Producto
Seguridad y cumplimiento
Sí: un documento firmado con DocuAgree es legalmente vinculante en Estados Unidos, conforme a la Ley ESIGN federal y a la UETA a nivel estatal. Ambas leyes exigen los mismos elementos básicos: la intención clara del firmante de firmar, su consentimiento para firmar electrónicamente, una forma confiable de atribuirle la firma y un registro que no se pueda alterar en silencio después. Cada uno de esos elementos viene integrado de forma predeterminada en el proceso de firma de DocuAgree; no se vende como una mejora aparte.
Cómo se implementa el cumplimiento en la práctica
Cuando un tribunal evalúa si una firma electrónica es exigible, por lo general busca cuatro cosas, y cada una está integrada automáticamente en el proceso de firma:
- Intención de firmar. El firmante dibuja o escribe su firma y realiza una acción específica de "adoptar y firmar", separada del paso final de "completar la firma"; nunca es una firma que se aplique por adelantado o de forma predeterminada en su nombre.
- Consentimiento para firmar electrónicamente. Cada firmante ve una divulgación explícita de consentimiento ESIGN/UETA antes de ver el documento, y tiene que aceptarla expresamente antes de firmar.
- Atribución. El correo electrónico, la dirección IP, el dispositivo o agente de usuario y las marcas de tiempo exactas de cada firmante se registran en el servidor en el momento del consentimiento y de nuevo en el momento de la firma; nunca se confía en lo que envía el navegador del firmante, y eso es lo que hace que esta evidencia sea difícil de falsificar después.
- Integridad del registro. En el instante en que se aplica la última firma, se calcula un hash SHA-256 del documento completado. Si se vuelve a calcular más adelante, cualquier cambio, aunque sea de un solo carácter, produce un valor distinto; así es como se detectaría una alteración.
Todo esto se reúne en un certificado de finalización que se adjunta a cada documento firmado: el historial completo de eventos (enviado, visto, consentido, firmado y desde dónde), los datos de atribución de cada firmante y el hash del documento. Tanto el remitente como cada firmante lo conservan y pueden descargarlo por su cuenta. Consulta nuestra guía sobre qué hace que una firma electrónica sea válida ante un tribunal para conocer el razonamiento legal detrás de cada elemento.
Prácticas de seguridad
Descritas con precisión, sin presumir de una certificación que DocuAgree no tiene:
- Todo el tráfico está cifrado en tránsito: solo HTTPS, en todas partes. Nunca se sirve HTTP sin cifrar.
- Cada enlace de firma es un token de un solo uso, aleatorio y criptográficamente seguro (256 bits de entropía, nunca derivado de algo que se pueda adivinar, como un correo o una marca de tiempo), limitado a un solo firmante y un solo documento: no se puede reutilizar para otro firmante ni para otro documento, y se revoca en cuanto deja de ser necesario.
- Las contraseñas se protegen con hash bcrypt: nunca se guardan en texto plano ni en un formato reversible. Los enlaces de inicio de sesión son de un solo uso y vencen a los 30 minutos.
- Cada acción sobre un documento queda registrada (enviado, visto, consentido, firmado, descargado) y forma el historial de eventos que pasa a ser parte del certificado de finalización.
- Un documento firmado no se puede alterar después. Una vez que todos los firmantes terminan, el documento y sus campos quedan bloqueados: nadie puede editarlos, ni siquiera el propio equipo de DocuAgree a través del producto normal.
- Protección contra CSRF en cada solicitud que modifica datos, y límites de frecuencia en cada punto de acceso que usan los firmantes para frenar el abuso automatizado.
- La dirección IP del registro de auditoría nunca la proporciona el cliente: se lee de la conexión directa, no de un encabezado que el navegador del firmante pudiera establecer por su cuenta, así que no se puede falsificar en un registro legal.
- La facturación se procesa a través de Stripe. Los datos de la tarjeta nunca pasan por los servidores de DocuAgree, y la firma de cada evento de webhook se verifica antes de confiar en él.
- El acceso a la base de datos está restringido a la propia aplicación: es un refuerzo del control de acceso, no cifrado en reposo, y aquí no se describe como algo más que eso.
Con la misma franqueza sobre lo que todavía no es cierto: DocuAgree no tiene certificación SOC 2, ISO 27001, HIPAA ni GDPR. Tampoco hay hoy un proceso de copias de seguridad automático y programado: las instantáneas de la base de datos se toman a mano antes de cualquier cambio de esquema, no de forma periódica. Si un requisito de cumplimiento específico o una garantía de copias de seguridad es importante para tu caso, pregúntanos antes de depender de ello: hi@docuagree.com.
Lo que ven los firmantes
Si llegaste aquí después de recibir una notificación de firma y no conocías DocuAgree: el correo debe mostrar el nombre real del remitente, el título real del documento y un enlace que vaya visiblemente a docuagree.com, nunca una URL acortada o disfrazada. Al abrirlo verás el documento y una divulgación de consentimiento clara antes de que se te pida cualquier cosa; nada se firma, se envía ni se comparte hasta que aceptes y firmes de forma activa. Nunca se te pedirá una contraseña para ver o firmar un documento que alguien te envió: solo el remitente necesita una cuenta.
Lo que esto no cubre
Esta página describe las prácticas de ingeniería propias de DocuAgree, no un programa de cumplimiento auditado por terceros. No hay un complemento de notarización ni de verificación de identidad para firmas que exigen un nivel más alto que la atribución estándar de una firma electrónica; si eso es un requisito indispensable, escríbenos y vemos juntos si DocuAgree realmente te conviene.
Consulta la Política de privacidad para saber qué datos se recopilan y cómo se usan, y los Términos del servicio para conocer las condiciones legales de uso de DocuAgree. ¿Tienes preguntas sobre un requisito específico de seguridad o cumplimiento? Escribe a hi@docuagree.com.