KAMUYA AÇIK DUYURU VE BİLGİLENDİRME

1. Amacımız ve ilkelerimiz

Amacımız, elektronik imza ve belge doğrulama işlemlerini; 5070 sayılı Elektronik İmza Kanunu ve ikincil mevzuatla uyumlu, kullanıcının kendi başına anlayıp denetleyebileceği, kişisel verilere gereğinden fazla dokunmayan bir düzende sunmaktır. Platform; PAdES, CAdES, XAdES ve ASiC imza biçimlerini destekler ve bu biçimleri ilgili ETSI standartlarındaki profillere uygun üretip doğrular.

Çalışmamızı üç ilkeye dayandırıyoruz: kullanıcı verisini mümkün olduğunca toplamamak, topladığımızı korumak ve yaptığımız her işlemin gerekçesini kullanıcıya açıkça söylemek.

2. İmzalama ve doğrulama bir bütündür

İmzalama ve doğrulama işlemleri birbirini tamamlayacak biçimde tasarlanmıştır. İmza sırasında üretilen her özellik (zaman damgası, iptal bilgisi, politika bilgisi, sertifika zinciri) doğrulama sırasında aynı kurallarla denetlenir. Doğrulayıcının aradığı her kanıt da imza tarafında üretilebilir durumdadır. İmza sırasında kabul edilmeyen bir durum doğrulamada da kabul edilmez; bunun tersi de geçerlidir.

Bu tutarlılığın sonucu, bir belgeyi imzalayan ile o belgeyi doğrulayan taraf arasında farklı değerlendirme ölçütlerinin bulunmamasıdır. Biçimler arasında ortak olan kurallar tek bir yerde tutulur; her biçim için ayrı ve birbirinden farklı kopyalar yazılmaz. Bir kuralın değişmesi durumunda imza tarafı, doğrulama tarafı ve kullanıcıya gösterilen ileti birlikte sınanır.

3. Her ileti açıklayıcıdır

Bir işlem başarısız olduğunda ya da bir uyarı verildiğinde kullanıcı, “doğrulama başarısız” gibi gerekçesiz bir ifadeyle karşılaşmaz. İletiler; ne olduğunu, neden olduğunu, bunun hükmünün ne olduğunu ve varsa kullanıcının ne yapabileceğini içerecek biçimde yazılır. Zaman bilgisi gerektiğinde hem Türkiye saati (TSİ) hem de eş güdümlü evrensel zaman (UTC) birlikte verilir.

Kullanıcı, kendisi hakkında verilen bir kararın gerekçesini bilme hakkına sahiptir. Bu nedenle ekranlarda ve raporlarda Türkçe karakterler eksiksiz kullanılır; bu kural otomatik denetimlerle de sınanır.

4. Başvurunuz yalnızca ilgili ofisin yetkilisi tarafından görülür

Elektronik sertifika başvurusu yaparken girdiğiniz bilgiler, kişisel veri içerir. Bu nedenle başvuru formu doldurulduğu anda, sizin kendi tarayıcınızda şifrelenir. Şifreleme, seçtiğiniz ofisin ve ofisin bağlı olduğu firmanın yetkililerine ait anahtarlarla yapılır; her yetkili için ayrı bir anahtar kullanılır. Platform sunucuları başvurunuzun içeriğini göremez. Ofisin e-posta adresi geçici sorun çıkarırsa yalnızca şifreli paket en çok 36 saat saklanır, iletim yeniden denenir ve süre sonunda otomatik silinir.

Şifrelenmiş başvuru paketi, yalnızca seçtiğiniz ofisin kayıtlı e-posta adresine iletilir. Paketi, ofisin ve bağlı olduğu firmanın kayıtlı yetkilileri; kendi nitelikli e-imza kartlarıyla ve “EmreSign Ofis Personeli E-İmza Onay Aracı” aracıyla açabilir. Kart ve PIN bilgisi olmadan paketin içeriğine ulaşılamaz.

Başvurunuzun hangi tarihte oluşturulduğunu kanıtlamak için yalnızca başvuru içeriğinin özeti (matematiksel parmak izi) bir zaman damgası hizmetine gönderilir. Özetten başvurunun içeriği elde edilemez. Başvurunuzun kendisi hiçbir aşamada düz metin olarak sunucuya iletilmez.

