1. Amaç ve Kapsam

Bu politika, NFTiFay’in kara para aklama (ML), terörizmin finansmanı (TF) ve diğer finansal suçların önlenmesine yönelik çerçevesini ortaya koymaktadır. Bu politika, söz konusu risklerin nasıl değerlendirildiğini, azaltıldığını ve izlendiğini tanımlar. NFTiFay’in tüm çalışanları, taşeronları, iş ortakları ve kullanıcıları için geçerlidir.

2. Tanımlar

• Kara Para Aklama (ML): Suç gelirlerinin kaynağını gizleyerek meşru görünmesini sağlamak amacıyla gerçekleştirilen işlemler.

• Terörizmin Finansmanı (TF): Kaynağın meşruluğuna bakılmaksızın, terörist amaçlar için fon sağlanması, toplanması veya kullanılması.

• Nihai Faydalanıcı (Beneficial Owner): Bir müşteriyi nihai olarak (doğrudan veya dolaylı) kontrol eden veya onun adına işlem yapan gerçek kişi(ler).

• Politik Olarak Nüfuzlu Kişi (PEP): Önemli kamu görevleri üstlenmiş veya üstlenmiş olan birey.

• Müşteri Durum Tespiti (CDD): Kimlik doğrulama, risk değerlendirme ve işlem takibi önlemleri.

• Geliştirilmiş Durum Tespiti (EDD): Yüksek riskli müşteriler, işlemler veya bölgeler için ek kontroller.

• Risk Bazlı Yaklaşım (RBA): ML/TF risk seviyesine orantılı kaynak ve kontrol tahsisi.

3. Yasal ve Düzenleyici Dayanak

• NFTiFay’in faaliyet gösterdiği ülkelerdeki AML / CFT mevzuatına uyum.

• Uluslararası standartlara (ör. FATF tavsiyeleri) ve yaptırım listelerine (BM, AB, OFAC vb.) uyum.

• Kolluk kuvvetleri ve düzenleyici kurumlarla iş birliği.

4. Yönetişim ve Sorumluluklar

• MLRO / Uyum Görevlisi: AML / CFT uyumunu denetleyen, şüpheli faaliyet raporlarını yöneten, eğitimleri sağlayan ve politikayı güncel tutan kıdemli kişi veya ekip.

• Üst Yönetim: Risk iştahını onaylayan, kaynakları tahsis eden ve politikayı onaylayan taraf.

• Çalışanlar / Kullanıcılar: Politikaya uymak ve şüpheli davranışları bildirmekle yükümlüdür.

5. Risk Değerlendirmesi

• ML/TF maruziyetini değerlendirmek için ilk risk analizi yapılır. Faktörler:

  • Kullanıcı türleri (yaratıcılar, koleksiyoncular, kurumlar).

  • Coğrafi riskler (kullanıcıların bulunduğu yer / IP adresleri).

  • İşlem türleri (yüksek tutarlı tek seferlik, sık küçük işlemler, ikincil pazar, açık artırma).

  • Ödeme yöntemleri (kripto, itibari para giriş/çıkış).

  • Yargı riski (yaptırım uygulanan ülkeler, yüksek riskli bölgeler).

• Risk değerlendirmesi periyodik olarak gözden geçirilir.

6. Müşteri Tanıma ve Durum Tespiti (KYC)

• Tüm müşteriler, kayıt sırasında veya belirli işlem eşiklerinden önce kimlik doğrulaması (devlet tarafından verilmiş kimlik, adres kanıtı) yapmak zorundadır.

• Düşük riskli / küçük hacimli müşteriler için minimum doğrulama yeterli olabilir.

• Yüksek riskli kullanıcılar veya işlemler için (örn. yüksek değerli, yüksek riskli ülkelerden gelenler, PEP’ler) EDD gereklidir: fon kaynağının doğrulanması, ek belgeler vb.

• Kurumsal müşteriler için nihai faydalanıcıların kimliklerinin belirlenmesi.

7. İşlem İzleme ve Şüpheli Faaliyet Bildirimi

• Olağandışı / şüpheli faaliyetler için işlemler izlenir:

  • Kullanıcının normal davranışının çok üzerinde tutarlar.

  • Bölme (structuring): Tespitten kaçmak için birçok küçük işlem.

  • Kullanıcı konumu, IP, ödeme yöntemi veya kimlik belgelerindeki uyumsuzluklar.

