Uyumluluk
Türkiye, AB ve ABD mevzuatına uyumumuzun detaylı dökümü. Sahip olduğumuz uyumluluklar ve sertifikasyon yol haritamız.
Şeffaflık Beyanı
Sahip olmadığımız sertifikaları reklam etmeyiz. Aşağıda Mevcut Uyumluluklar bölümü gerçek olanları, Yol Haritası bölümü ise henüz başlamamış veya devam eden sertifikasyon süreçlerimizi içerir.
Türk hukukunda elektronik imzanın yasal çerçevesi. TÜBİTAK KAMU SM nitelikli zaman damgası altyapısı ile desteklenir.
Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıtlı veri sorumlusu. KVKK Aydınlatma Tebliği uyumlu aydınlatma metni, açık rıza akışları, veri sahibi haklarını destekleyen API'ler.
Üretim verileri AB içinde (Hetzner Falkenstein, Almanya). 3rd party'lerle Standart Sözleşme Maddeleri (SCC Modül 2) imzalı. Veri taşınabilirlik (Art.20) ve unutulma hakkı (Art.17) implement edilmiştir.
Varsayılan imza akışı AB Tüzüğü 910/2014 Art.25 / 5070 m.4 kapsamında Basit Elektronik İmza (SES) niteliğindedir. Kimlik doğrulama (telefon OTP + TC Kimlik/NVI) açıkken Art.26 kapsamındaki Gelişmiş Elektronik İmza (AES) gereksinimleri karşılanır.
Kullanıcının kendi USB token sertifikasıyla 5070 sayılı Kanun (Türkiye) + eIDAS 910/2014 (AB) uyumlu PAdES B-LTA imza atmasına aracılık eden Native Helper akışı. Java JRE gerekmez; macOS / Windows / Linux native masaüstü köprüsü. Sertifikayı kullanıcı yetkili bir ESHS'den temin eder; imzala.org imza akışı + saklama + uzun-vade arşiv katmanını sağlar.
Sınır ötesi not: Sınır ötesi not: Türkiye AB EU Trusted List (LOTL/TSL)'de yer almadığı için Türk ESHS sertifikası ile atılan imza AB üye devletlerinde otomatik olarak QES sayılmaz. Karşılıklı tanıma için eIDAS Art.14 uyarınca uluslararası anlaşma gerekir.
→ QES / NES Native Helper Uyum Beyanı Güvenlik mimarisiUniform Electronic Transactions Act (49 eyalet) ve Electronic Signatures in Global and National Commerce Act (federal) gereksinimleri.
California Consumer Privacy Act (2020) ve California Privacy Rights Act (2023) gereksinimleri. Kişisel veri satışı yapmamaktayız.
Self-Assessment Questionnaire A: kart bilgisi (PAN, CVV, expiry) bizim sunucularımıza hiç gelmez. Tüm ödeme işlemleri PCI-DSS Level 1 sertifikalı PayTR altyapısında yapılır.
Platform parmak izi, yüz tanıma vektörü, retina/iris, ses kaydı veya el yazısı dinamikleri (basınç, hız, ivme, açı) gibi biyometrik veri toplamaz, işlemez ve saklamaz. İmza ekranında çizilen el yazısı imza yalnızca PNG bitmap görseli olarak kaydedilir; bu görsel tek başına biyometrik veri niteliğinde değildir.
Her yedek dosyası için SHA-256 bütünlük hash'i hesaplanır ve RFC 3161 trusted timestamp (TÜBİTAK KAMUnet TSA) ile imzalanarak audit log'a kaydedilir. 9 Mayıs 2026'da prod'a alınmıştır.
Aşağıdaki sertifikalar şu an itibariyle henüz alınmamıştır. Hedef tarihler ve mevcut hazırlık durumumuz dürüst şekilde belirtilmiştir. Mevcut altyapımız bu sertifikaların gerektirdiği teknik kontrollerin önemli bölümünü zaten karşılamaktadır; süreç ağırlıklı olarak formal denetim ve dokümantasyon kapsamındadır.
