Firma electrónica y verificación

1. Qué firma se usa aquí, y qué no es

Cuando firmas un documento en la plataforma de Iberfácil, estás usando una firma electrónica avanzada basada en evidencias.

Qué significa eso: el sistema no se limita a registrar que pulsaste un botón. Congela el documento, comprueba quién eres por los medios que se indican abajo, registra toda la interacción y construye un expediente de pruebas que permite acreditar, después, qué se firmó, quién lo firmó y cuándo.

Qué NO es: no es una firma electrónica cualificada. Una firma cualificada exige un certificado cualificado y un dispositivo de creación de firma cualificado, y tiene por ley el mismo efecto que la firma manuscrita. La firma por evidencias no tiene esa presunción legal automática: su fuerza depende de la calidad de las evidencias, que es precisamente lo que aquí se cuida.

Si tú tienes tu propio certificado electrónico, puedes usarlo para firmar. Si ese certificado es cualificado y lo usas con un dispositivo de creación de firma cualificado, tu firma sí es cualificada, con el valor que la ley le da. Si no se dan ambas cosas, tu firma no es cualificada.

La firma por evidencias de la plataforma nunca se presenta como «cualificada». Si en algún sitio lo lees, es un error: avísanos y lo corregimos.

2. Cómo se firma

El método lo decide el tipo de documento, no tú. Un escrito judicial exige la firma cualificada del profesional que lo suscribe; una hoja de encargo se resuelve con código de un solo uso.

El proceso, paso a paso

1. Se genera el documento y se congela su huella digital. A partir de ahí, cualquier cambio es detectable.
2. Recibes un enlace por SMS, correo o mensajería, con una identificación previa.
3. Abres y lees el documento completo. Se registra que lo abriste, cuánto tiempo estuviste y hasta dónde llegaste.
4. Aceptas expresamente y recibes un código de un solo uso. Lo introduces.
5. Se sella el resultado y se construye el paquete de evidencias.

3. Qué contiene el paquete de evidencias

• La huella digital del documento firmado.
• Quién firmó y cómo se determinó su identidad.
• El número de teléfono al que se envió el código y el acuse de entrega del operador.
• El momento de envío y de validación del código.
• Dirección IP y dispositivo desde los que se firmó.
• La cronología completa de la interacción.
• El texto exacto del consentimiento que se te mostró.
• Un sello de tiempo sobre el conjunto.

Todo ello se entrega en un documento de evidencias firmado con el certificado de Iberfácil y unido al documento principal. Puedes descargarlo siempre desde tu área privada.

4. Varios firmantes

Cuando un documento necesita más de una firma —tú y el gestor, varios cotitulares, o el sello de Iberfácil junto a tu firma—, el documento no se considera firmado hasta que están todas las firmas, cada una con su propio paquete de evidencias.

5. El folio de firma: lo que ves en el papel

A todo documento que Iberfácil firma se le añade un folio de firma con los datos de la firma, y en el margen de cada página una banda lateral con la marca, la palabra «FIRMADO», el texto de firma y la dirección del verificador con el código.

Dos precisiones honestas sobre esa banda:

• La banda no es la firma. Lo que firma el documento es el criptograma; la banda es una capa visual. Que un documento lleve banda no lo convierte en firmado.
• La banda nunca se sobreimprime sobre el contenido: el contenido se reescala y la banda va al margen, para que nada tape lo que dice el documento.
• No se imitan emblemas oficiales. La banda lleva la marca de Iberfácil, nunca elementos que puedan hacer creer que el documento procede de un organismo público.

Sobre documentos de terceros no se estampa nada. El justificante de un registro, la diligencia de un juzgado o la copia de un notario se conservan tal cual, con su propia firma o sello. El código de verificación de Iberfácil identifica, en nuestro verificador, la ficha que custodiamos de ese documento; nunca se superpone al original de un organismo ajeno.

6. El código seguro de verificación (CSV) y el verificador público

Estas reglas se aplican a los documentos que dispongan de un código seguro de verificación de Iberfácil. Un código QR, por sí solo, no acredita la firma ni garantiza el resultado de la consulta.

Con ese código, cualquier persona que lo tenga puede consultar el verificador público y, si encuentra el documento:

• Ver la ficha y la huella del documento cuando estén disponibles y cotejar la huella de una copia digital idéntica; esta comprobación no acredita por sí sola quién firmó ni la vigencia del documento.
• Descargar el original tal como se firmó, mientras esté disponible (ver 6.3).

