Jak bezpiecznie zbierać podpisy w zespole: dostęp, status, archiwum i dane

Bezpieczne zbieranie podpisów w zespole opiera się na kilku zasadach: ustal, kto wysyła dokumenty, wysyłaj je tylko na sprawdzone adresy, pilnuj statusów, archiwizuj podpisane pliki i trzymaj dane w UE. Podpis odręczny na ekranie można zweryfikować grafologicznie, choć z ograniczeniami, a z dostawcą e-podpisu warto mieć umowę powierzenia przetwarzania danych.

Bezpieczne zbieranie podpisów w zespole zaczyna się od prostych zasad: jasno określ, kto wysyła dokumenty, wysyłaj je na sprawdzone adresy, pilnuj statusów, archiwizuj podpisane pliki i wybierz dostawcę z danymi w UE. Podpis odręczny złożony na ekranie można zweryfikować grafologicznie, ale z ograniczeniami. Poniżej konkretne kroki, także o odpowiedzialności administratora i podmiotu przetwarzającego.

Kto w zespole może wysyłać dokumenty do podpisu?

Największe ryzyko to nie włamanie, tylko chaos: kilka osób wysyła różne wersje tego samego dokumentu z prywatnych skrzynek. Zanim zaczniesz, ustal na papierze:

• kto zakłada i wysyła dokumenty (jedna osoba lub krótka lista),
• kto zatwierdza ostateczną treść,
• jak nazywacie wzorce i które wersje są aktualne.

Dokumenty wysyłane z jednego konta firmy są łatwiejsze do kontroli niż pliki krążące w mailach. W SignSafe dokumenty widać na liście z wyszukiwarką po słowie kluczowym, a gdy podpiszą wszyscy, gotowy dokument przychodzi e-mailem do nadawcy.

Jak zabezpieczyć link i adres odbiorcy?

Najczęstszy błąd to literówka w adresie e-mail albo wysyłka na wspólną skrzynkę, do której dostęp ma kilka osób. Przed wysyłką:

• sprawdź adres z drugim źródłem (umowa ramowa, poprzednia korespondencja),
• nie wysyłaj dokumentów do osób, których adresu nie potwierdziłeś,
• przy wrażliwych dokumentach umów się z odbiorcą telefonicznie, że dokument do niego idzie,
• jeśli dokument trafił do niewłaściwej osoby, skontaktuj się z dostawcą i nadawcą bez zwłoki.

SignSafe nie wymaga od podpisującego konta ani aplikacji, więc cała kontrola nad tym, do kogo trafia dokument, leży po stronie nadawcy. Nie obiecujemy dodatkowych mechanizmów weryfikacji tożsamości ponad opisane tu; jeśli procedura Twojej firmy ich wymaga (np. potwierdzenie tożsamości przy większych umowach), zaplanuj je osobno.

Jak pilnować statusów?

Dokument „wysłany” to jeszcze nie dokument „podpisany”. Ustal rytm: kto sprawdza status i kiedy przypomina odbiorcy. Na liście dokumentów w SignSafe kropka pokazuje status (czerwona: nikt nie podpisał, żółta: część osób, zielona: komplet), więc nie trzeba pytać zespołu, czy ktoś już dostał podpis. Przypomnienie wysyłasz ręcznie przyciskiem „Wyślij ponownie dla niepodpisanych”. Przy dokumentach dla wielu osób sprawdzaj, czy podpisali wszyscy, zanim uznasz sprawę za zamkniętą. Jeśli kolejność podpisów ma znaczenie, wybierz podpisywanie według kolejności na liście, a przy podpisywaniu wszystkich naraz zostaw ustawienie domyślne.

Warto też zdecydować, kto ma tylko wgląd. W SignSafe można dodać obserwatora: osobę, która nie podpisuje i nie wysyła dokumentu, ale widzi go i dostaje powiadomienia (np. księgowość, HR, przełożony, prawnik). Kopię podpisanego PDF dostaje każdy: nadawca i każdy podpisujący. Automatycznych przypomnień nie ma, więc rytm ponawiania zaproszeń trzeba ustalić w zespole.

Gdzie archiwizować podpisane dokumenty?

