Uyum ve KYC Sistemi — Sıfırdan Sona

İçindekiler

1Sorun: bir işletme müşterisini neden tanımak zorunda?

Bir kuyumcu düşünün. Kapıdan bir müşteri giriyor, 300 gram altın alıyor, nakit ödüyor, çıkıyor. Kuyumcu için bu güzel bir satış. Peki o nakit nereden geldi? Kuyumcu bunu bilmek zorunda mı? Yıllar önce cevap "hayır, benim işim altın satmak" olurdu. Bugün cevap "evet, bilmek zorundasınız ve bunu belgelemeniz gerekiyor". Bu belge o "evet"in nereden çıktığını ve bir yazılımın bunu nasıl kolaylaştırdığını anlatıyor.

1.1 Kara para nedir?

Bir suçtan — uyuşturucu ticareti, rüşvet, dolandırıcılık, vergi kaçırma — elde edilen para "kirli"dir: sahibi onu bankaya yatıramaz, ev alamaz, şirket kuramaz; çünkü her adımda "bu para nereden geldi?" sorusu sorulur. Suçlu bu parayı, kaynağı sorulmayan bir paraya çevirmek ister. Buna kara para aklama denir: kirli parayı, temiz para gibi görünen bir hâle sokmak.

Aklamanın klasik üç adımı vardır ve üçü de bir işletmenin kapısından geçer:

Dikkat edin: suçlu hiçbir adımda "ben suçluyum" demez. Sıradan bir müşteri gibi görünür. Bu yüzden devlet, işletmeye şunu söyler: sen benim gözümsün; kapından geçen kişiyi tanı, kaydet, sakla; şüphelenirsen bana bildir.

1.2 Devlet neden "kim olduğunu bil" diyor?

Devletin kendi başına her kuyumcunun, her döviz bürosunun tezgâhında durması imkânsızdır. Ama işletme zaten oradadır; müşteriyi görür, parayı görür, davranışı görür. O yüzden yasa, belli sektörlerdeki işletmeleri yükümlü ilan eder: yükümlü, müşterisini tanımak ve kayıt tutmakla görevli işletmedir.

Türkiye'de bu düzenin temeli 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun'dur. Kanun, yükümlülere üç ana görev yükler:

1. Kimlik tespiti: Belirli işlemlerde müşterinin ve müşteri adına hareket edenin kim olduğunu belgeyle tespit et.
2. Kayıt ve saklama: Tespit ettiğin bilgiyi ve belgeleri yıllarca sakla, istendiğinde göster.
3. Şüpheli işlem bildirimi: Bir işlem "normal" görünmüyorsa (kaynağı açıklanamayan büyük nakit, alışılmadık sıklık, yanıltıcı bilgi) bunu ilgili kuruma bildir.

Üç görevin ortak noktası şudur: hepsi belgeye dayanır. "Ben onu tanıyorum, iyi adamdır" bir belge değildir. Kimlik kartının kopyası, imzalı bir form, tarihli bir kayıt belgedir.

1.3 MASAK kimdir?

MASAK, Mali Suçları Araştırma Kurulu'nun kısaltmasıdır; Hazine ve Maliye Bakanlığı'na bağlıdır. Görevi, yükümlülerden gelen bildirimleri toplamak, incelemek ve kara para aklamayla mücadele kurallarını (tebliğler, rehberler) yayımlamaktır. Bu belgede "MASAK kuralı" dendiğinde kastedilen budur: yükümlülerin uymak zorunda olduğu, MASAK'ın yayımladığı ve denetlediği kurallar.

MASAK'ın kuralları zamanla değişir. Örneğin 27 Haziran 2026'da yürürlüğe giren 32 Sıra No'lu Genel Tebliğ, yabancı uyruklu kişilerin pasaportla uzaktan kimlik tespitine, adres teyidine ve kimlik tespiti sırasında IP adresi, cihaz kimliği ve konum gibi teknik verilerin saklanmasına dair yeni hükümler getirdi. Bunun yazılıma etkisini 8. kısımda göreceğiz. Şimdilik aklınızda şu kalsın: kurallar sabit değildir; yazılımın kurallara göre ayarlanabilir olması bir tercih değil, zorunluluktur.

1.4 Uymazsanız ne olur?

Kimlik tespiti yapılmamış tek bir işlem, işletmeye idari para cezası getirebilir. Üstelik ceza işlem başına kesilir ve tutarlar her yıl yeniden değerlenir. 2026 için ikincil kaynaklarda anılan büyüklükler, kimlik tespiti ihlalinde işlem başına yüz binlerce lira, şüpheli işlem bildirimi ihlalinde bunun yaklaşık iki katı düzeyindedir.

Bir de yasal olmayan sonuç var: itibar. Bir soruşturmada adı geçen, "kayıtlarınızı gösterin" dendiğinde gösteremeyen işletme, müşterisini de bankasını da kaybeder. Sistem kurmanın maliyeti, tek bir cezanın ya da tek bir itibar kaybının maliyetinin çok altındadır. Ürünün değeri tam olarak burada: bir eksik kimlik tespiti, yazılımın yıllık bedelinin kat kat üstündedir.

2Kavramlar: KYC, uyum, risk, gerçek faydalanıcı

Bu kısımda belgenin geri kalanında sürekli kullanacağımız on kadar kavramı tanıyacağız. Her birini önce günlük hayattan bir benzetmeyle, sonra tam anlamıyla vereceğiz.

2.1 KYC — "Müşterini Tanı"

KYC, İngilizce Know Your Customer sözünün kısaltmasıdır: "müşterini tanı". Kimlik tespitinden daha geniş bir kavramdır. Kimlik tespiti "bu kişi kim?" sorusunu cevaplar; KYC buna "bu kişi ne iş yapar, parası nereden gelir, benimle neden çalışmak istiyor, ne kadar riskli?" sorularını ekler.

KYC bir dosyadır. Her müşterinin bir dosyası olur; dosyada belgeler, bir tanıma formu, bir risk değerlendirmesi ve bir karar bulunur. Yazılımın asıl işi bu dosyayı tutmak, eksiklerini göstermek ve süresi dolanları haber vermektir.

2.2 Uyum (compliance)

Uyum, işletmenin kurallara uyduğunu gösterebilmesidir. "Uyduğunu" değil, "uyduğunu gösterebilmesi" — fark önemli. Denetçi geldiğinde "biz her müşteriye bakıyoruz" demek yetmez; "işte 457 müşteri, işte 38'inin tamamlanmış dosyası, işte her kararın kim tarafından ne zaman verildiği" demek gerekir. Uyum, kanıt üretme disiplinidir.

Bu yüzden uyum sistemi yalnız belge toplamaz; iz tutar: kim yükledi, kim onayladı, kim reddetti, ne gerekçeyle, ne zaman. İzsiz bir belge, kaynağı belirsiz bir belgedir.

2.3 Gerçek kişi, tüzel kişi

Hukukta iki tür "kişi" vardır. Gerçek kişi etten kemikten bir insandır: Ayşe Yılmaz. Tüzel kişi kâğıt üstünde kurulmuş bir varlıktır: Mert Lojistik Ltd. Şirketin kendisi kimlik kartı gösteremez; onun yerine ticaret sicil gazetesi, vergi levhası, imza sirküleri gibi belgeler vardır. Ama şirketin arkasında yine insanlar vardır ve asıl tanınması gerekenler onlardır.

