MASAK
Çerçeveyi baştan netleştirelim: Lunixi MASAK'a bildirim yapmaz. Yükümlülük — şüpheli işlem bildirimi, sürekli bilgi verme, kimlik tespiti, kayıtların saklanması ve uyum görevlisi ataması — sizin kurumunuza aittir. Lunixi bu yükümlülüğü yerine getirebilmeniz için gereken altyapıyı sağlar: tarama, kanıt toplama, kayıt ve denetim izi.
Hukuk teyidi bekliyor. Bu sayfadaki mevzuat atıfları, kod tabanındaki geliştirici notlarından ve yapılandırmadan türetilmiştir. Tebliğ maddesi yorumu, eşik ve süre gerekçeleri hukuk müşavirliğince teyit edilmemiştir. Kendi uyum görevlinizle doğrulayın.
Ne yapıyoruz, ne yapmıyoruz
| Konu | Lunixi | Kurumunuz |
|---|---|---|
| MASAK malvarlığı dondurma listesinin alınması ve güncel tutulması | ✅ | — |
| Müşteri ve işlem taraması | ✅ | Politika ve eşiklerin belirlenmesi |
| Kimlik tespiti akışının işletilmesi | ✅ | Prosedürün onaylanması |
| İşlem amacının toplanması ve saklanması | ✅ | Amaç listesinin tanımlanması |
| Kayıtların saklanması ve denetim izi | ✅ | Saklama politikasının belirlenmesi |
| Şüpheli işlemin değerlendirilmesi | Kanıt ve vaka dosyası | ✅ Karar sizindir |
| MASAK'a şüpheli işlem bildirimi (STR) gönderilmesi | ❌ Yapılmaz | ✅ Tamamen sizde |
| Uyum görevlisi atanması, MASAK ile yazışma | — | ✅ |
MASAK malvarlığı dondurma listesi taraması
Lunixi, MASAK'ın malvarlığı dondurma listelerini doğrudan kaynağından çeker ve tarama motoruna işler.
| Kaynak | MASAK portalının canlı listeleme servisi (HMB) |
| Biçim | Canlı JSON — dosya indirme değil |
| Sıklık | Günlük, Europe/Istanbul saatiyle sabah senkronizasyonu |
| Çekim modu | Tam liste (full) |
| Alınan alanlar | Ad/soyad/unvan, TCKN veya VKN, uyruk, yaptırım türü, örgüt, karar sayısı, diğer adlar (alias) |
Alınan kayıtlar özetlenerek (sha256) sürümlenir; her senkronizasyon için bir çalıştırma kaydı tutulur ve eklenen/güncellenen/değişmeyen kayıt sayıları izlenir. Liste kanonik tarama şemasına yansıtılır.
Liste bakımı iki yönlü çalışır:
- Listeden çıkarma (delisting) — kaynaktan düşen kayıtlar süpürülür ve ilgili olay yayımlanır
- Yeniden listeleme — daha önce düşmüş bir kayıt kaynağa geri gelirse yeniden etkinleştirilir
Ayrıca bir veri tazeliği gözcüsü vardır: liste beklenen sürede tazelenmezse bu görünür hale gelir. Sessizce eski listeyle tarama yapılması bir sessiz uyum arızasıdır ve bunun görünür olması gerekir.
MASAK listesi, taranan tek kaynak değildir. Platform ayrıca uluslararası yaptırım listeleriyle, PEP verisiyle ve olumsuz medya taramasıyla çalışır. Bkz. Yaptırım Taraması.
İşlem amacı
Cüzdan ödeme akışında işlem amacı zorunludur: amaç bildirilmeden ödeme talebi doğrulama hatasıyla reddedilir. Bu kural bayrağa bağlı değildir — kapatılamaz, her istekte çalışır ve limit rezervasyonundan önce devreye girer.
Dürüst sınır: bu zorunluluk cüzdan ödeme yolunda uygulanır. Karşılıklı yakın alanda ödeme (CPM) tahsilatı ve satıcı QR ödemesi yollarında amaç alanı boş bırakılırsa istek reddedilmez — o akışa ait sabit bir varsayılan amaç yazılır. Dolayısıyla "her cüzdan işleminde beyan edilmiş bir amaç vardır" cümlesi doğru değildir; QR ve CPM tahsilatlarında amaç, işlemin türünden türetilen sabit bir değer olabilir. Kendi uyum değerlendirmenizde bunu böyle kabul edin.
