Caractéristiques techniques de la solution de signature électronique avancée

La présente page décrit les caractéristiques techniques de la solution de signature électronique avancée (FEA, Firma Elettronica Avanzata au sens du droit italien) mise à disposition par Grem S.r.l., dont le siège social est situé Via Matteo La Fragola, 4, Salerno (SA), n° de TVA / code fiscal IT06136730659 (ci-après « DOCUJET » ou « nous »), conformément à l'article 57 du décret du président du Conseil des ministres italien (DPCM) du 22 février 2013 (« Règles techniques en matière de signatures électroniques »). La publication des caractéristiques techniques est une obligation de l'entité qui fournit une solution de signature électronique avancée selon le modèle visé à l'article 55, paragraphe 2, point a), du même décret.

1. Objet et modèle de fourniture

DOCUJET permet de signer des documents électroniques avec des signatures électroniques de différents niveaux au sens du règlement (UE) 910/2014 (eIDAS) et du décret législatif italien n° 82/2005 (Codice dell'Amministrazione Digitale, CAD) : signature électronique simple et signature électronique avancée, lorsque les conditions techniques sont réunies. DOCUJET fournit la signature avancée selon le modèle autonome (article 55, paragraphe 2, point a), du DPCM du 22/2/2013) : DOCUJET est à la fois l'entité qui réalise la solution et celle qui la met à la disposition des signataires.

La signature avancée de DOCUJET satisfait aux exigences de l'article 26 eIDAS : lien univoque avec le signataire (point a), capacité à l'identifier (point b), création à l'aide de données que le signataire peut utiliser sous son contrôle exclusif (point c) et lien avec les données signées de telle sorte que toute modification ultérieure soit détectable (point d).

2. Identification du signataire

L'identification a lieu à distance, avant la signature, selon des modalités proportionnées au niveau requis.

2.1. Signature électronique simple

Le signataire est joint sur une coordonnée personnelle (numéro de téléphone mobile ou adresse e-mail) et confirme la signature en saisissant un code OTP à usage unique qui y est envoyé. La possession de la coordonnée et la saisie du code constituent l'outil de signature.

2.2. Signature électronique avancée

À l'OTP s'ajoute une vérification d'identité renforcée (KYC) :

• acquisition de la pièce d'identité (recto et verso) et d'un selfie du signataire ;
• extraction des données du document (OCR) et comparaison du nom avec celui indiqué dans le document à signer (name match) ;
• comparaison biométrique entre le visage du selfie et la photo du document (face match) et contrôle du caractère vivant (liveness) ;
• déclaration d'adhésion du signataire, qui confirme son identité et l'usage exclusif de la coordonnée utilisée pour l'OTP.

Les images du document et du selfie sont chiffrées au repos avec AES-256-GCM et le résultat de la vérification est enregistré de manière structurée.

3. Processus de signature et architecture

Chaque signature suit une séquence technique tracée de bout en bout :

• Prise de connaissance intégrale du document, vérifiée côté serveur (défilement de toutes les pages) ;
• acceptation des consentements versionnés, dont est conservée l'empreinte cryptographique (SHA-256) du texte exact accepté, avec la date/heure, l'adresse IP et le user-agent ;
• saisie de l'OTP et confirmation de la signature ;
• Cachet électronique qualifié (eIDAS art. 35) apposé par le dispositif qualifié du prestataire Namirial, pour garantir l'intégrité et l'origine du document ;
• Horodatage électronique qualifié (eIDAS art. 41-42) pour une date certaine opposable aux tiers ;
• format PAdES, avec enrichissement à long terme (PAdES B-LT) : les certificats et les informations de révocation sont figés dans le PDF, de sorte que la signature puisse être validée de manière autonome dans le temps ;
• ancrage de l'empreinte dans la blockchain Bitcoin (OpenTimestamps), en tant que preuve d'intégrité publique et indépendante ;
• piste d'audit immuable fondée sur une chaîne de hachages concaténés, vérifiable de bout en bout, qui enregistre chaque événement pertinent de la signature.

4. Sécurité

• Transmission des données protégée en transit (TLS) et chiffrement au repos des éléments d'identité (AES-256-GCM) ;
• cloisonnement des données par organisation (multi-tenant) et identifiants des prestataires conservés sous forme chiffrée ;
• contrôles antifraude sur les éléments d'identité (empreintes perceptuelles du document et du selfie).

5. Répartition des responsabilités

DOCUJET (fournisseur de la solution) est responsable de :

• réaliser et maintenir la solution conformément à l'article 26 eIDAS et à l'article 57 du DPCM du 22/2/2013 ;
• identifier le signataire selon les modalités décrites au point 2 ;
• conserver la documentation requise (point 6) et mettre à disposition la procédure de révocation (point 7).

Le signataire est responsable de :

• fournir des données véridiques et une coordonnée dont il a l'usage exclusif ;
• préserver sa coordonnée et le code OTP, sans les partager avec des tiers ;
• vérifier le contenu du document avant de le signer.

6. Conservation

Le document signé est conservé et, si elle est activée, versé en conservation conforme (conservazione a norma, selon la réglementation italienne) auprès d'un prestataire de conservation accrédité, afin de garantir son intégrité et sa lisibilité dans le temps.

7. Révocation du consentement à l'utilisation de la solution

Le signataire peut révoquer à tout moment son consentement à l'utilisation de la solution de signature avancée en écrivant à [email protected]. La révocation n'affecte pas la validité des signatures déjà apposées, dont la documentation reste conservée pour les obligations légales.

8. Références réglementaires

• Règlement (UE) 910/2014 (eIDAS), en particulier les articles 25, 26, 35, 41 et 42 ;
• décret législatif italien n° 82/2005 (CAD), en particulier l'article 20 ;
• décret du président du Conseil des ministres italien (DPCM) du 22 février 2013 (« Règles techniques en matière de signatures électroniques »), articles 55 à 57.

9. Contact

Pour toute information sur la solution de signature avancée ou pour exercer la révocation du consentement : [email protected]. Pour les demandes relatives au traitement des données personnelles, consultez la politique de confidentialité.