Presque toutes les entreprises andorranes qui cessent d'imprimer leurs contrats s'y prennent mal la première fois. Non pas parce qu'elles choisissent le mauvais outil, mais parce que personne ne leur a expliqué que « signature électronique » désigne trois choses différentes, avec trois valeurs juridiques différentes, et que le PDF signé qui reste à la fin n'est pas la preuve, seulement le résultat. Ce qui vous défend vraiment en cas de réclamation, c'est ce que vous avez conservé autour de ce PDF. Voici quel niveau exige chaque document, ce qu'apporte le certificat de l'Oscepa et ce qu'implique d'intégrer tout cela dans votre application.
Signature simple, avancée et qualifiée : ce qui change vraiment
La différence entre les trois niveaux n'est pas une affaire de marketing. C'est la quantité de travail qui vous incombe si quelqu'un nie avoir signé, la seule façon utile de lire la question quand c'est vous qui payez.
- Signature simple : toute donnée exprimant un consentement. Un clic sur « J'accepte », une case cochée, un nom saisi dans un formulaire. Elle vaut comme preuve, mais si le signataire le nie, c'est à vous de le démontrer avec des journaux et des courriels.
- Signature avancée : liée de manière univoque au signataire, créée avec des moyens qu'il contrôle et capable de détecter toute modification ultérieure. Il y a déjà une identification vérifiée, un horodatage et une trace technique conçue pour tenir dans un litige.
- Signature qualifiée : une signature avancée réalisée avec un certificat qualifié délivré par un prestataire supervisé, en Andorre l'Oscepa. C'est le niveau que la norme assimile à la signature manuscrite.
L'effet pratique est écrit dans le règlement andorran de facturation électronique : les factures portant une signature ou un cachet électronique qualifié bénéficient d'une présomption légale d'authenticité et d'intégrité. Traduction : la charge de prouver que le document est faux pèse sur celui qui le conteste, pas sur vous. Avec une signature avancée, vous n'avez pas cette présomption.
Le cadre de fond est la Llei 35/2014, de certificació i confiança electrònica, alignée sur le modèle européen. Attention à une nuance qui revient dans les propositions commerciales : l'Andorre n'est pas dans l'Union européenne, le règlement eIDAS ne s'y applique donc pas directement. Qu'un prestataire soit qualifié dans l'UE est une garantie technique solide, pas une signature qualifiée au sens andorran.
Quel niveau exige chaque document
Avant de regarder les outils, prenez la liste des documents que votre entreprise signe et attribuez un niveau à chacun. Signer un devis avec le même déploiement qu'une procuration, c'est jeter de l'argent ; signer un contrat de travail d'un clic, c'est économiser où il ne faut pas.
| Document | Niveau raisonnable | Pourquoi |
|---|---|---|
| Devis et acceptations d'offre | Simple ou avancée | Risque faible, ce qui compte c'est de conclure vite |
| Conditions de service et textes APDA | Simple avec version enregistrée | On vous demande de prouver quel texte a été accepté et quand |
| Contrats de travail et annexes | Avancée | Cela peut finir au Departament de Treball |
| Contrats clients et fournisseurs | Avancée | Plus le montant est élevé, plus il faut de preuves |
| Factures au secteur public | Qualifiée | C'est ce qu'exige la norme de facturation électronique |
| Autorisations, mandats et procès-verbaux | Qualifiée | Ici, la présomption légale est ce que vous achetez |
En cas de doute, le critère qui fonctionne est simple : montez d'un niveau dès que le document vaut plus que le coût d'un litige à son sujet.
Ce que vous apporte le certificat de l'Oscepa et ce qu'il ne fait pas
Le certificat de l'Oficina de Serveis de Confiança Electrònica del Principat d'Andorra est l'identité numérique de votre entreprise face à l'administration. Trois points avant de construire quoi que ce soit dessus.
Il est gratuit, pas subventionné. Le Decret 564/2023, du 20 décembre, a abrogé le règlement des prix publics et établi la délivrance gratuite du certificat lors de la démarche en présentiel, en vigueur depuis le 27 décembre 2023 et sans date d'expiration. Le site du Govern parle encore de certificats « subvencionats » pour un exercice donné et renvoie à un décret abrogé. J'ai vu des budgets comportant une ligne « licences » qui n'existe pas.
À lui seul, il ne vous donne pas un circuit de signature. Il vous donne la capacité de signer et de vous authentifier, pas l'envoi au signataire, les rappels, l'ordre des signataires, le dossier de preuves ni la conservation. Tout cela, c'est du logiciel : précisément la partie à construire.
Et si vous ne l'activez pas, vous le perdez : ceux qui ne sont pas activés pendant un an sont radiés d'office. Le demander « pour l'avoir » et le laisser dans un tiroir est la façon la plus bête de perdre deux semaines.
Andie recommande
Le certificat que presque personne ne demande et dont presque tout le monde a besoin, c'est le cachet d'entreprise. Ceux de personne physique et de représentant sont conçus pour qu'une personne signe ; le cachet est conçu pour que le système signe, sans que personne ne soit devant l'écran. Si votre facturation dépend du fait qu'une personne précise ouvre son certificat, vous avez un goulot d'étranglement avec un nom et un prénom, qui s'arrête dès que cette personne est en vacances.
