Enviar un documento a firma: el proceso, no el derecho

Lo que envías es un sobre, no un documento

La unidad con la que trabaja un servicio de firma electrónica no es el fichero. Es un sobre: uno o varios documentos, una lista de destinatarios, un rol para cada uno, un conjunto de campos ligados a tal destinatario en tal página, un orden de solicitud y un ciclo de vida: creado, enviado, entregado, visto, parcialmente firmado, completado, rechazado, anulado o caducado. Casi todo lo que se describe como «la firma no funcionó» es un sobre detenido en uno de esos estados, y saber en cuál te dice qué hacer mucho antes que reabrir el documento.

La consecuencia para la preparación es inmediata: monta todo primero. Une los anexos, arregla el orden de páginas, comprueba que ninguna está del revés, y luego crea el sobre. Todo cambio posterior cuesta un reinicio completo, porque una firma se liga al documento tal como estaba al firmarse y una versión nueva es un documento nuevo. El hábito que conviene construir es el contrario del de la mayoría de los equipos: en vez de enviar un borrador y remendarlo, dedica diez minutos más a montarlo y envía una sola vez.

El orden de firma es una decisión de negocio, no un ajuste

El enrutado secuencial pide a un destinatario cada vez y solo libera el documento al siguiente cuando el anterior ha terminado. Úsalo cuando una firma dependa de verdad de otra: un aprobador interno que debe ver los términos finales antes que la contraparte, un avalista que solo firma si el prestatario firmó, una contrafirma que cierra el trato. Su coste es que toda la cadena espera al más lento, y una sola persona de vacaciones lo detiene todo sin error visible.

El enrutado paralelo pide a todos a la vez y se completa cuando termina el último. Es más rápido y es el valor por defecto correcto para un documento que varias personas firman en la misma calidad: un acuerdo del consejo, un acuse de recibo de una política, un contrato marco multiparte donde los términos de unos no dependen de los otros. Su modo de fallo es distinto y peor de gestionar: la finalización parcial. Tres firmas de cuatro con la cuarta callada te dejan con un documento que no es un acuerdo, que algunos firmantes creen cerrado, y que habrá que volver a firmar entre los cuatro si los términos cambian. Pon caducidad, programa recordatorios y sabe antes de enviar quién será probablemente el cuarto.

Una consecuencia del orden se pasa por alto a menudo: en la mayoría de los sistemas contractuales el acuerdo se forma cuando la última parte acepta, de modo que quien firma el último fija la fecha en que el contrato existe. Si de ella dependen una fecha de inicio, un preaviso o un ejercicio contable, pon en último lugar a la parte a la que puedas perseguir, y no dejes nunca la firma de cierre en manos de la persona más difícil de localizar. Y no dejes que los firmantes escriban a mano una fecha junto a su marca. La pista de auditoría ya tiene una hora que hace fe; una fecha tecleada que la contradiga crea una contradicción en tu propia prueba sin beneficio alguno.

La prueba es la pista de auditoría, no la marca

Una firma dibujada o tecleada es una imagen. Cualquiera puede producir una que se parezca a la de otro, lo que significa que la imagen no prueba nada por sí sola, y que el valor de un servicio de firma electrónica no es dibujar garabatos más bonitos sino registrar cómo llegó allí el garabato. Ese registro —certificado de finalización, pista de auditoría, registro de eventos, los nombres varían— suele contener el identificador del sobre, la dirección de cada destinatario, la hora de envío de la solicitud, la de entrega, la de apertura, la dirección desde la que se abrió, la autenticación usada, el consentimiento a contratar por vía electrónica, el momento en que se rellenó cada campo, y una huella del documento en el momento del sellado.

No es un lujo de ingeniería, es exactamente lo que el derecho pregunta. El artículo 1366 del Código civil francés da al escrito electrónico la misma fuerza probatoria que al papel con dos condiciones: que pueda identificarse debidamente a la persona de la que emana, y que se establezca y conserve en condiciones que garanticen su integridad. Identificación e integridad son propiedades del proceso, no del dibujo. A escala europea la misma lógica aparece en las presunciones de los servicios cualificados: según el Reglamento eIDAS, un sello de tiempo electrónico cualificado goza de presunción de exactitud de la fecha y la hora y de integridad de los datos vinculados, y un servicio cualificado de entrega electrónica certificada goza de presunción de integridad de los datos, de envío por el remitente identificado y de recepción por el destinatario identificado. Cada una es un hecho sobre un proceso.

En la práctica, esto significa tres cosas. Conserva el certificado, no solo el fichero firmado: un documento sellado sin su pista es una foto de un acuerdo. Conserva una huella del fichero que puedas recalcular: un hash guardado aparte te permite demostrar años después que la copia de tu archivo es la que se firmó. Y prefiere una autenticación que deje un rastro controlado por un tercero: un código enviado a un teléfono, una comprobación de identidad, un inicio de sesión, cualquier cosa más fuerte que un enlace llegado por correo. El enlace solo prueba que firmó quien tenía acceso a ese buzón, afirmación más débil de lo que parece y la que atacará cualquier litigio.

