İmza Süreci Aydınlatma Metni

Bu metin, size iletilen bir sözleşmeyi veya kendi yüklediğiniz bir belgeyi imzalarken veya onaylarken (imzalayan, onaylayan veya taraf sıfatıyla) kişisel verilerinizin nasıl işlendiğini açıklar. Onaylayan sıfatıyla katılıyorsanız belgeye imza eklemezsiniz; "Onayla" eyleminiz, zamanı ve bağlantı bilgileriniz aynı şekilde kaydedilir. İmza ekranındaki onay adımından bu metne erişebilirsiniz; genel KVKK Aydınlatma Metni ve Gizlilik Politikası ile birlikte uygulanır.

1. Veri Sorumlusu (Katmanlı)

İmza sürecinde iki ayrı sorumluluk katmanı vardır:

• Sözleşmeyi size gönderen taraf (kişi veya organizasyon), sözleşmedeki kişisel verileriniz (ad-soyad, e-posta, telefon, varsa T.C. Kimlik No, varsa kurumsal taraf bilgileri, sözleşme içeriği) bakımından bağımsız veri sorumlusudur. imzala.org, bu veriler bakımından gönderen taraf adına veri işleyen sıfatıyla hareket eder. Bu kişisel verilerin hukuka uygunluğundan ve KVKK m.10 aydınlatmasından gönderen taraf sorumludur; gönderenin kendi aydınlatma metni varsa size onun tarafından da sunulur. İmzalı belgenin size ulaştırılması için oluşturulan sonuç sayfası bağlantısı kaydı da bu kapsamdadır; imzala.org bu kaydı gönderen taraf adına tutar. Sözleşme kurum çalışma alanından gönderildiyse Kimlik Fotoğrafı Doğrulama ve kurumun seçimiyle saklanan kimlik belgesi bakımından da veri sorumlusu kurumdur (§2).
• Codeck Yazılım A.Ş. (imzala.org), imza sürecinin güvenliği ve delil bütünlüğü için kendi hesabına eklediği verilerde (IP adresi, cihaz bilgisi, imza zaman damgası, telefon doğrulama sonucu, bildirim teslim ve tıklama kayıtları, süresi dolmuş sonuç bağlantısı için yapılan yeni bağlantı isteklerinde kötüye kullanımı önlemek için tutulan kısa süreli istek sayaçları, imza sayfasındaki etkileşim kaydı, elektronik mühür, TÜBİTAK zaman damgası, gönderen açtıysa AB nitelikli zaman damgası, bütünlük özeti ve varsa biyometrik doğrulama) bağımsız veri sorumlusudur.
• GSM operatörünüz (Turkcell, Türk Telekom veya Vodafone; bugün Turkcell, Türk Telekom ve Vodafone kanalları kullanımdadır), yalnızca imzayı Mobil İmza ile atmayı seçerseniz devreye girer ve bu adımda bağımsız veri sorumlusudur. Mobil imza aboneliği ve SIM kartınızdaki nitelikli sertifika, sizinle operatörünüz (ve onun çalıştığı Elektronik Sertifika Hizmet Sağlayıcısı) arasındaki ilişkiye dayanır; operatör bu işlemde kendi aydınlatma yükümlülüğünü ayrıca yerine getirir. imzala.org bu adımda operatörün alt işleyeni değildir.
• WhatsApp (Meta Platforms Ireland Ltd.), sözleşmeyi gönderen taraf WhatsApp bildirim kanalını açtıysa, size iletilen bildirimin taşıdığı telefon numaranız ve iletim meta verisi bakımından kendi kullanım şartları uyarınca bağımsız veri sorumlusudur; İmzala.org'un alt işleyeni değildir (§6).

İletişim / veri sorumlusu başvuruları: [email protected] - DPO: [email protected].

Kontrol Panelinden İmza At

Kontrol panelindeki İmza At akışında kendi yüklediğiniz belgeyi, hesabınızdan tek imzacı olarak imzalarsınız. Belge başka bir kişiye gönderilmez; imza daveti ve hatırlatma iletilmez. Bu akışta yukarıda "sözleşmeyi size gönderen taraf" için anlatılan katman sizsiniz: yüklediğiniz belgenin içeriği ve belgede yer alan kişisel veriler (üçüncü kişilere ait olanlar dahil) bakımından siz veya adına hareket ettiğiniz organizasyon veri sorumlusudur; Codeck Yazılım A.Ş. (imzala.org) bu içeriği yalnızca imzalama hizmetini sunmak için veri işleyen sıfatıyla işler. Codeck Yazılım A.Ş., hesap güvenliği, kötüye kullanımın önlenmesi ve imza delilinin bütünlüğü için tuttuğu kayıtlarda (§2'de sayılan beyan ve onay kayıtları ve imza delili) bağımsız veri sorumlusudur. Bu akışta imza ekranında Kullanım Koşulları ve bu metin için ayrı bir onay kutucuğu gösterilmez; hesabınızda yürürlükteki Kullanım Koşulları'nı kabul etmiş olmanız aranır ve imza ekranında bu metne bağlantı verilir. Kontrol panelindeki İmza At akışında telefon, konum, kimlik ve biyometrik doğrulama adımları sunulmaz. Mobil uygulama sunulduğunda bu adımlardan birini orada kendiniz seçerseniz, adım §2'deki ilgili kalemde açıklandığı gibi işlenir; konum ve biyometrik adımlar için açık rızanız ayrıca alınır, seçiminiz ve varsa rızanızı geri çekmeniz ayrı bir kayıt olarak tutulur.

