EzySign
/Docs

Note legali

EzySign eroga un servizio di Firma Elettronica Semplice (FES) ai sensi del Regolamento UE 910/2014 (eIDAS) e del Codice dell'Amministrazione Digitale (D.Lgs. 82/2005, CAD). Questa pagina sintetizza il quadro normativo, il valore probatorio della firma generata, le informazioni necessarie a definire le politiche di conservazione e i confini rispetto alle firme di livello superiore.

Tipologia di firma

Le firme prodotte da EzySign sono firme elettroniche semplici nel senso dell'art. 3 par. 10 eIDAS: dati in formato elettronico utilizzati dal firmatario per firmare. Non sono né firme elettroniche avanzate (FEA, art. 26 eIDAS) né qualificate (FEQ, art. 3 par. 12 eIDAS): non si basano su certificato qualificato, non utilizzano dispositivi qualificati di creazione della firma e non sono emesse da un Trust Service Provider qualificato.

Valore probatorio

Ai sensi dell'art. 20, comma 1-bis del CAD: «Il documento informatico soddisfa il requisito della forma scritta e ha l'efficacia prevista dall'art. 2702 del codice civile [scrittura privata] quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata. […] In tutti gli altri casi, l'idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio in relazione alle caratteristiche di sicurezza, integrità e immodificabilità.»

In altre parole: una firma FES non equivale automaticamente a una scrittura privata, ma è ammissibile come prova in giudizio. L'onere della prova della provenienza e dell'integrità del documento ricade su chi vuole far valere il documento.

Misure di sicurezza implementate

Per rafforzare il valore probatorio della firma, ogni dossier prodotto include un insieme di evidenze tecniche raccolte ed apposte automaticamente:

  • Identificazione del firmatario tramite codice OTP usa-e-getta consegnato via email o SMS al recapito dichiarato dall'integratore.
  • Hash SHA-256 del PDF prima e dopo l'apposizione della firma, incluso nella pagina di evidenza del documento.
  • Marca temporale via OpenTimestamps (ancoraggio sulla blockchain Bitcoin), pubblicamente verificabile e indipendente da EzySign.
  • Pagina di evidenza aggiunta in coda al PDF firmato con: identità dichiarata del firmatario, canale e indirizzo a cui è stato inviato l'OTP, data e ora di invio e verifica del codice, indirizzo IP e user-agent, conferme pagina-per-pagina se richieste dall'integratore.
  • Audit log append-only conservato lato server (creazione, invio OTP, apertura, verifica, firma, callback) consultabile dal pannello amministrativo.
  • Verifica pubblica della firma su https://ezysign.net/verify/{id}: nome firmatario mascherato, hash documento, data, accesso al PDF firmato e alla prova OpenTimestamps.

Limiti d'uso

La FES non è idonea quando la legge richiede espressamente la forma scritta a pena di nullità (es. atti relativi a beni immobili, ai sensi dell'art. 1350 c.c.) o una firma di livello superiore. Esempi di ambiti per cui è necessaria FEA, FEQ o firma digitale:

  • contratti su immobili e diritti reali immobiliari
  • donazioni, atti societari, alcune tipologie di procure
  • presentazioni alla Pubblica Amministrazione che richiedono firma qualificata
  • fatture elettroniche con firma qualificata

È responsabilità dell'integratore valutare l'idoneità della FES al caso d'uso e, se necessario, scegliere uno strumento di firma di livello superiore.

Conservazione

EzySign conserva i documenti firmati e le relative evidenze sui propri sistemi per la durata del contratto di servizio. La conservazione a norma per i tempi previsti dalla normativa fiscale o di settore (es. 10 anni ex art. 2220 c.c.) non è inclusa e resta a carico dell'integratore o di un conservatore accreditato AgID di sua scelta.

Per agevolare la conservazione esterna, l'integratore può scaricare in qualsiasi momento dal proprio backend:

  • Il PDF firmato (signedDocumentUrl)
  • Il file di evidenze in JSON (evidenceUrl)
  • La prova OpenTimestamps (.ots) dal pannello amministrativo

GDPR — trattamento dei dati personali

Nel processo di firma, EzySign tratta i seguenti dati personali del firmatario:

  • nome, cognome, email (sempre)
  • numero di telefono (se canale OTP = SMS)
  • codice fiscale (se passato dall'integratore)
  • indirizzo IP e user-agent al momento di apertura e firma

Ai sensi dell'art. 28 GDPR, EzySign agisce in qualità di responsabile del trattamento per conto dell'integratore (titolare). L'adesione al servizio è subordinata alla sottoscrizione di un Data Processing Agreement (DPA) dedicato. Le informazioni minime sul trattamento sono mostrate al firmatario nella pagina di firma; l'informativa estesa resta a carico del titolare.

Sicurezza

  • Tutti gli scambi sono cifrati TLS 1.2+; non è ammesso HTTP in chiaro
  • Le chiavi API sono memorizzate hash-ate (mai in chiaro a riposo)
  • I codici OTP scadono in 10 minuti e ammettono al massimo 5 tentativi
  • I link di firma scadono dopo il periodo configurato (default 7 giorni)
  • I webhook sono firmati HMAC SHA-256 contro replay e tampering
  • I file sono archiviati su object storage con controllo accessi a livello di bucket

Riferimenti normativi

  • Regolamento (UE) n. 910/2014 (eIDAS) — artt. 3, 25, 26, 28
  • D.Lgs. 7 marzo 2005, n. 82 (CAD) — art. 20, 21
  • Codice civile italiano — artt. 1350, 2702, 2712, 2220
  • Regolamento (UE) 2016/679 (GDPR) — artt. 6, 28, 32
  • Linee guida AgID sulla formazione, gestione e conservazione dei documenti informatici

Le presenti note hanno finalità informative e non costituiscono parere legale. Per valutazioni specifiche sul caso d'uso si raccomanda di consultare un legale di fiducia.