  • Yetersiz kimlik doğrulama ile büyük tutarlı para çekim girişimleri.

  • Bilinen yasa dışı faaliyetlerle ilişkili cüzdan / adres kullanımı.

• Şüpheli işlemler MLRO’ya iletilir.

• Yasal zorunluluk halinde Mali İstihbarat Birimi (FIU) gibi ilgili makamlara bildirilir.

8. Yaptırım Taraması

• Kullanıcılar, onboarding sırasında ve periyodik olarak BM, AB, OFAC ve ulusal yaptırım listelerine göre taranır.

• Listelerde yer alan kişi/kurumlarla ilgili hesaplar veya işlemler engellenir veya dondurulur.

9. Kayıt Tutma ve Belgeler

• Müşteri kimlik belgeleri, işlem kayıtları, durum tespiti, risk değerlendirmeleri, izleme ve raporlar saklanır.

• Kayıtlar, yasal gerekliliklere uygun olarak genellikle 5–10 yıl süreyle muhafaza edilir.

10. Eğitim ve Farkındalık

• Tüm çalışanlar (teknik, müşteri destek, uyum vb.) düzenli AML / CFT eğitimi alır.

• Eğitim konuları: ML/TF farkındalığı, uyarı işaretleri, yaptırımlar, iç raporlama prosedürleri.

11. İç Kontroller, Denetim ve Gözden Geçirme

• Görev ayrılığı, onay süreçleri, erişim kontrolleri gibi iç kontroller uygulanır.

• Politikanın uyumu periyodik iç denetimlerle gözden geçirilir.

• Mevzuat veya risk değişikliklerinde politika güncellenir.

12. Risk Azaltma Önlemleri

• EDD’yi tetikleyen işlem tutarı eşikleri belirlenir.

• Yüksek riskli bölgelerden gelen işlemler kısıtlanır veya engellenir.

• Büyük / olağandışı işlemler için ek doğrulama (fon kaynağı vb.) zorunlu tutulur.

• Anonim işlemler sınırlandırılır veya yasaklanır.

13. Olay Yönetimi ve Eskalasyon

• Şüpheli faaliyet tespit edildiğinde açık bir iç prosedür devreye girer.

• Kanıtlar belgelenir ve korunur.

• Düzenleyici kurumlar ve kolluk kuvvetleriyle iş birliği yapılır.

14. Yaptırımlar, Cezalar ve İyileştirme

• Çalışanların uyumsuzluğu disiplin cezasına tabidir.

• Uyumsuzluk tespitinde iyileştirme planı uygulanır.

• Yasal zorunluluk halinde ihlaller yetkili makamlara raporlanır.

15. Risk Toleransı ve İştahı

• Platformun kabul edebileceği risk seviyeleri (örn. coğrafya, işlem hacmi, kullanıcı türleri) tanımlanır.

• Risk eşiğini aşan müşteri veya işlemleri reddetme veya askıya alma kriterleri şeffaf biçimde belirlenir.

NFTiFay AML / CFT & Risk Politikası

(Kosova Cumhuriyeti’ndeki Faaliyetler için Geçerlidir)

1. Amaç ve Kapsam

Bu politika, NFTiFay’in Kosova Cumhuriyeti yasalarına uygun olarak kara para aklama (ML), terörizmin finansmanı (TF) ve ilgili mali suçları önleme ve tespit etme çerçevesini belirler. Tüm çalışanlar, taşeronlar, iş ortakları ve kullanıcılar için geçerlidir.

2. Hukuki ve Düzenleyici Dayanak

NFTiFay şu düzenlemelere uyar:

• Kosova Kara Para Aklamanın Önlenmesi ve Terörizmin Finansmanı ile Mücadele Hakkında 05/L-096 Sayılı Kanun.

• Kosova Mali İstihbarat Birimi (FIU-K) düzenlemeleri.

• Avrupa Birliği AML Direktifleri (AMLD V/VI) ve FATF tavsiyeleri.

• BM, AB, OFAC ve Kosova hükümeti yaptırım listeleri.

3. Yönetişim ve Sorumluluklar

• MLRO: NFTiFay tarafından atanan, uyumu denetleyen, şüpheli faaliyet raporlarını (SAR) yöneten ve FIU-K ile iletişimi sağlayan kişi.

• Üst Yönetim: Risk iştahını onaylayan, kaynak tahsis eden ve organizasyonel bağlılığı sağlayan taraf.

