DocuSign alternatyvos ES ir Baltijos šalyse: eIDAS QES, duomenų saugojimo vieta ir nacionalinio eID pasirašymo palyginimas

Pirmasis rūpestis – jurisdikcija. DocuSign yra JAV būstinę turintis tiekėjas, todėl jam galioja JAV CLOUD Act – įstatymas, galintis priversti JAV bendrovę perduoti jos valdomus duomenis net tada, kai tie duomenys saugomi serveriuose Europoje. Advokatų kontorai, viešojo sektoriaus pirkėjui ar bet kuriai jautrias sutartis tvarkančiai organizacijai tikimybė, kad pasirašyti dokumentai ir asmens duomenys gali būti prieinami pagal užsienio teisinį nurodymą, yra reali duomenų saugojimo vietos ir GDPR rizika, o ne abstrakti. ES kilmės tiekėjai, laikantys duomenis ES pagal Europos jurisdikciją, šią riziką pašalina iš esmės.

Antrasis rūpestis – parašo lygis, kurį iš tikrųjų gaunate. Pagal eIDAS – Reglamentą (ES) Nr. 910/2014 – yra trys pakopos: paprastas elektroninis parašas (SES), pažangusis elektroninis parašas (AES) ir kvalifikuotas elektroninis parašas (QES). QES yra aukščiausia pakopa ir pagal 25 straipsnį turi ranka rašyto parašo teisinę galią visose ES valstybėse narėse. Daugelis komandų mano, kad jų pasaulinė platforma visur suteikia QES, tačiau praktikoje numatytasis procesas dažnai yra paprastas SES, o tikras kvalifikuotas pasirašymas priklauso nuo kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo ir kvalifikuotų sertifikatų. Jei jūsų sutartims iš tiesų reikia ranka rašytam parašui prilygstančios galios, ši spraga svarbi.

Trečiasis rūpestis – nacionalinis eID. Baltijos šalyse gyventojai kasdien autentifikuojasi ir pasirašo su Smart-ID ir Mobile-ID, ir pasirašantieji tikisi jais naudotis. Platforma, negalinti pasitelkti šių schemų, verčia žmones naudotis nepažįstamais paspaudimu patvirtinamais procesais ar spausdinimo ir skenavimo apėjimais, o tai silpnina tiek naudotojo patirtį, tiek gaunamų tapatybės įrodymų stiprumą. Žvelgti toliau už DocuSign retai reiškia priešiškumą prekės ženklui – tai noras viename įrankyje turėti ES jurisdikciją, tinkamą eIDAS lygį ir eID, kuriuo žmonės jau pasitiki.

Pradėkite nuo eIDAS parašo lygio, nes jis lemia visa kita. SES yra bet koks elektroninis pritarimo ženklas; jis priimtinas, tačiau suteikia mažiausią įdiegtą patikimumą. AES yra stipresnis: pagal 26 straipsnį jis turi būti vienareikšmiai susietas su pasirašančiuoju, leidžiantis nustatyti pasirašantįjį, sukurtas naudojant duomenis, kuriuos pasirašantysis gali naudoti savo išskirtinai kontrolei, ir susietas su pasirašytais duomenimis taip, kad vėlesni pakeitimai būtų aptinkami. QES yra AES, sukurtas kvalifikuoto sertifikato ir kvalifikuotos parašo kūrimo įrangos pagrindu, ir tik jis įgyja 25 straipsnyje numatytą ranka rašytam parašui prilygstančią galią. Kiekvieną savo dokumentų tipą priskirkite tikrai jam reikalingam lygiui, o ne įsigykite per daug ar per mažai.

Toliau duomenų saugojimo vietą ir jurisdikciją vertinkite kartu su tapatybe. Tiksliai pasiteiraukite, kur saugomi ir tvarkomi dokumentai, pasirašančiųjų duomenys ir audito žurnalai bei pagal kieno teisę – ES talpinimas pagal GDPR yra švaresnis atsakymas Europos komandoms. Dėl tapatybės patikrinkite nacionalinio eID palaikymą, pavyzdžiui, Smart-ID ir Mobile-ID, nes būtent pasirašant naudojamas eID pagrindžia jūsų tapatybės įrodymų stiprumą. Parašas yra tiek apgintinas, kiek pajėgiate įrodyti, kas jį uždėjo ir kad dokumentas nuo to laiko nepakito.

