Qué evidencias debe conservar un banco en una firma biométrica
Descubre qué evidencias debe conservar un banco en un proceso de firma biométrica: PDF, datos biométricos cifrados, integridad, sello de tiempo, auditoría y custodia
Qué evidencias debe conservar un banco en un proceso de firma biométrica
Una firma biométrica no debería evaluarse únicamente por lo que ocurre en el momento en que el cliente coloca el lápiz sobre una tableta.
La verdadera prueba de la calidad de un sistema de firma puede llegar años después.
Un cliente podría negar haber firmado un determinado contrato. Podría cuestionarse el contenido que se le presentó. Podría ser necesario demostrar cuándo se produjo la operación o comprobar si el documento fue modificado posteriormente.
En ese momento, disponer únicamente de una imagen de la rúbrica puede resultar insuficiente.
Por eso, en un proyecto de firma biométrica en banca, una de las preguntas más importantes debería formularse antes incluso de seleccionar la tableta:
¿Qué evidencias podremos aportar si dentro de varios años esta firma es impugnada?
Una solución profesional debe construir durante el proceso un conjunto coherente de evidencias que permita relacionar al firmante, la firma, el documento y las circunstancias de la operación.
Estas evidencias deben además estar protegidas contra manipulaciones y conservarse durante el tiempo necesario.
En edatalia trabajamos con este enfoque: la firma biométrica no como una simple imagen incorporada a un PDF, sino como un sistema de generación, protección y conservación de evidencias electrónicas.
Puedes conocer el contexto general de este tipo de proyectos en:
edatalia, referente en firma digital manuscrita para banca en España y Latinoamérica
Una firma no es una evidencia aislada
Cuando una persona firma un documento en papel, el análisis de una posible controversia no suele limitarse exclusivamente a mirar la rúbrica.
Puede analizarse el documento original, el contexto contractual, la fecha, la intervención de terceros, la conservación del documento y, cuando resulte necesario, realizarse una pericial caligráfica.
En el mundo digital ocurre algo similar.
La robustez de un proceso no debería descansar sobre una única evidencia.
Debe construirse mediante diferentes elementos que se refuercen entre sí.
En una firma biométrica pueden coexistir:
- el documento que fue presentado al cliente;
- la representación gráfica de la firma;
- los datos dinámicos del proceso manuscrito;
- las evidencias de integridad del documento;
- la fecha y hora;
- los datos de contexto de la operación;
- los registros de auditoría;
- y las evidencias criptográficas utilizadas para proteger el conjunto.
La calidad probatoria depende en gran medida de cómo se relacionan y protegen todos estos elementos.
Primera evidencia: el documento exacto que firmó el cliente
Puede parecer evidente, pero es probablemente la evidencia más importante.
No basta con poder demostrar que una persona realizó una determinada firma.
Hay que demostrar también qué estaba firmando.
Esto exige mantener una vinculación sólida entre firma y contenido.
Imaginemos un sistema que almacena por separado una imagen de la firma y un contrato.
Si no existe un mecanismo técnico capaz de demostrar que esa firma corresponde exactamente a ese documento, aparece una debilidad evidente.
Una arquitectura adecuada debe vincular ambos elementos de forma que una modificación posterior pueda ser detectada.
Este principio está también recogido en el artículo 26 del Reglamento eIDAS cuando establece, entre los requisitos de las firmas electrónicas avanzadas, que la firma debe estar vinculada con los datos firmados de modo que cualquier modificación posterior resulte detectable.
Consultar Reglamento eIDAS en EUR-Lex
Segunda evidencia: la representación gráfica de la firma
La imagen visible de la firma sigue teniendo utilidad.
Permite que el documento mantenga una apariencia comprensible para el firmante, para la entidad y para cualquier persona que lo consulte posteriormente.
El cliente reconoce su rúbrica.
El empleado puede comprobar visualmente que la firma se ha realizado.
Y el documento conserva una representación fácilmente interpretable del acto de firma.
Sin embargo, es fundamental comprender una diferencia:
la imagen visible no debería ser la única evidencia de una firma biométrica.
Una imagen puede copiarse.
Puede escanearse.
Puede reutilizarse.
Por eso el verdadero valor añadido de una solución biométrica se encuentra en la información dinámica capturada mientras se realiza la firma.
