Číslo smlouvy	106008-000645	
1. Předmět poskytované služby
1.1 Poskytovatel se zavazuje k vydání kvalifikovaného certifikátu pro elektronický podpis/pečeť s příznakem QSignCD/QSealCD (dále jen „certifikát“) za podmínek uvedených níže.
2. Povinnosti zákazníka
2.1 Zákazník se zavazuje:
2.1.1 Seznámit se s certifikační politikou PostSignum QCA pro kvalifikované certifikáty pro elektronický podpis/pečeť, která je dostupná na webových stránkách poskytovatele www.postsignum.cz, a při žádosti o uvedený certifikát postupovat v souladu s touto certifikační politikou.
2.1.2 Zajistit, aby kvalifikovaný prostředek pro vytváření elektronických podpisů/pečetí (dále jen „prostředek“), který bude použit pro uložení soukromých klíčů k certifikátům, byl uvedený na oficiálním seznamu EU kvalifikovaných prostředků, který se nachází na webové adrese: https://ec.europa.eu/futurium/en/content/compilation-member-states-notification-sscds-and-qscds.
2.1.3 Umožnit poskytovateli správu a provoz prostředku. Prostředek bude provozován a spravován v souladu s technickými podmínkami uvedenými v příloze č. 2 těchto Podmínek.
2.1.4 Umožnit poskytovateli přístup k prostředku ve svých prostorách za účelem jeho správy a provozu.
2.1.5 Zajistit bezpečný přístup k odpovídajícímu soukromému klíči kvalifikovaného certifikátu pro elektronický podpis až po jednoznačné a průkazné identifikaci držitele tohoto certifikátu.
3. Povinnosti poskytovatele
3.1 Poskytovatel se zavazuje: 
3.1.1 Jednat vůči zákazníkovi poctivě a v dobré víře.
3.1.2 Sdělovat zákazníkovi informace potřebné k řádnému plnění těchto Podmínek.
3.1.3 Bez zbytečného odkladu vydat certifikát, pokud budou splněny podmínky pro vydání certifikátu dle certifikační politiky a těchto Podmínek.
3.1.5 Zajistit provoz a správu prostředku zákazníka.
3.1.6 Zajistit, že soukromý klíč k certifikátu bude vygenerovaný přímo v prostředku a nebude ho možné z prostředku vyexportovat a ani ho do prostředku naimportovat (prostředek musí mít zapnutý mód FIPS 140-2 Level 3).
3.1.7 Přijmout taková technická a bezpečnostní opatření, aby nemohlo dojít k narušení bezpečnosti a důvěrnosti uloženého soukromého klíče v prostředku.
3.1.8 Zajistit, že soukromý klíč vygenerovaný v prostředku se může vyskytnout prakticky pouze jednou. Kopírování soukromého klíče je povoleno pouze za účelem jeho zálohy, přičemž bezpečnost zkopírovaných souborů dat je na stejné úrovni jako u původních souborů dat a počet zkopírovaných souborů dat nepřesáhne minimum potřebné pro zajištění kontinuity služby.
3.1.9 Zajistit vygenerování RSA klíče v prostředku, který bude sloužit pro ověření původu soukromých klíčů (dále jen „servisní klíč“).
3.1.10 Vyhotovit z každého generování servisního klíče Protokol o vygenerování servisního klíče (dále jen „protokol“), viz vzor v příloze č. 1 těchto Podmínek.
3.1.11 V případě žádosti o kvalifikovaný certifikát pro elektronickou pečeť zajistit, že žádost o certifikát podá žadatel zákazníka, který byl k tomuto úkonu pověřen poskytovatelem. Vzor žádosti o certifikát pro el. pečeť je v příloze č. 3 těchto Podmínek.
4. Cena
4.1 Vydání kvalifikovaného certifikátu pro elektronický podpis/pečeť je zpoplatněno dle aktuálního ceníku uvedeného na webových stránkách poskytovatele www.postsignum.cz, případně dle smluvních cen dohodnutých se zákazníkem.
4.2 V případě nutného výjezdu k zákazníkovi v souvislosti s poskytováním služby dle těchto Podmínek je zákazníkovi účtována cena za výjezd mobilní registrační autority poskytovatele dle aktuálního ceníku uvedeného na webových stránkách www.postsignum.cz.
5. Sankční ustanovení
5.1 V případě porušení povinností zákazníka uvedených v těchto Podmínkách, které bude mít za následek udělení pokuty poskytovateli orgánem dohledu dle zák. č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce je poskytovatel oprávněn požadovat po zákazníkovi zaplacení vyměřené pokuty v plném rozsahu.
6. Závěrečná ujednání
6.1 Právní vztahy výslovně neupravené těmito Podmínkami včetně informací o zpracování osobních údajů se řídí příslušnými ustanoveními smlouvy včetně Všeobecných obchodních podmínek certifikačních služeb, ke které se tyto Podmínky vztahují, a dále dokumenty uvedenými v odst. 6.2 těchto Podmínek a obecně závaznými právními předpisy. V případě rozporu textu těchto Podmínek s textem smlouvy, má přednost text těchto Podmínek.
6.2 Zákazník prohlašuje, že se seznámil s dokumentem „Certifikační politika PostSignum Qualified CA pro kvalifikované certifikáty pro elektronický podpis“, „Certifikační politika PostSignum Qualified CA pro kvalifikované certifikáty pro elektronickou pečeť“ a podpisem těchto Podmínek s nimi souhlasí. Uvedené dokumenty jsou dostupné na webových stránkách www.postsignum.cz.
6.3 Podmínky jsou vyhotoveny ve 2 stejnopisech, z nichž každá smluvní strana obdrží po jednom.
6.4 Součástí těchto Podmínek je vzor Žádosti o certifikát pro el. pečeť, vzor Protokolu o vygenerování servisního klíče a Podmínky správy a provozu HSM.