Galiausiai palyginkite audito sekos įrodymus ir CLM aprėptį. Apgintinam parašui reikia išsamaus, klastojimą atskleidžiančio įrašo: kas pasirašė, kada, kokiu būdu, su kokiu tapatybės patvirtinimu ir įrodymo, kad turinys nepakeistas. Tada apsvarstykite, ar norite vien pasirašymo, ar viso sutarčių gyvavimo ciklo valdymo (CLM) proceso – pakartotinai naudojamų šablonų, derybų dėl vienos gyvos versijos, pasirašymo ir tvirtos įrodymų bazės – vienoje vietoje. Susiūti rengimo įrankį, pasirašymo įrankį ir saugojimo įrankį reiškia daugkartines išlaidas ir sukuria siūles, kuriose gali pradingti įrodymai ir versijų istorija.

Alternatyvos plačiai skirstomos į kelias kategorijas. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai (QTSP) yra subjektai, oficialiai įtraukti į eIDAS sąrašą ir galintys išduoti kvalifikuotus sertifikatus bei užtikrinti tikrą QES. Jei jūsų besąlygiškas reikalavimas yra ranka rašytam parašui prilygstanti teisinė galia dideliu mastu, QTSP – arba jį integruojanti platforma – yra jūsų sistemos branduolyje. Kompromisas tas, kad grynai patikimumo paslaugų įrankiai dažnai sutelkti į sertifikatus ir tapatybę, o ne į visavertį sutarčių procesą.

Antroji kategorija – ES talpinamos elektroninio parašo platformos: Europoje sukurti įrankiai, akcentuojantys duomenų saugojimo vietą, atitiktį GDPR ir dažnai nacionalinio eID integraciją. Jos tinka komandoms, kurių pagrindinis tikslas – atsisakyti JAV jurisdikcijos išlaikant pažįstamą siuntimo–pasirašymo–saugojimo patirtį, ir paprastai iš karto palaiko SES bei AES, o QES – per prijungtą QTSP. Trečioji kategorija – plačios pasaulinės platformos, įskaitant patį DocuSign ir panašius rinkos senbuvius, kurie yra funkcionalūs ir plačiai integruoti, tačiau be papildomos konfigūracijos gali nesiūlyti ES jurisdikcijos ar nacionalinio Baltijos šalių eID kaip numatytojo varianto.

Ketvirtoji kategorija – ir būtent kur juda rinka – yra ES kilmės CLM įrankis, traktuojantis pasirašymą kaip vieną sutarties kelionės etapą, o ne kaip visą produktą. Čia šablonai, derybos, eIDAS elektroninis pasirašymas su nacionaliniais eID ir teisme tinkama įrodymų bazė gyvuoja vienoje ES talpinamoje sistemoje. Tinkamas pasirinkimas priklauso nuo jūsų tikrojo apribojimo: QTSP, jei QES šiandien yra būtinas; ES talpinama platforma, jei pirmenybė teikiama saugojimo vietai; visavertis CLM įrankis, jei norite viso gyvavimo ciklo, ES duomenų saugojimo vietos ir nacionalinio eID kartu. Tai bendro pobūdžio gairės, o ne teisinė konsultacija – konkrečius atitikties poreikius pasitikslinkite su kvalifikuotu teisininku.

DokDesk yra ES kilmės sutarčių proceso produktas, sukurtas Baltijos šalims ir platesnei ES. Užuot pridėjęs pasirašymą prie užsienietiškos sistemos, jis vienoje vietoje apima visą gyvavimo ciklą: pakartotinai naudojami šablonai tampa atspirties tašku, derybos vyksta dėl vienos gyvos versijos, todėl nereikia el. laiškų ping pongo su prieštaringais juodraščiais, eIDAS elektroninis pasirašymas užbaigia susitarimą, o teisme tinkama įrodymų bazė išsaugo įrašą. Visą laiką duomenys laikomi ES pagal GDPR, o tai tiesiogiai atsako į saugojimo vietos ir CLOUD Act rūpesčius, stumiančius komandas tolyn nuo į JAV orientuotų įrankių.

