Sicurezza con precisione tecnica
RPSIGN combina controlli di sicurezza già integrati nella piattaforma con un’architettura di evidenze predisposta per diverse modalità di firma elettronica. In questa pagina distinguiamo i controlli amministrativi esistenti, le risorse che dipendono dalla modalità utilizzata e le integrazioni che richiedono un’implementazione specifica, un fornitore contrattualizzato o una validazione tecnica.
Controlli tecnici e integrità delle registrazioni
La sicurezza si costruisce a strati. Nessun singolo meccanismo elimina tutti i rischi; l’obiettivo è ridurre l’esposizione, limitare gli accessi, preservare il contesto e consentire di rilevare incoerenze.
Ledger crittografico concatenato
Gli eventi rilevanti sono registrati in un ledger per organizzazione e collegati mediante digest SHA-256. Le modifiche incompatibili con la sequenza prevista possono essere rilevate verificando la catena. Il concatenamento, da solo, non impedisce a un soggetto con pieno controllo dello storage di tentare di ricalcolare registrazioni e hash.
Checkpoint autenticati
Lo stato del ledger può essere riassunto in checkpoint versionati autenticati mediante HMAC-SHA-256. HMAC rafforza la verifica dell’integrità e dell’autenticità del checkpoint, ma non è una firma digitale né una marca temporale emessa da un’Autorità di Marcatura Temporale.
Policy versionate e documenti immutabili
Le policy sono versionate per preservare l’insieme di regole associato a ogni operazione. Documenti e versioni sono modellati per rimanere immutabili, evitando che una versione successiva sostituisca silenziosamente un contenuto registrato in precedenza.
Autenticazione amministrativa robusta
Gli account amministrativi utilizzano MFA/TOTP obbligatoria, codici di recupero, sessioni protette da token opachi, rotazione e revoca, oltre a controllo degli accessi RBAC negato per impostazione predefinita e isolamento per organizzazione. Questi controlli proteggono l’amministrazione della piattaforma e non equivalgono all’autenticazione o identificazione del firmatario.
Architettura delle evidenze
La piattaforma è stata strutturata per associare eventi, policy, versioni documentali ed evidenze tecniche al flusso corrispondente. Ciò che è effettivamente disponibile in ogni operazione dipende dalla modalità utilizzata, dai controlli attivati e dalle integrazioni tecnicamente validate e abilitate per quel flusso.
Privacy nell’architettura
La progettazione della piattaforma adotta finalità, necessità, minimizzazione, controllo degli accessi, conservazione definita e separazione per organizzazione come criteri di progetto. Le risorse che coinvolgono dati sensibili richiedono una valutazione aggiuntiva di rischio, proporzionalità e garanzie.
Ledger, checkpoint e ancoraggio esterno
Il hash chaining consente di rilevare incompatibilità nella catena, ma da solo non offre una resistenza assoluta alla compromissione totale del database e delle chiavi dell’applicazione. I checkpoint autenticati aggiungono un livello di verifica. Per aumentare la resistenza alla compromissione integrale dell’ambiente, l’architettura prevede un ancoraggio verso una destinazione esterna indipendente; tale destinazione deve essere definita e resa operativa prima di essere presentata come controllo attivo di produzione.
Firma senza certificato digitale
Una firma elettronica senza certificato ICP-Brasil può riunire diverse evidenze di paternità, manifestazione di volontà e integrità. La classificazione giuridica dipende dall’insieme tecnico realmente utilizzato in ogni operazione — non soltanto dal numero di passaggi di verifica.
Livelli che possono comporre un flusso
- verifica tramite e-mail, SMS o WhatsApp;
- validazione del CPF brasiliano e validazione documentale;
- geolocalizzazione, quando autorizzata dal dispositivo;
- dati tecnici del dispositivo e della sessione;
- selfie, biometria facciale e prova di presenza;
- registrazioni di data e ora e cronologia degli eventi;
- verifica dell’integrità del documento e delle sue versioni.
Cosa significa combinare le evidenze
Ogni livello dipende dalla modalità scelta, dalla disponibilità tecnica, dalla policy applicabile e, quando necessario, da un fornitore contrattualizzato e tecnicamente validato. L’uso di due codici, ad esempio, non rende automaticamente una firma avanzata.
