Załącznik nr 4 do Umowy Autoryzującej Partnerski Punkt Rejestracji Procedura uzyskania uprawnień przez Operatora, proces weryfikacji oraz wydawanie Kwalifikowanego Podpisu Elektronicznego przez ADS 1. Proces związany z uruchomieniem PPT u Partnera... 2 2. ETAP 1: Zawarcie Umowy Autoryzującej Punkt Potwierdzania Tożsamości (PPT).... 3 3. ETAP 2: Uzyskanie uprawnień Operatora PPT przez wybranych pracowników PARTNERA.. 3 4. ETAP 3: Zarządzanie: usługi zaufania i aplikacje mobilne.... 4 4.1. Proces wydania kwalifikowanego podpisu zestaw z kartą kryptograficzną.... 4 4.2. Proces wydania chmurowego kwalifikowanego podpisu w usłudze SimplySign... 5 4.3. Dystrybucja aplikacji u PARTNERA... 6 4.4. Zarządzanie procesem unieważnienia certyfikatów kwalifikowanych pracowników PARTNERA. 6 4.5. Proces wydawania certyfikatów kwalifikowanych dla Subskrybenta realizowany po stronie Certum.... 7 4.6. API - Automatyzacja procesu wydawania certyfikatów... 8 5. ETAP 4: Audyty działalności Punktu Potwierdzania Tożsamości... 8
1. Proces związany z uruchomieniem PPT u Partnera Niniejszy dokument opisuje biznesowo-organizacyjne elementy związane z otwarciem PPT (Punkt Potwierdzenia Tożsamości) u Partnera biznesowego. W tym celu cały proces podzielono na 4 kluczowych etapów, które muszą zostać spełnione w całości przez potencjalnego Partnera ETAP 1: Zawarcie umowy autoryzacyjnej Punktu Potwierdzania Tożsamości (PPT) ETAP 2: Uzyskanie uprawnień Operatora PPT przez wybranych pracowników PARTNERA ETAP 3: Zarządzanie: usługi zaufania i aplikacje mobilne ETAP 4: Audyt PPT
2. ETAP 1: Zawarcie Umowy Autoryzującej Punkt Potwierdzania Tożsamości (PPT). 1. Opiekun PARTNERA ze strony Asseco Data Systems przekaże do potencjalnego PARTNERA Umowę Autoryzującą PPT wraz z załącznikami. 2. PARTNER uzupełnia dane i przesyła na wskazany adres do korespondencji po strony Asseco Data Systems podpisaną Umowę Autoryzującą PPT wraz z Załącznikami to jest: Wniosek o upoważnienie pracowników PARTNERA do pełnienia roli Operatora PPT, Umowa powierzenia przetwarzania danych osobowych, Oświadczenie Partnera Certum stosowania wymogów RODO dotyczące bezpieczeństwa przetwarzania danych, Oświadczenie lub urzędowe zaświadczenie, że nie był skazany prawomocnym wyrokiem za przestępstwo przeciwko wiarygodności dokumentów, obrotowi gospodarczemu, obrotowi pieniędzmi i papierami wartościowymi, przestępstwo skarbowe lub przestępstwa, o których mowa w rozdziale VI Ustawy o usługach zaufania i identyfikacji elektronicznej, dla Operatorów PPT, Potwierdzenie tożsamości przyszłego Operatorów PPT potwierdzenie może być wykonane przez osobę która ma takie uprawnienia (Operator PPT, PR) lub przez Notariusza. 3. PARTNER zapewnia że osoby pełniące rolę Operatora PPT posiadają pełną zdolność do czynności prawnych. 4. Po pozytywnej weryfikacji Umowy Autoryzującej PPT, uzyskaniu pozytywnego wyniku z testu przez Operatów PPT, Asseco Data Systems S.A. nadaje PARTNEROWI dedykowany numer w systemie wewnętrznym CERTUN. 3. ETAP 2: Uzyskanie uprawnień Operatora PPT przez wybranych pracowników PARTNERA. 1. Asseco Data Systems przeszkoli Operatorów PPT wskazanych przez PARTNERA we wniosku o upoważnienie osób do pełnienia roli Operatora PPT, którego wzór określony jest w Załączniku nr 1 do Umowy. 2. Asseco Data Systems zakłada i udostępnia konta na platformie szkoleniowej dla Operatorów PPT wskazanych we wniosku o upoważnienie osób do pełnienia roli Operatora PPT (dane dostępowe zostaną przekazane drogą mailową bezpośrednio do Operatora PPT na adres e-mail wskazany we wniosku). 3. Operator PPT odbywa szkolenie (odnawiane co roku) na platformie http://akademiacertum.assecods.pl/. Szkolenie obejmuje zagadnienia z zakresu usług zaufania, procedury weryfikacji tożsamości i dokumentów tożsamości oraz innych dokumentów wymaganych od Subskrybentów. 4. Asseco Data Systems udziela pełnomocnictwa Operatorom PPT. 5. Operator PPT otrzyma od Asseco Data Systems w przypadku obsługi ścieżki ekspresowej zestaw lub usługę SimpliSign do podpisu kwalifikowanego, wykorzystywał do podpisywania
