Podpisana umowa, jej protokół i jak go sprawdzić
Gdy wszyscy podpiszą, nadawca i każda osoba podpisująca otrzymują trzy rzeczy: podpisaną kopię, protokół podpisania, czyli własny zapis QuoteBill z przebiegu podpisywania, oraz plik dowodowy, który każdy, kto ma kopię, może sprawdzić w przeglądarce, nawet po usunięciu umowy.
Zwykły podpis elektroniczny ze ścieżką audytu
- Zamrożony tekst z odciskiem SHA-256
- Ścieżka audytu połączona skrótami
- Do sprawdzenia przez każdego, kto ma kopię
Co otrzymuje się, gdy wszyscy podpiszą
Podpisaną kopię. Umowę można wydrukować lub zapisać jako PDF na stronie umowy; każda osoba podpisująca może zrobić to samo przez swój link przez 30 dni od zakończenia. Kopia zawiera numer referencyjny, odcisk i podpisy, a po nich protokół.
Protokół podpisania: własny zapis QuoteBill z przebiegu podpisywania, drukowany po umowie. Nie jest to certyfikat wydany przez dostawcę usług zaufania. Wskazuje, kto podpisał w imieniu każdej strony, jak i kiedy, w jaki sposób każda osoba podpisująca uzyskała dostęp, oraz każde zapisane zdarzenie aż do zakończenia.
Plik dowodowy (.evidence.json). Wydrukowany PDF wygląda inaczej na każdym urządzeniu, więc jego bajty niczego nie dowodzą; ten plik się nie zmienia. Zawiera dokładny zamrożony tekst, jego odcisk i protokół, a powstaje we własnej przeglądarce: QuoteBill go nie przechowuje. Można go pobrać ze strony umowy po jej zakończeniu; osoba podpisująca może to zrobić przez swój link, dopóki ten działa.
Protokół i weryfikacja, tak jak wyglądają
Protokół wymyślonej umowy i strona weryfikacji po stwierdzeniu zgodności.
Protokół: podsumowanie, dane do weryfikacji (numer referencyjny, odcisk, skrót protokołu i adres strony weryfikacji), każda osoba podpisująca, wyrażona zgoda, wydane linki i ścieżka audytu. 
Zgodność na stronie weryfikacji: zakończono tego dnia z taką liczbą podpisów, oraz skrót protokołu, który musi widnieć na kopii.
Jak sprawdzić otrzymaną umowę
Potrzebna jest tylko kopia. Sposób sprawdzenia jest opisany w przewodniku wiersz po wierszu, tak aby każdy mógł go powtórzyć własnymi narzędziami.
Dwie wartości z protokołu
W sekcji „Dane do weryfikacji” protokół podaje numer referencyjny (QBC-XXXX-XXXX-XXXX) i odcisk, 64-znakową wartość SHA-256. Adres wydrukowany obok otwiera stronę weryfikacji z obiema wartościami już wpisanymi.
Wpisanie ich na stronie weryfikacji
Zgodność informuje, którego dnia zakończono umowę o dokładnie tym tekście i z iloma podpisami, oraz pokazuje skrót protokołu: musi być taki sam jak wydrukowany na kopii. Nic więcej nie jest pokazywane, ani nazwiska, ani treść, a odpowiedź pozostaje dostępna po usunięciu umowy.
Albo upuszczenie pliku dowodowego
Na tej samej stronie należy wybrać „Sprawdź plik dowodowy”. Przeglądarka ponownie oblicza odcisk, przechodzi ścieżkę audytu od pierwszego skrótu do skrótu zakończenia i ponownie oblicza skrót każdego podpisu; dopiero wtedy pyta QuoteBill, czy numer referencyjny i odcisk się zgadzają, i nie wysyła nic więcej. Gdy wszystkie kontrole wypadną pomyślnie, strona pokazuje umowę i protokół z pliku.
Co oznacza zgodność
Zgodność pokazuje, że umowa o dokładnie tej treści została zakończona za pośrednictwem QuoteBill i że zapis jest nienaruszony. Nie pokazuje, kim były osoby podpisujące, i nie jest opinią prawną.
Co zawiera protokół
Protokół jest taki sam dla każdej strony. Czas podawany jest w UTC, według zegara bazy danych QuoteBill.
