QSeal 合格電子印章怎麼申請：歐盟 DPP 的驗證路徑與材料清單

先分清這兩個落點，再談憑證要求，才不會用一張印章去同時承擔兩件不相干的工作。

01. 營運者註冊驗證。企業下載委員會已加蓋機構印章的 PDF 聲明，加上本身的 QSeal，上傳一份恰好包含兩個簽章的檔案。這一步按法人計算，每個主體辦理一次，憑證到期時重新驗證續期。個體經營者改用合格電子簽名（QES），兩者不能互換。

02. DPP 內容文件簽署。以 XML 或 JSON 產生的產品資料，需要施加長期歸檔等級的合格簽章。用量跟著出口量走，而非跟著法人數量走，支出形態比較接近按量計費。

03. 註冊驗證要回答的是「這張印章能不能代表這個法人主體」，工作重點在組織資料一致性與授權鏈是否留痕；內容簽署要回答的是「保存期滿時這個簽章還能不能完成驗證」，工作重點在簽章格式等級與時間戳設定。

eIDAS 第 24 條第 1 項列出 QTSP 簽發合格憑證前可以採用的識別方式，這也是為什麼整個申請不可能像下載憑證那樣自助完成。

現場親自辦理（第 24 條第 1 項 (a)）. 申請人親自到場。對於註冊地不在歐盟境內的企業，這通常是 QTSP 建議的路線，因為它能產生可核驗的紀錄，又不必依賴其他國家的身份基礎設施。

透過已通知的電子身分識別方式遠端辦理（第 24 條第 1 項 (b)）. 只有在該電子身分識別方式是依第 9 條所通知的計畫發行，且依第 8 條達到相當或高等級保障水準時，遠端識別才被允許。

出示既有合格憑證（第 24 條第 1 項 (c)）. 既有的合格電子簽名或合格電子印章憑證，可以作為簽發另一張合格憑證的基礎。

成員國認可的其他方式（第 24 條第 1 項 (d)）. 成員國可以接受其他識別方式，但該方式必須經合格評定機構確認。電子郵件與簡訊驗證碼不屬於以上任何一類。

註冊授權機構在現場留下什麼紀錄. 由於 QTSP 通常無法直接核實中國企業的法人存續狀態，會授權當地的註冊授權機構（RA）執行驗證，再透過加密通道提交。核驗要確認三件事：證件為真實原件、人與證件一致、申請出於申請人本人意願。驗證紀錄需留存歸檔，作為後續審計憑據。

誰有資格代表公司辦理. 一是法定代表人本人到場，二是到場者持有經公證與認證的授權委託書。委託書的語言、公證機構與認證方式各有要求，因此這份文件要在預約驗證之前備妥，而不是等到現場再補。

前兩層屬於行政作業；第三層是資料問題，事後再多的文件也補不回來。

第一層：主體身份文件. 營業執照原件或加蓋公章的副本原件，以及法定代表人本人或授權經辦人的二代身份證原件與護照原件。本人須到場；核驗後原件當場歸還，並留存合規歸檔副本。

第二層：語言與認證文件. 營業執照譯為英文，並完成宣誓翻譯。中國自 2023 年 11 月 7 日起適用海牙公約認證，多數情況下加註海牙認證即可，不再需要領事認證；若文件使用地並非公約成員，認證方式需另行確認。

第三層：組織資訊表. 英文法定名稱、註冊地址、官方電子郵件與聯絡電話。這一層最容易被低估：印章憑證上的組織資訊必須與申報資料逐字一致，且 Registry 對每一處不符的欄位各回報一條錯誤。

標識符怎麼選. 法人主體優先使用國家貿易登記號（NTR）；非歐盟營運者可採用全球法人識別碼（LEI，ISO 17442）。持有歐盟 VAT 稅號者可一併提交作為補充，但非強制。標識符長度上限 50 個字元，且必須與憑證中的對應屬性完整相符，不接受部分匹配。

