Program do podpisu elektronicznego: jaka aplikacja do podpisu elektronicznego i platforma do podpisywania dokumentów

Pod hasłem „aplikacja do podpisu elektronicznego” kryją się narzędzia, które robią zupełnie różne rzeczy. Zanim cokolwiek zainstalujesz, warto ustalić, do której kategorii należy to, czego szukasz, bo pomyłka kosztuje zwykle kilkaset złotych i sporo czasu.

Najczęstsze nieporozumienie polega na tym, że pierwsze trzy kategorie służą do podpisania dokumentu przez Ciebie. Żadna z nich nie wyśle pliku kontrahentowi, nie przypomni mu o podpisie i nie zapisze, kto i kiedy go złożył. To robi dopiero czwarta kategoria. Jeżeli Twój problem brzmi „muszę zebrać podpis od drugiej strony”, aplikacja instalowana na komputerze nie jest odpowiedzią, niezależnie od tego, jak dobra jest sama w sobie.

Certyfikat kwalifikowany może wystawić wyłącznie podmiot wpisany do rejestru kwalifikowanych dostawców usług zaufania, prowadzonego przez Narodowe Centrum Certyfikacji przy NBP. To nie jest formalność: właśnie ten wpis sprawia, że podpis złożony takim certyfikatem ma w całej Unii Europejskiej skutek podpisu własnoręcznego. Program, który dostajesz do podpisywania, jest w tym układzie dodatkiem do certyfikatu, a nie produktem samym w sobie.

Kwalifikowane certyfikaty podpisu wydają w Polsce między innymi KIR (marka mSzafir), Certum należące do grupy Asseco (SimplySign), Polska Wytwórnia Papierów Wartościowych (Sigillum), CenCert, EuroCert oraz Poczta Polska. Każdy z nich udostępnia własną aplikację do składania podpisu: Szafir do certyfikatów KIR, proCertum SmartSign do Certum, Sigillum Sign do PWPW. Aplikacje są zwykle bezpłatne, płacisz za certyfikat i za jego odnowienie.

Osobny przypadek to Autenti, które również figuruje w rejestrze NCCert, ale sama usługa składania podpisu na platformie Autenti została wpisana jako niekwalifikowana usługa zaufania. Podpis kwalifikowany Autenti sprzedaje pod nazwą "Autenti by InfoCert", w oparciu o certyfikaty włoskiego dostawcy zaufania InfoCert. Certyfikat jest w pełni ważny w Polsce, bo eIDAS działa w całej Unii, ale wystawcą nie jest polski podmiot. Warto o tym wiedzieć, jeśli porównujesz dostawców pod kątem tego, kto faktycznie odpowiada za certyfikat.

Zakup wygląda podobnie u każdego dostawcy. Zamawiasz zestaw, przechodzisz weryfikację tożsamości (wideoweryfikacja, kurier z umową albo wizyta w punkcie potwierdzania), a potem aktywujesz certyfikat na karcie kryptograficznej lub w chmurze. Cały proces zajmuje od kilkunastu minut przy wideoweryfikacji do kilku dni roboczych przy kurierze. Certyfikat wystawiany jest na konkretną osobę fizyczną i wygasa, zwykle po roku lub dwóch latach, więc trzeba pilnować odnowienia.

Ten model rozwiązuje jeden problem: Ty możesz podpisać dokument w sposób równoważny podpisowi odręcznemu. Nie rozwiązuje problemu odwrotnego, czyli zebrania podpisu od kogoś, kto certyfikatu nie ma i nie zamierza kupować.

Druga rodzina narzędzi zaczyna od innego pytania: nie "czym podpiszę", tylko "jak sprawić, żeby druga strona odesłała podpisany dokument tego samego dnia". Wgrywasz PDF, wpisujesz adresy e-mail sygnatariuszy, a każdy z nich dostaje własny link i podpisuje w przeglądarce. Standardem jest tu podpis zwykły (SES) wzmocniony śladem audytowym, czyli zapisem tożsamości, adresu e-mail, adresu IP, znacznika czasu, metody uwierzytelnienia i skrótu kryptograficznego dokumentu.

Autenti to najbardziej rozpoznawalna polska platforma tego typu. Obok podpisu zwykłego udostępnia podpis kwalifikowany na certyfikatach InfoCert oraz weryfikację tożsamości sygnatariusza. Rozlicza się abonamentem, a w planach miesięcznych obowiązuje limit wysyłanych dokumentów. Szczegółowe zestawienie z aktualnymi stawkami opisaliśmy na stronie o tym, czym różni się od naszego narzędzia alternatywa dla Autenti.

DocuSign jest rozwiązaniem globalnym, z bardzo szerokim zestawem integracji i obsługą wielu jurysdykcji naraz. W podstawowej wersji składa podpis zwykły, a podpis zaawansowany i kwalifikowany są osobno płatnymi opcjami. Do obrotu krajowego bywa nadmiarowy, a anglojęzyczna wiadomość z prośbą o podpis potrafi wzbudzić nieufność kontrahenta. Rozpisaliśmy to w artykule o tym, czy DocuSign jest ważny w Polsce.

podpiszmy.pl celowo robi jedną rzecz: pozwala wysłać dokument i odebrać go podpisany, z Kartą Podpisów w finalnym PDF. Nie oferujemy podpisu kwalifikowanego i nie udajemy, że go zastępujemy. Jeśli musisz podpisać umowę o pracę albo przenieść autorskie prawa majątkowe, potrzebujesz certyfikatu od kwalifikowanego dostawcy zaufania, a nie naszej platformy.