Toplanan amaç işlem kaydının parçası olarak saklanır ve denetimde işlemle birlikte çıkar.
Türkiye kimlik tespiti kuralları
Türkiye için ayrı bir kural seti tanımlıdır ve akış motoru bu kural setini uygular.
| Kural | Değer |
|---|---|
| Düzenleyici çerçeveler | MASAK, KVKK |
| Kabul edilen belgeler (Türk uyruklu başvuranlar) | T.C. kimlik kartı, pasaport, sürücü belgesi |
| Kabul edilen belgeler (Türk uyruklu olmayan başvuranlar, uzaktan) | Yalnızca ICAO 9303 standardına uygun, NFC özellikli pasaport — bkz. Madde 4/C |
| Canlılık (liveness) doğrulaması | Zorunlu |
| Biyometriyi reddedene alternatif yol | Zorunlu — kapsayıcılık gereği bir alternatif rota bulunmalı |
| Sıkılaştırılmış durum tespiti (EDD) eşiği | Risk seviyesi YÜKSEK (parasal tutar değil, risk seviyesi) |
| Belge sayısı | Yargı alanı düzeyinde bir üst sınır yoktur; kaç belge isteneceğini yayınladığınız akış belirler |
| KYB için zorunlu belgeler | Ticaret sicil belgesi, vergi levhası |
| Biyometrik görüntü saklama | 90 gün |
| Kimlik tespiti kaydı saklama | 2920 gün (8 yıl) |
T.C. kimlik kartı için belge beklentileri
- Her iki yüz zorunlu
- Sekiz görsel güvenlik özelliği kontrol edilir: guilloche deseni, gökkuşağı baskı, optik değişken mürekkep, gizli görüntü, hologram, mikro yazı, fotoğraf ve imza
- Bunlardan tanımlı bir asgari sayısının geçmesi gerekir
- TCKN kontrol basamağı makine doğrulaması yapılır
Türk uyruklu olmayan başvuranlar — Madde 4/C
MASAK Genel Tebliği Sıra No: 19'a, Sıra No: 32 ile eklenen Madde 4/C (RG 27/6/2026 – 33293), 27 Haziran 2026'dan beri yürürlüktedir ve Türk uyruklu olmayan gerçek kişilerin uzaktan kimlik tespitini ayrıca düzenler. Yukarıdaki belge listesi Türk uyruklu başvuranlar içindir; Türk uyruklu olmayan bir başvuran için uzaktan kabul edilen belge kümesi daha dardır. Bu ayrım mevzuattan doğar ve akış yapılandırmanızla gevşetilemez. Kuralın platform tarafından uygulanabilmesi, başvuranın uyruğunun belgeden güvenilir biçimde okunabilmesine bağlıdır; belge okuma yeteneği devrede olmayan bir kurulumda kural karar üretmez, yalnızca kayıt tutar. Kurulumunuzun hangi durumda olduğunu bizden teyit ediniz.
| Kural | Uzaktan kimlik tespitindeki karşılığı |
|---|---|
| Kabul edilen belge | Yalnızca ICAO 9303 standardına uygun, yakın alan iletişimi (NFC) özelliği bulunan pasaport. Kimlik kartı, sürücü belgesi veya ikamet izni bu başvuranlar için uzaktan kabul edilmez. |
| Çip doğrulaması | Pasaportun çipi sunucu tarafında doğrulanır (pasif doğrulama: imza zincirinin ICAO güven çıpalarına bağlanması). Uygulamanın bildirdiği bir sonuç kabul edilmez. |
| Doğrulama yapılamazsa | Uzaktan kimlik tespiti yoluyla iş ilişkisi kurulamaz. Başvuru manuel incelemeye düşmez; sonlandırılır. |
| Riskli olarak belirlediğiniz ülkelerin vatandaşları | Pasaportla uzaktan kimlik tespiti yöntemiyle müşteri olarak kabul edilemez — çip doğrulaması sorunsuz tamamlansa bile. |
| Kabul edilen müşteri | Yüksek risk sınıfına atanır ve sıkılaştırılmış durum tespiti uygulanır. |
| Görüntülü doğrulama | Bu kişilerle yapılacak görüntülü doğrulama özel eğitimli personel ile yürütülür. |
Uyruk, başvuranın beyanından değil belgeden okunan uyruk alanından belirlenir; kural bu nedenle belge alındıktan sonra işler. Belgeden uyruk okunamazsa başvuru otomatik olarak onaylanmaz — ekibinizin incelemesine düşer.