2. İşlenen Kişisel Veriler

• Kimlik ve iletişim: ad, soyad, e-posta, telefon; sözleşme gerektiriyorsa doğum tarihi ve T.C. Kimlik Numarası (kimlik doğrulama ve ispat değeri için). Kurumsal taraf bilgileri (gönderen girdiyse): ticaret unvanı veya işletme adı, vergi numarası (şahıs işletmelerinde T.C. kimlik numarası olabilir), vergi dairesi, adres (ilçe ve il dahil); bu bilgiler bakımından veri sorumlusu gönderen taraftır (§1). Bu bilgiler, gönderen tarafın şablonunda kullanılmışsa sözleşme belgesine yazılır ve belgeyle birlikte sözleşmenin diğer taraflarına ulaşır; bu bilgilerde hata varsa düzeltilmesini sözleşmeyi size gönderen taraftan isteyebilirsiniz.
• İşlem güvenliği / imza delili: bağlantı IP adresiniz, cihaz ve tarayıcı bilgisi, sözleşmeyi görüntüleme ve imzalama zaman damgaları, imza görseli (el yazısı), imzanın bütünlük özeti ve zaman damgası; size gönderilen e-posta bildiriminin teslim ve bağlantı tıklama zamanı, SMS bildiriminin gönderim zamanı ve (sağlayıcı bildirdiğinde) teslim durumu ile WhatsApp bildiriminin gönderim zamanı. Mesajlaşma uygulamalarının ve sosyal ağların bağlantı önizleme sunucuları cihaz bilgilerinden tanındığında, bu sunucuların bağlantıyı açması görüntüleme olarak kaydedilmez. Önceden kaydedilmiş bir görüntülemenin cihaz bilgisi bilinen bir bağlantı önizleme aracına uyuyorsa kayıt silinmez ve değiştirilmez; kayda ayrı bir işaret eklenir ve bu görüntüleme, sözleşmeyi gönderen tarafın kontrol panelinde "Önizleme aracı tarafından açılmış olabilir" notuyla gösterilir. İmza sayfasının ve bu sayfada gösterilen bilgilendirme, onay ve rıza metinlerinin size hangi dilde (Türkçe veya İngilizce) gösterildiği de kaydedilir. İmza sayfasında ayrıca şu adımlar zamanlarıyla kaydedilir: sayfanın açılması; belgenin yüzde 25, 50, 75, 90 ve 100'ünün ekranda görüntülenmesi; her sayfanın ilk kez görüntülenmesi; "Belgeyi gördüm, devam et" düğmesine basılması ve o anda görüntülenen belgenin bütünlük özeti (SHA-256); bir alanın doldurma penceresinin açılması (yalnızca alanın kimliği ve türü); imza kutusunun açılması ve kaydet düğmesine basılması. Her adımda cihazınızın bildirdiği zaman, sunucunun kaydı aldığı zaman, son bölümü maskelenmiş IP adresiniz ve cihaz/tarayıcı türünüz kaydedilir. Kayıt ayrıca sunucuda gerçekleşen doğrulama ve imza adımlarını içerir: telefon doğrulama kodunun gönderilmesi, doğrulanması veya başarısız denemeler (kod ve telefon numarası olmadan); kimlik fotoğrafı doğrulamasının sonuç durumu (başarısız denemelerde ret nedeni kodu dahil) ve varsa kimlik görüntülerinin geri döndürülemez özeti; canlılık ve kimlik kartı çipi (NFC) doğrulamasının yalnızca sonuç durumu; imza, ret, imzasız onay ve güvenli elektronik imza adımı. Canlılık ve kimlik kartı çipi (NFC) doğrulamasının ayrıntılı eşleşme sonucu ve başarısızlık nedeni bu kayda girmez. Adımlar birbirine bütünlük özetleriyle zincir halinde bağlanır. İmzanızı attığınız anda zincirin son halkası, imzanız için zaman damgası alınan kayda eklenir; imzadan sonra zincire yeni adım eklenmez. İmzayı reddettiğinizde, imzasız onay verdiğinizde veya belgeyi güvenli elektronik imza (USB token ya da mobil imza) ile imzaladığınızda da zincirin son halkası kişisel veri içermeyen ayrı bir kayda eklenir, bu kaydın yalnızca bütünlük özeti için TÜBİTAK KamuSM zaman damgası alınır ve bu işlemden sonra zincire yeni adım eklenmez. Alanlara yazdığınız değerler, metin, imza görseli ayrıca bu kayda girmez; fare ve klavye hareketleriniz ve ekran kaydı tutulmaz. Ekran adımları belgenin ekranda görüntülendiğini gösterir; okunduğunu veya anlaşıldığını göstermez.
• Telefon doğrulaması (opsiyonel): Sözleşmeyi gönderen taraf bu adımı açtıysa, telefon numaranıza SMS ile tek kullanımlık bir doğrulama kodu gönderilir; kod, doğrulama sonucu ve zamanı işlenir. Kod iki biçimde istenebilir. Birincisinde kod, sözleşmeyi görüntülemeden önce istenir. İkincisinde, gönderen taraf bu seçeneği imza alanında açtıysa, kod sözleşmeyi görüntülemeden önce değil, ilk imzanızı kaydetmeden hemen önce gönderilir ve doğrulama bu imzayla ilişkilendirilerek kaydedilir; bu durumda sözleşme, imza bağlantısını açan kişi tarafından kod girilmeden görüntülenebilir. Sözleşmede telefon doğrulaması da açıksa, imzadan önce yaptığınız reddetme veya imzasız onay gibi işlemler için de ayrı bir kod istenir ve ilk imzanızda kod yeniden istenir. Kod 5 dakika geçerlidir. Doğrulamanın numaranızla ilişkisini sonradan gösterebilmek için telefon numaranızın anahtarlı bir özeti saklanır; numara sonradan değişirse kayıtlarda "önceki numara" ibaresi yer alır. Bu adım kimliğinizi değil, gönderenin girdiği telefon numarasına o anda erişimi olduğunu kaydeder.
• Kaşe bilgileri (opsiyonel): Sözleşmeyi gönderen taraf sizin dolduracağınız bir kaşe alanını önceden doldurabilir (örneğin şirket adı, adres, vergi numarası, telefon veya T.C. kimlik numarası). Bu bilgileri imzalamadan önce düzeltebilir veya zorunlu olmayan kaşeyi temizleyebilirsiniz. Düzenlemediğiniz önceden doldurulmuş kaşede, imza ekranında ve Tamamlanma Sertifikası'nda "Bu kaşe bilgileri sözleşmeyi gönderen tarafından önceden doldurulmuştur." ibaresi yer alır. Bu bilgiler bakımından veri sorumlusu gönderen taraftır (§1).
• Coğrafi konum (opsiyonel): yalnızca açık rızanızla tam konum (GPS); rıza vermezseniz yalnızca IP'den türetilen yaklaşık konum işlenebilir ve imzayı yine tamamlayabilirsiniz.
• Biyometrik doğrulama (opsiyonel, özel nitelikli): gönderen taraf talep ederse ve yalnızca ayrı açık rızanızla yüz/canlılık doğrulaması veya kimlik kartınızın NFC çipini okuma. Ayrıntı: KVKK Aydınlatma Metni.
• T.C. Kimlik Doğrulama (opsiyonel): Sözleşmeyi gönderen taraf bu adımı açtıysa, ad-soyad, T.C. kimlik numarası ve doğum tarihi bilgilerinizin birbiriyle uyumu Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (NVİ/KPS) kayıtları üzerinden yalnızca doğrulama sorgusuyla kontrol edilir; NVİ'ye yeni veri kaydedilmez. Sisteme yalnızca doğrulama sonucu ve tarihi yazılır.
• Kimlik Fotoğrafı Doğrulama (opsiyonel): Sözleşmeyi gönderen taraf bu adımı açtıysa, kimlik kartınızın ön ve arka yüzünü cihazınızın kamerasıyla çekersiniz. Görüntüdeki bilgiler (ad, soyad, T.C. kimlik numarası, doğum tarihi) optik karakter tanıma (OCR) ve makine tarafından okunabilir alan (MRZ) üzerinden okunarak sözleşmedeki imzacı bilgileriyle eşleştirilir. Yüz tanıma yapılmaz; görüntüden biyometrik şablon çıkarılmaz. Kimlik görüntüleri şifreli olarak saklanır; kimlik kontrolü, sözleşme sürecinin kanıtlanması ve hizmetin işletilmesi (hata giderme, uyuşmazlık incelemesi ve denetim) amaçlarıyla işlenir. İmzala.org'da görüntülere yalnızca sınırlı sayıda yetkili personel, kayıt altına alınan erişimle ulaşabilir. Kimlik görüntüsü doğrulamanın tamamlanmasından sonra 90 gün, sonuçsuz kalan denemelerde 30 gün içinde silinir; doğrulamanın yapıldığını gösteren maskeli özet ve eşleşme sonucu sözleşme kaydıyla birlikte saklanmaya devam eder. Sözleşme kurum çalışma alanından gönderildiyse bu doğrulama için veri sorumlusu kurumdur; İmzala.org doğrulamayı onun adına veri işleyen sıfatıyla yürütür. Hukuki sebebi kurum belirler; bunun için sözleşmeyi gönderen kurumun aydınlatma metnine bakınız. Sözleşmeyi gönderen kurum kimlik belgesinin saklanmasını da seçtiyse, kimlik çekimi baştan, saklama amacı da dahil olmak üzere kurum adına yapılır; doğrulama başarıyla tamamlandığında kimlik kartınızın ön ve arka yüzü birlikte kurumun kaydı olarak saklanır ve kurumun yetkili kullanıcıları erişebilir. Kartın arka yüzünde anne ve baba adınız da bulunur. Başarısız veya sonuçsuz denemelerin görüntüleri bu amaçla saklanmaz. Bu kayıt için veri sorumlusu kurumdur, süre kurumun belirlediği belge saklama süresidir ve kayıt Belge Toplama Aydınlatma Metni'ne tabidir; yukarıdaki 90 günlük süre yalnız doğrulama görüntüsüne uygulanır. Bu seçim yapıldıysa kimlik çekiminden önce size amacıyla birlikte bildirilir. Ayrıntı: KVKK Aydınlatma Metni.
• Gönderenin elle incelemesi (kimlik veya canlılık doğrulaması otomatik olarak sonuçlanmadığında): Yüz eşleşmesi veya kimlik ön yüzündeki portre belirlenen eşiğin altında kalıp diğer kontroller geçtiğinde doğrulama kabul edilebilir; bu durum gönderen tarafa bildirilir ve Tamamlanma Sertifikası'nda belirtilir. Kimlik fotoğrafı veya canlılık doğrulamanız otomatik olarak tamamlanamazsa (sonuç belirsiz kalırsa veya eşleşme sağlanamazsa), imza sürecinizin devamı sözleşmeyi size gönderen tarafın kararına bırakılabilir. Sözleşme kurum çalışma alanından gönderildiyse kurumun yetkili kullanıcılarına doğrulamanın teknik skorları, başarısız kontroller ve kimlik kartınızın yalnızca ön yüzü gösterilir. Sözleşme kişisel çalışma alanından gönderildiyse gönderene yalnızca nötr bir sonuç kodu gösterilir; skor ve kimlik görüntüsü gösterilmez. Kartın arka yüzü ve canlılık sırasında çekilen yüz kareleri gönderene hiçbir durumda gösterilmez. Gönderen, gerekçe yazarak onay veya ret kararı verir; karar, gerekçesi, kararı veren rol ve zamanı kayda geçer. Elle onay kararı ve bu kararın sorumluluğu gönderene aittir. Bu durumda İmzala.org kimliğinizi doğrulamış olmaz; gönderenin kararı bir kanaattir, kimlik doğrulaması değildir. İmzala.org yöneticisi bu kararı yalnızca sözleşmeyi gönderen kurumun yazılı talebiyle ve talebin kaydıyla uygular. Karar belirlenen süre içinde (varsayılan 48 saat) verilmezse yalnızca sizin imza süreciniz kapatılır; sözleşmenin akıbetine gönderen taraf karar verir. Bu durumda size ve gönderene bildirim gönderilir; bildirimde skor, ret sebebi, görüntü veya T.C. kimlik numarası yer almaz. İnceleme sonucuna itiraz yolu §7'de, görüntülerin karar sonrasında silinmesi ve kalan kayıtlar §5'te açıklanmıştır.
• Mobil İmza ile güvenli elektronik imza (opsiyonel): Sözleşmeyi gönderen taraf güvenli elektronik imza seçeneğini açtığında ve siz imzayı Mobil İmza ile atmayı seçtiğinizde veya kendi belgenizi imzalarken bu yöntemi seçtiğinizde; operatörünüzü seçer ve mobil imza aboneliğinizin bulunduğu telefon numarasını girersiniz. Telefonunuza gelen imza isteğinde, sözleşme kayıt numarasının bir bölümünü içeren nötr bir işlem açıklaması görünür ve imzayı tek bir mobil imza PIN'i ile onaylarsınız. Operatörden sertifika referansları eksik dönerse, öncesinde bir kez sertifika eşleştirme adımı istenebilir; o adımda telefonunuzda ad-soyadınız, altı haneli bir kod ve işlem zamanı görünür, metin "Sozlesme imzasi degildir" ibaresi taşır ve o adımda sözleşme imzalanmış olmaz. Operatörden dönen nitelikli sertifikanız (içinde ad-soyad ve T.C. kimlik numarası yer alır) sözleşmedeki imzacı bilgileriyle karşılaştırılır. Sisteme numaranız, operatör adı, sertifikanızın parmak izi ve kimlik eşleşmesinin sonucu yazılır. Sözleşmenizin içeriği operatöre gönderilmez; imzalanan değer, belgeden üretilen ve geri döndürülemeyen bir özettir.
• Karar gerekçesi: Sözleşmede onaylayan rolü tanımlıysa kararınızı Onayla, Değişiklik Talep Et veya Kesin Reddet seçeneklerinden biriyle verirsiniz; Değişiklik Talep Et ve Kesin Reddet kararlarında yazdığınız gerekçe metni (en az 10, en fazla 1000 karakter) işlenir, Onayla kararında gerekçe istenmez. İmzalayan sıfatıyla katılıyorsanız imzayı reddederken gerekçe yazmanız zorunlu değildir; yazarsanız bu metin de aynı şekilde işlenir. İmzalayan sıfatıyla değişiklik talep ederken yazdığınız açıklama da aynı şekilde işlenir. Gerekçe sizin serbestçe yazdığınız metindir; bu metne gerekli olmayan kişisel veri (örneğin başka bir kişinin kimlik veya iletişim bilgisi) eklememenizi öneririz.
• Sözleşmenin yeni sürümü: Sözleşmeyi gönderen taraf, gönderdiği sözleşmede değişiklik veya düzeltme gerektiğinde (örneğin bir tarafın değişiklik talebi üzerine) sözleşmenin yeni bir sürümünü hazırlayıp gönderebilir. Bu durumda sözleşmede sizin için kayıtlı kimlik ve iletişim bilgileriniz (gönderen tarafın girdiği ve önceki sürümde kimlik doğrulama sırasında sizin girdiğiniz bilgiler dahil: ad-soyad, e-posta, telefon ve sözleşmede varsa T.C. kimlik numarası, kimlik kartı seri numarası, doğum tarihi, adres ve şirket bilgileri) yeni sürüme taşınır. Kimlik doğrulamanın sonucu taşınmaz; gerekiyorsa yeni sürümde yeniden yapılır. Önceki sürümde verdiğiniz onay, imza, karar ve rıza kayıtları, doğrulama sonuçları ve imza delili yeni sürüme taşınmaz; önceki sürümün kaydı olarak, o sürümün belgesiyle birlikte değiştirilmeden saklanır. Gönderen taraf yeni sürümde bilgilerinizden birini değiştirirse, bunun aynı kişinin bilgisinin düzeltilmesi mi yoksa tarafın başka bir kişiyle değiştirilmesi mi olduğu gönderen tarafın seçimine göre sürüm kaydına geçer. Gönderen taraf bir seçim yapmazsa, T.C. kimlik numarası başka bir geçerli numarayla değiştirildiğinde ya da numara yoksa e-posta ve telefon birlikte değiştirildiğinde taraf başka bir kişi olarak, diğer düzeltmelerde aynı kişi olarak kaydedilir. Bu kayıt; sözleşmenin sürümlerinde aynı kişiye ait kayıtların birbiriyle eşleştirilmesi (sürüm geçmişi ve sürümler arası karşılaştırma) ve silme ile düzeltme taleplerinizin size ait tüm sürümlere uygulanabilmesi için tutulur. Bu eşleştirme ve önceki sürümdeki işlem kayıtları, sözleşmeyi gönderen tarafın hizmet bedelinin (kredi) sürümler arasında doğru hesaplanmasında da kullanılır; bu kullanım sizin için ek bir sonuç doğurmaz. İmzala.org bu beyanla kimliğinizi doğrulamaz. Sözleşmenin tüm sürümleri aynı sözleşme kaydının parçasıdır ve aynı saklama süresine tabidir (§5).
• Çok belgeli gönderimlerde belge kararları: Sözleşmeyi gönderen taraf gönderime birden fazla belge eklediyse (örneğin sözleşme, aydınlatma metni, açık rıza metni, ön bilgilendirme formu), her belge için verdiğiniz karar (kabul etti, okuduğunu teyit etti, reddetti, rıza verdi veya rıza vermedi) ve kararın zamanı kaydedilir. Açık rıza metnine verdiğiniz karar, o metni size sunan gönderen tarafın kendi işleme faaliyetine ilişkindir; bu faaliyetin veri sorumlusu gönderen taraftır ve İmzala.org bu kaydı gönderen adına tutar (§1). Rıza vermemeniz sözleşmeyi imzalamanıza engel olmaz. Verdiğiniz rızayı geri çekmek için talebinizi gönderen tarafa iletmeniz gerekir.
• İmzalı belgedeki imza kutusu: Sözleşmeyi gönderen taraf imza kutusunda bu bilgilerin gösterilmesini seçtiyse, imzalı PDF'te imzanızın yanında adınız soyadınız, imza zamanı ve sözleşmede kayıtlı kimlik numaranızın (örneğin T.C. kimlik numarası) yalnız ilk 3 ve son 2 hanesi görünür; diğer haneler yıldızla gizlenir. Bu PDF sözleşmenin bütün taraflarına verilir.
• Tamamlanan imzalı belgeye eklenen kanıt dosyaları: İmza süreci tamamlandığında tüm taraflara verilen imzalı PDF'in içine ek dosya olarak şunlar konur: her imzacı için imza kaydının taraflarla paylaşılan kısmı (taraf sırası ve rolü, imza zamanı, imza görselinin ve size sunulan belge sayfalarının bütünlük özetleri, imza sayfası etkileşim kaydının son halkasının özeti ve kayıt sayısı), bu kısım için alınan TÜBİTAK KamuSM zaman damgası ve doğrulama talimatı. İmza kaydının paylaşılan kısmı adınızı, IP adresinizi, cihaz ve tarayıcı bilginizi, konumunuzu, T.C. kimlik numaranızı veya özetini, telefon numaranızı ve doğrulama kodu bilgisini içermez; bunlar imza kaydının platformda ayrı saklanan kısmındadır ve paylaşılan kısımda yalnızca bu ayrı kısmın rastgele bir değerle oluşturulmuş bütünlük özeti yer alır. Gönderen tarafın yüklediği özgün belge de yüklendiği haliyle (dosyanın içindeki üst veri ve varsa önceki düzenleme sürümleri dahil) eklenebilir; eklenmediğinde yalnızca bütünlük özeti yazılır. Özgün belge eklendiğinde içeriği (sözleşme metninde yer alan kişisel veriler dahil) belgede yazıldığı haliyle eklenir. Güvenli elektronik imzayla imzalanan, önceden imzalanmış veya arşiv biçimindeki belgelere bu ekler konmaz.
• Kontrol panelinden İmza At (yalnızca bu akışı kullanırsanız): Yüklediğiniz her dosyanın adı, türü, boyutu, bütünlük özeti (SHA-256) ve dosyada önceden bulunan imza sayısı kaydedilir; PDF dışındaki belge ve görseller PDF'e dönüştürülür ve sayfa görselleri oluşturulur. Akıştaki beyan ve onaylar ayrı birer kayıt olarak tutulur: yükleme adımında işaretlediğiniz yükleme yetkisi beyanı; İmzalamaya devam et düğmesine basıp güvenli imzalama alanını açtığınızda imza yönteminin hukuki etkisi ve kanıt kayıtları hakkındaki bilgilendirmenin teyidi, imza niyeti beyanı ve hesabınızda daha önce kabul ettiğiniz Kullanım Koşulları kaydına yapılan atıf; taslağı silerseniz silme talebiniz. Bilgilendirme teyidi ve imza niyeti, bu düğmeye basmanızla sunucunun sabit beyan metinlerinin sürümü ve özeti kullanılarak kaydedilir; mobil uygulamada ise uygulamanın size gösterdiği metnin özeti kaydedilir. Her kayıtta beyan metninin sürümü ve bütünlük özeti, kayıt zamanı ve belgenin o andaki sürümünün bütünlük özeti yer alır; bilgilendirme teyidi, imza niyeti ve Kullanım Koşulları atfı kayıtlarında ayrıca son bölümü maskelenmiş IP adresiniz, cihaz türünüz ve tarayıcı bilginizin geri döndürülemez özeti (mobil uygulamada ayrıca işletim sistemi ve uygulama sürümü) bulunur. Kayıtlar, sizi ve çalışma alanınızı bu belgeyle ilişkilendiren geri döndürülemez bir tanımlayıcı taşır. Belgeyi kendi adınıza mı yoksa çalışma alanınızdaki organizasyon adına yetkili temsilci olarak mı imzaladığınıza ilişkin seçiminiz kaydedilir; bu seçim ve organizasyonun unvanı, belge sürümünün bütünlük özetine dahil edilir. Aynı yüklemenin yanlışlıkla tekrarlanmasını önlemek için hesabınızla ilişkili bir yükleme işlem kaydı tutulur; bu kayıtta dosya adı ve dosya içeriği açık metin olarak yer almaz, yalnızca bunlardan üretilen geri döndürülemez özetler bulunur. Güvenli elektronik imzayı seçerseniz, imzanın sertifikanızdaki kimlik numarasıyla eşleştirilebilmesi için T.C. kimlik numaranız alınır ve imza kaydına yazılır; profilinizde kayıtlı bir kimlik numarası varsa onunla da karşılaştırılır, kayıtlı değilse dilerseniz profilinize de kaydedilir. Hesabınızda doğrulanmış bir telefon numarası varsa bu numara imza kaydındaki tarafınıza kopyalanır; İmza At akışında Mobil İmza yalnızca bu doğrulanmış numarayla ve tek belgeli işlemlerde kullanılabilir. İmzanızı attığınızda yukarıdaki işlem güvenliği / imza delili kayıtları bu akışta da tutulur. İmza tamamlandığında imzalı belge, PDF eki olarak hesabınızın e-posta adresine gönderilir; hesabınızda telefon numarası kayıtlıysa ayrıca SMS bildirimi iletilebilir.

