SERVICIO DE EMISIÓN, RENOVACIÓN Y DESBLOQUEO DE FIRMAS DIGITALES, ENTREGA SEGÚN DEMANDA

• Licencia Municipal e impuesto Patente:
  • Los oferentes domiciliados fuera del cantón de San Carlos, deberán presentar copia de la licencia municipal de su respectivo municipio que los faculte para brindar la actividad requerida y deben aportar una constancia emitida por su respectivo municipio donde indique que se encuentran al día con el pago de los impuestos de la patente, la misma no debe superar una vigencia mayor de 30 días naturales de emitida.
  • Los oferentes domiciliados fuera del cantón de San Carlos pueden omitir la presentación de la constancia de encontrarse al día con el pago de los impuestos de la patente, si cuentan en su Municipio con una plataforma virtual donde se pueda verificar esta información. Los oferentes solo deben de indicar en su oferta el link o hipervínculo donde la Administración pueda verificar dicha información.
  • Para los oferentes domiciliados en el cantón de San Carlos, deberán presentar copia de la licencia municipal que los faculte para brindar la actividad requerida y la administración verificara que se encuentre al día con el pago del impuesto de la patente.
• Presentar la personería jurídica con máximo un mes de emitida.
• El oferente debe tener Póliza de Riesgos de Trabajo vigente e inscrita ante la aseguradora respectiva en la actividad económica que los faculte para brindar el servicio requerido, con su oferta debe adjuntar la constancia de seguro que demuestre que la póliza se encuentra vigente y al día con el pago.
• Si la oferta es presentada por una persona diferente al representante legal se deberá aportar un poder general o un poder especial que cumpla con las facultades del Articulo 1255 y 1256 del Código Civil. De ser un poder especial el mismo debe estipular expresamente las facultades otorgadas al apoderado.
• Presentar la estructura de precios, tanto en términos absolutos (₡) como porcentuales (%).
• Indicar cuales son los índices oficiales de precios y costos asociados con los costos directos e indirectos de la estructura de precios para una posible aplicación de reajuste de precios.

• Cumplimiento normativo del servicio y la Autoridad Certificadora
  • En cuanto a la equivalencia jurídica y validez legal, los certificados y las firmas digitales ofrecidas deben satisfacer lo dispuesto en el Artículo 3 y el Artículo 8 de la Ley 8454. Esto garantiza que los documentos electrónicos firmados tengan el mismo valor jurídico y fuerza probatoria que un documento físico con firma manuscrita. La solución propuesta debe garantizar que las firmas generadas tengan plena equivalencia normativa a la firma autógrafa, cumpliendo con los estándares de autenticidad, integridad y no repudio definidos en la Ley N° 8454.
  • El oferente debe contar con la acreditación ante el Sistema Nacional de Certificación Digital (SNCD). De acuerdo con el Capítulo IV de la ley, los proveedores de servicios de certificación deben estar debidamente autorizados y registrados. En Costa Rica, el sistema es regulado por la Dirección de Certificadores de Firma Digital (del MICITT). Por lo tanto, el oferente que emita los certificados debe estar debidamente acreditado y vigente ante la Dirección de Certificadores de Firma Digital del Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT).
  • Se debe garantizar el uso de dispositivos de creación de firma seguros. En este sentido, la ley y sus reglamentos técnicos exigen que las claves privadas se almacenen en dispositivos que impidan su duplicación o acceso no autorizado. Comúnmente se requiere hardware con certificaciones internacionales. Los componentes físicos de hardware (tarjetas inteligentes, tokens USB o HSM) deben contar con certificaciones de seguridad ampliamente reconocidas, tales como FIPS 140-2 Nivel 3 o superior, o Common Criteria EAL4+, para asegurar la protección del par de llaves criptográficas.
  • Debe garantizarse el cumplimiento de estándares de formato e interoperabilidad. Para que la firma sea duradera y verificable por terceros (como otras instituciones del Estado), debe seguir estándares técnicos específicos que aseguren la integridad a largo plazo (LTV) y el sellado de tiempo. Para cumplir con este mandato legal, el servicio de firma digital debe soportar formatos estándares internacionales (PAdES, XAdES o CAdES) y debe incluir obligatoriamente el servicio de sellado de tiempo (timestamping) provisto por una autoridad de sellado autorizada dentro del SNCD.
  • Se debe brindar garantía de revocación y disponibilidad del servicio. El servicio provisto deberá garantizar la disponibilidad de los servicios de consulta de estado de certificados (listas de revocación CRL o protocolo OCSP) las 24 horas del día, los 365 días del año, asegurando que la validación de las firmas pueda realizarse en tiempo real.
• Cumplimiento normativo de los certificadores registrados
  • Los Certificadores Registrados son las Autoridades de Registro que deben garantizar la identificación fehaciente del solicitante mediante la comparecencia física o los medios tecnológicos autorizados por la Dirección de Certificadores, verificando la validez y vigencia de los documentos de identidad oficiales y asegurando que los datos del certificado correspondan exactamente a la identidad del suscriptor.
  • El adjudicatario deberá conformar y mantener un expediente de registro, ya sea físico o electrónico, por cada certificado emitido, el cual debe contener toda la documentación de respaldo, los formularios de solicitud debidamente firmados y las evidencias de validación de identidad, garantizando su custodia y conservación por el plazo legal establecido.
  • Las oficinas y puntos de atención de los Certificadores Registrados deben cumplir con estándares de seguridad física que impidan el acceso no autorizado a los equipos de enrolamiento y a la documentación sensible, contando con controles de ingreso y áreas restringidas para la manipulación de los dispositivos criptográficos.
  • Todo el personal que desempeñe funciones de oficial de registro debe acreditar idoneidad técnica y moral, lo cual incluye capacitación certificada en los procedimientos de la infraestructura nacional de firma digital y la ausencia de antecedentes penales, asegurando la integridad en el manejo de información de identidad.
  • El sistema del Certificador Registrado debe integrarse de forma segura y transparente con la infraestructura de la Autoridad Certificadora (CA) mediante protocolos de comunicación cifrados, asegurando que el envío de las solicitudes de emisión o revocación no sea interceptado ni modificado durante el tránsito.
  • La Autoridad de Registro tiene la obligación de suministrar al suscriptor, de manera previa a la entrega del certificado, información clara y completa sobre las Políticas de Certificación (PC), los límites de responsabilidad, las obligaciones de custodia de la clave privada y los procedimientos de emergencia en caso de pérdida o compromiso.
  • Se debe garantizar que el proceso de entrega de los dispositivos de creación de firma (como tokens o tarjetas inteligentes) sea estrictamente personal y que la activación de estos se realice bajo el control exclusivo del suscriptor, impidiendo que el personal de la Autoridad de Registro tenga conocimiento o acceso a los códigos de activación (PIN) o claves privadas.
  • La Autoridad de Registro debe contar con mecanismos para recibir y procesar de forma inmediata las solicitudes de revocación presentadas por los suscriptores en horario de atención al público, notificando de manera instantánea a la CA para que el estado del certificado sea actualizado en los servicios de validación.
  • El proveedor debe implementar medidas técnicas y organizativas rigurosas para la protección de los datos de carácter personal recolectados durante el enrolamiento, limitando su uso exclusivamente a los fines previstos en la Ley 8454 y su Reglamento, y prohibiendo su cesión o tratamiento para fines comerciales.
  • La infraestructura tecnológica de la Autoridad de Registro debe ser auditada como parte del sistema del certificador, asegurando que los equipos de captura de datos (como escáneres, lectores biométricos o cámaras) cumplan con las especificaciones técnicas necesarias para garantizar la calidad y veracidad de la información recolectada.
• Acceso a los servicios de certificación
  • Las oficinas de las Autoridades de Registro deberán estar ubicadas de forma accesible para los funcionarios de la Municipalidad de San Carlos, quienes serán los usuarios o consumidores de los servicios objeto de esta contratación.
  • Para cumplir con este requerimiento, el oferente deberá contar con oficinas en una ubicación cercana al Palacio Municipal, principal edificio administrativo de la Municipalidad de San Carlos. De este modo, las oficinas del oferente donde los funcionarios municipales podrán obtener la firma digital y los servicios conexos deberán estar ubicadas en un radio no mayor a 500 metros, contados a partir de la esquina noreste del Palacio Municipal, lo que permitirá el desplazamiento a pie del usuario en un tiempo de entre 5 y 6 minutos caminando a paso normal (5 km/h)
  • Para la gestión de citas, el adjudicatario deberá disponer de una plataforma web o centro de llamadas para la autogestión de citas de los funcionarios. Con la autorización previa del administrador del contrato, el funcionario que lo requiera podrá agendar una cita con la Autoridad de Registro.
  • El nuevo certificado tendrá una validez de hasta 4 años a partir de su emisión.
• Componentes del servicio de emisión de certificados de firma digital para personas físicas

