eIDAS Elektronik İmza Beyanı

1. Yasal Çerçeve

eIDAS Tüzüğü (Regulation (EU) No 910/2014), elektronik imzalar için 3 düzey tanımlar:

• SES, Simple Electronic Signature: en temel düzey, tüm elektronik veri içeren imza
• AES, Advanced Electronic Signature (Art.3(11) ve Art.26): imzalayana benzersiz bağlılık, imzalayanı tanımlama, münhasır kontrol ve değişiklik tespiti. Türk mevzuatında buna karşılık gelen ayrı bir imza kategorisi yoktur
• QES, Qualified Electronic Signature: AES + Qualified Certificate + secure signature creation device

imzala.org'da tarayıcıdan atılan dijital imza, bu sınıflandırmada gelişmiş (AES) veya nitelikli (QES) imza olarak sunulmaz. Ek doğrulama adımları imzanın niteliğini değiştirmez. QES (Nitelikli) için QTSP/NES entegrasyonu yol haritamızdadır.

2. eIDAS Art.3(10) + Art.25: Elektronik İmza Tanımı ve Yasal Geçerlilik

"An electronic signature shall not be denied legal effect and admissibility as evidence in legal proceedings solely on the grounds that it is in an electronic form or that it does not meet the requirements for qualified electronic signatures."

Bir elektronik imzaya, yalnızca elektronik biçimde olduğu veya nitelikli elektronik imza gereksinimlerini karşılamadığı gerekçesiyle, hukuki mahkemelerde delil değeri ve kabul edilebilirliği reddedilemez.

SES, eIDAS Art.3(10)'da "elektronik biçimdeki ve imzalayan tarafından imzalamak amacıyla kullanılan veriye eklenen / mantıksal olarak ilişkilendirilen veri" olarak tanımlanır. Bu hüküm (eIDAS Art.25) uyarınca SES dahil her elektronik imza, yalnızca elektronik biçimde olduğu gerekçesiyle reddedilemez ve AB ülkelerinde mahkemelerde delil olarak sunulabilir. Platformda tarayıcıdan atılan dijital imza bu tanım kapsamında bir elektronik imzadır; AB hukuku bakımından gelişmiş veya nitelikli imza olarak sunulmaz. Telefon doğrulaması ve T.C. kimlik numarası kontrolü gibi ek adımlar delil değerini güçlendirir, ancak imzayı gelişmiş (AES) ya da nitelikli imzaya dönüştürmez.

3. Platformun Teknik Kontrolleri

Aşağıdaki kontroller imzanın delil değerini destekler. Bu kontroller, eIDAS Art.26 anlamında bir gelişmiş elektronik imza (AES) sınıflandırması iddiası değildir; hangi doğrulama adımı açık olursa olsun imzanın niteliği değişmez.

3.1 Elektronik Veri Olarak İmza

Tüm imzalar elektronik biçimdedir; imzalayanın çizdiği el yazısı imza görseli (PNG bitmap) veya yüklediği imza görseli ya da onay kutusu ile verilen basit kabul beyanı şeklinde toplanır. Platform bu kapsamda biyometrik veri (parmak izi, yüz tanıma, dinamik imza parametresi vb.) toplamamaktadır; imza yalnızca statik görsel olarak saklanır.

3.2 İmzalama İradesine İlişkin Kayıtlar

İmzalama sürecine ilişkin aşağıdaki adımlar kayıt altına alınır:

• E-posta ile gönderilen imza linkine bilinçli tıklama
• İmza ekranında "Sözleşmeyi okudum, kabul ediyorum" onay kutusu
• Audit log: link tıklama, sayfa görüntüleme, butona basma timestamp'leri
• OTP doğrulaması (e-posta veya SMS, opsiyonel)

3.3 İmzanın İmzalayanla İlişkilendirilmesi

İmza, aşağıdaki kanallardan biri (veya birkaçı) ile imzalayana ilişkilendirilir. Bu kanallar kimliği tek başına kanıtlamaz: e-posta ve telefon kodu ilgili hesaba veya numaraya erişimi gösterir:

• E-posta doğrulaması (zorunlu): OTP kodu veya magic link
• SMS doğrulaması (opsiyonel, organizasyon yapılandırmasına göre)
• IP adresi + tarayıcı user-agent + coğrafi konum (audit log)

Mevcut platformda biyometrik doğrulama (yüz tanıma, parmak izi, dinamik imza analizi) ve NFC kimlik kartı okuma kullanılmamaktadır. Bu kanallar yol haritamızda yer almakta olup, uygulanmaları halinde KVKK m.6 açık rıza prosedürü ile ayrıca bildirilecektir.