3. İşleme Amaçları

Sözleşmeyi görüntülemenizi ve imzalamanızı sağlamak; imzanın kime, ne zaman ve hangi koşullarda atıldığını delillendirmek (inkâr edilemezlik); imza sürecinin güvenliğini ve bütünlüğünü sağlamak; kötüye kullanımı önlemek; sözleşmenin yeni bir sürümü gönderildiğinde önceki sürüm için sürecin kapatıldığını size bildirmek ve sözleşmenin sürüm geçmişini kayıt altında tutmak; sözleşmeyi gönderen tarafa sunulan hizmetin bedelini hesaplamak; ilgili mevzuattan doğan yükümlülükleri yerine getirmek.

4. Hukuki Sebep

Veri	Hukuki sebep (KVKK)
Ad-soyad, e-posta, telefon, T.C. Kimlik No, doğum tarihi, kurumsal taraf bilgileri	m.5/2-c, sözleşmenin ifası (imzalayan taraf)
IP, cihaz/tarayıcı, görüntüleme/imza zaman damgaları, imza görseli, bütünlük özeti	m.5/2-f, meşru menfaat (delil değeri) ve m.5/2-ç, hukuki yükümlülük (5070)
İmzalı belgeye eklenen kanıt dosyaları (imza kaydının paylaşılan kısmı, zaman damgası, eklendiğinde özgün belge)	m.5/2-f, meşru menfaat (delil değeri) ve m.5/2-e, bir hakkın tesisi, kullanılması veya korunması
İmza sayfası etkileşim kaydı (sayfanın açılması, görüntülenen bölüm oranları, sayfaların ilk görüntülenmesi, "Belgeyi gördüm" adımı ve belge özeti, alan penceresi açma (alan türü), imza kutusu ve kaydet adımları; zamanlar, maskeli IP, cihaz türü). Kayıt ayrıca sunucuda gerçekleşen doğrulama ve imza adımlarını içerir: telefon doğrulama kodunun gönderilmesi, doğrulanması veya başarısız denemeler (kod ve telefon numarası olmadan); kimlik fotoğrafı doğrulamasının sonuç durumu (başarısız denemelerde ret nedeni kodu dahil) ve varsa kimlik görüntülerinin geri döndürülemez özeti; canlılık ve kimlik kartı çipi (NFC) doğrulamasının yalnızca sonuç durumu; imza, ret, imzasız onay ve güvenli elektronik imza adımı. Canlılık ve kimlik kartı çipi (NFC) doğrulamasının ayrıntılı eşleşme sonucu ve başarısızlık nedeni bu kayda girmez.	m.5/2-f, meşru menfaat (imzanın hangi belge görüntülenerek atıldığının delillendirilmesi); uyuşmazlık hâlinde m.5/2-e, bir hakkın tesisi, kullanılması veya korunması
Tam konum (GPS)	m.5/1, açık rıza (opsiyonel)
Biyometrik yüz/canlılık doğrulama	KVKK m.6/3-a, açık rıza (opsiyonel, özel nitelikli)
Gönderenin elle incelemesi (kurum çalışma alanında teknik skorlar, başarısız kontroller ve kimlik kartının ön yüzü, kişisel çalışma alanında nötr sonuç kodu; karar, gerekçe, kararı veren rol ve zaman, görüntülerin özet değerleri)	Sözleşme kurum çalışma alanından gönderildiyse hukuki sebebi veri sorumlusu kurum belirler (kurumun aydınlatma metnine bakınız); kişisel çalışma alanından gönderilen sözleşmede m.5/2-f, meşru menfaat (kimlik doğrulama ve delil değeri); canlılık doğrulamasının yapılması için verdiğiniz açık rıza (KVKK m.6/3-a); karar kaydı ve uyuşmazlık hâlinde KVKK m.5/2-e ve m.6/3-d. Kurumun seçtiği saklama ve dondurmanın hukuki sebebini veri sorumlusu kurum belirler.
T.C. kimlik doğrulama sorgusu (NVİ/KPS eşleştirmesi)	m.5/2-f meşru menfaat (kimlik doğruluğu ve delil değeri); m.5/2-ç (5070)
Kimlik belgesi görüntüsü (ön+arka), OCR/MRZ ile okunan bilgilerin eşleşme sonucu	Sözleşme kurum çalışma alanından gönderildiyse hukuki sebebi veri sorumlusu kurum belirler (kurumun aydınlatma metnine bakınız); kişisel çalışma alanından gönderilen sözleşmede m.5/2-f, meşru menfaat (kimlik doğrulama ve delil değeri) (opsiyonel)
Kurumun seçimiyle kurum adına saklanan kimlik belgesi (ön ve arka yüz)	Hukuki sebebi veri sorumlusu kurum belirler (kurumun aydınlatma metnine bakınız) (opsiyonel)
Telefon doğrulama kodu (SMS OTP), doğrulama sonucu, zamanı ve türü (giriş, ilk imza, ilk işlem), telefon numarasının anahtarlı özeti; bildirim e-postası teslim ve tıklama zamanı, SMS ve WhatsApp gönderim zamanı	m.5/2-f, meşru menfaat (işlem güvenliği ve delil değeri)
Sonuç sayfası bağlantısı kaydı (bağlantının geri döndürülemez özeti, gönderildiği taraf ve kanal, oluşturma, geçerlilik ve iptal zamanı; İmzala.org bu kaydı gönderen taraf adına tutar, §1)	Gönderen tarafın hukuki sebebi; imzalı belge örneğinin size ulaştırılması bakımından kural olarak m.5/2-c, sözleşmenin ifası
Yeni bağlantı isteği (güvenlik doğrulaması ve IP adresini, SMS veya WhatsApp ile gönderimde telefon numarasını içeren kısa süreli istek sayaçları)	m.5/2-f, meşru menfaat (bağlantının güvenliği ve kötüye kullanımın önlenmesi)
Mobil İmza: telefon numarası, operatör adı, nitelikli sertifika ve kimlik eşleşme sonucu (yalnızca bu yöntemi seçerseniz)	m.5/2-c, sözleşmenin ifası ve m.5/2-ç, hukuki yükümlülük (5070)
Karar gerekçesi (ret ve değişiklik talebi)	m.5/2-c, sözleşmenin kurulması ve ifası sürecindeki beyan; m.5/2-f, meşru menfaat (delil değeri)
Sözleşmenin yeni sürümüne taşınan kimlik ve iletişim bilgileri	m.5/2-c, sözleşmenin kurulması ve ifası; m.5/2-f, meşru menfaat (sözleşmenin düzeltilmiş sürümünün aynı taraflarla sürdürülmesi)
Önceki sürümün belgesi ve kayıtları	m.5/2-f, meşru menfaat (sürüm geçmişinin ve delil değerinin korunması); uyuşmazlık hâlinde m.5/2-e, bir hakkın tesisi, kullanılması veya korunması
Sürüm kaydındaki "aynı kişi" kaydı	m.5/2-f, meşru menfaat (sürümlerdeki kayıtların birbiriyle eşleştirilmesi); silme ve düzeltme taleplerinizin size ait tüm sürümlere uygulanması bakımından m.5/2-ç, hukuki yükümlülük (KVKK m.7 ve m.11)
Sözleşmeyi gönderen tarafın hizmet bedelinin hesaplanmasında kullanılan eşleştirme ve işlem kayıtları	m.5/2-f, meşru menfaat (sunulan hizmetin bedelinin doğru hesaplanması)
Yeni sürüm bildirimi (bildirimin gittiği kanal, gönderim durumu ve zamanı)	m.5/2-c, sözleşmenin kurulması ve ifası (sürecin durumunun taraflara bildirilmesi); m.5/2-f, meşru menfaat (bildirimin yapıldığının ispatı)
Kontrol panelinden İmza At: yüklenen dosyanın adı, türü, boyutu ve bütünlük özeti, imzalama sıfatı seçimi, yükleme işlem kaydı (yalnızca bu akışı kullanırsanız)	m.5/2-c, sözleşmenin ifası (hizmetin sunulması)
Kontrol panelinden İmza At: güvenli elektronik imzada T.C. kimlik numarası	m.5/2-c, sözleşmenin ifası; m.5/2-ç, hukuki yükümlülük (5070); uyuşmazlık hâlinde m.5/2-e, bir hakkın tesisi, kullanılması veya korunması
Kontrol panelinden İmza At: beyan ve onay kayıtları (beyan sürümü ve özeti, zaman, belge sürümünün özeti; ilgili kayıtlarda maskeli IP ve cihaz bilgisi)	m.5/2-f, meşru menfaat (işlem güvenliği, kötüye kullanımın önlenmesi ve delil değeri); uyuşmazlık hâlinde m.5/2-e, bir hakkın tesisi, kullanılması veya korunması

