Declaración de prácticas del servicio de creación de firmas electrónicas

Versión: 1.0, de 6 de noviembre de 2026 (fecha de entrada en vigor)
Prestador: ON CLICK SOLUCIONS, S.L.
Servicio: Stratya Sign, servicio de confianza no cualificado de creación de firmas electrónicas (art. 3.16.c del Reglamento (UE) 910/2014, modificado por el Reglamento (UE) 2024/1183) y verificación de las firmas creadas con él.
Estado: vigente.

---

1. Introducción y alcance

1.1. Este documento describe cómo presta ON CLICK SOLUCIONS, S.L. el servicio Stratya Sign: qué firma produce, cómo se identifica a quien firma, cómo se protege la integridad de los documentos, qué evidencias se generan, cómo se verifican y cómo se conservan.

1.2. Stratya Sign es un servicio de confianza no cualificado. No figura en la Lista de confianza de prestadores cualificados (art. 22 eIDAS) y no presta servicios cualificados. Su actividad se comunica al Ministerio para la Transformación Digital y de la Función Pública según el art. 12 de la Ley 6/2020. Conforme a la normativa, el Ministerio no comprueba los servicios no cualificados antes de publicarlos.

1.3. Stratya Sign no emite certificados electrónicos (ni de firma, ni de sello, ni de autenticación de sitios web) ni sellos de tiempo propios.

1.4. El nivel de la firma producida es el de firma electrónica en el sentido del art. 3.10 eIDAS («firma electrónica simple»). Stratya Sign no produce firmas electrónicas avanzadas (art. 26) ni cualificadas (art. 3.12).

2. Identificación del prestador

• Razón social: ON CLICK SOLUCIONS, S.L.
• NIF: B62377346
• Registro Mercantil de Barcelona, tomo 33009, folio 88, hoja B219771, inscripción 1.ª
• Domicilio: C/ Manresa, 14, Pol. Ind. Mas Beuló, 08500 Vic (Barcelona), España
• Contacto: hola@stratya.com · Teléfono 938 834 340
• Web del servicio: https://sign.stratya.com/

3. Definiciones

• Cliente o remitente: la empresa u organización que contrata Stratya Sign y envía documentos a firmar.
• Firmante: la persona física a quien el remitente invita a firmar.
• Solicitud de firma: el conjunto de uno o varios documentos PDF enviados a uno o varios firmantes.
• Documento firmado: el PDF que resulta del proceso, con las marcas de firma incorporadas.
• Evidencias: los datos técnicos que acompañan la firma (registro de eventos, firma criptográfica, sellos de tiempo, datos del trazo).
• Código de firma: identificador único (UUID) asignado a cada documento firmado.

4. Descripción del servicio

4.1. Creación de firmas electrónicas. Stratya Sign permite al remitente subir documentos PDF, colocar campos (firma, texto, fecha, casillas, teléfono, etc.) e invitar a firmantes, que firman a distancia desde cualquier dispositivo sin instalar nada.

4.2. Modalidades de firma:

• a) Firma con código de un solo uso (OTP) por SMS: el firmante confirma su voluntad introduciendo un código numérico recibido en su móvil.
• b) Firma manuscrita digitalizada: el firmante dibuja su firma en la pantalla. Se guarda la imagen y los datos dinámicos del trazo según la norma ISO/IEC 19794-7. Si la plantilla incluye un campo de teléfono, además se verifica el móvil con OTP.

4.3. Verificación. Cualquier persona puede comprobar en https://app.sign.stratya.com/verify si un PDF firmado con Stratya Sign está íntegro y ver sus datos de firma. Esta verificación solo sirve para documentos firmados con Stratya Sign. No valida firmas creadas con otras herramientas ni certificados de terceros.

4.4. Integraciones. El servicio se ofrece por interfaz web, con API REST autenticada y webhooks (evento signature-request.signed), y está integrado con Stratya ERP y MyChronos.

5. Proceso de firma

1. El remitente crea la solicitud: documentos, datos de cada firmante (nombre, email, móvil, tipo y número de documento de identidad) y fecha de caducidad (por defecto, 15 días).
2. El sistema envía al firmante un email con un enlace único (identificador aleatorio UUID).
3. El firmante abre el enlace e introduce su DNI/NIE/NIF. El sistema comprueba que coincide con el dato que dio el remitente. Si no coincide, o si el documento ya está firmado, no se permite continuar.
4. El firmante revisa el documento y completa los campos.
5. Según la modalidad:
   • OTP: se envía por SMS un código de 6 dígitos, válido 10 minutos, con un máximo de 5 intentos de validación y 5 códigos por cada 30 minutos (valores configurados en el servicio).
   • Manuscrita: el firmante dibuja la firma. Se capturan los puntos del trazo (coordenadas, velocidad y tiempos) y se aplica un sello de tiempo a la imagen y a los datos biométricos.
6. Al confirmar, el sistema genera el documento firmado (apartado 7) y lo pone a disposición del remitente y del firmante.

