Bezpieczeństwo, które można sprawdzić, a nie tylko o nim przeczytać
Umowa jest tyle warta, ile dowody, które za nią stoją. Ta strona wyjaśnia prostym językiem, jak dokładnie SignSpry chroni Państwa dokumenty i dowodzi, co się wydarzyło — oraz co jest jeszcze w planie rozwoju.
Dowody
Ścieżka audytu z łańcuchem skrótów
Każde zdarzenie dotyczące koperty — wysłanie, wyświetlenie, podpis, płatność, odrzucenie, przypomnienie — jest rejestrowane wraz z wykonawcą, adresem IP, urządzeniem i znacznikiem czasu UTC, a każdy wpis zawiera skrót poprzedniego. Zmiana lub usunięcie jednego z nich widocznie przerywa łańcuch.
Zapieczętowane pliki PDF
Gdy podpisze ostatnia strona, PDF zostaje zapieczętowany podpisem cyfrowym PKCS#7 obejmującym każdy bajt, a znacznik czasu RFC 3161 od niezależnego urzędu utrwala ten moment bez konieczności ufania naszemu zegarowi.
Certyfikat ukończenia
Dołączany do każdego ukończonego dokumentu: kto podpisał, skąd, kiedy (czas UTC i lokalny), jak zweryfikowano tożsamość, skróty dokumentu i pełna historia zdarzeń — po angielsku i w języku podpisujących.
Publiczny weryfikator
Każdy może przeciągnąć PDF z SignSpry do naszego weryfikatora — bez konta i bez opłat — i potwierdzić, że jest zapieczętowany, niezmieniony od zapieczętowania, oraz kiedy to nastąpiło. Sąd, audytor czy kontrahent nigdy nie musi wierzyć nam na słowo.
Tożsamość podpisującego
Linki do podpisu weryfikowane przez e-mail, opcjonalne kody dostępu dla poszczególnych podpisujących, zapis adresu IP i urządzenia oraz wyraźna zgoda uzyskiwana przed pierwszym polem. Globalne kody SMS, weryfikacja dokumentów tożsamości i zaawansowane podpisy eIDAS są w planie rozwoju.
Czas, który wszędzie znaczy to samo
Wszystkie znaczniki czasu są przechowywane w UTC i wyświetlane obok czasu lokalnego każdej osoby, dzięki czemu umowa podpisana w trzech strefach czasowych ma jedną, jednoznaczną sekwencję zdarzeń.
Bezpieczeństwo platformy
Szyfrowanie
TLS dla każdego połączenia, nagłówki Strict Transport Security i Content Security Policy w każdej odpowiedzi oraz conocne kopie zapasowe szyfrowane AES-256, przechowywane poza serwerem produkcyjnym.
Ochrona konta
Uwierzytelnianie dwuskładnikowe z kodami zapasowymi, ograniczanie prób logowania i blokady, zasady wieku haseł ustalane przez administratora, zarządzanie aktywnymi sesjami oraz dziennik bezpieczeństwa logowań i istotnych zmian.
Kontrola dostępu
Role Przeglądający, Członek, Menedżer i Administrator oraz indywidualne uprawnienia, egzekwowane na serwerze przy każdym żądaniu. Foldery zespołu, zablokowane szablony i zasady przechowywania sprawiają, że dokumenty są tam, gdzie powinny — i tylko tak długo, jak powinny.
Hosting i lokalizacja danych
Środowisko produkcyjne działa w Amazon Web Services w Indiach (Bombaj). Dokumenty, ścieżki audytu i kopie zapasowe pozostają w tym regionie. Regiony danych w UE i USA, dzięki którym klienci z Europy i Ameryki będą mogli przechowywać dane u siebie, to kolejny krok infrastrukturalny w naszym planie rozwoju.
AI, która pozostaje na naszych serwerach
Podsumowania umów, przegląd klauzul, wyodrębnianie zobowiązań i wyszukiwanie pełnotekstowe są obliczane na infrastrukturze, którą sami utrzymujemy. Treść Państwa dokumentów nigdy nie jest wysyłana do zewnętrznego modelu ani wykorzystywana do trenowania.
Niezawodność
Automatyczne kontrole stanu, conocne szyfrowane kopie zapasowe poza siedzibą oraz proces wdrażania, który blokuje publikację, jeśli którakolwiek kontrola się nie powiedzie. Publiczna strona statusu jest w planie rozwoju.
Prywatność
Prywatność w założeniach projektu
Zbieramy tylko to, czego wymaga usługa; podpisujący nigdy nie otrzymują od nas materiałów marketingowych. Nasza Polityka prywatności określa, jakie dane przechowujemy, w jakim celu i jak długo oraz jak korzystać z przysługujących praw.
