Sign compliance reference

eIDAS alignment

Nurion Sign is designed for electronic signatures under Regulation (EU) No 910/2014. The product supports simple electronic signature and advanced electronic signature flows.

Assurance tiers

Simple electronic signature ceremonies use a one-time code sent to the signer's email address as signer evidence.

Advanced electronic signature ceremonies require a one-time code sent by text message and a mandatory identity-document attachment. A flow configured as advanced cannot be created without the required ID attachment slot.

GDPR roles and subprocessors

For customer signing ceremonies, the customer is the controller and Nurion is the processor. Nurion processes ceremony data under the customer's instructions and the applicable data processing agreement.

The named subprocessor list is published in the Nurion Trust Center. Sign processing categories include OTP delivery, EU-hosted object storage, transactional email, and the configured timestamp authority. Platform hosting remains in the European Economic Area.

Retention rules

Retention is selected per flow or document category. Minimum floors are ten years for tax, medical, and standard categories, and three years for short-term categories.

An organisation can extend retention. It cannot shorten retention below the configured floor. Legal hold and dispute state block erase and purge while they apply.

DSS conformance

PDF signing uses a dedicated crypto service backed by the EU DSS reference implementation through open-pdf-sign. Production signing targets PAdES B-LTA and fails closed if timestamp or revocation data cannot be collected.

The seal uses Nurion's own platform certificate and an RFC 3161 timestamp. Any change to a sealed document breaks the seal.

Audit trail and evidence PDF

The evidence record contains ceremony creation, invitation, opening, document viewing, OTP, consent, signature, evidence sealing, cancellation, expiry, dispute, and download events as applicable.

Evidence events record timestamps, hashes, signature metadata, certificate serial and thumbprint, timestamp authority URL, IP address, and user agent where relevant. Narrative dispute text is not stored in evidence; only its hash is recorded.

Data residency

Primary application data and object storage are hosted in the European Economic Area. Signed PDFs, evidence PDFs, attachments, and bundles use deterministic object keys scoped by organisation and ceremony.

Legal scope

Nurion provides signing infrastructure and evidence. The sender remains responsible for signer authority, document classification, retention category, and whether a simple or advanced signature is appropriate for the transaction.

eIDAS-Ausrichtung

Nurion Sign ist für elektronische Signaturen nach Verordnung (EU) Nr. 910/2014 ausgelegt. Das Produkt unterstützt einfache und fortgeschrittene elektronische Signaturen.

Assurance-Stufen

Einfache elektronische Signaturen nutzen einen Einmalcode an die E-Mail-Adresse des Unterzeichnenden als Nachweis.

Fortgeschrittene elektronische Signaturen verlangen einen Einmalcode per SMS und ein verpflichtendes Identitätsdokument als Anhang. Ein als fortgeschritten konfigurierter Flow kann ohne verpflichtenden ID-Anhang nicht erstellt werden.

DSGVO-Rollen und Unterauftragsverarbeiter

Bei Kundenzeremonien ist der Kunde Verantwortlicher und Nurion Auftragsverarbeiter. Nurion verarbeitet Zeremoniedaten nach Weisung des Kunden und auf Grundlage der geltenden Auftragsverarbeitungsvereinbarung.

Die namentliche Liste der Unterauftragsverarbeiter steht im Nurion Trust Center. Sign-Verarbeitungskategorien sind OTP-Zustellung, EU-gehosteter Objektspeicher, transaktionale E-Mail und die konfigurierte Zeitstempelstelle. Das Plattform-Hosting bleibt im Europäischen Wirtschaftsraum.

Aufbewahrungsregeln

Die Aufbewahrung wird pro Flow oder Dokumentkategorie gewählt. Mindestfristen sind zehn Jahre für Steuer-, Medizin- und Standardkategorien sowie drei Jahre für Kurzzeitkategorien.

Eine Organisation kann die Aufbewahrung verlängern. Sie kann sie nicht unter die konfigurierte Mindestfrist senken. Legal Hold und Streitfallstatus blockieren Löschung und Bereinigung, solange sie gelten.

DSS-Konformität

PDF-Signaturen laufen über einen dedizierten Kryptodienst mit der EU-DSS-Referenzimplementierung über open-pdf-sign. Produktion signiert mit Ziel PAdES B-LTA und bricht geschlossen ab, wenn Zeitstempel- oder Sperrdaten nicht gesammelt werden können.

Das Siegel nutzt Nurions eigenes Plattformzertifikat und einen Zeitstempel nach RFC 3161. Jede Änderung an einem versiegelten Dokument bricht das Siegel.

Audit Trail und Evidenz-PDF

Der Evidenznachweis enthält je nach Verlauf Erstellung, Einladung, Öffnung, Dokumentansicht, OTP, Zustimmung, Signatur, Evidenzversiegelung, Abbruch, Ablauf, Streitfall und Download-Ereignisse.

Evidenzereignisse speichern Zeitpunkte, Hashes, Signaturmetadaten, Zertifikatsseriennummer und Fingerabdruck, Zeitstempelstellen-URL, IP-Adresse und User Agent, soweit relevant. Freitext zum Streitfall wird nicht in der Evidenz gespeichert, sondern nur als Hash erfasst.

Datenresidenz

Primäre Anwendungsdaten und Objektspeicher liegen im Europäischen Wirtschaftsraum. Signierte PDFs, Evidenz-PDFs, Anhänge und Bündel nutzen deterministische Objektpfade nach Organisation und Zeremonie.

Rechtlicher Umfang

Nurion stellt Signaturinfrastruktur und Evidenz bereit. Der Absender bleibt verantwortlich für Vertretungsbefugnis, Dokumentklassifizierung, Aufbewahrungskategorie und die Wahl zwischen einfacher und fortgeschrittener Signatur.