Aspectos clave que debe tener en cuenta a la hora de elegir un proveedor de servicios de sellado de tiempo cualificado
- Certificación eIDAS: compruebe que el servicio de sellado de tiempo figure en una lista oficial de confianza europea y que su certificación esté activa.
- Garantías técnicas: solicite la política de sellado de tiempo y compruebe las normas, los mecanismos criptográficos y las condiciones de sincronización temporal.
- Continuidad del servicio: examinar los compromisos de disponibilidad, los plazos de respuesta y los procedimientos de gestión de incidencias.
- Confidencialidad: identificar los datos que se transmiten efectivamente, la información que se conserva y las medidas de seguridad aplicadas.
- Permanencia de las pruebas: garantizar que los sellos de fecha y hora puedan conservarse y verificarse con independencia del proveedor, incluso al cabo de varios años.
- Condiciones comerciales: compare las cláusulas de responsabilidad, de reversibilidad, las modalidades de asistencia técnica y el coste total del servicio.
1. ¿Cómo se puede comprobar que un proveedor cuenta realmente con la certificación eIDAS?
La primera comprobación se centra en la situación normativa del proveedor y, más concretamente, en la homologación del servicio ofrecido.
El artículo 41 del Reglamento europeo eIDAS establece que un sellado de tiempo electrónico cualificado goza de una presunción de exactitud en cuanto a la fecha y la hora indicadas, así como de integridad de los datos en cuestión. Dicha presunción facilita la presentación de pruebas en caso de impugnación.
Para poder beneficiarse de estas garantías, es necesario asegurarse de que el servicio utilizado cuente efectivamente con la certificación correspondiente. La condición de proveedor de servicios de confianza certificado (PSCo) no implica que todos los servicios comercializados por dicha empresa cuenten con dicha certificación.
¿Dónde se puede comprobar la calidad del servicio?
En Francia, la ANSSI publica la lista nacional de confianza. La Comisión Europea también pone a disposición una herramienta para consultar las listas de confianza.
Permite buscar un proveedor y comprobar el tipo de servicio acreditado, así como su estado.
Aspecto que debe comprobarse: la certificación debe corresponder exactamente al servicio de sellado de tiempo previsto y estar vigente en el momento de su uso.
2. ¿Qué documentación técnica debe solicitar antes de tomar una decisión?
Un proveedor de servicios de sellado de fecha y hora acreditado debe poder documentar las condiciones en las que se presta su servicio.
La política de sellado de tiempo constituye, a este respecto, un documento de referencia. En ella se especifican, en particular, las normas aplicables a la generación de tokens de sellado de tiempo y las condiciones de funcionamiento del servicio. Asimismo, conviene examinar la declaración de prácticas del proveedor, así como las normas técnicas a las que se ajusta.
Entre los elementos que deben controlarse figuran el protocolo RFC 3161, el cumplimiento de las normas europeas aplicables, los algoritmos criptográficos utilizados y las modalidades de sincronización con el tiempo universal coordinado (UTC). Esta información permite determinar si las garantías ofrecidas se ajustan a las necesidades de la empresa, especialmente cuando esta deba presentar pruebas en el marco de una auditoría, una inspección reglamentaria o un procedimiento judicial.
Aspecto que debe comprobarse: el proveedor debe poder facilitar documentación técnica actualizada y explicar las condiciones en las que se fabrican y verifican las fichas.
3. ¿Cómo se evalúa la fiabilidad y la continuidad del servicio?
Para una empresa que utiliza el sellado de fecha y hora en sus procesos operativos, una interrupción del servicio puede tener consecuencias inmediatas: la imposibilidad de fechar determinadas operaciones, retrasos en la elaboración de documentos o una interrupción en la trazabilidad de un proceso.
