Caratteristiche tecniche della soluzione FEA

La presente pagina descrive le caratteristiche tecniche della soluzione di Firma Elettronica Avanzata (FEA) resa disponibile da Grem S.r.l., con sede legale in Via Matteo La Fragola, 4, Salerno (SA), P.IVA / C.F. IT06136730659 (di seguito "DOCUJET" o "noi"), ai sensi dell'art. 57 del DPCM 22 febbraio 2013 ("Regole tecniche in materia di firme elettroniche"). La pubblicazione delle caratteristiche tecniche è un obbligo del soggetto che eroga una soluzione di FEA secondo il modello di cui all'art. 55, comma 2, lett. a) del medesimo decreto.

1. Oggetto e modello di erogazione

DOCUJET consente di sottoscrivere documenti informatici con firma elettronica di diverso livello ai sensi del Regolamento (UE) 910/2014 (eIDAS) e del D.Lgs. 82/2005 (CAD): Firma Elettronica Semplice (FES) e Firma Elettronica Avanzata (FEA), quando ne ricorrono i requisiti tecnici. La FEA è erogata da DOCUJET in modello autonomo (art. 55, comma 2, lett. a, DPCM 22/2/2013): DOCUJET è al tempo stesso il soggetto che realizza la soluzione e che la mette a disposizione dei firmatari.

La FEA di DOCUJET soddisfa i requisiti dell'art. 26 eIDAS: connessione univoca al firmatario (lett. a), idoneità a identificarlo (lett. b), creazione mediante dati che il firmatario può utilizzare sotto il proprio controllo esclusivo (lett. c) e collegamento ai dati sottoscritti in modo da rilevare ogni successiva modifica (lett. d).

2. Identificazione del firmatario

L'identificazione avviene da remoto, prima della firma, con modalità proporzionate al livello richiesto.

2.1. Firma Elettronica Semplice (FES)

Il firmatario è raggiunto su un recapito personale (numero di cellulare o indirizzo email) e conferma la firma inserendo un codice OTP usa-e-getta ivi recapitato. Il possesso del recapito e l'inserimento del codice costituiscono lo strumento di firma.

2.2. Firma Elettronica Avanzata (FEA)

All'OTP si aggiunge una verifica di identità rafforzata, che il firmatario svolge, a sua scelta, in uno dei due modi seguenti.

a) Identità digitale SPID o CIE. È proposta quando il mittente richiede la verifica di identità per il documento e la modalità è attiva su DOCUJET. SPID e CIE servono a identificare il firmatario, non a firmare: la firma resta apposta con l'OTP.

• accesso con SPID di livello 2 o superiore (autenticazione a due fattori) o con la Carta d'Identità Elettronica ("Entra con CIE"), come consentito per la FEA dall'art. 27, comma 1, lett. b) e c), del D.L. 76/2020 (convertito dalla L. 120/2020); l'autenticazione avviene presso il gestore dell'identità digitale (per la CIE, il Ministero dell'Interno) e DOCUJET non riceve mai le credenziali del firmatario;
• dal gestore DOCUJET riceve solo nome, cognome, codice fiscale e data di nascita, insieme al livello di autenticazione ottenuto;
• confronto del nominativo attestato dal gestore con quello indicato dal mittente (name match): se non corrisponde, la verifica non riesce e il firmatario può riprovare o scegliere l'altra modalità;
• conservazione della risposta firmata digitalmente dal gestore, che documenta il processo di autenticazione, per almeno 20 anni (art. 27, comma 2, del medesimo decreto).

b) Documento di identità e prova di vita (KYC):

• acquisizione del documento di identità (fronte e, se c'è, retro) e una breve ripresa dal vivo del volto del firmatario, sulla pagina di verifica di KYCJet;
• estrazione dei dati del documento (OCR) e confronto del nominativo con quello indicato nel documento da firmare (name match);
• confronto biometrico tra il volto ripreso e la foto del documento (face match), controllo di vivezza (liveness) e controllo antiriciclaggio del nome (persone politicamente esposte, liste di sanzioni).

