ticari bir tahsilat hizmeti ve kurumlar başvuruda vergi kaydı istiyor. Şirket kurma kararını ve satıştan önceki kayıtları yazının başında bağladığım e-ticaret kurulum rehberinde anlattım.

3D Secure müşteriyi kaybettirir mi?

EMVCo'nun anlatımına göre güncel 3D Secure, düşük riskli işlemlerde müşteriden ek bir şey istemiyor; ek doğrulama riskli görünen işlemlerde devreye giriyor. Doğrulama adımı sorunsuz çalıştığı sürece müşteriye birkaç saniyelik bir adım ekliyor, karşılığında sahte kart kullanımına karşı koruma sağlıyor.

Sanal POS için ödeme yapılır mı?

Ödemeyi çoğunlukla işlem başına komisyon olarak yapıyorsunuz. Bazı kurumlar bunun yanında kurulum ya da dönemsel kullanım ücreti de alıyor. Teklifte bu kalemlerin olup olmadığını yazılı olarak sorun.

Başvuru ne kadar sürer?

Süre kuruma ve dosyanızın eksiksiz olmasına bağlı. Benim tavsiyem, ödeme kuruluşuyla görüşmeyi sitenin son haftasına bırakmamanız. Site yayına yaklaşırken başvurun ve test ortamında entegrasyonu erkenden deneyin.

Müşterinin kart bilgisini sitemde saklayabilir miyim?

Önermiyorum. Kart verisini saklayan her işletme PCI DSS kapsamına giriyor. Kayıtlı kartla ödeme özelliğini sağlayıcının kart saklama hizmetiyle kurmak hem daha güvenli hem de bu yükü büyük ölçüde azaltıyor.

Faydalı Kaynaklar

• TCMB: Ödeme kuruluşları ve yetki kapsamları
• TCMB: Elektronik para kuruluşları
• EMVCo: EMV 3-D Secure
• PCI Security Standards Council: PCI DSS