E-imza ile PDF ve sözleşme imzalama: şirketler için rehber

PDF e-imza, bir PDF belgenin nitelikli elektronik sertifikaya dayanan güvenli elektronik imza ile imzalanmasıdır; e-imza ile PDF imzalandığında imzanın kime ait olduğu ve belgenin imzadan sonra değişip değişmediği doğrulanabilir. Türkiye’de 5070 sayılı Elektronik İmza Kanunu’na göre güvenli elektronik imza, ıslak imza ile aynı hukuki sonucu doğurur.

Sözleşmeleri, onay belgelerini ve resmî yazışmaları elektronik ortamda imzalamak, imza yetkilisinin ofiste olmasını beklemeyi, kuryeyi ve kaybolan nüshaları ortadan kaldırır. Ancak şirketler için asıl soru “PDF’i nasıl imzalarım?” sorusundan daha geniştir: imza, onay sürecinin neresinde atılmalı, imzalı nüsha nerede durmalı ve kimin imzalayacağına nasıl karar verilmeli? Bu rehberde e-imza ve mobil imzanın ne olduğunu, hukuki çerçeveyi, şirketlerin e-imzayı nasıl edindiğini ve imzanın neden onay akışının içinde yer alması gerektiğini ele alıyoruz.

E-imza nedir, mobil imza nedir?

E-imza (elektronik imza), başka bir elektronik veriye eklenen ya da onunla mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir. Günlük kullanımda “e-imza” denildiğinde genellikle Kanun’daki güvenli elektronik imza kastedilir. Bu imza, kişiye özel nitelikli elektronik sertifikaya dayanır ve genellikle bir akıllı kart ya da USB token üzerinde taşınan imza aracıyla, PIN girilerek oluşturulur.

Mobil imza ise güvenli elektronik imzanın cep telefonu üzerinden atılan biçimidir. İmza aracı, mobil operatörden alınan özel bir SIM kart üzerindedir; imza talebi telefona gelir ve kullanıcı PIN girerek onaylar. Kart okuyucu ya da bilgisayara bağlı bir cihaz gerektirmediği için sahada, seyahatte ya da toplantı arasında imza atması gereken yöneticiler için pratik bir seçenektir.

Elektronik imza yasal mı?

Evet. 5070 sayılı Elektronik İmza Kanunu’na göre güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. Bu nedenle ticari sözleşmelerin, onay belgelerinin ve iç yazışmaların büyük kısmı güvenli elektronik imza ile imzalanabilir.

Kanun bu kurala iki istisna getirir:

• Resmî şekle veya özel bir merasime tabi hukuki işlemler: Kanunların geçerlilik için resmî şekil ya da özel bir merasim öngördüğü işlemler güvenli elektronik imza ile gerçekleştirilemez.
• Banka teminat sözleşmeleri: Bankaların verdiği teminat sözleşmeleri de güvenli elektronik imza ile yapılamayan işlemler arasında sayılır.

Bir sözleşme türünün bu istisnalara girip girmediği, sözleşmenin konusuna ve ilgili mevzuata bağlıdır. Şirketinizde sık kullanılan sözleşme türleri için hangi imza yönteminin uygun olduğunu hukuk danışmanınızla birlikte netleştirmeniz önerilir.

Şirketler için e-imza nasıl alınır?

Güvenli elektronik imza kişiye özeldir; sertifika şirket adına değil, gerçek kişi adına düzenlenir. Bu yüzden “şirketler için e-imza” denildiğinde aslında şirketi temsil etmeye yetkili kişilerin her birinin kendi nitelikli elektronik sertifikasını edinmesi kastedilir. Kişinin şirket adına hangi işlemleri imzalayabileceği ise e-imzadan değil, şirketin imza yetkilerinden gelir.

Genel süreç şöyle işler:

1. İmza yetkililerini belirleyin: Hangi çalışanların hangi belge türlerini, hangi tutar sınırına kadar imzalayacağını şirketin yetki yapısına göre netleştirin.
2. Yetkili bir sağlayıcıdan başvurun: Nitelikli elektronik sertifika, bu hizmeti vermeye yetkili elektronik sertifika hizmet sağlayıcılarından alınır. Başvuru sırasında kimlik doğrulaması yapılır.
3. Mobil imza için operatöre başvurun: Mobil imza tercih edilecekse, kullanılan mobil operatör üzerinden mobil imza destekli SIM kart ve sertifika talep edilir.
4. Kurulumu tamamlayın: Akıllı kart veya token için sürücü ve imza yazılımı kurulur; mobil imzada ise SIM kart etkinleştirilir ve PIN belirlenir.
5. Sertifika sürelerini takip edin: Nitelikli sertifikaların bir geçerlilik süresi vardır. Süresi dolan bir sertifika ile imza atılamaz; yenileme tarihleri takip edilmelidir.