Una firma senza certificato ICP-Brasil non è una firma elettronica qualificata. La sua forza probatoria deriva dalle evidenze effettivamente raccolte, dall’integrità dimostrabile, dal rapporto tra le parti e dalle circostanze del caso concreto.
La biometria richiede controlli specifici
Quando viene adottata questa modalità
I flussi biometrici potranno includere validazione documentale, selfie, prova di presenza, confronto facciale, punteggi tecnici e procedure di revisione. La composizione esatta dipenderà dal fornitore, dalla finalità e dalla policy definita per l’operazione.
La biometria non deve essere considerata infallibile. Falsi positivi, falsi negativi, qualità della cattura e condizioni ambientali devono essere presi in considerazione, con un meccanismo di revisione quando necessario.
Dato personale sensibile
I dati biometrici collegati a una persona fisica sono dati personali sensibili. L’adozione di questa risorsa richiede un’analisi di necessità, adeguatezza, proporzionalità, rischi, sicurezza, trasparenza, conservazione e diritti dell’interessato. Non è corretto presumere che venga memorizzato soltanto un “risultato”: l’architettura finale e il fornitore possono implicare immagini, documenti, template, punteggi e registrazioni di revisione.
Firma semplice, avanzata e qualificata
La Legge brasiliana nº 14.063/2020 classifica le firme elettroniche in tre livelli per le finalità previste dalla legge. Questa tassonomia è utile anche per spiegare le differenze tecniche, ma l’ammissibilità di una firma in una specifica operazione dipende dalla normativa applicabile, dal destinatario e dai requisiti dell’atto.
| Livello | Caratteristiche | Requisiti essenziali | Modalità di validazione |
|---|---|---|---|
| Semplice | Consente di identificare il firmatario e associare dati elettronici ad altri dati elettronici da lui utilizzati per firmare. | Identificazione e associazione dei dati all’atto elettronico, nel rispetto delle regole applicabili all’operazione. | Esame del meccanismo utilizzato, del contesto e delle evidenze disponibili. |
| Avanzata | Richiede un’associazione univoca al firmatario, un elevato livello di affidabilità nel controllo dei dati di creazione e la possibilità di rilevare modifiche successive dei dati associati. | L’insieme tecnico deve soddisfare le caratteristiche legali; più canali di autenticazione, da soli, non sono sufficienti per la classificazione. | Verifica delle evidenze di paternità, controllo, integrità e collegamento al firmatario. |
| Qualificata | Utilizza un certificato digitale nell’ambito ICP-Brasil. | Utilizzo di un certificato digitale nell’ambito ICP-Brasil, nel rispetto dei requisiti tecnici e normativi applicabili. | Validazione crittografica, catena di certificazione, stato di revoca, policy di firma e altri requisiti ICP-Brasil applicabili. |
Cosa non risolve da sola una firma qualificata
Ai sensi dell’art. 10, §1º, della Misura Provvisoria brasiliana nº 2.200-2/2001, i documenti prodotti mediante un processo di certificazione messo a disposizione da ICP-Brasil godono di una presunzione relativa alle dichiarazioni attribuite ai firmatari. Tale presunzione non prova automaticamente la veridicità materiale di tutte le dichiarazioni, non sana incapacità, oggetto illecito o vizio della volontà, non esonera dalla forma speciale richiesta dalla legge, non garantisce l’accettazione automatica in qualsiasi sistema e non trasforma, da sola, qualsiasi documento in titolo esecutivo.
Firma qualificata e Sigillo Elettronico
L’architettura RPSIGN prevede una futura integrazione con i meccanismi ICP-Brasil, rispettando la distinzione tra la firma personale del firmatario e il sigillo elettronico rilasciato a una persona giuridica.
Firma qualificata del firmatario
Una volta integrata, ogni firmatario utilizzerà il proprio certificato ICP-Brasil. Il progetto di interoperabilità considera certificati A1 in file/software durante il periodo normativo di transizione, certificati A3/A4 destinati alle persone fisiche su token, smart card o altra modalità ammessa da ICP-Brasil, certificati conservati nel cloud quando ammessi da ICP-Brasil e dal fornitore contrattualizzato, e firme PAdES-ICP-Brasil per documenti PDF.
