Dal documento alle evidenze, con fasi definite
RPSIGN struttura il processo di firma in fasi collegate al documento, ai partecipanti e alla policy applicabile. I meccanismi di autenticazione e le evidenze prodotte variano in base alla modalità adottata e ai controlli effettivamente abilitati per ciascun flusso.
Sei fasi che organizzano il processo di firma
Preparazione e versionamento del documento
Il processo è strutturato a partire da un documento e dalla versione collegata alla relativa busta. L’architettura RPSIGN contempla campi associati al flusso, come firma, sigla e altre informazioni definite dalla modalità, preservando l’identificazione della versione utilizzata in ogni fase.
Definizione dei partecipanti
I partecipanti sono associati alla busta in base al ruolo svolto nel processo. I dati identificativi e di contatto devono essere limitati a quanto necessario per la finalità del flusso e trattati secondo la policy applicabile.
Policy di autenticazione ed evidenze
Ogni flusso può adottare requisiti diversi di identificazione e autenticazione. La policy applicabile definisce quali controlli ed evidenze devono comporre la modalità scelta, potendo includere canali elettronici, validazioni aggiuntive o un certificato digitale, in base alla finalità del documento e alle risorse abilitate.
Manifestazione di volontà del firmatario
Nella fase di firma, la manifestazione di volontà deve essere associata al documento e al firmatario mediante i meccanismi previsti per la modalità adottata. Gli eventi e i dati tecnici registrabili dipendono dai controlli effettivamente utilizzati, dai permessi del dispositivo, dalla policy applicabile e dalle caratteristiche del flusso.
Integrità documentale e ledger
Gli eventi effettivamente prodotti possono essere collegati al ledger dell’organizzazione mediante concatenamento SHA-256. Questo meccanismo consente di rilevare incoerenze incompatibili con la catena registrata. I checkpoint autenticati con HMAC-SHA-256 rafforzano la verifica dell’integrità senza equivalere a una firma digitale o a una marca temporale.
Consolidamento delle evidenze
L’architettura prevede di riunire le evidenze pertinenti al flusso in documenti tecnici di completamento e audit, in base alla modalità e alle risorse utilizzate. Questi documenti hanno una funzione probatoria e informativa propria della piattaforma: non sono certificati digitali ICP-Brasil, autentiche notarili della firma, autenticazioni notarili né, di per sé, una marca temporale emessa da un’Autorità di Marcatura Temporale.
Evidenze adeguate alla finalità di ciascun atto
Nessun metodo isolato trasforma automaticamente una firma in “avanzata”. La classificazione giuridica dipende dalle caratteristiche tecniche effettivamente utilizzate e dalle evidenze associate al firmatario e al documento. Canali e validazioni possono essere combinati in base alla modalità, alla disponibilità della risorsa e alla policy applicabile.
Verifica tramite e-mail
L’e-mail può far parte dell’insieme delle evidenze del flusso, anche tramite un codice monouso quando il meccanismo è abilitato. La conferma di un singolo canale non determina, da sola, la classificazione giuridica della firma.
SMS o WhatsApp
I canali mobili possono aggiungere un’evidenza distinta al processo di autenticazione quando sono integrati e abilitati per la modalità. La combinazione di due o più codici non rende, di per sé, una firma elettronica avanzata.
Identità, documento e biometria
Le modalità di validazione rafforzata possono includere documento d’identità, selfie, prova di presenza, confronto facciale o geolocalizzazione quando tali risorse sono abilitate e adeguate al caso. I dati biometrici sono dati personali sensibili e richiedono una valutazione specifica di necessità, proporzionalità, sicurezza e conservazione.
Firma qualificata con ICP-Brasil
Quando la modalità richiede una firma elettronica qualificata, il firmatario deve utilizzare il proprio certificato digitale ICP-Brasil, nel rispetto delle regole tecniche e normative applicabili. La firma qualificata è distinta dai metodi di autenticazione senza certificato e la sua integrazione dipende dai componenti specifici di firma e validazione utilizzati nel flusso.
Documenti comuni nella pratica giuridica e aziendale
| Tipo di documento | Uso tipico | Nota |
|---|---|---|
| Contratto di onorari / prestazione di servizi | Formalizzazione di un rapporto contrattuale con il cliente | La modalità di firma e l’insieme delle evidenze devono considerare valore, rischio, parti coinvolte, finalità ed eventuali requisiti specifici. |
| Procura (ad judicia o privata) | Conferimento di poteri a un avvocato o a un terzo | Il Codice di procedura civile brasiliano ammette che la procura sia firmata digitalmente secondo la legge. La modalità adeguata deve considerare lo strumento, i poteri conferiti ed eventuali requisiti legali, giudiziari o del sistema destinatario. |
| Dichiarazione e autorizzazione | Manifestazione unilaterale di un fatto o consenso a un atto specifico | La forma e il livello di evidenza devono essere compatibili con la finalità, il rischio e i requisiti del destinatario. |
| Accordi e termini in generale | Formalizzazione di obblighi, accordi e manifestazioni tra le parti | La manifestazione elettronica può essere utilizzata quando la legge e la natura dell’atto ammettono tale forma, nel rispetto delle formalità specifiche applicabili. |
Atti soggetti a forma speciale
La firma elettronica non elimina le formalità richieste dalla legge. Gli atti giuridici che dipendono da atto pubblico, registrazione pubblica, particolari solennità o altra forma speciale devono rispettare i requisiti specifici dell’atto. RPSIGN non deve essere interpretato come sostituto automatico di un notaio/registro, di un atto pubblico, di un’autentica notarile della firma o della registrazione quando tali requisiti sono legalmente obbligatori.
Vuoi capire la base giuridica e tecnica dietro ogni fase?
Descriviamo integrità, privacy, modalità di firma, ICP-Brasil e i limiti di ciascun meccanismo nella pagina Sicurezza, Privacy ed Evidenze.