E-imza ile PDF imzalama nasıl yapılır?

Kullanılan imza yazılımına göre ekranlar değişse de e-imza ile PDF imzalamanın mantığı aynıdır:

1. İmzalanacak belgenin son hâli PDF olarak hazırlanır. İmzadan sonra yapılacak her değişiklik imzayı geçersiz kılacağı için içerik kesinleşmiş olmalıdır.
2. İmza yazılımında belge seçilir ve imza aracı (kart, token ya da mobil imza) tanıtılır.
3. İmzalayan kişi PIN girerek imzayı onaylar. Yazılım belgenin özetini alır ve bu özeti kişinin özel anahtarıyla imzalar.
4. İmza bilgisi, kullanılan formata göre PDF’in içine gömülür ya da ayrı bir imzalı dosya oluşturulur. Birden fazla kişi imzalayacaksa aynı belge sırayla imzalanır.

İmza sırasında zaman damgası kullanılması, imzanın hangi anda atıldığının da güvenilir biçimde kanıtlanmasını sağlar.

Belgenin e-imzalı olduğu nasıl anlaşılır?

E-imzalı bir PDF, imzayı destekleyen bir PDF görüntüleyicide ya da imza doğrulama aracında açıldığında imza bilgilerini gösterir. Doğrulamada üç soruya yanıt aranır:

• İmza kime ait? İmzalayan kişinin adı ve sertifikayı düzenleyen sağlayıcı görüntülenir.
• Sertifika imza anında geçerli miydi? Sertifikanın süresinin dolmamış ve iptal edilmemiş olması gerekir.
• Belge imzadan sonra değişti mi? Belgede tek bir karakter bile değişmişse imza doğrulaması başarısız olur.

Kâğıda basılmış bir e-imzalı belge ise imzanın kendisini taşımaz; doğrulama her zaman elektronik dosya üzerinden yapılır. Bu nedenle imzalı dosyanın orijinal hâliyle saklanması önemlidir.

E-imza kullanırken sık yapılan hatalar nelerdir?

Elektronik imzaya geçişte sorunlar çoğu zaman teknolojiden değil, alışkanlıklardan kaynaklanır. En sık karşılaşılan durumlar şunlardır:

• Taranmış imzayı e-imza sanmak: Islak imzanın görüntüsünü PDF’e yapıştırmak ya da imzalı kâğıdı taramak, güvenli elektronik imza değildir ve aynı hukuki sonucu doğurmaz.
• İmzadan sonra belgeyi düzenlemek: İmzalı PDF üzerinde yapılan küçük bir düzeltme bile imzayı geçersiz kılar. Değişiklik gerekiyorsa belge yeniden onaylanmalı ve yeniden imzalanmalıdır.
• Yetki ile imzayı karıştırmak: Geçerli bir e-imzaya sahip olmak, kişinin şirket adına her belgeyi imzalayabileceği anlamına gelmez. İmza yetkileri ayrıca tanımlanmalı ve süreçte kontrol edilmelidir.
• İmzalı dosyayı e-postada bırakmak: İmzalı nüsha bir e-posta ekinde ya da kişisel bir klasörde kaldığında, sözleşmenin orijinaline ihtiyaç duyulduğu anda bulunamayabilir.
• Sertifika süresini takip etmemek: Süresi dolan sertifika, imzanın en çok gerektiği anda süreci durdurabilir.

Kurumsal imza neden onay akışının içinde olmalı?

