Verifica dell'identità prima della firma: come funziona il KYC digitale

L'OTP dimostra che chi firma ha in mano quel telefono. Ma chi ti dice che il numero appartenga davvero a Mario Rossi? Per la maggior parte dei contratti la domanda è teorica; per altri, quando ci sono importi alti, controparti mai viste o obblighi antiriciclaggio, è la domanda decisiva. È qui che entra il KYC.

Cos'è il KYC in un flusso di firma

KYC, acronimo di Know Your Customer, è la verifica dell'identità reale del firmatario, prima che possa firmare. Il flusso standard richiede tre passaggi, tutti dal telefono, in un paio di minuti:

• Documento d'identità: foto del fronte e del retro; il sistema ne legge i dati (OCR e zona MRZ) e controlla coerenza e validità.
• Selfie: il volto viene confrontato biometricamente con la foto del documento.
• Liveness check: controlli che escludono foto di foto, schermi e maschere, per verificare che dall'altra parte ci sia una persona viva e non un'immagine.

L'esito, con dati anagrafici verificati, punteggio di somiglianza ed esito liveness, entra nell' audit trail accanto a OTP, IP e marca temporale.

Quando serve davvero

Il KYC non serve per ogni firma, ma per quelle in cui l'identità è il rischio:

• Obblighi antiriciclaggio (d.lgs. 231/2007): professionisti e operatori tenuti all'adeguata verifica della clientela, anche a distanza.
• Contratti ad alto valore con controparti mai incontrate: finanziamenti, forniture importanti, immobiliare.
• Onboarding di clienti a distanza dove il contratto è l'inizio di un rapporto continuativo: utility, noleggi, servizi finanziari.
• Rafforzamento della FEA: l'identificazione documentale rende molto più solido il requisito di "connessione univoca al firmatario" dell'art. 26 eIDAS.

Per il preventivo da mille euro con un cliente che conosci, resta l'OTP: il principio di minimizzazione vale anche qui: raccogliere un documento d'identità per una liberatoria è eccesso, non prudenza.

La domanda GDPR: che fine fanno documento e selfie?

Un flusso KYC tratta dati delicati, e la foto del volto usata per il confronto biometrico merita il massimo livello di protezione. Le domande da fare al fornitore: i file sono cifrati at-rest? Dove sono ospitati? Dopo quanto vengono cancellati? Chi vi accede? Se le risposte sono vaghe, il rischio privacy supera il beneficio probatorio.

Come funziona su DOCUJET

Su DOCUJET il KYC si attiva per singolo invio, quando il documento lo merita: il firmatario fotografa documento e volto dal telefono, la verifica combina lettura MRZ, confronto biometrico e liveness check, e l'esito finisce nel dossier probatorio del documento. Gli artefatti (documento, selfie) sono cifrati AES-256 prima dello storage in UE e cancellati automaticamente al termine del periodo di retention. Il firmatario non installa nulla; tu vedi solo l'esito, non un archivio di documenti d'identità da custodire.

Pronto a provare?Apri un account gratuito: 3 documenti al mese per sempre, con audit trail completo.Inizia gratis →