MADDE 21 – (1) Kuruluşların birincil ve ikincil sistemleri ile veri yedekleme merkezlerini yurt içinde bulundurmaları zorunludur. Bu maddenin uygulanmasında, Yönetmeliğin 19 uncu maddesinin on üçüncü fıkrası hükümleri saklıdır.

(2) Aynı kuruluşun müşterileri ya da farklı kuruluşların müşterileri arasındaki ödeme işlemlerinin yürütülmesinde kullanılan tüm bilgi sistemleri ve bunların yedeklerinin yurt içinde bulunması esastır. Bu kapsamda dış hizmet alınması halinde, dış hizmet sağlayıcının söz konusu hizmete ilişkin faaliyetleri yürütmede kullandığı bilgi sistemleri ve bunların yedekleri de yurt içinde tutulur.

(3) Ödeme işleminin taraflarından birinin, kuruluşun müşterisi olmadığı durumlarda, kuruluş işlemin kendi tarafında gerçekleşen kısımları için bu Tebliğ hükümlerine tabidir.

(4) (Ek:RG-7/10/2023-32332) Ödeme işleminin taraflarından birinin (kendisinin veya hizmet sağlayıcısının) yurt dışında bulunduğu durumlarda kuruluş; verilerin yurt içinde saklanmaya devam edilmesi kaydıyla, sadece ödeme işleminin sorunsuz şekilde gerçekleşebilmesinin gerektirdiği kadarıyla sınırlı olmak şartıyla ve ölçülülük ilkesine uygun olarak ihtiyaç duyulan veriyi, ödeme işlemine ilişkin müşteriden gelen talep ya da talimata bağlı olarak ve 6698 sayılı Kanunun 9 uncu maddesine ilişkin yükümlülükler saklı kalmak üzere yurt dışındaki ilgili üçüncü kişilerle paylaşabilir. Banka, yapacağı değerlendirme neticesinde ödemeler alanının gelişimini olumsuz etkileyeceğine karar vermesi durumunda, bu fıkra uyarınca yapılan paylaşımları durdurabilir veya bunlara ilişkin ilave sınırlandırma getirebilir.