Firme che puoi dimostrare.

Perché l'audit trail conta più della firma stessa?

Per le firme elettroniche semplici, l'articolo 20, comma 1-bis, del Codice dell'Amministrazione Digitale stabilisce che l'idoneità del documento a soddisfare la forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità. Un'immagine di firma non dimostra nulla di tutto questo. L'audit trail sì.

Per ogni documento registriamo creazione, invio, ogni apertura, ogni firma, i rifiuti, i promemoria e la chiusura, con data e ora, indirizzo IP e dispositivo. Questo registro viene stampato nel certificato di firma aggiunto alla fine del PDF, così viaggia insieme al documento.

Come verificare che un PDF firmato non sia stato modificato?

Calcoliamo un'impronta SHA-256 del documento originale prima dell'invio, poi del file finale dopo l'ultima firma. L'impronta finale compare nell'e-mail di completamento. Carica qualsiasi file sulla nostra pagina di verifica: se corrisponde a un documento firmato da noi lo vedi subito; se è stato modificato anche di un solo byte, non corrisponde più.

L'impronta viene calcolata nel tuo browser: al nostro server arriva solo quel valore di 64 caratteri, mai il PDF. È un modo semplice per rispondere a un cliente o a un avvocato che ti chiede di dimostrare l'integrità di un contratto.

Dove e come vengono conservati i tuoi documenti?

I file sono cifrati a riposo con AES-256-GCM sui nostri server, ospitati da Hetzner. I link di firma vengono conservati solo sotto forma di hash: anche con accesso al database non si può ricostruire un link valido.

Non abbiamo certificazioni SOC 2 o ISO 27001 e non lo diciamo. Siamo un piccolo team e preferiamo descrivere con precisione cosa facciamo. La nostra informativa sulla privacy spiega quali dati trattiamo e quali sono i tuoi diritti, anche ai sensi del GDPR.

Quali limiti devi conoscere?

I firmatari sono identificati tramite indirizzo e-mail, indirizzo IP e dispositivo, non tramite documento d'identità, SPID o CIE. È adeguato per una firma elettronica semplice, ma non per i casi in cui la legge o la controparte richiede una firma avanzata, qualificata o digitale. In quei casi usa un prestatore di servizi fiduciari qualificato, come quelli elencati da AgID.