¿Dónde se guardan los contratos firmados electrónicamente?
La respuesta corta
En tu propio archivo. La respuesta de folleto es «en la nube, con cifrado», y es incompleta: el artículo 95 bis 2 del Código de Comercio dice que en materia de conservación de mensajes de datos «será responsabilidad estricta del comerciante mantenerlos bajo su control, acceso y resguardo directo, a fin de que su ulterior consulta pueda llevarse a cabo en cualquier momento». La plataforma donde firmaste es una copia operativa, no el archivero. Y hay un matiz que casi nadie publica: la ley sólo presume almacenamiento suficiente a los prestadores de servicios de certificación acreditados, no a cualquier plataforma.
La pregunta suele llegar al revés de como conviene contestarla. Quien la hace quiere saber en qué servidor viven los archivos, y la respuesta útil es otra: en poder de quién tienen que estar. Porque de eso depende qué pasa el día que la plataforma cambia de dueño, sube de precio, se cae o se va.
La ley nombra al responsable, y no es la plataforma
El Código de Comercio tiene desde 2016 un capítulo de digitalización que casi nunca se cita, y ahí está el artículo 95 bis 2 completo, en una sola frase: «En materia de conservación de mensajes de datos, será responsabilidad estricta del comerciante mantenerlos bajo su control, acceso y resguardo directo, a fin de que su ulterior consulta pueda llevarse a cabo en cualquier momento».
Tres palabras hacen el trabajo. Estricta quiere decir que no admite la excusa de la diligencia: no se cumple explicando que el proveedor falló. Directo quiere decir que no basta tener derecho a pedirlos, hay que tenerlos. Y en cualquier momento quiere decir que el estándar no es «los puedo recuperar en unos días», es que estén.
El artículo 49 cierra el círculo por el otro lado: para que un mensaje de datos cuente como original se requiere que la información se haya mantenido íntegra e inalterada desde que se generó en su forma definitiva y sea accesible para su ulterior consulta. Un contrato detrás de una suscripción vencida no es accesible, y la obligación no se cancela con la cuenta.
La presunción de buen almacenamiento no es para cualquiera
Este es el renglón que no está escrito en ninguna página comercial del tema, y es el que ordena la decisión. El artículo 95 bis 5 dice que se presumirá que aquellos prestadores de servicios de certificación que ofrezcan el servicio de almacenamiento de mensajes de datos cuentan con los medios tecnológicos suficientes para garantizar razonablemente a los contratantes que la información bajo su control podrá ser consultada en cualquier tiempo, salvo causas demostradas de fuerza mayor o no imputables a ellos.
Léelo con el 95 bis 3 al lado, que exige a esos prestadores contar con la acreditación del artículo 102, y queda claro el reparto: la presunción legal se la gana la acreditación, no el contrato de servicio. Una plataforma de firma que no es prestador acreditado puede guardar tus documentos muy bien y de hecho suele hacerlo; lo que no te da es esa presunción. SignSolú no está en el directorio de prestadores de servicios de certificación acreditados ante la Secretaría de Economía, así que nuestro almacenamiento no la tiene, y decir lo contrario sería inventarnos un efecto legal.
| Dónde vive la copia | Qué te da | Qué no te da |
|---|---|---|
| Tu propio archivo (PDF firmado y acuse) | Control y resguardo directo del 95 bis 2 | Nada que automatice la búsqueda por sí solo |
| La plataforma donde firmaste | Consulta cómoda, búsqueda, historial | La presunción del 95 bis 5 si no es prestador acreditado |
| Un prestador de servicios de certificación acreditado | La presunción del 95 bis 5 y, en su caso, la constancia NOM-151 | No te releva de la responsabilidad estricta del 95 bis 2 |
| Sólo el correo donde llegó la notificación | Un rastro del envío | El archivo íntegro y su huella, que es lo que prueba |
Qué dos archivos son el expediente
No hay que guardar la plataforma: hay que guardar dos archivos por contrato. El PDF firmado y su acuse de auditoría. Con esos dos, la integridad se vuelve a comprobar años después recalculando la huella del archivo y comparándola con la del acuse, sin necesidad de entrar a ninguna cuenta; se puede hacer en la página de verificación y también fuera de ahí, porque un hash es un cálculo público. Qué es esa huella y por qué sirve está en qué es SHA-256 y qué prueba en un contrato, y qué campos debe traer el acuse, en qué es un acuse de auditoría.
