SaaS ve Abonelikli E-Ticaret Sitelerinde Tekrarlayan Tahsilat (Recurring Billing) Hukuken ve Teknik Olarak Nasıl Yapılır?

Asla kendi sunucunuzda veya veritabanınızda kredi kartı numarası, son kullanma tarihi ve CVV saklayamazsınız. Bu durum hem Türk Ceza Kanunu hem KVKK hem de küresel PCI-DSS standartları gereğince çok ağır adli ve idari yaptırımlara tabidir.

Tekrarlayan ödeme (Recurring Billing) sistemini yasal ve güvenli şekilde kurmanın adımları şunlardır:

1. 1. PCI-DSS Seviye 1 Sertifikalı Tokenization Altyapısı: İyzico, PayTR, Moka veya bankaların 'Kart Saklama' API'lerini kullanmalısınız. Müşteri kartını kaydettiğinde kart verisi ödeme kuruluşunun kasasında şifrelenir ve size yalnızca bir cardUserKey veya cardToken döner. Gelecek aylardaki tahsilatlar bu token ile tetiklenir.
2. 2. İlk İşlemde 3DS, Sonraki İşlemlerde MIT (Merchant Initiated Transaction): İlk kart kaydı ve ilk ay ödemesi mutlaka 3D Secure ile yapılmalıdır. Sonraki aylar kart sahibinin müdahalesi olmadan işyeri tarafından tetiklendiği için bankaya 'Recurring / MIT' işlem kodu iletilir ve 3DS'siz otomatik çekilir.
3. 3. Mesafeli Satış Yönetmeliği ve Otomatik Yenileme Şartı: Sözleşmede her ay otomatik çekim yapılacağı açıkça belirtilmeli, müşteriye dilediği zaman tek tıkla aboneliği iptal etme hakkı sunulmalıdır. Ayrıca her yenilemeden en az 3 iş günü önce e-posta veya SMS ile bilgilendirme yapılmalıdır.