TR Karekod ile Ödeme: Nedir, IBAN QR ve SEPA QR'dan Farkı

TR Karekod, Türkiye'de karekodla yapılan ödemeler için TCMB'nin belirlediği ortak standarttır. 21 Ağustos 2020 tarihli Resmî Gazete'de yayımlanan Ödeme Hizmetlerinde TR Karekodun Üretilmesi ve Kullanılması Hakkında Yönetmelik, 6493 sayılı Kanun kapsamındaki bir ödeme hizmetinde karekod kullanılıyorsa bunun TR Karekod olmasını şart koşuyor. Kasadaki ekrandan okuttuğunuz kod, bir arkadaşınızın uygulamasında gösterdiği "bana bununla gönder" kodu ya da fatura üzerindeki karekod aynı kural setine göre üretiliyor.

Bu standart, sitemizdeki IBAN QR kod aracının ürettiği koddan da, Avrupa'da euro ödemeleri için kullanılan EPC (SEPA) karekodundan da farklıdır. Aşağıda farkları, kullanım modellerini ve okuturken dikkat edilecek noktaları anlatıyoruz.

Standardı kim koydu, kim işletiyor?

Kuralları TCMB belirliyor. Yönetmeliğe ekli "TR Karekod İlke ve Kuralları" dokümanı, kodun içindeki veri alanlarını ve düzenini tanımlıyor. Bankalararası Kart Merkezi (BKM) iki görev üstleniyor: TR Karekod üretmek isteyen ödeme hizmeti sağlayıcılarına "Karekod Üretici Kodu" veriyor ve bu kodları internet sitesinde listeliyor; ayrıca karekod bilgisinin kurumlar arasında taşınmasını sağlayan Karekod Yönlendirme Sistemi'ni (KYS) kurup işletiyor.

Kodun kendisi para taşımaz. Ödemenin gerçekleştiği yol, koda göre değişir: kartla ödeme BKM altyapısından, hesaptan hesaba ödeme ise TCMB'nin işlettiği FAST sisteminden geçebilir. TR Karekod teknik dokümanı, kod içinde FAST ve BKM için ayrılmış alanlar tanımlıyor. Uzun karekod biçimi, uluslararası kart kuruluşlarının oluşturduğu EMVCo karekod standardıyla uyumlu tasarlanmış.

Dört kullanım modeli

İşyerinin sunduğu karekod

En tanıdık senaryo. Kasada ekranda ya da bir standın üzerinde duran kodu kendi uygulamanızla okutursunuz, uygulamanız ödeme bilgilerini gösterir, siz kontrol edip onaylarsınız. Teknik dokümandaki örnek iş akışında müşterinin ödeme ve işyeri bilgilerini uygulamasında kontrol ettikten sonra asıl ödemeyi başlattığı açıkça yer alıyor. Yani onay ekranı bir formalite değil, akışın parçası.

Müşterinin sunduğu karekod

Yön tersine döner: uygulamanızda ödeme için kullanacağınız hesabı ya da kartı seçip bir kod üretirsiniz, işyeri bunu kendi okuyucusuyla okutur. Bankanız size tutarı ve alıcıyı içeren bir onay mesajı gönderir, ödeme sizin onayınızla tamamlanır.

Kişiden kişiye karekod

Para almak isteyen kişi, uygulamasında hesabına ya da kartına ait bilgileri içeren bir kod oluşturur, gönderen bunu okutur. Kodun içinde gönderene ait bilgi bulunmaz; veri alıcının cihazından gönderenin cihazına akar. Teknik dokümandaki veri alanları arasında IBAN, kart numarası ve kolay adres alanları var; bir kodda bunlardan yalnızca biri dolu olabilir. Telefon numarası gibi bir kolay adresle çalışan sistemin mantığını Kolay Adres (KOLAS) rehberinde anlattık.

Kısa karekod

Bazı durumlarda kodun içine bütün ödeme verisini yazmak mümkün değildir ya da işyerine ait bilgilerin kodda açıkça görünmesi istenmez. Kısa karekod yalnızca işleme özel bir referans taşır; asıl bilgiler KYS üzerinden karşı kurumdan çekilir ve uygulamanızda görüntülenir.

Statik ve dinamik kod farkı

Yönetmelik iki türü tanımlıyor. Statik karekod içeriği sabit olan ve birden fazla ödemede kullanılabilen koddur; bir tezgâha yapıştırılan çıkartma buna örnektir. Dinamik karekod ise tek bir ödeme işlemine özel üretilen, tek kullanımlık koddur; kasada tutarla birlikte ekranda beliren kod genellikle bu türdendir.

