Zaufanie i bezpieczeństwo

1. Czym jest podpis QuoteBill

Co to oznacza: QuoteBill tworzy zwykły podpis elektroniczny ze ścieżką audytu. Nie jest to zaawansowany ani kwalifikowany podpis elektroniczny w rozumieniu unijnego rozporządzenia eIDAS, a QuoteBill nie weryfikuje, kto podpisuje: zapisuje, że użyto linku i kodu dostępu przekazanych przez nadawcę.

Co można sprawdzić: treść zgody zaakceptowanej przez każdą osobę podpisującą jest wydrukowana w każdym protokole, słowo w słowo, razem z informacją, że jest to zwykły podpis elektroniczny.

Czego nie dowodzi: kim była osoba korzystająca z linku.

2. Tekstu nie da się zmienić niepostrzeżenie

Co to oznacza: przy wysyłce umowa zostaje zamrożona i otrzymuje odcisk SHA-256, który widzi każda osoba podpisująca. Podpis zostaje odrzucony, jeśli odcisk nie zgadza się z pokazanym tekstem, a każda zmiana treści zmienia odcisk.

Co można sprawdzić: plik dowodowy zawiera zamrożony tekst; jego SHA-256, obliczony dowolnym narzędziem, musi być równy odciskowi w protokole. Dokładna zasada jest opublikowana w przewodniku.

Czego nie dowodzi: że tekst był poprawny lub uczciwy. Należy go przeczytać przed podpisaniem.

3. Każdy krok jest zapisywany i łączony w łańcuch

Co to oznacza: wysłanie, każdy wydany link, otwarcie, błędne kody, zgoda, podpis, odrzucenie, wydruk, przypomnienia, zmiany terminu i zakończenie są zapisywane z czasem, a czynności nadawcy lub osoby podpisującej także z adresem IP i przeglądarką. Każdy wpis zawiera skrót poprzedniego, więc zmieniony lub usunięty wpis przerywa łańcuch.

Co można sprawdzić: strona weryfikacji ponownie oblicza w przeglądarce cały łańcuch z pliku dowodowego, a strona każdej wysłanej umowy pokazuje wynik sprawdzenia łańcucha.

Czego nie dowodzi: że czas jest poświadczony (pochodzi z zegara bazy danych QuoteBill, a nie z kwalifikowanego znacznika czasu) ani że adres IP wskazuje osobę.

Jak trzyma się łańcuch

Każde zdarzenie przechowuje skrót poprzedniego; ostatni skrót, zdarzenia zakończenia, to skrót protokołu wydrukowany na każdej kopii.

4. Link do podpisania i kod dostępu

Co to oznacza: tajna część linku znajduje się po znaku #, którego przeglądarki nie dołączają do żądanego adresu, więc nie trafia do zwykłych dzienników dostępu serwera internetowego; QuoteBill przechowuje tylko jej skrót. Każdy link chroni 8-znakowy kod dostępu, domyślnie włączony i przeznaczony do przekazania inną drogą. Po 5 błędnych kodach link blokuje się na 15 minut, po 15 przestaje działać. Link i kod przekazuje sam nadawca, a nowy link natychmiast unieważnia poprzedni.

Co można sprawdzić: protokół wymienia każdy link wydany dla każdej osoby podpisującej i liczbę błędnych kodów oraz oznacza osobę, która użyła adresu IP nadawcy. Przy wysyłce ekran wskazuje, którędy powinien trafić kod: nigdy w tej samej wiadomości co link.

Czego nie dowodzi: kto użył linku. Przy ważnych umowach kod warto przekazać telefonicznie lub SMS-em i samodzielnie upewnić się, z kim zawiera się umowę.

5. Protokół, który każdy może sprawdzić

Co to oznacza: każda kopia zawiera numer referencyjny, odcisk i skrót protokołu. Publiczna strona weryfikacji odpowiada tylko, czy zakończono umowę o tym numerze referencyjnym i odcisku, którego dnia i z iloma podpisami, oraz pokazuje skrót protokołu. Odpowiada nadal po usunięciu umowy.

Co można sprawdzić: wystarczy wpisać obie wartości albo upuścić plik dowodowy: jest odczytywany w przeglądarce, a wychodzą z niej tylko numer referencyjny i odcisk.

Czego nie dowodzi: kim były osoby podpisujące. Zgodność nie jest opinią prawną.

Gdzie można zobaczyć każde z nich

Prawdziwe ekrany z wymyśloną umową.

• 

  Ścieżka audytu

  Na stronie umowy: każde zdarzenie z czasem, adresem IP i przeglądarką oraz sprawdzenie łańcucha.

• 

  Linki i kody

  Pokazywane raz przy wysyłce, z instrukcją, by kod przekazać inną drogą.

• 

  Protokół

  Drukowany po każdej zakończonej umowie: dane do weryfikacji, osoby podpisujące, zgoda, linki, ścieżka audytu, uwagi.

• 

  Strona weryfikacji

  Publiczna, bez konta: wystarczy wpisać numer referencyjny i odcisk albo upuścić plik dowodowy.

6. Co widzą i podają osoby podpisujące

Co to oznacza: osoba podpisująca nie potrzebuje konta, a jej adres e-mail jest opcjonalny. Przed podpisem czyta pięć informacji i treść zgody: że może odmówić lub poprosić o kopię papierową, że czas, jej adres IP i przeglądarka są zapisywane i udostępniane pozostałym stronom oraz że jej link przestaje działać 30 dni od zakończenia.

