Юридична чистота та Безпека Pakto

Pakto — це застосунок для укладення юридично значущих договорів та актів-доказів безпосередньо на смартфоні. Сторони підписують документ своїм особистим криптографічним ключем, а результатом стає PDF із вбудованим удосконаленим електронним підписом (УЕП).

Обмін підписами відбувається у двох режимах: офлайн — через QR-коди, без інтернету, та онлайн — через захищене посилання. В обох випадках приватний ключ підпису ніколи не залишає пристрій користувача.

Законодавство виділяє три рівні електронного підпису. Розуміння різниці між ними — ключ до оцінки юридичної сили документа.

ПЕП — простий електронний підпис

Найпростіший рівень: наприклад, ім'я в кінці листа або код із SMS. Підтверджує намір, але слабко пов'язаний з особою.

УЕП / AES — удосконалений електронний підпис

Криптографічний підпис, однозначно пов'язаний із підписувачем, який дозволяє виявити будь-яку зміну документа. Саме цей рівень забезпечує Pakto.

КЕП — кваліфікований електронний підпис

Найвищий рівень (наприклад, Дія.Підпис). За замовчуванням прирівнюється до власноручного. Pakto використовує КЕП одноразово — для первинної ідентифікації особи.

Модель Pakto спирається на чинне законодавство України та узгоджена з європейським регулюванням електронних довірчих послуг.

Цивільний кодекс України

ч. 3 ст. 207 — використання аналога власноручного підпису за згодою сторін.

Закон України № 2155-VIII

«Про електронну ідентифікацію та електронні довірчі послуги», ст. 1 та ст. 17-1 — вимоги до УЕП і КЕП.

Регламент ЄС № 910/2014 (eIDAS)

ст. 26 — вимоги до удосконаленого електронного підпису (advanced electronic signature).

Засоби підпису в Pakto створюють стійкий математичний зв'язок із підтвердженою особою та гарантують незмінність документа. Це трансформує підпис у удосконалений (УЕП), який сторони за взаємною згодою використовують як аналог власноручного.

На етапі онбордингу користувач підписує документ-запит своїм КЕП (Дія.Підпис). Сервер перевіряє цей підпис, витягує перевірені державою дані особи (ПІБ, РНОКПП) і прив'язує їх до згенерованого локального ключа пристрою.

Надалі під час кожного підписання саме ці раніше верифіковані дані вшиваються безпосередньо в договір — без потреби повторно проходити ідентифікацію.

Стаття 17-1 встановлює чотири обов'язкові вимоги до удосконаленого електронного підпису. Розглянемо кожну.

Для більшості господарських і цивільних договорів за згодою сторін підпис Pakto має повну юридичну силу. Проте існує межа, встановлена законом.

Основа безпеки Pakto — приватний ключ, який фізично не залишає пристрій користувача та захищений апаратно.

• Ключ генерується та зберігається в апаратному модулі безпеки (Secure Enclave / TEE) смартфона.
• Копіювання програмного ключа не допускається — його неможливо витягнути з пристрою.
• Доступ до підписання захищений біометрією власника (Face ID / відбиток).
• Використовується криптографія ECDSA на кривій P-256.

У цьому сценарії сторони підписують договори на власних телефонах без використання інтернету, обмінюючись даними через QR-коди.

• Перша сторона формує документ і підписує його своїм апаратним ключем.
• Дані передаються другій стороні через QR-код — без мережі.
• Друга сторона підписує документ своїм ключем; її підпис математично пов'язується з першим.
• Перевірені під час онбордингу дані особи вшиваються безпосередньо в договір.

У цьому сценарії сторони взаємодіють дистанційно, а обмін даними та підписами координується через сервер застосунку. Оскільки пристрої фізично різні та розділені, зв'язок «ключ — конкретна особа» фіксується ще чіткіше.

Після підписання документ криптографічно «запечатується»: обчислюється його хеш (SHA-256), який підписується ключем. Підпис кожної наступної сторони математично пов'язаний із попереднім.

Для УЕП критичною є фіксація часу підписання. Pakto використовує різні джерела часу залежно від режиму.

Онлайн-режим

Мітка часу (Timestamp) гарантовано береться з незалежних акредитованих європейських джерел точного часу (TSA).

Офлайн-режим

За відсутності мережі застосунок бере час із пристрою та встановлює відповідне попередження в документі.