Por lo tanto, la fiabilidad operativa debe ser objeto de una evaluación independiente de la cualificación reglamentaria. Se recomienda examinar los compromisos contractuales de disponibilidad, que suelen formalizarse en un SLA (Acuerdo de Nivel de Servicio). Este documento debe especificar, en particular, los compromisos de disponibilidad del servicio, las modalidades de gestión de incidencias y las posibles compensaciones contractuales.
Se debe prestar especial atención a los procedimientos de continuidad y de reanudación de la actividad.
Aspecto que debe comprobarse: ¿puede el proveedor mantener el servicio en caso de fallo técnico? ¿A qué plazos de restablecimiento se compromete?
En el caso de las empresas que generan un gran número de marcas de tiempo, también será necesario comprobar el rendimiento y la capacidad de procesamiento antes de la puesta en producción.
4. ¿Qué garantías hay que exigir en materia de confidencialidad de los datos?
El sellado de fecha y hora puede referirse a información sensible: contratos comerciales, expedientes de propiedad intelectual, documentos financieros o datos personales. Por lo tanto, conviene determinar con precisión qué información se transmite al proveedor del servicio.
El protocolo RFC 3161 permite, entre otras cosas, transmitir una huella criptográfica del documento sin revelar su contenido. Este método limita la exposición de la información confidencial.
No obstante, también deben examinarse las condiciones de tratamiento de los metadatos, los registros técnicos y la información relativa a los usuarios. La empresa debe verificar las medidas de seguridad aplicadas, los plazos de conservación de la información y, cuando se traten datos personales, las garantías previstas en el RGPD.
Aspecto que debe comprobarse: la documentación contractual debe permitir identificar los datos recopilados, su finalidad, su plazo de conservación y los posibles subcontratistas implicados.
5. ¿Cómo se puede garantizar que las pruebas sigan siendo verificables con el paso del tiempo?
La vigencia de una prueba puede superar con creces la del contrato celebrado con el proveedor.
Es posible que sea necesario presentar un token de marca de tiempo asociado a un contrato, a un documento de propiedad intelectual o a una operación financiera varios años después de su emisión. Por lo tanto, es necesario prever las condiciones para su verificación a largo plazo.
El proveedor debe permitir la recuperación de los tokens en un formato utilizable, junto con la información necesaria para comprobar su validez. La verificación se basa, en particular, en la integridad de la huella criptográfica, la validez de la firma o del sello asociado al token y los elementos que permiten determinar el estado del servicio en el momento de la emisión. La evolución de los algoritmos criptográficos también debe tenerse en cuenta en la estrategia de conservación.
Aspecto que hay que comprobar: ¿podrá la empresa verificar sus pruebas con independencia del proveedor, incluso tras la rescisión del contrato o el cese de la actividad?
Esta cuestión debe abordarse desde el momento de la elección del proveedor, especialmente cuando los documentos están sujetos a largos plazos de conservación.
6. ¿Qué cláusulas contractuales debe examinar antes de comprometerse?
La normativa regula la prestación del servicio, pero los compromisos contractuales merecen un análisis específico.
El departamento jurídico debe examinar, en particular, las cláusulas relativas a la responsabilidad del proveedor, las interrupciones del servicio, la notificación de incidencias y las condiciones de rescisión. Las condiciones de reversibilidad revisten especial importancia. La empresa debe conservar la posibilidad de recuperar sus pruebas y de cambiar de proveedor sin que ello comprometa su funcionamiento.
Asimismo, conviene verificar los compromisos relativos a la asistencia técnica, los plazos de tramitación de las solicitudes y las actualizaciones del servicio. El reparto de responsabilidades debe quedar claramente establecido, especialmente cuando el sellado de tiempo se integra en una aplicación desarrollada o gestionada por la empresa cliente.
Aspecto que debe comprobarse: el contrato debe definir con precisión las obligaciones del prestador de servicios, los límites de su responsabilidad y las condiciones de devolución de los datos al finalizar la relación comercial.
7. ¿Cómo se pueden comparar los precios de los proveedores de sellado de tiempo cualificado?