Cuando el firmante no es la parte: sociedades y delegación

Una sociedad no firma nada. Una persona física firma por su cuenta, y que la sociedad quede obligada depende del poder de representación de esa persona, cuestión de derecho societario y de registro, nunca algo que verifique la plataforma de firma. La plataforma dejará tan campante que cualquiera con un buzón firme en nombre de quien sea, y registrará fielmente que lo hizo.

El derecho alemán vuelve concreta la trampa. Según el parágrafo 35 de la ley de sociedades de responsabilidad limitada, la sociedad está representada judicial y extrajudicialmente por sus administradores, y si se nombran varios solo están facultados para representarla conjuntamente salvo que los estatutos dispongan otra cosa. Un sobre construido con un único bloque de firma para una sociedad alemana con dos administradores y sin cláusula de representación individual produce un documento firmado que no obliga. En sentido contrario, el parágrafo 49 del código de comercio da al apoderado facultad para todos los actos judiciales y extrajudiciales que comporta la explotación de un comercio, y el parágrafo 50 hace inoponibles a terceros las limitaciones internas de ese poder: tu matriz interna de aprobaciones no existe para la contraparte. Consulta el extracto registral antes de montar la lista de destinatarios, y haz constar la calidad en el propio bloque de firma.

La delegación merece su propio tratamiento. La mayoría de los servicios permiten que un destinatario reasigne la solicitud, y bien usado es una función: la pista registra a quién se invitó, quién reasignó, cuándo, y quién firmó al final, lo que mantiene la cadena visible. Mal usado se convierte en la forma más común de destruir una pista de auditoría: el destinatario reenvía el correo sin más y otro firma con un enlace dirigido a una persona que jamás tocó el documento. Activa la reasignación para que se use el mecanismo que se registra a sí mismo, y desactiva, si tu servicio lo permite, la posibilidad de firmar desde un enlace abierto por una dirección distinta de la invitada.

Cuando el documento cambia después de que alguien haya firmado

Es la situación que todo flujo de firma acaba encontrando, y la respuesta equivocada es tentadora: cambiar el fichero y dejar la firma existente. No lo hagas. Una firma responde a una pregunta sobre un documento concreto, y quien firmó la respondió sobre la versión que leyó. Si la firma era criptográfica, sustituir los bytes la rompe y todo el mundo verá que está rota. Si era solo una imagen dibujada —el caso corriente— nada se rompe, nada parece mal, y has producido calladamente un documento que parece firmado por alguien que nunca lo aceptó. Nuestro artículo sobre los tres niveles eIDAS trata de qué es jurídicamente esa imagen; aquí basta con que no pruebe el acuerdo sobre un texto que el firmante nunca vio.

Hay dos vías limpias y se elige por esfuerzo, no por principio. Anular el sobre y reemitirlo: marca el antiguo como anulado para que la pista muestre una cancelación deliberada y no un documento abandonado, crea un sobre nuevo con el fichero corregido y vuelve a recoger todas las firmas, incluidas las que ya tenías, porque se dieron sobre otro texto. O dejar en pie el documento firmado y firmar un anexo que identifique el original por su título y fecha y diga qué cambia. La segunda es más rápida y es lo que se hace de verdad cuando una cláusula se mueve tras firmar once de doce partes. La primera se impone cuando el cambio toca los términos en los que se apoyaron los primeros firmantes.

Seis modos de fallo, y qué arregla cada uno

Campos colocados por coordenadas. Un bloque de firma soltado en un punto fijo de la página siete se queda ahí cuando el contrato se regenera con un preámbulo más largo, y aterriza en medio de un párrafo o directamente en otra página. Usa anclas de texto —una cadena invisible en el documento a la que el campo se engancha— para que el bloque siga a su cláusula. El mismo problema llega por la fusión: añade un anexo de dos páginas antes de la página de firmas y todas las coordenadas posteriores están mal. Monta primero, coloca campos después.

La solicitud que nunca llega. Enviado no es entregado: los filtros ponen en cuarentena el correo con enlaces, las pasarelas corporativas los reescriben, una dirección compartida o de rol lo deja en una cola que nadie posee, una respuesta de ausencia lo rebota. Vigila el evento de entrega, no el de envío, y si no aparece en un día, reenvía a una segunda dirección en lugar de esperar. Evita por completo las direcciones de rol para los firmantes: no se identifica a una persona desde un buzón que leen diez. Los enlaces caducados son de la misma familia: sobres y enlaces tienen vida limitada, y un firmante que vuelve de vacaciones encuentra una página muerta y a menudo concluye que todo se canceló. Ajusta la caducidad al plazo real más un margen, y manda un recordatorio antes, no después.