İmza sürecinin çekirdek verileri (kimlik, IP, cihaz, imza görseli, zaman damgası) yukarıdaki sebeplere dayandığından bunlar için açık rıza alınmaz. İmza ekranında onayladığınız kutucuk, Kullanım Koşulları'nın kabulü ile bu aydınlatmanın okunduğunun teyididir; KVKK kapsamında bir açık rıza değildir. Açık rıza yalnızca yukarıda opsiyonel olarak işaretli konum ve biyometrik adımlarda ayrıca alınır; Kimlik Fotoğrafı Doğrulama adımı için İmzala.org ayrıca açık rıza istemez; kişisel çalışma alanından gönderilen sözleşmede bu adım meşru menfaat kapsamında işlenir, sözleşme kurum çalışma alanından gönderildiyse hukuki sebebini kurum belirler. Adım yalnızca gönderen tarafın tercihiyle etkinleşir. Kontrol panelinden İmza At akışı için §1'e bakın.

5. Saklama Süreleri

• İmza ve delil verileri (kimlik, IP, cihaz, imza görseli, zaman damgası, onay kaydı, karar ve ret gerekçeleri, imza sayfası etkileşim kaydı, bildirim teslim ve tıklama zamanları, imza kaydının platformda ayrı saklanan kısmı): sözleşme kaydıyla birlikte, delil değeri ve yasal saklama yükümlülükleri kapsamında 10 yıla kadar (5070, TTK m.82, TBK m.146, HMK m.199). Etkileşim kaydı bir bütün olarak saklanır ve sözleşme silindiğinde bir bütün olarak silinir. Kayıt zincir yapısında olduğundan tek tek adımlar ayrı ayrı silinmez. İmzalı belgeye eklenen kanıt dosyaları, belgenin taraflardaki kopyalarında kalır; platformdaki silme bu kopyaları etkilemez. Platformda ayrı saklanan kısım silindikten sonra paylaşılan kısımdaki bütünlük özeti artık açılamaz.
• Telefon doğrulama kodu: 5 dakika; doğrulama, süre dolumu veya deneme sınırı aşımında silinir, kullanılmayan kodlar en geç ertesi gün otomatik temizlenir. Doğrulama sonucu, zamanı, türü ve telefon numarasının anahtarlı özeti imza ve delil verileriyle birlikte 10 yıla kadar saklanır; sözleşme silindiğinde birlikte silinir.
• Kimlik belgesi görüntüsü (ön+arka): doğrulama tamamlandıktan sonra 90 gün, sonuçsuz kalan denemelerde 30 gün içinde silinir; kabul edilmeyen belge türüyle yapılan denemelerde görüntü ret üzerine silinir. Bir uyuşmazlık, talep veya yasal inceleme nedeniyle gerekli olması hâlinde görüntü, yalnızca bu ihtiyaç sürdüğü süreyle sınırlı olarak, bir hakkın tesisi, kullanılması veya korunması amacıyla (KVKK m.5/2-e) saklanabilir. Gönderenin elle incelemesine giren doğrulamada bu saklama, yalnızca sözleşmeyi gönderen kurumun somut bir uyuşmazlığı belirterek kayıtları dondurmasıyla yapılır (aşağıya bakın).
• Kurum adına saklanan kimlik belgesi (kurumun seçimiyle): sözleşme tamamlandığında kurumun belirlediği belge saklama süresi; o zamana kadar ve kurum süre belirlemediyse 365 gün (Belge Toplama Aydınlatma Metni); sözleşme iptal edilir, süresi dolar veya reddedilirse kalan süre 90 güne iner; doğrulama görüntüsünün süresi bundan etkilenmez.
• Kimlik doğrulama kaydı (okunan bilgilerin maskeli özeti, kimlik görüntülerinin geri döndürülemez özeti, eşleşme sonucu ve doğrulama zaman damgası): imza deliliyle birlikte 10 yıla kadar (5070, TTK m.82 (tacir tarafında), TBK m.146, HMK m.199).
• Mobil İmza kayıtları: İmzayı bu yöntemle attıysanız telefon numaranız, operatör adı, sertifikanızın parmak izi ve kimlik eşleşme sonucu, imza deliliyle birlikte 10 yıla kadar saklanır. İmza töreninin kayıtları (operatör işlem numaraları ve telefonunuzda gösterilen işlem açıklaması) ilgili sözleşmeye bağlı tutulur ve sözleşme silindiğinde birlikte silinir. Sonraki imzalarınızda eşleştirmenin tekrarlanmaması için nitelikli sertifikanızın bir kopyası ayrıca saklanır; sertifikanız yenilendiğinde veya değiştiğinde bu kopya yenisiyle değiştirilir. Bu kopyanın silinmesini dilediğiniz zaman [email protected] adresinden talep edebilirsiniz.
• Biyometrik veriler (yüz görüntüleri, canlılık kareleri, eşleşme ayrıntısı ve skoru): en fazla 1 yıl, sonra otomatik silinir/anonimleştirilir. Doğrulamanın yapıldığını ve sonuç durumunu gösteren kayıt biyometrik veri içermez; etkileşim kaydıyla birlikte 10 yıla kadar saklanır. Gönderenin elle incelemesine giren doğrulamada canlılık kareleri karar veya kapanış anında silinir; canlılık skorları ve eşleşme ayrıntısı da bu kalemdeki en çok 1 yıllık süreye tabidir (aşağıya bakın).
• Gönderenin elle incelemesine giren doğrulama (§2): Gönderen karar verdiğinde veya karar süresi dolup imza süreciniz kapatıldığında, kimlik kartınızın ön ve arka yüz görüntüleri ile canlılık kareleri, yukarıdaki süreler beklenmeden silinir. Silmeden önce kararın ve görüntülerin karar anındaki özet değerlerinin (SHA-256) kaydı zaman damgasıyla mühürlenir; zaman damgası alınamazsa alınması yeniden denenir ve görüntüler her durumda en geç 30 gün sonra, damga alınmamış olsa da silinir. Silmeden sonra kayıtta karar, gerekçesi, kararı veren rol ve zamanı, kimlik fotoğrafı doğrulamasının teknik skorları ve görüntülerin karar anındaki özet değerleri kalır; bu kayıt görüntülerin içeriğini yeniden göstermez ve imza deliliyle birlikte 10 yıla kadar saklanır (TBK m.146, HMK m.199). Canlılık skorları ve eşleşme ayrıntısı biyometrik veridir; en çok 1 yıl saklanır, sonra kayıtta yalnızca nötr sonuç kodu kalır. Sözleşmeyi gönderen kurum, yalnızca kimlik kartı görüntülerinin karar sonrasında belirli bir süre (en çok 365 gün) saklanmasını ayarlarından seçebilir ve somut bir uyuşmazlıkta silmeyi durdurabilir (dondurma). Canlılık kareleri bu seçimle saklanmaz; yalnızca somut bir uyuşmazlıkta kurumun dondurmasıyla saklanabilir ve dondurma dışında çekimden itibaren 1 yılı aşacak şekilde saklanmaz. Bu saklamanın dayanağı kurumun beyanıdır (kimlik görüntüleri için KVKK m.5/2-e, canlılık kareleri için KVKK m.6/3-d: bir hakkın tesisi, kullanılması veya korunması için zorunlu olması); süre dolduğunda veya dondurma kaldırıldığında görüntüler silinir.
• WhatsApp bildirim ve yazışma kaydı (gönderilen bildirim metni, alıcı numarası, hatta gönderdiğiniz yanıtlar): bildirim gönderim kaydı imza ve delil verileriyle birlikte 10 yıla kadar; hatta gönderdiğiniz yanıtlar destek yazışması olarak destek kaydı süresince saklanır.
• Sonuç sayfası bağlantısı kaydı (bağlantının geri döndürülemez özeti, gönderildiği taraf ve kanal, oluşturma, geçerlilik ve iptal zamanı): bağlantı 90 gün geçerlidir; kayıt, geçerlilik süresinin bitiminden 30 gün sonra otomatik olarak silinir, sözleşme daha önce silinirse onunla birlikte silinir. Bağlantının kendisi bu kayıtta tutulmaz. Yeni bağlantı isteğinde kötüye kullanımı önlemek için tutulan istek sayaçları (IP adresiniz; SMS veya WhatsApp ile gönderimde ayrıca telefon numaranız) en geç 24 saat içinde kendiliğinden silinir. Süreli olmayan bağlantılar için §2'ye bakın.
• Sözleşme sürümleri: Yeni sürümü gönderilmiş önceki sürümler için ayrı bir süre işletilmez; bu sürümler sözleşme kaydının parçası olarak saklanır ve sözleşme kaydının saklama süresi sona erdiğinde tüm sürümlerle birlikte silinir. Yeni sürüm bildiriminin gönderim takip kaydı (kanal, gönderim durumu ve zamanı; iletişim adresiniz bu kayda yazılmaz) bildirim sonuçlandıktan 1 yıl sonra silinir. Bildirimin hangi kanaldan ve ne zaman gönderildiği bilgisi, sözleşmenin işlem kayıtlarında sözleşme kaydıyla aynı süre saklanır. Gönderen taraf için iki sürüm arasındaki değişiklikleri gösteren bir karşılaştırma raporu üretilebilir. Rapor belgenin değişen bölümlerinin görüntü ve metin parçalarını içerebilir, size gönderilmez ve sözleşme kaydıyla birlikte saklanır ve silinir.
• Tamamlanmayan/terk edilen imza talepleri: ilgili sözleşme silindiğinde bağlı tüm kayıtlar birlikte silinir (kontrol panelinden İmza At'taki beyan ve onay kayıtları hariç, aşağıya bakın).
• Kontrol panelinden İmza At: Tamamlanamayan bir yüklemenin geçici dosyaları kısa süre içinde otomatik olarak silinir. İmzalamayı tamamlamadan önce taslağınızı kontrol panelinden silebilirsiniz; bu durumda yüklediğiniz belge, sayfa görselleri ve alanlara girdiğiniz değerler silinir; silme talebinizi gösteren bir kayıt eklenir ve o ana kadar oluşan beyan ve onay kayıtları silinmez. Silmediğiniz taslaklar, siz silene kadar hesabınızda kalır. Yükleme işlem kaydı 30 gün sonra silinir; o sırada dosya temizliği sürüyorsa temizlik tamamlandığında silinir. İmzaladığınız belge ile imza ve delil kayıtları, yukarıdaki imza ve delil verileriyle aynı süreye tabidir. Beyan ve onay kayıtları (taslağı imzalamadan sildiyseniz silme talebi kaydı dahil), delil değeri kapsamında 10 yıla kadar saklanır.