驗證由系統自動執行，一份回報可能同時列出多條錯誤。修正後可以重新提交。

簽章數量不符. 上傳的 PDF 必須恰好包含兩個簽章：委員會機構印章與組織的副署或副印章。追加第三枚印章會使聲明失去效力，必須重新下載原始 PDF 再簽。

資訊不匹配. 印章憑證中的組織名稱、標識符或註冊國，與申報表填寫的內容不一致。同一份提交可能在此回報多條錯誤，因為每個欄位都單獨檢查。

印章等級不足. 使用了非 QTSP 簽發的印章，或使用不具合格資格的簽章工具，都會被拒絕。單持合格憑證並不足夠：以 .p12 或 .pfx 形式交付的軟體憑證只能產生高級簽章。簽章建立必須經由 QSCD（智慧卡或 USB Token），或經由 QTSP 的合格遠端簽章服務。

簽章格式不符. Registry 要求 PAdES Baseline B、T、LT 或 LTA。Adobe Acrobat 的預設簽章格式必須先改為 CAdES-Equivalent，否則檔案會被拒絕。

格式與檔案限制. 僅接受 PDF，上限 1 GB，檔名不得超過 100 個字元。支援批次上傳，但批次並非原子交易：錯誤按每一筆 DPP（含其唯一產品識別碼）單獨回報，並可匯出為 CSV。

DPP 資料在整個保存期內都必須保持可存取、可理解、可驗證，即使營運者停止營業也不例外。

格式等級是決策，不是設定項. 基礎簽章依賴憑證在驗證當下仍屬有效。憑證一旦過期，簽章鏈就無法完成，這正是為什麼格式等級要在印章簽發時決定，而不是等到建立歸檔時再處理。

長期歸檔等級多了什麼. 長期歸檔簽章會內嵌驗證鏈並追加歸檔時間戳，讓簽章在原始憑證過期後仍可完成驗證。依 eIDAS，合格電子時間戳以 UTC 時間源將日期與時間綁定至資料，並由 QTSP 簽署或加蓋印章（第 42 條）。

保存期的實際要求. 電池規例要求製造商在電池上市或投入使用後 10 年內，持續將技術文件與歐盟符合性聲明提供給各國主管機關查驗（第 38 條第 4 項）；ESPR 則要求數位產品護照中的資料保持準確、完整且最新（第 9 條第 1 項）。簽章有效性必須涵蓋這段期間，而不只是簽署當下。

續期與到期日. 成功的驗證回報會載明簽章或印章的到期日。這個日期就是續期觸發點，而續期涉及重新驗證，不是自動展延。

這個分工之所以重要，是因為信任服務可以委外，產品資料的責任歸屬不行。

註冊授權機構服務. 在驗證環節，eSign.AI 透過註冊授權機構服務，協調組織文件收集、身份驗證安排，並將憑證屬性與即將申報的資料逐項比對。簽發本身由對接的 QTSP 執行。

簽發之後的簽署能力. 印章辦下來之後有三類能力：以 PAdES 格式簽署文件，涵蓋註冊聲明與各類文件型簽署；以 XAdES 與 JAdES 長期歸檔等級簽署結構化資料，對應 DPP 內容文件使用的 XML 與 JSON；以及搭配合格時間戳與證據留存的長期驗證支援。簽署頻率低的組織可在 SaaS 介面發起與確認；由系統觸發簽署的組織則透過 SDK 或 API 接入，把印章調用嵌入業務流程，並保留逐筆狀態與證據。

跨境集團實務上怎麼跑. 穩健醫療是醫療健康產品製造企業，產品行銷全球 110 多個國家和地區，並在北美與東南亞設有生產基地；集團在中國大陸的業務使用 e簽寶，海外板塊則導入 eSign.AI。集團層面的董事會決議、企業公告與內部函件，原本依賴文件流轉與線下會簽，確認動作分散、進度不可見。海外板塊改由 SaaS 介面發起這些文件後，全球參與人在線確認簽字並自動歸檔，確認順序與時間點完整留痕。這件事可以借鏡到 QSeal 申請的地方不在印章本身，而在組織身份與授權的處理方式：當集團有多個主體代為簽署、各地區授權邊界又不同時，憑證資料與授權紀錄必須像 Registry 申報那樣對得上。