2.4 Gerçek faydalanıcı ve ilgili kişi

Bir şirketin sahibi kâğıtta A kişisi görünebilir ama parayı asıl yönlendiren, kârı asıl alan B kişisi olabilir. Yasa "kâğıttaki isim"le yetinmez; gerçek faydalanıcıyı — şirketi fiilen kontrol eden, gelirinden fiilen yararlanan insanı — ister. AifaUyum bu insanları ilgili kişi olarak tutar: ortak, yetkili, temsilci gibi rolleri ve varsa pay oranları vardır.

2.5 Risk seviyesi ve PEP

Her müşteri aynı derecede riskli değildir. Yıllardır tanıdığınız, düzenli küçük alışveriş yapan bir esnaf ile ilk kez gelen, nakit ödemek isteyen, adresi başka şehirde bir kişi aynı değildir. Uyum sistemi müşterileri düşük, orta, yüksek risk olarak sınıflandırır ve riske göre farklı davranır: yüksek riskli dosya daha sık gözden geçirilir, daha çok belge istenir.

PEP (Politically Exposed Person, siyasi nüfuz sahibi kişi) özel bir risk sınıfıdır: üst düzey kamu görevlileri, siyasetçiler ve yakınları. Yolsuzluk riski daha yüksek kabul edildiği için bu kişiler otomatik olarak daha dikkatli incelenir. AifaUyum'da her dosyada bir "PEP" işareti vardır.

2.6 Belge geçerliliği

Bir ikametgâh belgesi bugün doğru olabilir, altı ay sonra kişi taşınmış olabilir. Vergi levhası her yıl yenilenir. İmza sirkülerinin süresi belgenin üstünde yazar. Yani belgelerin bir son kullanma tarihi vardır ve süresi dolmuş belge, hiç olmayan belge kadar sorundur.

2.7 Onay, ret, askı — kararlar

Belge yüklenmiş olmak yetmez; birinin ona bakıp "bu belge okunuyor, doğru kişiye ait, geçerli" demesi gerekir. Buna belge kararı denir: onay ya da ret. Ret her zaman bir sebep ister; "reddedildi" tek başına müşteriye ne yapacağını söylemez, "reddedildi: görüntü okunmuyor" söyler.

Bunun bir üstünde dosya kararı (KYC kararı) vardır: dosyanın bütününe bakıp "bu müşteriyle çalışıyoruz" (onaylandı), "şimdilik durduruyoruz" (askıda) ya da "çalışmıyoruz" (reddedildi) demek. Bu bir insan kararıdır; yazılım hesaplamaz, kaydeder ve izini tutar.

2.8 Gözden geçirme

Onaylanmış bir dosya sonsuza kadar onaylı kalmaz. Riske göre belli aralıklarla — yüksek riskte daha sık — dosya yeniden açılır, belgelerin hâlâ geçerli olup olmadığına, müşterinin durumunun değişip değişmediğine bakılır. Buna periyodik gözden geçirme denir. Yazılım "bir sonraki gözden geçirme tarihi"ni hesaplar ve yaklaşınca haber verir.

2.9 Şüpheli işlem bildirimi (ŞİB)

Kimlik tespiti tamam olsa bile bir işlem "normal" görünmeyebilir: müşterinin geliriyle uyumsuz büyüklükte alım, parçalara bölünmüş nakit, açıklanamayan acele. Yükümlü bunu MASAK'a bildirmekle yükümlüdür; müşteriye bildirimi söylemesi ise yasaktır. AifaUyum bugün ŞİB üretmez; bunu 8. kısımda "sistemin bugün yapamadıkları" arasında dürüstçe sayacağız.

2.10 KVKK

Kimlik tespiti kişisel veri toplamak demektir: ad, TCKN, doğum tarihi, adres, yüz fotoğrafı, imza. Bunlar 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır. Veriyi toplamak için kişiyi aydınlatmak (neden topluyoruz, ne kadar saklayacağız), yalnız amaç için kullanmak ve süre dolunca imha etmek gerekir. Uyum sistemi bu yüzden iki kanuna birden hizmet eder: MASAK "topla ve sakla" der, KVKK "gereksiz toplama, süresi dolunca sil" der. İkisi çelişmez; birlikte "gerekeni topla, gerektiği kadar sakla, sonra sil" anlamına gelir.

3Kâğıttan yazılıma: dosya dolabı nerede patlıyor?

Kimlik tespiti yasası yeni değil; işletmeler yıllardır kâğıtla yapıyor. Fotokopi, klasör, dolap. Peki neden bir yazılım gerekti? Çünkü kâğıt sistem küçükken çalışır, büyüyünce sessizce bozulur. "Sessizce" kelimesi bu belgenin en önemli kelimesidir: kâğıt dolabı hata verdiğinde kimse fark etmez; hata, denetim günü ortaya çıkar.

3.1 Beş sessiz hata

Hata 1 — "Dosya tam" ama değil

Klasörün üstüne "TAM" yazılmış. Ama üç ay önce ikametgâh belgesinin süresi dolmuş ve kimse klasörü açıp bakmamış. Üstündeki yazı doğru yazıldığı gün doğruydu; bugün yanlış. Kâğıt sistemde durum, bir kez yazılıp unutulan bir etikettir.

Hata 2 — Kural değişti, dolap değişmedi

Muhasebeci "artık tüzel kişilerden imza sirküleri de isteyeceğiz" dedi. Yeni müşteriler için tamam; ama dolaptaki 400 eski klasörün her biri artık eksik ve hiçbirinin üstünde "eksik" yazmıyor. Kural değişince eski etiketlerin hepsi bir anda yalan olur.

Hata 3 — Kayıp fotokopi, belirsiz kaynak

Klasörde bir kimlik fotokopisi var. Kim aldı, ne zaman aldı, belge o gün geçerli miydi, aslını gören oldu mu? Fotokopinin üstünde bunlar yazmıyor. Denetçi "bu belgeyi kim aldı?" diye sorduğunda cevap "herhalde Ahmet Bey"dir.

Hata 4 — "Kaç eksiğimiz var?" sorusuna cevap yok

Patron sorar: "Kaç müşterimizin dosyası eksik?" Cevap için 457 klasörü tek tek açmak gerekir. Kimse açmaz; tahmin söylenir. Tahmin yanlıştır.

Hata 5 — Karar geçmişi yok

Bir dosya geçen yıl onaylanmış, sonra askıya alınmış, sonra yine onaylanmış. Klasörün üstünde son durum yazar: "onaylı". Arada ne olduğu, neden askıya alındığı, kimin geri onayladığı yok. Denetimde sorulan tam da bu zincirdir.

3.2 Tasarım kararları ve gerekçeleri

AifaUyum'un mimarisi, yukarıdaki beş hatayı imkânsız kılacak bir dizi kararla kurulmuştur. Bu kararlar kodun içinde yorum olarak yazılıdır; burada sade dille veriyoruz. Her kararın bir "neden"i ve bir "böyle olmasaydı"sı var.

Karar A — Sayaç saklanmaz, hep hesaplanır

"Bu dosya tam mı?", "kaç belge eksik?", "süresi doldu mu?" gibi bilgiler veritabanında hiçbir yere yazılmaz. Ekran her açıldığında, o andaki kurallara ve o andaki belgelere bakılarak yeniden hesaplanır.

