MANUALE OPERATIVO
SERVIZIO DI
FIRMA ELETTRONICA AVANZATA
(FEA)

INFORMAZIONI GENERALI

CONTROLLO DOCUMENTALE

CONTROLLO FORMALE

CONTROLLO DELLE VERSIONI

1. INTRODUZIONE

1.1. SCOPO DEL DOCUMENTO

Il presente Manuale Operativo (di seguito anche solo “Manuale”), descrive le procedure operative seguite dalla società AvvocatoFlash Srl (di seguito anche solo “Erogatore”) nelle attività di erogazione del servizio di firma elettronica avanzata “Signing Today FEA”. Il Manuale Operativo descrive obblighi, garanzie, responsabilità, caratteristiche di sicurezza e affidabilità del servizio di firma elettronica avanzata dell’Erogatore, in conformità al D.P.C.M. 22 febbraio 2013 recante “Regole Tecniche in materia di generazione, apposizione, e verifica delle firme elettroniche avanzate, qualificate e digitali” ein generale a tutta la normativa applicabile.

1.2. NOME DEL DOCUMENTO E REGOLE DI IDENTIFICAZIONE

Il presente Manuale è aggiornato alla versione risultante dal “Controllo delle Versioni” o dal “Controllo Documentale” di cui alle “Informazioni Generali” del presente documento.
L’Erogatore, inoltre, si impegna a rendere noto e disponibile il presente Manuale ai soggetti interessati alla sua implementazione e successivamente, a istruire tali figure in ordine alla corretta esecuzione delle attività in esso descritte.

1.3. RIFERIMENTI DELL’ORGANIZZAZIONE

Di seguito sono indicati i dati societari del soggetto Erogatore e i relativi contatti:

• Ragione Sociale: AvvocatoFlash Srl
• Partita Iva: 15339411009
• Sede legale: Via Isnardi 7- 87100- Cosenza
• Tel: 02 400 31195
• Sito internet: www.avvocatoflash.it

1.4. GLOSSARIO E DEFINIZIONI

All’interno del documento si fa riferimento alle definizioni riportate nella tabella che segue. Per ogni termine non contenuto all’interno della tabella si rimanda alle definizioni di cui all’art. 1 del D.P.C.M. 22 febbraio 2013 nonché all’art. 4 del GDPR.

1.1. PUBBLICAZIONE E AGGIORNAMENTO DEL MANUALE OPERATIVO

Il presente Manuale Operativo è pubblicato e reso disponibile dall’Erogatore sul proprio sito web raggiungibile al seguente indirizzo: www.avvocatoflash.it

Il Manuale Operativo è accessibile in modo continuo.

L’Erogatore si impegna ad aggiornare il Manuale Operativo in caso di modifiche rilevanti al servizio nonché in occasione di interventi normativi che impongano una modifica dei contenuti in esso delineati.

2. AMBITO DI APPLICAZIONE

Ai sensi dell’art. 1, comma 1, lett. q-bis) del Codice dell’Amministrazione Digitale la firma elettronica avanzata rappresenta “l’insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l'identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati”.

Il D.P.C.M. 22 febbraio 2013 emanato al fine di definire gli standard tecnico-operativi richiesti dall’art. 71 del CAD, stabilisce, ai sensi degli articoli 20, 24, comma 4, 27, 28, 29, 32, 33, 35, comma 2, e 36, del Codice dell’Amministrazione Digitale, tra le altre, le regole tecniche per la generazione, apposizione e verifica della firma elettronica avanzata, qualificata e digitale, per la validazione temporale, nonché per lo svolgimento delle attività dei certificatori qualificati.

La definizione di firma elettronica avanzata data dal raffronto con le normative sopra citate corrisponde in toto, in ambito sostanziale, alla medesima definizione contenuta nella direttiva europea n. 93 del 1999. La scelta di inserire ed introdurre nell’ordinamento italiano tale tipologia di firma elettronica è dovuto, principalmente, all’evoluzione tecnologica, la quale ha fatto si che fosse possibile configurare una serie di soluzioni tecniche che, senza giungere a configurare una vera e propria firma digitale o qualificata (cioè basata su un certificato qualificato), può comunque mettere a disposizione dell’utente/Firmatario strumenti di firma con un buon livello di sicurezza e attendibilità, che si pongono come strumenti finalizzati a semplificare, e quindi favorire, l’uso delle nuove tecnologie.

Inoltre, ai sensi dell’art. 55 co. 1 del D.P.C.M. 22 febbraio 2013 “la realizzazione di soluzioni di firma elettronica avanzata è libera e non è soggetta ad alcuna autorizzazione preventiva”.