El servicio objeto de esta contratación comprende los siguientes componentes, los cuales serán requeridos de forma individual en cada orden de pedido según la necesidad puntual de la Administración:

• Suministro de un certificado digital.
• La tarjeta inteligente o Smart Card.
• El desbloqueo de la tarjeta inteligente (cambio de PIN)
• Otros servicios conexos a la firma digital prestados por las Autoridades de Registro.

• Compatibilidad, funcionalidades y seguridad
  • La firma digital emitida (el certificado digital, tarjeta, lector y cables) deberán ser compatibles con los sistemas operativos: Windows 10/11 (32/64 bits) (soporte nativo tipo Plug & Play), macOS 11.0 o superior, y distribuciones de Linux recientes. No debe requerir software propietario de terceros para su funcionamiento básico.
  • La firma digital deberá ser emitida empleando algoritmos robustos basados en la familia SHA-2, los cuales proporcionan una mejora en la seguridad y consiguen que la emisión de tarjetas de firma digital en nuestro país esté al nivel de los más altos estándares internacionales.
  • El certificado digital deberá garantizar, como requisitos mínimos, las funciones de firma electrónica (incluyendo la validación de firmas) y autenticación de identidad. Esta condición asegura que la herramienta no solo permita otorgar validez legal a los documentos, sino que también sirva como un mecanismo seguro para verificar la identidad del usuario ante sistemas informáticos, como el sistema bancario, por ejemplo.
  • La firma digital provista por la Autoridad de Registro deberá ser compatible y permitir el uso de la aplicación oficial Agente GAUDI provista por el Banco Central de Costa Rica (BCCR). Se deberá posibilitar el uso de GAUDI tanto en las computadoras del usuario como en dispositivos móviles iOS y Android.

• El oferente deberá ser una entidad pública o privada que cuente con una experiencia igual o superior a cinco (años) en el suministro de firmas digitales, para lo cual deberá indicar la antigüedad brindando este tipo de servicio mediante declaración jurada.
• El oferente deberá de contar con un sistema de citas en línea para obtención o renovación de la firma digital, para lo cual deberá aportar la dirección electrónica del sistema de citas.
• Toda oferta deberá ser autoevaluada de forma detallada por el oferente. Se deberá autoevaluar el cumplimiento punto por punto de los términos y condiciones establecidos en los numerales: especificaciones técnicas, garantía y requisitos técnicos.