Karar B — ERP'ye tek bağlantı noktası, ERP'ye yazma yok

AifaUyum, müşterinin zaten kullandığı ERP'nin (ERPGOLD) yanına kurulur, içine değil. ERP'nin cari hesap kartlarını okur ama ERP'nin hiçbir tablosuna yazmaz. KYC verisi ayrı bir bölmede (Kyc şeması) durur ve ERP'ye tek bir iple bağlıdır: her KYC dosyası bir cari hesabın numarasını taşır.

Karar C — Belgeler sürümlüdür, hiçbir şey silinmez

Müşteri bir belgeyi yüklüyor, reddediliyor, düzeltip yeniden yüklüyor. Eski belge silinmez; yeni belge "2. gönderim" olarak eklenir. Her belgenin bir parmak izi (SHA-256 özeti) hesaplanır: dosya sonradan bir bayt bile değişse fark edilir.

Karar D — Karar geri alınabilir ama iz kalır

Yanlış onay verilmişse geri alınabilir. Ama geri alma, kaydı silmek değil, üstüne yeni bir kayıt eklemektir: "onaylandı → askıya alındı, gerekçe: belge reddedildi, kim: sistem". Karar geçmişi bir zincirdir; her halkasında eski durum, yeni durum, gerekçe, kim ve ne zaman vardır.

Karar E — Bayat onay saklanmaz, hesaplanır

"Bu onay hâlâ dosyayı karşılıyor mu?" sorusu da türetilmiş bir bilgidir. Onayı bayatlatan olayların çoğunun bir tetikleyicisi yoktur: belgenin süresi dolar ve o an kimse hiçbir şey yapmaz, sadece tarih geçer. Bu yüzden "bayat onay" bir bayrak olarak saklanmaz; görünümde hesaplanır ve süre dolmasını, belge reddini, kural değişikliğini aynı anda yakalar. Hesaplar ekranındaki "Bayat onaylar" süzgeci tam olarak budur.

Karar F — Portal varsayılan olarak kapalıdır

Müşterinin kendi belgesini internetten yüklediği portal, her firma için kapalı gelir; açmak bilinçli bir işlemdir. Güncelleme alan hiçbir firma, haberi olmadan internete açılmaz.

Karar G — Betikler eklemelidir, veri değiştirmez

Veritabanı kurulum betikleri tekrar tekrar çalıştırılabilir; var olan veriye dokunmaz, yalnız eksik olanı ekler. Güncelleme "her şeyi sil, yeniden kur" değildir; "eksik olanı tamamla"dır.

Karar H — Ölçmeden değiştirme

Bu bir yazılım kuralı değil, geliştirme kuralıdır ama ürünün her yerinde izi vardır: bir hata bildirildiğinde önce laboratuvarda aynen üretilir, ölçülür, sonra düzeltilir; ve her düzeltmeye "düzeltme geri alınırsa bu test düşmeli" diye bir karşı-kontrol eklenir. 2.17.1'deki klavye hatası da böyle bulundu: "123 tuşu çalışmıyor" denmişti; ölçüm, tuşun aslında iki kez çalıştığını gösterdi.

4Yazılımın haritası

Artık "neden"i biliyoruz; şimdi "ne"ye bakalım. AifaUyum küçük parçalardan oluşur ve her parçanın tek bir görevi vardır. Bu kısmın sonunda haritayı gözünüzün önüne getirebilmelisiniz: hangi kutu nerede durur, kim hangi kapıdan girer, veri nerede yatar.

4.1 Parçalar

Parçaları tek tek tanıyalım:

4.2 İki veritabanı — neden iki?

AifaUyum verisini iki yerde tutar ve bu, sistemin en önemli mimari kararlarından biridir.

Merkez veritabanı (AifaGlobalScan), AifaSoft'ta durur. İçinde firmalar (AifaUyum kullanan her müşteri işletme), o firmaların personel kullanıcıları, oturumlar, portal davetleri, firmalar arası bağlar ve erişim kaydı vardır. Merkez, "bu firma kim, lisansı geçerli mi, veritabanı nerede" sorularını cevaplar.

Müşterinin kendi ERP veritabanı ise her işletmenin kendi sunucusundadır. AifaUyum oraya Kyc adında ayrı bir bölme ekler: dosyalar, belgeler (içerikleriyle birlikte), kurallar, kararlar, tanı formları. Müşterinin kimlik belgeleri müşterinin kendi sunucusundan hiç çıkmaz.

4.3 Dört kapı, üç kullanıcı

Tek sayfa, ama sayfaya hangi adresle geldiğiniz kim olduğunuzu belirler. Aynı bina, dört ayrı kapı; her kapı farklı bir koridora açılır.

4.4 Personel konsoluna ilk bakış

Sekmelerin her biri bir soruya cevap verir:

4.5 Yönetim programı

AifaSoft'ta çalışan küçük bir Windows programıdır (VB.NET, WinForms); doğrudan merkez veritabanına bağlanır, arada servis yoktur. Üç sekmesi vardır:

• Firmalar: yeni firma, düzenleme, lisans tarihi, aktif/pasif, açık oturumları iptal. Süresi dolmuş firmalar kırmızı, pasif olanlar gri görünür. "Bağlantıyı test et" düğmesi gerçekten müşterinin SQL sunucusuna bağlanır ve Kyc tablolarının var olup olmadığını söyler; kurduğu bağlantı sunucunun kuracağıyla aynı kurallardadır — burada çalışan bağlantı sahada da çalışır.
• Kullanıcılar: firma seçip kullanıcı ekleme, parola değiştirme, aktif/pasif, hatalı deneme kilidini kaldırma.
• Erişim kaydı: kim ne zaman ne yaptı. Kişisel veri içermez; yalnız form numarası ve sonuç.

5Bir müşterinin yolculuğu, adım adım

Şimdi her şeyi birleştirelim. "Mert Lojistik Ltd." adında bir şirket, kuyumcumuzla çalışmaya başlamak istiyor. Bu şirketin dosyası nasıl açılır, hangi belgeler istenir, belgeler nasıl gelir, kim bakar, dosya nasıl onaylanır ve sonra ne olur? Yolculuğu baştan sona izleyeceğiz; her durakta önce "neden bu durak var", sonra "ekranda ne görünür".

5.1 Cari hesaptan KYC dosyasına

Yolculuk ERP'de başlar. Mert Lojistik, kuyumcunun ERP'sinde zaten bir cari hesaptır (#118): faturalar ona kesilir, tahsilat ondan yapılır. AifaUyum bu hesabı ERP'den okur ve Hesaplar ızgarasında gösterir. İlk durumda hesabın yanında "KYC yok" yazar.

Operatör "KYC başlat" düğmesine basar. Düğme dosyayı sessizce açmaz; sağdan bir çekmece açılır ve ilk soruyu sorar: bu müşteri gerçek kişi mi, tüzel kişi mi?

5.2 Kişi tipi ve kurallar: eksikler nereden çıkıyor?

Kişi tipi seçildiği anda dosya "canlanır": yazılım, o kişi tipi için tanımlı belge kurallarına bakar ve eksik listesini hesaplar. Bu liste bir yere yazılmaz; her açılışta yeniden hesaplanır (3. kısımdaki Karar A).