Dėl parašų: DokDesk atlieka SES ir AES pasirašymą naudodamas nacionalinius eID, įskaitant Smart-ID ir Mobile-ID, todėl Baltijos šalių pasirašantieji naudoja tapatybę, kuria jau pasitiki, o jūs gaunate stipresnius tapatybės įrodymus, kylančius iš tikro eID patvirtinimo. Platforma yra architektūriškai parengta QES, tačiau kalbant tiksliai apie aprėptį: DokDesk pats neišduoda kvalifikuotų parašų ir nėra kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas. Kai QES iš tiesų reikalingas, tai lieka QTSP sritis, o DokDesk sukurtas derėti šalia, o ne perdėti to, ką teikia.

Praktinė nauda – konsolidacija be kompromisų. Užuot turėję vieną įrankį rengti, kitą pasirašyti ir trečią saugoti – kiekvieną su sava jurisdikcija ir savo audito sekos dalimi – DokDesk laiko šablonus, derybas, pasirašymą ir įrodymus vienoje ES talpinamoje sistemoje. Tai mažina išlaidas, panaikina siūles, kuriose pradingsta versijų istorija ir įrodymai, ir viską išlaiko pagal Europos jurisdikciją. DokDesk nėra advokatų kontora, ir niekas čia nėra teisinė konsultacija; dėl konkretaus dokumento ar proceso teisinio galiojimo kreipkitės į kvalifikuotą teisininką.

Pradėkite nuo inventorizacijos ir susiejimo užduoties. Sudarykite sąrašą savo aktyvių šablonų, dokumentų tipų, kuriuos jie apima, ir eIDAS lygio, kurio kiekvienam iš tikrųjų reikia – daugeliui, kuriems šiandien numatytasis yra SES, pakanka AES su nacionaliniu eID, o mažesnei daliai gali reikėti QES per QTSP. Sukataloguokite ir savo integracijas: CRM, saugyklą, personalo sistemas bei bet kokius API ar tinklavorčių (webhook) sąlyčio taškus. Ši inventorizacija tampa jūsų migracijos kontroliniu sąrašu ir užkerta kelią klasikinei nesėkmei – aptikti kritinį šabloną tik po to, kai senoji sistema jau išjungta.

Savo turimus pasirašytus dokumentus vertinkite kaip įrodymų išsaugojimo, o ne vien failų kopijavimo užduotį. Eksportuokite užbaigtus susitarimus kartu su jų audito sekomis ir užbaigimo pažymomis, nes praeities parašo teisinė vertė glūdi tame supančiame įrodyme, o ne vien PDF faile. Eksportuotą rinkinį saugokite savo ES talpinamoje sistemoje kaip nekeičiamą archyvą ir prieš ką nors nutraukdami patikrinkite reprezentatyvią imtį. Parašas, kurio vėliau negalite įrodyti, faktiškai yra parašas, kurio neturite, todėl išsaugokite įrodymą, o ne vien dokumentą.

Tada, prieš galutinai pereidami, atkurkite ir paleiskite lygiagrečiai. Naujame įrankyje atkurkite šablonus, iš naujo prijunkite integracijas ir dalį gyvojo srauto nukreipkite per abi sistemas, kad galėtumėte palyginti rezultatus su tikrais dokumentais. Apmokykite pasirašančiuosius Smart-ID ir Mobile-ID proceso, senąjį archyvą palikite tik skaitomą informacijai ir DocuSign atsisakykite tik tada, kai naujoji įrodymų bazė bus patikrinta nuo pradžios iki galo. Kadangi migracijos sprendimai liečia teisinį galiojimą ir įrašų saugojimo pareigas, šį skyrių laikykite bendro pobūdžio informacija ir paveskite kvalifikuotam teisininkui patvirtinti jūsų saugojimo ir įrodymų strategiją.