eIDAS SES — Simple Electronic Signature Uyum Beyanı

1. Yasal Çerçeve

eIDAS Tüzüğü (Regulation (EU) No 910/2014), elektronik imzalar için 3 düzey tanımlar:

• SES — Simple Electronic Signature: en temel düzey, tüm elektronik veri içeren imza
• AES — Advanced Electronic Signature: imzalayanın benzersiz tanımı + sole control
• QES — Qualified Electronic Signature: AES + Qualified Certificate + secure signature creation device

imzala.org SES kapsamındadır. AES ve QES için 3rd party Qualified Trust Service Provider (QTSP) entegrasyonu yol haritamızda olup, ileride sunulacaktır.

2. eIDAS Art.25 — Yasal Geçerlilik

"An electronic signature shall not be denied legal effect and admissibility as evidence in legal proceedings solely on the grounds that it is in an electronic form or that it does not meet the requirements for qualified electronic signatures."

Bir elektronik imzaya, yalnızca elektronik biçimde olduğu veya nitelikli elektronik imza gereksinimlerini karşılamadığı gerekçesiyle, hukuki mahkemelerde delil değeri ve kabul edilebilirliği reddedilemez.

Bu hüküm uyarınca SES düzeyindeki imzalar AB ülkelerinde mahkemelerde delil olarak sunulabilir; ancak ispat yükü tarafından bağımsız olarak imzalayan üzerindedir (QES gibi otomatik geçerli sayılmaz).

3. SES için 4 Temel Koşul ve Karşılanma Durumumuz

3.1 Elektronik Veri Olarak İmza

Karşılanır. Tüm imzalar elektronik biçimdedir; el yazısı dinamiği, yüz tarama vektörü, NFC çip okuma sonucu veya basit kabul onayı şeklinde toplanır.

3.2 İmzalayanın Niyetinin Doğrulanması

Karşılanır. Aşağıdaki kontroller niyetli imzalama yapıldığını kanıtlar:

• E-posta ile gönderilen imza linkine bilinçli tıklama
• İmza ekranında "Sözleşmeyi okudum, kabul ediyorum" onay kutusu
• Audit log: link tıklama, sayfa görüntüleme, butona basma timestamp'leri
• OTP doğrulaması (e-posta veya SMS, opsiyonel)

3.3 Kimlik Atfedilebilirliği

Karşılanır. İmzalayanın kimliği aşağıdaki kanallardan biri (veya birkaçı) ile doğrulanır:

• E-posta doğrulaması (zorunlu) — OTP kodu veya magic link
• SMS doğrulaması (opsiyonel — organizasyon yapılandırmasına göre)
• Biyometrik doğrulama (opsiyonel) — yüz tarama (face descriptor)
• Government ID OCR (opsiyonel) — TC kimlik kart yüz vektörü ile karşılaştırma
• NFC çipli kimlik kart okuma (opsiyonel — mobil uygulama)
• IP adresi + tarayıcı parmak izi + coğrafi konum (audit log)

3.4 İmza ile Veri Arasındaki Benzersiz Bağlantı

Karşılanır. Her imza, sözleşme PDF'sine kriptografik olarak bağlanır:

• SHA-256 hash — sözleşme içeriği üzerine
• RSA-2048 dijital imza — KMS (OpenBao Transit Engine) ile üretilir
• TÜBİTAK KAMU SM nitelikli zaman damgası — RFC 3161 standardı
• Hash zinciri: dosya değiştirilirse ilk doğrulamada bozulur

3.5 Post-İmza Değişiklik Tespiti

Karşılanır. İmzalanmış PDF dosyası immutable'dır:

• SHA-256 hash veritabanında kaydedilir
• Web sayfasında doğrulama: https://e.imzala.org/sonuc/{demand_id}/pdf
• Dosya değiştirilirse hash uyuşmaz, doğrulama başarısız olur
• Audit trail PDF'in son sayfasına gömülür (parçası olur, değiştirilemez)

4. Audit Trail İçeriği

Her imza için aşağıdaki bilgiler kaydedilir ve imzalı PDF'in son sayfasına eklenir:

• İmzalayan ad-soyad
• E-posta adresi (hash + son 4 karakter)
• IP adresi
• Tarayıcı user-agent
• Coğrafi konum (geolocation, opsiyonel)
• İmza zaman damgası (TÜBİTAK KAMU SM RFC 3161)
• KMS dijital imza referansı
• İmza algoritması (RSA-2048-SHA256)
• Onay kutusu işaretleme zamanı
• OTP doğrulama zamanı (varsa)
• Biyometrik doğrulama sonucu (varsa, açık rıza ile)

5. Yasal Geçerlilik — Çoklu Yargı

Yargı	Yasa	Statü
Avrupa Birliği	eIDAS 910/2014 Art.25	SES — delil olarak kabul
Türkiye	5070 Sayılı Kanun + HMK m.200	Takdiri delil (basit elektronik imza)
Amerika Birleşik Devletleri	15 U.S.C. § 7001 (E-SIGN Act), UETA Section 7	Geçerli elektronik imza
Birleşik Krallık	Electronic Communications Act 2000	Delil olarak kabul

6. Saklama ve Doğrulanabilirlik

• İmzalı PDF + audit trail: 10 yıl saklanır (TTK m.82)
• KMS dijital imza ve TÜBİTAK zaman damgası değiştirilemez
• Belge bütünlüğü yıllar sonra dahi doğrulanabilir
• Public doğrulama URL'i: e.imzala.org/sonuc/{demand_id}/pdf

7. AES ve QES — Yol Haritası

imzala.org, ileride aşağıdaki düzeyleri sunma hedefiyle çalışmaktadır:

• eIDAS AES (Advanced) — sole control gereksinimi için TÜBİTAK ESHS veya AB QTSP entegrasyonu (hedef 2028 Q1+)
• eIDAS QES (Qualified) — 3rd party Qualified Trust Service Provider entegrasyonu (Adobe / DocuSign de aynı yaklaşımı kullanır; kendi QTSP olmak yerine)

8. Kabul ve Uygulanabilirlik

imzala.org platformunu kullanarak imza atan / imza talep eden taraflar bu beyandaki SES düzeyindeki uyumu kabul etmiş sayılır. Hukuki geçerlilik gerektiren işlemleriniz için lütfen ek olarak nitelikli e-imza, mobil imza veya ıslak imza kullanmayı değerlendirin (özellikle noter, tapu, mahkeme dilekçeleri).