Fabrika ayarlarıyla gelen belge türleri ve kurallar şunlardır (firma bunları değiştirebilir):

Tabloda iki kavram var ki ikisi de gerçek hayattan gelir:

• Seçenek grubu: "Kimlik kartı VEYA pasaport VEYA ehliyet". Üç ayrı kural olsaydı, kimlik kartı gösteren müşteri pasaport ve ehliyet için de "eksik" görünürdü. Grup, üçünü tek gereksinim yapar.
• Her kişi için: Tüzel kişide kimlik belgesi şirketten değil, şirketin arkasındaki her ilgili kişiden (ortak, yetkili) istenir. Mert Lojistik'in iki ortağı varsa iki kimlik gerekir. Gerçek kişide bu kural anlamsızdır; yazılım gerçek kişiye "her kişi için" kuralı kaydetmeyi reddeder.

5.3 Belgeler nasıl gelir? Üç yol

Eksik listesi hazır. Şimdi belgelerin dosyaya girmesi lazım. Üç yol var ve üçü de aynı dosyaya yazar:

1. Tablette, müşterinin karşısında (kiosk sihirbazı): Müşteri tabletin karşısına oturur, kimliğini yatağa koyar, adım adım ilerler. Sonuç: kimlik görüntüsü + Müşteri Tanı Formu. (5.4)
2. Operatörün masasında (Tarama ve Tanı formu sekmeleri): Operatör, elindeki kâğıt belgeyi kamerayla çekip kırpar, türünü seçer, hesabın dosyasına yükler; ya da müşteriyle birlikte tanı formunu doldurur. (5.5)
3. Müşteri kendi telefonundan (portal): Firma bir davet linki gönderir; müşteri eksik belgelerin fotoğrafını çekip yükler. (6. kısım)

5.4 Tablette kimlik tarama: kiosk sihirbazı

Sihirbaz, müşteriye dönük ekrandır; bu yüzden tasarımı personel konsolundan tamamen farklıdır: tek ekranda tek soru, büyük yazı, büyük düğmeler, üstte ilerleme çubuğu. Tek yüzlü belgede 10, iki yüzlü belgede 11 adım vardır.

1. Belge seçimi Müşteri belgeyi yatağa koyar; T.C. kimlik kartı, sürücü belgesi ya da pasaport seçer. Seçim, sonraki adımda hangi okuma motorunun çalışacağını belirler.
2. Ön yüz çekimi Kamera açılır, belge kadraja oturunca yazılım kenarları bulur ve otomatik çeker. Boş yatak çekilmez.
3. (Arka yüz çekimi) Yalnız iki yüzlü belgelerde.
4. Belge okunuyor Görüntü, tarayıcının içinde çalışan bir metin okuma motoruyla (OCR) okunur; kimlik kartı ve pasaportta MRZ satırları, ehliyette alanlar. Görüntü sunucuya gönderilmez.
5. Bilgilerin kontrolü Okunan alanlar ekrana gelir; her alanın yanında kaynağı yazar: belgeden okundu / elle girildi. Müşteri ya da görevli düzeltebilir; düzeltilen alan "elle girildi" olur.
6. İletişim bilgileri Telefon zorunludur (eksik girilirse ilerlenemez), e-posta isteğe bağlı.
7. Ek bilgiler Adres, meslek gibi alanlar.
8. Aydınlatma metni KVKK aydınlatma metni okunur ve onay kutusu işaretlenir. İşaretlenmeden ilerlenemez.
9. İmza Parmakla ekrana imza atılır. Boş imzayla ilerlenemez.
10. Son kontrol Bütün bilgiler tek tabloda gösterilir; "Onayla ve kaydet".
11. Tamamlandı Form numarası (MTF-2026-000001), karekod, PDF kaydet / yazdır.

5.5 Müşteri Tanı Formu (MTF)

Sihirbazın çıktısı bir belgedir: Müşteri Tanı Formu. Bu form, kimlik görüntüsünü, okunan alanları (kaynak etiketleriyle), iletişim bilgilerini, KVKK onayını (sürümüyle), imzayı ve cihaz bilgisini tek bir kayıtta toplar. Form numarası MTF-<yıl>-<6 haneli sıra> biçimindedir ve müşteriye karekodla verilir; kare kod okutulduğunda formun kopyası görülür.

5.6 Operatörün masası: Tarama ve Tanı formu sekmeleri

Her belge müşterinin karşısında tabletle alınmaz. Müşteri vergi levhasının fotokopisini bırakmış olabilir; ya da operatör müşteriyle telefondayken formu doldurmak isteyebilir. Bunun için personel konsolunda iki sekme vardır:

5.7 Belge kararı: birinin bakması gerekir

Belge yüklenince durumu Bekliyor olur. Yüklenmiş olmak "kabul edilmiş" demek değildir; bir insanın belgeyi görüp "bu okunuyor, doğru kişiye ait, geçerli" demesi gerekir. Onay kuyruğu tam olarak bu insanın listesidir.

5.8 Dosya kararı ve risk

Belgeler onaylandı; şimdi dosyanın bütünü hakkında karar zamanı. Bu karar yazılım tarafından hesaplanmaz; bir insan verir. Yazılımın yaptığı, kararın önündeki engelleri göstermek ve kararı geri dönülebilir ama izli biçimde kaydetmektir.

5.9 Süre takibi ve gözden geçirme: dosya yaşamaya devam eder

Onay son değildir. Belgelerin süresi dolar, riske göre dosyanın periyodik olarak yeniden açılması gerekir. Yazılım iki şey hesaplar: her belgenin son geçerlilik tarihi ve her dosyanın bir sonraki gözden geçirme tarihi.

6Müşteri portalı ve firmalar arası bağ

Buraya kadar belgeleri hep firma topladı: tablette, masada. Ama en pratik yol çoğu zaman müşterinin belgeyi kendisinin göndermesidir: "Vergi levhanızın fotoğrafını şuraya yükleyin." Portal bunun için var. Bu kısımda portalın neden bu kadar kısıtlı tasarlandığını, sonra bir firmanın başka bir firmadan belge istemesinin nasıl çalıştığını göreceğiz.

6.1 Portal nedir, kimin için?

Portal, müşterinin kendi telefonundan ya da bilgisayarından girdiği, yalnız kendi dosyasını gördüğü ekrandır. Personel konsolunun hiçbir parçası orada yoktur: liste yok, başka müşteri yok, karar yok. Müşteri üç şey görür: sizden istenenler (eksikler), süresi yaklaşanlar, dosyanızdaki belgeler.

6.2 İki tür erişim: davet ve hesap

Portala iki türlü girilir ve ikisinin yetkisi farklıdır. Bu ayrım, "kolaylık" ile "güvenlik" arasındaki dengenin kendisidir.

6.3 Portalda müşteri neyi görmez?

Müşteri kendi belgelerinin durumunu, red sebeplerini ve son geçerlilik tarihlerini görür. Ama şunları görmez: risk seviyesi, risk nedeni, firmanın iç notları, karar geçmişi, diğer müşteriler. Bunlar firmanın kendi değerlendirmesidir; müşteriye açıklanması hem gereksiz hem bazı durumlarda sakıncalıdır (şüpheli işlem değerlendirmesi müşteriye söylenmez).