Güvenlik açısından fark önemli. Dinamik kod her işlem için yeniden üretildiğinden üzerine başka bir kod yapıştırmak anlamsızlaşır. Statik kod ise fiziksel olarak oradadır ve değiştirilebilir. Yönetmelik bu riski tanıyor: ödeme hizmeti sağlayıcıları statik karekodun fiziksel güvenliği ve okunabilirliği için gerekli özeni göstermekle, işyerleri de gerekli tedbirleri almakla yükümlü tutuluyor.

IBAN QR ve SEPA QR ile karşılaştırma

Sitemizdeki IBAN QR aracı, IBAN'ı (isterseniz ad ve açıklamayla) düz metin olarak koda yazar. Bu, numarayı elle yazma hatalarını önlemek için kullanışlıdır, ama bir TR Karekod değildir ve Türk bankalarının ödeme ekranında otomatik form doldurmasını beklememek gerekir. Euro hesabınız için Avrupa'daki bankaların tanıdığı bir kod istiyorsanız SEPA QR kod aracı EPC biçimini kullanır. İki biçimin ayrıntılarını IBAN QR kod nedir? rehberinde bulabilirsiniz.

Okuturken dikkat edilecekler

• Kodu bankanızın ya da ödeme kuruluşunuzun uygulamasıyla okutun. Telefonun genel kamerası bir bağlantı açıyorsa ve sizden kart ya da giriş bilgisi istiyorsa durun; TR Karekod ödemesi kendi uygulamanızın içinde onaylanır.
• Onay ekranındaki alıcı adını ve tutarı okuyun. Kasadaki işletmenin adı yerine tanımadığınız bir kişi ya da farklı bir unvan görüyorsanız ödemeyi onaylamayın ve kasiyere sorun.
• Statik kodların üstüne bakın. Çıkartmanın altında başka bir çıkartma, kabarmış kenar ya da bozuk baskı, kodun değiştirildiğine işaret olabilir.
• Kendi ürettiğiniz kodu paylaşmadan önce düşünün. Müşteri tarafından sunulan kod ödeme yapmak içindir; ekran görüntüsünü başkasına göndermek için bir sebep yoktur.
• Bildirimi bekleyin. Yönetmelik, TR Karekod işlemi gerçekleştikten sonra hem gönderene hem alıcıya telefon, kısa mesaj ya da uygulama gibi uygun yollarla en kısa sürede bilgi verilmesini zorunlu tutuyor. Satıcıysanız müşterinin ekranına değil, kendi bildiriminize bakın.

Satıcıysanız TR Karekod nasıl kabul edilir?

TR Karekod'u işletmenin kendisi üretmez; kodu, Karekod Üretici Kodu olan bankanız ya da ödeme kuruluşunuz üretir. Çalıştığınız bankaya karekodla ödeme kabulünü sorarak başlarsınız. Yönetmelik işyerine de iki görev veriyor: müşterileri karekodla ödeme yapılabileceği konusunda TCMB'nin belirleyeceği gösterim şekline uygun biçimde bilgilendirmek, statik kod kullanıyorsa kodun fiziksel güvenliği ve okunabilirliği için gerekli tedbirleri almak. Pratikte bu, tezgâhtaki kodu gün başında kontrol etmek ve ödemeyi müşterinin ekranından değil kendi bildiriminizden teyit etmek demektir.

Limitler ve istisnalar

Yönetmelik TCMB'ye TR Karekod ile yapılabilecek işlemlere üst sınır koyma yetkisi veriyor; bankalar ve ödeme kuruluşları da bu sınırı aşmamak kaydıyla kendi limitlerini belirleyebiliyor. Karekodla yüksek bir tutar ödeyemiyorsanız bunun nedeni kod değil, bu limitlerden biri olabilir; güncel limiti uygulamanızdan ya da bankanızdan öğrenin.

Bir de yurt dışı istisnası var. Yabancı ülke mevzuatına göre ihraç edilmiş ödeme araçlarıyla, taraflardan biri yurt dışında yerleşik olduğunda ve yurt dışındaki bir ödeme hizmeti sağlayıcısının altyapısı kullanıldığında TR Karekod zorunlu değil. Turistlerin kendi ülkelerinin cüzdan uygulamalarıyla yaptığı bazı karekodlu ödemeler bu kapsama girebilir.

Karekod, IBAN paylaşımındaki en yaygın sorunu, yani numaranın bir yerden bir yere taşınırken bozulmasını çözer. Alıcının kim olduğunu ise size yine onay ekranı söyler. Bir IBAN'ı karekod olmadan elle aldıysanız, göndermeden önce IBAN doğrulama aracıyla biçimini ve hangi bankaya ait göründüğünü kontrol edebilirsiniz; hesap sahibi bu kontrolle doğrulanmaz.