La empresa Softy-Factory Solutions S.L. nace con el objetivo de facilitar las relaciones electrónicas entre las personas, sean físicas o jurídicas. Para ello, ha desarrollado una plataforma, denominada SOFTYSIGN, donde se consigue la creación de firmas electrónicas y su verificación y que posibilita gestionar de forma electrónica la firma y formalización de acuerdos comerciales, contratos electrónicos, autorizaciones, etc.
La presente Declaración de Prácticas del servicio electrónico de confianza detalla las normas y condiciones generales que presta SOFTYSIGN en relación con el servicio de creación y verificación de firmas electrónicas, las condiciones aplicables para la identificación y autenticación del firmante, las medidas de seguridad organizativas y técnicas, la integridad de las transacciones, la exactitud de la fecha y hora de la firma y el almacenamiento y custodia de todas las evidencias generadas en proceso.
Así pues, la presente Declaración de Prácticas constituye el compendio general de normas aplicables a la actividad de SOFTY-FACTORY SOLUTIONS S.L. en su condición de Prestador de Servicios de Confianza.
Esta Declaración de Prácticas está dirigida a todas las personas físicas y jurídicas solicitantes, subscriptores y en general usuarios de los servicios de creación y verificación de firmas electrónicas. El servicio SOFTYSIGN es un servicio de confianza que se presta al público y tiene efectos jurídicos en terceros, por lo que debe cumplir las obligaciones de conformidad con lo establecido en la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza y el Reglamento 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE. (Reglamento eIDAS).
El servicio de creación de firmas de SOFTYSIGN es considerado un servicio electrónico de confianza, tal y como se encuentra definido en el artículo 3, apartado 16 del Reglamento eIDAS.
Softy-Factory Solutions S.L. sigue las indicaciones de los estándares del Instituto Europeo de Estándares de Telecomunicaciones -ETSI- guiándose para ello por las especificaciones técnicas de las normas EN 319 401 (requerimientos generales para proveedores de servicios de confianza), ETSI TS 119 102-1 “Electronic Signatures and Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation”, y se ha redactado conforme a la RFC 3647 “Certificate Policy and Certification Practices Framework” propuesto por Network Working Group para este tipo de documentos.
Las normas, estándares y guías o mejores prácticas de aplicación descrito en esta Declaración de Prácticas del servicio electrónico de confianza son las siguientes:
Para una mayor comprensión del contenido del presente documento se facilita, por orden alfabético, una breve definición de los siguientes términos:
SOFTYSIGN declara que la presente Declaración de Prácticas es aplicable al Servicio de creación de firma electrónica, cumpliendo los requisitos establecidos por el Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (eIDAS).
SOFTYSIGN garantiza, en línea con su declaración de aplicabilidad y con los requisitos legales que cumple con:
El Prestador del Servicio de Confianza de creación y verificación de firmas electrónicas es SOFTY-FACTORY SOLUTIONS S.L.
Son aquellas personas físicas y jurídicas a las que SOFTYSIGN encomienda la función de identificación y comprobación de las circunstancias personales de los solicitantes del servicio.
Son las personas físicas o jurídicas que haya contratado un plan de SOFTYSIGN y que se encargarán de la identificación y comprobación de las circunstancias personales de los firmantes.
Deberán tener en cuenta tanto las Condiciones Generales de Contratación o los Términos y Condiciones del Servicio como las limitaciones establecidas para dicho servicio.
El firmante es la persona que realiza la firma.
El programa SOFTYSIGN se ha diseñado para permitir realizar firmas electrónicas simples y avanzadas. El programa funciona mediante una API REST que se integra en la interfaz de uso o a través de otros programas de terceros. El programa en ambos casos se trabaja en los servidores AWS de Amazon.
Son Terceras Partes aquellas partes que confían en las firmas electrónicas realizadas por el firmante a través del programa SOFTYSIGN, así como en las actas generadas por SOFTYSIGN con la trazabilidad de la firma.
Deberán tener en cuenta tanto las Condiciones Generales de Contratación o los Términos y Condiciones del Servicio, así como las limitaciones establecidas para dicho servicio.