6. Identificación y autenticación del firmante

6.1. La identificación se basa en:

• a) el control de la dirección de email a la que llega el enlace;
• b) el conocimiento del número de documento de identidad registrado por el remitente;
• c) cuando aplica, el control del número de móvil (OTP por SMS).

6.2. Stratya Sign no comprueba documentos de identidad oficiales (ni foto del DNI ni vídeo-identificación) ni la validez de los datos que aporta el remitente. El remitente responde de la exactitud de esos datos.

6.3. El código OTP es personal y de un solo uso. El firmante debe custodiar su móvil y su email.

7. Generación de la firma e integridad del documento

7.1. Al firmar, el sistema:

• a) incorpora al PDF los valores de los campos y la imagen de la firma, si la hay;
• b) añade en cada página una marca lateral con el nombre del firmante, el tipo y número de documento de identidad, la fecha y hora (ISO 8601), el código de firma y la numeración «página x de y»;
• c) guarda en los metadatos del PDF (campo «Keywords») el nombre y documento del solicitante y del firmante, el código de firma, el identificador de la organización y la fecha;
• d) calcula el resumen SHA-512 del PDF resultante y lo firma con una clave RSA de 2048 bits generada en ese momento por la plataforma para ese firmante;
• e) guarda la firma criptográfica en un fichero separado y conserva solo la clave pública. La clave privada no se almacena y se descarta tras usarla.

7.2. Alcance. La firma criptográfica la genera la plataforma por cuenta del firmante, no un dispositivo bajo control exclusivo de este, y no va incrustada en el PDF en formato PAdES. Por eso los lectores de PDF (como Adobe) no la muestran como firma digital, y su verificación se hace con el servicio del apartado 9. Este es uno de los motivos por los que el servicio se ofrece como firma electrónica simple.

7.3. Cualquier cambio en el PDF firmado, aunque sea de un solo byte, hace que la verificación criptográfica falle.

8. Sellado de tiempo

8.1. Cada documento firmado recibe:

• a) un sello de tiempo RFC 3161 emitido por un servicio externo no cualificado (freetsa.org) sobre el resumen del documento. Actualmente el sello se calcula sobre un resumen SHA-1, según la integración actual con esta autoridad de sellado; está prevista la migración a SHA-256. La integridad del documento se protege además con la firma RSA sobre su resumen SHA-512;
• b) un anclaje en la cadena de bloques de Bitcoin con el protocolo abierto OpenTimestamps. Primero se genera un comprobante pendiente y, pasadas al menos 25 horas, se completa con la confirmación del bloque.

8.2. Solo se envían a estos servicios resúmenes criptográficos, nunca el contenido de los documentos.

8.3. Stratya Sign no emite sellos de tiempo propios y estos sellos no son cualificados.

9. Evidencias y certificado de firma

9.1. Por cada firmante se registran con fecha y hora, dirección IP y agente de usuario (navegador) estos eventos: envío del email, apertura del enlace, revisión de datos personales, lectura del documento, solicitud del código (con el número de móvil), verificación del teléfono, firma y descarga.

9.2. Se puede generar un certificado de firma con: solicitante, datos del firmante (nombre, documento, móvil, email), identificador de la transacción, identificador y resumen SHA-512 de cada documento, fecha de firma y la traza completa de eventos.

9.3. Este certificado es un informe de evidencias de Stratya Sign. No es un certificado electrónico en el sentido de eIDAS.

10. Verificación

10.1. En https://app.sign.stratya.com/verify cualquier persona puede subir un PDF. El sistema lee el código de firma de los metadatos, recupera la firma y la clave pública asociadas, comprueba la firma RSA/SHA-512 sobre el documento y valida el sello de tiempo RFC 3161.

10.2. Si todo es correcto, se muestran el solicitante, el firmante, el código y la fecha de firma. Si el documento se ha alterado o no procede de Stratya Sign, la verificación es negativa.

10.3. La verificación depende de que se conserven las evidencias (apartado 11). Si el servicio cesa, se aplicará lo previsto en el apartado 16.

11. Almacenamiento y conservación

11.1. Documentos, firmas criptográficas, sellos y evidencias se almacenan como objetos privados en DigitalOcean Spaces (almacenamiento compatible con S3), en la región de Ámsterdam (ams3, Unión Europea), con cifrado en reposo. El acceso a los ficheros se da mediante enlaces temporales de 30 minutos.

