Signatura electrònica eIDAS a Odoo: què és i com funciona (SES, AES i QES)

Quan una pime comença a signar contractes, pressupostos o comandes de compra des d'Odoo, és fàcil pensar que qualsevol signatura electrònica val el mateix. No és així. El Reglament (UE) 910/2014, conegut com a eIDAS, defineix tres nivells de signatura electrònica (simple (SES), avançada (AES) i qualificada (QES)) i només un d'ells té, per llei, el mateix efecte jurídic que una signatura manuscrita a tota la Unió Europea. Saber quin necessites en cada document és la diferència entre un acord blindat i un paper que, si s'impugna, hauràs de defensar tu.

Què és la signatura electrònica eIDAS?

eIDAS són les sigles d'electronic IDentification, Authentication and trust Services. És el Reglament (UE) núm. 910/2014, en vigor des del juliol de 2016, que harmonitza la identificació electrònica i els serveis de confiança (signatura, segell, segell de temps, lliurament electrònic certificat) a tots els estats membres de la UE. El seu objectiu és que un document signat electrònicament a Espanya tingui el mateix reconeixement legal a Alemanya, França o Bèlgica sense tràmits addicionals. Abans d'eIDAS, cada país regulava la signatura electrònica pel seu compte i el reconeixement entre fronteres era incert.

SES, AES i QES: la diferència real (i per què importa legalment)

Signatura simple (SES)

Definida a l'article 3.10 del Reglament, la SES és qualsevol dada en format electrònic annexa o associada lògicament a una altra dada electrònica que el signant fa servir per signar. El llistó és baixíssim: un clic a «Accepto», un nom escrit al final d'un correu, una imatge escanejada d'una signatura manuscrita o una casella de confirmació són, tècnicament, signatura SES. L'article 25.1 eIDAS diu que a una signatura electrònica no se li pot negar efecte legal només per ser electrònica, així que la SES és vàlida. Però no gaudeix de presumpció d'autenticitat: si la contrapart impugna el document, qui el vol fer valer ha de demostrar qui va signar i que no hi va haver manipulació, amb les eines de prova habituals (registres, IP, correu de confirmació).

Signatura avançada (AES)

L'article 26 eIDAS exigeix quatre condicions perquè una signatura sigui AES: ha d'estar vinculada de manera única al signant, permetre identificar-lo, haver-se creat amb dades de signatura sota el seu control exclusiu, i estar vinculada al document de manera que qualsevol modificació posterior sigui detectable. A la pràctica, això s'aconsegueix verificant la identitat del signant (document d'identitat, biometria facial, comprovació per vídeo) abans de deixar-lo signar, i generant un hash criptogràfic del document. L'AES té més pes probatori que la SES (hi ha identitat verificada i evidència tècnica d'integritat) però, a diferència de la QES, el Reglament no li atorga la presumpció automàtica d'equivalència amb la signatura manuscrita: en cas de disputa judicial, continua sent el jutge qui valora la prova, tot i que amb molt millor material que en una SES.

Signatura qualificada (QES)

La QES és, segons l'article 3.12, una AES creada per un dispositiu qualificat de creació de signatura (QSCD) i basada en un certificat qualificat emès per un prestador de serveis de confiança qualificat (QTSP), inscrit a la llista de confiança del seu país. És l'única categoria a la qual l'article 25.2 eIDAS atorga expressament «l'efecte jurídic equivalent al d'una signatura manuscrita» a tota la UE. A la pràctica això inverteix la càrrega de la prova a favor de qui la fa servir: si s'impugna, qui nega haver signat és qui ho ha de provar, no al revés. És el nivell que demanen per defecte els departaments legals i les asseguradores quan el contracte té un valor econòmic alt o un risc legal real.