6.4 Firmalar arası bağ: "Bizden istenenler"

Bu üründe her firma aynı zamanda bir müşteridir. Kuyumcu A, toptancı B'den altın alır; B'nin uyum sistemi A'dan kimlik ve belge ister. A da AifaUyum kullanıyorsa, B'nin A'dan istediği belgeler A'nın kendi ekranında "Bizden istenenler" sekmesinde görünür ve oradan gönderilir. Aynı belgeyi beş ayrı toptancıya beş kez WhatsApp'la göndermek yerine, tek yerden.

Bağ kurmanın iki yolu vardır:

1. Portal kullanıcı adı ve parolasıyla (anında): B, A'ya zaten portal hesabı vermişse A bu bilgileri girer; bağ hemen kurulur. Parola saklanmaz, yalnız doğrulanır.
2. Vergi numarası + bağlantı koduyla (onaylı): A, B'nin vergi numarasını ve bağlantı kodunu girer; B'nin ekranına bir istek düşer; B hesabı seçip onaylar. Kod tek başına erişim vermez — B'nin onayı şarttır.

7Veri nerede, nasıl korunuyor?

Bir uyum sistemi, doğası gereği en hassas veriyi toplar: kimlik belgeleri, yüz fotoğrafları, imzalar, adresler. Bu kısım "veri nerede yatıyor, kim erişebiliyor, ele geçerse ne olur" sorularını cevaplar. Teknik kutular burada biraz daha yoğun; müşteri personeli ana metni okuyup kutuları atlayabilir.

7.1 Tablolar, sade dille

Müşteri tarafındaki Kyc bölmesi dokuz tablodan oluşur. Her birini bir dosya dolabındaki karşılığıyla düşünün:

Merkezdeki AifaGlobalScan ise firmaların, personelin ve oturumların kaydıdır; içinde kimlik belgesi yoktur.

7.2 Parolalar neden düz metin değil?

Personel parolaları da müşteri portal parolaları da veritabanında okunamayan bir özet olarak saklanır. Parola "K7m-4Qx-9Rt" ise veritabanında bu yazmaz; ondan türetilmiş, geri çevrilemeyen uzun bir sayı yazar. Giriş yapılırken girilen parola aynı yöntemle özetlenir ve iki özet karşılaştırılır.

7.3 Belgeler nerede durur, değiştirilirse anlaşılır mı?

Belge içeriği müşterinin kendi ERP veritabanında, Dokumanlar tablosunun içinde durur; dosya sisteminde ya da bulutta değil. Bu, yedekleme ve erişim denetiminin ERP'ninkiyle aynı olması demektir: ERP yedekleniyorsa belgeler de yedekleniyor.

Her belge yüklenirken SHA-256 özeti hesaplanır ve künyede gösterilir. Belge sonradan tek bir bayt bile değişse özet tutmaz. "Bu belge yüklendiği günkü belge mi?" sorusunun cevabı budur.

7.4 İzler: kim, ne zaman, ne yaptı

Sistem üç ayrı iz defteri tutar ve üçünün amacı farklıdır:

7.5 KVKK: toplama, saklama, imha

MASAK "sakla" der, KVKK "gereksiz yere saklama" der. AifaUyum ikisini şöyle uzlaştırır:

• Toplarken aydınlat: sihirbazda aydınlatma metni ve onay zorunludur; onaylanan metnin sürümü forma yazılır. Firma kendi metnini Ayarlar'dan girer; fabrika metni "örnektir" diye açıkça işaretlidir.
• Amaçla sınırla: belge yalnız KYC dosyasında durur; portaldaki müşteri yalnız kendi belgesini görür; bağlı firma yalnız istediği belgeyi görür.
• Süresi dolunca imha et: Kurallar → "KVKK saklama ve imha" sekmesi, saklama süresi dolan kayıtların imhasını yönetir. İmha da bir karardır; iz bırakır.

8Yasal çerçeve, sınırlar ve ileri konular

Son teknik kısım. Burada yasanın ürüne nasıl şekil verdiğini, ürünün bugün yapamadıklarını ve önümüzdeki işleri göreceğiz. Bir eğitim belgesinin en değerli sayfası çoğu zaman "sistem bunu yapmaz" sayfasıdır: sahada yanlış beklenti, yanlış kullanımdan daha çok soruna yol açar.

8.1 Kısa mevzuat haritası

8.2 Eşikler neden yazılımda sabit değil?

"Kaç liranın üstünde kimlik tespiti zorunlu?" sorusunun tek bir cevabı yoktur. İki ayrı rejim vardır: yetkili müesseseler (döviz büroları) için Hazine'nin yıllık rehberindeki USD eşiği; MASAK'ın kimlik tespiti eşiği (kuyumcular için TL cinsinden anılan tutar). İkisi farklı düzenlemelerden gelir, farklı müşteri tiplerine uygulanır ve her yıl güncellenir. Yazılımın içine bir sayı gömülse, bir yıl sonra o sayı yanlış olur ve kimse fark etmez — 3. kısımdaki "sessiz hata"nın ta kendisi. Bu yüzden eşik, kural gibi, firma tarafından girilen ve tarihle birlikte saklanan bir ayar olmalıdır.

8.3 Sistemin bugün yapamadıkları

AifaUyum bugün bir dosya ve belge takip sistemidir. Aşağıdakiler ürünün kapsamı dışındadır ya da henüz yapılmamıştır; sahada vaat edilmemelidir:

8.4 Yol haritası (bugünkü bilgiyle)

1. İşlem anında uyum denetimi: yapılandırılabilir eşik (müşteri tipine ve yıla göre), işlem anında Kyc.vEksikler sorgusu, sonucun fiş kapanışına bağlanması. ERP tarafında bugün "EVRAK DURUMU · KYC" alanı yer tutucudur; entegrasyon bu adımda gelir.
2. Tebliğ 32 uyumu: kimlik tespiti kaydına IP + cihaz + konum; NFC pasaport okuma için yerel Android bileşeni; bildirim ve istatistik üretimi.
3. ŞİB modülü: kayıt, form, iz.
4. Belge deposu: içeriklerin veritabanından dosya deposuna taşınması, veritabanında özet + yol.
5. Saha doğrulaması: 2.17.0 dokunma eşikleri gerçek tablette ölçülecek (Kamera ayarları → Dokunmatik tanı).

9Sıkça sorulan sorular

Bu kısım, sahadan ve ekipten gelen soruları konuya göre toplar. Her cevap kısa tutuldu; ayrıntı için ilgili kısma bağlantı verildi. Cevapların çoğu bir ilkeye dayanır: yazılım yanlış bir sayı göstermektense hiç göstermez, sessizce karar vermektense insana sorar.

9.1 Genel ve kavramlar

KYC ile kimlik tespiti aynı şey mi?

Hayır. Kimlik tespiti "bu kişi kim" sorusunu belgeyle cevaplar; KYC buna işi, gelir kaynağını, riski ve bütün bunların saklandığı dosyayı ekler. Kimlik tespiti KYC'nin ilk adımıdır. → 2. kısım

Müşterimi yıllardır tanıyorum; yine de dosya açmak zorunda mıyım?

Evet. Kişisel tanışıklık belge değildir; denetimde gösterilemez. Dosya, "tanıyorum" cümlesinin belgeye dönüşmüş hâlidir. Tanıdığınız müşteride bu iş daha kolay ve daha hızlıdır, ama atlanamaz. → 1. kısım

Bir şirketten şirketin belgeleri yetmiyor mu, neden ortakların da kimliğini istiyoruz?