5. Ofis ve yetkili kayıtları denetimlidir

Bir başvurunun hangi ofise ve hangi kişilere şifreleneceği, ofis kaydında yer alan yetkili listesine bağlıdır. Ofis ve yetkili kayıtlarındaki her ekleme, değişiklik ve silme işlemi, platform yöneticisinin nitelikli e-imza kartıyla verdiği onayla yürürlüğe girer. Onaylanan liste, kişisel veri içermeyen biçimde yönetici tarafından imzalanır.

Başvuru paketini açan araç, paketteki alıcı listesini platformdan bağımsız olarak, kendi içindeki güvenilir yönetici sertifikasıyla doğrular. Yönetici onayı bulunmayan bir alıcı anahtarı pakete eklenmişse paket açılmaz ve kullanıcıya bunun nedeni bildirilir. Böylece yetkisiz bir kişinin, başvurunuzu okuyabilecek biçimde listeye eklenmesi önlenir.

Yönetim panelinde yapılan işlemler, değiştirilemeyen ve zincirleme özetlerle birbirine bağlanan bir denetim defterine yazılır. Defterde sonradan değişiklik yapılırsa ya da bir kayıt silinirse zincir bozulur ve bu durum yöneticiye uyarı olarak gösterilir. Parola, PIN ve oturum bilgisi gibi gizli değerler denetim defterine hiçbir zaman yazılmaz.

6. Kart sürücüsü ve İmza Aracı

Web sitesinde belge imzalarken kullanılan EmreSign İmza Aracı, e-imza kartınızı kendi bilgisayarınızda kullanır. İmza kartınızla ve sizin bilgisayarınızda atılır; kartınızın özel anahtarı karttan hiçbir zaman çıkmaz. Araç, yalnızca bilgisayarınızın yerel adresinde çalışır ve başka bir bilgisayardan ya da güvenilmeyen bir internet sitesinden gelen isteklere yanıt vermez.

Kart sürücüsü, PIN’inizin ve imza işleminin geçtiği programdır. İmzasız ya da değiştirilmiş bir sürücü, PIN’inizi ele geçirebilir ya da sizin adınıza istemediğiniz bir belgeyi imzalayabilir. Bu nedenle İmza Aracı, sürücüyü yalnızca Windows sistem klasöründen ve geçerli bir dijital imzası bulunan hâliyle yükler. Kaynağı ya da bütünlüğü doğrulanamayan sürücü kullanılmaz. Bu uygulama bir kısıtlama değil, kullanıcıyı korumak için bilinçli olarak koyduğumuz zorunlu bir güvenlik önlemidir.

Araç, kartı yalnızca gerekli olduğu sürece kullanır; işlem bittikten sonra kartı serbest bırakır. Böylece aynı kartı kullanan başka uygulamalarla çakışma olasılığı azaltılır.

7. Verilerinizin korunması

Platformun yayın paketi; uygulama verilerini ve veritabanını içermez. Yeni bir sürüm yayımlanırken sunucudaki mevcut veriler ne üzerine yazılır ne de silinir. Veritabanı şemasında yapılan değişiklikler yalnızca ekleyici niteliktedir; tablo ya da sütun silen, veri kaybına yol açabilecek değişiklikler otomatik denetimle engellenir. Her şema değişikliğinden önce yedek alınır.

Ofis yetkililerine ait T.C. Kimlik Numarası ve telefon gibi kişisel veriler, sunucuda şifrelenmiş olarak saklanır. Yöneticinin imzaladığı ofis listeleri ise kişisel veri içermez. Kullanıcıya gösterilen yardım, kılavuz ve tanıtım içeriklerinde gerçek kişi adı, T.C. Kimlik Numarası ya da başka bir kişisel veri bulunmaz; bu içeriklerdeki görüntüler gerçekte var olmayan örnek verilerle hazırlanır.