Nei paragrafi che seguono sono descritti i soggetti coinvolti nel servizio di erogazione della firma elettronica avanzata.

2.1. SOGGETTI COINVOLTI NEL SERVIZIO

2.1.1. EROGATORE DEL SERVIZIO DI FEA

La società AvvocatoFlash srl opera in qualità di Erogatore del servizio di Firma Elettronica Avanzata FEA, in ossequio alla seguente normativa richiamata nel paragrafo precedente.

In particolare, ai sensi dell’art. 55 co. 2 del D.P.C.M. 22 febbraio 2013 “i soggetti che erogano o realizzano soluzioni di firma elettronica avanzata si distinguono in:

• coloro che erogano soluzioni di firma elettronica avanzata al fine di utilizzarle nei rapporti intrattenuti con soggetti terzi per motivi istituzionali, societari o commerciali, realizzandole in proprio o anche avvalendosi di soluzioni realizzate dai soggetti di cui alla lettera b);
• coloro che, quale oggetto dell’attività di impresa, realizzano soluzioni di firma elettronica avanzata a favore dei soggetti di cui alla lettera a)”.

Come è possibile desumere dalla lettura della normativa sopra citata il soggetto Erogatore può erogare soluzioni di firma elettronica o:

• realizzandole in proprio; o
• avvalendosi di soluzioni create e proposte da coloro che realizzano tali soluzioni a favore degli Erogatori;

La società AvvocatoFlash srl in qualità di Erogatore ai sensi della lett. a) dell’art. 55 co. 2 del D.P.C.M. sopra citato, eroga la soluzione di firma elettronica avanzata avvalendosi di un soggetto esterno che fornisce e realizza tale soluzione, in conformità alla normativa richiamata.

2.1.2. SOGGETTO CHE REALIZZA SOLUZIONI AI SENSI DELL’ART. 55 CO. 2 LETT. B DEL DPCM 22 FEBBRAIO 2013

È il soggetto che realizza soluzioni di firma elettronica avanzata a favore dell’Erogatore. Nell’ambito delle attività previste e descritte nel presente Manuale Operativo, i riferimenti del soggetto di cui all’art. 55 co. 2 lett. b) del D.P.C.M. 22 febbraio 2013 sono i seguenti:

• Ragione Sociale: Bit4id S.r.l.
• Partita Iva: 04741241212
• Sede legale: Via Diocleziano n. 107 (80125) – Napoli (Na)
• Tel: +39 081/7625600
• Sito internet: www.bit4id.com

2.1.2.1. SOLUZIONE FEA “SIGNINGTODAY”

La soluzione di Firma Elettronica Avanzata “SigningToday, sviluppata dalla Bit4id S.r.l., in qualità di soggetto che realizza soluzioni di cui all’art. 55 co. 2 lett. b) del D.P.C.M. 22 febbraio 2013 consente di raccogliere firme elettroniche su documenti digitali da parte di uno o più Firmatari, dando vita a transazioni digitali semplici da integrare all’interno di qualunque flusso documentale.

2.1.3. TERZO FIRMATARIO

La persona fisica che, attraverso il Servizio di Firma Elettronica Avanzata (FEA) fornito dall’Erogatore, sottoscrive documenti elettronici inviati dall’Utente.

2.1.4. UTENTE

E’ il soggetto professionista, registrato sul sito internet - www.avvocatoflash.it e abilitato da AvvocatoFlash, che identifica il Terzo Firmatario e che riceve un documento informatico sottoscritto con la Firma Elettronica Avanzata (FEA) da parte del Terzo Firmatario e che fa affidamento sulla validità dello strumento di firma per valutare la correttezza e la validità del documento stesso, nei contesti dove esso è utilizzato

3. IDENTIFICAZIONE E RICONOSCIMENTO

3.1. VERIFICA INIZIALE DELL’IDENTITA’ DEL FIRMATARIO

L’Utente, come previsto dalla Nomina ad Incaricato per il rilascio di certificati di firma elettronica avanzata ( di seguito “Nomina Incaricato”), Condizioni generali per l’erogazione del servizio di Firma Elettronica Avanzata (FEA)- Utenti (di seguito, “le Condizioni”)e dal presente Manuale Operativo verifica con certezza l’identità di ogni Terzo Firmatario alla prima richiesta di emissione di un certificato, al fine di assicurare che quel certificato possa riferirsi in maniera certa al Terzo Firmatario.