Qué muestra el verificador: la ficha del documento —los datos que cada tipo de documento decide mostrar— y la huella del original firmado, para que quien tenga una copia pueda cotejarla. Los nombres de los firmantes salen enmascarados: el nombre de pila completo y el resto con inicial (por ejemplo, «María G. L.»). Hay excepciones, entre ellas: en las firmas en representación se muestra completa la empresa representada, en los documentos sellados manualmente se muestra la organización, en los estudios de viabilidad se muestra el nombre público del miembro del equipo que firma, y algunos tipos de documento no muestran nombres. Salvo el aviso de anulación (6.1), nunca añade datos que no estén en el documento, ni información del expediente. El enmascarado de la ficha no anonimiza el archivo que se puede descargar. La huella permite cotejar una copia digital del archivo, no una hoja de papel.

Si el fichero original falta o su huella no coincide con la registrada, el verificador responde «No encontramos ese documento», igual que ante un código que no existe, y se genera una alerta interna. Esto ocurre con los documentos firmados en la plataforma y con otros tipos de documento. En algunos otros, la ficha se muestra igualmente y lo que falla es la descarga del original.

Las consultas al verificador pueden quedar registradas (código consultado, momento, dirección IP y resultado) como evidencia de acceso. Ese registro no es público.

6.1 Aviso de situación: «ANULADO»

El verificador muestra un único aviso de situación: «ANULADO», con la fecha y el motivo de la anulación. Solo aparece en los documentos sellados manualmente (los que sella la propia organización con su certificado o sello, artículo 2). Los demás documentos se muestran sin aviso.

6.2 Auténtico y vigente no son lo mismo

Conviene tener clara esta distinción:

• Auténtico quiere decir que el documento que tienes delante es exactamente el que se firmó y que nadie lo ha alterado. Eso lo acredita la huella, y no cambia nunca.
• Vigente quiere decir que el documento sigue surtiendo efecto. Eso depende del plazo de validez de cada documento y puede terminar.

Un documento caducado sigue siendo auténtico: su huella sigue cuadrando, y sigue acreditando que ese día se firmó eso. Lo que ha vencido es su eficacia, no su autenticidad.

El verificador no indica si un documento sigue en vigor o ha caducado: solo informa de lo que figura en su ficha y, en los documentos sellados manualmente, de si ha sido anulado.

La caducidad es un dato de cada documento, no de su tipo: un poder con un año de vigencia y un certificado con otra no comparten regla.

6.3 Si el original ya no está disponible

Los documentos tienen plazos de conservación (condiciones de custodia documental). La existencia de un código impreso no garantiza la disponibilidad futura de la ficha o del original.

Esto es lo que hace hoy el verificador cuando el original ya no está disponible:

Según el tipo de documento, el verificador responde «No encontramos ese documento» o muestra la ficha sin ofrecer la descarga del original.

El ejercicio del derecho de supresión no modifica el verificador: la ficha, con los nombres de los firmantes enmascarados y la huella, no se elimina ni se anonimiza por ese motivo. Se conserva como evidencia de la firma, mientras sea necesario para acreditar lo firmado y, en todo caso, durante el plazo de prescripción de las acciones que ese documento pueda sostener (política de privacidad, artículo 12).

El código impreso no garantiza que la consulta encuentre el documento. Según el tipo de documento, la falta del original puede impedir ver la ficha o hacer que falle solo la descarga.

6.4 Dónde se verifica: una dirección por marca

La plataforma opera varias marcas. El verificador no vive en una única dirección central: cada marca tiene la suya, en el dominio de esa marca y en la ruta /csv.

• Un documento emitido bajo la marca IBERFÁCIL se verifica en iberfacil.es/csv.
• Un documento emitido bajo cualquier otra marca operada sobre la plataforma se verifica en el dominio de esa marca, en la misma ruta /csv.

La dirección concreta va impresa en el propio documento y codificada en su QR: quien tenga el papel no necesita saber nada más.

La banda de firma lleva la marca de quien emite, y el verificador vive donde vive esa marca. Por eso la ruta /csv responde en todos los dominios de marca, no solo en el principal.

6.5 Continuidad de la verificación

Un código se imprime en papel y no se puede retirar de circulación: dentro de diez años puede seguir habiendo copias en un expediente judicial, en un archivo o en el cajón de un cliente.

Por eso, Iberfácil asume el siguiente compromiso:

Todos los códigos emitidos deben poder seguir verificándose en iberfacil.es/csv, con independencia de lo que ocurra con el dominio de la marca bajo la que se emitió el documento. Si esa marca cambia de dominio, deja de operar o pasa a otras manos, Iberfácil se compromete a mantener esa dirección de respaldo para que el código siga pudiendo verificarse.