Tercera evidencia: los datos biométricos dinámicos
Durante una firma manuscrita electrónica, un dispositivo profesional puede registrar información sobre la ejecución del trazo.
Dependiendo de la tecnología utilizada, pueden capturarse parámetros como posición, presión, velocidad, aceleración y secuencia temporal.
Estos datos describen cómo se produjo la firma, no únicamente cómo quedó visualmente.
Dos firmas pueden parecer muy similares como imagen y, sin embargo, haberse realizado siguiendo patrones dinámicos muy distintos.
Esta información puede resultar especialmente valiosa ante una posible impugnación.
La Agencia Española de Protección de Datos ha analizado específicamente sistemas de firma manuscrita electrónica que recogen parámetros como posición, tiempo y presión con el objetivo de disponer de evidencias que permitan analizar la autoría de una firma en caso de litigio.
Consultar resolución de la AEPD sobre firma manuscrita electrónica y datos biométricos Abrir en nueva ventana
Los datos biométricos deben estar protegidos
Conservar datos dinámicos no significa que deban permanecer accesibles para cualquier usuario de la organización.
Precisamente por su naturaleza, deberían aplicarse medidas de seguridad especialmente rigurosas.
Una arquitectura adecuada puede cifrar la información biométrica y mantenerla inaccesible durante el uso ordinario del documento.
El empleado de una sucursal no necesita visualizar los parámetros de presión.
El responsable del archivo tampoco.
Y un usuario que consulta posteriormente el contrato debería poder hacerlo sin acceder a los datos biométricos.
La biometría debería permanecer protegida y utilizarse únicamente cuando exista una finalidad legítima que lo justifique.
Incorporar la biometría cifrada al propio PDF
Una estrategia especialmente interesante consiste en incorporar las evidencias biométricas cifradas dentro del propio documento.
De esta forma, contrato y evidencias permanecen juntos.
Se evita depender de una base de datos biométrica separada en la que, años después, podría resultar más complejo demostrar qué evidencia corresponde a qué documento.
La Guía de Interoperabilidad y Seguridad de Autenticación, Certificados y Firma Electrónica del CTEAJE contempla precisamente este modelo para las firmas manuscritas capturadas mediante técnicas biométricas: información biométrica cifrada e incorporada al documento electrónico.
Consultar las Guías de Interoperabilidad y Seguridad del CTEAJE
Aunque esta guía está dirigida a la Administración de Justicia y no constituye normativa bancaria, proporciona una referencia técnica pública especialmente interesante sobre cómo estructurar este tipo de evidencias.
Cuarta evidencia: la integridad criptográfica del PDF
Guardar biometría no es suficiente.
También necesitamos demostrar que el documento no ha sido modificado posteriormente.
Supongamos que disponemos de una evidencia biométrica perfecta, pero alguien modifica después una cláusula del contrato.
Tendríamos información sobre quién firmó, pero existirían dudas sobre qué contenido fue realmente aceptado.
Por eso una solución profesional debe proteger también la integridad del documento.
Los mecanismos criptográficos de firma o sello electrónico permiten detectar modificaciones posteriores del PDF.
De esta forma podemos relacionar dos cuestiones diferentes:
quién realizó la firma y qué contenido estaba firmando.
La importancia del hash del documento
Una de las herramientas criptográficas utilizadas para proteger la integridad es el hash.
Un hash puede entenderse como una huella matemática del contenido.
Una pequeña modificación en el documento genera una huella diferente.
Esto permite comprobar posteriormente si el fichero que estamos analizando coincide con el contenido protegido durante la firma.
El usuario no necesita conocer este mecanismo.
La verificación se realiza mediante software.
Pero desde un punto de vista probatorio resulta fundamental porque ayuda a demostrar que el documento conservado mantiene su integridad.
Quinta evidencia: fecha y hora de la firma
En muchas operaciones no basta con demostrar quién y qué.
También hay que acreditar cuándo.
La fecha puede resultar relevante para determinar cuándo entró en vigor un contrato, cuándo se aceptó una modificación o si determinada actuación se realizó antes o después de un acontecimiento concreto.
Los registros internos pueden aportar información temporal.
Pero para procesos donde esta evidencia tiene especial importancia puede utilizarse además sellado de tiempo electrónico.
Un sello de tiempo permite aportar una referencia temporal respaldada criptográficamente.