3.4 İmza ile Belge Arasındaki Kriptografik Bağ

Her imza, sözleşme PDF'sine kriptografik olarak bağlanır:

• SHA-256 hash: sözleşme içeriği üzerine
• RSA-2048 dijital imza: KMS (OpenBao Transit Engine) ile üretilir
• TÜBİTAK KAMU SM nitelikli zaman damgası: RFC 3161 standardı
• Hash zinciri: dosya değiştirilirse ilk doğrulamada bozulur

3.5 Sonradan Yapılan Değişikliklerin Tespiti

İmzalanmış PDF'te sonradan yapılan değişiklikler tespit edilebilir:

• SHA-256 hash veritabanında kaydedilir
• Web sayfasında doğrulama: https://e.imzala.org/sonuc/{demand_id}/pdf
• Dosya değiştirilirse hash uyuşmaz, doğrulama başarısız olur
• Audit trail PDF'in son sayfasına gömülür (parçası olur, değiştirilemez)

4. Audit Trail İçeriği

Her imza için aşağıdaki bilgiler kaydedilir ve imzalı PDF'in son sayfasına eklenir:

• İmzalayan ad-soyad
• E-posta adresi (hash + son 4 karakter)
• IP adresi
• Tarayıcı user-agent
• Coğrafi konum (geolocation, opsiyonel)
• İmza zaman damgası (TÜBİTAK KAMU SM RFC 3161)
• KMS dijital imza referansı
• İmza algoritması (RSA-2048-SHA256)
• Onay kutusu işaretleme zamanı
• OTP doğrulama zamanı (varsa)

5. Yasal Geçerlilik: Çoklu Yargı

Yargı	Yasa	Statü
Avrupa Birliği	eIDAS 910/2014 Art.3(10) + Art.25	Elektronik imza: yalnızca elektronik biçimde olduğu gerekçesiyle delil olarak reddedilemez; gelişmiş veya nitelikli imza olarak sunulmaz
Türkiye	5070 Sayılı Kanun m.3 + HMK m.199/202	Elektronik imza (güvenli elektronik imza değildir); takdiri delil: HMK m.199 belge / m.202 yazılı delil başlangıcı
Amerika Birleşik Devletleri	15 U.S.C. § 7001 (E-SIGN Act), UETA Section 7	Geçerli elektronik imza
Birleşik Krallık	Electronic Communications Act 2000	Delil olarak kabul

6. Saklama ve Doğrulanabilirlik

• İmzalı PDF + audit trail: 10 yıl saklanır (TTK m.82)
• KMS dijital imza ve TÜBİTAK zaman damgası değiştirilemez
• Belge bütünlüğü yıllar sonra dahi doğrulanabilir
• Public doğrulama URL'i: e.imzala.org/sonuc/{demand_id}/pdf
• Yedek bütünlüğü: Saklama süresi boyunca yedek dosyalarının değiştirilmediğini kanıtlamak için her yedek için SHA-256 hash + RFC 3161 trusted timestamp (TÜBİTAK KAMUnet TSA) audit log'a kaydedilir (/guvenlik §6'da detay). 9 Mayıs 2026'dan itibaren aktiftir; audit log forever retention'da tutulur. Bu, eIDAS Art. 41 trusted timestamp delil zincirini imzalı PDF'in ötesinde yedek katmanına da taşır.

7. QES: Yol Haritası

imzala.org'da tarayıcıdan atılan dijital imza, AB hukuku bakımından gelişmiş veya nitelikli imza olarak sunulmaz. İleride aşağıdaki nitelikli düzeyi sunma hedefiyle çalışmaktadır:

• eIDAS QES (AB) ve 5070 sayılı Kanun kapsamında güvenli elektronik imza (nitelikli elektronik sertifika, NES ile): üçüncü taraf ESHS / QTSP entegrasyonu. Türk güvenli elektronik imzası AB'de kendiliğinden QES sayılmaz.

8. Beyanın Niteliği

Bu beyan bilgilendirme amaçlıdır; imzanın hukuki niteliği ve delil değeri ilgili hukuk düzenince belirlenir. Kanunların resmî şekle veya özel bir merasime tabi tuttuğu işlemler (örneğin tapu ve noter işlemleri) ilgili resmî makamda yapılır.