przekazywanych do Certum dokumentów Subskrybentów w procesie wydawania Kwalifikowanych Certyfikatów. 6. Operator PPT zobowiązany jest przedstawić zaświadczenie lub oświadczenie o niekaralności raz do roku. 4. ETAP 3: Zarządzanie: usługi zaufania i aplikacje mobilne. 4.1. Proces wydania kwalifikowanego podpisu zestaw z kartą kryptograficzną. 1. Subskrybent przechodzi do formularza, gdzie wprowadza swoje dane. Po wypełnieniu formularza danymi następuje wyświetlenie podsumowania, przy czym w każdej chwili Subskrybent ma możliwość poprawienia danych, w tym celu należy cofnąć proces o krok w tył za pomocą guzika powrót do edycji. 2. System Certum wyświetla informację potwierdzającą wypełnienie formularza wraz z instrukcjami dalszego postępowania. Podczas wypełniania formularza należy wprowadzić numer PARTNERA. 3. System CERTUM generuje dokumenty formalne potrzebne do wystawienia Certyfikatu i wysyła wiadomością e-mail: Informację o wygenerowaniu dokumentów do Subskrybenta. Informację o wygenerowaniu dokumentów na skrzynkę elektroniczną PARTNERA. Uwaga: Subskrybent i Operator PPT mają możliwość pobrania dokumentów. 4. Subskrybent lub Operator PPT drukuje następujące dokumenty: a) Umowa z subskrybentem 2 egzemplarze, b) Załącznik nr 1 - Wniosek o wydanie certyfikatu kwalifikowanego 2 egzemplarze, c) Pełnomocnictwo w przypadku certyfikatów z dodatkowymi danymi (firmowych) lub certyfikatów pieczęci elektronicznej - 1 egzemplarz, d) Oświadczenie o potwierdzeniu tożsamości wnioskodawcy 1 egzemplarz. 5. Operator PPT z należytą starannością dokonuje weryfikacji tożsamości subskrybenta w oparciu o okazany przez Subskrybenta dokument tożsamości. 6. Subskrybent w obecności Operatora PPT podpisuje Umowę i Załącznik nr 1. Operator PPT podpisuje Umowę i Oświadczenie o potwierdzeniu tożsamości w imieniu Asseco Data Systems. 7. Operator PPT przekazuje Subskrybentowi 1 podpisany egzemplarz dokumentów: a) Umowa z subskrybentem. b) Załącznik nr 1 - Wniosek o wydanie certyfikatu kwalifikowanego.
8. Operator PPT wysyła w przypadku ścieżki ekspresowej zeskanowany komplet dokumentów w sposób zaszyfrowany na adres ekspres@certum.pl, komplet dokumentów podpisany jest przez Operatora PPT certyfikatem kwalifikowanym. Oryginały wysyłane są Pocztą Polską lub Kurierem z dopiskiem na kopercie z dokumentami ścieżka ekspresowa. 4.2. Proces wydania chmurowego kwalifikowanego podpisu w usłudze SimplySign. 1. Kody aktywacyjne do usługi SimplySign, umożliwiają aktywację Tokena OTP (dostępnego w ramach aplikacji SimplySign) oraz rozpoczęcie procesu wypełnienia formularza z danymi do kwalifikowanego certyfikatu podpisu elektronicznego lub kwalifikowanej pieczęci elektronicznej. 2. Subskrybent pobiera aplikację SimplySign. 3. Operator PPT wysyła do Subskrybenta wiadomość e-mail zawierającą kod aktywacyjny usługi SimplySign oraz link do formularza wniosku o Kwalifikowany Certyfikatu Podpisu Elektronicznego. 4. Subskrybent aktywuje pobraną aplikację SimplySign wykorzystując kod aktywacyjny. 5. Subskrybent przechodzi do formularza klikając w otrzymany w wiadomości e-mail link. Kod aktywacyjny zostanie automatycznie przeniesiony do formularza. Subskrybent uzupełnia kod CAPTCHA co umożliwia przejście do logowania. 6. Subskrybent loguje się do systemu IDP Certum wykorzystując wcześniej aktywowaną aplikację SimplySign: Należy podać adres e-mail taki sam jaki był wprowadzony podczas aktywacji aplikacji SimplySign. Do IDP Certum należy przepisać Token wygenerowany w aplikacji SimplySign. 7. Po prawidłowym uwierzytelnieniu Subskrybent zostanie automatycznie przeniesiony do formularza, gdzie należy wprowadzić dane Subskrybenta. 8. Po wypełnieniu formularza danymi następuje wyświetlenie podsumowania, przy czym w każdej chwili Subskrybent ma możliwość poprawienia danych, w tym celu należy cofnąć proces o krok w tył za pomocą guzika powrót do edycji. 9. System Certum wyświetla informację potwierdzającą wypełnienie formularza wraz z instrukcjami dalszego postępowania. Podczas wypełniania formularza należy wprowadzić numer PARTNERA. 10. System Certum generuje dokumenty formalne potrzebne do wystawienia Certyfikatu i wysyła wiadomością e-mail: Informację o wygenerowaniu dokumentów do Subskrybenta. Informację o wygenerowaniu dokumentów na skrzynkę elektroniczną PARTNERA. Uwaga: Subskrybent i Operator PPT mają możliwość pobrania dokumentów.