6. Aktarımlar

• Bildirim iletimi (İmzala.org'un kendi kanalları): e-posta için Mailgun (Frankfurt/AB); SMS için İmzala.org'un sistem hesabı (NetGSM, Kobikom veya Twilio); gönderen taraf WhatsApp kanalını açtıysa WhatsApp (Meta Platforms Ireland Ltd., İrlanda; küresel altyapı). WhatsApp'a yalnızca telefon numaranız, adınız soyadınız, imza bağlantınız ve mesaj metni iletilir; belge içeriği, T.C. kimlik numarası ve IP adresi iletilmez. Bu aktarım KVKK m.9 kapsamında yurt dışı aktarımdır; Meta bu aktarımda İmzala.org'un alt işleyeni değil, veriyi kendi kullanım şartları ve gizlilik politikası uyarınca işleyen bağımsız veri sorumlusudur ve İmzala.org ile ayrı bir veri işleme sözleşmesi bulunmamaktadır. Kanal isteğe bağlıdır, sözleşmeyi gönderen taraf tarafından kapatılabilir; iletilen veri telefon numarası, ad-soyad, imza bağlantısı ve mesaj metniyle sınırlıdır. Bu aktarım için uygun güvencenin (Kurul standart sözleşmesi) tamamlanmasına yönelik süreç yürütülmektedir.
• Bildirim iletimi (gönderen tarafın kendi sağlayıcısı): Sözleşmeyi gönderen kuruluş, bildirimlerin kendi SMS, e-posta (SMTP veya e-posta API) ya da WhatsApp Business hesabı üzerinden iletilmesini seçebilir. Imza sürecine ilişkin bildirimler (örneğin davet, hatırlatma, tamamlanma, red bildirimi, belge kopyası) gönderen kuruluşun tercih ettiği kanal ve sağlayıcı üzerinden iletilebilir; tamamlanma e-postasında imzalı sözleşmenin PDF kopyası ek olarak gönderilir; bu sağlayıcı yurt dışında bulunabilir. Sağlayıcı seçimi ve aktarımın hukuki dayanağı öncelikle gönderen kuruluşun sorumluluğundadır. Bu sağlayıcı İmzala.org'un alt işleyeni değildir; SMS ve e-posta sağlayıcıları gönderen kuruluşun kendi veri işleyenidir, WhatsApp Business hesabında sağlayıcı ile kuruluş arasındaki rol aralarındaki sözleşmeye tabidir. İletim teknik olarak İmzala.org sunucularından yapılır. Bu durum yalnız bildirimin iletimine ilişkindir; imza delili kayıtları (gönderim isteği zamanı, IP, zaman damgası, denetim kaydı) bakımından İmzala.org'un rolü değişmez. Gönderen kuruluş tercih ettiyse, bu sağlayıcıya ulaşılamadığında bildirim İmzala.org'un kendi kanalından iletilebilir.
• Zaman damgası: TÜBİTAK KamuSM zaman damgası hizmeti (yurt içi). Sözleşmeyi gönderen taraf Avrupa Birliği geçerli nitelikli zaman damgası (eIDAS) seçeneğini açtıysa, belgenin yalnızca geri döndürülemez özet değeri (SHA-256) ayrıca Avrupa Birliği'nde yerleşik nitelikli bir zaman damgası hizmetine (Sectigo (Europe) SL, İspanya) iletilir; belge içeriği, kimlik bilgileriniz ve IP adresiniz iletilmez.
• Kimlik doğrulama: Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (NVİ/KPS) - yurt içi, kamu kurumu; yalnızca ad-soyad/T.C. no/doğum yılı eşleşme sorgusu.
• Mobil İmza (yalnızca bu yöntemi seçerseniz): GSM operatörünüze (Turkcell, Türk Telekom veya Vodafone - yurt içi) telefon numaranız, telefonunuzda gösterilecek işlem açıklaması (sözleşme kayıt numarasının bir bölümü; sertifika eşleştirme adımı gerekirse o adımda ad-soyadınız, altı haneli kod ve işlem zamanı) ile imzalanacak geri döndürülemez özet değeri iletilir; operatör imzayı ve nitelikli sertifikanızı döner. Sözleşme içeriği ve IP adresiniz operatöre iletilmez. Operatör bu adımda alt işleyen değil, §1'de açıklanan bağımsız veri sorumlusudur.
• Kimlik belgesinin kurum adına saklanması (kurumun seçimiyle): kimlik kartınızın ön ve arka yüzü, sözleşmeyi gönderen kurumun belge alanında kurumun kaydı olarak saklanır ve kurumun yetkili kullanıcılarının erişimine açılır. Toplama baştan kurum adına yapılır; kayıt, doğrulama tamamlandığında doğrudan kurumun kaydı olarak oluşur. Yeni bir alt işleyen yoktur.
• Gönderenin elle incelemesi (gösterim yoluyla): Kimlik veya canlılık doğrulamanız otomatik olarak sonuçlanmazsa, sözleşme kurum çalışma alanından gönderildiyse kurumun yetkili kullanıcılarına kontrol panelinde doğrulamanın teknik skorları, başarısız kontroller ve kimlik kartınızın yalnızca ön yüzü; sözleşme kişisel çalışma alanından gönderildiyse gönderene yalnızca nötr bir sonuç kodu gösterilir. Kartın arka yüzü ve yüz kareleri gösterilmez. Elle onay verildiyse bu durum, kararın tarihi ve kararı veren rol, Tamamlanma Sertifikası'nda (sözleşmenin diğer taraflarına verilen kopyalar dahil) İmzala.org'un kimliği doğrulamadığı notuyla yer alır; gerekçe metni ve skorlar sözleşmenin diğer taraflarına gösterilmez. Yeni bir alt işleyen veya yurt dışı aktarım yoktur.
• Altyapı/güvenlik: Cloudflare (bağlantı meta verisi/proxy). Süresi dolmuş bir sonuç bağlantısını açtığınızda, bağlantı adınıza kaydedilmişse sayfada güvenlik doğrulaması (Cloudflare Turnstile) yüklenir; doğrulama için IP adresiniz ile tarayıcı ve cihaz bilgileriniz, ABD merkezli altyapı sağlayıcımız Cloudflare'e iletilir; bu yurt dışı aktarımın dayanağı Alt-İşleyenler sayfasında belirtilmiştir (§2).
• Sözleşmeyi gönderen tarafa ve sözleşmenin diğer taraflarına aktarım (gösterim yoluyla): Gönderen taraf seçtiyse imzalı PDF'teki imza kutusunda adınız soyadınız, imza zamanı ve maskeli kimlik numaranız (yalnız ilk 3 ve son 2 hane) bütün taraflara görünür (§2). Sözleşmeyi görüntüleme ve imzalama/onaylama zamanınız, bağlantı IP adresiniz (Tamamlanma Sertifikası'nda son bölümü maskelenmiş), cihaz türünüz, telefon doğrulama sonucu ile e-posta teslim ve bağlantı tıklama zamanı ve SMS gönderim zamanı, imza sayfasındaki adımlarınız (sayfanın açılması, belgenin görüntülenen bölüm oranları ve sayfaları, "Belgeyi gördüm" adımı, alan penceresi ve kaydet adımları, telefon, kimlik, canlılık ve kimlik kartı çipi (NFC) doğrulama adımlarının sonuç durumu ile başarısız denemeler), sözleşmenin ispatı amacıyla sözleşmeyi size gönderen tarafa kontrol paneli ve Tamamlanma Sertifikası üzerinden; sözleşmenin diğer taraflarına ise sonuç sayfası ve kendilerine verilen Tamamlanma Sertifikası üzerinden gösterilir. İmza sayfasındaki adımlarınızın ayrıntılı listesi ve başarısız denemeler yalnızca sözleşmeyi size gönderen tarafın kontrol panelinde gösterilir. Önizleme aracı işareti taşıyan bir görüntüleme kaydı (§2), sözleşmeyi size gönderen tarafın kontrol panelinde bu notla gösterilir. Bu not yalnızca gönderen tarafın kontrol panelinde yer alır; Tamamlanma Sertifikası'nda ve sonuç sayfasında görüntüleme zamanı notsuz gösterilmeye devam eder. Daha önce verilmiş bir Tamamlanma Sertifikası'ndaki görüntüleme kaydının düzeltilmesini KVKK m.11 kapsamında [email protected] adresinden isteyebilirsiniz. İmza ekranındaki onay adımını (Kullanım Koşulları'nın kabulü ve bu metnin okunduğunun teyidi) tamamlayıp tamamlamadığınız, sözleşmeyi size gönderen tarafa kontrol panelinde gösterilir. Birden fazla belge içeren gönderimlerde her belge için verdiğiniz karar ve zamanı, sözleşmeyi size gönderen tarafa kontrol panelinde ve gönderenin kurduğu API entegrasyonları üzerinden gösterilir. Açık rıza metnine verdiğiniz karar, sözleşmenin diğer taraflarına (onlara giden Tamamlanma Sertifikası ve belgeler dahil) ve herkese açık sonuç sayfasında gösterilmez; bu karar yalnızca size ve sözleşmeyi gönderen tarafa gösterilir. Diğer taraflara ve Tamamlanma Sertifikası'nda yalnızca sayfanın açılması, görüntüleme oranı, görüntülenen sayfa sayısı, "Belgeyi gördüm" adımı ve kaydın bütünlük durumu özet olarak gösterilir. Bu taraflar alt-işleyen değil, §1'de açıklanan bağımsız veri sorumlusu katmanıdır. Telefon doğrulamasının yapıldığı, türü (ilk imzada veya ilk işlemde) ve numaranın sonradan değişip değişmediği, adınız ve kimlik bilgileriniz maskelenerek, Tamamlanma Sertifikası'ndaki QR kodla açılan herkese açık doğrulama sayfasında da gösterilir. Etkileşim adımlarının ayrıntılı listesi herkese açık doğrulama sayfasında gösterilmez. Adınız ve soyadınız, işlem durumunuz (bekliyor, onay bekleniyor, imzaladı, onayladı, reddetti veya bilgi tarafı) ve imzaladığınız ya da onayladığınız zaman, sözleşmenin diğer taraflarına imza ekranındaki taraf listesinde gösterilir; bu listede e-posta adresiniz, telefon numaranız ve T.C. kimlik numaranız yer almaz. İmzanızı attığınızda veya onayınızı verdiğinizde, kullandığınız imza veya onay yönteminin türü de aynı listede gösterilir. Bu bilgi yalnızca yöntemin türüdür: dijital imza, güvenli elektronik imza (USB token ile ya da Mobil İmza ile) veya imzasız onay; tamamladığınız doğrulama adımlarına ilişkin, bu kalemde sayılanların dışında bir ayrıntı içermez. Sözleşmeyi reddettiyseniz veya sözleşmenin muhatabı olmadığınızı bildirdiyseniz, bu bilgi sözleşmenin diğer taraflarına aynı listede yalnızca "reddetti" durumu olarak gösterilir; hangisini seçtiğiniz ve gerekçeniz bu gösterimde yer almaz. Bu bilgiler, sözleşmenin taraflarının sürecin hangi aşamada olduğunu görebilmesi ve sözleşmenin ispatı amacıyla, KVKK m.5/2-c (sözleşmenin kurulması ve ifası) ile m.5/2-f (meşru menfaat) kapsamında gösterilir. Reddetme zamanınız ise yalnızca sözleşmeyi size gönderen tarafa (kontrol paneli, e-posta bildirimi ve gönderenin kurduğu API ve webhook entegrasyonları üzerinden) gösterilir; sözleşmenin diğer taraflarına gösterilmez. Onaylayan veya imzalayan sıfatıyla Değişiklik Talep Et kararında, onaylayan sıfatıyla Kesin Reddet kararında ya da imzalayan sıfatıyla imzayı reddederken yazdığınız gerekçe metni, sözleşmeyi size gönderen tarafa kontrol panelindeki sözleşme detayı ve zaman çizelgesi ile e-posta bildirimi (gönderen taraf kendi e-posta sağlayıcısını bağladıysa o kanal) ile gönderenin kurduğu API ve webhook entegrasyonları üzerinden gösterilir; gönderenin kendi sistemine aktarılan bu kopya gönderenin sorumluluğundadır. SMS bildirimlerinde (hangi sağlayıcı üzerinden gönderilirse gönderilsin) gerekçe metni yer almaz. Gerekçe metni sözleşmenin diğer taraflarına gösterilmez.
• İmzalı belgeye eklenen kanıt dosyaları: §2'de sayılan kanıt dosyaları, imzalı belgeyle birlikte sözleşmeyi gönderen tarafa ve sözleşmenin diğer taraflarına verilir. Özgün belge eklendiğinde, yüklendiği haliyle eklendiğinden içindeki üst veri ve önceki düzenleme sürümleri de taraflara ulaşır; bu sürümlerde belgede görünmeyen eski içerik bulunabilir. Yeni bir alıcı veya yurt dışı aktarım doğmaz.