In entrambi i casi è richiesta anche la dichiarazione di adesione del firmatario, che conferma la propria identità e l'uso esclusivo del recapito impiegato per l'OTP.

Le immagini del documento, così come la risposta firmata dal gestore dell'identità digitale, sono cifrate a riposo con AES-256-GCM. L'esito della verifica è registrato in modo strutturato; per SPID e CIE l'audit trail riporta l'impronta crittografica (SHA-256) della risposta, senza alcun dato personale.

3. Processo di firma e architettura

Ogni sottoscrizione segue una sequenza tecnica tracciata end-to-end:

• Presa visione integrale del documento, verificata lato server (scorrimento di tutte le pagine);
• accettazione dei consensi versionati, di cui è conservata l'impronta crittografica (SHA-256) del testo esatto sottoscritto, insieme a data/ora, indirizzo IP e user-agent;
• apposizione dell'OTP e conferma della firma;
• Sigillo Elettronico Qualificato (eIDAS art. 35) apposto dal dispositivo qualificato del prestatore Namirial, a garanzia di integrità e origine del documento;
• Marca temporale qualificata (eIDAS art. 41-42) per la data certa opponibile ai terzi;
• formato PAdES, con arricchimento a lungo termine (PAdES B-LT): i certificati e le informazioni di revoca sono congelati nel PDF, così la firma si valida autonomamente nel tempo;
• ancoraggio dell'impronta su blockchain Bitcoin (OpenTimestamps), come prova d'integrità pubblica e indipendente;
• audit trail immutabile a catena di hash concatenati, verificabile end-to-end, che registra ogni evento rilevante della firma.

4. Sicurezza

• Trasmissione dei dati protetta in transito (TLS) e cifratura a riposo degli artefatti di identità (AES-256-GCM);
• segregazione dei dati per organizzazione (multi-tenant) e credenziali dei fornitori conservate cifrate;
• approvazione automatica solo se nome, documento e volto coincidono; negli altri casi decide una persona, oppure il firmatario usa SPID o CIE.

5. Ripartizione delle responsabilità

DOCUJET (erogatore della soluzione) è responsabile di:

• realizzare e mantenere la soluzione conforme all'art. 26 eIDAS e all'art. 57 DPCM 22/2/2013;
• identificare il firmatario con le modalità descritte al punto 2;
• conservare la documentazione richiesta (punto 6) e rendere disponibile la procedura di revoca (punto 7).

Il firmatario è responsabile di:

• fornire dati veritieri e un recapito di cui abbia l'uso esclusivo;
• custodire il proprio recapito e il codice OTP, non condividendoli con terzi;
• verificare il contenuto del documento prima di firmarlo.

6. Conservazione

Il documento firmato è conservato e, se attivata, versato in conservazione a norma presso un conservatore accreditato, a garanzia di immodificabilità e leggibilità nel tempo.

7. Revoca del consenso all'uso della soluzione

Il firmatario può revocare in qualsiasi momento il consenso all'uso della soluzione FEA scrivendo a support@docujet.it. La revoca non pregiudica la validità delle firme già apposte, la cui documentazione resta conservata per gli obblighi di legge.

8. Riferimenti normativi

• Regolamento (UE) 910/2014 (eIDAS), in particolare gli artt. 25, 26, 35, 41 e 42;
• D.Lgs. 82/2005 (CAD), in particolare l'art. 20;
• D.L. 76/2020 (convertito dalla L. 120/2020), in particolare l'art. 27;
• DPCM 22 febbraio 2013 ("Regole tecniche in materia di firme elettroniche"), artt. 55-57.

9. Contatti

Per informazioni sulla soluzione FEA o per esercitare la revoca del consenso: support@docujet.it. Per richieste sul trattamento dei dati personali consulta l'Informativa sulla privacy.