11. Subskrybent lub Operator PPT drukuje następujące dokumenty: a) Umowa z subskrybentem 2 egzemplarze, b) Załącznik nr 1 - Wniosek o wydanie certyfikatu kwalifikowanego 2 egzemplarze, c) Pełnomocnictwo w przypadku certyfikatów z dodatkowymi danymi (firmowych) lub certyfikatów pieczęci elektronicznej - 1 egzemplarz, d) Oświadczenie o potwierdzeniu tożsamości wnioskodawcy 1 egzemplarz. 12. Operator PPT z należytą starannością dokonuje weryfikacji tożsamości subskrybenta w oparciu o okazany przez Subskrybenta dokument tożsamości. 13. Subskrybent w obecności Operatora PPT podpisuje Umowę i Załącznik nr 1. Operator PPT podpisuje Umowę i Oświadczenie o potwierdzeniu tożsamości w imieniu Asseco Data Systems. 14. Operator PPT przekazuje Subskrybentowi 1 podpisany egzemplarz dokumentów: a) Umowa z subskrybentem. b) Załącznik nr 1 - Wniosek o wydanie certyfikatu kwalifikowanego. 15. Operator PPT wysyła w przypadku ścieżki ekspresowej zeskanowany komplet dokumentów w sposób zaszyfrowany na adres ekspres@certum.pl, komplet dokumentów podpisany jest przez Operatora PPT certyfikatem kwalifikowanym. Oryginały wysyłane są pocztą lub kurierem z dopiskiem na kopercie z dokumentami ścieżka ekspresowa. 4.3. Dystrybucja aplikacji u PARTNERA 1. Asseco Data Systems udostępnia na swoich stronach internetowych, lub w oficjalnych sklepach internetowych firmy Google lub Apple, pliki instalacyjne aplikacji SimplySign (aplikacja mobilna służąca do podpisywania dokumentów na urządzeniach mobilnych). W ramach tej aplikacji funkcjonuje również generator kodów token, który jest potrzebny do identyfikacji użytkownika w procesie logowania do usługi SimplySign. 2. Asseco Data Systems zarządza wydawaniem kolejnych wersji aplikacji. 3. PARTNER we własnym zakresie dystrybuuje wyżej wymienione aplikacje. 4.4. Zarządzanie procesem unieważnienia certyfikatów kwalifikowanych pracowników PARTNERA 1. PARTNER przekazuje do Asseco Data Systems listą imienną osób uprawnionych do wnioskowania - w imieniu PARTNERA - o unieważnienie przez Asseco Data Systems. Certyfikatów wydanych Operatorom PPT. 2. Osoby uprawnione do wnioskowania muszą posiadać Certyfikat kwalifikowany wydany przez Asseco Data Systems. 3. PARTNER może wnioskować o unieważnienie certyfikatu Operatora PPT tylko wtedy gdy posiada on certyfikat z danymi firmy danymi PARTNERA. 4. PARTNER jest zobowiązany przekazać aktualizację wspomnianej powyżej listy po każdej jej zmianie.