Güncel tam liste: Alt-İşleyenler. İmzala.org'un kendi alt işleyenlerine yapılan yurt dışı aktarımların dayanağı ilgili kalemde ve bu listede belirtilmiştir; gönderen kuruluşun kendi sağlayıcısına yapılan aktarımlar için yukarıdaki açıklama geçerlidir.

7. Haklarınız (KVKK m.11)

Kişisel verilerinize erişme, düzeltme, silme, işlemeye itiraz ve (varsa) açık rızayı geri çekme haklarınızı [email protected] üzerinden kullanabilirsiniz. Sözleşmedeki kişisel verilerinizle ilgili talepleri, ilgili katmanda sözleşmeyi size gönderen tarafa da iletmeniz gerekebilir.

Kimlik veya canlılık doğrulamanız otomatik olarak sonuçlanmadığı için gönderenin elle incelemesine bırakıldıysa ve sonuç (ret ya da süre dolumuyla kapanma) aleyhinize olduysa, buna itiraz etmek için sözleşmeyi size gönderen tarafa başvurabilirsiniz; gönderen sizi yeniden davet edebilir veya doğrulama denemelerinizi sıfırlayabilir. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz hakkınız (KVKK m.11/1-g) saklıdır. Sözleşme kişisel çalışma alanından gönderildiyse KVKK m.11 kapsamındaki başvurunuzu [email protected] adresine de iletebilirsiniz.

8. Belgenizin Bir Örneğini Alma ve İmzayı Reddetme

Bu süreç elektronik ortamda yürütülür; attığınız dijital imza, 5070 sayılı Kanun ve ilgili mevzuat çerçevesinde geçerli bir imzadır.

İmzaladığınız belgeyi ve imza/denetim kaydını görüntüleyebilir, indirip yazdırabilirsiniz. İmza tamamlandığında, kayıtlı bir e-posta adresiniz varsa ve gönderen taraf e-posta bildirimini kapatmadıysa imzalı belgenin PDF kopyası tamamlanma e-postasıyla size gönderilir; çok belgeli gönderimlerde dosyalar e-posta boyut sınırını aşarsa ek gönderilmez ve belgeye e-postadaki erişim bağlantısıyla ulaşılır. Sonuç sayfası bağlantısı 90 gün geçerlidir; bağlantı adınıza kaydedilmişse süresinin bitiminden sonraki 30 gün içinde aynı sayfadan yeni bir bağlantı isteyebilirsiniz (§2); diğer durumlarda belgeyi size gönderen kişiden isteyebilirsiniz. Ek bir ücret alınmaz.

İmzalamak zorunda değilsiniz. Devam etmek istemiyorsanız imzayı reddedebilirsiniz; bu durumda süreç durur ve belge imzalanmamış sayılır. Sözleşmede telefon doğrulaması açıksa, reddetme işlemi de SMS koduyla doğrulanır.

Onaylayan sıfatıyla katılıyorsanız kararınızı Onayla, Değişiklik Talep Et veya Kesin Reddet seçeneklerinden biriyle verirsiniz. Değişiklik Talep Et ve Kesin Reddet kararlarında bir gerekçe yazmanız zorunludur. Kesin Reddet, imza sürecini o sözleşme için sona erdirir ve bu karar geri alınamaz. Değişiklik talebiniz sonuçlanana kadar siz onay veremezsiniz ve imzacılar imza aşamasına geçemez; sözleşmeyi size gönderen taraf belgeyi güncelleyip talebinizi çözdüğünde onayınız yeniden istenir. Gönderen taraf, bazı onaylayanların onay verdiği bir sözleşmede açık bir değişiklik talebi varken içeriği günceller ve henüz kimse imzalamamış ve belge kararı vermemişse, önceden verilmiş onaylar bu güncellemeyle birlikte sıfırlanır ve onaylayanlardan karar yeniden istenir; bir taraf zaten imzaladıysa veya karar verdiyse içerik artık değiştirilemez.

Sözleşmeyi gönderen taraf belgedeki değişikliği, sözleşmenin yeni bir sürümünü hazırlayıp göndererek de yapabilir. Yeni sürüm hazırlanırken önceki sürümde onay ve dijital imza alınmaz. Yeni sürüm gönderildiğinde önceki sürüm için onay ve dijital imza süreci İmzala.org'da kapatılır ve süreç yeni sürüm için baştan başlar; önceki sürümde verdiğiniz onay veya imza yeni sürüme aktarılmaz ve önceki sürümün kaydı olarak saklanır. Önceki sürüme ait bağlantıyla artık işlem yapılamaz; yeni sürümde de yer alıyorsanız sıranız geldiğinde size yeni bir bağlantı gönderilir.

Versiyon: 1.26 - Yürürlük: 4 Kasım 2026

Sürüm kimliği: 2026-11-04.2

Önceki sürüm: 1.25 (4 Kasım 2026, kimlik 2026-11-04.1). Değişiklik: İmzalı PDF'teki görünür imza kutusu §2'ye kalem olarak eklendi: gönderen taraf seçtiyse kutuda adınız soyadınız, imza zamanı ve sözleşmede kayıtlı kimlik numaranızın yalnız ilk 3 ve son 2 hanesi görünür; bu PDF bütün taraflara verilir. §6'daki diğer taraflara aktarım kalemine de aynı bilgi eklendi. Bu gösterim önceki sürümlerde de yapılıyordu, yalnız metinde ayrıca sayılmamıştı; yeni bir veri, amaç, alıcı, saklama süresi veya yurt dışı aktarım yoktur.

Sürüm 1.25 (4 Kasım 2026, kimlik 2026-11-04.1): Önceki sürüm: 1.24 (30 Ekim 2026, kimlik 2026-10-30.1). Değişiklik: Kimlik veya canlılık doğrulaması otomatik olarak sonuçlanmadığında sözleşmeyi gönderen tarafın elle incelemesi eklendi: gönderene gösterilenler (kurum çalışma alanında teknik skorlar, başarısız kontroller ve kimlik kartının yalnızca ön yüzü; kişisel çalışma alanında yalnızca nötr sonuç kodu; arka yüz ve yüz kareleri hiçbir durumda gösterilmez), elle onay kararının ve sorumluluğunun gönderende olduğu ve İmzala.org'un kimliği doğrulamadığı, İmzala.org yöneticisinin kararı yalnızca kurumun yazılı talebiyle uyguladığı, karar süresi (varsayılan 48 saat) içinde karar verilmezse yalnızca o tarafın imza sürecinin kapatıldığı ve bildirimlerin içeriği (§2); hukuki sebep (§4); karar veya kapanış anında kimlik görüntüleri ile canlılık karelerinin silinmesi, silmeden sonra kalan kayıt (karar, gerekçe, kararı veren rol ve zaman, kimlik fotoğrafı doğrulamasının teknik skorları, görüntülerin özet değerleri; canlılık skorları ve eşleşme ayrıntısı en çok 1 yıl), zaman damgası alınamazsa en geç 30 gün içinde silme, kurumun yalnızca kimlik kartı görüntüleri için 365 güne kadar saklama seçeneği, canlılık karelerinin yalnızca somut uyuşmazlıkta dondurmayla saklanması ve buna göre uyarlanan KVKK m.5/2-e saklama cümlesi (§5); gönderene gösterim ve Tamamlanma Sertifikası notu (§6); itiraz yolu ve kişisel çalışma alanından gönderilen sözleşmede başvurunun [email protected] adresine de iletilebileceği (§7). Yüz eşleşmesi veya kimlik ön yüzündeki portre eşiğin altında kalıp diğer kontroller geçtiğinde doğrulamanın kabul edilebildiği, bu durumun gönderene bildirildiği ve Tamamlanma Sertifikası'nda belirtildiği yazıldı (§2). §4'teki biyometrik doğrulama satırında yürürlükten kaldırılmış KVKK m.6/2 atfı, yürürlükteki KVKK m.6/3-a olarak düzeltildi; anlam değişmemiştir. Sözleşme kurum çalışma alanından gönderildiyse bu doğrulama için veri sorumlusu zaten kurumdur; yeni bir alt işleyen veya yurt dışı aktarım yoktur.

Sürüm 1.24 (30 Ekim 2026, kimlik 2026-10-30.1): Önceki sürüm: 1.23 (24 Ekim 2026, kimlik 2026-10-24.1). Değişiklik: Kimlik Fotoğrafı Doğrulama kaleminde rol ayrımı yazıldı: sözleşme kurum çalışma alanından gönderildiyse bu doğrulama için veri sorumlusunun kurum, İmzala.org'un onun adına veri işleyen olduğu ve hukuki sebebi kurumun belirlediği; kişisel çalışma alanından gönderilen sözleşmede meşru menfaat dayanağının korunduğu (§1, §2, §4). Kurumun seçimiyle kimlik belgesinin kurum adına saklanması eklendi: kimlik çekimi baştan, saklama amacı da dahil olmak üzere kurum adına yapılır, seçim yapıldıysa çekimden önce amacıyla birlikte bildirilir, başarıyla tamamlanan doğrulamada kimlik kartının ön ve arka yüzü (arka yüzde anne ve baba adı bulunur) kurumun kaydı olarak saklanır; bu kayıt için veri sorumlusu kurumdur, süre kurumun belirlediği belge saklama süresidir ve kayıt Belge Toplama Aydınlatma Metni'ne tabidir; 90 günlük süre yalnız doğrulama görüntüsüne uygulanır (§2, §4, §5, §6). Yeni bir alt işleyen veya yurt dışı aktarım alıcısı yoktur.

Sürüm 1.23 (24 Ekim 2026, kimlik 2026-10-24.1): Önceki sürüm: 1.22 (22 Ekim 2026, kimlik 2026-10-22.1). Değişiklik: Sözleşmeyi gönderen tarafın sizi kurumsal taraf olarak eklediğinde girdiği kurumsal taraf bilgileri (ticaret unvanı veya işletme adı, vergi numarası, vergi dairesi, adres; şahıs işletmelerinde vergi numarası T.C. kimlik numarası olabilir) §2 "Kimlik ve iletişim" kalemine eklendi; bu bilgiler bakımından veri sorumlusunun gönderen taraf olduğu, gönderenin şablonunda kullanılmışsa sözleşme belgesine yazılıp belgeyle birlikte sözleşmenin diğer taraflarına ulaştığı ve düzeltilmesinin gönderen taraftan istenebileceği yazıldı (§2). Bu bilgiler §1 ve §4'teki ilgili kalemlere de eklendi. Bilgiler sözleşmedeki taraf bilgisi olarak işlenir; yeni bir işleme amacı, alıcı, saklama süresi veya yurt dışı aktarım yoktur.

Sürüm 1.22 (22 Ekim 2026, kimlik 2026-10-22.1): Önceki sürüm: 1.21 (21 Ekim 2026, kimlik 2026-10-19.1). Değişiklik: Sözleşmeyi gönderen tarafın sözleşmenin yeni bir sürümünü hazırlayıp gönderebildiği açıklandı: sözleşmede sizin için kayıtlı kimlik ve iletişim bilgilerinin (kimlik doğrulama sırasında sizin girdiğiniz bilgiler dahil) yeni sürüme taşındığı, kimlik doğrulama sonucunun ve önceki sürümdeki onay, imza, karar, rıza ve doğrulama kayıtlarının ve imza delilinin taşınmadığı, bir taraf bilgisi değiştirildiğinde bunun aynı kişiye ait olup olmadığının gönderenin seçimine, seçim yoksa belirli bir kurala göre sürüm kaydına geçtiği, bu kaydın amacı ve eşleştirme ile önceki sürümdeki işlem kayıtlarının gönderen tarafın hizmet bedelinin hesaplanmasında da kullanıldığı (§2); önceki sürümün daveti e-posta veya SMS ile gönderilmiş taraflara yeni sürümün gönderildiğinin ve önceki sürüm için sürecin kapatıldığının bildirildiği ve bu bildirimin içeriği (§2), amaç (§3) ve hukuki sebepler (§4); önceki sürümler için ayrı bir saklama süresi işletilmediği, bildirim takip kaydının 1 yıl sonra silindiği, gönderen taraf için üretilebilen ve size gönderilmeyen karşılaştırma raporu (§5); yeni sürüm hazırlanırken önceki sürümde onay ve dijital imza alınmadığı, yeni sürüm gönderildiğinde önceki sürüm için sürecin kapatıldığı ve önceki bağlantıyla işlem yapılamadığı (§8) yazıldı. Yeni bir veri kategorisi, alıcı veya yurt dışı aktarım doğmamıştır; bildirim §6'da sayılan mevcut kanallardan iletilir.