Şirket bir paravan olabilir; parayı fiilen yönlendiren kişi kâğıttaki isimden farklı olabilir. Yasa gerçek faydalanıcıyı ister. Tüzel kişide kimlik belgesi "her ilgili kişi için" kuralıyla istenir. → 2.4

Risk seviyesini kim belirliyor, yazılım mı?

İnsan. Yazılım hesaplamaz; seçilen seviyeyi ve nedenini kaydeder, gözden geçirme tarihini ona göre hesaplar ve karar geçmişine yazar. → 5.8

Bu yazılım şüpheli işlem bildirimi (ŞİB) yapıyor mu?

Hayır. ŞİB kaydı, formu ve gönderimi üründe yoktur; bu iş bugün tamamen uyum görevlisinin elindedir. Yol haritasında vardır. → 8.3

Sistem hangi tutarın üstünde kimlik tespiti gerektiğini söylüyor mu?

Hayır; eşik yazılıma gömülü değildir, çünkü müşteri tipine göre değişir ve her yıl güncellenir. Hangi eşiğin sizin için geçerli olduğunu uyum görevliniz söyler. İşlem anında denetim, sıradaki büyük iştir. → 8.2

9.2 Giriş, kurulum, lisans

Kiosk, Firma, Müşteri — hangisini seçmeliyim?

Kiosk: tablet müşterinin karşısında duracaksa; girişten sonra doğrudan belge çekimine geçilir. Firma: personel konsolu (listeler, kararlar, kurallar). Müşteri: yalnız müşterinin kendisi, kendi dosyası için. Müşteri hiçbir zaman Kiosk ya da Firma seçmez. → 4.3

Her gün parola girmek zorunda mıyım?

Hayır. Personel oturumu aynı cihazda 30 gün açık kalır. Cihaz değişirse ya da çıkış yapılırsa yeniden giriş gerekir.

Lisans süresi doldu; kiosk kilitlenir mi?

Hayır. Giriş yapılır, ekran çalışır; yalnız yeni kayıt reddedilir ve durum ekranda yazar. Müşteri karşıdayken uygulamanın kilitlenmemesi için bilerek böyledir. Lisans yönetim programından uzatılır; uzatma bugünden ya da mevcut bitişten, hangisi ileriyse ondan başlar. → 4.5

Yönetim programından eklediğim kullanıcı sunucuda "parola hatalı" diyor.

Yönetim programındaki parola özeti dosyası (Guvenlik.vb) sunucudakiyle birebir aynı olmak zorundadır; biri güncellenip diğeri unutulduysa tam bu hata görülür. verify_yonetim.py ile karşılaştırın. → 4.5

Güncelleme yaparken hangi dosyalar değişir?

Genellikle index.html ve iki servis dosyası (uyum.asmx, uyumclient.asmx); tablet için APK. web.config pakete konmaz. Veritabanı betikleri eklemelidir, var olan veriye dokunmaz; her sürümün notu hangi betiğin gerektiğini yazar. Sürüm rozeti giriş ekranında ve konsolda görünür; Ctrl+F5 sonrası yeni sürümü göstermelidir. → 3.2 Karar G

9.3 Hesaplar ve kurallar

Hesap "Tam" görünüyor ama belgesi eksik.

Önce kişi tipi seçilmiş mi bakın: seçilmemişse rozet "Kişi tipi yok" olmalıdır. Rozet gerçekten "Tam" ise ilgili kural pasif ya da opsiyonel olabilir; Kurallar sekmesinde durum ve zorunluluk süzgeçlerine bakın. Opsiyonel eksik hesabı eksikli yapmaz. → 5.1–5.2

"KYC yok" ile "Kişi tipi yok" arasındaki fark ne?

"KYC yok": dosya hiç açılmamış. "Kişi tipi yok": dosya açılmış ama gerçek/tüzel seçilmemiş, bu yüzden hiçbir kural uygulanamıyor. İkisinde de eksik sayısı sıfırdır ama ikisi de "tamam" demek değildir. → 5.1

Yazılım kişi tipini neden kendisi seçmiyor?

Sahada 457 hesabın 456'sında ayırt edici alanlar boştu; tahmin çoğu zaman tutmaz ve tutmayan tahmin müşteriye giden yanlış eksik listesi demektir. Yazılım öneri gösterir, seçimi insana bırakır ve seçimin kaynağını kaydeder. → 5.1

Vergi numarası ERP'de farklı, KYC'de farklı; hangisi doğru?

Yazılım karar vermez, "çakışma" rozeti gösterir. Değerin yanındaki harf kaynağını söyler: H = ERP hesap kartı, K = KYC dosyası. Belgeye bakıp doğru olanı seçin. ERP'deki değer KYC'ye sessizce kopyalanmaz. → 5.1

Yeni bir kural ekledim; eski müşterilerin hepsi eksikli oldu. Normal mi?

Evet ve doğrudur: eksikler saklanmaz, her açılışta o anki kurallara göre hesaplanır. Bu yüzden kural kaydedilmeden önce "kaç hesabı, kaç kişiyi etkileyecek" bilgisi gösterilir; kaydetmeden önce bakın. → 5.2

Kimlik kartı gösteren müşteri neden pasaport için de "eksik" görünmüyor?

Kimlik kartı / pasaport / ehliyet bir seçenek grubudur: üçünden biri yeterlidir, ızgarada tek satır olarak görünür. → 5.2

İkametgâh belgesi üç ayda bir mi yenilenmeli?

Fabrika ayarında ikametgâhın geçerliliği yükleme tarihinden 3 aydır; vergi levhası 12 ay; kimlik ve imza sirkülerinin tarihi belgenin üstünden alınır. Bunlar Kurallar → Belge türleri'nden firmanın ihtiyacına göre değiştirilebilir. → 5.2

9.4 Belgeler ve kararlar

Belgeyi listeden onaylayamıyorum.

Bilerek. Görüntüle'ye basın; karar düğmeleri yalnız görüntüleyicidedir, çünkü görülmemiş belgeyle karar verilmemelidir. → 5.7

Reddet düğmesi çalışmıyor.

Red sebebi boştur; sebep zorunludur. Sebep, müşterinin portalında reddedilen belgenin altında aynen görünür ve müşteri neyi düzelteceğini oradan anlar. → 5.7

Müşteri yanlış belge yükledi; silebilir miyim?

Silinmez, reddedilir. Müşteri yeniden gönderince yeni dosya 2. sürüm (S2) olarak eklenir; eski sürüm dosyada kalır. "İlk belge neden reddedildi" bilgisi böylece kaybolmaz. → 3.2 Karar C

Onayladığım dosya kendiliğinden "Askıda" oldu.

Karar geçmişine bakın: Kaynak "Sistem" yazıyorsa müşteri yeni belge yüklemiş ya da onaylı dosyada bir belge reddedilmiştir. Yazılım onayı askıya alır ve bunu kaynağıyla yazar. Yeniden bakıp onaylayın. → 5.8

Zorunlu belge eksikken dosyayı onaylayabilir miyim?

Evet, ama gerekçe zorunludur ve karar geçmişine o anki eksik sayısıyla birlikte yazılır ("2 zorunlu eksikle onaylandı"). Karar bekleyen belge varken onaylamak ise tavsiye edilmez: görülmemiş belgeyle dosya kararı, belgeyi hiç okumamış olmakla aynıdır. → 5.8

"Bayat onay" ne demek?