Co można sprawdzić: wystarczy otworzyć dowolny link do podpisania: informacje są na ekranie przed podpisem, a treść zgody jest wydrukowana w protokole.

Czego nie dowodzi: niczego na temat umocowania osoby podpisującej do podpisania w imieniu firmy. W zgodzie je potwierdza; QuoteBill tego nie sprawdza.

7. Co jest przechowywane, gdzie i jak długo

Co to oznacza: QuoteBill przechowuje w swojej bazie danych, hostowanej przez Supabase, tekst umowy, strony, imiona, nazwiska i funkcje osób podpisujących (oraz adres e-mail, jeśli go podano), podpisy, treści zgód, a przy każdym zdarzeniu czas oraz, przy czynnościach nadawcy lub osoby podpisującej, adres IP i przeglądarkę. Sesje i skróty kodów dostępu są usuwane po zamknięciu umowy; skrót linku, który przestał działać, w ciągu 30 dni; liczniki limitów w ciągu kilku godzin. Po usunięciu wysłanej umowy minimalny zapis do badania nadużyć, zawierający adres e-mail konta nadawcy oraz, tylko jeśli umowę zgłoszono, jej treść, jest przechowywany przez 180 dni, a następnie usuwany. Pozostaje niewielki zapis weryfikacyjny bez nazwisk i treści, aby kopie dało się nadal weryfikować.

Co można sprawdzić: informacja o prywatności wymienia każdy z tych zapisów i czas jego przechowywania.

Czego nie dowodzi: że operator nie może przeczytać umowy. Operator ma techniczny dostęp do przechowywanych zapisów, dlatego warto zachować własny podpisany PDF i plik dowodowy.

8. Bez reklam i analityki na stronach umów

Co to oznacza: strony umów, podpisu i weryfikacji działają we własnej strefie: pełne przeładowanie strony przy wejściu i wyjściu, brak kodu reklam, analityki, czatbotów i wyskakujących okien, polityka bezpieczeństwa, która pozwala uruchamiać tylko skrypty QuoteBill i łączyć się tylko z serwerem bazy danych QuoteBill, brak osadzania w innych stronach, brak buforowania przez przeglądarkę i brak indeksowania przez wyszukiwarki. Bez śledzenia odwiedzających: jedynym liczeniem jest krótkotrwały limit zapytań przeciw nadużyciom, przechowywany jako skrót.

Co można sprawdzić: narzędzia deweloperskie przeglądarki pokazują każdy serwer, z którym komunikuje się strona; na stronach podpisu i weryfikacji są to QuoteBill i jego serwer bazy danych, nic więcej.

Czego nie dowodzi: bezpieczeństwa własnej poczty e-mail lub komunikatora, którymi wędruje link. Dlatego kod przekazuje się inną drogą.

9. Ograniczenia w jednym miejscu

Przez QuoteBill nie należy wysyłać: testamentów i wszystkiego, co dotyczy spadku lub decyzji medycznych; poręczeń udzielanych jako osoba prywatna (nieważnych w formie elektronicznej w Korei, wyłączonych w Niemczech); wszystkiego, co wymaga aktu notarialnego, jak sprzedaż gruntów w Niemczech i wielu innych krajach, lub obecności świadka, jak akt typu deed albo testament w Wielkiej Brytanii; rozwiązania umowy o pracę lub zawarcia jej na czas określony w Niemczech; pełnomocnictw, trustów, papierów wartościowych i dokumentów tytułu własności (wyłączonych w Nowym Jorku, Kanadzie, Indiach i gdzie indziej); pism procesowych i zawiadomień wymaganych prawem, takich jak eksmisja, egzekucja z nieruchomości lub wypowiedzenie ubezpieczenia w Stanach Zjednoczonych; dokumentów, dla których prawo właściwe dla nadawcy wymaga kwalifikowanego podpisu elektronicznego, zarejestrowanej pieczęci (koreańskiego ingam lub japońskiego jitsuin) lub określonego formularza urzędowego; oraz umów z konsumentami, chyba że sprawdzono obowiązujące przepisy konsumenckie.

119 wzorów umów napisano z myślą o obrocie między firmami; to wzory, a nie porada prawna. Przewodnik (po angielsku) wyjaśnia, jak UE, Wielka Brytania, Stany Zjednoczone, Korea, Japonia i Niemcy traktują zwykły podpis elektroniczny, ze źródłami, i publikuje dokładne zasady sprawdzania dowodów. Przepisy różnią się w zależności od kraju.

Czytaj dalej

• Protokół podpisania i plik dowodowy
• Co widzi klient
• Czy podpisy elektroniczne są ważne? Przewodnik (po angielsku)
• Podpis zwykły, zaawansowany i kwalifikowany (po angielsku)
• E-umowy w skrócie
• Informacja o prywatności (po angielsku)
• Warunki korzystania (po angielsku)

Najpierw sprawdzić, potem zaufać

Każde zabezpieczenie na tej stronie zostawia coś, co można zweryfikować: odcisk, łańcuch skrótów, protokół, publiczną weryfikację. Wystarczy zacząć od wzoru umowy i sprawdzić to samodzielnie.

Wszystkie 119 wzorów umów