Podpis elektroniczny eIDAS w Odoo: czym jest i jak działa (SES, AES i QES)

Gdy małe i średnie firmy zaczynają podpisywać umowy, oferty lub zamówienia zakupu z poziomu Odoo, łatwo założyć, że każdy podpis elektroniczny ma taką samą wagę. Tak nie jest. Rozporządzenie (UE) 910/2014, znane jako eIDAS, definiuje trzy poziomy podpisu elektronicznego (prosty (SES), zaawansowany (AES) i kwalifikowany (QES)), a tylko jeden z nich ma z mocy prawa taki sam skutek prawny jak podpis odręczny w całej Unii Europejskiej. Wiedza o tym, który poziom jest potrzebny przy danym dokumencie, to różnica między umową nie do podważenia a papierem, którego w razie sporu będziesz musiał bronić Ty.

Czym jest podpis elektroniczny eIDAS?

eIDAS to skrót od electronic IDentification, Authentication and trust Services. Jest to rozporządzenie (UE) nr 910/2014, obowiązujące od lipca 2016 roku, które ujednolica identyfikację elektroniczną i usługi zaufania (podpis, pieczęć, znacznik czasu, elektroniczne doręczenie poświadczone) we wszystkich państwach członkowskich UE. Jego celem jest to, aby dokument podpisany elektronicznie w Hiszpanii miał takie samo uznanie prawne w Niemczech, Francji czy Belgii bez dodatkowych formalności. Przed eIDAS każdy kraj regulował podpis elektroniczny na własną rękę, a uznawanie go ponad granicami było niepewne.

SES, AES i QES: rzeczywista różnica (i dlaczego ma znaczenie prawne)

Podpis prosty (SES)

Zdefiniowany w art. 3.10 rozporządzenia SES to wszelkie dane w postaci elektronicznej dołączone lub logicznie powiązane z innymi danymi elektronicznymi, których podpisujący używa do podpisania. Poprzeczka jest bardzo nisko: kliknięcie „Akceptuję”, imię i nazwisko wpisane na końcu e-maila, zeskanowany obraz podpisu odręcznego czy pole wyboru z potwierdzeniem to technicznie podpis SES. Art. 25.1 eIDAS mówi, że nie można odmówić skutku prawnego podpisowi elektronicznemu tylko dlatego, że jest elektroniczny, więc SES jest ważny. Nie korzysta jednak z domniemania autentyczności: jeśli druga strona zakwestionuje dokument, ten, kto chce się na niego powołać, musi wykazać, kto podpisał i że nie doszło do manipulacji, za pomocą zwykłych środków dowodowych (logi, adres IP, e-mail z potwierdzeniem).

Podpis zaawansowany (AES)

Artykuł 26 eIDAS wymaga spełnienia czterech warunków, aby podpis był AES: musi być jednoznacznie powiązany z podpisującym, umożliwiać jego identyfikację, być złożony za pomocą danych do składania podpisu pozostających pod jego wyłączną kontrolą oraz być powiązany z dokumentem tak, aby każda późniejsza zmiana była wykrywalna. W praktyce osiąga się to przez weryfikację tożsamości podpisującego (dokument tożsamości, biometria twarzy, weryfikacja wideo) przed dopuszczeniem do podpisu oraz przez wygenerowanie kryptograficznego skrótu (hash) dokumentu. AES ma większą wagę dowodową niż SES (jest zweryfikowana tożsamość i techniczny dowód integralności), ale w odróżnieniu od QES rozporządzenie nie przyznaje mu automatycznego domniemania równoważności z podpisem odręcznym: w razie sporu sądowego dowody nadal ocenia sędzia, choć dysponując znacznie lepszym materiałem niż przy SES.

Podpis kwalifikowany (QES)

QES to, zgodnie z art. 3.12, AES złożony za pomocą kwalifikowanego urządzenia do składania podpisu (QSCD) i oparty na kwalifikowanym certyfikacie wystawionym przez kwalifikowanego dostawcę usług zaufania (QTSP), wpisanego na listę zaufania swojego kraju. Jest to jedyna kategoria, której art. 25.2 eIDAS wprost przyznaje „skutek prawny równoważny podpisowi odręcznemu” w całej UE. W praktyce odwraca to ciężar dowodu na korzyść osoby, która go używa: jeśli podpis zostanie zakwestionowany, to ten, kto zaprzecza, że podpisał, musi to udowodnić, a nie odwrotnie. Jest to poziom, którego domyślnie wymagają działy prawne i ubezpieczyciele, gdy umowa ma wysoką wartość gospodarczą lub realne ryzyko prawne.