Los proveedores pueden ofrecer diferentes modelos de tarificación: facturación por crédito, tarifas anuales, créditos prepagados o tarifas decrecientes en función del volumen.
Sin embargo, el precio unitario no constituye un indicador suficiente para comparar las ofertas. Una empresa que desee aplicar un sello de fecha y hora de forma puntual a unos pocos documentos no tendrá las mismas necesidades que un desarrollador de software que integra automáticamente el sello de fecha y hora en varios miles de transacciones diarias.
La comparación debe tener en cuenta los posibles gastos de integración, los volúmenes mínimos, los costes de asistencia técnica, las funciones de verificación y las condiciones de renovación del contrato. En el caso de un uso automatizado, la disponibilidad de una API de sellado de tiempo, de una documentación clara y de un entorno de pruebas también puede influir en los costes de implementación.
Aspecto que debe comprobarse: solicitar una simulación de tarifas que se ajuste a los volúmenes realmente previstos, incluyendo los gastos recurrentes y los servicios complementarios.
Preguntas que debe plantear a un proveedor de servicios de sellado de fecha y hora cualificado antes de firmar
Para facilitar la comparación entre varias ofertas, los criterios principales pueden agruparse en una tabla de evaluación.
| Criterio | Pregunta que hay que plantear | Se espera el justificante |
|---|---|---|
| Certificación eIDAS | ¿Cuenta actualmente el servicio ofrecido con la acreditación correspondiente? | Inclusión en la Lista de confianza |
| Conformidad técnica | ¿Qué normas y políticas regulan la emisión de tokens? | Política de sellado de fecha y hora y documentación técnica |
| Disponibilidad | ¿Cuáles son sus compromisos en materia de disponibilidad y recuperación? | SLA y plan de continuidad |
| Privacidad | ¿Qué datos tratan y conservan? | Política de seguridad y cláusulas de protección de datos |
| Verificación de las pruebas | ¿Es posible verificar los tokens independientemente de su servicio? | Documentación de auditoría |
| Reversibilidad | ¿Cuáles son las condiciones de devolución y de rescisión? | Cláusulas contractuales |
| Precios | ¿Cuál es el coste total para los volúmenes previstos? | Propuesta comercial detallada |
Esta tabla puede servir de base para una consulta a los proveedores o para un proceso de selección llevado a cabo conjuntamente por los departamentos jurídico, técnico y de compras.
Elegir un proveedor de servicios de sellado de fecha y hora: una decisión jurídica y operativa
La elección de un proveedor de servicios de sellado de tiempo cualificado no debe basarse únicamente en el precio o en la existencia de una certificación eIDAS.
La fiabilidad del servicio, la confidencialidad de la información, las posibilidades de verificar las pruebas y los compromisos contractuales también determinan su relevancia para la empresa.
Una evaluación documentada permite seleccionar un proveedor cuyas garantías se ajusten a los requisitos del sistema de información y a los fines probatorios que se persiguen.
Como proveedor de servicios de confianza cualificado, Evidency ofrece un servicio de sellado de tiempo electrónico cualificado conforme a eIDAS, accesible a través de API y diseñado para integrarse directamente en los procesos documentales de las empresas. Asimismo, ponemos a su disposición un entorno de pruebas gratuito para que pueda probar nuestras soluciones antes de su integración en producción.
Exención de responsabilidad
Las opiniones, presentaciones, cifras y estimaciones que figuran en el sitio web, incluido el blog, tienen únicamente fines informativos y no deben considerarse asesoramiento jurídico. Para obtener asesoramiento jurídico, debe ponerse en contacto con un profesional del derecho en su jurisdicción.
Queda prohibida la utilización del contenido de esta página web, incluido el blog, con fines comerciales, incluida la reventa, sin el permiso previo de Evidency. La solicitud de permiso debe especificar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede citarse o reimprimirse libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.
