Ondertekenen,
vastgelegd door een derde
U vraagt de handtekening. Wij leggen vast wie tekende, wanneer en op welk bestand. Daarna verzegelen wij het resultaat. Dat wij zelf geen partij zijn bij het stuk is precies wat die vastlegging waard maakt.
Waarom een derde het verschil maakt
Bij een betwisting weegt de rechter de ondertekenmethode in haar geheel (art. 3:15a BW). Daarin telt mee wie de administratie voerde. Zolang het bedrijf dat om de handtekening vraagt zijn eigen ondertekenbewijs beheert, kan de wederpartij zeggen dat de partij met het belang de boekhouding deed.
Dat verweer vervalt als de vastlegging bij iemand anders ligt. Het staat daarom met zoveel woorden in het rapport: ondertekend op verzoek van uw bedrijf, vastgelegd en verzegeld door zegelkamer, dat geen partij is bij dit document.
- Uw merk bovenaan. In de mail en op het ondertekenscherm staat wie om de handtekening vraagt. Dat is wie de ontvanger herkent.
- Het onze eronder. Klein, in de voettekst, want dat is de andere vraag: wie legde dit vast.
- En wij komen niet bij uw stukken. Er is geen recht dat toegang tot een document geeft zonder dat u ons lid maakt van uw bedrijf, en dat staat dan in uw eigen gebruikersoverzicht.
Zeker weten wie er tekent
Per document vinkt u aan hoe zeker u het wilt weten: een code in de mailbox, een code per SMS, een gesproken code aan de telefoon of een controle bij de eigen bank van de ondertekenaar met iDIN. Vinkt u er meer aan, dan worden ze ná elkaar doorlopen, elk met een eigen code. Wie alleen de mailbox heeft, komt niet langs de tweede.
Het moment telt mee. De code per SMS gaat pas weg ná het indrukken van Ondertekenen, en de handtekening wordt vastgelegd zodra die code klopt. Daarmee staat niet alleen vast dat iemand het document opende maar dat hij tékende, en dat laatste is wat bij een betwisting moet worden aangetoond.
Een e-mailcode alleen bewijst weinig. Die komt aan in dezelfde mailbox als de link en voegt daar niets aan toe. In ECLI:NL:RBAMS:2019:8755 gaf juist dat de doorslag: er was „een groot risico op misbruik door personen die de beschikking hebben over de e-mailadressen”. SMS en telefoon lopen over een ander kanaal én een ander apparaat.
De wederpartij krijgt niet uw dossier
Een ondertekenrapport draagt per partij het e-mailadres, het telefoonnummer, het IP-adres en de browser. Het verzegelde document gaat naar iedereen die tekende. Zonder maatregel krijgt de ene partij dus het 06-nummer van de andere thuisgestuurd. Bij een incassokantoor is dat de schuldeiser die het privénummer van de schuldenaar krijgt, en omgekeerd.
Er gaan daarom twee verzegelde bestanden de deur uit. Het volledige exemplaar blijft bij u. De ondertekenaars krijgen een apart verzegeld exemplaar waarin die gegevens zijn afgeschermd, met de hash van het volledige erbij, zodat zij weten dat het bestaat en erom kunnen vragen.
Het is een tweede verzegeling en geen kopie. Een afgeschermd stuk zonder zegel zou de bescherming stilzwijgend weghalen bij precies de partij die haar het hardst nodig heeft. Wilt u het toch volledig meesturen, dan is dat één vinkje bij het aanmaken.
Wat het is en wat het niet is
Een dienst die om vertrouwen vraagt hoort haar grenzen zelf te noemen. Hieronder staat wat dit levert en waar het ophoudt.
| Handtekening | Gewone elektronische handtekening (SES) | Hetzelfde niveau als de gangbare ondertekendiensten standaard leveren. Geen AES of QES: daarvoor is een sleutel nodig die alleen de ondertekenaar bezit, en die is met een sleutel op een server niet te geven. |
|---|---|---|
| Naar Nederlands recht | Gelijkgesteld aan een natte handtekening | Art. 3:15a BW, mits de methode voldoende betrouwbaar is gelet op het doel en alle omstandigheden. Daarvoor is de rest van deze tabel gebouwd. |
| Verzegeling | PKCS#7 met DocMDP | Wijzigt iemand er later iets aan, dan is dat aantoonbaar. |
| Zegelcertificaat | Zelfondertekend, op naam van GetHost V.o.F. | Een PDF-lezer meldt daarom „geldigheid onbekend”. Opname in de vertrouwenslijst van de grote lezers vraagt een sleutel die in een beveiligde module bij een gecertificeerde aanbieder staat. Dat staat op de rol, niet in de doos. |
| Tijdstempels | Drie onafhankelijke diensten, RFC 3161 | Geen van drieën is gekwalificeerd onder eIDAS. Ze staan naast het document en zijn nog niet ingesloten als PAdES-tijdstempel. |
| Audit trail | Gekoppelde hashketen | Elke regel draagt een hash over zichzelf en de vorige. De laatste schakel wordt in het verzegelde document afgedrukt, zodat het afkappen van de staart ook opvalt. |
| Verificatie | E-mail, SMS, gesproken code, iDIN | Per document aan te vinken. Meerdere kanalen worden ná elkaar doorlopen, elk met een eigen code. |
| Waar het staat | Eigen servers in Drenthe | De documenten staan bij GetHost in Emmen en gaan niet naar een opslagdienst elders. Voor SMS en voor iDIN loopt er verkeer langs een aanbieder, en dat staat in het rapport. |
| Wat het kost | Per verstuurd document | Met een toeslag per SMS en per belverificatie, want die kosten werkelijk geld en een e-mail niet. Wat het bij u wordt hangt af van wat u aanzet. |
Zullen we kijken of het bij uw kantoor past?
Vertel wat u nu gebruikt en waar het knelt. Er volgt geen verkooptraject: als het niet past, hoort u dat.
Liever eerst zelf rondkijken? Hoe werkt het loopt de hele gang van zaken door, van uitnodiging tot verzegeld document.