Zgoda przed plikami cookie
Żaden analityczny ani reklamowy plik cookie nie jest zapisywany przed wyrażeniem zgody. Zgoda jest rejestrowana, respektowana przez Google Consent Mode v2 i może zostać zmieniona w dowolnym momencie w stopce strony. Czcionki są serwowane z naszych własnych serwerów, więc żadne żądanie nie opuszcza strony, zanim dokonają Państwo wyboru.
GDPR, DPDP i nie tylko
Zaprojektowane z uwzględnieniem indyjskiej ustawy o ochronie cyfrowych danych osobowych (DPDP) i GDPR: minimalizacja danych, kontrola przechowywania i eksport danych na żądanie. Samoobsługowy zestaw narzędzi GDPR — umowa powierzenia przetwarzania danych, rejestr zgód, eksport i usuwanie danych — to kolejny krok w planie rozwoju.
Uznanie prawne według jurysdykcji
SignSpry tworzy standardowe podpisy elektroniczne poparte zapieczętowaną ścieżką audytu. Wymienione niżej przepisy uznają takie podpisy w przypadku umów, które mogą być zawierane elektronicznie; każdy z nich wyłącza kilka rodzajów dokumentów (na przykład testamenty lub niektóre przeniesienia własności nieruchomości). To informacja ogólna, a nie porada prawna.
| Jurysdykcja | Przepisy | Znaczenie dla dokumentów SignSpry |
|---|---|---|
| Indie | Information Technology Act, 2000 (sekcja 10A) | Umowy zawarte elektronicznie są ważne; zapieczętowany PDF i ścieżka audytu stanowią zapis elektroniczny. |
| Stany Zjednoczone | ESIGN Act (2000) i UETA (przyjęta przez 49 stanów) | Podpisowi nie można odmówić skutków prawnych tylko dlatego, że ma postać elektroniczną; zamiar, zgodę i przypisanie podpisu dokumentuje ścieżka audytu. |
| Unia Europejska | Rozporządzenie eIDAS (UE) nr 910/2014 | Standardowe podpisy elektroniczne są dopuszczalne jako dowód; poziom zaawansowany i kwalifikowany jest w naszym planie rozwoju we współpracy z kwalifikowanym dostawcą usług zaufania. |
| Wielka Brytania | Electronic Communications Act 2000; brytyjskie eIDAS | Podpisy elektroniczne są dopuszczalne jako dowód i co do zasady ważne w przypadku umów, co potwierdziła Law Commission (2019). |
| Singapur | Electronic Transactions Act 2010 | Podpisy elektroniczne spełniają wymóg podpisu, jeśli niezawodna metoda identyfikuje podpisującego i wskazuje na jego zamiar. |
| Zjednoczone Emiraty Arabskie | Federal Decree-Law No. 46 of 2021 on Electronic Transactions and Trust Services (federalny dekret z mocą ustawy nr 46 z 2021 r.) | Podpisy i zapisy elektroniczne mają skutki prawne; niektóre dokumenty są wyłączone. |
| Australia | Electronic Transactions Act 1999 (Cth) i odpowiedniki stanowe | Wymóg podpisu jest spełniony przez niezawodną metodę elektroniczną przy zgodzie podpisującego. |
| Kanada | PIPEDA, część 2; prowincjonalne ustawy o handlu elektronicznym | Podpisy elektroniczne są uznawane; niektóre dokumenty federalne wymagają bezpiecznego podpisu elektronicznego. |
Kto jeszcze ma dostęp do Państwa danych
Utrzymujemy krótką listę. Każdy dostawca przetwarza tylko to, czego wymaga jego zadanie.
- Amazon Web Services — hosting, przechowywanie danych i kopie zapasowe w regionie Bombaj (ap-south-1); wysyłka poczty e-mail.
- Razorpay — przetwarzanie płatności za subskrypcje oraz płatności pobieranych przy podpisie. Dane kart nigdy nie trafiają na nasze serwery.
- Google — analityka i pomiar skuteczności reklam, wyłącznie po wyrażeniu zgody na te pliki cookie.
- Urząd znacznika czasu RFC 3161 — otrzymuje wyłącznie skrót zapieczętowanego dokumentu, nigdy sam dokument.
Zgłaszanie podatności
If you believe you have found a security issue, please email support@signspry.com (subject "Security report") with enough detail to reproduce it. We acknowledge reports, fix confirmed issues promptly and credit researchers who wish to be named. Please do not access other customers' data or disrupt the service while testing.
Pytania od Państwa zespołu ds. bezpieczeństwa lub działu prawnego?
Chętnie omówimy architekturę, wypełnimy kwestionariusz bezpieczeństwa lub omówimy umowę powierzenia przetwarzania danych.