Gairebé totes les empreses andorranes que deixen d'imprimir contractes ho fan malament la primera vegada. No perquè triïn mal l'eina, sinó perquè ningú no els ha explicat que "signatura electrònica" són tres coses diferents, amb tres valors legals diferents, i que el PDF signat que queda al final no és la prova, només el resultat. El que de debò et defensa en una reclamació és el que vas guardar al voltant d'aquell PDF. Aquí tens quin nivell necessita cada document que mous, què aporta el certificat de l'Oscepa i què implica posar tot això dins de la teva pròpia aplicació.
Signatura simple, avançada i qualificada: què canvia de debò
La diferència entre els tres nivells no és de màrqueting. És quanta feina et toca a tu si algú nega haver signat, que és l'única manera útil de llegir-ho quan ets qui paga.
- Signatura simple: qualsevol dada que expressi consentiment. Un clic a "Accepto", una casella marcada, un nom en un formulari. Val com a prova, però si el signant ho nega, et toca demostrar-ho a tu amb logs i correus.
- Signatura avançada: vinculada de manera única al signant, creada amb mitjans que ell controla i capaç de detectar qualsevol canvi posterior. Aquí ja hi ha identificació verificada, segellat de temps i un rastre tècnic pensat per sostenir-se en una discussió.
- Signatura qualificada: una signatura avançada feta amb certificat qualificat d'un prestador supervisat, a Andorra l'Oscepa. És el nivell que la norma equipara a la signatura manuscrita.
L'efecte pràctic està escrit al reglament andorrà de facturació electrònica: les factures amb signatura o segell electrònic qualificat tenen presumpció legal d'autenticitat i integritat. Traduït, la càrrega de provar que el document és fals recau en qui el discuteix, no en tu. Amb signatura avançada no tens aquesta presumpció.
El marc de fons és la Llei 35/2014, de certificació i confiança electrònica, alineada amb el model europeu. Atenció a un matís que es repeteix en propostes comercials: Andorra no és a la Unió Europea, per tant el reglament eIDAS no se li aplica directament. Que un proveïdor sigui qualificat a la UE és una garantia tècnica sòlida, no signatura qualificada a efectes andorrans.
Quin nivell necessita cada document
Abans de mirar eines, agafa la llista de documents que signa la teva empresa i assigna un nivell a cada un. Signar un pressupost amb el mateix desplegament que un poder és llençar diners; signar un contracte laboral amb un clic és estalviar on no toca.
| Document | Nivell raonable | Per què |
|---|---|---|
| Pressupostos i acceptacions | Simple o avançada | Risc baix, el que importa és tancar ràpid |
| Condicions de servei i textos APDA | Simple amb registre de versió | Et demanen acreditar quin text es va acceptar i quan |
| Contractes laborals i annexos | Avançada | Pot acabar al Departament de Treball |
| Contractes amb clients i proveïdors | Avançada | A més import, més evidència necessites |
| Factures al sector públic | Qualificada | Ho exigeix la norma de facturació electrònica |
| Autoritzacions, apoderaments i actes | Qualificada | Aquí la presumpció legal és el que compres |
Si dubtes, el criteri que funciona és senzill: puja de nivell quan el document valgui més que el cost de litigar-hi.
Què et dona el certificat de l'Oscepa i per a què no serveix
El certificat de l'Oficina de Serveis de Confiança Electrònica del Principat d'Andorra és la identitat digital de la teva empresa davant l'administració. Tres coses abans de construir-hi res a sobre.
És gratuït, no subvencionat. El Decret 564/2023, del 20 de desembre, va derogar el reglament de preus públics i va establir el lliurament gratuït del certificat en la tramitació presencial, en vigor des del 27 de desembre del 2023 i sense data de caducitat. La web del Govern continua parlant de certificats "subvencionats" per a un exercici concret i enllaça un decret derogat. He vist pressupostos amb una partida de "llicències" que no existeix.
Per si sol no et dona un flux de signatura. Et dona la capacitat de signar i d'autenticar-te, no l'enviament al signant, els recordatoris, l'ordre de signants, l'acta d'evidències ni la custòdia. Això és programari, i és justament la part que cal construir.
I si no l'actives, el perds: els que no s'activen durant un any es donen de baixa d'ofici. Demanar-lo "per tenir-lo" i deixar-lo en un calaix és la manera més tonta de perdre dues setmanes.
Andie recomana
El certificat que gairebé ningú no demana i que gairebé tothom necessita és el segell d'empresa. Els de persona física i de representant estan pensats perquè signi una persona; el segell està pensat perquè signi el sistema, sense que ningú estigui al davant. Si la teva facturació depèn que algú concret obri el seu certificat, tens un coll d'ampolla amb nom i cognoms que s'atura quan aquella persona és de vacances.