Podpisany PDF powinien mieć jedno, przewidywalne miejsce: folder lub system firmy z kontrolą dostępu. W SignSafe podpisany dokument trafia na e-mail nadawcy i na listę dokumentów (plan standardowy to 1 GB na dokumenty), a przy integracji API mogą wracać do właściwego miejsca w Twoim systemie, np. profilu klienta lub pracownika. Pamiętaj, że niektóre dokumenty mają osobne wymogi archiwizacji, na przykład dokumentacja pracownicza w postaci elektronicznej. Zapytaj o to prawnika.

Dlaczego dane w UE mają znaczenie?

Dokument do podpisu to często dane osobowe: imię, nazwisko, adres, czasem numer PESEL. Dane na serwerach w UE ułatwiają spełnienie wymogów ochrony danych i rozmowę z klientem lub audytorem. SignSafe korzysta z serwerów w UE (hosting OVH), a płatności obsługuje operator Tpay.

Czy podpis odręczny można zweryfikować grafologicznie?

Według opinii grafologicznej Pracowni Grafologicznej z 29 sierpnia 2024 podpisy z SignSafe pozwalają na kryminalistyczne badania porównawcze pisma ręcznego. Kończą się one wnioskami niekategorycznymi typującymi oraz niekategorycznymi i kategorycznymi eliminacyjnymi, które podlegają swobodnej ocenie jak każdy dowód. Ograniczenie: nie da się zweryfikować pewnych cech motorycznych, takich jak nacisk i tempo. Dlatego ekspert zaleca podpisy pełnobrzmiące, czytelne, z imieniem i nazwiskiem. Nie jest to gwarancja autentyczności ani potwierdzenie tożsamości, tylko możliwość kryminalistycznej weryfikacji porównawczej. Szczegóły w bezpieczeństwie prawnym.

Co zawiera metryczka podpisu?

Do podpisanego dokumentu SignSafe dołącza metryczkę podpisu: dwujęzyczną (PL/EN) stronę podsumowania z unikalnym identyfikatorem certyfikatu, nazwą i numerem dokumentu, datą i godziną wysłania oraz podpisania i danymi wysyłającego (imię, nazwisko, e-mail). Dla każdego podpisującego zawiera imię i nazwisko, e-mail, numer identyfikacyjny w systemie, adres IP, urządzenie, z którego podpisano (np. iPhone), datę i godzinę podpisu oraz metodę podpisu. Widać więc, kto podpisał, kiedy i z jakiego urządzenia. To drugi element dowodowy obok możliwości weryfikacji grafologicznej, ale nie gwarancja rozstrzygnięcia sporu.

Kto za co odpowiada: administrator czy podmiot przetwarzający?

Jeśli Twoja firma decyduje, jakie dane zbiera i po co (np. umowy z klientami), jest zwykle administratorem danych. Dostawca e-podpisu, który przetwarza je na Twoje zlecenie, jest wtedy podmiotem przetwarzającym, a relację regulują przepisy o ochronie danych i umowa powierzenia przetwarzania. Co z tego wynika dla Twojej firmy w praktyce:

• to Ty odpowiadasz za podstawę prawną zbierania danych i za informowanie osób,
• dostawca przetwarza dane zgodnie z Twoimi poleceniami zapisanymi w umowie,
• warto uzgodnić, co się dzieje z danymi po zakończeniu współpracy.

SignSafe zawiera umowę powierzenia przetwarzania danych z klientami biznesowymi i API. To ogólny opis, nie porada prawna; szczegóły skonsultuj z prawnikiem lub inspektorem ochrony danych.

Krótka lista kontrolna dla zespołu

1. Jedno miejsce wysyłki i jedna aktualna wersja wzorca.
2. Zweryfikowane adresy odbiorców.
3. Osoba odpowiedzialna za status.
4. Zasada archiwizacji i dostępu do podpisanych plików.
5. Umowa powierzenia z dostawcą, dane w UE.
6. Zalecenie dla podpisujących: pełne, czytelne podpisy.

Co dalej

• Przeczytaj o bezpieczeństwie prawnym i opiniach do pobrania.
• Zobacz, jak działa podpis odręczny online i jak nadać dokument do podpisu.
• Poznaj elektroniczny obieg dokumentów w firmie.
• Sprawdź cennik lub skontaktuj się z nami.