Kalite Yönetim Sistemi
Süreç olgunluğu, müşteri odaklılık ve sürekli iyileştirme prensiplerini kanıtlayan uluslararası standart. Türk kurumsal pazarında ihalelerde yaygın olarak istenir.
Hazır
Eksik
Bilgi Güvenliği Yönetim Sistemi (ISMS)
Bilgi güvenliği için sistematik yönetim yaklaşımı. 93 Annex A kontrolü dokümante eder ve düzenli denetler. Türk kurumsal pazarında (özellikle banka, sigorta, kamu ihalelerinde) sıkça zorunludur.
Hazır
Eksik
AICPA Trust Services (Security, Availability, Confidentiality, Privacy)
ABD enterprise satış için sıkça zorunlu olan attestation raporu. AICPA-licensed CPA firması tarafından yıllık denetim ile düzenlenir. ISO 27001 sonrasında başlatılır (kontrol overlap %50).
Bulut Güvenliği + Bulut Tabanlı PII Koruma
ISO 27001 alındıktan sonra ek modül olarak değerlendirilecek. Bulut tabanlı SaaS hizmeti için ek güven sinyali.
Sunucu tarafı Qualified Trust Service Provider entegrasyonu
Mevcut durum: USB token tabanlı QES akışı yukarıdaki "Mevcut Uyumluluklar" bölümünde tanımlanan Native Helper aracılığıyla sunulmaktadır. Bu akışta sertifikayı kullanıcı kendi ESHS'sinden temin eder; imzala.org aracı katmandır.
Bu roadmap kalemi (2028 Q1+): Sunucu tarafında 3rd party Qualified Trust Service Provider entegrasyonu (Adobe / DocuSign modeli), kullanıcının USB token olmadan, web tabanlı QES atabilmesi için. AB QTSP partner seçimi (örn. D-Trust, InfoCert, GlobalSign QTSA) ve eIDAS Art.30 uyumlu akış geliştirme gerekir. AB müşteri hacmi oluştuğunda başlatılacak.
Öz-beyan (Self-Attestation)
Aşağıdaki ETSI standartlarına uyumluluk hedeflenir; resmi denetim/akreditasyondan henüz geçilmemiş, bağlayıcı sertifika beyan edilmez. Bu bilgi, altyapımızın hangi uluslararası referanslara paralel işletildiğini göstermek için sunulmuştur. Şirket bir Trust Service Provider (TSP) değildir ve eIDAS 910/2014 Madde 21 kapsamında Qualified Trust Service Provider statüsü taşımaz.
Detaylı teknik beyan için Güven Hizmeti Uygulama Beyanı (TSPS) sayfasına bakınız.
Söylemediklerimiz: şeffaflık ilkesi
Aşağıdaki sektörel uyumluluk çerçeveleri müşteri talebine göre formal hale getirilmektedir. Mevcut altyapı kontrolleri büyük oranda gereksinimleri karşılar.
ABD sağlık sektörü PHI koruma
Self-attestation hazır. BAA template kurumsal müşterilere talep üzerine sağlanır.
ABD eğitim verisi gizliliği
Eğitim kurumu müşterileri için "School Official" status kabul edilir.
FDA elektronik kayıt
İlaç / biyoteknoloji / tıbbi cihaz GxP regulated müşteriler için.
Altyapı ve hizmet tedarikçilerimizin sertifika durumu (kullandığımız hizmetler kapsamında):
Hetzner Online GmbH
ISO 27001, ISO 9001, ISO 14001
Cloudflare
SOC 2 Type II, ISO 27001, PCI DSS
Mailgun
SOC 2, GDPR DPA
PayTR
PCI DSS Level 1, BDDK denetimli
Son güncelleme: 21 Mayıs 2026, Versiyon: 1.2 (biyometrik veri beyanı düzeltildi: toplanmamaktadır)