5. PARTNER nie ma prawa wnioskować o unieważnienie Kwalifikowanych Certyfikatów Podpisu Elektronicznego Subskrybentów, z wyjątkiem przypadków szczególnych określonych w Polityce Certyfikacji i Kodeksie Postępowania Certyfikacyjnego Kwalifikowanych Usług Zaufania CERTUM. 4.5. Proces wydawania certyfikatów kwalifikowanych dla Subskrybenta realizowany po stronie Certum. 1. Asseco Data Systems weryfikuje kompletność i prawidłowość otrzymanych dokumentów: a) Jeżeli dostarczone Pocztą Polską lub Kurierem dokumenty są prawidłowe, następuje wydanie Kwalifikowanego Certyfikatu Podpisu Elektronicznego przez Asseco Data Systems, do 7 dni od momentu ich dostarczenia przez Operatora PPT. b) Jeżeli dostarczone wiadomością e-mail ( ścieżka ekspresowa ) dokumenty są prawidłowe, następuje wydanie Kwalifikowanego Certyfikatu Podpisu Elektronicznego przez Asseco Data Systems, do 24 h od momentu ich dostarczenia przez Operatora PPT. dokumenty podpisane i przesłane do godziny 12 są obsługiwane tego samego dnia roboczego, dokumenty podpisane i przesłane po godzinie 12 są obsługiwane w następnym dniu roboczym. c) Informacja o wydaniu Certyfikatu jest wysyłana wiadomością e-mail do Subskrybenta. d) Informacja o wydaniu Certyfikatu jest wysyłana wiadomością e-mail do Operatora PPT (wiadomość e-mail nie zawiera kodu autoryzującego w systemie Certum, potrzebnego do uruchomienia procesu instalacji certyfikatu). e) Jeżeli występują błędy lub braki w komplecie dokumentów, do Operatorem PPT wysyłana jest informacja w celu ich poprawienia lub uzupełnienia. 2. Subskrybent przechodzi proces wgrania Certyfikatu na kartę kryptograficzną: a) Subskrybent loguje się na stronie wykorzystując otrzymany TELEKOD. b) Subskrybent weryfikuje ostatecznie i akceptuje dane zawarte w wydanym Kwalifikowanym Certyfikacie Podpisu Elektronicznego. c) Subskrybent samodzielnie nadaje PIN do karty kryptograficznej, do których dostęp powinien mieć tylko i wyłącznie Subskrybent. 3. Subskrybent przechodzi proces wgrania Certyfikatu do usługi SimplySign, podczas której: a) Subskrybent loguje się do systemu IDP CERTUM wykorzystując wcześniej aktywowaną aplikację SimplySign.
b) Subskrybent weryfikuje ostatecznie i akceptuje dane zawarte w wydanym Kwalifikowanym Certyfikacie Podpisu Elektronicznego. c) Subskrybent samodzielnie nadaje PIN i PUK do usługi SimplySign, do których dostęp powinien mieć tylko i wyłącznie Subskrybent. Uwaga: Asseco Data Systems nie przechowuje wyżej wymienionych kodów, przez co nie jest w stanie przypomnieć kodu: PIN lub PUK. Subskrybent ma możliwość samodzielnej zmiany kodu PIN i PUK oraz nadanie nowego PIN-u z wykorzystaniem kodu PUK według instrukcji znajdującej się na stronie www.simplysign.certum.pl/faq/. W przypadku utraty/zapomnienia kodu PUK (i zablokowania karty) przez Subskrybenta konieczne będzie podpisanie nowej umowy i wygenerowanie nowego Kwalifikowanego Certyfikatu Podpisu Elektronicznego. Po prawidłowym nadaniu kodu PIN-u i PUK-u certyfikat automatycznie wgrywany jest do usługi SimplySign Subskrybenta i jest gotowy do użytku (od dnia rozpoczęcia jego ważności). 4.6. API - Automatyzacja procesu wydawania certyfikatów Usługi świadczone przez CERTUM można bezproblemowo zintegrowany z dowolnym systemem PARTNERA wykorzystując do tego celu API. Wariant ten dostępny jest dla partnerów, którzy zakładają, że minimalna roczna ilość obsługiwanych klientów to: +1000 i więcej. W tym wariancie jest zawierana z PARTNEREM dedykowana umowa lub zawierany jest aneks od obecnej Umowy PPT. W razie pytań należy kontaktować się z opiekunem PARTNERA. 5. ETAP 4: Audyty działalności Punktu Potwierdzania Tożsamości 1. Asseco Data Systems jest uprawniony do przeprowadzania audytów działalności Punktu Potwierdzania Tożsamości PPT. 2. PARTNER zobowiązuje się do udostępnienia dowodów z procesów związanych z kompleksową obsługą weryfikacji tożsamości Subskrybentów. 3. PARTNER umożliwi na żądanie przeprowadzenie audytu on-site zewnętrznym audytorom w zakresie dotyczącym usługi wydawania Kwalifikowanych Certyfikatów Podpisu Elektronicznego, w ramach obowiązkowych audytów Usług Zaufania, którym Asseco Data Systems poddaje się zgodnie z wymaganiami rozporządzenia eidas.