Características técnicas de la solución de firma electrónica avanzada (FEA)

Esta página describe las características técnicas de la solución de firma electrónica avanzada (FEA, Firma Elettronica Avanzata según el derecho italiano) que pone a disposición Grem S.r.l., con domicilio social en Via Matteo La Fragola, 4, Salerno (SA), NIF-IVA / código fiscal IT06136730659 (en adelante, «DOCUJET» o «nosotros»), conforme al art. 57 del Decreto del Presidente del Consejo de Ministros italiano (DPCM) de 22 de febrero de 2013 («Normas técnicas en materia de firmas electrónicas»). La publicación de las características técnicas es una obligación del sujeto que presta una solución de FEA según el modelo previsto en el art. 55, apartado 2, letra a), del mismo decreto.

1. Objeto y modelo de prestación

DOCUJET permite firmar documentos electrónicos con firma electrónica de distinto nivel en el sentido del Reglamento (UE) 910/2014 (eIDAS) y del Decreto Legislativo italiano 82/2005 (Codice dell'Amministrazione Digitale, CAD): firma electrónica simple (FES) y firma electrónica avanzada (FEA), cuando se cumplen sus requisitos técnicos. DOCUJET presta la FEA en modelo autónomo (art. 55, apartado 2, letra a), del DPCM de 22/2/2013): DOCUJET es a la vez el sujeto que desarrolla la solución y el que la pone a disposición de los firmantes.

La FEA de DOCUJET cumple los requisitos del art. 26 eIDAS: vinculación única al firmante (letra a), capacidad de identificarlo (letra b), creación mediante datos que el firmante puede utilizar bajo su control exclusivo (letra c) y vinculación con los datos firmados de modo que cualquier modificación posterior sea detectable (letra d).

2. Identificación del firmante

La identificación se realiza a distancia, antes de la firma, con modalidades proporcionadas al nivel requerido.

2.1. Firma electrónica simple (FES)

Se contacta al firmante en un medio de contacto personal (número de móvil o dirección de correo electrónico) y este confirma la firma introduciendo un código OTP de un solo uso enviado a ese medio. La posesión del medio de contacto y la introducción del código constituyen el instrumento de firma.

2.2. Firma electrónica avanzada (FEA)

Al OTP se añade una verificación de identidad reforzada (KYC):

• captura del documento de identidad (anverso y reverso) y de un selfie del firmante;
• extracción de los datos del documento (OCR) y comparación del nombre con el indicado en el documento que se va a firmar (name match);
• comparación biométrica entre el rostro del selfie y la foto del documento (face match) y control de prueba de vida (liveness);
• declaración de adhesión del firmante, que confirma su identidad y el uso exclusivo del medio de contacto empleado para el OTP.

Las imágenes del documento y del selfie se cifran en reposo con AES-256-GCM y el resultado de la verificación se registra de forma estructurada.

3. Proceso de firma y arquitectura

Cada firma sigue una secuencia técnica trazada de extremo a extremo:

• Lectura íntegra del documento, verificada en el servidor (desplazamiento por todas las páginas);
• aceptación de los consentimientos versionados, de los que se conserva la huella criptográfica (SHA-256) del texto exacto aceptado, junto con la fecha/hora, la dirección IP y el user-agent;
• introducción del OTP y confirmación de la firma;
• Sello electrónico cualificado (eIDAS art. 35) aplicado por el dispositivo cualificado del prestador Namirial, como garantía de la integridad y el origen del documento;
• Sello de tiempo electrónico cualificado (eIDAS arts. 41-42) para la fecha cierta oponible frente a terceros;
• formato PAdES, con ampliación a largo plazo (PAdES B-LT): los certificados y la información de revocación quedan fijados en el PDF, de modo que la firma se valida de forma autónoma a lo largo del tiempo;
• anclaje de la huella en la blockchain de Bitcoin (OpenTimestamps), como prueba de integridad pública e independiente;
• registro de auditoría inmutable basado en una cadena de hashes concatenados, verificable de extremo a extremo, que registra cada evento relevante de la firma.

4. Seguridad

• Transmisión de los datos protegida en tránsito (TLS) y cifrado en reposo de los elementos de identidad (AES-256-GCM);
• segregación de los datos por organización (multi-tenant) y credenciales de los proveedores almacenadas cifradas;
• controles antifraude sobre los elementos de identidad (huellas perceptuales del documento y del selfie).

5. Reparto de responsabilidades

DOCUJET (prestador de la solución) es responsable de:

• desarrollar y mantener la solución conforme al art. 26 eIDAS y al art. 57 del DPCM de 22/2/2013;
• identificar al firmante con las modalidades descritas en el punto 2;
• conservar la documentación requerida (punto 6) y poner a disposición el procedimiento de revocación (punto 7).

El firmante es responsable de:

• facilitar datos veraces y un medio de contacto del que tenga el uso exclusivo;
• custodiar su medio de contacto y el código OTP, sin compartirlos con terceros;
• verificar el contenido del documento antes de firmarlo.

6. Conservación

El documento firmado se conserva y, si está activada, se ingresa en conservación conforme (conservazione a norma, según la normativa italiana) en un prestador de conservación acreditado, como garantía de su inalterabilidad y legibilidad a lo largo del tiempo.

7. Revocación del consentimiento al uso de la solución

El firmante puede revocar en cualquier momento el consentimiento al uso de la solución FEA escribiendo a [email protected]. La revocación no afecta a la validez de las firmas ya aplicadas, cuya documentación sigue conservándose por obligaciones legales.

8. Referencias normativas

• Reglamento (UE) 910/2014 (eIDAS), en particular los arts. 25, 26, 35, 41 y 42;
• Decreto Legislativo italiano 82/2005 (CAD), en particular el art. 20;
• Decreto del Presidente del Consejo de Ministros italiano (DPCM) de 22 de febrero de 2013 («Normas técnicas en materia de firmas electrónicas»), arts. 55-57.

9. Contacto

Para información sobre la solución FEA o para ejercer la revocación del consentimiento: [email protected]. Para solicitudes sobre el tratamiento de los datos personales, consulta la Política de privacidad.