Taula resum: SES vs AES vs QES

Què fa (i què no fa) Odoo Sign, la signatura nativa

Odoo Sign, l'app de signatura inclosa de sèrie a Odoo, permet enviar un document perquè el destinatari el signi dibuixant el traç amb el ratolí o el dit, escrivint el seu nom, o simplement acceptant amb un clic, i queda arxivat al chatter del registre. És ràpid, gratuït i perfectament vàlid com a SES: compleix l'article 25.1 eIDAS. El que no fa és verificar la identitat del signant contra un document oficial ni emetre un certificat qualificat, així que no pot produir AES ni QES pel seu compte. Per a acusaments de rebuda, condicions internes o documents de baix risc és suficient. Per a un contracte de distribució, un acord de col·laboració amb una xifra rellevant al darrere, o qualsevol document on la contrapart pugui impugnar l'autoria, no ho és.

La majoria de connectors de signatura per a Odoo també es queden en SES

El mateix límit es repeteix en gran part dels connectors de signatura que existeixen per a Odoo: envolten una integració amb un proveïdor extern, però el nivell real de signatura que lliuren continua sent SES (clic per signar) o, amb sort, una AES bàsica amb verificació de correu o SMS. Emetre una QES de debò requereix una cosa que la majoria de connectors no porten integrada: accés directe a un prestador de serveis de confiança qualificat (QTSP) inscrit a la Trusted List de la UE, amb els mètodes d'identificació que aquest QTSP exigeix per emetre el certificat qualificat. Sense això, per molt bonica que sigui la integració, el sostre legal continua sent el mateix que el d'Odoo Sign natiu.

El connector real de FlexigoTech amb e-Signature.eu: QES real dins d'Odoo

FlexigoTech ha construït, juntament amb l'equip d'e-Signature.eu (VisitOnWeb SRL, Bèlgica (Bruno Biemans i Dimitri), un connector real per a Odoo 17, 18 i 19 que permet enviar qualsevol document de l'ERP)pressupost, contracte, factura, comanda de compra: a signatura eIDAS triant el nivell exacte que necessites: SES, AES o QES, sense sortir d'Odoo. El signant s'identifica amb el mètode que correspon a cada nivell i país: itsme® o Evrotrust per a QES, verificació per vídeo amb Veriff per a AES, o codi OTP per SMS per a SES.

El connector es publica a l'App Store d'Odoo per 149 € de pagament únic (Odoo 17, 18 i 19). El preu per signatura el fixa e-Signature.eu segons el nivell i el mètode triats, i es paga per ús, sense quota de subscripció: només abones les signatures que realment envies.

Què necessites per tenir signatura qualificada real a Odoo

• Instal·lar l'e-Signature.eu Connector des de l'App Store d'Odoo (149 €, pagament únic, Odoo 17-19).
• Donar d'alta un compte a e-Signature.eu (VisitOnWeb): sense subscripció, pagament per signatura enviada.
• Triar el nivell de signatura (SES, AES o QES) directament des del mateix document d'Odoo, abans d'enviar-lo.
• El signant s'identifica amb itsme®, Evrotrust, Veriff o codi OTP, segons el nivell triat.
• El document signat, el certificat i l'evidència (segell de temps inclòs) queden arxivats automàticament a Odoo.

Quan fer servir cada nivell: guia pràctica

A la pràctica, la majoria d'empreses no necessiten QES per a tot: fer servir QES per a un acusament de rebuda intern és gastar de més. La lògica que funciona és aquesta: SES per a documents de baix risc (confirmacions internes, acusaments de rebuda, condicions ja negociades per un altre canal); AES per a contractes comercials estàndard entre empreses on convé tenir identitat verificada però no hi ha un risc legal extrem; i QES per a tot el que tingui un valor econòmic alt, per a contractes amb contraparts que exigeixen el màxim nivell de garantia, o per a qualsevol document on, si acaba en un litigi, vulguis tenir la càrrega de la prova al teu favor. Un matís honest: la QES no substitueix els actes que la llei exigeix elevar a escriptura pública davant de notari (per exemple, una compravenda d'immoble a Espanya); per a això continua calent notari, sigui quin sigui el nivell de signatura electrònica.

Enllaços útils dins de FlexigoTech

Preguntes freqüents

El que fem sobre això