SOFTYSIGN utiliza los servicios de certificación de otros prestadores de servicios de confianza cualificados. A fecha de publicación de la presente DPC son los siguientes
SOFTYSIGN, como prestador de servicios de confianza, ofrece un servicio de firma electrónica, mediante la utilización de procedimientos y tecnologías capaces de confirmar la transacción realizada y la integridad de la misma.
Los datos que sirven para identificar al firmante se obtienen a partir de la información presentada por el cliente de SOFTYSIGN. El cliente de SOFTYSIGN crea el contacto del firmante, incluyendo los siguientes datos: nombre, apellidos, documento de identidad, dirección postal, teléfono móvil y correo electrónico.
El creador del documento genera una solicitud de firma en la plataforma a un contacto previamente definido en la misma conforme indicado anteriormente.
La persona que debe firmar dicho documento recibe una notificación por mail donde se le informa que tiene un documento pendiente de firma en una URL determinada.
Al acceder a la plataforma, el firmante puede ver los documentos pendientes de firma. Al pulsar en “Firmar documento” se envía un SMS que contiene un OTP (One Time Password) o contraseña de un solo uso, que el firmante deberá introducir en la Plataforma de SOFTYSIGN para firmar el documento. El método utilizado para generar los códigos aleatoriamente, y que son remitidos al firmante, permite garantizar un nivel de pseudo-aleatoriedad suficientemente seguros, conforme a los criterios establecidos en la norma RFC 4086. El código de identificación generado es configurable, así como su tiempo de exposición. El administrador del sistema puede decidir tanto la longitud como el número de caracteres, siendo el mínimo 6 dígitos y un tiempo máximo de vigencia de 10 minutos, cumpliendo lo recomendado por la RFC 6238.
Una vez se ha firmado el documento, la plataforma comunica que ha sido firmado correctamente, y que el firmante recibirá un correo electrónico con dicho documento firmado.
El documento firmado, una vez incrustados los metadatos, se firma electrónicamente con un certificado de la propia plataforma. Los metadatos asociados al documento se pueden observar en las propiedades del documento, como son:
Se calcula el hash con SHA2 y se almacena el hash del documento final firmado. Al firmar el documento final con un certificado cualificado de sello electrónico de entidad, la plataforma de SoftySign garantiza la integridad del documento firmado.
Inmediatamente, se incorpora al documento un sello de tiempo cualificado, certificando que el documento existe y ha sido firmado en una fecha y hora determinada.
Por lo tanto, SOFTYSIGN protege la integridad del documento firmado y sus metadatos asociados, quedando el documento debidamente conservado al menos hasta que prescriban las posibles acciones legales, mediante una firma digital soportada por un certificado cualificado generada por un Prestador de Servicios de Certificación Cualificado, e incorporando un sello de tiempo cualificado, de tal forma que se excluye la posibilidad de que los datos puedan cambiar de forma indetectable.
SOFTYSIGN registrará los eventos producidos en el servicio, y almacenará al menos los siguientes:
El registro de los eventos se realiza mediante logs de auditoría que se almacenan en la plataforma de SOFTYSIGN. Las evidencias que se han producido por el servicio se incorporan a un documento firmado con un sello electrónico de la plataforma y un sello de tiempo con la fecha y hora de la firma. Dicho documento, quedará a disposición de los usuarios y será enviado al destinatario, de tal forma que queda garantizada la disponibilidad, confidencialidad e integridad de los registros. Estas evidencias se custodian en la plataforma durante mínimo 5 años desde la terminación del servicio.
SOFTYSIGN revisa los registros de auditoría de forma periódica, verificando su normal actividad y que no han sido manipulados. Se utilizan controles de acceso físico y lógico para los ficheros de registro, quedando protegidos de accesos, modificaciones o eliminaciones no autorizadas.
SOFTYSIGN, como Prestador del Servicio de Confianza se compromete a cumplir una serie de obligaciones detalladas en esta DPC, en el marco del eIDAS, sus disposiciones de desarrollo y otras legislaciones que sean de aplicación. En concreto, se obliga a:
Los usuarios del servicio de firma electrónica de SOFTYSIGN tendrán las obligaciones siguientes:
SOFTYSIGN como Prestador de Servicios de Confianza se encuentra sujeto al régimen de responsabilidad recogido en el artículo 13 del Reglamento eIDAS por lo que asumirá las responsabilidades por los perjuicios causados de forma deliberada o por negligencia a cualquier persona física o jurídica en los términos previstos en la legislación vigente.