L’identificazione del Terzo Firmatario avviene mediante i seguenti passaggi:

1. il Terzo Firmatario compila il Form di Registrazione in ogni sua parte (includendo dati anagrafici e di contatto del Firmatario) ed effettua il caricamento dei documenti previsti (copia fronte e retro del documento di identità e del codice fiscale);
2. l’Utente visualizza tutti i dati associati alla richiesta e può verificarne la correttezza;
3. il servizio FEA Signing Today invia al Terzo Firmatario l’E-mail di verifica (al fine di verificarne la correttezza ), con in allegato il contratto FEA (contratto che il Terzo Firmatario sottoscrive per ottenere il certificato FEA);
4. il Terzo Firmatario prende visione del contratto FEA in tutte le sue parti e degli allegati a cui questo fa riferimento;
5. il Terzo Firmatario seleziona il link contenuto nell’e-mail di accettazione ed accede a una pagina web che richiede l’inserimento del codice di sicurezza;
6. il servizio FEA Signing Today invia al Terzo Firmatario un codice di sicurezza (a seconda della configurazione, l’invio viene fatto o via e-mail o via SMS);
7. il Terzo Firmatario inserisce nella pagina web di cui al punto 5 il codice di sicurezza e procede così alla firma del Contratto FEA;
8. il servizio FEA Signing Today invia una e-mail al Terzo Firmatario che conferma l’attivazione del servizio FEA, recante in allegato il Contratto FEA firmato (ove il Terzo Firmatario ha accettato le condizioni del servizio).

4. CARATTERISTICHE DEL SERVIZIO DI FIRMA ELETTRONICA AVANZATA

4.1. RESPONSABILITÀ

4.1.1. TERZO FIRMATARIO

Il Terzo Firmatario del certificato è tenuto a:

• sottoscrivere la documentazione contrattuale predisposta dall’Erogatore del servizio FEA;
• fornire informazioni corrette e veritiere sulla propria identità;
• leggere attentamente il materiale messo a disposizione dall’Erogatore;
• seguire le istruzioni fornitegli da quest’ultimo nell’avanzare la richiesta del certificato FEA.

4.1.2. L’UTENTE

L’Utente è tenuto a

• identificare in modo accurato il Terzo Firmatario, verificando lo stato di validità dei documenti di identità di quest’ultimo;
• generare le evidenze del processo di identificazione così come descritto in questo Manuale Operativo e nella Nomina Incaricato

4.1.3. EROGATORE

L’Erogatore è tenuto a

• conservare secondo le prescrizioni della normativa applicabile le copie dei documenti di identità acquisite dagli Utenti in fase di identificazione;
• rendere note ai Terzi Firmatari le proprie modalità operative mediante la condivisione del Manuale Operativo, anche attraverso pubblicazione sul proprio sito internet;
• rendere note le caratteristiche del servizio FEA;
• erogare il servizio FEA in conformità a questo Manuale Operativo;
• fornire un servizio di revoca dei certificati;
• fornire un servizio informativo efficiente ed affidabile sullo stato dei certificati;
• fornire informazioni chiare e complete sui requisiti e condizioni del servizio;
• mettere a disposizione l'informativa prevista dal Reg. europeo 2016/679;
• trattare i dati personali conformemente alle norme vigenti;
• garantire che i dati raccolti non vengano utilizzati o elaborati per fini diversi senza l'espresso consenso della persona alla quale si riferiscono;
• offrire un adeguato livello di sicurezza dei sistemi preposti all’erogazione del servizio FEA, che permetta la connessione univoca tra documento firmato e Terzo Firmatario;
• assicurare l’integrità dei documenti firmati mediante il servizio FEA (il documento elettronico non può subire modifiche dopo la firma;
• mettere a disposizione strumenti tecnologici in grado di garantire dal punto di vista tecnico il controllo esclusivo da parte del Terzo Firmatario sulle proprie chiavi di firma.

4.2. GARANZIE E LIMITAZIONI

4.2.1. ESCLUSIONI DI GARANZIE

L’Erogatore non ha ulteriori obblighi e non garantisce nulla più di quanto espressamente previsto dalla normativa vigente in materia ovvero indicato nel presente Manuale e nelle Condizioni Generali relative al servizio FEA.

4.2.2. LIMITAZIONI DI RESPONSABILITÀ

L’Erogatore è responsabile verso i Terzi Firmatari, per l’adempimento di tutti gli obblighi discendenti dall’espletamento delle attività previste dal Regolamento (UE) n. 910/2014 del Parlamento Europeo e del Consiglio del 23 luglio 2014 (Regolamento eIDAS), dalla normativa italiana di settore, ove applicabile, (D.Lgs. 7 marzo 2005, n. 82 - Codice dell’Amministrazione Digitale e s.m.i., D.P.C.M. 22 febbraio 2013 e s.m.i., e ulteriori disposizioni normative e regolamentari pertinenti per materia), dal D.Lgs. n. 196/2003 nonché di quelle previste dal Regolamento UE 2016/679 (GDPR).