Cuando se utiliza un sello de tiempo cualificado proporcionado por un prestador cualificado de servicios de confianza, se obtiene además el marco reforzado establecido por eIDAS para este servicio.
Sexta evidencia: el contexto de la operación
Una firma no se produce de forma aislada.
En una oficina bancaria existe un contexto.
Hay un cliente.
Existe una operación.
Interviene una aplicación.
Puede existir un empleado.
Hay una sucursal o puesto determinado.
Todo ello puede formar parte de la trazabilidad.
Por ejemplo, el sistema puede conservar referencias como el identificador interno de la operación, el cliente asociado, el tipo de documento y el proceso que solicitó la firma.
No significa que deba almacenarse indiscriminadamente toda la información disponible.
Debe aplicarse el principio de minimización.
Pero aquellos metadatos que sean necesarios para reconstruir el proceso pueden reforzar significativamente la evidencia.
Séptima evidencia: identificación del firmante
Una firma manuscrita debe estar asociada a una persona.
En una operación bancaria presencial, la entidad puede disponer ya de mecanismos de identificación dentro del propio procedimiento.
El cliente se encuentra vinculado a un expediente.
El gestor está trabajando sobre una ficha determinada.
La aplicación conoce qué persona debe firmar.
Estos elementos contextuales son relevantes.
La captura biométrica no debería realizarse como una acción anónima en la que posteriormente sea necesario decidir a quién pertenece la firma.
Debe producirse dentro de un flujo que conozca la identidad o contexto contractual del firmante.
Octava evidencia: quién inició y gestionó la operación
En determinados procesos puede resultar útil conocer qué usuario interno gestionó la transacción.
No porque el empleado sea necesariamente parte de la firma.
Sino porque esta información ayuda a reconstruir el procedimiento.
La aplicación puede registrar qué usuario inició el proceso de firma, desde qué puesto o dentro de qué operación.
Esto puede resultar útil para auditoría, investigación de incidencias y análisis de anomalías.
Una vez más, el objetivo no es almacenar datos innecesarios.
Es conservar aquellos que permitan reconstruir de forma razonable lo ocurrido.
Novena evidencia: el dispositivo utilizado
En grandes despliegues puede resultar conveniente conocer qué dispositivo intervino en una operación.
Modelo.
Identificador.
Puesto.
Versión del componente.
Esta información puede resultar útil para análisis técnico y auditoría.
Por ejemplo, si aparece una incidencia que afecta a un determinado modelo o versión, la entidad puede conocer qué operaciones se realizaron en ese entorno.
No todos estos datos tienen necesariamente el mismo valor jurídico, pero forman parte de una buena trazabilidad técnica.
Décima evidencia: versión de la aplicación y del proceso de firma
Los sistemas evolucionan.
La versión que utiliza un banco hoy puede ser diferente a la que utilizaba hace cinco años.
Los procesos también cambian.
Una evidencia útil puede ser conocer qué versión del sistema o política de firma estaba activa cuando se realizó la operación.
Esto ayuda a reconstruir el contexto técnico.
¿Qué componentes se utilizaron?
¿Qué evidencias se capturaban?
¿Qué política estaba configurada?
En organizaciones con sistemas de larga vida, esta información puede resultar especialmente importante.
Undécima evidencia: consentimiento y acciones del usuario
Dependiendo del proceso, puede ser relevante conservar evidencia de las acciones realizadas antes de la firma.
Por ejemplo, que se presentó determinada documentación.
Que el usuario accedió al proceso.
Que confirmó una determinada pantalla.
O que aceptó continuar antes de realizar la firma.
No todos los flujos necesitan registrar exactamente los mismos eventos.
Pero la trazabilidad debería diseñarse según el riesgo de la operación.
El objetivo es poder reconstruir el proceso de manera comprensible, no generar millones de logs sin utilidad.
Duodécima evidencia: certificados y sellos utilizados
Cuando el documento se protege mediante firma o sello electrónico, también es importante conservar la información necesaria para poder verificarlo posteriormente.
Los certificados tienen una vida limitada.
Pueden caducar.
Pueden revocarse.
Por eso, cuando un documento debe mantenerse durante largos periodos, la estrategia de conservación debe contemplar cómo será validado en el futuro.
Aquí adquieren especial importancia formatos y perfiles preparados para validación a largo plazo, como PAdES-LTV.
Validación a largo plazo
Un contrato bancario puede seguir teniendo importancia muchos años después de su firma.