Tek taraflı işlemlerde imzalanan belgelerin içeriği sunucuda saklanmaz. Çok taraflı (davetli) süreçlerde belge ve içerik, süreç tamamlanıncaya kadar şifreli saklanır; tamamlanınca 14 gün, iptalde 3 gün içinde otomatik silinir. Sunucuda yalnızca işlemin yürütülmesi, delil niteliği taşıyan kayıtların tutulması ve yasal yükümlülüklerin yerine getirilmesi için gerekli en az bilgi bulunur.

8. Kimlik ve erişim güvenliği

• Yönetim paneline erişen hesaplar için iki adımlı doğrulama zorunludur. Parolası ele geçirilse bile, ikinci doğrulama kodu olmadan yönetici hesabına girilemez.
• Hatalı giriş denemeleri sınırlandırılır; sınır aşıldığında giriş geçici olarak kapatılır. Yönetici hesapları için kilitlenme ayrıca yöneticiye bildirilir.
• Kayıt sırasında T.C. Kimlik Numarası, telefon ve e-posta bilgileri sunucuda doğrulanır; e-posta adresinin kullanıcıya ait olduğu, gönderilen bağlantıyla sınanır.
• Boşta kalan oturumlar kendiliğinden sonlandırılır. Yönetici oturumları, kullanım süresinden bağımsız olarak üst sınırla kapatılır.
• Uygulamaya yönelik otomatik ve toplu istekler hız sınırlarıyla kısıtlanır.
• Gerektiğinde yönetici, bir hesabı süreli ya da süresiz olarak engelleyebilir. Engellenen kullanıcının açık oturumları sonlandırılır; kullanıcıya engelin nedeni, süresi ve ne yapabileceği yazılı olarak bildirilir.

9. Zaman damgası, delil ve eser sahipliği

Bir belgenin ya da başvurunun belirli bir tarihte var olduğunu kanıtlamak için, RFC 3161 standardına uygun zaman damgası kullanılır. Zaman damgası hizmetine yalnızca içeriğin özeti gönderilir; belge ya da başvuru içeriği gönderilmez. Alınan damga, kanıt olarak ilgili kayıtla birlikte saklanır ve sonradan bağımsız olarak doğrulanabilir.

Eser sahipliği tescili gibi işlemlerde de aynı yaklaşım izlenir: tescil edilen şeyin kendisi değil, özeti damgalanır. Platformda gösterilen tüm tarih ve saatler Türkiye saati esas alınarak, gerektiğinde UTC karşılığıyla birlikte verilir.

Bir eserin hak sahibi tek bir kişi olmak zorunda değildir. Tasarımcı kişisel olarak, çalıştığı kurum da kurumsal olarak aynı eserde hak sahibi olabilir; bunu kısıtlamıyoruz, çünkü bu bir yasal tercihtir. Her hak sahibi eseri kendi nitelikli sertifikasıyla (kişi için e-imza, kurum için e-mühür) imzalar; kimlik, kullanıcının yazdığı bilgiden değil, doğrulanan sertifikadan alınır. İmzalar, delil paketinde ayrı dosyalar olarak yer alır ve doğrulama sırasında her biri ayrıca denetlenir.

Eser sahipliğinde iki ayrı kurumsal kavramı bilinçle ayırıyoruz. Kurumsal Sahip, işveren ya da sponsor gibi kaynaklarını sağlayan ve eserin tamamında doğrudan hak ve yetki sahibi olan kurumdur; yüzdesi olmaz, yalnız e-mühürle işlem yapar. Bu eserlerde kişilere verilen oranlar eserin sahipliğini bölmez; kurumun eseri üçüncü kişilere satmasından doğan kazançlar üzerindeki payı gösterir. Bu paylar küçük ve değişken olabileceğinden toplamın yüzde yüzü bulması aranmaz, yalnızca yüzde yüzü aşmaması aranır. Kurumsal Sahip bulunmayan eserlerde ise kişiler eserin doğrudan sahibidir ve oranların toplamı tam yüzde yüz olur. Kişilerin kurum karşısındaki hakları, kurumla yaptıkları sözleşmelere tabidir; uyuşmazlıkta yargı kararı esastır. Denetim ve Onay Makamı ise meslek örgütü, dernek ya da oda gibi, üyelerinin eser tescilini denetleyip onaylayan yapıdır; eserin sahibi değildir, sahiplik doğrudan kişilerdedir. Kurumların imza yetkilileri ya da avukatları, kurumun e-mühürlü işlemine şahit olarak e-imzalarıyla tanıklık edebilir.