Zestawienie: SES vs AES vs QES

Co robi (a czego nie robi) Odoo Sign, natywny podpis

Odoo Sign, aplikacja do podpisywania dołączona standardowo do Odoo, pozwala wysłać dokument, który odbiorca podpisuje, rysując ślad myszą lub palcem, wpisując swoje imię i nazwisko albo po prostu akceptując jednym kliknięciem, a następnie jest archiwizowany w chatterze rekordu. Jest szybki, darmowy i w pełni ważny jako SES: spełnia art. 25.1 eIDAS. Nie weryfikuje natomiast tożsamości podpisującego na podstawie dokumentu urzędowego ani nie wystawia certyfikatu kwalifikowanego, więc sam nie może wytworzyć AES ani QES. W przypadku potwierdzeń odbioru, wewnętrznych warunków czy dokumentów niskiego ryzyka to wystarczy. W przypadku umowy dystrybucyjnej, umowy o współpracy z istotną kwotą w tle lub jakiegokolwiek dokumentu, w którym druga strona może zakwestionować autorstwo, to za mało.

Większość konektorów podpisu dla Odoo również zatrzymuje się na SES

To samo ograniczenie powtarza się w dużej części konektorów podpisu dostępnych dla Odoo: opakowują integrację z zewnętrznym dostawcą, ale rzeczywisty poziom podpisu, który zapewniają, to nadal SES (kliknięcie, aby podpisać) lub, w najlepszym razie, podstawowy AES z weryfikacją e-mailem lub SMS-em. Wystawienie prawdziwego QES wymaga czegoś, czego większość konektorów nie ma wbudowanego: bezpośredniego dostępu do kwalifikowanego dostawcy usług zaufania (QTSP) wpisanego na Trusted List UE, wraz z metodami identyfikacji, jakich ten QTSP wymaga do wystawienia certyfikatu kwalifikowanego. Bez tego, choćby integracja była najlepiej dopracowana, pułap prawny pozostaje taki sam jak w natywnym Odoo Sign.

Prawdziwy konektor FlexigoTech z e-Signature.eu: prawdziwy QES w Odoo

FlexigoTech zbudował wspólnie z zespołem e-Signature.eu (VisitOnWeb SRL, Belgia (Bruno Biemans i Dimitri) prawdziwy konektor dla Odoo 17, 18 i 19, który pozwala wysłać dowolny dokument z ERP)ofertę, umowę, fakturę, zamówienie zakupu: do podpisu eIDAS, wybierając dokładnie ten poziom, którego potrzebujesz: SES, AES lub QES, bez opuszczania Odoo. Podpisujący identyfikuje się metodą odpowiadającą danemu poziomowi i krajowi: itsme® lub Evrotrust dla QES, weryfikacją wideo z Veriff dla AES albo kodem OTP przez SMS dla SES.

Konektor jest dostępny w App Store de Odoo za jednorazową opłatą 149 € (Odoo 17, 18 i 19). Cenę za podpis ustala e-Signature.eu w zależności od wybranego poziomu i metody, a płaci się za faktyczne użycie, bez abonamentu: płacisz tylko za podpisy, które naprawdę wysyłasz.

Czego potrzebujesz, aby mieć prawdziwy podpis kwalifikowany w Odoo

• Zainstalować e-Signature.eu Connector z App Store de Odoo (149 €, jednorazowo, Odoo 17-19).
• Założyć konto w e-Signature.eu (VisitOnWeb): bez abonamentu, płatność za każdy wysłany podpis.
• Wybrać poziom podpisu (SES, AES lub QES) bezpośrednio z samego dokumentu w Odoo, przed wysłaniem.
• Podpisujący identyfikuje się za pomocą itsme®, Evrotrust, Veriff lub kodu OTP, zależnie od wybranego poziomu.
• Podpisany dokument, certyfikat i dowody (w tym znacznik czasu) są automatycznie archiwizowane w Odoo.

Kiedy używać którego poziomu: praktyczny poradnik

W praktyce większość firm nie potrzebuje QES do wszystkiego: używanie QES do wewnętrznego potwierdzenia odbioru to wydawanie ponad miarę. Sprawdza się następująca logika: SES dla dokumentów niskiego ryzyka (wewnętrzne potwierdzenia, potwierdzenia odbioru, warunki już wynegocjowane innym kanałem); AES dla standardowych umów handlowych między firmami, gdzie warto mieć zweryfikowaną tożsamość, ale nie ma skrajnego ryzyka prawnego; oraz QES dla wszystkiego, co ma wysoką wartość gospodarczą, dla umów z kontrahentami wymagającymi najwyższego poziomu gwarancji lub dla każdego dokumentu, w którym w razie sporu sądowego chcesz mieć ciężar dowodu po swojej stronie. Uczciwe zastrzeżenie: QES nie zastępuje czynności, które prawo wymaga sporządzić w formie aktu notarialnego (na przykład sprzedaży nieruchomości w Hiszpanii); do tego nadal potrzebny jest notariusz, niezależnie od poziomu podpisu elektronicznego.

Przydatne linki w FlexigoTech

Najczęściej zadawane pytania

Co robimy w tym zakresie