eIDAS SES — Simple Electronic Signature Uyum Beyanı

1. Yasal Çerçeve

eIDAS Tüzüğü (Regulation (EU) No 910/2014), elektronik imzalar için 3 düzey tanımlar:

• SES — Simple Electronic Signature: en temel düzey, tüm elektronik veri içeren imza
• AES — Advanced Electronic Signature: imzalayanın benzersiz tanımı + sole control
• QES — Qualified Electronic Signature: AES + Qualified Certificate + secure signature creation device

imzala.org varsayılan olarak SES (Basit Elektronik İmza) kapsamındadır. Kimlik doğrulama (telefon OTP + TC Kimlik / NVI) etkinleştirildiğinde imza ek olarak AES (Gelişmiş Elektronik İmza) kriterlerini sağlar. QES (Nitelikli) için QTSP/NES entegrasyonu yol haritamızdadır.

2. eIDAS Art.3(10) + Art.25 — SES Tanımı ve Yasal Geçerlilik

"An electronic signature shall not be denied legal effect and admissibility as evidence in legal proceedings solely on the grounds that it is in an electronic form or that it does not meet the requirements for qualified electronic signatures."

Bir elektronik imzaya, yalnızca elektronik biçimde olduğu veya nitelikli elektronik imza gereksinimlerini karşılamadığı gerekçesiyle, hukuki mahkemelerde delil değeri ve kabul edilebilirliği reddedilemez.

SES, eIDAS Art.3(10)'da "elektronik biçimdeki ve imzalayan tarafından imzalamak amacıyla kullanılan veriye eklenen / mantıksal olarak ilişkilendirilen veri" olarak tanımlanır. Bu hüküm (eIDAS Art.25) uyarınca SES dahil her elektronik imza, yalnızca elektronik biçimde olduğu gerekçesiyle reddedilemez ve AB ülkelerinde mahkemelerde delil olarak sunulabilir. Platform varsayılan olarak SES düzeyini karşılar. Kimlik doğrulama (telefon OTP + TC Kimlik / NVI) etkinleştirildiğinde, imza ek olarak eIDAS Art.26'da tanımlanan AES gereksinimlerini de sağlar; imza otomatik olarak QES'e eşdeğer sayılmaz, ancak QES'in altyapısal kontrollerinin önemli bölümünü karşılayarak güçlü delil değeri sağlar.

3. eIDAS Art.26 — AES için 4 Temel Koşul (Kimlik Doğrulama Etkinken)

Aşağıdaki koşullar, kimlik doğrulama (telefon OTP + TC Kimlik / NVI) etkinleştirildiğinde imzanın SES tabanının üzerine AES düzeyine yükseldiği durumu açıklar. Bu özellik kapalıyken imza SES düzeyinde kalır.

3.1 Elektronik Veri Olarak İmza

Karşılanır. Tüm imzalar elektronik biçimdedir; imzalayanın çizdiği el yazısı imza görseli (PNG bitmap) veya yüklediği imza görseli ya da onay kutusu ile verilen basit kabul beyanı şeklinde toplanır. Platform bu kapsamda biyometrik veri (parmak izi, yüz tanıma, dinamik imza parametresi vb.) toplamamaktadır; imza yalnızca statik görsel olarak saklanır.

3.2 İmzalayanın Niyetinin Doğrulanması

Karşılanır. Aşağıdaki kontroller niyetli imzalama yapıldığını kanıtlar:

• E-posta ile gönderilen imza linkine bilinçli tıklama
• İmza ekranında "Sözleşmeyi okudum, kabul ediyorum" onay kutusu
• Audit log: link tıklama, sayfa görüntüleme, butona basma timestamp'leri
• OTP doğrulaması (e-posta veya SMS, opsiyonel)

3.3 Kimlik Atfedilebilirliği

Karşılanır. İmzalayanın kimliği aşağıdaki kanallardan biri (veya birkaçı) ile doğrulanır:

• E-posta doğrulaması (zorunlu) — OTP kodu veya magic link
• SMS doğrulaması (opsiyonel — organizasyon yapılandırmasına göre)
• IP adresi + tarayıcı user-agent + coğrafi konum (audit log)

Mevcut platformda biyometrik doğrulama (yüz tanıma, parmak izi, dinamik imza analizi) ve NFC kimlik kartı okuma kullanılmamaktadır. Bu kanallar yol haritamızda yer almakta olup, uygulanmaları halinde KVKK m.6 açık rıza prosedürü ile ayrıca bildirilecektir.

