Confianza y seguridad
Nueve medidas con las que QuoteBill protege un contrato. Nada de esto le pide que se fíe de la palabra de QuoteBill: cada punto explica qué significa para usted, qué puede comprobar por sí mismo y qué no prueba.
Firma electrónica simple con registro de auditoría
- Texto fijado, huella digital SHA-256
- Registro de auditoría encadenado con hashes
- Sin anuncios ni analítica en las páginas de contratos
El certificado y el archivo de evidencias
1. Qué es la firma de QuoteBill
Qué significa: QuoteBill crea una firma electrónica simple con registro de auditoría. No es una firma electrónica avanzada ni cualificada en el sentido del Reglamento eIDAS de la UE, y QuoteBill no verifica quién firma: registra que se usaron el enlace y el código de acceso que usted entregó.
Qué puede comprobar: el texto de consentimiento que aceptó cada firmante figura en cada certificado, palabra por palabra, junto con la indicación de que se trata de una firma electrónica simple.
Qué no prueba: quién era la persona detrás del enlace.
2. El texto no puede cambiar sin que se note
Qué significa: al enviar, el contrato queda fijado y recibe una huella digital SHA-256, que ve cada firmante. Una firma se rechaza si la huella no coincide con el texto mostrado, y cualquier cambio en el contenido cambia su huella.
Qué puede comprobar: el archivo de evidencias contiene el texto fijado; su SHA-256, calculado con cualquier herramienta, debe ser igual a la huella del certificado. La regla exacta está publicada en la guía.
Qué no prueba: que el texto fuera correcto o justo. Léalo antes de firmar.
3. Cada paso se registra y se encadena
Qué significa: el envío, cada enlace generado, la apertura, los códigos incorrectos, el consentimiento, la firma, el rechazo, la impresión, los recordatorios, los cambios de fecha límite y la finalización se registran con su hora, y las acciones del remitente o de un firmante, con su dirección IP y su navegador. Cada entrada lleva el hash de la anterior, así que una entrada modificada o eliminada rompe la cadena.
Qué puede comprobar: la página de verificación recalcula la cadena completa en su navegador a partir del archivo de evidencias, y la página de cada contrato que usted envió muestra la comprobación de la cadena.
Qué no prueba: que las horas estén certificadas (proceden del reloj de la base de datos de QuoteBill, no de un sello de tiempo cualificado), ni que una dirección IP identifique a una persona.
Cómo se sostiene la cadena
Cada evento guarda el hash del anterior; el último hash, el del evento de finalización, es el hash del certificado impreso en cada copia.
4. El enlace de firma y el código de acceso
Qué significa: la parte secreta de un enlace va después del signo #, que los navegadores no incluyen en la dirección que solicitan, de modo que no queda escrita en los registros de acceso habituales de un servidor web; QuoteBill guarda solo un hash de ella. Un código de acceso de 8 caracteres, activado por defecto, protege cada enlace y está pensado para viajar por otra vía. Tras 5 códigos incorrectos el enlace se bloquea 15 minutos; tras 15, deja de funcionar. Usted mismo entrega el enlace y el código, y un enlace nuevo inutiliza el anterior de inmediato.
Qué puede comprobar: el certificado enumera cada enlace generado para cada firmante y el número de códigos incorrectos, y señala al firmante que usó la misma dirección IP que el remitente. Al enviar, la pantalla le indica por dónde va el código: nunca en el mismo mensaje que el enlace.
Qué no prueba: quién usó el enlace. En los contratos importantes, entregue el código por teléfono o SMS y confirme usted mismo con quién trata.
5. Un certificado que cualquiera puede comprobar
Qué significa: cada copia lleva la referencia, la huella digital y el hash del certificado. La página pública de verificación solo responde si se completó un contrato con esa referencia y esa huella, en qué fecha y con cuántas firmas, y muestra el hash del certificado. Sigue respondiendo después de que el contrato se haya eliminado.
Qué puede comprobar: introduzca los dos valores o suelte el archivo de evidencias: se lee en su navegador, y solo la referencia y la huella salen de él.
Qué no prueba: quiénes eran los firmantes. Una coincidencia no es una opinión jurídica.
Dónde puede ver cada una de estas medidas
Pantallas reales con un contrato inventado.
El registro de auditoría
En la página de su contrato: cada evento con su hora, su dirección IP y su navegador, y la comprobación de la cadena.
Los enlaces y los códigos
Se muestran una sola vez al enviar, con la indicación de entregar el código por otra vía.
El certificado
Se imprime tras cada contrato completado: datos de verificación, firmantes, consentimiento, enlaces, registro de auditoría y notas.