Por tanto, no basta con poder comprobarlo correctamente hoy.
Hay que pensar en el futuro.
La validación a largo plazo busca conservar dentro de la estructura de firma la información necesaria para poder comprobar posteriormente la validez criptográfica.
Esto puede incluir datos relacionados con certificados, estados de revocación y evidencias temporales.
La estrategia exacta debe adaptarse al periodo de conservación y al tipo de documento.
Decimotercera evidencia: registros de auditoría
Los logs pueden complementar las evidencias contenidas en el propio documento.
Por ejemplo, un registro puede mostrar que una aplicación solicitó una firma a determinada hora, que la operación se completó correctamente y que el documento resultante fue almacenado.
Estos registros deben protegerse adecuadamente.
Un log que cualquier administrador puede modificar sin dejar rastro tendrá un valor mucho menor.
La integridad y control de acceso de los registros deberían formar parte de la arquitectura.
No confundir logs con evidencias biométricas
También es importante evitar el extremo contrario.
Conservar muchos registros técnicos no sustituye las evidencias relacionadas directamente con la firma.
Un log puede indicar que ocurrió una operación.
Pero no contiene necesariamente información sobre cómo firmó una persona.
Los datos biométricos, la integridad del documento y los registros del proceso cumplen funciones diferentes.
Una arquitectura robusta utiliza diferentes tipos de evidencias porque cada una responde a una pregunta distinta.
Decimocuarta evidencia: custodia de las claves criptográficas
Si la biometría está cifrada, existe una pregunta inevitable:
¿quién puede descifrarla?
Esta cuestión debe resolverse durante el diseño.
No debería improvisarse cuando aparece el primer litigio.
Puede utilizarse una arquitectura donde las claves necesarias para acceder a la biometría estén sometidas a controles específicos y separadas del uso ordinario del documento.
La Guía CTEAJE presta especial atención a esta cuestión y contempla modelos donde la clave privada necesaria para acceder a las evidencias biométricas queda custodiada de manera independiente.
Esta separación ayuda a reducir el riesgo de accesos injustificados.
Cadena de custodia de las evidencias
La idea de custodia no se limita a guardar una clave.
Cuando una evidencia debe utilizarse en un procedimiento de controversia es importante poder explicar qué ha ocurrido con ella desde que fue generada.
¿Dónde se conservó?
¿Quién tuvo acceso?
¿Ha sido modificada?
¿Cómo se recuperó?
¿Quién realizó el análisis?
Una buena arquitectura facilita esta trazabilidad.
Cuanto menor sea la intervención manual, más sencillo resulta mantener una cadena de custodia comprensible.
Qué ocurre cuando un cliente niega haber firmado
Este es el escenario que permite entender el valor de todas las evidencias anteriores.
Supongamos que un cliente afirma:
"Yo no firmé este contrato."
La entidad debería poder aportar mucho más que una captura de pantalla.
Puede disponer del documento firmado.
De la integridad criptográfica del PDF.
De la fecha.
Del contexto de la operación.
De los registros correspondientes.
Y, cuando resulte jurídicamente procedente, de los datos biométricos protegidos.
Un especialista puede entonces analizar la información dinámica de la firma y compararla con muestras de referencia.
El sistema no decide por sí solo una controversia jurídica.
Pero proporciona evidencias objetivas para que pueda ser analizada.
La importancia de la pericial caligráfica
Una firma biométrica bien implementada proporciona información que puede resultar de gran utilidad para un experto.
En una firma realizada en papel, el perito estudia características gráficas disponibles en el soporte.
En una firma dinámica dispone potencialmente de información adicional.
Cómo evolucionó la presión.
Con qué velocidad se realizaron determinados trazos.
En qué secuencia.
Dónde se produjeron aceleraciones o pausas.
Estos parámetros permiten enriquecer el análisis.
Por eso es importante que los datos se almacenen en un formato utilizable y que exista la capacidad de recuperarlos de forma controlada.
ISO 19794-7 y la representación de la biometría
En este contexto resulta relevante el uso de estándares para representar datos biométricos.
ISO 19794-7 está relacionado específicamente con datos de firma manuscrita dinámica.
El uso de formatos estructurados y documentados reduce la dependencia de representaciones propietarias difíciles de interpretar en el futuro.
edatalia dispone de tecnología de firma biométrica certificada conforme a ISO 19794-7.
