Podpis złożony w aplikacji Odoo Sign to nie tylko obrazek z odręcznym parafem wstawiony w PDF. Do każdego podpisanego dokumentu Odoo dołącza zestaw danych, które pozwalają ustalić, kto podpisał, kiedy, z jakiego miejsca i czy treść nie została później zmieniona. To właśnie o te dane pyta zwykle radca prawny, zanim uzna e-podpis za wystarczający dla danej umowy.
Gdzie znaleźć dane o podpisie
Po podpisaniu dokumentu przez wszystkie strony Odoo generuje dokument końcowy. Dane o podpisach są dostępne w dwóch miejscach:
- Certyfikat podpisu – dodatkowa strona (lub strony) dołączona na końcu podpisanego PDF. Każda strona otrzymuje ją razem z dokumentem w wiadomości e-mail.
- Historia aktywności – w Odoo: Podpis → Dokumenty → [dokument] → Historia aktywności (przycisk dostępny na formularzu żądania podpisu).
[strona certyfikatu na końcu podpisanego PDF]
Dane o każdym sygnatariuszu
Certyfikat zawiera dla każdej osoby podpisującej:
- Imię i nazwisko oraz adres e-mail – dane kontaktu, do którego wysłano żądanie podpisu.
- Rola – np. Klient, Pracownik, Świadek, zgodnie z szablonem dokumentu.
- Obraz podpisu – narysowany, wpisany z klawiatury albo wgrany z pliku.
- Data i godzina podpisu – zapisywane w UTC, co eliminuje wątpliwości związane ze strefami czasowymi.
- Adres IP urządzenia, z którego złożono podpis.
- Geolokalizacja – szerokość i długość geograficzna, jeśli przeglądarka sygnatariusza udostępniła lokalizację. Brak zgody na lokalizację nie blokuje podpisu, ale wtedy tej informacji w certyfikacie nie będzie.
- Metoda uwierzytelnienia – sposób, w jaki potwierdzono tożsamość sygnatariusza (zob. niżej).
Historia zdarzeń – od wysyłki do podpisu
Historia aktywności rejestruje każde zdarzenie związane z dokumentem: utworzenie żądania, wysłanie, otwarcie dokumentu przez sygnatariusza, podpisanie, odmowę podpisu, anulowanie, zmianę adresu e-mail odbiorcy. Każdy wpis zawiera datę, osobę, adres IP i – jeśli dostępna – lokalizację.
Dla prawnika ma to znaczenie praktyczne. Można wykazać, że sygnatariusz otworzył dokument przed podpisaniem, ile czasu minęło między otwarciem a podpisem oraz czy po drodze zmieniano adresata.
Integralność dokumentu i łańcuch skrótów
Każdy wpis w historii aktywności ma własny skrót kryptograficzny (SHA-256). Skrót jest liczony z danych zdarzenia oraz ze skrótu wpisu poprzedniego. Powstaje łańcuch, w którym zmiana jednego elementu – treści dokumentu, daty czy danych sygnatariusza – przerywa zgodność wszystkich kolejnych wpisów.
W praktyce oznacza to, że:
- Nie da się „po cichu" podmienić podpisanego PDF albo przestawić daty podpisu w bazie danych.
- Odoo potrafi samodzielnie sprawdzić spójność łańcucha i wyświetlić informację, czy historia dokumentu jest nienaruszona.
- Skrót można wskazać w sporze jako punkt odniesienia dla biegłego informatyka.
Metody uwierzytelnienia sygnatariusza
Domyślnie tożsamość potwierdza unikalny link z tokenem wysłany na adres e-mail sygnatariusza. Dowodzi to dostępu do skrzynki, a nie tożsamości osoby. Dlatego dla dokumentów o większej wadze warto włączyć dodatkową weryfikację w szablonie lub roli:
- Weryfikacja SMS – kod jednorazowy wysłany na numer telefonu sygnatariusza (usługa płatna kredytami IAP Odoo). Numer telefonu trafia do certyfikatu.
- itsme® – weryfikacja tożsamości przez aplikację bankową, dostępna dla wybranych krajów (Belgia, Holandia). W Polsce nie ma obecnie odpowiednika wbudowanego w Odoo.
Wybrana metoda jest zapisana w certyfikacie. Im mocniejsze uwierzytelnienie, tym łatwiej przypisać oświadczenie woli konkretnej osobie.
Jaką moc prawną ma podpis z Odoo Sign
Uwaga: poniższe zestawienie ma charakter informacyjny i nie stanowi porady prawnej. Ocena konkretnej umowy należy do radcy prawnego.
W rozumieniu rozporządzenia eIDAS (UE nr 910/2014) podpis z Odoo Sign jest podpisem elektronicznym (tzw. zwykłym). Zgodnie z art. 25 ust. 1 eIDAS nie można odmówić mu skutku prawnego ani dopuszczalności jako dowodu tylko dlatego, że ma postać elektroniczną.
Na gruncie polskiego prawa wynikają z tego dwie praktyczne zasady:
- Forma dokumentowa (art. 77² KC) – podpis z Odoo Sign ją spełnia. Wystarcza dla większości umów handlowych, zamówień, protokołów odbioru, akceptacji ofert czy regulaminów.
- Forma pisemna (art. 78 KC) – jej elektronicznym odpowiednikiem jest wyłącznie kwalifikowany podpis elektroniczny (art. 78¹ KC). Odoo Sign go nie zastępuje. Gdy przepis wymaga formy pisemnej pod rygorem nieważności – np. przy przeniesieniu autorskich praw majątkowych czy poręczeniu – potrzebny jest podpis kwalifikowany albo papier.
Tam, gdzie forma pisemna jest zastrzeżona tylko dla celów dowodowych, dane z certyfikatu i historii aktywności stanowią materiał dowodowy, który sąd ocenia swobodnie.
Zakończenie
Wartość podpisu w Odoo Sign nie leży w samym parafie, tylko w danych, które mu towarzyszą: tożsamości, czasie UTC, adresie IP, historii zdarzeń i łańcuchu skrótów. Przy wdrożeniu warto ustalić z prawnikiem klienta, które typy dokumentów wymagają weryfikacji SMS, a które – podpisu kwalifikowanego poza Odoo.