¿Cómo pueden las empresas garantizar la trazabilidad y auditoría de sus documentos firmados mediante API?

Cuando una empresa digitaliza sus procesos de firma, una de las primeras preguntas que llega desde el área legal o de compliance es: si algún día necesitamos demostrar que este documento fue firmado, por quién, cuándo y bajo qué condiciones, ¿podemos hacerlo?

La respuesta corta es sí. Pero la trazabilidad no ocurre sola — requiere entender qué información genera DIGID en cada paso del proceso y cómo el sistema del cliente la captura y conserva.

Qué genera DIGID en cada operación

Cada operación en DIGID produce datos con timestamp y estado que permiten reconstruir la historia completa de un documento.

Al crear el documento: DIGID asigna un IdDocumento único e inmutable. Ese identificador es la llave de todo lo que ocurra después con ese documento.

Al asignar firmantes: cada firmante recibe su propio IdFirmante. Desde ese momento, todas las acciones de ese firmante quedan vinculadas a esa combinación de IdDocumento + IdFirmante.

Durante el proceso: los webhooks emiten un evento por cada cambio de estado — cuando el firmante inicia el proceso, cuando pasa el KYC, cuando firma, cuando el documento se concluye. Cada evento incluye la fecha y hora exacta en formato ISO 8601.

Al concluir: DIGID genera el documento firmado con la constancia de conservación NOM-151 integrada. Esa constancia acredita la integridad del documento y su temporalidad — es el equivalente de un sello de tiempo con validez legal.

La cadena de evidencia que queda disponible

Para cada documento que pasa por DIGID, el sistema produce:

El documento firmado: PDF con las firmas aplicadas en las posiciones definidas, descargable mediante API con el IdDocumento.

La constancia NOM-151: acredita que el documento existía en ese estado en ese momento. Tiene valor legal ante terceros y autoridades.

El registro de KYC por firmante (cuando aplica): incluye el resultado biométrico completo — face match score, liveness score, validez del documento — más el PDF de la verificación con las imágenes capturadas. El session_id de KYC vincula esa verificación con el firmante específico.

Los eventos de webhook: cada evento tiene timestamp propio. La secuencia completa — inicio, KYC, aprobación, firma, conclusión — permite reconstruir cuánto tardó cada paso y en qué momento exacto ocurrió cada acción.

Los metadatos de la IP: el resultado KYC incluye la IP desde la que se realizó la verificación, su geolocalización y si correspondía a una VPN o red Tor.

Cómo capturar esa trazabilidad desde la API

La trazabilidad efectiva requiere que el sistema del cliente guarde los identificadores correctos en el momento correcto. El patrón recomendado:

Al crear el documento: guardar el IdDocumento que devuelve DIGID, vinculado al registro interno del cliente (el contrato, la operación, el expediente).

Al asignar firmantes: guardar el IdFirmante por cada firmante, vinculado al usuario o cliente en el sistema.

Al recibir cada webhook: persistir el evento completo — tipo de notificación, estado, timestamp — en una tabla de auditoría. No solo el estado final: cada evento intermedio forma parte de la evidencia.

Al concluir el proceso: descargar y almacenar el documento firmado y la constancia NOM-151 en el sistema de archivos propio, vinculados al IdDocumento. No depender indefinidamente de que el documento esté disponible en los servidores de DIGID.

Consulta de estado en tiempo real

Además de los webhooks, la API de DIGID permite consultar el estado actual de cualquier documento y sus firmantes en cualquier momento. Si un evento de webhook se perdió o si se necesita reconciliar el estado del sistema con DIGID, los endpoints de consulta devuelven el estado actualizado.

Esto es relevante para auditorías retroactivas: si meses después se necesita verificar el estado de un proceso, la consulta directa a la API con el IdDocumento devuelve el estado y los detalles actuales.

El valor de la NOM-151

La constancia de conservación NOM-151 es lo que convierte la firma electrónica en evidencia legalmente válida en México. Acredita dos cosas:

Integridad: el documento no fue modificado después de firmarse. Cualquier alteración posterior invalida la constancia.

Temporalidad: el documento existía en ese estado exacto en esa fecha y hora. Esto es lo que permite presentarlo como prueba ante una autoridad — la constancia certifica cuándo ocurrió la firma, no solo que ocurrió.

DIGID genera la constancia NOM-151 automáticamente cuando el proceso de firma se completa. El sistema del cliente puede descargarla mediante API y conservarla junto al documento firmado.

Cuánto tiempo conservar los documentos

La respuesta depende de la obligación legal de cada tipo de documento. En términos generales:

• Contratos mercantiles: 10 años (Código de Comercio)

• Documentos fiscales: 5 años (SAT)

• Expedientes de crédito: durante la vigencia del crédito más el plazo de prescripción aplicable

• Documentos laborales: variable según la STPS

DIGID conserva los documentos en sus servidores durante el periodo que corresponda al plan contratado. Para cumplimiento de largo plazo, la práctica recomendada es descargar y almacenar en el sistema propio del cliente — con el documento firmado, la constancia NOM-151 y el PDF del KYC si aplica — en el momento en que el proceso concluye.

Preguntas frecuentes

¿El documento firmado con DIGID tiene validez probatoria ante un juez? Sí, cuando cumple con los requisitos de la firma electrónica avanzada o simple según aplique, y la constancia NOM-151 acredita su integridad y temporalidad. La validez específica depende del tipo de documento y del contexto legal — el área jurídica de la empresa puede determinar el nivel de firma requerido para cada tipo de documento.

¿Qué pasa si el webhook no llegó y no tenemos registro de un evento? El estado puede recuperarse consultando directamente la API con el IdDocumento. Los endpoints de consulta devuelven el estado actual del documento y de cada firmante. Para una auditoría completa, lo ideal es tener ambas fuentes: los eventos webhook capturados y la capacidad de consultar el estado en tiempo real.

¿DIGID puede generar un reporte de auditoría para presentar en una revisión? El sistema del cliente es quien concentra los registros de auditoría capturados de los webhooks y las consultas a la API. DIGID provee los datos; la empresa los estructura según sus necesidades de compliance. Si se necesita un reporte específico para una auditoría, se construye a partir de los datos capturados y almacenados internamente.

¿El KYC queda vinculado al documento firmado en el expediente de DIGID? Sí. El IdFirmante vincula al firmante con el documento, y el session_id de KYC vincula la verificación de identidad con ese firmante. La cadena completa — identidad verificada → firmante habilitado → documento firmado → constancia NOM-151 — queda trazable con esos identificadores.

¿Qué pasa si necesitamos demostrar que el firmante no fue suplantado? El resultado del KYC incluye los puntajes de face match (comparación del rostro del documento con la selfie) y liveness (prueba de que hay una persona real frente a la cámara), más las imágenes capturadas durante el proceso. Esa evidencia biométrica, junto con la constancia NOM-151, forma el expediente de identidad del firmante para ese documento.

Firma con evidencia completa desde el primer documento

Cada proceso que pasa por DIGID genera la trazabilidad necesaria para una auditoría: identidad verificada, eventos con timestamp, documento firmado y constancia NOM-151. La empresa solo necesita capturarla y conservarla.

Habla con tu ejecutivo de DIGID para diseñar la arquitectura de trazabilidad que corresponde a tu operación.