Tekrarlayan Ödemelerde (Subscription) Kart Saklama (Tokenization) Altyapısı ve PCI-DSS Level 1 Uyumluluğu Nasıl Sağlanır?

Kendi sunucunuzda veya veri tabanınızda açık kart verisi (PAN, CVV, SKT) saklamak hem KVKK hem de 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu uyarınca doğrudan lisans iptali ve ağır idari para cezası sebebidir.

Bu yükümlülükten tamamen kurtulmanın tek endüstri standardı Hosted Tokenization mimarisidir:

1. PCI-DSS Kapsam Daraltma (Scope Reduction): Ödeme formunu kendi sunucunuzda barındırmak yerine, ödeme sağlayıcısının (Örn: iyzico, PayTR, Craftgate, Lidio) iFrame veya SDK bileşenini sitenize gömersiniz. Kart numarası müşterinin tarayıcısından doğrudan ödeme sağlayıcısının PCI-DSS Level 1 sertifikalı kasasına akar.
2. Token Üretimi ve Saklama: Sağlayıcı kart verisi yerine işletmenize anlamsız bir anahtar (Token / Card Token ID) döner: tok_938fa82b810d.... Veri tabanınızda yalnızca bu token'ı, kartın son 4 hanesini ve kart markasını saklarsınız.
3. Otomatik Abonelik Çekimi (Recurring Engine): Vade günü geldiğinde arka plandaki cron/job motorunuz ödeme API'sine token_id ve tutar bilgisini gönderir. Kart sahibinin müdahalesi olmadan ödeme gerçekleşir (Merchant Initiated Transaction - MIT).
4. SAQ-A Uyumluluğu: Bu mimariyle şirketiniz yüzbinlerce dolarlık PCI-DSS Level 1 yerinde denetiminden muaf olur; yalnızca basit bir SAQ-A (Self-Assessment Questionnaire) beyannamesiyle denetimi tamamlarsınız.