Granska ett tjänsteföretags uppgifter före köp

Börja med avtalstypen – en del handlingar går inte att signera digitalt

Innan du jämför tjänster måste du först avgöra om ert dokument alls får signeras elektroniskt. Svenska regler har undantag där formkravet inte kan uppfyllas med vanlig e-signatur: fastighetsköp enligt Jordabalken 4 kap. 1 § kräver en skriftlig köpehandling i särskild form; testamente enligt Ärvdabalken 10 kap. 1 § ska vara skriftligt och bevittnat av två personer; uppsägningar enligt LAS måste delges på papper eller med rekommenderat brev – signaturen kan vara elektronisk, men överlämnandet ska ske fysiskt. Kontrollera därför alltid vad som gäller för just er dokumenttyp.

För de flesta affärsdokument fungerar digital signering bra. Här nämns exempel som kundavtal, offerter, konsult- och leverantörsavtal, sekretessavtal, HR- och onboardingunderlag, förlängningar och tilläggsavtal. Enligt samma genomgångar går även anställningsavtal, NDA:er och andra HR-dokument, kommersiella avtal, inköpsorder, konsumentavtal, licenser, serviceavtal, hyresavtal och programvarulicenser att signera digitalt.

Vilken signeringsnivå ingår egentligen – och vad är den värd vid en tvist?

eIDAS har tre nivåer: SES (enkel elektronisk signatur, exempelvis klick, rit och SMS), AES (avancerad elektronisk signatur, till exempel BankID, MitID och FTN) och QES (kvalificerad elektronisk signatur, som bygger på ett kvalificerat certifikat och skapas med en certifierad enhet). Enligt eIDAS artikel 25 får en elektronisk signatur inte nekas rättsverkan bara för att den är elektronisk. En QES har dessutom samma juridiska verkan som en handskriven underskrift. I Sverige gäller fri bevisföring enligt Rättegångsbalken 35 kap., så elektroniska avtal och signeringsloggar kan användas som bevis i domstol.

Nivån har betydelse för bevisvärdet. Fråga därför vilken nivå som ingår för era avtal, om ni kan välja nivå per dokument och om priset skiljer sig mellan nivåerna. Ett exempel: en tjänst kan erbjuda SES, AES och QES.

Jämförelse av signeringsnivåer enligt eIDAS

Granska identifieringsmetoden – "standard" är inte samma sak som BankID

Det är stor skillnad mellan personligt kopplad identifiering via tredje part och metoder som bara loggar omständigheter. Fortnox beskriver två metoder: BankID, där mottagaren måste signera med sitt BankID och säkerhetsnivån är densamma som bankerna använder, och Standard, som inte är personligt kopplad som BankID. Med Standard krävs inte att en viss person signerar; bevisnivån bygger på IP-adress, enhet och tidpunkt. Visma beskriver i stället stark autentisering (tvåfaktorsautentisering) via tredje part, exempelvis BankID. I det signerade dokumentet framgår namn, tidsstämplar och vilket lands autentiseringsmetod som användes.

Ställ konkreta frågor: Vilken identifieringsmetod används för våra avtal? Är den personligt kopplad? Vad står i signeringsbeviset efteråt – namn, tidsstämpel, metod och IP-adress? Tänk också på att vissa tjänster erbjuder lösningar utan krav på nordiskt BankID för internationella kontakter.

Fördelar och nackdelar med olika identifieringsmetoder

Kräv beviskedjan: tidsstämplar, integritet och var det signerade avtalet hamnar

Be om dokumentation av själva signeringshändelsen i stället för att nöja dig med funktionslistor. Visma beskriver en Audit Trail: varje signatur lämnar ett digitalt fingeravtryck med IP-adress och tidsstämpel. Ett digitalt signerat dokument kan inte ändras i efterhand utan att signaturen blir ogiltig. Äktheten kan kontrolleras via Visma Sign eller Adobe Reader med en unik verifieringskod. Fortnox beskriver mottagarroller – signera, godkänna eller bara få en kopia – samt signeringsordning, påminnelser och notiser via e-post eller SMS.

