Dekont ve Fatura Paylaşırken Neleri Maskelemelisiniz

Bir ödeme dekontunu "parayı gönderdim" kanıtı olarak paylaştığınızda, karşı tarafın görmesi gereken şey genellikle üç bilgiden ibarettir: tutar, tarih ve işlem referansı. Dekontun üzerinde ise bunlara ek olarak iki tarafın adı, IBAN'ları, bazen şube bilgisi, açıklama notu ve kimi bankalarda kısmen görünen kimlik numarası bulunur. Maskelemenin amacı kanıtı zayıflatmadan bu fazlalığı çıkarmaktır.

Dekont ve faturada tipik olarak neler bulunur

Banka dekontlarının biçimi bankadan bankaya değişir, ama çoğunda şu alanlar yer alır: gönderen ve alıcı adı-soyadı ya da unvanı, gönderen ve alıcı IBAN'ı, işlem tutarı ve tarihi, işlem ya da sorgu numarası, açıklama alanı ve bazen gönderenin T.C. kimlik veya vergi numarası. Kartlı işlemlere ait slip ve ekstre görüntülerinde kart numarası da yer alır.

Faturalar için alt sınır kanunla çizilmiştir. 213 sayılı Vergi Usul Kanunu'nun 230. maddesine göre faturada en az şunlar bulunur: düzenlenme tarihi, seri ve sıra numarası; faturayı düzenleyenin adı, varsa ticaret unvanı, iş adresi, bağlı olduğu vergi dairesi ve hesap numarası; müşterinin adı, ticaret unvanı, adresi, varsa vergi dairesi ve hesap numarası; malın veya işin cinsi, miktarı, fiyatı ve tutarı. Buradaki "hesap numarası" vergi kimlik numarasını ifade eder. Bireysel müşteriye düzenlenen e-Arşiv faturalarda alıcı tarafında genellikle T.C. kimlik numarası yer alır.

Neyi gizlemeli, neyi bırakmalı

Tek bir doğru cevap yok; ne gizleneceği belgeyi kiminle paylaştığınıza bağlıdır. Aşağıdaki tablo bizim önerimizdir, bir mevzuat hükmü değildir:

Açıklama alanını atlamayın. "Kira Mart - Daire 7" ya da "Ahmet'in okul taksidi" gibi bir not, adres ya da çocuk bilgisi verir ve hiçbir otomatik araç bunu kişisel veri olarak tanımaz.

Kart numaralarında sınır: BIN ve son dört hane

Ödeme kartı sektörünün veri güvenliği standardı PCI DSS, kart numarasının (PAN) ekranda ya da çıktıda gösterilmesine bir üst sınır koyar. Standardın 3.2.1 sürümündeki 3.3 numaralı gereklilik, iş gereği daha fazlasını görmesi gerekmeyen herkes için gösterilebilecek azami kısmı ilk altı ve son dört hane olarak tanımlıyordu. Güncel 4.0 sürümü aynı kuralı 3.4.1 numaralı gereklilikte "BIN ve son dört hane" ifadesiyle korur; BIN, kartı çıkaran kurumu gösteren baştaki hanelerdir ve sektörün sekiz haneli BIN'e geçişiyle uzunluğu değişebilmektedir. Visa'nın sekiz haneli BIN konusundaki değerlendirme notu, maskeleme uygulamalarının bu geçişte sürdürülmesini önerir.

Bu kural kartı işleyen kuruluşlar içindir, ama bireysel paylaşım için de iyi bir üst sınırdır. Pratikte daha azını göstermek daha iyidir: bir kişiyle paylaşımda son dört hane yeterlidir, herkese açık paylaşımda hiçbir hane gösterilmemelidir. Kartın son kullanma tarihi ve arkasındaki güvenlik kodu (CVV) hiçbir koşulda paylaşılmaz.

Araçlar ne yapar, ne yapmaz

Bu sitedeki maskeleme araçları aynı motoru kullanır ve dosyayı sunucuya göndermeden tarayıcıda çalışır. Sınırlarını bilmek, çıktıyı doğru kontrol etmenizi sağlar.