İmzalar belirli bir sırayla atılır: önce kişiler, sonra Kurumsal Sahip, sonra Denetim ve Onay Makamı; şahit, kurumun mühründen sonra imzalar. Kimliği doğrulanamayan ya da beyan edilmemiş bir imza kabul edilmez. Süreç tamamlandığında düzenlenecek sahiplik belgesi ve doğrulama raporunun hizmete alınması planlanmaktadır; hizmete alındığında bu bölüm güncellenecektir. Sahiplik belgesi, kimin hangi tarihte bu eser üzerinde imza attığını belgeler; bir hakkın kime ait olduğuna karar vermez. Bu belge hizmete alındığında, doğrulama kaydı en az beş yıl süreyle saklanacaktır; eserin kendisi ise zaten sunucularda saklanmamaktadır.

10. Şeffaflık ve haklarınız

Kişisel verilerinizin hangi amaçla, hangi hukuki sebeple, kimlere aktarılarak ve ne kadar süreyle işlendiği; Aydınlatma Metni, Gizlilik ve KVKK bölümlerinde yer almaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 11. maddesi uyarınca; verilerinizin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini veya silinmesini isteme ve itiraz etme haklarına sahipsiniz. Başvurunuzu yaptığınız ofis, başvuru verileriniz bakımından veri sorumlusudur; platform ise bu verilere erişmeyen bir teknik aracıdır.

Hesabınıza yönelik bir kısıtlama uygulanırsa bunun sebebi ve itiraz yolu size yazılı olarak bildirilir. Platformda yapılan sürüm değişiklikleri ve metin güncellemeleri sürüm numarasıyla izlenir; bu metin de güncellendiğinde sürüm ve yayın tarihi değiştirilir.

11. Kötüye kullanımı nasıl önlüyoruz

Platformun, kullanıcıların ve kişisel verilerin güvenliğini korumak için kötüye kullanıma karşı açık kurallar ve önlemler uyguluyoruz. Amacımız kimseyi cezalandırmak değildir; suç tespiti ve ceza yargının işidir. Platformu, kullanıcılarını ve verilerini korumak, haklarımızı korumak için idari ve teknik tedbir alırız.

Hangi davranışlar tedbire konu olabilir? Başkasının hesabına yetkisiz erişim girişimi; sisteme zarar verme ya da hizmeti aksatma girişimi; başka kullanıcıların kişisel verilerine hukuka aykırı erişim ya da bunları toplama girişimi; sahte ya da gerçeğe aykırı beyan (örneğin başkasının kimlik numarasıyla kayıt, bilerek değiştirilmiş belge ya da imza); geçersiz ya da sahte sertifika ya da ödeme ile işlem yapmaya çalışma; hesap paylaşımı ve otomasyonla kredi tüketimi gibi koşullara aykırı kullanım.