Sürüm 1.21 (21 Ekim 2026, kimlik 2026-10-19.1): Önceki sürüm: 1.20 (18 Ekim 2026, kimlik 2026-10-18.1). Değişiklik: Belge talebi bulunan imzacıya belge toplamaya ilişkin bilgilendirme ve yetki beyanının imza sürecinin ilk adımında gösterildiği ve bu adımdaki onayın belge onayı olarak da kaydedildiği yazıldı (§2). Belge toplamada işlenen veriler Belge Toplama Aydınlatma Metni'nde açıklanır. Yeni veri kategorisi, alıcı veya yurt dışı aktarım yoktur.

Sürüm 1.20 (18 Ekim 2026, kimlik 2026-10-18.1): Önceki sürüm: 1.19 (15 Ekim 2026, kimlik 2026-10-15.1). Değişiklik: İmzalı belgenin sonuç sayfası bağlantısının her gönderim için ayrı oluşturulduğu ve 90 gün geçerli olduğu; bu düzenlemeden önce gönderilmiş sonuç bağlantılarının, gönderen tarafın API ile aldığı bağlantıların ve teknik bir aksama nedeniyle süreli bağlantı oluşturulamadığı istisnai durumlarda gönderilen bağlantıların süreli olmadığı; süresi dolmuş veya geçersiz kılınmış bağlantıda belgenin gösterilmediği; bağlantı adınıza kaydedilmişse süresinin bitiminden sonraki 30 gün içinde, güvenlik doğrulamasından (Cloudflare Turnstile) geçen ve sayısı sınırlı bir istekle sözleşmede kayıtlı iletişim bilgilerinize yeni bağlantı istenebileceği, diğer durumlarda yeni bağlantının belgeyi gönderen kişiden isteneceği yazıldı; §8'de imzalı belgenin PDF kopyasının kayıtlı e-posta adresine gönderildiği belirtildi (§2, §8). Mesajlaşma uygulamalarının ve sosyal ağların bağlantı önizleme sunucularının açılışlarının görüntüleme olarak kaydedilmediği; önceden kaydedilmiş ve bilinen bir önizleme aracına uyan görüntülemelerin silinmeden ve değiştirilmeden işaretlendiği ve gönderen tarafın kontrol panelinde "Önizleme aracı tarafından açılmış olabilir" notuyla gösterildiği yazıldı (§2, §6); bu notun yalnızca gönderen tarafın kontrol panelinde yer aldığı ve daha önce verilmiş bir Tamamlanma Sertifikası'ndaki görüntüleme kaydının düzeltilmesinin KVKK m.11 kapsamında istenebileceği eklendi (§6). Sonuç sayfası bağlantısı kaydının, gönderen tarafın veri sorumlusu olduğu ve İmzala.org'un gönderen adına tuttuğu kayıtlardan olduğu; yeni bağlantı isteklerinde tutulan kısa süreli istek sayaçlarının İmzala.org'un bağımsız veri sorumlusu olduğu kayıtlara girdiği yazıldı (§1); bu kayıt ve yeni bağlantı isteği için hukuki sebepler (§4), kaydın geçerlilik süresinin bitiminden 30 gün sonra silindiği ve istek sayaçlarının en geç 24 saat içinde silindiği (§5) ve güvenlik doğrulaması için ABD merkezli Cloudflare'e iletilen veriler ile bu yurt dışı aktarımın dayanağının Alt-İşleyenler sayfasında belirtildiği (§6) eklendi. Cloudflare, Alt-İşleyenler listesindeki mevcut altyapı sağlayıcısıdır; yeni bir alıcı doğmamıştır.

Sürüm 1.19 (15 Ekim 2026, kimlik 2026-10-15.1): Önceki sürüm: 1.18 (14 Ekim 2026, kimlik 2026-10-14.2). Değişiklik: Tamamlanan imzalı belgeye eklenen kanıt dosyaları açıklandı: her imzacı için imza kaydının taraflarla paylaşılan kısmı (kişisel veri içermeyen alanlar ve platformda ayrı saklanan kısmın rastgele değerle oluşturulmuş bütünlük özeti), bu kısmın TÜBİTAK KamuSM zaman damgası, doğrulama talimatı ve eklendiğinde özgün belge (yüklendiği haliyle, üst veri ve önceki düzenleme sürümleri dahil) (§2); hukuki sebepleri (§4); imza kaydının ayrı saklanan kısmının imza ve delil verileriyle birlikte saklandığı ve eklerin taraflardaki kopyalarda kaldığı (§5); eklerin imzalı belgeyle birlikte gönderen tarafa ve diğer taraflara verildiği (§6). Yeni bir alıcı veya yurt dışı aktarım doğmamıştır; zaman damgası mevcut TÜBİTAK KamuSM hizmetinden ve imza başına alınan mevcut damgayla sağlanır.

Sürüm 1.18 (14 Ekim 2026, kimlik 2026-10-14.2): Önceki sürüm: 1.17 (13 Ekim 2026, kimlik 2026-10-13.1). Değişiklik: Kontrol panelindeki İmza At akışı (kendi belgenizi yükleyip tek imzacı olarak imzalama) açıklandı: bu akıştaki veri sorumlusu ve veri işleyen katmanları, ayrı onay kutucuğu yerine hesabınızdaki Kullanım Koşulları kabulünün aranması ve kontrol panelinde ek doğrulama adımı sunulmaması (§1); akışa özgü kayıtlar (yüklenen dosya bilgileri, beyan ve onay kayıtları, imzalama sıfatı, yükleme işlem kaydı, güvenli elektronik imzada T.C. kimlik numarası, doğrulanmış profil telefonunun kopyalanması, tamamlanma bildirimi) (§2), hukuki sebepleri (§4) ve saklama süreleri (§5). Akış Eylül 2026'dan beri kullanımdadır; bu sürüm akışa özgü kayıtları ayrıntılı olarak açıklar. Yeni bir alıcı veya yurt dışı aktarımı doğmamıştır; bildirimler §6'da sayılan mevcut kanallardan iletilir. Ayrıca çok belgeli gönderimlerde her belge için verilen kararın (kabul etti, okuduğunu teyit etti, reddetti, rıza verdi veya rıza vermedi) ve zamanının kaydedildiği; açık rıza metnine verilen karar bakımından veri sorumlusunun bu metni sunan gönderen taraf olduğu ve İmzala.org'un bu kaydı gönderen adına tuttuğu, rıza vermemenin sözleşmeyi imzalamaya engel olmadığı ve rızanın geri çekilmesi için talebin gönderen tarafa iletilmesi gerektiği yazıldı (§2). Belge kararlarının ve zamanlarının sözleşmeyi gönderen tarafa kontrol panelinde ve API entegrasyonları üzerinden gösterildiği, açık rıza metnine verilen kararın sözleşmenin diğer taraflarına (onlara giden Tamamlanma Sertifikası ve belgeler dahil) ve herkese açık sonuç sayfasında gösterilmediği, yalnızca karar veren kişiye ve gönderen tarafa gösterildiği ve imza ekranındaki onay adımının tamamlanıp tamamlanmadığının gönderene kontrol panelinde gösterildiği açıkça yazıldı (§6). Bu bilgiler mevcut işlem güvenliği / imza delili kapsamında ve açık rıza kararları bakımından gönderen tarafın rızayı ispat edebilmesi amacıyla tutulur; yeni bir alıcı veya yurt dışı aktarım doğmamıştır. Bu eklemelerle birlikte sürüm kimliği 2026-10-13.2'den 2026-10-14.2'ye güncellendi; 2026-10-13.2 ve 2026-10-14.1 kimlikleri üretim ortamında yayımlanmamıştır (2026-10-14.1, §6'daki açık rıza cümlesinin daraltılmasından önceki test sürümüdür).

Sürüm 1.17 (13 Ekim 2026, kimlik 2026-10-13.1): Önceki sürüm: 1.16 (12 Ekim 2026, kimlik 2026-10-12.1). Değişiklik: Etkileşim kaydına sunucuda gerçekleşen doğrulama ve imza adımları eklendi (§2, §4, §5, §6). Yeni veri kategorisi, alıcı veya yurt dışı aktarım yoktur; mevcut işlem güvenliği / imza delili amacı ve 10 yıla kadar saklama kapsamındadır. §5'teki biyometrik veriler satırı netleştirildi: 1 yıllık süre yüz görüntüleri, canlılık kareleri, eşleşme ayrıntısı ve skoru için geçerlidir; doğrulamanın yapıldığını ve sonuç durumunu gösteren kayıt biyometrik veri içermez ve etkileşim kaydıyla birlikte 10 yıla kadar saklanır.

Sürüm 1.16 (12 Ekim 2026, kimlik 2026-10-12.1): Önceki sürüm: 1.15 (6 Ekim 2026, kimlik 2026-10-06.2). Değişiklik: Mobil İmza ile güvenli elektronik imza kaleminde, bu yöntemin yalnızca sözleşmeyi gönderen taraf güvenli elektronik imzayı açtığında değil, kendi belgenizi imzalarken bu yöntemi seçtiğinizde de devreye girdiği yazıldı; ifade KVKK Aydınlatma Metni ile hizalandı (§2). Kapsam cümlesine kendi yüklediğiniz belgeyi imzalamanız eklendi (giriş). Sözleşmenin diğer taraflarına imza ekranındaki taraf listesinde gösterilen bilgiler açıkça yazıldı: adınız ve soyadınız, işlem durumunuz, imzaladığınız ya da onayladığınız zaman, kullandığınız imza veya onay yönteminin türü (dijital imza, güvenli elektronik imza veya imzasız onay) ve sözleşmeyi reddettiyseniz veya sözleşmenin muhatabı olmadığınızı bildirdiyseniz yalnızca "reddetti" durumu; bu listede e-posta adresiniz, telefon numaranız ve T.C. kimlik numaranız yer almaz. Bu gösterimin amacı ve hukuki sebebi (KVKK m.5/2-c ve m.5/2-f) belirtildi. Reddetme zamanınız ve gerekçe metniniz önceki sürümde olduğu gibi diğer taraflara gösterilmez (§6). Operatöre iletilen veriler, amaç, hukuki sebep ve saklama süresi değişmemiştir; yeni bir alıcı veya yurt dışı aktarımı doğmamıştır.

