E-Pin Sitesi Sahiplerinin Karşılaşabileceği Hukuki Riskler

Bir e-pin sitesi kurmak, Türkiye'de "birkaç API bağla, ödeme sistemini ekle, satışa başla" kadar basit görünür. Oysa perde arkasında vergi mevzuatından KVKK'ya, marka hukukundan tüketici hakkına kadar birden fazla hukuk dalı aynı anda işler durumdadır. Çoğu site sahibi bu risklerin farkına ilk uyarı yazısı, ilk şikayet ya da ilk vergi incelemesi geldiğinde varır — ki o noktada iş genelde para cezasından daha pahalıya mal olur. Aşağıdaki altı başlık, sektörde en sık karşılaşılan hukuki tuzakları ve bunlara karşı ne tür bir altyapı ile daha güvenli çalışılabileceğini gösteriyor.

E-Pin Satışı Türkiye'de Gerçekten "Serbest Ticaret" mi?

E-pin, oyun kodu ya da dijital hediye kartı satmak, hukuken bir "mal veya hizmet ticareti" olarak değerlendirilir ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamına girer. Bu, sitenin bir "hobi projesi" değil, ticari işletme statüsünde çalıştığı anlamına gelir. Uygulamada bu şu yükümlülükleri doğurur:

• Şahıs şirketi, limited şirket ya da başka bir ticari yapı üzerinden vergi mükellefiyeti açılması
• Elektronik Ticaret Bilgi Sistemi'ne (ETBİS) kayıt zorunluluğu
• Site üzerinde MERSİS/vergi kimlik bilgileri, iletişim adresi ve işletme unvanının açıkça gösterilmesi
• Ödeme aracı kuruluşlarının (PayTR, Shopier vb.) sözleşme aşamasında istediği ticari sicil belgeleri

Kayıt dışı işletilen bir e-pin sitesi, ciro küçük görünse bile "vergi kaçakçılığı" ve "kayıt dışı ticari faaliyet" başlıklarında incelemeye açık hale gelir. Pinova gibi bir altyapı bu süreci otomatikleştirmez ama fatura, cari hesap ve satış kaydı gibi verileri düzenli tuttuğu için, mükellefiyet açıldıktan sonra muhasebeciyle çalışmayı çok daha az sancılı hale getirir.

Burada asıl karar noktası genelde "ne zaman resmileşmeli" sorusudur. Birçok site sahibi, "önce test edeyim, ciro oluşursa şirket kurarım" mantığıyla haftalarca kayıt dışı çalışır. Sorun şu ki mükellefiyet tarihinin geriye alınamaması yüzünden, o dönemde yapılan tüm satışlar sonradan "kayıt dışı dönem cirosu" olarak değerlendirilebilir ve vergi incelemesinde ayrıca sorgulanır. Bu yüzden pratikte doğru sıralama tam tersidir: önce mükellefiyet ve gerekli izinler, sonra canlıya alma.

Sattığınız Kod Çalıntıysa Sorumluluk Kime Ait?

Bu, e-pin sektöründeki en az konuşulan ama en ağır risklerden biridir. Tedarikçiden aldığınız bir kodun aslında çalıntı kredi kartıyla üretilmiş, "carding" yöntemiyle elde edilmiş ya da yetkisiz bir kaynaktan sızdırılmış olması durumunda, satıcı olarak siz de zincirin içinde sayılırsınız. Yayıncı firma (Steam, Riot, Sony vb.) kodu iptal ettiğinde mağdur olan tek taraf müşteri değildir — sizin de "bilerek ya da bilmeyerek çalıntı mal ticareti" iddiasıyla karşı karşıya kalma ihtimaliniz vardır.

Bu riski azaltmanın pratik yolu, kodun kaynağını izlenebilir tutmaktır:

• Yalnızca resmi/yetkili tedarikçilerle (örneğin Turkpin, Pinabi gibi API sağlayan kurumsal tedarikçiler) çalışmak
• Hangi kodun hangi tedarikçiden, hangi tarihte, hangi işlem numarasıyla geldiğinin kaydını tutmak
• Şüpheli fiyat avantajı sunan "kaynağı belirsiz" toplu kod tekliflerinden uzak durmak

Pinova'nın tedarikçi API entegrasyonu (Turkpin/Pinabi) tam olarak bu izlenebilirliği sağlamak için tasarlandı: her satışın hangi tedarikçi işlemine karşılık geldiği sistemde otomatik kayıt altına alınır, bu da bir uyuşmazlık çıktığında elinizde somut bir kayıt olmasını sağlar.