Verildiği gün doğru olan ama sonradan (süresi dolan belge, reddedilen belge, değişen kural) dosyayı karşılamayan onay. Saklanmaz, her açılışta hesaplanır; Hesaplar ızgarasındaki "Bayat onaylar" süzgeciyle görülür. → 3.2 Karar E

Süre takibinde "Bildirim yapıldı" dedim; müşteriye mesaj gitti mi?

Hayır. Damga yalnız tarihi kaydeder; mesajı siz kendi kanalınızdan gönderirsiniz. Ekran bunu açıkça yazar. Otomatik SMS/e-posta üründe yoktur. → 5.9

9.5 Tablet ve sihirbaz

Tablette dokunuş algılanmıyor / "123" tuşu çalışmıyor.

2.17.1'e güncelleyin; giriş ekranındaki sürüm rozetini kontrol edin. Devam ederse Kamera ayarları → Dokunmatik tanı ekranında 20-30 kez dokunup "Ölçümü kopyala" çıktısını iletin; ölçüm kişisel veri içermez. → 5.4

Sihirbazda imza ekranı boş açılıyor.

2.16.1'de düzeltildi; sürümü kontrol edin.

Belge okunmadı, "elle kontrol edilmeli" diyor. Ne yapmalıyım?

"Tekrar çek ve oku" ile yeniden deneyin (ışık, yansıma, kadraj). Yine olmazsa alanları elle doldurun; o alanlar "elle girildi" etiketiyle kaydedilir. Bu bir hata değil, kaynağın dürüstçe yazılmasıdır. → 5.4

Müşteri KVKK metnini onaylamak istemiyor.

Onay olmadan sihirbaz ilerlemez ve kayıt oluşmaz; çünkü onaysız toplanan kişisel veri hukuka aykırı toplanmış sayılır. Aydınlatma metnini firma kendi metniyle değiştirebilir (Ayarlar); fabrika metni örnektir. → 5.4

Tablette internet yokken kayıt ne olur?

Form üretilir, kayıt kuyruğa alınır ve bağlantı gelince gönderilir. Bitiş ekranı bunu açıkça söyler ve form numarasının geçici olduğunu belirtir. → 5.5

Kimlik görüntüsü AifaSoft'a gidiyor mu?

Hayır. Okuma tabletin içinde yapılır; görüntü yalnız kayıt anında, müşterinin kendi veritabanına yazılmak üzere sunucudan geçer ve AifaSoft sunucusunda saklanmaz. → 7.3

9.6 Portal ve firma bağı

Müşterim linke tıklıyor, giremiyor.

Sırasıyla: (1) firma için portal açık mı — varsayılan kapalıdır; (2) o hesap için portal erişimi açık mı; (3) davet 7 günü geçmiş mi ya da yeni davet üretilip eskisi ölmüş mü; (4) kalıcı hesapsa parola üretilmiş mi, hesap kilitli mi. → 6.2

Davet linkiyle giren müşteri belge indiremiyor; arıza mı?

Hayır, tasarım. Link parolasızdır ve mesajla gider; ele geçse bile kimse belge indirememelidir. İndirme yalnız parolalı kalıcı hesapta açıktır. → 6.2

Parolayı unutan müşteriye eskisini verebilir miyim?

Hayır; parola geri okunamayan özet olarak saklanır, kimse göremez. Hesap çekmecesi → Portal'dan yenileyin; yeni parola yalnız o an görünür. Yenileme müşterinin açık oturumlarını da kapatır. → 7.2

Müşteri portalda risk seviyesini görüyor mu?

Hayır. Risk seviyesi, risk nedeni, iç notlar ve karar geçmişi portalda gösterilmez; bunlar firmanın iç değerlendirmesidir. Bağlı firmalar da görmez. → 6.3

Bize belge göndermesi gereken firma da AifaUyum kullanıyor; her belgeyi WhatsApp'la mı isteyeceğiz?

Hayır. Karşı firma "Bizden istenenler" sekmesinden bağ kurar (portal kullanıcı/parolasıyla anında, ya da vergi numaranız + bağlantı kodunuzla sizin onayınızla) ve istenen belgeleri kendi ekranından gönderir. → 6.4

Bağlantı kodumuzu birine verdim; artık dosyamıza erişebilir mi?

Hayır. Kod tek başına erişim vermez; yalnız istek göndermeyi sağlar. Erişim, siz isteği görüp hesabı seçerek onaylayınca açılır. → 6.4

9.7 Veri ve güvenlik

Belgeler nerede saklanıyor?

Müşterinin kendi ERP veritabanında, Kyc bölmesinde; AifaSoft merkezinde kimlik belgesi yoktur. ERP yedekleniyorsa belgeler de yedeklenir. → 4.2, 7.3

Bir belgenin sonradan değiştirilmediğini nasıl bilirim?

Her belgenin SHA-256 özeti künyede yazar; tek bayt değişse özet tutmaz. → 7.3

Bir belgeyi kimin açtığını görebilir miyim?

Evet; belgeyi görüntülemek merkezî erişim kaydına yazılır (kişisel veri içermez, yalnız form numarası ve sonuç). Yönetim programının Erişim kaydı sekmesinden bakılır. → 7.4

KVKK gereği eski kayıtları silmem gerekiyor; sistem kendisi siliyor mu?

Hayır, otomatik imha yoktur: silme bir karardır, düğmeye basılır, sebep yazılır ve iz kalır. Kurallar → "KVKK saklama ve imha" sekmesi saklama süresini ve imha adaylarını gösterir. → 7.5

AifaUyum'u kaldırırsak ERP'de bir şey bozulur mu?

Hayır. Modül ERP'nin hiçbir tablosuna yazmaz; tek bağ cari hesap numarasıdır. Kaldırılınca ERP'de tek bir sayı değişmez. → 3.2 Karar B

9.8 Mevzuat

Belgeleri kaç yıl saklamalıyım?

Mevzuatta rejime göre 5 ila 8 yıla varan süreler anılır; sizin için geçerli süreyi uyum görevliniz ya da mali müşaviriniz söyler. Yazılımda saklama süresi ayarlanabilir; sabit değildir. → 8.1

Yabancı uyruklu müşterinin pasaportunu okutunca kimlik tespiti tamam mı?

Optik okuma (kamera + OCR) yapılır ve MRZ doğrulanır. 32 Sıra No'lu Tebliğ'in yabancılar için işaret ettiği NFC çip okuması bugün üründe yoktur; uzaktan kimlik tespiti gereksinimi için uyum görevlinizle konuşun. → 8.3

Tebliğ 32'nin istediği IP ve konum bilgisi kaydediliyor mu?

Kimlik tespiti kaydında bugün yalnız cihaz bilgisi var; IP ve konum yok. Portal izlerinde IP vardır. Yol haritasındadır. → 8.3

10Sözlük ve kapanış

10.1 Sözlük

Aydınlatma metni

KVKK gereği, kişisel veri toplanmadan önce kişiye okutulan "neden topluyoruz, ne kadar saklayacağız, haklarınız neler" metni. Sihirbazda zorunlu adım; onaylanan metnin sürümü forma yazılır.

Bağlantı kodu

Bir firmanın, başka bir firmanın kendisinden belge istemesine izin vermek için verdiği kod. Vergi numarasıyla birlikte kullanılır; tek başına erişim vermez.