Dekont maskeleme

Dekont maskeleme sayfası üç sekme sunar. "Metni maskele" sekmesinde dekont metnini yapıştırırsınız; varsayılan olarak IBAN, T.C. kimlik, VKN, telefon ve kart numarası seçilidir, e-postayı isterseniz ayrıca açarsınız. "Resmi karart" ve "PDF'i karart" sekmeleri, ekran görüntüsü ya da PDF dekontta alanların üzerine kutu çizmenizi sağlar ve siyah alanları piksellere işleyerek yeni bir dosya üretir. Ad-soyad, adres ve açıklama notu otomatik bulunmaz. IBAN biçiminde olmayan düz hesap numaraları da ayrı bir veri türü olarak tanınmaz; bunları elle kapatın.

IBAN maskeleme

IBAN maskeleme yalnızca TR ile başlayan, 24 haneli Türkiye IBAN'larını tanır; boşluklu ya da bitişik yazılmış olması fark etmez. Kısmi modda TR ön ekiyle birlikte ilk iki hane ve son iki hane görünür kalır, arası yıldızlanır. Örneğin TR33 0006 1005 1978 6457 8413 26 değeri TR33 **** **** **** **** **** 26 olur. Tam modda TR dahil tüm karakterler gizlenir. Başka ülke IBAN'ları maskelenmez.

e-Fatura XML maskeleme

e-Fatura XML maskeleme UBL-TR dosyasını metin olarak işler; varsayılan olarak VKN, T.C. kimlik, IBAN, telefon ve e-posta değerlerini maskeler, XML etiketlerine dokunmaz. Bilmeniz gereken üç nokta var. Alıcının unvanı, adı ve adresi maskelenmez. XML içine base64 olarak gömülü içerik, örneğin fatura görünümünü taşıyan ekler ya da imza sertifikası, bu metin taramasında çözülmediği için içindeki bilgiler olduğu gibi kalır. Ve maskelenmiş dosyanın elektronik imzası artık doğrulanmaz; bu kopya yalnızca örnek ya da hata bildirimi amaçlıdır, resmî işlemlerde kullanılmaz. Faturayı okunur biçimde incelemek için e-Fatura XML görüntüleyiciyi kullanabilirsiniz.

Doğrulama algoritmalarının bir yan etkisi

Araçlar sayıları körlemesine maskelemez: 11 haneli bir sayı T.C. kimlik numarası algoritmasını, 10 haneli bir sayı VKN kontrol hanesini, kart numarası Luhn kontrolünü geçerse maskelenir. Bu, rastgele sipariş numaralarının çoğunu korur. Ama VKN'de tek bir kontrol hanesi olduğu için, rastgele 10 haneli sayıların yaklaşık onda biri bu kontrolü tesadüfen geçer. Dekonttaki 10 haneli bir sorgu numarası ya da faturadaki bir referans bu yüzden VKN sanılıp maskelenebilir. Tersine, bir OCR hatası nedeniyle tek hanesi yanlış okunmuş gerçek bir kimlik numarası doğrulamayı geçemeyip açıkta kalabilir. Çıktıdaki özet satırında kaç alanın hangi türde maskelendiğine bakın ve sayılar beklentinizle uyuşmuyorsa satır satır kontrol edin.

Paylaşmadan önce sıralı kontrol

1. Belgeyi kiminle paylaşacağınızı belirleyin ve yukarıdaki tablodan ilgili sütunu seçin.
2. Orijinali saklayın. VUK'un 253. maddesi defter tutanların belgelerini ilgili yılı izleyen takvim yılından başlayarak beş yıl saklamasını ister; maskelenmiş kopya bu yükümlülüğü karşılamaz.
3. Metin tabanlı dekont veya XML'de otomatik maskelemeyi çalıştırın.
4. Ad, adres, telefon ve açıklama notunu elle gözden geçirin.
5. Görsel ya da PDF paylaşacaksanız kalan alanları kutu çizerek karartın ve çıktıda metin seçmeyi deneyin.
6. Fotoğrafını çektiğiniz bir faturada konum bilgisini de temizleyin.

PDF dekontta siyah kutunun neden tek başına yetmediğini PDF karartma yazısında, telefonla çekilmiş fatura fotoğraflarındaki konum bilgisini EXIF konum silme yazısında anlattık. Banka ekstrelerini dosya olarak açmak için MT940 ve camt ekstre rehberine bakabilirsiniz.