Dos precisiones sobre ese compromiso:

1. Que una marca deje la plataforma no permite asegurar que sus documentos sigan siendo verificables.
2. Para quien verifica un documento de una marca que ya no opera, el compromiso es el mismo que para cualquier otro documento: la ficha y, mientras esté disponible, la descarga del original.

7. Límite real del nivel de firma, dicho sin adornos

Hoy la plataforma no dispone de firma electrónica con conservación garantizada a largo plazo (el nivel que permite verificar un documento diez años después aunque caduquen los certificados intermedios). Es una limitación técnica real, que está previsto resolver.

Qué significa para ti:

• Para documentos de la relación con Iberfácil —hojas de encargo, consentimientos, poderes internos, autorizaciones— el nivel disponible es adecuado y es el que usa el sector.
• Para documentos con efectos que puedan tener que sostenerse años después —una denuncia, un escrito con valor probatorio— es una limitación que conviene conocer.

8. Apoderamiento: la vía normal para que Iberfácil actúe por ti

Para actuar en tu nombre ante la Administración o los juzgados, la vía preferente no es que nos des tu certificado, sino que nos apoderes:

El apoderamiento puede nombrar a la entidad Iberfácil y, además, a profesionales concretos. Puedes revocar a uno sin revocar a los demás.

Si un organismo pide en mitad del expediente un poder de mayor rango, no es un fallo: se te avisa, se abre el trámite correspondiente con su plazo, y el expediente sigue adelante mientras se resuelve.

Limitación que hay que conocer: si revocas un poder directamente ante el organismo, el notario o el juzgado, Iberfácil no tiene forma automática de enterarse. Avísanos también a nosotros.

9. Custodia de certificados de terceros

9.1 Qué es y cuándo se usa

En casos acotados, un profesional colaborador puede depositar su certificado electrónico en la bóveda de Iberfácil para que se firme con él en trámites concretos.

No es la vía por defecto, y no debe serlo. La vía por defecto es el apoderamiento del artículo 8.

9.2 El riesgo, dicho con claridad al titular

Un certificado cualificado de firma de persona física se emite bajo el compromiso de que tú mantienes el control exclusivo de tus claves de firma. Custodiar tu certificado y firmar con él en tu nombre —aunque medie una autorización expresa que tú firmas— es una práctica extendida en el sector y jurídicamente frágil: la autorización no traslada la titularidad, y ante un incidente sigues siendo tú el responsable de una firma que no hiciste. Si además el trámite tiene efectos procesales, la exposición es mayor.

Antes de autorizar una custodia, considera las dos alternativas: el apoderamiento (artículo 8) y la firma remota en tu propio prestador, en la que conservas el control exclusivo.

9.3 Qué firmas exactamente al autorizar

La autorización de custodia es un documento separado del contrato de colaboración, que firmas con código de un solo uso, y que fija:

• Qué trámites concretos cubre la autorización. Nunca una autorización general.
• Para qué expedientes o clientes.
• Desde cuándo y hasta cuándo, con caducidad corta.
• Que puedes revocarla en cualquier momento y con efecto inmediato.

9.4 Cómo se protege tu certificado

• Vive en una bóveda aislada a la que el servidor web no tiene acceso de lectura.
• Cada certificado se cifra con una clave propia; esa clave se protege a su vez con una clave maestra que está fuera de la base de datos y fuera del alcance de la aplicación web.
• Cada operación de firma queda registrada en un histórico encadenado: qué se firmó, cuándo, quién lo pidió, en nombre de quién y bajo qué autorización. Manipular ese histórico después es detectable.
• Puedes consultar en cualquier momento todas las firmas realizadas con tu certificado.

9.5 Ciclo de vida

• Avisos de caducidad a 60, 30 y 7 días.
• Bloqueo automático al caducar: no se firma con un certificado caducado.
• Revocación inmediata a tu petición, con corte de todos los usos y notificación a ti.

10. Tu certificado cuando accedes a la plataforma

Si entras con tu certificado electrónico, no lo guardamos: solo se usa para establecer la conexión segura. Se registran el emisor, el número de serie, la huella del certificado y el resultado de la comprobación de revocación.

Consecuencia honesta: no podemos vigilar si tu certificado se revoca entre una sesión y otra. Lo comprobamos cada vez que lo usas. No prometemos una vigilancia continua que no podemos cumplir.

11. Custodia de tus documentos

La conservación de los documentos de tu expediente se regula en las condiciones de custodia documental.

12. Versiones de este documento

Cada versión publicada de este documento se archiva y queda accesible.

En caso de discrepancia entre la versión española y cualquier traducción, prevalece la versión española.