Evet, elektronik imza Suudi Arabistan'da hukuki etki doğurur. 8/3/1428H tarihli (M/18) sayılı Kraliyet Kararnamesi ile çıkarılan Elektronik İşlemler Kanunu, elektronik işlemlerin ve elektronik imzaların hukuki etkisi olduğunu ve bir belgenin yalnızca elektronik olduğu için ispat gücünü kaybetmeyeceğini hükme bağlar. Ancak bu geçerlilik koşulsuz değildir: kanunun uygulama yönetmeliği, bir elektronik imzanın veya mührün güvenilir sayılabilmesi için Ulusal Dijital Sertifikasyon Merkezi ya da lisanslı bir sertifikasyon hizmet sağlayıcısı tarafından verilmiş bir dijital sertifikaya bağlı olmasını şart koşar. Bir uyuşmazlıkta güvenebileceğiniz imza ile ilk itirazda çöken imza arasındaki fark tam olarak bu şarttır.

Bu konu neden şimdi dikkatinizi hak ediyor

Suudi şirketlerin çoğu zaten dijital çalışıyor: teklif bir sistemden çıkıyor, fatura Zekât, Vergi ve Gümrük Kurumu (ZATCA) gerekliliklerine göre elektronik olarak kesiliyor, çalışan talebini bir uygulamadan iletiyor. Sonra bir adım geliyor ve tüm zincir duruyor: imza. Sözleşme yazdırılıyor, imzalanıyor, fotoğrafı çekiliyor, WhatsApp'tan gönderiliyor ve altı ay sonra kimsenin bulamadığı bir klasöre kaldırılıyor. Bu tek kâğıt adımı size satış döngüsünde günlere mal oluyor ve her uyuşmazlıkta konumunuzu zayıflatıyor; çünkü taranmış bir görüntü kimin ne zaman imzaladığını kanıtlamaz.

Doğru kurulmuş bir elektronik imza bu boşluğu kapatır. Onay döngüsünü günlerden dakikalara indirir ve geride herkesin düzenleyebileceği bir görüntü yerine gerçekten kanıtlayabileceğiniz bir kayıt bırakır.

Üç seviye, her birinin doğru yeri var

Tüm elektronik imzalar eşit değildir ve onları birbirine karıştırmak hataların çoğunun kaynağıdır:

  • Basit imza. Bir onay tıklaması, bir alana yazılan isim ya da SMS ile gönderilen bir kod. Hızlıdır ve düşük etkili iç onaylar için uygundur: izin talepleri, teslim alma onayları, kullanım koşullarının kabulü. İspat gücü sınırlıdır.
  • Kimliği doğrulanmış imza. İmzayı, imzalamadan önce Nafath üzerinden kimlik doğrulama gibi, imzalayanın kimliğinin gerçek bir doğrulamasına bağlar. Çok daha güçlüdür, çünkü en önemli soruyu yanıtlar: bu kişi gerçekte kim?
  • Akredite dijital imza. Ulusal Dijital Sertifikasyon Merkezi ya da lisanslı bir sağlayıcı tarafından verilmiş dijital sertifikaya dayanır ve açık anahtarlı kriptografi kullanır. Yüksek değerli sözleşmeler, düzenlemeye tabi belgeler ve kamu kurumlarıyla yapılan işlemler için hedeflenmesi gereken seviye budur.

Pratik kural: belgelerinizi finansal ve düzenleyici etkilerine göre sınıflandırın, ardından her sınıfı doğru seviyeyle eşleştirin. En yüksek seviyeyi her şeye uygulamak işinizi boş yere yavaşlatır; en düşük seviyeyi her şeye uygulamak ise sizi savunmasız bırakır.

Gerçek zaman kazandırdığı yerler

Gecikmeyi gerçekten hissettiğiniz yerden başlayın: müşteri sözleşmeleri ve satın alma siparişleri, taahhüt işlerinde değişiklik emirleri, iş sözleşmeleri ve çalışan beyanları, proje teslim tutanakları ve ödeme onayları. Bunların her birinde kaybedilen zaman imzanın kendisi değil, birinin kâğıt önünde masasına oturmasını beklemektir.