• Orantılılık: tedbir, olayın ağırlığıyla orantılı ve kademelidir; en hafif yeterli tedbir seçilir. Kısa süreli giriş kilitleri ve hız sınırları otomatik uygulanır ve kendiliğinden kalkar. Geçici hesap kısıtlaması inceleme içindir ve en çok 30 gün sürer. Kalıcı kısıtlama yalnızca yetkili yönetici tarafından, delile dayanılarak ve yazılı gerekçeyle verilir; otomatik sistemler tek başına kalıcı tedbir uygulamaz.
• Masumiyet ve hata payı: süresi dolmuş ya da geçersiz bir sertifika, bozuk bir dosya ya da yanlış bir seçim tek başına kötü niyet sayılmaz. “Sahtecilik” değerlendirmesi yalnızca kasıt gösteren somut delille ve insan incelemesiyle yapılır.
• Hesaba bağlılık: tedbir tek başına bir IP adresine değil, hesaba ve kimliğe bağlıdır; ortak ağ kullanan masum kullanıcılar mağdur edilmez.
• Şeffaflık: tedbir uygulanan kişiye ne olduğu, neden, hangi dayanakla, ne kadar süreyle uygulandığı ve nasıl itiraz edeceği açıkça bildirilir.
• İtiraz: kısıtlama kararına karar numarasıyla itiraz edebilirsiniz; itirazınız insan tarafından incelenir ve sonuç size bildirilir.
• Delil ve veri koruma: karar için oluşturulan delil paketi SHA-256 özetiyle ve zaman damgasıyla mühürlenir; kimlik göstergeleri (T.C. kimlik numarası, e-posta, telefon) yalnızca özet olarak tutulur, geri üretilemez. Süreler ve haklarınız KVKK Aydınlatma Metni’nde yer alır.
• Hukuki bilgilendirme: bilişim sistemlerine hukuka aykırı erişim, sistemin işleyişini bozma, kişisel verileri hukuka aykırı elde etme ve sahtecilik Türk Ceza Kanunu’nda suç olarak düzenlenmiştir. Delil niteliğindeki kayıtlar saklanır ve gerektiğinde yetkili makamlarla paylaşılabilir.

Ayrıntılı kural ve kademeler için Kötüye Kullanımın Önlenmesi ve Hesap Kısıtlama Politikası sayfasına bakabilirsiniz.

12. Yapmadıklarımız

• Elektronik sertifika başvurunuzun içeriğini okuyamayız; yalnızca şifreli paket, ofis e-postası geçici sorun çıkarırsa en çok 36 saat saklanır.
• İmzalanan belgenizin içeriğini sunucuda tutmayız.
• PIN’inizi hiçbir yere kaydetmeyiz.
• Kartınızın özel anahtarını karttan çıkarmayız; çıkarılmasına olanak veren bir yöntem kullanmayız.
• Pazarlama ya da kullanıcı izleme amaçlı çerez kullanmayız; yalnızca oturum ve güvenlik için zorunlu çerezler kullanılır.
• Yönetici onayı olmayan bir alıcıya şifrelenmiş başvuru paketi açtırmayız.

13. Sınırlarımız

Hiçbir bilgi sistemi mutlak güvenlik garantisi veremez; biz de vermiyoruz. Kullanıcı bilgisayarının güvenliği, kullanıcının sorumluluğundadır. Bilgisayarınıza yerleşmiş zararlı bir yazılım, platformdan bağımsız olarak ekranınızdaki ya da klavyenizle girdiğiniz bilgileri ele geçirebilir.

Başvuru formunda kopyalamayı, yazdırmayı ve ekran görüntüsü alınmasını zorlaştıran önlemler bulunur ve ekranda oturuma özel bir izleme işareti görünür. Bu önlemler caydırıcıdır ve sızan bir görüntünün kaynağının izlenmesine yardımcı olur; ancak işletim sisteminin ya da bir kameranın görüntü almasını teknik olarak kesin biçimde engelleyemez. Formu, başkalarının göremeyeceği bir ortamda doldurmanızı öneririz.

Kart sürücüsünün ve kartın sağlanması, elektronik sertifika hizmet sağlayıcısının sorumluluğundadır. Kartınızın PIN’i, yanlış girişlerle kilitlenebilir; bu durumda kartı açma işlemini sertifika sağlayıcınız yapar.

14. Öneri ve taleplerinizi değerlendiriyoruz

Platformun uygulama ve süreç yönetimine ilişkin görüş, öneri ve talepleriniz bizim için değerlidir. Bunları, sitemizdeki Destek sayfası üzerinden bize iletebilirsiniz. Güvenlik açığı olduğunu düşündüğünüz bir durumu da aynı yolla bildirebilirsiniz.

Gelen her başvuru, yürürlükteki mevzuat ile sistemin ve kullanıcıların güvenliği esas alınarak değerlendirilir; uygun bulunanlar uygulamaya alınır ve değerlendirmenin sonucu size bildirilir. Mevzuata ya da güvenlik ilkelerimize aykırı olan talepler uygulanamaz; bu durumda gerekçesi size açıklanır.