3.4 İmza ile Veri Arasındaki Benzersiz Bağlantı

Karşılanır. Her imza, sözleşme PDF'sine kriptografik olarak bağlanır:

• SHA-256 hash — sözleşme içeriği üzerine
• RSA-2048 dijital imza — KMS (OpenBao Transit Engine) ile üretilir
• TÜBİTAK KAMU SM nitelikli zaman damgası — RFC 3161 standardı
• Hash zinciri: dosya değiştirilirse ilk doğrulamada bozulur

3.5 Post-İmza Değişiklik Tespiti

Karşılanır. İmzalanmış PDF dosyası immutable'dır:

• SHA-256 hash veritabanında kaydedilir
• Web sayfasında doğrulama: https://e.imzala.org/sonuc/{demand_id}/pdf
• Dosya değiştirilirse hash uyuşmaz, doğrulama başarısız olur
• Audit trail PDF'in son sayfasına gömülür (parçası olur, değiştirilemez)

4. Audit Trail İçeriği

Her imza için aşağıdaki bilgiler kaydedilir ve imzalı PDF'in son sayfasına eklenir:

• İmzalayan ad-soyad
• E-posta adresi (hash + son 4 karakter)
• IP adresi
• Tarayıcı user-agent
• Coğrafi konum (geolocation, opsiyonel)
• İmza zaman damgası (TÜBİTAK KAMU SM RFC 3161)
• KMS dijital imza referansı
• İmza algoritması (RSA-2048-SHA256)
• Onay kutusu işaretleme zamanı
• OTP doğrulama zamanı (varsa)

5. Yasal Geçerlilik — Çoklu Yargı

Yargı	Yasa	Statü
Avrupa Birliği	eIDAS 910/2014 Art.3(10) + Art.25 (kimlik doğrulamayla Art.26)	SES — delil olarak kabul (kimlik doğrulamayla AES)
Türkiye	5070 Sayılı Kanun m.4 + HMK m.199/202	Takdiri delil — HMK m.199 belge / m.202 yazılı delil başlangıcı (SES / AES)
Amerika Birleşik Devletleri	15 U.S.C. § 7001 (E-SIGN Act), UETA Section 7	Geçerli elektronik imza
Birleşik Krallık	Electronic Communications Act 2000	Delil olarak kabul

6. Saklama ve Doğrulanabilirlik

• İmzalı PDF + audit trail: 10 yıl saklanır (TTK m.82)
• KMS dijital imza ve TÜBİTAK zaman damgası değiştirilemez
• Belge bütünlüğü yıllar sonra dahi doğrulanabilir
• Public doğrulama URL'i: e.imzala.org/sonuc/{demand_id}/pdf
• Yedek bütünlüğü: Saklama süresi boyunca yedek dosyalarının değiştirilmediğini kanıtlamak için her yedek için SHA-256 hash + RFC 3161 trusted timestamp (TÜBİTAK KAMUnet TSA) audit log'a kaydedilir (/guvenlik §6'da detay). 9 Mayıs 2026'dan itibaren aktiftir; audit log forever retention'da tutulur. Bu, eIDAS Art. 41 trusted timestamp delil zincirini imzalı PDF'in ötesinde yedek katmanına da taşır.

7. QES — Yol Haritası

imzala.org varsayılan olarak eIDAS SES (Basit Elektronik İmza) düzeyini sunar; kimlik doğrulama (telefon OTP + TC Kimlik) etkinleştirildiğinde imza eIDAS AES (Gelişmiş Elektronik İmza) kriterlerini de sağlar. İleride aşağıdaki nitelikli düzeyi sunma hedefiyle çalışmaktadır:

• eIDAS QES (Qualified) / 5070 Nitelikli (NES) — 3rd party Qualified Trust Service Provider / ESHS entegrasyonu (Adobe / DocuSign de aynı yaklaşımı kullanır; kendi QTSP olmak yerine)

8. Kabul ve Uygulanabilirlik

imzala.org platformunu kullanarak imza atan / imza talep eden taraflar bu beyandaki SES (Basit Elektronik İmza) tabanlı — kimlik doğrulama etkinken AES (Gelişmiş Elektronik İmza) düzeyine yükselen — uyumu kabul etmiş sayılır. Hukuki geçerlilik gerektiren işlemleriniz için lütfen ek olarak nitelikli e-imza, mobil imza veya ıslak imza kullanmayı değerlendirin (özellikle noter, tapu, mahkeme dilekçeleri).