Què vol dir integrar-ho a la teva aplicació
Integrar la signatura a la teva aplicació web no és posar un botó: és un circuit que comença abans del document i acaba anys després.
- Preparació del document. El teu sistema genera el PDF des de les seves dades, amb les posicions de signatura marcades i res dinàmic a dins: si porta camps que poden canviar sols, perds la presumpció d'integritat encara que la signatura sigui qualificada.
- Identificació del signant. Segons el nivell: el seu certificat, la verificació d'identitat del prestador, o un enllaç autenticat per a la signatura simple.
- Enviament i seguiment. Enllaç únic per signant, caducitat de l'enllaç, ordre quan n'hi ha diversos, recordatoris i estat visible des de dins de la teva aplicació, no des del panell d'un tercer.
- Signatura i segellat de temps. La signatura s'incrusta al document i s'afegeix un segell de temps d'una autoritat independent. Sense això la data que tens és la del teu servidor, i aquesta no prova res.
- Acta d'evidències. Qui va obrir l'enllaç, des de quina IP i dispositiu, quan el va llegir, quina versió va veure i amb quin mètode es va identificar.
- Conservació. Document, evidències i segells guardats junts i verificables durant tot el termini en què es pugui discutir. En matèria laboral i comptable són anys, no mesos.
Per a la capa avançada integrem prestadors qualificats conforme a eIDAS, com Signaturit o Validated ID, que ja aporten verificació d'identitat, segellat de temps i custòdia probatòria. Per al qualificat andorrà, l'Oscepa. No són excloents: el normal és tenir els dos nivells a la mateixa aplicació, cada document pel seu circuit.
Com es demostra després qui va signar què i quan
És la pregunta que gairebé mai no es fa a la reunió de compra i la que decideix si el projecte serveix. Té tres potes i necessites les tres per separat.
- Què es va signar: el hash del document en el moment de la signatura, per demostrar que el PDF que presentes és bit a bit el que es va signar.
- Qui va signar: les dades del certificat o del procés de verificació, amb el resultat de cada comprovació.
- Quan es va signar: el segell de temps d'una autoritat externa, no l'hora de la teva base de dades.
Si el teu sistema respon a les tres amb un document descarregable, estàs cobert. Si només ensenya un PDF amb una signatura dibuixada a sobre, no.
Els errors que surten cars
Tots els he vist en empreses que ja tenien la signatura "resolta". Cap no es nota el primer any i tots es noten el dia de la reclamació.
- Guardar només el PDF final i llençar l'evidència. És l'error número u. El PDF acredita força, però l'acta és la que explica el context. T'has quedat la foto i has llençat el negatiu.
- No conservar el segellat de temps de manera verificable. Un segell que no es pot validar anys després, perquè es va guardar en un camp de text solt o es va perdre en una migració, és decoració.
- No controlar la caducitat. La validesa habitual és de tres anys i un certificat caducat no avisa: un dilluns el portal rebutja les teves factures i ningú no sap per què.
- Lligar la signatura al compte d'una persona. Quan se'n va, s'emporta el circuit. Per a signatura desatesa l'instrument és el segell d'empresa, amb la clau en un entorn controlat, no en un portàtil.
- Signar tot al màxim nivell. L'excés també costa: fricció i clients que abandonen a mitges.
Què preguntar a un proveïdor abans d'integrar-lo
Porta-les a la reunió. Les respostes t'ordenen el mercat en deu minuts.
- Quins nivells suportes i quins són qualificats a Andorra? Si barreja "qualificat a la UE" amb "qualificat a Andorra", ja saps amb qui parles.
- Em lliures l'acta d'evidències com a document descarregable? Que estigui al seu panell no n'hi ha prou: has de poder arxivar-la tu.
- De qui és el segell de temps i com es valida passats cinc anys?
- Què passa amb els meus documents si deixo de ser client? Pregunta pel format concret d'exportació, no per si "hi ha exportació".
- Tens API i webhooks? Sense això la signatura viu fora del teu sistema i algú acaba copiant PDF a mà, que és el que volies eliminar.
- Suporta signatura desatesa amb segell d'empresa i avisa de les caducitats amb antelació?
Per on començar
Primer la llista de documents amb el seu nivell assignat, que és una tasca de negoci i es fa en una tarda. Després el certificat, perquè és presencial, amb cita prèvia i terminis que no decideixes tu: el detall és a com aconseguir la signatura digital a Andorra. I només llavors el desenvolupament. Invertir aquest ordre és la causa més habitual que un projecte de tres setmanes acabi en sis.
Si saps què vols deixar d'imprimir però no quin nivell necessita cada document ni on encaixa en el teu programari, això és signatura digital i gestió documental, i es munta dins del teu sistema, no a part. Explica'ns què signes al mes i de quin tipus, i et direm quin nivell necessites de debò.