Salva l’applicazione della normativa su richiamata, le uniche ipotesi di responsabilità in capo all’Erogatore sono circoscritte, esclusivamente, a quelle dettate dal presente Manuale Operativo e dal Contratto di fornitura relativo al servizio FEA.

In nessun altro caso, per nessun titolo e/o ragione, l’Erogatore potrà essere ritenuto responsabile nei confronti del Terzo Firmatario, ovvero verso altri soggetti, direttamente o indirettamente connessi a questi ultimi, per danni diretti o indiretti, perdite di dati, violazione di diritti di terzi, ritardi, malfunzionamenti, interruzioni, totali o parziali, che si dovessero verificare a fronte dell’erogazione del servizio o derivanti da:

• cause di forza maggiore, caso fortuito, eventi catastrofici (a titolo esemplificativo ma non esaustivo: incendi, esplosioni, scioperi, sommosse, ecc.);
• manomissioni o interventi sul Servizio o sulle apparecchiature effettuati da parte di terzi non autorizzati dall’Erogatore.

L’Erogatore sarà responsabile unicamente per quei danni causati con dolo o negligenza nei confronti di qualsiasi persona fisica o giuridica in seguito al mancato adempimento degli obblighi normativi applicabili.

È consentita all’Erogatore la prova dell’assenza della presunzione di responsabilità a suo carico se dimostra che il danno si è verificato senza suo dolo o negligenza.

4.2.3. FORZA MAGGIORE

L’Erogatore non potrà essere ritenuto responsabile della mancata esecuzione delle obbligazioni assunte in forza delle disposizioni di cui al presente Manuale qualora tale mancata esecuzione sia dovuta a cause ad esso non imputabili, quali - a titolo esemplificativo e non esaustivo - caso fortuito, disfunzioni di ordine tecnico assolutamente imprevedibili e poste al di fuori di ogni controllo, interventi dell’autorità, cause di forza maggiore, calamità naturali, scioperi anche aziendali - ivi compresi quelli presso soggetti di cui le parti si avvalgano nell’esecuzione delle attività connesse al servizio qui descritto - ed altre cause imputabili a terzi.

4.3. CARATTERISTICHE DEL SERVIZIO FEA

4.3.1. SPECIFICHE TECNOLOGICHE E CONFORMITÀ ALLA NORMATIVA APPLICABILE

Il Regolamento eIDAS (Regolamento EU n. 910/2014) definisce le caratteristiche che una soluzione di firma elettronica avanzata deve necessariamente possedere.

In particolare, l’art. 26 del Regolamento richiede che una firma elettronica avanzata soddisfi i seguenti requisiti:

• è connessa univocamente al firmatario;
• è idonea ad identificare il firmatario;
• è creata mediante dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo;
• è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati”.

Ulteriori requisiti a livello nazionale sono definiti dal D.P.C.M. del 22 febbraio 2013 già citato. Di seguito, una breve descrizione esplicativa per ciascuno dei requisiti – da lett. a) a lett. b) dell’art. 26 del Regolamento eIDAS – relativi alla firma elettronica avanzata e di come tali requisiti siano soddisfatti dal servizio FEA SigningToday implementato dal soggetto Erogatore:

• una firma elettronica avanzata è connessa unicamente al firmatario: la firma può essere attivata solamente dal Firmatario mediante l’utilizzo di un codice di sicurezza inviato al telefono cellulare dello stesso (o al suo indirizzo e-mail). Tale codice ha una scadenza molto limitata nel tempo e non è riutilizzabile (viene pertanto definito anche come One Time Password - OTP). Il numero di cellulare del Firmatario è raccolto in fase di identificazione e messo a disposizione dell’Erogatore affinché possa essere offerto il servizio (similmente per l’indirizzo e-mail, qualora l’OTP venga inviato via posta elettronica – se previsto in fase di configurazione).
• è idonea a identificare il firmatario: il servizio FEA, oggetto del presente Manuale Operativo, si basa su un certificato digitale contenente i dati identificativi del Firmatario, raccolti durante la fase di identificazione.
• è creata mediante dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo: il servizio FEA oggetto del presente documento è basato su un certificato digitale (associato al Firmatario) e su una coppia di chiavi crittografiche collegate al certificato stesso. La creazione di una firma avviene mediante l’utilizzo della chiave privata del Firmatario, che può essere attivata solo mediante un processo sicuro di autenticazione il quale prevede l’inserimento da parte del Firmatario di un codice di sicurezza OTP inviato al suo telefono cellulare (o al suo indirizzo e-mail, se previsto in fase di configurazione).
• è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati: il servizio FEA oggetto del presente documento utilizza meccanismi crittografici di firma che si appoggiano su algoritmi sicuri (RSA con chiavi di 2048 bit, SHA-256 per il calcolo dell’hash del documento).