Puedes consultar las garantías y certificaciones en:
Garantías y certificaciones de edatalia
La conservación no significa guardar todo indefinidamente
Existe un principio especialmente importante desde la perspectiva de protección de datos.
Más evidencias no siempre significa mejor sistema.
El RGPD establece principios como minimización y limitación del plazo de conservación.
La organización debe analizar qué evidencias necesita realmente y durante cuánto tiempo.
Conservar información sin una finalidad definida puede incrementar el riesgo en lugar de reducirlo.
La política de conservación debe relacionarse con las obligaciones legales, contractuales y probatorias de cada tipo de documento.
Datos biométricos y protección de datos
La firma biométrica merece especial atención porque puede implicar tratamiento de datos biométricos cuando existe un tratamiento técnico destinado a permitir o confirmar la identificación única de la persona.
La AEPD ha analizado este tipo de tratamientos y subraya la importancia de estudiar su necesidad, proporcionalidad, base jurídica y medidas de seguridad.
Consultar resolución AEPD sobre firma manuscrita electrónica Abrir en nueva ventana
Por eso, un proyecto bancario no debería plantearse únicamente desde IT.
Legal, Compliance, Seguridad, DPO y las áreas responsables del proceso deberían participar en el diseño.
Evidencia no significa acceso permanente
Existe una diferencia importante entre conservar una evidencia y tenerla disponible para consulta ordinaria.
El banco puede necesitar conservar la información biométrica durante un determinado periodo.
Eso no significa que todos sus usuarios deban poder acceder a ella.
Una buena arquitectura puede conservarla cifrada y permitir su recuperación únicamente mediante un procedimiento excepcional.
Este enfoque combina capacidad probatoria con minimización de exposición.
Qué debería permanecer dentro del PDF
Una arquitectura como la utilizada por edatalia permite que una parte fundamental de las evidencias permanezca asociada al propio documento.
Entre ellas pueden encontrarse la representación gráfica de la firma, la información biométrica cifrada y las evidencias criptográficas de integridad.
Esto convierte al PDF en algo más que una representación visual.
Se convierte en un contenedor de documento y evidencias.
La ventaja es especialmente importante cuando el fichero se mueve entre sistemas.
Archivo.
Gestor documental.
Backup.
Migración.
El documento puede mantener consigo las evidencias fundamentales.
Qué evidencias pueden permanecer fuera del PDF
No todo tiene necesariamente que incorporarse al documento.
Existen evidencias operativas que normalmente pertenecen a los sistemas de la entidad.
Logs de aplicación.
Identificadores internos.
Información sobre el puesto.
Eventos de integración.
Datos de auditoría.
El diseño debe decidir qué elementos deben viajar con el documento y cuáles forman parte de los registros corporativos.
El objetivo es evitar tanto la dispersión innecesaria como la sobrecarga del propio PDF.
Documento y logs deben poder relacionarse
Si existen evidencias en diferentes sistemas, debe existir una forma fiable de relacionarlas.
Por ejemplo, mediante identificadores de transacción.
El PDF puede incorporar una referencia.
Los logs pueden registrar la misma referencia.
El expediente bancario puede utilizarla también.
De esta forma, años después puede reconstruirse el proceso sin depender de búsquedas ambiguas por nombre o fecha.
Ejemplo de paquete de evidencias
Una entidad podría diseñar un paquete de evidencias formado por:
| Evidencia | Finalidad |
|---|---|
| PDF firmado | Contenido aceptado |
| Imagen de la firma | Representación visual |
| Datos biométricos cifrados | Análisis de autoría |
| Firma/sello digital | Integridad documental |
| Sello de tiempo | Evidencia temporal |
| ID de transacción | Relacionar sistemas |
| Identidad asociada | Relacionar firma y cliente |
| Logs de auditoría | Reconstruir el proceso |
| Información de versión | Reconstruir entorno técnico |
| Evidencias de validación | Verificación futura |
No todas las operaciones necesitarán exactamente el mismo conjunto.
La selección debe realizarse atendiendo al riesgo y al marco aplicable.
Evidencias y proporcionalidad
Un préstamo hipotecario y una aceptación administrativa sencilla no presentan necesariamente el mismo riesgo.
La estrategia de evidencias puede adaptarse.
Las operaciones de mayor relevancia pueden justificar mecanismos reforzados de identificación, sellado de tiempo, conservación o trazabilidad.