LIMITACIONES DE RESPONSABILIDAD
No obstante, SOFTYSIGN no será responsable de los perjuicios producidos por la utilización de sus servicios más allá de las limitaciones siguientes:
En caso de terminación del servicio, SOFTYSIGN realizará las siguientes acciones:
SOFTYSIGN tiene su sede principal en Prolongación Calle Sao Paulo s/n, Edificio Impocan. Las Palmas de Gran Canaria, Islas Canarias
Los controles de seguridad físicos de las instalaciones de SOFTYSIGN están preparados con sistemas antirrobos y se trabaja con 3 líneas de fibra en paralelo, con la finalidad de que, en el caso de que falle alguna de las comunicaciones, se pueda seguir la conexión con el resto. Las instalaciones cuentan con una infraestructura sólida, doble puerta de seguridad, aire acondicionado y disponen de medida de protección frente a posibles incendios e inundaciones. En la entidad SOFTY-FACTORY SOLUTIONS está instalada la posibilidad del teletrabajo.
Los equipos de trabajo son asignados a cada uno de los trabajadores y están sometidos a labores de mantenimiento. Los trabajadores deben asegurarse de que los equipos no queden desatendidos sin la debida protección. Asimismo, está terminantemente prohibido que se usen los equipos de trabajo para fines personales. En la entidad SOFTY-FACTORY SOLUTIONS, S.L. se aplica la política de “trabajo despejado y pantalla limpia”, los ordenadores están protegidos con bloqueos de pantalla. En los casos de teletrabajo, se tomarán las medidas necesarias para que no se tenga acceso a información confidencial.
En las instalaciones de SOFTY se realizan fundamentalmente tareas de creación, desarrollo y atención al cliente, puesto que el almacenamiento se realiza en los servidores de AMAZON.
Con el fin de controlar al máximo los accesos al código fuente y posibles manipulaciones sobre el mismo, trabajamos con un programa de control de versiones y con acceso de seguridad restringidos a través de roles que garantizan que los accesos al conjunto de sistemas son únicamente realizados por personal autorizado. Esto se traduce en que únicamente pueden acceder al código fuente los desarrolladores vinculados a ese sistema de roles y que sólo pueden acceder a sus ramas y a la rama principal, siendo el sistema de producción una rama no principal que asume las actualizaciones de esta última sólo cuando el CEO ha dado el visto bueno para la subida.
De igual manera que en el punto anterior, y no habiendo interacción entre usuario final y sistemas de manera directa, el código malicioso sólo podría afectar a los sistemas si fuera incorporado a través del control de versiones, cosa poco probable dado el sistema de seguridad de roles asumido y la forma en la que se crean y suprimen las máquinas de servicio. En cualquier caso, si algún malware pudiera infectar las instancias en producción, éstas se destruirían para dar paso a una nueva remesa de máquinas restablecidas en un tiempo no superior a los 10 minutos desde la detección. Tras este tiempo, y dada la naturaleza del propio malware, se identificarían los improbables daños, siguiendo en todo momento el protocolo de seguridad de SOFTYSIGN.
Diariamente se realizan copias de seguridad en AWS Amazon redundadas, esto es, se guardan en 2 o más ubicaciones independientes para garantizar su recuperación en caso de fallo del sistema.
Se realizan auditorías periódicas, tanto internas como externas, para controlar y comprobar el cumplimiento de las normas de aplicación. El proceso terminará con la elaboración de un Informe de Auditoría en el que se recogen las acciones correctivas y/ o preventivas necesarias.
Los aspectos cubiertos por una auditoria incluirán, al menos:
9.6.1. Tipología de fallo:
Fallo en la solicitud de la firma. Dado la especial atención que desde desarrollo se le ha dado a la fiabilidad del sistema, los fallos en el proceso de firma están claramente identificados y gestionados por el propio API-REST, dando en cada momento información al usuario acerca del estado de la firma. Así bien, ya sea por aplicaciones terceras como por nuestra propia interfaz, están identificados los siguientes tipos de fallo.
Fallo en el proceso de firma. Igualmente, y dado que el proceso de firma se realiza siempre en una interfaz propia de SOFTYSIGN (independientemente de si se usa el API-REST por parte del interfaz o de terceros), si existe algún problema en el momento de procesar la firma, aparecerá como un mensaje en la propia pantalla.