• Çalışanlar: CDD uygulamak, şüpheli davranışları bildirmek ve iç prosedürlere uymakla yükümlüdür.

4. Risk Bazlı Yaklaşım (RBA)

NFTiFay, ML/TF risklerini belirleyerek, değerlendirerek ve azaltarak risk bazlı yaklaşım uygular. Faktörler:

• Müşteri Riski: Koleksiyoncular, kurumsal alıcılar, NFT yaratıcıları, PEP’ler.

• Coğrafi Risk: Yüksek riskli veya yaptırım uygulanan bölgelerle ilgili işlemler.

• Ürün/Hizmet Riski: NFT satışları, açık artırmalar, ikincil pazar satışları.

• İşlem Riski: Yüksek tutarlı alımlar, sık mikro işlemler, hızlı nakde dönüş.

5. Müşteri Durum Tespiti (CDD) & KYC

• Zorunlu Kimlik: Tüm müşteriler geçerli kimlik belgeleri (Kosova kimliği/pasaportu veya eşdeğer yabancı kimlik) sunmalıdır.

• Doğrulama: Biyometrik veya belge doğrulama araçları kullanılabilir.

• EDD: PEP’ler, yüksek değerli yatırımcılar veya yüksek riskli ülkelerden gelen müşteriler için gereklidir. Fon kaynağı doğrulanabilir.

• Sürekli İzleme: Müşteri profilleri ve işlemler, beklenen davranışa uygunluk açısından sürekli izlenir.

6. İşlem İzleme ve Raporlama

• Tüm işlemler gerçek zamanlı otomatik araçlar ve manuel incelemelerle takip edilir.

• Kırmızı bayraklar:

  • Müşteri profiline uymayan işlemler.

  • Aniden büyük alım/satımlar.

  • KYC eşiklerini aşmak için bölme (structuring).

  • Önceden yasa dışı faaliyetle ilişkilendirilmiş cüzdan bağlantıları.

• Şüpheli Faaliyet Raporları (SAR), ML/TF şüphesi halinde FIU-K’ya derhal iletilir.

7. Yaptırımlar ve Tarama

• NFTiFay, tüm müşterileri Kosova hükümeti yaptırım listeleri ile BM, AB ve OFAC listelerine göre tarar.

• Yaptırım kapsamındaki kişi/kurumlarla ilgili hesaplar bloke edilir, dondurulur ve FIU-K’ya bildirilir.

8. Kayıt Tutma

• Kimlik, işlem ve durum tespiti belgeleri en az 5 yıl süreyle saklanır.

• Kayıtlar FIU-K ve diğer yetkili otoritelerin talebi üzerine erişilebilir durumda olmalıdır.

9. Eğitim ve Farkındalık

• Tüm çalışanlar yıllık AML / CFT eğitimi alır. Eğitim konuları:

  • Şüpheli faaliyetlerin tanınması.

  • Kosova’ya özgü raporlama yükümlülükleri.

  • Yüksek riskli müşteriler ve PEP’lerle ilgili işlemler.

10. İç Kontroller ve Denetim

• Görev ayrılığı, onay süreçleri ve sahtecilik önleme gibi prosedürler uygulanır.

• Bağımsız denetimler veya uyum incelemeleri yılda en az bir kez yapılır.

11. Risk Azaltma Önlemleri

• İşlem Eşikleri: FIU-K yönergelerine uygun olarak belirlenmiş itibari para/kripto tutarları üzerinde ek KYC kontrolleri.

• Coğrafi Kontroller: Yaptırım uygulanan veya FATF tarafından yüksek riskli ilan edilen bölgelerde hizmet kısıtlamaları.

• Fiat/Kripto Giriş-Çıkış Kontrolleri: Nakit çıkışları ve itibari para çekimlerinde artırılmış izleme.

12. Yetkililerle İş Birliği

NFTiFay, FIU-K, kolluk kuvvetleri ve düzenleyicilerle tam iş birliği taahhüt eder:

• Talep edilen verileri zamanında sağlamak.

• SAR ve soruşturmaların gizliliğini korumak.

• Yasal zorunluluk halinde mali suç soruşturmalarını desteklemek.

13. Disiplin Önlemleri

• Çalışanların uyumsuzluğu disiplin cezası ile sonuçlanır, iş akdinin feshi dahil.

• Gerekli durumlarda ihlaller düzenleyici kurumlara raporlanır.