Para procedimientos de menor riesgo puede ser suficiente un conjunto diferente.
Una arquitectura flexible permite aplicar políticas distintas sin construir una solución independiente para cada producto.
Evidencias en firma biométrica y firma remota
También es importante comprender que diferentes modalidades de firma generan evidencias distintas.
En un proceso biométrico presencial tiene gran importancia la dinámica de la firma y el contexto de la oficina.
En una firma remota adquieren mayor relevancia los mecanismos utilizados para identificar y autenticar al usuario y la trazabilidad del recorrido digital.
No debería esperarse que ambas produzcan exactamente el mismo tipo de evidencia.
La entidad debe establecer qué necesita demostrar en cada canal.
Integración con el core bancario
La gestión de evidencias mejora considerablemente cuando la firma está integrada con las aplicaciones de la entidad.
El sistema conoce el cliente.
Conoce la operación.
Conoce el documento.
Conoce quién debe firmar.
Y puede devolver el resultado directamente al expediente correcto.
Esto evita pasos manuales que podrían romper la trazabilidad.
La integración es, por tanto, también una medida de calidad probatoria.
Wacom como dispositivo de captura
En procesos presenciales, los dispositivos profesionales Wacom permiten capturar la interacción manuscrita.
Pero la tableta es únicamente una parte de la arquitectura.
El valor final depende del software que recibe esos datos, los estructura, los protege y los vincula al documento.
Por eso comprar una tableta capaz de registrar presión no significa disponer automáticamente de una solución robusta de firma biométrica.
El dispositivo captura.
La plataforma construye la evidencia.
Puedes conocer las soluciones conjuntas en:
Wacom + edatalia: soluciones de firma digital manuscrita
Qué debería preguntar un banco a su proveedor
Antes de seleccionar una solución de firma biométrica, merece la pena plantear preguntas muy concretas:
- ¿Qué datos dinámicos se capturan?
- ¿En qué formato se almacenan?
- ¿Los datos biométricos se cifran?
- ¿Dónde se almacenan?
- ¿Cómo quedan vinculados al documento?
- ¿Puede detectarse una modificación posterior del PDF?
- ¿Se incorpora evidencia temporal?
- ¿Quién custodia las claves?
- ¿Quién puede acceder a la biometría?
- ¿Existe un procedimiento definido ante una impugnación?
- ¿Existe software para realizar análisis biométrico?
- ¿Podrá verificarse el documento dentro de varios años?
- ¿Qué logs se conservan?
- ¿Cómo se garantiza su integridad?
- ¿Qué estándares y auditorías respaldan la tecnología?
Las respuestas permiten distinguir entre un sistema que simplemente captura firmas y una verdadera plataforma de evidencias electrónicas.
Preguntas frecuentes sobre evidencias de firma biométrica en banca
¿Es suficiente conservar el PDF firmado?
Depende de cómo esté construido ese PDF. Si únicamente contiene una imagen de firma, las evidencias disponibles pueden ser limitadas. Una solución biométrica puede incorporar además información dinámica cifrada y protección criptográfica del documento.
¿Debe conservarse la imagen de la firma?
La representación visible es útil, pero no debería considerarse por sí sola la evidencia principal de un sistema biométrico.
¿Qué datos biométricos pueden conservarse?
Dependiendo de la solución pueden existir datos relacionados con posición, tiempo, presión, velocidad, aceleración y secuencia del trazo.
¿Los datos biométricos deberían estar cifrados?
Sí, el cifrado constituye una medida especialmente importante para proteger este tipo de información. La Guía CTEAJE contempla expresamente el cifrado de la información biométrica en el modelo de firma manuscrita que describe.
¿Es recomendable conservar la biometría dentro del PDF?
Es una arquitectura especialmente interesante porque permite mantener evidencia y documento vinculados. Los datos deben permanecer adecuadamente protegidos.
¿Debe guardarse la fecha de firma?
Sí, la fecha y hora forman parte de la trazabilidad. Cuando la evidencia temporal sea especialmente relevante puede utilizarse sellado de tiempo.
¿Qué aporta un sello de tiempo?
Permite aportar una evidencia criptográfica relacionada con la existencia de determinados datos en un momento concreto.
¿Qué ocurre si alguien modifica el documento?
