O webinar da LegalSign já está no YouTube. Meia hora longa (32:16). José Ramón, gerente da Data Analysis Consultores, mostrou a assinatura eletrónica avançada sobre o Odoo Sign, na Community e na Enterprise. Albert e Uriol moderaram. A Contaldia utiliza-a há dois ou três meses: é enviada como qualquer outro documento.
Se o PDF tiver de resistir num tribunal, a assinatura nativa do Odoo fica aquém. A LegalSign acrescenta identificação unívoca, hashes e um terceiro de confiança. O selo não é aposto pelo Odoo.
o vídeo completo
sessão com demonstração Enterprise
relatório de evidências
hashes, dispositivo, protocolo
limite de validade remota
o terceiro não admite mais
O que cobre a LegalSign
José Ramón é partner Odoo. Implementam há mais de dez anos. Apresenta a assinatura nativa do Odoo (Community e Enterprise) como insuficiente em evidências jurídicas. A LegalSign cobre a assinatura avançada eIDAS, com terceiros de confiança. Não implementam a qualificada: exige certificados qualificados e dispositivos especiais no signatário.
Três pilares. Identificação unívoca: correio eletrónico, SMS e posicionamento. Rastreabilidade criptográfica com hashes; as chaves ficam sob protocolo notarial e não são entregues, salvo a perito judicial. Selo temporal. O Odoo não gere essas plataformas.
Objetivo da sessão: evidências defensáveis perante um tribunal, integradas nos módulos do Odoo. Captura do webinar.
Simples, avançada, qualificada
Simples: sem garantia jurídica. No vídeo, uma caixa de seleção num formulário web ou colocar um JPG/PNG com a rubrica.
Avançada: a que o LegalSign implementa. Identificação unívoca dos signatários, ambiente seguro de princípio a fim e cifragem com hashes para que o documento não possa ser modificado, nem sequer por quem inicia o fluxo. Está respaldada por serviços qualificados de um terceiro de confiança (SMS, selo temporal, custódia de chaves).
Qualificada: não a implementam. O fluxo dependeria demasiado da origem.
Dois caminhos
Assinatura biométrica: presencial, «semelhante à manuscrita» segundo o regulamento. Regista a velocidade, os pontos de maior ou menor pressão e a inclinação da caneta relativamente ao ecrã.
Assinatura remota: signatários não presenciais. O fluxo passa de um para outro e recolhe correio eletrónico, SMS e geolocalização. Também se assina com o telemóvel, através de QR.
Nos dois casos, o Odoo controla o início. O LegalSign assume o processo e orquestra os prestadores de confiança. Registam-se a identificação e as evidências. O PDF e o relatório regressam ao Odoo.
Remota ou biométrica. Compatível, segundo a sessão, com mais de 100 tablets comerciais. Não existe um modelo único.
Preparar o documento no Sign
A demonstração é Enterprise, sobre o módulo padrão Sign. O LegalSign é montado por cima. Não acrescentam janelas extra. A versão Community existe (versões 17, 18 e 19; Enterprise 18 e 19), mas no ecrã só se viu a Enterprise.
O contrato é um modelo. Marcam-se controlos: campos a preencher e a caixa de assinatura. Podem ser n signatários; no exemplo há um, por simplicidade. O botão Assinar, na demonstração, é usado como assinatura presencial: todos os signatários no local (um centro clínico).
Modelo, controlos, um signatário
À esquerda, dados dos signatários. À direita, a opção Legal Sign Biometric. Sem a opção, o fluxo é o Sign padrão do Odoo. Com a opção, o LegalSign arranca em paralelo. Os dois modos podem coexistir.
Ao marcar o LegalSign, aparece o campo dispositivos: para que tablet vai o PDF. Uma instalação do Odoo pode enviar o documento para o ecrã que se escolher (receção ou gabinete de cardiologia).
Assinatura biométrica em tablet
Serve quando o signatário está presente: um consultório clínico, um balcão. Regista-se o tablet com a app (Apple Store ou Android) e um código. É necessária uma caneta biométrica. Uma rubrica desenhada sem velocidade, pressão e inclinação não é o fluxo que foi apresentado.
A partir do Odoo, envia-se o documento para esse tablet. Por signatário existem dois flags distintos: preenchido versus assinado. Após o envio, o documento está apenas preenchido.
Inbox, caneta, Aceitar
No tablet, a app recupera os documentos pendentes. Assina-se com a caneta biométrica. Ao premir Aceitar, o terceiro calcula hashes, guarda as chaves privadas e devolve o resultado.
O Odoo é atualizado. Chegam e-mails de aviso. O flag passa a assinado.
Ler evidências e PDF
O terceiro aplica o seu selo no PDF, na caixa. O relatório de evidências chega a quatro folhas: quem assinou, cabeçalho da empresa, documento, participantes, dispositivo (sistema operativo, caneta biométrica, tablet, versão), hashes, chaves em protocolo notarial e traços.
José Ramón: as evidências são entregues quando é preciso garantir o processo. Não são um enfeite do PDF. O PDF assinado também se descarrega à parte.
Selo do terceiro na caixa. Relatório de evidências: participantes, dispositivo, hashes e protocolo notarial.
Assinatura remota
Mesmo modelo Sign. Outro check. Integram-se a data de validade e os lembretes nativos do Odoo para o terceiro. Limite: 60 dias. Não defina uma data mais longa.
O signatário recebe um e-mail que parece o do Odoo. Ao clicar na ligação, arranca o ambiente do terceiro: aviso de caducidade, possibilidade de rever o documento, identificação, SMS, geolocalização, QR se assinar no telemóvel.
A grelha de assinatura do Odoo é ignorada: o selo é aplicado pelo terceiro. Nas evidências remotas constam a geolocalização e o número de protocolo notarial, entre outros.
Octavi perguntou no Q&A se funciona com o certificado digital do signatário. Não. O certificado de validade é fornecido pelo terceiro de confiança. Não está previsto que o signatário assine com o seu.
E-mail, ambiente seguro, 60 dias
O signatário revê, identifica-se e assina. O terceiro confirma, guarda os códigos e devolve o PDF ao Odoo. O mesmo Sign de sempre; o trabalho jurídico é feito pelo prestador.
Ativar o serviço
Instale o módulo da versão correta: Community 17, 18 e 19, ou Enterprise 18 e 19. No formulário da empresa (res.company) aparecem dois campos. ID de instalação: um hash gerado automaticamente pelo sistema. ID de ativação: o código que lhe é devolvido.
Envia-se à Data Analysis o hash mais o nome e o CIF da empresa. Cola-se o código e guarda-se o par de valores. Sem esse par, o fluxo do terceiro não arranca. Não é um módulo de «instalar e pronto».
Empresa: ID de instalação (hash automático) e ID de ativação. Envia-se hash, nome e CIF. É-lhe devolvido o código.
Aos inscritos foram oferecidas 50 assinaturas de teste. O registo era feito por correio eletrónico da Contaldia (versão do Odoo, módulos). Não é uma tarifa pública.
O vídeo está acima. Se pretende montar o LegalSign no seu Odoo, o passo seguinte é uma base de teste e o registo do terceiro.
Pretende montar o LegalSign no seu Odoo?