Fallo posterior al momento de la firma. Si existiera un fallo posterior en el momento de la firma, el sistema envía a un proceso de comunicación al cliente el fallo en cuestión, informando de que la firma no ha podido concluirse. Al usar colas de trabajo asíncronas, este error sólo puede heredarse de un error fatal por parte de AWS, y en ese caso, los sistemas de monitorización envían aviso.
9.6.2. Acciones frente a fallos:
Independientemente de lo anterior, si se detecta un funcionamiento anómalo del sistema, el protocolo a seguir es el siguiente:
SOFTYSIGN, a través de su Procedimiento de Continuidad de negocio protege los procesos críticos de los efectos derivados de fallos importantes o catastróficos de los sistemas de información, así como garantizar su oportuna reanudación. En ellos se detallan:
Aunque el sistema de creación de copias de seguridad independientes permite en la mayoría de los supuestos la continuidad del servicio, no obstante, ante casos graves que pudieran afectar a la seguridad general del sistema, los servicios se suspenderán temporalmente, notificando a la mayor brevedad posible a los usuarios este extremo y, si fuera posible su estimación, la duración aproximada de la suspensión. Del mismo modo, se notificará a los usuarios su reanudación.
En general, existe el deber de confidencialidad respecto a la información que los empleados de SOFTYSIGN conozcan por razón de su puesto de trabajo. La información considerada como confidencial facilitada a SOFTYSIGN no será en ningún caso divulgada a terceros salvo que se encuentre amparada en los supuestos de requerimiento de colaboración con las instituciones competentes.
Se considera información del tipo “confidencial” toda la información de SOFTYSIGN que no se haya declarado expresamente como pública.
Se considera información pública, entre otros, los siguientes documentos:
De acuerdo con el Reglamento (UE) 2016/679 de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos (en adelante, RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía en los Derechos Digitales (en adelante, LOPDGDD), SOFTYSIGN realiza un tratamiento de datos de carácter personal ajustado a las obligaciones recogidas en la normativa vigente de protección de datos de carácter personal de conformidad con su Política de Privacidad.
En concreto, los datos serán tratados por SOFTY FACTORY SOLUTIONS, S.L., con NIF B-35475748 y domicilio social en Prolongación Calle Sao Paulo s/n, Las Palmas de Gran Canaria, Islas Canarias.
SOFTYSIGN tratará los datos personales relativos a sus Clientes con la finalidad de formalizar y poder prestar el servicio solicitado en los términos establecidos en la normativa vigente y, en relación con el tratamiento de los datos de los usuarios que utilicen el Servicio de Validación de firmas, SOFTYSIGN actuará como encargado del tratamiento en el marco de la prestación de los servicios, entre los que se incluye, la conservación de la documentación generada en torno a la creación y validación de firmas electrónicas durante la vigencia del contrato y, posteriormente, durante el tiempo que sea legalmente necesario.
Por su parte, el Cliente deberá garantizar la obtención del consentimiento de los Usuarios de forma expresa, libre e inequívoca en el momento de validación de la firma del documento poniendo a su disposición, para ello, los medios que resulten necesarios en cumplimiento de la citada obligación.
SOFTYSIGN asume las medidas de índole técnica, organizativa y de seguridad que resulten necesarias para garantizar la confidencialidad e integridad de la información de acuerdo con lo establecido en la normativa arriba referenciada.
En concreto, se compromete a garantizar la aplicación de medidas técnicas y organizativas adecuadas para que el tratamiento cumpla con un nivel de seguridad adecuado al riesgo, la defensa de los derechos de los titulares de los datos, teniendo en cuenta las técnicas más avanzadas, los costes de aplicación y la naturaleza, el ámbito, el contexto y las finalidades del tratamiento, para los derechos y libertades de las personas físicas, pudiendo incluir, entre otras medidas:
SOFTYSIGN deberá tener en cuenta, concretamente, los riesgos presentados por el tratamiento, en particular debido a la destrucción, pérdida y modificación accidentales o ilícitas, y la divulgación o al acceso no autorizados, de datos personales transmitidos, conservados o sujetos a cualquier otro tipo de tratamiento.