Una firma o sello criptográfico correctamente aplicado permite detectar alteraciones posteriores del contenido protegido.
¿Qué son los logs de auditoría?
Son registros que documentan eventos producidos durante el proceso, como inicio y finalización de una operación. Complementan las evidencias contenidas en el documento.
¿Debe conservarse información del dispositivo?
Puede resultar útil como trazabilidad técnica, especialmente en grandes despliegues. Debe analizarse qué información aporta valor y aplicar minimización.
¿Qué ocurre si el cliente niega la firma?
Cuando la arquitectura lo contempla, la biometría puede recuperarse mediante un procedimiento controlado y utilizarse para un análisis especializado junto con el resto de evidencias del proceso.
¿Se pueden comparar firmas biométricas?
Sí, existen tecnologías que permiten comparar parámetros dinámicos entre firmas. El resultado debe interpretarse dentro del contexto adecuado y, cuando corresponda, de un análisis pericial.
¿Durante cuánto tiempo deben conservarse las evidencias?
No existe una respuesta única para todas las operaciones. Depende del documento, obligaciones legales, plazos contractuales y finalidad probatoria. La política debe respetar también los principios de protección de datos.
De guardar contratos a conservar evidencias
Durante años, la estrategia documental de muchas organizaciones consistía esencialmente en conservar una copia del contrato.
En un proceso digital esa visión puede quedarse corta.
No solo importa disponer del fichero.
Importa poder demostrar:
quién firmó.
qué documento firmó.
cómo se produjo la firma.
cuándo ocurrió.
que el contenido no ha sido modificado.
y que las evidencias se han mantenido protegidas.
Esta es la diferencia entre almacenar PDFs y disponer de una verdadera estrategia de evidencia electrónica.
Conclusión
En un proceso de firma biométrica en banca, conservar únicamente la imagen de la firma supone desaprovechar gran parte de las ventajas de la tecnología.
Una solución profesional debería permitir construir un conjunto coherente de evidencias alrededor de la operación.
El documento firmado.
La representación gráfica.
Los datos biométricos dinámicos.
Su protección mediante cifrado.
La integridad criptográfica del PDF.
La fecha y hora.
La trazabilidad de la operación.
Los registros de auditoría.
La custodia de las claves.
La posibilidad de análisis pericial.
Y los mecanismos necesarios para conservar y verificar el documento a largo plazo.
No todas estas evidencias tienen el mismo propósito.
Pero juntas permiten responder a la pregunta verdaderamente importante:
Si dentro de varios años un cliente niega haber firmado este contrato, ¿podemos reconstruir y demostrar de manera sólida qué ocurrió?
Ese debería ser uno de los criterios fundamentales al diseñar una solución de firma biométrica para una entidad financiera.
En edatalia abordamos la firma manuscrita precisamente desde esta perspectiva: no como una imagen, sino como un sistema de evidencias electrónicas protegidas y vinculadas al documento.
Para conocer nuestra experiencia en el sector financiero:
edatalia, referente en firma digital manuscrita para banca en España y Latinoamérica
Y para conocer cómo eliminar el papel del proceso:
Firma biométrica en banca: cómo eliminar el papel en las sucursales
¿Quieres revisar las evidencias que genera tu actual proceso de firma?
En edatalia ayudamos a entidades financieras y organizaciones a diseñar soluciones de firma manuscrita biométrica con evidencias electrónicas robustas.
Nuestra tecnología permite capturar datos dinámicos de firma, protegerlos criptográficamente, vincularlos al documento y combinar el proceso con mecanismos de integridad, sellado de tiempo y conservación documental.
Conoce nuestra solución con Wacom:
Wacom + edatalia: firma digital manuscrita
Consulta nuestras garantías y certificaciones:
Garantías y certificaciones de edatalia
Y consulta la referencia técnica pública que hemos utilizado para algunos de los criterios descritos:
Sigue leyendo
Casos de uso e integraciones
Firma biométrica vs firma remota en banca: cuándo utilizar cada una
10 de septiembre de 2026
Casos de uso e integraciones
Firma biométrica en banca: cómo eliminar el papel en las sucursales
2 de septiembre de 2026
Casos de uso e integraciones
Firma biométrica en banca: cómo eliminar el papel en las sucursales
27 de agosto de 2026
¿Estás digitalizando tu proceso de firma?
Hablamos contigo y te enseñamos qué encaja en tu caso.