Sürüm 1.15 (6 Ekim 2026, kimlik 2026-10-06.2): Önceki sürüm: 1.14 (6 Ekim 2026, kimlik 2026-10-06.1). Değişiklik: Karar gerekçesi işlenen veri olarak eklendi; onaylayanın Değişiklik Talep Et/Kesin Reddet kararındaki zorunlu gerekçesi, imzalayanın ret sırasında yazabileceği opsiyonel gerekçe ve imzalayanın değişiklik talep ederken yazdığı açıklama kapsanır (§2). Hukuki sebep tablosuna "Karar gerekçesi (ret ve değişiklik talebi)" satırı eklendi: m.5/2-c ve m.5/2-f (§4). Bu verilerin saklama süresi "sözleşme kaydıyla birlikte" ifadesiyle güncellendi; artık yalnızca imzalanan sözleşmelere değil, reddedilen sözleşmelerin kayıtlarına da açıkça uygulanır (§5). Gerekçe metninin ve reddetme zamanının sözleşmeyi size gönderen tarafa kontrol paneli, e-posta (veya gönderenin bağladığı kendi sağlayıcısı) ve gönderenin kurduğu API ve webhook entegrasyonları üzerinden gösterildiği, SMS bildirimlerinde gerekçe yer almadığı ve sözleşmenin diğer taraflarına gösterilmediği yazıldı; Değişiklik Talep Et kararı hem onaylayan hem imzalayan sıfatıyla verilebileceğinden bu ayrım açıkça belirtildi (§6). Onaylayan kararları (Onayla / Değişiklik Talep Et / Kesin Reddet), Kesin Reddet'in imza sürecini sona erdirdiği ve geri alınamadığı, açık bir değişiklik talebinin imzacıların imza aşamasına geçmesini engellediği ve imza/belge kararı başlamadan önce içerik güncellenirse onayların sıfırlandığı açıklandı (§8). Mevcut amaç ve alıcı kapsamında yeni bir veri kalemi (karar gerekçesi) eklenmiş, saklama süresine ilişkin ifade netleştirilmiştir; yeni bir saklama süresi getirilmemiştir. Diğer taraflara gösterildiği yazılan reddetme zamanı, fiilen gösterilmediği için bu kalemden çıkarılmıştır.

Sürüm 1.14 (6 Ekim 2026, kimlik 2026-10-06.1): Önceki sürüm: 1.13 (4 Ekim 2026, kimlik 2026-10-04.1). Değişiklik: §1 GSM operatörü kaleminde Mobil İmza kanalının bugün Turkcell, Türk Telekom ve Vodafone hatlarında kullanımda olduğu belirtildi (önceki metin Turkcell ve Türk Telekom kanallarının kullanımda olduğunu, Vodafone kanalının henüz kullanımda olmadığını yazıyordu). Operatörler zaten adıyla sayılıyordu; operatöre iletilen veriler, operatörün bağımsız veri sorumlusu olması, amaç, hukuki sebep ve saklama süresi değişmemiştir; yeni bir alıcı, veri kategorisi veya yurt dışı aktarımı doğmamıştır.

Sürüm 1.13 (4 Ekim 2026, kimlik 2026-10-04.1): Önceki sürüm: 1.12 (29 Eylül 2026, kimlik 2026-09-29.1). Değişiklik: §1 GSM operatörü kaleminde Mobil İmza kanalının bugün Turkcell ve Türk Telekom hatlarında kullanımda olduğu belirtildi (önceki metin yalnızca Turkcell kanalının kullanımda olduğunu yazıyordu). Operatörler zaten adıyla sayılıyordu; operatöre iletilen veriler (telefon numaranız, telefonunuzda gösterilecek işlem açıklaması (sözleşme kayıt numarasının bir bölümü; sertifika eşleştirme adımı gerekirse o adımda ad-soyadınız, altı haneli kod ve işlem zamanı) ve imzalanacak geri döndürülemez özet değeri), operatörün bağımsız veri sorumlusu olması, amaç, hukuki sebep ve saklama süresi değişmemiştir; yeni bir alıcı, veri kategorisi veya yurt dışı aktarımı doğmamıştır. İletilen veriler değişmemiş, açıklama ayrıntılandırılmıştır. Vodafone kanalı henüz kullanımda değildir.

Sürüm 1.12 (29 Eylül 2026, kimlik 2026-09-29.1): Önceki sürüm: 1.11 (28 Eylül 2026, kimlik 2026-09-28.2). Değişiklik: İşlem güvenliği / imza delili kalemine, imza sayfasının ve bu sayfada gösterilen bilgilendirme, onay ve rıza metinlerinin hangi dilde (Türkçe veya İngilizce) gösterildiğinin kaydedildiği eklendi (§2). Bu bilgi, hangi metnin gösterildiğini sonradan ispatlamak için mevcut işlem güvenliği / imza delili amacı ve 10 yıla kadar saklama kapsamında tutulur; yeni bir işleme amacı, hukuki sebep, alıcı veya saklama süresi getirilmemiştir.

Sürüm 1.11 (28 Eylül 2026, kimlik 2026-09-28.2): Önceki sürüm: 1.10 (28 Eylül 2026, kimlik 2026-09-28.1). Değişiklik: İmza sayfasındaki etkileşim kaydı eklendi: sayfanın açılması, belgenin görüntülenen bölüm oranları ve sayfaları, "Belgeyi gördüm" adımı ve belge özeti, alan penceresi açma (alan türü, değer değil), imza kutusu ve kaydet adımları; bu adımların bütünlük özetleriyle zincirlenmesi ve zincirin son halkasının imza zaman damgası kaydına (ret, imzasız onay ve güvenli elektronik imzada ayrı bir zaman damgalı kayda) eklenmesi (§1, §2, §4, §5, §6). Alan değeri, fare/klavye hareketi ve ekran kaydı tutulmaz. Kayıt mevcut işlem güvenliği / imza delili amacı ve 10 yıla kadar saklama kapsamındadır; yeni bir alıcı veya yurt dışı aktarım yoktur, açık rıza gerektirmez.

Sürüm 1.10 (28 Eylül 2026, kimlik 2026-09-28.1): Önceki sürüm: 1.9 (23 Eylül 2026, kimlik 2026-09-23.1). Değişiklik: terim düzeltmesi: nitelikli elektronik sertifika (NES) ile güvenli elektronik imza ayrımı. §2 Mobil İmza kaleminde "nitelikli elektronik imza (NES)" ifadesi "güvenli elektronik imza" olarak düzeltildi; NES, imzanın değil sertifikanın adıdır. Anlam değişmemiştir; işlenen veri, amaç, hukuki sebep, alıcı ve saklama süresi aynıdır.

Sürüm 1.9 (23 Eylül 2026, kimlik 2026-09-23.1): Önceki sürüm: 1.8 (16 Eylül 2026, kimlik 2026-09-16.1). Değişiklik: Telefon doğrulamasının imza alanında açılabilen ilk imzada ve imzasız işlemlerde istenen biçimi, bu biçimde sözleşmenin kodsuz görüntülenebildiği ve telefon numarasının anahtarlı özetinin saklandığı eklendi (§2, §4, §5). İmzala.org SMS hattından gönderilen mesajların içeriği (organizasyon kısa adı, isteğe bağlı belge başlığı, gönderen notunun SMS'te yer almaması) güncellendi (§2). Gönderenin önceden doldurduğu kaşe bilgileri ve bunların düzeltilebilmesi eklendi (§2). Doğrulama bilgisinin herkese açık doğrulama sayfasındaki gösterimi (§6) ve reddetmede kod istenebileceği (§8) yazıldı. Yeni bir işleme amacı, alıcı veya saklama süresi getirilmemiştir.

Sürüm 1.8 (16 Eylül 2026, kimlik 2026-09-16.1): Önceki sürüm: 1.7 (12 Eylül 2026, kimlik 2026-09-12.1). Değişiklik: Gönderen kuruluşun kendi iletişim sağlayıcısını (SMS, e-posta, WhatsApp Business) bağlayabileceği açıklandı (§2, §6): bu hâlde bildirimlerin o sağlayıcı üzerinden iletildiği, tamamlanma e-postasında imzalı sözleşmenin PDF kopyasının ek olarak gönderildiği, sağlayıcının yurt dışında bulunabileceği ve sağlayıcı seçimi ile aktarımın hukuki dayanağının gönderen kuruluşun sorumluluğunda olduğu yazıldı. WhatsApp bildiriminin İmzala.org hattından gönderildiği ifadesi, gönderen tarafın kendi hesabını bağlamadığı hâlle sınırlandı. Bu hâlin yalnız bildirim iletimine ilişkin olduğu ve imza delili kayıtları bakımından İmzala.org'un rolünün değişmediği, gönderen kuruluş tercih ettiyse sağlayıcıya ulaşılamadığında bildirimin İmzala.org kanalından iletilebileceği yazıldı. §6 ilk kalemindeki SMS ifadesi İmzala.org'un sistem hesabı olarak düzeltildi. §6 kapanışındaki genel güvence cümlesi İmzala.org'un kendi alt işleyenleriyle sınırlandı. Yeni bir işleme amacı veya saklama süresi getirilmemiştir.

Sürüm 1.7 (12 Eylül 2026, kimlik 2026-09-12.1): Önceki sürüm: 1.6 (10 Eylül 2026). Değişiklik: Bildirim kanalları arasında WhatsApp açıkça adlandırıldı; bu kanaldan gönderilen içeriğin ad-soyad ve imza bağlantısıyla sınırlı olduğu, belge içeriğinin iletilmediği belirtildi (§2); WhatsApp gönderim zamanı delil kalemi ve hukuki sebep satırına eklendi (§2, §4); WhatsApp (Meta Platforms Ireland Ltd.) §1'e bağımsız veri sorumlusu, §6'ya yurt dışı aktarım kalemi olarak eklendi; §5'e WhatsApp bildirim ve yazışma kaydı saklama kalemi eklendi. Bu sürümle yeni bir alıcı (WhatsApp / Meta Platforms Ireland Ltd.) ve buna bağlı yeni bir yurt dışı aktarımı açıklanmıştır; kanal Haziran 2026'dan beri kullanımdaydı, bu sürüm eksik beyanı tamamlar. Yeni bir işleme amacı veya saklama süresi getirilmemiştir; bildirim kayıtları mevcut "işlem güvenliği / imza delili" kalemi ve buna ilişkin saklama süresi kapsamındadır.

Önceki sürüm: 1.5 (9 Eylül 2026, kimlik 2026-09-09.1). Düzeltme: Mobil İmza akışı gerçeğe göre yeniden yazıldı. v1.5'te eşleştirme (iki adımlı) töreni "ilk kullanımda" olan kural gibi anlatılıyordu; üründe varsayılan akış tek PIN'dir ve eşleştirme yalnız operatörden sertifika referansları eksik dönerse istenen istisnai adımdır (§2, §6). Yeni veri kategorisi, amaç, alıcı veya saklama süresi değişmemiştir; yalnız işleme tarifi düzeltilmiştir.

Sürüm 1.5 (9 Eylül 2026, kimlik 2026-09-09.1): Önceki sürüm: 1.4 (29 Ağustos 2026). Değişiklik: Mobil İmza ile nitelikli imza kalemi eklendi (§1 GSM operatörünün bağımsız veri sorumlusu sıfatı, §2 işlenen veriler, §4 hukuki sebep, §5 saklama, §6 operatöre aktarım). Operatöre sözleşme içeriği ve IP adresi iletilmez; iletilen değer geri döndürülemez özettir. Bu yöntem yalnızca gönderen taraf nitelikli imzayı açtığında ve imzacı bu yolu seçtiğinde devreye girer.

Sürüm 1.4 (29 Ağustos 2026, kimlik 2026-08-29.1): Önceki sürüm: 1.3 (29 Ağustos 2026). Değişiklik: kapsam cümlesine onaylayan sıfatı eklendi (§1: onaylayan belgeye imza eklemez, "Onayla" eylemi, zamanı ve bağlantı bilgisi kaydedilir); §6 gösterim kalemine onaylama eylemi eklendi. Yeni veri kategorisi, amaç veya saklama süresi yoktur.

Sürüm 1.3 (29 Ağustos 2026, kimlik 2026-08-29): Önceki sürüm 1.2 (6 Ağustos 2026). Değişiklik: Telefon doğrulaması (SMS tek kullanımlık kod) ile e-posta teslim/tıklama ve SMS gönderim zamanları işlenen veri, hukuki sebep ve saklama kalemi olarak; görüntüleme, IP, cihaz ve doğrulama kayıtlarının sözleşmeyi gönderen tarafa gösterimi §6'ya eklendi (§1, §2, §4, §5, §6). Bu kalemler mevcut "işlem güvenliği / imza delili" amacı ve 10 yıla kadar saklama süresi kapsamındadır; yeni bir işleme amacı veya saklama süresi getirilmemiştir.

Sürüm 1.2 (6 Ağustos 2026): T.C. Kimlik Doğrulama (NVİ/KPS eşleştirmesi) işlenen veri, hukuki sebep ve aktarım kalemi olarak eklendi (§2, §4, §6).