| Sekcja | Co pokazuje |
|---|---|
| Podsumowanie | Status (zakończona: wszystkie strony podpisały), czas zakończenia w UTC i czasie lokalnym, datę wysłania, adres e-mail konta nadawcy i po jednym wierszu na stronę: kto podpisał, jaką metodą i kiedy. |
| Dane do weryfikacji | Numer referencyjny, odcisk SHA-256 zamrożonego tekstu, skrót protokołu i adres strony weryfikacji, a po nich dwa sposoby sprawdzenia. |
| Każda osoba podpisująca | Imię i nazwisko z zaproszenia oraz użyte przy podpisie, funkcję, metodę (podpis narysowany, wpisany lub przesłany obraz pieczątki albo podpisu), sposób uzyskania dostępu (nadawca zalogowany na swoje konto; link z kodem dostępu przekazanym osobno; albo sam link), liczbę błędnych kodów i wydanych linków, czas, adres IP i przeglądarkę podpisu, skrót podpisu i sam podpis. Osoba podpisująca, która użyła adresu IP nadawcy, jest oznaczana. |
| Zgoda | Treść zgody zaakceptowanej przez każdą osobę podpisującą, słowo w słowo, z wersją i językiem, oraz kto ją zaakceptował. |
| Wydane linki | Każdy link do podpisania wydany dla każdej strony, z numerem i czasem. Same linki nigdy nie są przechowywane, tylko ich skróty. |
| Ścieżka audytu | Każde zdarzenie od utworzenia do zakończenia, z czasem: wysłanie, wydanie linku, otwarcie, błędny kod, blokada, wyłączenie linku, zgoda, podpis, odrzucenie, wydruk, zgłoszenie, zmiana terminu, przygotowanie przypomnienia, zakończenie. Przy czynności nadawcy lub osoby podpisującej także adres IP i przeglądarka; przypomnienie, zmiana terminu i zdarzenia systemowe ich nie mają. Zgłoszenie jest odnotowane, nigdy jego treść. |
| Wynik łańcucha | Czy łańcuch audytu jest nienaruszony, wraz z liczbą zdarzeń, oraz skrót protokołu: skrót zdarzenia zakończenia, które zamyka łańcuch. |
| Uwagi | Że zapisano zwykły podpis elektroniczny, a QuoteBill nie weryfikuje tożsamości; skąd pochodzą adresy IP; że linki przekazał nadawca; że podobnie wyglądające znaki w nazwiskach nie są wykrywane; oraz, jeśli użyto obrazu pieczątki, że jest to obraz, a nie zarejestrowana pieczęć. |
Adres IP to adres, który dostawca hostingu QuoteBill przekazuje do jego bazy danych. Wskazuje połączenie sieciowe, a nie osobę.
Pytania o dowody
Czy umowę można sprawdzić po jej usunięciu?
Tak. Po usunięciu zakończonej umowy pozostaje niewielki zapis bez nazwisk i treści, aby kopie dało się nadal weryfikować: numer referencyjny, odcisk, czas zakończenia, liczba podpisów i skrót protokołu.
Czym różni się odcisk, skrót podpisu i skrót protokołu?
Odcisk to SHA-256 zamrożonego tekstu: wskazuje, jaki tekst podpisano. Skrót podpisu obejmuje jeden podpis: kto podpisał, jaką metodą, zgodę, czas, adres IP. Skrót protokołu to skrót ostatniego zdarzenia w ścieżce audytu, do którego wlicza się każde wcześniejsze zdarzenie, więc reprezentuje cały zapis.
Co, jeśli ktoś zmieni swój PDF?
Zgodność na stronie weryfikacji potwierdza numer referencyjny i odcisk, a nie słowa wydrukowane w pliku PDF. Aby sprawdzić słowa, należy sprawdzić plik dowodowy: jego tekst musi dawać ten sam odcisk. Własny plik dowodowy, zapisany po zakończeniu umowy, rozstrzyga, co zostało podpisane.
Dlaczego moja umowa nie ma pliku dowodowego?
Umowy zakończone, zanim pojawiły się pliki dowodowe, oraz rzadkie zapisy zbyt duże na plik (ponad 3 MB) można sprawdzić tylko po numerze referencyjnym i odcisku. Strona informuje o tym zamiast oferować plik.
Kto może pobrać plik dowodowy i do kiedy?
Nadawca ze strony umowy, dopóki umowa jest przechowywana. Każda osoba podpisująca przez swój link, który przestaje działać 30 dni od zakończenia; powiadomienie o zakończeniu, które można skopiować, prosi o zapisanie kopii na czas.
Co strona weryfikacji przechowuje o mnie?
Nic o użytkowniku. Odpowiada na podstawie zapisu zakończenia; jedyne, co przechowuje, to krótkotrwały licznik zapisany jako skrót, który ogranicza liczbę zapytań przeciw nadużyciom. Plik dowodowy nigdy nie opuszcza przeglądarki; wysyłane są tylko numer referencyjny i odcisk.
Gdzie są dokładne zasady sprawdzania?
W przewodniku o podpisach elektronicznych (po angielsku), wiersz po wierszu: jak oblicza się odcisk, skrót każdego zdarzenia, każde oświadczenie o podpisie i skrót zakończenia. Każdy może powtórzyć sprawdzenie własnymi narzędziami.
Dalej
Dowody, które można przekazać każdemu
Podpisany PDF i plik dowodowy warto zapisać od razu po zakończeniu umowy. Każdy, kto otrzyma kopię, może ją sprawdzić, bez konta i bez pytania nadawcy.