Bayat onay

Verildiği anda doğru olan ama sonradan (süresi dolan belge, reddedilen belge, değişen kural) dosyayı karşılamayan onay. Saklanmaz, görünümde hesaplanır.

Belge kararı

Tek bir belge hakkında onay ya da ret (sebeple). Yalnız görüntüleyicide verilir.

Belge kuralı

"Hangi kişi tipinden hangi belge istenir" tanımı. Kapsam (hesap düzeyi / her kişi için), seçenek grubu, zorunluluk taşır.

Cari hesap

ERP'deki müşteri kartı. KYC dosyası bu kartın üstüne oturur; ERP'ye yazmaz.

Davet bağlantısı

Müşteriye gönderilen 7 günlük, parolasız, yalnız yükleme yetkili portal linki.

Erişim kaydı

Merkezde tutulan personel işlem defteri; kişisel veri içermez.

Gerçek faydalanıcı

Bir şirketi fiilen kontrol eden, gelirinden fiilen yararlanan insan. Üründe "ilgili kişi".

Gerçek kişi / tüzel kişi

İnsan / kâğıt üstünde kurulmuş varlık (şirket). Kişi tipi, hangi kuralların uygulanacağını belirler.

Gözden geçirme

Onaylı dosyanın riske göre belirli aralıklarla yeniden incelenmesi. Aralık ay cinsinden ayarlanır.

Görünüm (view)

Veritabanında saklanan değil, her sorulduğunda hesaplanan tablo. "Kaç eksik", "süresi doldu mu" gibi bilgiler görünümden gelir.

İlgili kişi

Tüzel kişinin arkasındaki ortak, yetkili, temsilci. Her biri için ayrı kimlik istenir.

Kara para aklama

Suçtan gelen parayı, kaynağı sorulmayan paraya çevirme. Üç adım: yerleştirme, ayrıştırma, bütünleştirme.

Karar izi

Dosya kararlarının zinciri: eski/yeni durum ve risk, gerekçe, kaynak (Elle/Sistem), kim, ne zaman, o anki eksik sayısı.

Kimlik tespiti

Belgeyle "bu kişi kim" sorusunu cevaplamak ve bunu kaydetmek.

Kiosk

Müşterinin karşısına konan tablet kipi: tek ekranda tek soru, sihirbaz.

KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu.

KYC

Know Your Customer — müşterini tanı. Kimlik tespiti + iş/gelir/risk bilgisi + dosya.

KYC kararı (dosya kararı)

Dosyanın bütünü hakkında insan kararı: Başlamadı / İnceleniyor / Onaylandı / Askıda / Reddedildi.

MASAK

Mali Suçları Araştırma Kurulu. Kara para aklamayla mücadele kurallarını yayımlar ve denetler.

MRZ

Kimlik kartı ve pasaportun altındaki makinece okunabilir satırlar. Kontrol haneleri sayesinde okunan değer doğrulanabilir.

MTF (Müşteri Tanı Formu)

Sihirbazın ya da operatörün ürettiği, kimlik görüntüsü + okunan alanlar + KVKK onayı + imza içeren form. Numarası MTF-yıl-sıra. Aynı zamanda bir belge türüdür.

OCR

Görüntüden metin okuma. AifaUyum'da tarayıcı içinde çalışır; görüntü sunucuya gitmez.

Onay kuyruğu

Bir insanın bakmasını bekleyen belgelerin listesi; en eski önce.

PEP

Politically Exposed Person — siyasi nüfuz sahibi kişi. Özel risk sınıfı.

Portal

Müşterinin kendi dosyasını gördüğü ve belge yüklediği ekran. Firma bazında varsayılan kapalı.

Risk seviyesi

Düşük / Orta / Yüksek. Gözden geçirme sıklığını belirler. Müşteriye ve bağlı firmaya gösterilmez.

Seçenek grubu

"Şu VEYA bu belge" kuralı: kimlik kartı / pasaport / ehliyet üçünden biri yeterli.

Sessiz hata

Oluştuğu anda kimsenin fark etmediği, denetim günü ortaya çıkan hata. Ürünün tasarım kararlarının çoğu bunu önlemek içindir.

SHA-256

Bir dosyanın parmak izi. Dosya değişirse özet tutmaz.

Sürüm (belge)

Aynı belgenin yeniden gönderimi. Eski sürüm silinmez; S1, S2… olarak kalır.

Süre takibi

Son geçerlilik tarihine göre "dolmuş" ve "uyarıda" belgelerin listesi.

ŞİB

Şüpheli işlem bildirimi. Üründe bugün yok.

Tebliğ 32

27 Haziran 2026'da yürürlüğe giren MASAK Genel Tebliği; uzaktan kimlik tespiti, NFC pasaport, IP/cihaz/konum saklama, bildirim ve istatistik yükümlülükleri.

Türetilmiş bilgi

Başka bilgilerden hesaplanan bilgi ("tam mı", "kaç eksik"). AifaUyum'da saklanmaz, hesaplanır.

Uyum (compliance)

Kurallara uyduğunu gösterebilmek. Kanıt üretme disiplini.

Yükümlü

Yasa gereği müşterisini tanımak ve kayıt tutmakla görevli işletme.

10.2 Bir sayfada bütün sistem

Bu belgeyi tek paragrafa sığdırmak gerekirse: Devlet, kara paranın izini sürebilmek için belli işletmelere "müşterini tanı, belgele, sakla" der; buna uymamanın bedeli ağırdır. Kâğıtla yapılan tanıma, büyüdükçe sessizce bozulur: etiketler yalan söyler, kurallar değişir, izler kaybolur. AifaUyum bu bozulmayı şu kararlarla imkânsız kılar: türetilmiş hiçbir bilgiyi saklamaz, her seferinde hesaplar; ERP'ye tek iple bağlanır ve ona yazmaz; belgeleri sürümler, hiçbir şeyi silmez; her kararı gerekçesi, kaynağı ve zamanıyla zincire yazar; müşteriye dar, personele geniş kapı açar; belgeleri müşterinin kendi veritabanında tutar, kimlik görüntüsünü sunucuya göndermez. Sistemin bugün yapmadıkları da yazılıdır: işlem anında durdurma, NFC, IP/konum, bildirim, ŞİB. Bunlar sıradaki işlerdir.

10.3 Bu belgenin kaynakları

AifaUyum 2.17.1 kaynak kodu ve kod içi tasarım yorumları (özellikle Kyc.Sema.sql, Kyc.Firma.Karar.sql, 1200-sihirbaz.js, 2210-kyc-sekme.js); OKUBENI-KURULUM.txt ve sürüm notları 1.1.0–2.17.1; yönetim programı OKUBENI.txt; proje notları "AifaUyum KYC/Uyum Modülü", "KYC Veri Modeli", "MASAK Mevzuat Notları" (10 Eylül 2026). Ekran görüntüleri 28 Eylül 2026'da laboratuvarda, 2.17.1 sürümüyle, örnek veriyle alınmıştır; kimlik görüntüleri bulanıklaştırılmış, kişi bilgileri örnek değerlerle değiştirilmiştir. Mevzuat bilgisi ikincil kaynaklardan derlenmiştir ve hukuki görüş değildir.

AIFASOFT · AifaUyum 2.17.1 · Eğitim belgesi · 28 Eylül 2026