La página de verificación
Pública y sin cuenta: introduzca la referencia y la huella, o suelte el archivo de evidencias.
6. Lo que ven y aportan los firmantes
Qué significa: un firmante no necesita cuenta, y su correo electrónico es opcional. Antes de firmar lee los cinco avisos y el texto de consentimiento: que puede rechazar o pedir una copia en papel, que la hora, su dirección IP y su navegador se registran y se comparten con las demás partes, y que su enlace deja de funcionar 30 días después de completarse.
Qué puede comprobar: abra cualquier enlace de firma: los avisos aparecen en la pantalla antes de la firma, y el texto de consentimiento se imprime en el certificado.
Qué no prueba: nada sobre la facultad del firmante para firmar en nombre de una empresa. En el consentimiento lo confirma; QuoteBill no lo comprueba.
7. Qué se guarda, dónde y durante cuánto tiempo
Qué significa: QuoteBill guarda en su base de datos, alojada en Supabase, el texto del contrato, las partes, los nombres y cargos de los firmantes (y un correo electrónico si usted lo introdujo), las firmas, los textos de consentimiento y, de cada evento, su hora y, en las acciones del remitente o de un firmante, la dirección IP y el navegador. Las sesiones y los hashes de los códigos de acceso se eliminan cuando se cierra un contrato; el hash de un enlace que ha dejado de funcionar, en un plazo de 30 días; los contadores de frecuencia, en pocas horas. Cuando se elimina un contrato enviado, un registro mínimo para investigar abusos, con el correo de la cuenta del remitente y, solo si el contrato fue denunciado, su contenido, se conserva 180 días y después se elimina. Queda un pequeño registro de verificación sin nombres ni contenido para que las copias sigan siendo verificables.
Qué puede comprobar: el aviso de privacidad enumera cada uno de estos registros y cuánto tiempo se conserva.
Qué no prueba: que el operador no pueda leer su contrato. Técnicamente, el operador puede acceder a los registros guardados, así que conserve su propio PDF firmado y su archivo de evidencias.
8. Sin anuncios ni analítica en las páginas de contratos
Qué significa: las páginas de contratos, de firma y de verificación funcionan en una zona propia: una carga completa de página al entrar y al salir, sin código de publicidad, analítica, chatbot ni ventanas emergentes, con una política de seguridad que solo deja ejecutar los scripts de QuoteBill y solo conecta con el servidor de base de datos de QuoteBill, sin incrustación en otras páginas, sin caché del navegador y sin indexación en buscadores. Sin seguimiento de visitantes: el único recuento es un límite de frecuencia temporal, guardado como hash, contra el abuso.
Qué puede comprobar: las herramientas para desarrolladores de su navegador muestran cada servidor con el que se comunica una página; en las páginas de firma y de verificación son QuoteBill y su servidor de base de datos, nada más.
Qué no prueba: la seguridad de su propio correo o de su mensajería, por donde viaja el enlace. Por eso el código va por otra vía.
9. Los límites, en un solo lugar
No envíe por QuoteBill: testamentos y todo lo relativo a su herencia o a decisiones médicas; garantías que otorgue como particular (nulas en forma electrónica en Corea, excluidas en Alemania); todo lo que deba otorgarse ante notario, como las compraventas de terrenos en Alemania y en muchos otros países, o que requiera un testigo presente, como ciertas escrituras o un testamento en el Reino Unido; la extinción de un contrato de trabajo o el pacto de una duración determinada en Alemania; poderes, fideicomisos, títulos valores y documentos de titularidad (excluidos en Nueva York, Canadá, la India y otros lugares); escritos judiciales y notificaciones exigidas por ley, como desahucios, ejecuciones hipotecarias o cancelaciones de seguros en EE. UU.; documentos para los que la ley de su país exija una firma electrónica cualificada, un sello registrado (el ingam coreano o el jitsuin japonés) o un formulario oficial concreto; y los contratos con consumidores, salvo que haya revisado las normas de consumo que le sean aplicables.
Las 119 plantillas de contrato están pensadas para relaciones entre empresas, y son ejemplos, no asesoramiento jurídico. La guía (en inglés) explica cómo tratan la UE, el Reino Unido, EE. UU., Corea, Japón y Alemania la firma electrónica simple, con las fuentes, y publica las reglas exactas de la comprobación de pruebas. Las normas varían de un país a otro.
Siga leyendo
Compruébelo antes de confiar en ello
Cada medida de esta página deja algo que usted puede verificar: una huella digital, una cadena de hashes, un certificado, una verificación pública. Empiece con una plantilla de contrato y compruébelo usted mismo.