E-imza, imzanın kendisini dijitalleştirir; ama imzaya giden süreci kendiliğinden düzenlemez. Sözleşme e-postayla dolaşıyor, onaylar sözlü alınıyor ve imzalı PDF bir masaüstü klasörüne kaydediliyorsa, ıslak imzadaki sorunların çoğu elektronik ortamda da devam eder. Bu yüzden imza, ayrı bir araçta yapılan bağımsız bir işlem değil, onay iş akışının son adımı olmalıdır:

• Doğru versiyon imzalanır: İmzaya yalnızca onay adımlarından geçmiş son versiyon gönderilir.
• Doğru kişi imzalar: Belge türüne ve tutara göre imza yetkilisi akış tarafından belirlenir; görev ve hatırlatma ilgili kişiye gider.
• İmzalı nüsha kaybolmaz: İmzalanan dosya, ait olduğu sözleşme kaydında ekleri ve yazışmalarıyla birlikte saklanır.
• Süreç izlenebilir: Kimin ne zaman onayladığı ve imzaladığı denetim izinde görünür.

Sözleşmenin talepten arşive tüm aşamalarını sözleşme yönetimi nedir yazımızda ayrıntılı olarak ele aldık.

M-Files ile e-imza ve mobil imza nasıl kullanılır?

MechSoft, 2008’den bu yana dijital dönüşüm ve yapay zekâ danışmanlığı yapan bir M-Files Premier Elite Partner’ıdır. M-Files ile sözleşme yönetimi kurgusunda imza, onay akışının doğal bir adımıdır: sözleşme şablondan hazırlanır, inceleme ve onay adımlarından geçer, ardından e-İmza veya mobil imza ile imzalanır. İmzalı belge, aynı sözleşme kaydında tüm versiyon geçmişi, ekleri ve yazışmalarıyla birlikte kalır; bitiş ve yenileme tarihleri için hatırlatmalar bu kayıt üzerinden çalışır. Erişim role ve belge özelliklerine göre sınırlanır, her işlem denetim izine yazılır.

Sahadan iki örnek: Koç Holding’in enerji şirketi Entek, sözleşme yönetimini, gelen-giden evrak ve seyahat taleplerini iş akışlarıyla dijitalleştirdi ve elektronik ile mobil imza entegrasyonlarını devreye aldı. Avrasya Tüneli’nin işletmecisi ATAŞ ise ilk aşamada satın alma ve izin süreçlerini M-Files’a taşıdı; dijital onay ve mobil imza ile sıfır kâğıt hedefine doğru ilerliyor.

İmza ve onay süreçlerini şirketin diğer belgeleriyle aynı yapıda yönetmenin genel çerçevesi için doküman yönetim sistemi rehberimize göz atabilirsiniz.

Sık sorulan sorular

Elektronik imza yasal mı?

Evet. 5070 sayılı Elektronik İmza Kanunu’na göre güvenli elektronik imza, ıslak imza ile aynı hukuki sonucu doğurur. Resmî şekle veya özel merasime tabi hukuki işlemler ile banka teminat sözleşmeleri bu kuralın dışındadır.

Şirketler için elektronik imza nasıl alınır?

E-imza kişiye özeldir; şirketi temsile yetkili her kişi, yetkili bir elektronik sertifika hizmet sağlayıcısından kendi adına nitelikli elektronik sertifika alır. Mobil imza için ise mobil operatöre başvurulur.

Belgenin e-imzalı olduğu nasıl anlaşılır?

Belge, imzayı destekleyen bir PDF görüntüleyicide ya da imza doğrulama aracında açıldığında imzalayan kişi, sertifikanın geçerliliği ve belgenin imzadan sonra değişip değişmediği görüntülenir.

Mobil imza ile evrak imzalamak e-imza kadar geçerli mi?

Evet. Mobil imza, güvenli elektronik imzanın cep telefonu üzerinden atılan biçimidir ve aynı hukuki niteliğe sahiptir. Fark yalnızca imza aracının akıllı kart yerine SIM kart olmasıdır.

E-imzalı sözleşmenin çıktısı geçerli bir nüsha mıdır?

Kâğıt çıktı, imzanın elektronik verisini taşımaz; imzanın doğrulanabildiği asıl nüsha elektronik dosyadır. Bu nedenle imzalı dosyanın orijinal hâliyle, değiştirilemeyecek biçimde saklanması gerekir.

Sözleşme ve onay süreçlerinizde e-İmza ve mobil imzanın nasıl kurgulanabileceğini konuşmak isterseniz ekibimizle iletişime geçebilirsiniz.

İlgili yazılar: Sözleşme yönetimi nedir? Aşamalar, riskler ve doğru yaklaşım · İş akış şeması nedir, nasıl oluşturulur? Semboller ve örnekler