El artículo 46 bis permite conservar o digitalizar toda la documentación del negocio en medios electrónicos siempre que se observe la norma oficial mexicana sobre digitalización y conservación de mensajes de datos. O sea que la carpeta digital no es un apaño: es la forma prevista. Lo que la norma permite destruir y lo que no, y qué acredita una constancia de conservación, está en qué te da la NOM-151 y qué no.
Y un proveedor que guarda tus datos necesita su propio papel
Si los contratos traen datos personales —y traen, empezando por los de los firmantes—, la plataforma que los guarda actúa por tu cuenta. Lo que ordena esa relación no es el aviso de privacidad sino el convenio de encargado del tratamiento, con sus medidas de seguridad, sus subencargados y su aviso de incidentes; el nuestro está publicado en convenio de encargado del tratamiento. Y hay un plazo que tira en el sentido contrario al de conservar: la obligación de eliminar los datos de incumplimiento de obligaciones contractuales a los setenta y dos meses, que está explicada en cambiar de plataforma de firma: qué te tienes que llevar.
El archivero que sí funciona en una empresa chica
- 1Una carpeta por año y una subcarpeta por contraparte, con el PDF firmado y el acuse juntos y con el mismo nombre. Suena elemental y es lo que falta el día que hay que buscar.
- 2El nombre del archivo lleva la fecha de firma y el tipo de documento. Así se puede ordenar y auditar sin abrir nada.
- 3Respaldo en un segundo lugar que no sea la misma cuenta. «Control, acceso y resguardo directo» se rompe igual con un borrado accidental que con un proveedor caído.
- 4Y la fecha de salida apuntada por expediente, que es la que decide cuándo se puede depurar. Cuánto tiempo hay que guardarlo y desde cuándo corre cada plazo está en cuánto tiempo guardar un contrato firmado.
Del lado de la plataforma, la pregunta que conviene hacer antes de contratar a nadie es la incómoda: si dejo de pagar, ¿puedo seguir descargando el histórico? En SignSolú quien deja de pagar cae en el plan gratuito, que es de 10 documentos y no caduca, y no se queda bloqueado; qué se apaga y en qué orden está en si dejo de pagar la plataforma. El plan de paga son $399 MXN al mes con 500 documentos y usuarios ilimitados, y los primeros 10 documentos son gratis y sin tarjeta desde tu cuenta.
De dónde salen las citas
- Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Dónde se guardan los contratos firmados electrónicamente?
En tu propio archivo. El artículo 95 bis 2 del Código de Comercio hace responsabilidad estricta del comerciante mantener los mensajes de datos bajo su control, acceso y resguardo directo, a fin de que su ulterior consulta pueda llevarse a cabo en cualquier momento. La plataforma donde se firmó es una copia operativa, no el archivero. Esto no es asesoría legal.
¿La plataforma responde si se pierden mis documentos?
Responderá por lo que diga su contrato, pero tu obligación no se transfiere. El 95 bis 2 habla de responsabilidad estricta del comerciante, que es la que no admite la excusa de que el proveedor falló. Por eso la copia propia no es desconfianza, es cumplimiento.
¿Hay alguna ventaja legal en guardarlos con un prestador acreditado?
Sí, una concreta: el artículo 95 bis 5 presume que los prestadores de servicios de certificación que ofrecen almacenamiento cuentan con medios tecnológicos suficientes para que la información se pueda consultar en cualquier tiempo. El 95 bis 3 exige para ello la acreditación del artículo 102. Una plataforma que no es prestador acreditado —SignSolú no lo es— no tiene esa presunción.
¿Qué archivos tengo que guardar exactamente?
Dos por contrato: el PDF firmado y su acuse de auditoría. Con ellos la integridad se comprueba después recalculando la huella del archivo y comparándola con la del acuse, sin depender de ninguna plataforma.
¿Basta con tener el correo donde me llegó el documento?
No. El correo deja rastro del envío, no del contenido íntegro ni de su huella. Si cambias de bandeja o se borra el mensaje, lo que sostiene el contrato es el archivo firmado y su acuse, no el aviso que lo trajo.
¿Puedo tener todo el archivo en digital, sin papel?
Sí. El artículo 46 bis del Código de Comercio permite conservar o digitalizar toda o parte de la documentación del negocio en medios electrónicos, siempre que se observe la norma oficial mexicana sobre digitalización y conservación de mensajes de datos.