La validazione dovrà considerare la catena di certificazione, lo stato di revoca, la policy di firma e, se contrattualizzata, la marca temporale emessa da un’Autorità di Marcatura Temporale accreditata. La compatibilità dovrà inoltre essere verificata tramite il servizio VALIDAR dell’ITI.
Sigillo Elettronico ICP-Brasil
Il Sigillo Elettronico è destinato alle persone giuridiche e serve a comprovare l’origine e l’integrità dei documenti elettronici collegati all’organizzazione. Non rappresenta una firma personale né una manifestazione di volontà di una persona fisica.
Documenti, certificati di evidenza o report prodotti automaticamente dalla piattaforma potranno, quando l’integrazione sarà adottata, utilizzare un Sigillo Elettronico ICP-Brasil per rafforzare la prova dell’origine organizzativa e dell’integrità.
Transizione normativa ICP-Brasil
Secondo la normativa e le indicazioni attualmente pubblicate dall’ITI, i certificati A1 possono essere utilizzati fino al 2 marzo 2029. Dal 3 marzo 2029, i tipi A1, A2 e da S1 a S4 cessano di essere utilizzabili. I certificati di firma A3 e A4 sono destinati esclusivamente alle persone fisiche, mentre i certificati di Sigillo Elettronico software (SE-S) e hardware (SE-H) sono destinati alle persone giuridiche.
Consulta le indicazioni del Comitato di Gestione ICP-Brasil presso l’ITI
Riferimenti giuridici per i documenti elettronici
Libertà di forma — Codice civile brasiliano, artt. 107 e 108
L’art. 107 stabilisce, come regola, che la validità della manifestazione di volontà non dipende da una forma speciale, salvo quando la legge la richieda espressamente. L’art. 108 è un esempio di ipotesi in cui l’atto pubblico è essenziale per determinate operazioni immobiliari.
La manifestazione elettronica può essere utilizzata quando la legge e la natura dell’atto ammettono tale forma, nel rispetto delle formalità specifiche applicabili.
Misura Provvisoria nº 2.200-2/2001 — paternità e integrità
L’art. 10, §1º, prevede una presunzione relativa alle dichiarazioni contenute nei documenti elettronici prodotti mediante un processo di certificazione messo a disposizione da ICP-Brasil, con riferimento ai firmatari. Il §2º preserva l’uso di altri mezzi per comprovare paternità e integrità, anche senza certificato ICP-Brasil, quando ammessi dalle parti o accettati da chi riceve il documento.
Codice di procedura civile brasiliano, art. 105 — procure
Il CPC brasiliano ammette che la procura sia firmata digitalmente secondo la legge. La modalità adeguata deve considerare lo strumento, i poteri conferiti ed eventuali requisiti legali, giudiziari o del sistema destinatario.
I poteri speciali, come confessare, riconoscere la fondatezza della domanda, transigere, rinunciare agli atti o al diritto, ricevere, rilasciare quietanza, assumere impegni e firmare una dichiarazione di insufficienza economica, devono essere indicati in una clausola specifica.
CPC brasiliano, art. 784, §4º — titolo esecutivo stragiudiziale
Per i titoli esecutivi costituiti o attestati con mezzi elettronici, la legge ammette qualsiasi modalità di firma elettronica prevista dalla legge e consente di prescindere dai testimoni quando l’integrità è verificata da un fornitore di firma.
Questa regola non trasforma automaticamente qualsiasi contratto elettronico in un titolo esecutivo. L’obbligazione deve soddisfare gli altri requisiti legali, l’integrità deve essere dimostrabile e l’applicazione concreta può essere esaminata giudizialmente. L’architettura RPSIGN non deve essere confusa con l’affermazione che la piattaforma svolga già operativamente tutte le funzioni giuridiche e tecniche di un fornitore di firma.