Příloha č. 1 

Protokol o vygenerování servisního klíče v kvalifikovaném prostředku pro vytváření elektronických podpisů/pečetí

Údaje o zákazníkovi
Název zákazníka:	     	
IČO:	     	
Č. smlouvy o poskytování certifikačních služeb:	     	

Údaje o kvalifikovaném prostředku pro vytváření elektronických podpisů/pečetí
Název výrobce:	     	
Typ:	     	
Sériové číslo:	     	
Verze firmware:	     	
Číslo certifikačního protokolu uvedeného na seznamu SSCD/QSCD EU * 	     	
* https://ec.europa.eu/futurium/en/content/compilation-member-states-notification-sscds-and-qscds

Údaje o servisním klíči
Datum a čas generování:	     	
ID soukromého klíče:	     	
Modulus:	     	

Stvrzuji svým podpisem, že servisní klíč, který bude používaný pro ověření původu vygenerovaných soukromých klíčů používaných k vytváření kvalifikovaných elektronických podpisů/pečetí na základě vydaných kvalifikovaných certifikátů pro elektronický podpis/pečeť, byl vygenerován výhradně v kvalifikovaném prostředku pro vytváření elektronických podpisů/pečetí, není ho možné z tohoto prostředku vyexportovat a vyskytuje se prakticky pouze jednou (není aktivně používaný v jiném prostředku).

Datum a čas vyhotovení protokolu:	     	
Viditelný elektronický podpis pracovníka poskytovatele:		

Příloha č. 2 
Nastavení HSM pro potřeby QSignCD/QSealCD
Nastavení HSM jako QSignCD/QSealCD obnáší především následující:
•	provoz HSM s předepsaným certifikovaným firmwarem a předepsaným klientským SW
•	vytvoření konfigurace Security Worldu v souladu s dokumentem „ASEC1382 nShield® HSM family v11.72.02 – Common Criteria Evaluated Configuration Guide“
•	provoz HSM modulu v režimu FIPS 140-2 Level 3 garantující vytvoření klíčů přímo v HSM modulu
•	vytvoření administrátorského setu čipových karet (ACS set), přičemž celý ACS set bude v držení poskytovatele
•	vytvoření operátorského setu čipových karet (OCS set) nebo Softcard pro kontrolu a použití kryptografických klíčů, přičemž v případě OCS setu bude celý set v držení poskytovatele
•	vytvořený OCS set nebo Softcard musí sloužit k ochraně právě jednoho páru klíčů ke kvalifikovanému certifikátu pro elektronický podpis/pečeť
•	zákazníkovi – vlastníkovi HSM bude v případě OCS setu zapůjčena část setu nezbytná pro aktivaci soukromého klíče kvalifikovaného certifikátu pro elektronický podpis/pečeť
Způsob provozu HSM a řešení výjimečných situací
Při běžném provozu HSM modulů v eIDAS compliant konfiguraci pod správou QTSP mohou nastat tyto situace:
1.	Rutinní operace:
•	Aktivace a používání soukromého klíče ke kvalifikovanému certifikátu pro elektronický podpis/pečeť v aplikacích
•	Zálohování konfigurace HSM
•	Kontrola logů HSM infrastruktury, SNMP dohled
2.	Provozní operace
•	Správa OCS setu nebo Softcard (vytvoření nového, obnova původního a smazání) chránícího pár klíčů ke kvalifikovanému certifikátu pro elektronický podpis/pečeť
•	Vygenerování páru klíčů a import kvalifikovaného certifikátu pro elektronický podpis/pečeť
•	Smazání páru klíčů ke kvalifikovanému certifikátu pro elektronický podpis/pečeť
3.	Výjimečné provozní operace vyžadující přítomnost úplného kvora karet ACS setu 
•	Vybrané povolené administrátorské operace
•	Reset HSM a jeho nová inicializace do HSM infrastruktury
•	Logické zařazení nového HSM do konfigurace HSM infrastruktury (např. pro situace přidání nového modulu nebo jeho výměny za jiný v rámci standardní technické podpory výrobce)
•	Aktualizace firmware – pouze teoretická možnost, neboť se nepředpokládá jiná certifikovaná verze FW pro stávající HSM moduly

Veškeré operace uvedené v bodech 2. – 3. je povinen provádět pouze poskytovatel. Ze všech operací uvedených v bodě 3. vznikne protokol, který bude potvrzen poskytovatelem a zákazníkem – vlastníkem HSM.
Operace uvedené v bodě 1. je oprávněn provádět zákazník – vlastník HSM. Zákazník – vlastník HSM je taktéž oprávněn provádět správu vlastních OCS setů nebo Softcard včetně manipulace s klíči, které tyto OCS sety budou chránit.

Příloha č. 3
Žádám o vydání certifikátu dle certifikační politiky: Kvalifikované certifikáty pro elektronickou pečeť

Název organizace:
Číslo smlouvy:
Jméno žadatele o certifikát:
Číslo zaměstnance v organizaci:

Název certifikátu (CN):
E-mailová adresa:

ID žádosti o certifikát: BP

Heslo pro zneplatnění certifikátu:        (v případě, že nebude vyplněno, vygeneruje Podatelna PostSignum)

Kontaktní telefon:

								Viditelný elektronický podpis žadatele

Pokyny pro podání žádosti:
Žádost se vyplní, převede do PDF dokumentu, elektronicky podepíše žadatelem a zašle na e-maily podatelna.postsignum@cpost.cz a certifikaty.postsignum@cpost.cz.