Sisteminizin içine nasıl kurulur

Bunu bir müşterinin sistemine kurduğumuzda ayrı bir imza aracı eklemiyoruz; imzalamayı mevcut iş akışının içindeki bir adım haline getiriyoruz. Pratik sıralama:

  • Sabit bir nihai kopya üretin. Sistem nihai PDF'i birinin elle yüklediği bir dosyadan değil, kendi verilerinden üretir.
  • Dijital parmak izi hesaplayın. Dosya için bir hash hesaplanır. Sonradan yapılan her değişiklik, tek bir karakter bile olsa, bu hash'i değiştirir; böylece kurcalama hemen ortaya çıkar.
  • İmzalayanın kimliğini doğrulayın. Belgenin seviyesine göre: sıradan oturum açma, Nafath üzerinden doğrulama ya da dijital sertifika.
  • İmzayı ve zaman damgasını gömün. İmza, imzalama anını belgeleyen güvenilir bir zaman damgasıyla birlikte dosyaya gömülür.
  • Saklayın ve erişin. İmzalı belge müşteri ya da çalışan kaydına bağlı olarak saklanır ve klasör aramak yerine tek tıkla erişilebilir.

Denetim izi: uyuşmazlıkları belirleyen unutulmuş parça

İmzalı belge tek başına yeterli değildir. Bir anlaşmazlığı çözen, onu çevreleyen kayıttır: belgeyi kim açtı, ne zaman, hangi IP adresinden, hangi doğrulama yöntemiyle ve imzalama anında kendisine belgenin tam olarak hangi sürümü gösterildi. Bu kaydı kurcalamaya karşı korumalı ve belgenin kendisine bağlı hale getirin, talep edildiğinde belgeyle birlikte dışa aktarın. Dijital uyuşmazlıkları kaybeden şirketler, imza elektronik olduğu için nadiren kaybeder; imzalamanın koşullarını kanıtlayamadıkları için kaybederler.

Kişisel verilerin korunması

Bir imza akışı doğası gereği kişisel veri toplar: isimler, kimlik numaraları, iletişim numaraları, erişim adresleri. Bu da onu doğrudan Kişisel Verilerin Korunması Kanunu (PDPL) kapsamına sokar. Pratikte bu, gerçekten ihtiyaç duyduğunuz asgari veriyi toplamak, her belge türü için net bir saklama süresi belirlemek, verileri bekleme halinde ve aktarım sırasında şifrelemek ve her çalışanın her sözleşmeyi görememesi için yetkileri kısıtlamak anlamına gelir.

Pahalıya mal olan yaygın hatalar

  • Yapıştırılmış bir imza görüntüsüyle yetinmek. Bir dosyaya eklenmiş imza görüntüsü elektronik imza değildir; başka herhangi bir belgeye kopyalanabilen bir resimdir.
  • E-postayı kanıt saymak. Onay içeren bir mesaj, kimlik doğrulamaya ve denetim izine bağlı bir imzadan çok daha zayıftır.
  • Belgeleri sınıflandırmamak. Bir izin talebine en yüksek doğrulama seviyesini dayatmak, personeli sistemin etrafından dolaşmaya iter.
  • Dosyaları sistem dışında saklamak. Tek bir kişinin klasöründe duran belge, o kişinin ayrıldığı gün kaybolur.

Nereden başlamalı

Gecikmesini gerçekten hissettiğiniz, sık tekrarlanan bir belge seçin; örneğin bir müşteri sözleşmesi ya da satın alma siparişi. Oluşturulmasından saklanmasına kadar mevcut yolunu çıkarın ve nerede, neden beklediğini belirleyin. Ardından bu tek belge için uygun seviyede dijital yolu kurun, bir ay boyunca çalıştırın ve zaman farkını ölçün. Tek bir belgede başarılı olmak, detaylarda tıkanan büyük bir program yerine geri kalanına güvenle yayabileceğiniz kanıtlanmış bir şablon sağlar.

Origami olarak bunu bağımsız bir araç olarak değil, müşterinin sisteminin bir parçası olarak kuruyoruz: imzalama iş akışının içindeki bir adımdır, imzalı belge müşteri kaydına bağlıdır ve denetim izi ihtiyaç duyulduğunda dışa aktarılabilir.

Kaynaklar

  • Elektronik İşlemler Kanunu, Bakanlar Kurulu Uzmanlar Bürosu: laws.boe.gov.sa
  • Elektronik İşlemler Kanunu Uygulama Yönetmeliği, Umm Al-Qura: uqn.gov.sa
  • Dijital sertifikasyon hizmetleri, Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA): sdaia.gov.sa
  • Kişisel Verilerin Korunması Kanunu, SDAIA: sdaia.gov.sa