Arkiveringen ingår i beviskedjan. Var hamnar det signerade avtalet? Handelsbanken skriver att signerade dokument skickas till inkorgen i internetbanken och appen, men att vissa dokument inte skickas dit – till exempel om du signerar som företagskund; då får du kontakta banken. Visma uppger att dokumentet sparas automatiskt i ett säkert digitalt arkiv och kan laddas ner. Fortnox e-signering sker i Arkivplats. Fråga vem som kan hämta ut dokumentet, hur länge det finns kvar och i vilket format det exporteras.

Process för digital signering: från skickande till arkivering

Vem står bakom tjänsten – och vilka krav kan du skriva in i avtalet?

Skilj på rollerna: en kvalificerad leverantör av betrodda tjänster enligt eIDAS, en vanlig programvaruleverantör och en bank som förmedlar signering. I Sverige är PTS tillsynsmyndighet för betrodda tjänster och kvalificerade leverantörer. Fråga därför vilken roll leverantören har och vem som ansvarar när något går fel. En bank kan förmedla signering via internetbanken eller ett företagsdokument. En programvaruleverantör kan erbjuda e-signering som en funktion i sitt system. En tjänst kan vara en helhetslösning för digital signering och avtalshantering.

Flytta granskningen från webbsidans löften till avtalstexten. Kontrollera att avtalet reglerar GDPR-efterlevnad, personuppgiftsbiträdesavtal, var personuppgifterna behandlas, underbiträden, incidenthantering och exit. Fråga efter ISO-certifiering. Ta med konkreta kravformuleringar till leverantören, exempelvis: leverantören ska ange sin roll enligt eIDAS; personuppgifter får bara behandlas inom EU/EES om inte annat avtalats; biträdesavtal ska ingås; incidenter ska rapporteras inom avtalad tid; vid avtalets upphörande ska alla dokument och loggar exporteras i ett öppet format.

Vad ingår i priset – och vilka behörigheter krävs internt?

Kostnaden sitter sällan i själva signaturen utan i hela kedjan från första datainsamling till slutgiltig arkivering. Räkna med kostnader för uppsättning, utbildning, integrationer, lagring, support och administration. En tjänst kan dessutom kräva en särskild programlicens och en behörighet som måste aktiveras av en program- eller systemadministratör. Fortnox uppger till exempel att du för att få tillgång till E-signering behöver en programlicens för Arkivplats och behörigheten Skapa signering aktiverad i licens-inställningarna; det hanteras av en program- eller systemadministratör.

Integrationer mot befintliga system påverkar både pris och införandetid. Fråga vilka API:er som finns, om de ingår i priset, vilken support och SLA som gäller och vad som händer vid uppsägning. Internt: Vem får skapa signeringar? Vem får se och arkivera? Behöver IT aktivera något innan första avtalet kan skickas?

Viktiga faktorer vid val av digital signeringstjänst

Testa med ett eget avtal – och läs hela kedjan innan du binder dig

Ta hjälp av kostnadsfri provperiod eller demo. eAvtal erbjuder en månads test utan bindningstid för vissa paketeringar och bolag med svenskt organisationsnummer. Visma Sign har en demo. Skicka ett riktigt avtal genom flödet i stället för att bara läsa funktionslistor.

Kontrollera rollhanteringen: kan en mottagare signera, godkänna eller bara få en kopia? Testa signeringsordning, påminnelser och notiser. Kontrollera också att alla sidor och samtliga dokument måste granskas innan signering. Handelsbanken skriver att du först måste granska samtliga sidor i dokumentet för att kunna signera, och att du bör kontrollera om det finns flera dokument som ska signeras.

Testa vad som händer om en part avböjer. Handelsbanken beskriver att om du avböjer ett dokument avbryts alla dokument i ärendet, även de du redan har signerat; banken kontaktar dig och den andra parten meddelas. Det visar hur ett nej kan stoppa hela kedjan. Läs därför hela avtalsvillkoren innan du binder dig.

Granskningschecklista före köp av tjänsteföretag