El sobre atascado en «visto». Alguien lo abrió, firmó la página que veía y nunca llegó a la rúbrica de la página cuatro ni al último campo obligatorio bajo el pliegue en un móvil. El estado se queda en visto o en curso, todos suponen que está hecho, y el documento reaparece sin firmar tres semanas después. Reduce los campos obligatorios al mínimo que el documento necesite de verdad, previsualiza el sobre en pantalla pequeña antes de enviar, y trata a un destinatario que ha visto pero no completado en un día como alguien que necesita una llamada y no un tercer recordatorio. Y comprueba los husos horarios una vez: las pistas de auditoría suelen llevarse en una hora de referencia única, así que un evento sellado a las 23:40 puede ser la mañana siguiente donde estaba el firmante, una discrepancia que en un litigio parece fraude y no es más que una convención de visualización.

Preguntas frecuentes

Enrutado secuencial o paralelo: ¿cuál por defecto?

Paralelo por defecto, secuencial cuando hay una dependencia real. Hazte una pregunta: ¿alguien de la lista necesita ver lo que hizo otro antes de decidir? Un aprobador interno que debe comprobar el precio final, sí; un avalista que solo firma tras el prestatario, sí; una contraparte que exige firmar la última, sí. A todos los demás se les puede pedir a la vez, y hacerlo quita días al ciclo. El híbrido que funciona en la práctica es un flujo en dos tiempos: todo lo interno en paralelo, luego la contraparte, luego la contrafirma: tres etapas en vez de seis, solo con las dependencias reales.

Alguien me dice que firmó pero el sobre sigue abierto. ¿Qué ha pasado?

Casi siempre un campo sin rellenar o un botón final sin pulsar. El firmante dibujó su firma, creyó que ese era el acto, y nunca bajó hasta una rúbrica de una página posterior ni pulsó «finalizar»: en un móvil la confirmación queda a menudo bajo el pliegue. Abre la vista de detalle del sobre en vez del resumen: lista los campos obligatorios de cada destinatario y cuáles siguen vacíos, y eso te dice exactamente qué pedir. Otras dos explicaciones cubren casi todo lo demás: la persona firmó otro sobre, normalmente una versión anterior que creías anulada; o firmó una copia del fichero que le llegó por otra vía, como adjunto, lo que produce un documento firmado que tu flujo no verá jamás. Pídele que te envíe lo que firmó antes de dar por fallada la herramienta.

¿Puedo añadir una página después de que una parte ya haya firmado?

Al documento firmado, no. Contenga lo que contenga, añadirla produce un documento distinto del que la primera parte aceptó, y que la firma siga viéndose bien es una propiedad de las imágenes, no un permiso. Dos vías legítimas: anular el sobre, reconstruirlo con la página extra y recoger todas las firmas otra vez; o dejar intacto el documento firmado y firmar un anexo aparte que nombre el original por título y fecha, diga qué añade y lo firmen todos. Usa la segunda cuando lo añadido sea de verdad adicional —una tarifa, una lista de contactos— y la primera cuando cambie algo en lo que se apoyó el primer firmante. Elijas lo que elijas, conserva el sobre anulado: una pista que muestra una cancelación deliberada y una reemisión limpia es mucha mejor prueba que un hueco.

Un destinatario reenvió su enlace y firmó un compañero. ¿Es un problema?

Sí, y el problema es probatorio, no moral. Toda la pista dice ahora que la persona invitada lo hizo todo —abrir, autenticarse, firmar— cuando lo hizo otra. Lo único que el registro estaba para establecer, que esta firma proviene de este individuo, es justo lo que ahora es falso, y la contraparte no tiene forma de saberlo. Corrígelo hacia adelante: anula el sobre y reemítelo a quien firma de verdad, usando la función de reasignación si el servicio la tiene, porque deja un evento de delegación en la pista en vez de una sustitución silenciosa. Corrígelo estructuralmente no invitando nunca buzones compartidos y activando un paso de autenticación que el titular del buzón no pueda traspasar, como un código enviado a un número que tú tienes.

¿Qué conservo una vez firmado el documento?

Tres piezas, en el mismo sitio, nombradas de modo que se vea que son un conjunto. El documento final sellado. El certificado de finalización o pista de auditoría, que es la prueba de que el documento es lo que dice ser. Y una huella del fichero: un hash que calculas tú y guardas aparte, para poder demostrar años después que la copia archivada es byte a byte la que se firmó y no un descendiente regrabado, recomprimido o anotado. Esa tercera pieza cuesta un minuto y es la que nunca se tiene cuando importa. En cuanto al plazo, la conservación sigue a la obligación de fondo y no a la firma: un contrato mercantil, un expediente laboral y un documento con relevancia fiscal tienen plazos distintos, y lo prudente es guardar el conjunto mientras siga siendo posible una reclamación basada en él.