Do tej samej półki należy Adobe Acrobat Sign, czyli płatny moduł podpisu w ekosystemie Adobe. Bywa mylony z bezpłatnym Adobe Acrobat Reader, który podpisu od drugiej strony nie zbierze. Różnice opisaliśmy na stronie o tym, czym jest podpis elektroniczny w Adobe Reader, Acrobat i Adobe Sign.

Profil Zaufany bywa podawany jako bezpłatny program do podpisu elektronicznego i w kontaktach z administracją rzeczywiście nim jest. Podpiszesz nim wniosek w urzędzie, pismo do ZUS, deklarację czy sprawozdanie, bez żadnej opłaty i bez certyfikatu. Wymaga jednak numeru PESEL, więc kontrahent zagraniczny odpada z definicji.

W obrocie prywatnym pojawiają się dwa ograniczenia, o których łatwo zapomnieć. Po pierwsze, podpis zaufany nie jest podpisem kwalifikowanym i nie zastępuje formy pisemnej poza sprawami urzędowymi, dla których przepis szczególny wprost go dopuszcza. Po drugie, jest niewygodny operacyjnie: obie strony muszą przejść przez portal gov.pl, pobrać plik, podpisać go osobno i wymienić się wersjami, a plik XML z podpisem otoczonym trzeba potem weryfikować w osobnym narzędziu. Przy jednej umowie to do przeżycia, przy dziesięciu miesięcznie przestaje się bronić.

Porównanie obu ścieżek rozpisaliśmy w artykule o tym, czym różni się podpis elektroniczny od Profilu Zaufanego.

Format pliku wpływa na wybór narzędzia bardziej, niż się wydaje. Umowy, oferty i protokoły krążą jako PDF i tu obsługę ma praktycznie każde narzędzie: podpis osadza się w samym dokumencie (PAdES), więc odbiorca dostaje jeden plik i nie musi niczego składać.

Inaczej wygląda podpisywanie plików XML, czyli sprawozdań finansowych, JPK czy dokumentów wysyłanych do systemów urzędowych. Tu obowiązuje standard XAdES, a podpis bywa zapisywany w osobnym pliku z rozszerzeniem .xades albo .xml, który trzeba przesłać razem z dokumentem. Do tego potrzebujesz aplikacji swojego dostawcy certyfikatu, na przykład Szafira albo proCertum SmartSign, bo platformy internetowe do zbierania podpisów zwykle obsługują wyłącznie PDF.

Praktyczna zasada: jeśli plik idzie do urzędu, sądu lub systemu sprawozdawczego, potrzebujesz aplikacji od dostawcy certyfikatu. Jeśli dokument idzie do kontrahenta, potrzebujesz platformy. To rozróżnienie oszczędza najwięcej czasu przy wyborze.

Jeśli twoje dokumenty to po prostu umowy w PDF, wystarczy narzędzie, w którym wgrywasz plik i zbierasz podpisy stron. Jak to wygląda krok po kroku, opisujemy na stronie podpis elektroniczny PDF.

Zamiast porównywać funkcje z tabelek, odpowiedz po kolei na cztery pytania. Zwykle rozstrzygają sprawę w kilka minut.

1. Kto ma złożyć podpis? Jeśli Ty, w grę wchodzi certyfikat. Jeśli druga strona, potrzebujesz platformy z podpisywaniem przez link, bo nie zmusisz kontrahenta do zakupu certyfikatu.

2. Czy przepis żąda formy pisemnej? Formy pisemnej pod rygorem nieważności wymagają między innymi umowa o pracę, przeniesienie autorskich praw majątkowych, licencja wyłączna i zakaz konkurencji. Tam wystarczy wyłącznie podpis kwalifikowany. Umowa B2B, zlecenie, NDA, zamówienie, protokół odbioru czy umowa powierzenia przetwarzania danych nie mają takiego wymogu, więc podpis zwykły ze śladem audytowym jest w pełni wystarczający.

3. Jaki masz wolumen? Przy kilku dokumentach miesięcznie decyduje koszt jednego podpisu, a nie cena abonamentu z nagłówka. Policz go: abonament podzielony przez liczbę realnie wysyłanych dokumentów potrafi dać kwotę kilkukrotnie wyższą niż cena widoczna w cenniku.

4. Co się stanie, gdy zrezygnujesz z usługi? Sprawdź, czy podpisany PDF wraz z raportem z podpisu zostaje u Ciebie i broni się bez dostępu do konta. Jeśli dowód podpisania istnieje tylko w panelu dostawcy, po zakończeniu abonamentu zostajesz z plikiem bez dowodu. U nas raport jest wpięty w finalny PDF jako Karta Podpisów, więc dokument jest samodzielny.

Jeśli po tych czterech pytaniach wychodzi Ci podpis zwykły, a dokumenty podpisują kontrahenci, sprawdź, jak działa podpisywanie umów online albo strona o podpisie elektronicznym dla firm. Jeżeli wychodzi podpis kwalifikowany, kup certyfikat u jednego z dostawców z rejestru NCCert. Obie odpowiedzi są poprawne, tylko dla różnych dokumentów.