# Matriz de cumplimiento normativo — Mecanismo de Firma Electrónica Contrivio
Versión 1.0. Las citas se limitan a disposiciones identificables. Se diferencia obligación legal de buena práctica técnica. Contrivio no es Entidad de Certificación Digital.
| NORMA | ARTÍCULO | REQUISITO | CONTROL CONTRIVIO | IMPLEMENTACIÓN | EVIDENCIA | ESTADO | RIESGO | PENDIENTE |
|---|---|---|---|---|---|---|---|---|
| Ley 527 de 1999 | Art. 2 | Definir mensaje de datos y firma | El PDF y sus metadatos se tratan como mensaje de datos; el mecanismo propio se denomina Firma Electrónica Contrivio | Código y política de firma | `md/legal/politica-firma-electronica-contrivio.md` | Implementado | Bajo | — |
| Ley 527 de 1999 | Art. 5 | Reconocimiento jurídico de mensajes de datos | Conservación del PDF definitivo y de su hash | `documentos_firmados.sha256` | Tabla y archivo | Implementado | Medio | Valoración jurídica caso a caso |
| Ley 527 de 1999 | Art. 7 | Firma de un mensaje de datos | Identificación, consentimiento, OTP e integridad | Flujo de firma | Consentimiento + OTP + `firma_bin` | Implementado | Medio | No equivale a firma digital de ECD |
| Ley 527 de 1999 | Art. 9 | Integridad | SHA-256 y detección de alteración | `openssl_verify` + hash | Verificación pública | Implementado | Bajo | — |
| Ley 527 de 1999 | Art. 10 y 12 | Original y conservación | No sobrescribir PDF firmado; nueva versión = nueva operación | Persistencia por código CV | Archivos versionados | Implementado | Medio | Política de retención a largo plazo |
| Ley 527 de 1999 | Disposiciones sobre entidades de certificación | Contrivio no actúa como ECD | Textos de producto y verificación | Etiquetas y política | Implementado | Alto si se afirma lo contrario | No emitir certificados |
| Decreto 2364 de 2012 | Art. 1 | Objeto: firma electrónica | Mecanismo propio distinto del P12/PFX de tercero | Módulos separados | Código | Implementado | Bajo | — |
| Decreto 2364 de 2012 | Art. 3 | Confiabilidad del método (identificación, control, detección de alteraciones) | Cuenta + OTP + hash + auditoría | Gobernanza | Tablas de operación y auditoría | Parcial | Medio | Evaluación formal de equivalencia |
| Decreto 2364 de 2012 | Arts. 1 a 3 | Manifestación de voluntad y método | Consentimiento expreso por operación | `firma_consentimientos` | Texto versionado | Implementado | Bajo | — |
| Ley 1581 de 2012 | Art. 3 | Principios de tratamiento | Finalidades informadas y separación comercial | Aviso y política | Aceptaciones | Parcial | Medio | Canal formal de PQRS |
| Ley 1581 de 2012 | Art. 8 | Derechos del titular | Consulta, rectificación, supresión cuando proceda | Política de datos | `md/legal/politica-tratamiento-datos.md` | Parcial | Medio | Flujo de supresión en UI |
| Ley 1581 de 2012 | Art. 17 | Deberes del responsable | Seguridad, confidencialidad, autorización | Cifrado por propósito, ACL de descargas | Código y `.htaccess` | Implementado | Medio | Inventario formal de bases |
| Decreto 1074 de 2015 | Normas compiladas de habeas data (autorización e información) | Autorización y aviso | Checkboxes separados (necesaria / comercial) | `privacidad_aceptaciones` | Implementado | Medio | Programa integral de datos |
| Ley 43 de 1990 | Art. 1 y normas sobre ejercicio profesional | Identificación como Contador Público | Nombre, C.C. y T.P. del perfil, no editables en la firma | Snapshot del firmante | Implementado | Bajo | — |
| Ley 43 de 1990 | Tarjeta profesional | Conservar T.P. en el acto profesional | Campo congelado en evidencia | `firmante_tp` | Implementado | Bajo | — |
| Buena práctica técnica | — | OTP ligado a hash y operación | HMAC + invalidación | `firma_otp` | Implementado | Bajo | — |
| Buena práctica técnica | — | No PAdES | Documentar evidencia externa | `pdf-signer.php` | Implementado | Medio | PAdES futuro |
| Buena práctica técnica | — | Conversión fiel Word→PDF | LibreOffice headless; no firmar texto XML extraído | `convertirDocxAPdf` | Parcial | Alto sin LibreOffice | Instalar LibreOffice en servidor |
Política del Mecanismo de Firma Electrónica Contrivio Declaración de prácticas de firma electrónica Política de Tratamiento de Datos Personales Aviso de Privacidad Acuerdo de Uso del Mecanismo de Firma Electrónica Contrivio Matriz de cumplimiento normativo (firma)