Manuale FEA

La soluzione di Firma Elettronica Avanzata (FEA) è stata sviluppata per garantire il rispetto dei requisiti essenziali di sicurezza per il firmatario, in particolare: 

• Identificabilità dell’autore della firma;

• Integrità del documento;

• Immodificabilità del documento informatico firmato.

I criteri necessari per definire una firma elettronica come FEA e conferirle la validità legale prevista per questa tipologia di firma sono elencati nelle Regole Tecniche Art. 56, comma 1 del D.P.C.M. 22 febbraio 2013. Di seguito, vengono approfondite le soluzioni adottate da TPPay per soddisfare tali requisiti. 

Identificazione del firmatario del documento 

Il processo di adesione alla soluzione FEA per la sottoscrizione dei documenti informatici prevede che TPPay debba eseguire l’attività di “adeguata verifica” del richiedente. Tale attività viene eseguita da parte di TPPay secondo modalità previste dal d. lgs. 231/2007 e succesivi aggiornamenti (“Normativa Antiriciclaggio”). I documenti raccolti per l’adempimento degli obblighi sopra indicati sono archiviati e conservati a norma. 

Connessione univoca della firma con il firmatario 

La connessione della firma al firmatario è garantita dall’invio del codice OTP al numero di cellulare inserito dal richiedente in procedura, di durata temporale limitata. Viene inoltre impedita l’associazione di un unico numero di cellulare a più richiedenti. TPPay verifica ad ogni utilizzo il corretto inserimento del codice OTP per confermare il possesso del recapito del firmatario; da ciò si desume che ogni utilizzo della FEA richiede l'autorizzazione la quale deve essere data ogni volta e può essere fornita solo dal suo titolare (Cliente). 

Controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma medesima 

La firma è apposta ogni volta mediante OTP che viene inviato da TPPay al Cliente in ogni singola occasione di firma. Quando il Cliente esegue la richiesta di firmare un documento, il processo di TPPay prevede l’invio di OTP verso il numero di cellulare del Cliente nella disponibilità di TPPay. Il processo di firma non può quindi essere inizializzato senza un’azione del Cliente.  

Possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo l'apposizione della firma. 

Quando il Cliente inserisce l’OTP ricevuto per la firma del documento informatico e TPPay ne verifica la validità, viene apposto un timestamp all’interno del documento. A seguito dell’adeguata verifica per il servizio richiesto, viene apposta firma da parte di TPPay ed il documento viene conservato in formato PDF/A. L’integrità del documento informatico può essere verificata da un qualsiasi software di verifica conforme al D.Lgs. 7 marzo 2005, n. 82 (“CAD”). Mediante tale software è possibile accertare che il documento non sia stato alterato successivamente all’apposizione della firma.  

Possibilità per il firmatario di ottenere evidenza di quanto sottoscritto 

Il documento è sempre disponibile al Cliente all’interno dell’apposita sezione riservata, accessibile mediante autenticazione. Il Cliente potrà comunque averne copia contattando TPPay mediante richiesta di assistenza nell’apposita sezione sul sito www.tppay.it. 

Individuazione del soggetto di cui all'art. 55, comma 2, lettera (a)  

TPPay S.p.A. è identificabile come soggetto che eroga soluzioni di firma elettronica avanzata al fine di utilizzarle nei rapporti intrattenuti con la propria Clientela. 

Assenza di qualunque elemento nell’oggetto della sottoscrizione atto a modificare gli atti, fatti o dati nello stesso rappresentati  

Il documento generato nel processo di firma è nel formato PDF/A, conforme allo standard ISO 19005-1:2005.  

Connessione univoca della firma al documento sottoscritto 

Il documento informatico sottoscritto con FEA è unico. A seguito dell'apposizione della firma, il documento informatico da sottoscrivere viene trasformato dalla firma in modo conforme ai formati standard previsti per i documenti firmati digitalmente, al cui interno sono stati introdotti, e inseparabilmente contenuti, i certificati di tutti i sottoscrittori.

​

Descrizione del processo di firma

​

Il processo di FEA viene reso disponibile online ai Clienti come procedura su connessione con protocolli di sicurezza (e.g. HTTPS, app pubblicate sugli store Apple e/o Google con i presidi di sicurezza necessari). In tale processo, mediante apposita applicazione informatica gestita da TPPay, viene generato il documento informatico che è:

• standardizzato a seconda della tipologia di Servizio offerto e pertanto viene integrato in via automatica esclusivamente con i dati del Cliente stesso;

• accessibile per tutta la durata del rapporto nell’area riservata destinata alla Clientela Finale e viene conservato a norma di legge dalla Società fino a 10 anni successivi all’interruzione del rapporto.

La sottoscrizione dei documenti informatici di TPPay da parte dei Clienti avviene previa richiesta del Cliente di voler utilizzare il servizio FEA e completamento delle attività di verifica a distanza dell’identità della Clientela Finale da parte di TPPay.

Il Cliente, presa visione del documento informatico da sottoscrivere e delle condizioni contrattuali inerenti all’erogazione del servizio FEA, manifesta la volontà di firmare utilizzando gli strumenti di cui è dotato e di cui ha esclusivo controllo e disponibilità.

 

Quando viene inizializzato il processo di firma, il Cliente inserisce l’OTP che gli verrà inviato da TPPay. Quest’ultima, verificata l’autenticazione del codice di sicurezza di validità temporale limitata, provvede a recepire la FEA mediante apposizione di timestamp che garantisce tracciabilità, indicazione precisa di data, ora e indirizzo IP del terminale dal quale si connette il Cliente e trasformare il documento informatico nel formato PDF/A, conforme allo standard ISO 19005-1:2005. I documenti informatici così trasformati sono archiviati e conservati a norma garantendone autenticità, integrità, affidabilità, leggibilità e reperibilità

​​