5. CONDIZIONI LEGALI APPLICABILI AL SERVIZIO

5.1 VALIDITA’ DELLA FIRMA ELETTRONICA AVANZATA

Con riferimento alla validità e, più in particolare, al valore probatorio della firma elettronica avanzata l’art. 21 del CAD stabilisce che il documento informatico, cui è apposta una firma elettronica, è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità. Caratteristiche che oggi sono finalmente definite dalle regole tecniche di cui al D.P.C.M. 22 febbraio 2013.

Al comma 2 del citato articolo, inoltre, si afferma il principio secondo cui il documento informatico, sottoscritto con firma digitale o con un altro tipo di firma elettronica qualificata o avanzata, ha l'efficacia prevista dall'articolo 2702 c.c., con ciò confermando la presunzione della riconducibilità dell’utilizzo del dispositivo di firma alla figura del firmatario (in questo caso la possibilità di fornire prova contraria viene limitata al solo firmatario).

La novità introdotta dal dall’art. 20 co. 1 bis del CAD risiede nel richiamo al valore probatorio, il quale integra e chiarisce il valore giuridico che può essere assunto dal documento informatico, liberamente valutabile in giudizio, anche se non sottoscritto.

In tal modo, quindi, si introduce un principio di carattere generale di libera valutabilità in giudizio del documento informatico come documento scritto in base a specifiche caratteristiche di qualità, sicurezza, integrità ed immodificabilità.

5.2 LIMITI ALL’USO DELLA FIRMA ELETTRONICA AVANZATA

Nell’ambito dell’utilizzo delle soluzioni di firma elettronica avanzata l’Erogatore informa i firmatari dei limiti imposti dalla normativa applicabile circa l’utilizzo della FEA.

A tal proposito, l’art. 60 del D.P.C.M. 22 febbraio 2013, rubricato “Limiti d’uso della firma elettronica avanzata” dispone che “la firma elettronica avanzata realizzata in conformità con le disposizioni delle presenti regole tecniche, è utilizzabile limitatamente ai rapporti giuridici intercorrenti tra il sottoscrittore e il soggetto di cui all’art. 55, comma 2, lettera a)”.

La firma elettronica avanzata, dunque, è utilizzabile (ossia acquista validità nei rapporti giuridici) limitatamente (cioè “solo”) nei rapporti giuridici intercorrenti tra il sottoscrittore ed il soggetto di cui alla lettera a) dell’art. 55 sopra citato:l’Erogatore.

Sintetizzando, la FEA è valida solo in un rapporto bilaterale tra sottoscrittore ed Erogatore (in cui l’erogatore deve “necessariamente” acquisire la qualifica di controparte contrattuale).

5.3 CESSAZIONE DEL SERVIZIO

Il servizio di Firma Elettronica Avanzata può cessare a seguito del verificarsi di una delle seguenti circostanze:

• Richiesta da parte del Terzo Firmatario: il Terzo Firmatario può revocare il servizio FEA facendone esplicita richiesta all’Erogatore o all’Utente che ha provveduto alla sua identificazione, mediante comunicazione o mediante gli strumenti di contatto messi a disposizione del Terzo Firmatario per tale scopo. Una volta finalizzata la revoca del servizio, questa viene notificata al Terzo Firmatario mediante una comunicazione via SMS e/o via e-mail al Terzo Firmatario stesso. A seguito della revoca, il Terzo Firmatario non potrà più firmare con il servizio FEA dell’Erogatore (salvo successiva nuova adesione).
• Cessazione del servizio da parte dell’Erogatore: nel caso in cui il soggetto Erogatore decidesse di cessare il servizio FEA, i documenti da firmare da parte del Terzo Firmatario saranno sottoscritti mediante firma autografa o attraverso ulteriori modalità di firma eventualmente definite e accordate tra il soggetto Erogatore e il Firmatario. Il soggetto Erogatore e/o le RA continueranno a conservare la documentazione relativa anche dopo la cessazione del servizio per tutto il periodo di tempo previsto dalla normativa applicabile.