Evidenze della piattaforma, certificato digitale e sigillo
| Termine | Finalità | Limiti |
|---|---|---|
| Certificato di Completamento RPSIGN | Documento di evidenza previsto per riunire le informazioni tecniche del flusso completato, in base alla modalità e ai controlli effettivamente utilizzati. | Non è un certificato digitale ICP-Brasil, un’autentica notarile della firma, un’autenticazione notarile né una prova automatica della verità materiale delle dichiarazioni. |
| Report di Audit RPSIGN | Report tecnico previsto per riunire eventi, evidenze e verifiche disponibili nel flusso. | Non è un audit indipendente, un’autenticazione notarile né, di per sé, una marca temporale emessa da un’Autorità di Marcatura Temporale accreditata. |
| Firma elettronica senza ICP-Brasil | Modalità basata su dati ed evidenze elettroniche di paternità, manifestazione di volontà e integrità, secondo i mezzi effettivamente utilizzati. | Non è una firma qualificata ICP-Brasil e non beneficia automaticamente della presunzione prevista dall’art. 10, §1º, della Misura Provvisoria nº 2.200-2/2001. |
| Firma elettronica qualificata | Firma che utilizza un certificato digitale nell’ambito ICP-Brasil. | L’integrazione con certificati e componenti di firma ICP-Brasil dipende da un’implementazione, interoperabilità e validazione tecnica adeguate. |
| Sigillo Elettronico ICP-Brasil | Certificato destinato a una persona giuridica per comprovare l’origine e l’integrità di un documento elettronico. | Non è la firma personale del rappresentante e non sostituisce la manifestazione di volontà di una persona fisica quando tale manifestazione è giuridicamente necessaria. |
Due livelli di validazione
Validazione indipendente ICP-Brasil
Quando è presente una firma ICP-Brasil, la validazione deve essere indipendente dall’interfaccia RPSIGN e considerare il formato della firma, incluso PAdES per PDF, la catena del certificato, lo stato di revoca, la policy di firma e la marca temporale quando presente.
Il servizio VALIDAR dell’ITI è un riferimento pubblico per verificare firme elettroniche compatibili.
Validazione RPSIGN
L’architettura prevede una verifica propria tramite codice, QR Code o caricamento del PDF, con ricalcolo dell’hash, confronto con il documento registrato, verifica del ledger e, quando l’ancoraggio esterno è operativo, controllo del checkpoint corrispondente.
La validazione della firma e dell’integrità dimostra aspetti tecnici del documento e del flusso; non prova, da sola, la verità materiale di tutte le dichiarazioni contenute nel documento.
Protezione dei dati e responsabilità
RPSIGN adotta come criteri di progettazione finalità, adeguatezza, necessità, minimizzazione, sicurezza, trasparenza, controllo degli accessi, conservazione definita ed esercizio dei diritti dell’interessato. Le responsabilità del titolare e del responsabile del trattamento devono essere determinate in base all’operazione concreta e al rapporto tra l’organizzazione utilizzatrice, la piattaforma e gli eventuali fornitori.
Dati come indirizzo IP, informazioni sul dispositivo e geolocalizzazione devono essere raccolti solo quando previsti per la modalità, tecnicamente disponibili, necessari alla finalità e trattati secondo la policy applicabile. La geolocalizzazione dipende inoltre dai permessi e dalle capacità del dispositivo.
Vedi pagina PrivacyBiometria e art. 11 della LGPD
I dati biometrici sono dati personali sensibili. L’ipotesi dell’art. 11, II, “g”, della LGPD può applicarsi alla prevenzione delle frodi e alla sicurezza dell’interessato nei processi di identificazione e autenticazione, purché i requisiti legali siano presenti nell’operazione concreta e siano preservati i diritti e le libertà fondamentali dell’interessato. Questa base giuridica non deve essere considerata automatica.
L’ANPD mantiene i dati biometrici tra i temi rilevanti della propria agenda normativa e sottolinea rischi specifici legati alla biometria e al riconoscimento facciale.
Fonti ufficiali e revisione tecnica
Questa pagina utilizza come riferimenti normativi e tecnici il Portale della Legislazione della Presidenza della Repubblica del Brasile, l’Istituto Nazionale di Tecnologia dell’Informazione (ITI), il servizio VALIDAR/ITI e l’Autorità nazionale brasiliana per la protezione dei dati (ANPD).
Ultima revisione tecnica e normativa: 17 agosto 2026.
Le informazioni hanno carattere istituzionale ed esplicativo. La validità, l’ammissibilità, la forma richiesta e la forza probatoria di un documento dipendono dalla normativa applicabile, dal contenuto dell’atto, dalla modalità di firma effettivamente utilizzata, dalle evidenze disponibili e, quando pertinente, dalla valutazione del destinatario o dell’autorità giudiziaria.