11.2. El servicio es multiempresa y los datos de cada organización están separados lógicamente.

11.3. Copias de seguridad diarias: se guardan todas durante 7 días y una diaria durante 16 días.

11.4. Plazos de conservación:

• documentos originales sin solicitudes de firma activas: se borran a los 6 meses;
• documentos firmados, firmas, sellos y evidencias: durante el contrato y 6 años después, salvo que el cliente pida antes su borrado. El cliente puede descargarlos en cualquier momento.

11.5. Este almacenamiento no constituye un servicio de conservación de firmas (art. 3.16.e eIDAS) ni de archivo electrónico (art. 3.16.m).

12. Seguridad

12.1. Gestión de riesgos (art. 19 bis.1.a eIDAS y Reglamento de Ejecución (UE) 2025/2160): ON CLICK SOLUCIONS mantiene una política de gestión de riesgos aprobada por la dirección. Cubre las altas y el registro, los controles administrativos y la gestión y operación del servicio, con evaluación periódica de los riesgos y un plan de tratamiento que incluye: control de accesos; cifrado en tránsito y en reposo; almacenamiento privado de objetos; separación de los datos por organización; límites de intentos y de envíos del OTP; registro de actividad; copias de seguridad; y aviso de incidentes a los clientes afectados y, cuando proceda, a la autoridad de supervisión en un máximo de 24 horas.

12.2. Medidas técnicas: comunicaciones cifradas (HTTPS); almacenamiento privado; enlaces temporales; autenticación por token para la API; límites de intentos de OTP; separación por organización; registro de actividad; copias de seguridad diarias.

12.3. Incidentes: las brechas de seguridad o interrupciones con impacto significativo en el servicio o en los datos personales se notificarán al Ministerio (órgano de supervisión), a las personas afectadas identificables y, si procede, al público y a otras autoridades, sin demora indebida y en un máximo de 24 horas desde que se conozcan (art. 19 bis.1.b eIDAS). Se usará el formulario oficial de notificación de incidentes, sin perjuicio de la notificación a la AEPD (art. 33 RGPD).

13. Proveedores que intervienen

ON CLICK SOLUCIONS responde frente a terceros de la actuación de los proveedores en los que delega funciones (art. 10 Ley 6/2020).

14. Obligaciones de los usuarios

• Remitente: facilitar datos veraces y actualizados de los firmantes; contar con base jurídica para tratarlos; usar el servicio para documentos lícitos; no usarlo para actos que la ley obliga a hacer con firma cualificada o ante fedatario.
• Firmante: comprobar el documento antes de firmar; no compartir el enlace, el código OTP ni su móvil; avisar si recibe una solicitud que no reconoce.

15. Responsabilidad, efectos jurídicos y limitaciones

15.1. Según el art. 25.1 eIDAS, no se niegan efectos jurídicos ni admisibilidad como prueba a una firma electrónica por estar en formato electrónico o no ser cualificada. Los documentos firmados con un servicio no cualificado se valoran como prueba según el art. 326.3 de la LEC (art. 3.2 Ley 6/2020).

15.2. Las firmas de Stratya Sign no tienen el efecto jurídico equivalente a la firma manuscrita que el art. 25.2 eIDAS reserva a la firma cualificada.

15.3. El servicio no sustituye la intervención de notarios ni de otros fedatarios (DA 1.ª Ley 6/2020).

15.4. Limitaciones de responsabilidad: las previstas en el art. 11 de la Ley 6/2020 y en el contrato (fichero 04).

16. Cese de actividad

Si cesa el servicio, ON CLICK SOLUCIONS:

• a) lo comunicará al Ministerio en un máximo de 3 meses (art. 12 Ley 6/2020) y avisará a los clientes con al menos 90 días de antelación;
• b) permitirá descargar todos los documentos firmados, firmas, sellos y evidencias;
• c) publicará la información y las claves públicas necesarias para que se puedan seguir verificando de forma independiente, y las mantendrá accesibles en esta web.

17. Protección de datos

El tratamiento de datos personales se rige por la Política de Privacidad (https://sign.stratya.com/legal/privacidad) y por el contrato de encargo del tratamiento con cada cliente. Para los datos de los firmantes, ON CLICK SOLUCIONS actúa como encargada del tratamiento por cuenta del remitente.

18. Supervisión y reclamaciones

• Reclamaciones al prestador: hola@stratya.com o el domicilio indicado en el apartado 2.
• Órgano de supervisión: Ministerio para la Transformación Digital y de la Función Pública. Si alguien considera que el servicio no cumple eIDAS o la Ley 6/2020, puede comunicarlo en lfe@economia.gob.es.

19. Revisión de este documento

Se revisará al menos una vez al año y siempre que cambie el servicio. Las versiones anteriores estarán disponibles en la web. Los cambios relevantes se comunicarán al Ministerio en el plazo del art. 12 de la Ley 6/2020.