Ce que signifie l'intégrer à votre application
Intégrer la signature à votre application web ne consiste pas à poser un bouton : c'est un circuit qui commence avant le document et se termine des années après.
- Préparation du document. Votre système génère le PDF à partir de ses données, avec les emplacements de signature marqués et rien de dynamique à l'intérieur : s'il contient des champs susceptibles de changer seuls, vous perdez la présomption d'intégrité même avec une signature qualifiée.
- Identification du signataire. Selon le niveau : son certificat, la vérification d'identité du prestataire, ou un lien authentifié pour la signature simple.
- Envoi et suivi. Lien unique par signataire, expiration du lien, ordre quand ils sont plusieurs, rappels et statut visible depuis votre application, pas depuis le tableau de bord d'un tiers.
- Signature et horodatage. La signature est intégrée au document et un horodatage d'une autorité indépendante est ajouté. Sans cela, la date dont vous disposez est celle de votre serveur, et celle-là ne prouve rien.
- Dossier de preuves. Qui a ouvert le lien, depuis quelle IP et quel appareil, quand il l'a lu, quelle version il a vue et comment il s'est identifié.
- Conservation. Document, preuves et horodatages conservés ensemble et vérifiables pendant toute la durée où le document peut être contesté. En matière sociale et comptable, cela se compte en années.
Pour la couche avancée, nous intégrons des prestataires qualifiés conformes à eIDAS, comme Signaturit ou Validated ID, qui apportent déjà la vérification d'identité, l'horodatage et la conservation probante. Pour le qualifié andorran, l'Oscepa. L'usage normal est d'avoir les deux niveaux dans la même application, chaque document suivant son circuit.
Comment prouver ensuite qui a signé quoi et quand
C'est la question que l'on ne pose presque jamais en réunion d'achat et celle qui décide si le projet sert. Elle a trois volets et il vous faut les trois séparément.
- Ce qui a été signé : l'empreinte du document au moment de la signature, pour démontrer que le PDF que vous présentez est bit à bit celui qui a été signé.
- Qui a signé : les données du certificat ou du processus de vérification, avec le résultat de chaque contrôle.
- Quand la signature a eu lieu : l'horodatage d'une autorité externe, pas l'heure de votre base de données.
Si votre système répond aux trois avec un document téléchargeable, vous êtes couvert. S'il ne montre qu'un PDF avec une signature dessinée dessus, non.
Les erreurs qui coûtent cher
Je les ai toutes vues dans des entreprises qui avaient déjà « réglé » la signature. Aucune ne se voit la première année et toutes se voient le jour de la réclamation.
- Ne garder que le PDF final et jeter les preuves. C'est l'erreur numéro un. Le PDF établit beaucoup, mais c'est le dossier de preuves qui explique le contexte. Vous avez gardé la photo et jeté le négatif.
- Ne pas conserver l'horodatage de façon vérifiable. Un horodatage qui ne peut plus être validé des années plus tard, parce qu'il a été stocké dans un champ texte isolé ou perdu lors d'une migration, est décoratif.
- Ne pas surveiller l'expiration. La validité habituelle est de trois ans et un certificat expiré ne prévient pas : un lundi, le portail rejette vos factures et personne ne sait pourquoi.
- Attacher la signature au compte d'une personne. Quand elle part, elle emporte le circuit. Pour la signature sans intervention humaine, l'instrument est le cachet d'entreprise, avec la clé dans un environnement contrôlé, pas sur un portable.
- Tout signer au niveau maximal. L'excès coûte aussi : de la friction et des clients qui abandonnent en cours de route.
Que demander à un prestataire avant de l'intégrer
Emportez ces questions en réunion. Les réponses vous classent le marché en dix minutes.
- Quels niveaux prenez-vous en charge et lesquels sont qualifiés en Andorre ? Si l'on mélange « qualifié dans l'UE » et « qualifié en Andorre », vous savez déjà à qui vous parlez.
- Me livrez-vous le dossier de preuves sous forme de document téléchargeable ? Dans votre interface, cela ne suffit pas : je dois pouvoir l'archiver moi-même.
- À qui appartient l'horodatage et comment se valide-t-il cinq ans plus tard ?
- Que deviennent mes documents si je cesse d'être client ? Demandez le format d'export concret, pas s'il « existe un export ».
- Avez-vous une API et des webhooks ? Sans cela, la signature vit hors de votre système et quelqu'un finit par recopier des PDF à la main, ce que vous vouliez supprimer.
- Prenez-vous en charge la signature automatisée avec cachet d'entreprise et prévenez-vous des expirations à l'avance ?
Par où commencer
D'abord la liste des documents avec leur niveau attribué : c'est une tâche métier et cela se fait en une après-midi. Ensuite le certificat, parce que la démarche est en présentiel, sur rendez-vous, avec des délais que vous ne décidez pas : le détail est dans comment obtenir la signature numérique en Andorre. Et seulement après, le développement. Inverser cet ordre est la cause la plus fréquente d'un projet de trois semaines qui finit en six.
Si vous savez ce que vous voulez cesser d'imprimer mais pas quel niveau exige chaque document ni où cela s'insère dans votre logiciel, c'est de la signature numérique et gestion documentaire, et cela se monte à l'intérieur de votre système, pas à côté. Dites-nous ce que vous signez par mois et de quel type, et nous vous dirons quel niveau il vous faut vraiment.