Con respecto a las medidas concretas para el cumplimiento del RGPD y LOPDGDD, SOFTYSIGN llevará a cabo las siguientes medidas:
Por su parte, el usuario que facilite sus datos responderá, en cualquier caso, de la veracidad de los datos facilitados, reservándose SOFTYSIGN el derecho a excluir de los servicios registrados a todo usuario que haya facilitado datos falsos, sin perjuicio de las demás acciones legales.
El Cliente podrá ejercer sus derechos de acceso, rectificación, oposición, supresión, limitación al tratamiento y portabilidad de sus datos de carácter personal suministrados a SOFTYSIGN, siempre que estos resulten aplicables, mediante comunicación escrita a la siguiente dirección info@softyfactorysolutions.com.
Si el interesado considera que su derecho a la protección de datos personales ha podido ser vulnerado, puede realizar una reclamación ante la Agencia Española de Protección de Datos.
El servicio de firma electrónica de SOFTYSIGN proporciona seguridad y confianza a las relaciones electrónicas entre las partes, obteniendo como resultado final un documento cuyo contenido está aceptado por las mismas por medio de una acción de firma, y se garantiza su autenticidad e integridad mediante utilización de certificados electrónicos cualificados, así como su existencia en un momento dado, a través de sellados de tiempo cualificados.
Disponibilidad del servicio
El servicio de firma electrónica de SOFTYSIGN estará disponible ininterrumpidamente 24 horas los 7 días de la semana.
SOFTYSIGN tiene a disposición de sus clientes un documento de Condiciones Generales de Contratación donde se establece el marco jurídico que regulará la prestación de los servicios de firma electrónica por parte de SOFTYSIGN, y la utilización y acceso a la plataforma de firma por parte del Cliente y del Usuario en relación a los distintos planes de contratación disponibles en la página web de SOFTYSIGN.
En la prestación de los servicios descritos en esta DPC, SOFTYSIGN garantiza que no operará de modo que se produzca algún tipo de discriminación.
Condiciones de contratación
Las tarifas y condiciones económicas del servicio se establecerán de manera específica en cada caso. Las condiciones generales de contratación se encuentran en el documento "Términos y Conficiones del Servicio Electrónico de Confianza de Creación y verificación de Firmas Electrónicas” de SoftySign” publicado en la web del servicio en la siguiente ubicación:
https://www.softysign.com/inicio?mod=productos_softy&file=condiciones_de_uso
No obstante, SOFTYSIGN puede establecer marcos contractuales con clientes puntuales que particularicen estas condiciones para el escenario de colaboración establecido entre ambas partes.
Reclamaciones y resolución de conflictos
SOFTYSIGN pone a su disposición de los interesados los siguientes medios de contacto para interponer reclamaciones, quejas o sugerencias que deseen hacer llegar por su disconformidad o sugerencia con algún aspecto del servicio prestado:
SOFTYSIGN responderá a la mayor brevedad posible siempre dentro de un plazo máximo de 30 días.
En caso de reclamaciones judiciales, se procederá según lo dispuesto en el apartado 13 de esta DPC.
Corresponde al Director General de Softy Factory Solutions SL la aprobación de la presente DPC.
SOFTYSIGN ha establecido un equipo de gestión responsable de la implantación de las prácticas de seguridad y organizativas requeridas para garantizar la confidencialidad, integridad y todo lo establecido en esta DPC.
Modificación de la DPC
La presente DPC podrá ser modificada por causas legales, técnicas o comerciales.
Cuando la DPC sea modificada de forma sustancial, deberá ser notificada al Órgano de Supervisión.
Igualmente, los cambios que se realicen que puedan afectar de forma sustancial a los suscriptores del servicio o a terceros se notificarán haciéndolo público en la web de SOFTYSIGN.
Las relaciones entre SOFTYSIGN y los usuarios del servicio de Firma Electrónica se regirán por la normativa española referenciada en el apartado 1.3 de la presente DPC .
Las partes, con expresa renuncia a cualquier fuero propio que pudiera corresponderles, se someten a la Jurisdicción y Competencia de los Juzgados y Tribunales de Las Palmas de Gran Canaria para cualquier cuestión relativa a la interpretación, cumplimiento o ejecución del contrato establecido entre las partes.