Reddedilen başvurana ham bir hata kodu değil, maddeye atıf yapan Türkçe bir gerekçe döner; aynı gerekçe operatör panelinde de görünür.
Riskli ülke listesini siz belirlersiniz. Madde, listeyi yükümlünün kendi risk değerlendirmesine bırakır; bu yüzden platform sizin adınıza bir ülke listesi getirmez. Liste yapılandırılmadığı sürece bu gerekçeyle kimse reddedilmez — maddenin diğer hükümleri (yalnızca NFC'li pasaport, doğrulanamazsa tesis edilememe, yüksek risk sınıfı) ise listeden bağımsız olarak çalışır. Listenizi tanımlamak için [email protected] ile iletişime geçin.
Özel eğitimli personel şartı sizin sorumluluğunuzdadır. Platform, görüntülü doğrulamayı yürüten operatörün maddenin aradığı özel eğitimi almış olup olmadığını denetlemez. Bu personelin belirlenmesi, eğitilmesi ve eğitim kayıtlarının tutulması sizin uyum programınızın parçasıdır.
Üç aylık istatistik bildirimi. Madde, bu kapsamdaki uzaktan kimlik tespitleri için üç aylık istatistik bildirimi yükümlülüğü getirir. Platform, her değerlendirmeyi denetim kaydına yazar: uyruk ülkesi, kullanılan belge tipi, çip doğrulamasının sonucu ve başvurunun sonuçlanma biçimi. Bildirimi MASAK'ın kendi kanalları üzerinden siz yaparsınız; platform bildirim dosyasını üretmez ve göndermez.
KYC için zorunlu belge listesi kural setinde kasten boş bırakılmıştır — hangi belgelerin isteneceğine satıcının akış yapılandırması karar verir. Yani ürün, sizin prosedürünüzü dayatmaz; prosedürünüzü uygular.
Şüpheli işlem bildirimi — açık ve net
Platform, bir vakayı analistin kararıyla "MASAK'a bildirilecek" olarak işaretleyebilir. Bu işaret vaka kaydına yazılır ve şifreli karar anlık görüntüsüne dondurulur.
İşaret bir bildirim değildir. Bugün kod tabanında MASAK'a şüpheli işlem bildirimi (STR) üreten, biçimlendiren veya ileten hiçbir yol yoktur. Bildirim formu yok, dosya üretimi yok, MASAK'a giden bir arayüz yok, süre sayacı yok. Bayrağı okuyan bir alt sistem de yoktur.
Bildirimi MASAK'ın kendi kanalları üzerinden siz yaparsınız. Lunixi size vakayı, kanıtı ve zaman damgalı karar kaydını verir; gönderimi yapmaz.
Platformda mevcut olan yapılandırılmış şüpheli işlem bildirimi motoru Birleşik Krallık içindir ve İngiltere mevzuatına (POCA 2002) göre kuruludur; MASAK için karşılığı yoktur. O motorda bile gönderim otomatik değildir — uyum görevlisi bildirimi otoritenin kendi portalında yapar, sistem yalnızca referansı ve tarihi kanıt olarak kaydeder.
Bunun "yakında geleceğini" de yazmıyoruz. MASAK'a bildirim üretimi için önce backend tarafında yapılacak iş vardır; o iş yapılmadan bu sayfada bir söz verilmeyecektir.
Kayıt ve denetim izi
- Kimlik tespiti kararları, skorları ve zaman damgaları saklanır; Türkiye için varsayılan saklama süresi 2920 gündür
- Denetim kaydı özet zincirlidir — her satır kendi içeriğinin ve bir önceki satırın özetinden türetilir; araya kayıt eklenmesi tespit edilebilir
- Yaptırım taraması sonuçları, hangi liste sürümüyle tarandığı bilgisiyle birlikte tutulur
Saklama, silme ve veri sahibi talepleri için KVKK sayfasına bakın.
İlgili sayfalar
- FATF Rehberi — küresel AML/CFT çerçevesi
- KVKK — kişisel verinin korunması
- Yaptırım Taraması — tarama motorunun kendisi
Kuruluma özgü tarama kapsamı ve uyum yapılandırması için [email protected].