Bir de "geri dönen" (chargeback) senaryosu var: müşteri kredi kartıyla ödeme yapıp kodu kullandıktan sonra bankasına "bu işlemi ben yapmadım" diyerek itiraz ederse, banka ödemeyi geri çeker ama kod çoktan tüketilmiştir. Bu durumda hem tedarikçiye ödediğiniz bedeli hem de satış bedelini kaybedersiniz. Şüpheli işlem kalıplarını (aynı IP'den art arda yüksek tutarlı siparişler, farklı kartlarla deneme gibi) erken tespit eden bir sistem, bu kaybı önlemenin en etkili yoludur.

Fatura Kesmezseniz Gerçekte Ne Risk Alırsınız?

"Küçük bir site, kimse fark etmez" düşüncesi, e-pin sektöründe en sık rastlanan yanılgıdır. Oysa ödeme kuruluşları (PayTR, Shopier, bankalar) işlem hacmi belli bir eşiği geçtiğinde otomatik olarak Gelir İdaresi Başkanlığı'na bildirim yapar. Faturasız satış tespit edildiğinde karşılaşılan yaptırımlar hafif değildir:

• Vergi Usul Kanunu kapsamında özel usulsüzlük cezaları (kesilmeyen her fatura için ayrı ceza)
• Geriye dönük KDV ve gelir/kurumlar vergisi tarhiyatı, üzerine gecikme faizi
• Tekrarlanan ihlallerde işyeri kapatma kararı

Dijital ürün satışında e-arşiv fatura ya da e-fatura düzenlemek, fiziksel ürün satışına göre daha kolaydır çünkü kargo/teslimat kaydı gerekmez — asıl zorluk, otomatik teslimat hızıyla fatura kesme hızını eşleştirebilmektir. Elle çalışan sitelerde bu genelde ihmal edilir; Pinova'da her satış otomatik kayda düştüğü için muhasebe entegrasyonuna (e-fatura entegratörüne) veri aktarımı da düzenli bir akışa oturur.

Bir Müşteri Şikayeti Sizi Nasıl Hakem Heyetine Taşır?

E-pin satışlarında en sık karşılaşılan uyuşmazlık türü, "kod çalışmadı" ya da "hesabım kısıtlandı" şikayetleridir. Müşteri memnun kalmazsa doğrudan Tüketici Hakem Heyeti'ne başvurabilir; belirli bir parasal sınırın altındaki uyuşmazlıklarda heyet kararı bağlayıcıdır ve itiraz süreci sizi zaman ve masraf kaybına sokar. Heyetin en sık talep ettiği belgeler şunlardır:

• Mesafeli satış sözleşmesi ve ön bilgilendirme formu onayının kaydı
• Sipariş anındaki fiyat, ürün ve teslimat bilgisinin ekran görüntüsü ya da log kaydı
• Kodun gerçekten teslim edildiğine dair sistem kaydı (zaman damgalı)

Bu belgeleri "hatırladığım kadarıyla" sunmak heyet nezdinde neredeyse hiç işe yaramaz — sistemin kendisinin bu kayıtları otomatik tutması gerekir. Ayrıca İleti Yönetim Sistemi (İYS) kaydı olmadan pazarlama e-postası/SMS göndermek de ayrı bir idari para cezası kalemidir; e-pin sitelerinin "kampanya bildirimi" gönderirken sıkça atladığı bir noktadır.

Heyet kararına uyulmaması durumunda dosya doğrudan icraya taşınabilir; bu da küçük bir uyuşmazlığın avukat masrafı, faiz ve infaz giderleriyle katlanarak büyümesi anlamına gelir. Dolayısıyla asıl hedef, şikayeti heyete gitmeden önce çözmektir — ve bunun yolu da müşteriye "bakın, sipariş şu anda şu kaydı taşıyor" diyebilecek somut veriye anında erişebilmekten geçer.

Marka Logolarını Kullanmak Sizi Neden Riske Atar?

Sitenizde Steam, Riot Games, PlayStation, Google Play gibi markaların logolarını "ürünü daha tanıdık göstermek" için kullanmak son derece yaygın bir alışkanlıktır — ve aynı zamanda 6769 sayılı Sınai Mülkiyet Kanunu kapsamında marka hakkı ihlali oluşturabilir. Bu markaların sahipleri, yetkisiz bayi/distribütör olmayan sitelere karşı zaman zaman ihtarname gönderir; bazı durumlarda bu, alan adının veya barındırma hizmetinin askıya alınmasına kadar uzanabilir. Riskin büyüklüğü kullanım biçimine göre değişir:

• Ürün açıklamasında marka adını "hangi oyun için geçerli" bilgisi olarak kullanmak genelde makul kabul edilir
• Marka logosunu kendi tasarımınızla birleştirip yeni bir "marka" izlenimi yaratmak riski artırır
• "Resmi bayi", "yetkili satıcı" gibi ifadeler kullanmak — yetkiniz yoksa — doğrudan haksız rekabet iddiasına açık kapı bırakır

Buradaki en güvenli yaklaşım, markayı yalnızca tanımlayıcı amaçla, sade biçimde kullanmak ve "yetkili bayi" gibi iddialı ifadelerden kaçınmaktır. Pinova bu konuda hukuki tavsiye vermez, ancak panel tarafında ürün açıklamalarını ve marka kullanımını tek merkezden yönetebildiğiniz için, bir uyarı geldiğinde tüm siteyi tek tek taramak yerine ilgili ürünleri hızlıca güncelleyebilirsiniz.

Marka sahiplerinin gönderdiği ihtarnamelere genellikle kısa bir süre (7-15 gün) içinde yanıt verme ya da içeriği kaldırma beklentisi eşlik eder. Bu süreyi kaçırmak, ihtiyati tedbir talebiyle mahkemeye taşınan bir dosyaya dönüşebilir. Bu yüzden marka içerikli görsel ve metinlerin envanterini çıkarmak — hangi ürün sayfasında hangi logo/isim geçiyor — hem günlük işletmecilik hem de olası bir ihtar anında hız kazandıran bir alışkanlıktır.

KVKK İhlali Sizi Nasıl Zor Duruma Sokar?

E-pin siteleri ad-soyad, e-posta, telefon, IP adresi ve en kritik olarak kısmi ödeme bilgilerini işler. 6698 sayılı KVKK kapsamında bu, "kişisel veri işleme" faaliyetidir ve belirli bir ciro/çalışan sayısı eşiğini aşan işletmeler için VERBİS'e kayıt zorunludur. En sık yapılan hatalar şunlardır:

• Sitede aydınlatma metni ve açık rıza onayı bulunmaması
• Müşteri verilerinin, hiçbir güvenlik önlemi alınmadan üçüncü parti eklentilerle (analytics, chat botları) paylaşılması
• Bir veri ihlali (sızıntı) yaşandığında Kişisel Verileri Koruma Kurumu'na 72 saat içinde bildirim yapılmaması

KVKK cezaları idari para cezası ile sınırlı kalmaz; itibar kaybı ve ödeme kuruluşlarının sözleşmeyi tek taraflı feshetmesi gibi ticari sonuçlar da doğurabilir. Verinizin nerede, hangi sistemde tutulduğunu bilmemek, bir talep ya da inceleme geldiğinde en büyük zaaf noktanız olur. Kendi sunucunuza kurulan bir sistemde (Pinova'nın çalışma modeli gibi) veri en azından tek, tanımlı bir yerde durur — bu, dağınık üçüncü parti araçlara göre uyum sürecini önemli ölçüde kolaylaştırır.

Ayrıca müşteri bir gün "verilerimi silin" (unutulma hakkı) talebiyle başvurduğunda, bu talebi hangi tabloda hangi kaydın silineceğini bilmeden karşılamak neredeyse imkansızdır. Verinin birden fazla eklenti, e-posta pazarlama aracı ve yedek dosyada dağınık durduğu sitelerde bu talebi eksiksiz karşılamak da ayrı bir risk kalemine dönüşür; oysa merkezi bir veritabanı yapısı bu talebi tek sorguyla yönetilebilir hale getirir.