Chi eroga il servizio e chi lo realizza
Il DPCM 22 febbraio 2013 distingue chi eroga una soluzione di firma elettronica avanzata, per usarla nei rapporti con i propri clienti, da chi la realizza come attività d'impresa (art. 55, comma 2).
| Ruolo | Chi è e cosa fa |
|---|---|
| Soggetto erogatore (art. 55 c. 2 lett. a) | Lo studio professionale che invia il documento da firmare. Identifica il cliente, raccoglie la sua adesione al servizio, gli comunica il link di firma, conserva il modulo di adesione e la copia del documento d'identità, fornisce le copie e riceve la revoca. |
| Soggetto realizzatore (art. 55 c. 2 lett. b) | Mastro S.r.l., Corso di Porta Vigentina 13, 20122 Milano, P.IVA e C.F. 14918810962. Fornisce allo studio la piattaforma di firma, invia il codice al telefono di chi firma, applica la marca temporale, produce il certificato di firma e conserva le evidenze per conto dello studio. |
Per chi firma questo significa due cose. La firma vale nei rapporti con lo studio che ha mandato il documento (vedi limiti d'uso). E ogni richiesta che riguarda il servizio, cioè copia dei documenti, revoca, cambio del numero di telefono, telefono smarrito o rubato, va fatta allo studio, che è l'unico a poterla eseguire.
Per gli studi. Il DPCM chiede allo studio erogatore di rendere note queste informazioni anche sul proprio sito o portale (art. 57, comma 1, lettere d, e, f). Questa pagina descrive la soluzione comune a tutti gli studi e si può linkare; il documento tecnico con i dati dello studio si chiede a hello@mastro.tax.
Come funziona la firma
- Identificazione. Prima di poter firmare con la FEA, il cliente viene identificato dallo studio con un documento di riconoscimento valido: di persona presso lo studio, con il documento in originale, oppure tramite il fascicolo antiriciclaggio completo, nel quale lo studio lo ha già identificato con un documento valido (D.Lgs. 231/2007). Senza identificazione la piattaforma non abilita la firma.
- Adesione. Il cliente sottoscrive il modulo di adesione, con cui accetta le condizioni del servizio dopo aver letto questa pagina.
- Numero di telefono verificato. Il cliente comunica il numero di cellulare di cui è titolare e ne dichiara la disponibilità esclusiva. Lo studio lo verifica prima di abilitarlo alla firma: al numero arriva un SMS con un codice di verifica, diverso da quello di firma, che il cliente comunica allo studio in quel momento. Il codice di firma arriverà solo a quel numero.
- Il link al documento. Per ogni documento il cliente riceve un link personale, valido solo per lui e per quella richiesta. Il canale lo sceglie lo studio, di norma la posta elettronica. Se lo studio invia il link per SMS o WhatsApp, cioè sullo stesso telefono che riceve il codice, la piattaforma avverte chi invia, annota la circostanza nel registro e la riporta nel certificato di firma. Per questo agli studi consigliamo l'email: link e codice viaggiano su due canali diversi.
- Lettura. Il cliente legge il documento per intero sulla pagina di firma, conferma di averlo letto e di volerlo sottoscrivere, e chiede il codice.
- Il codice via SMS. Arriva un SMS dal mittente «Mastro» con un codice di sei cifre, valido dieci minuti, che si può inserire al massimo tre volte. L'SMS parte dalla regione di Twilio in Irlanda, dove il messaggio è elaborato e conservato, nell'Unione europea. Il codice non arriva mai con una chiamata. Se l'operatore rifiuta l'SMS, la pagina di firma lo dice e chi firma deve verificare il numero con lo studio. Il codice si inserisce solo nella pagina di firma e non va comunicato a nessuno, nemmeno a chi dice di chiamare dallo studio o da Mastro.
- Firma e marca temporale. Con il codice corretto la firma è apposta. Il sistema calcola l'impronta SHA-256 del documento firmato e vi applica una marca temporale secondo lo standard RFC 3161: qualificata se disponibile, altrimenti non qualificata, e il certificato dice quale. Se nessuna marca viene ottenuta, la firma non si perfeziona.
- Certificato e copia. A firma avvenuta il cliente riceve per email la conferma con la copia del documento firmato in allegato e il certificato di firma, che riporta data e ora, impronte del documento, canale con cui è arrivato il codice e marca temporale. Altre copie, anche del modulo di adesione, si chiedono allo studio, gratuitamente (vedi copia gratuita).
Chi firma deve custodire il telefono su cui riceve il codice e avvisare subito lo studio in caso di furto, smarrimento, uso non autorizzato o cambio di numero. Ricevuta la comunicazione, lo studio sospende il servizio.
Requisiti di legge e come sono soddisfatti
L'art. 56, comma 1, del DPCM elenca otto requisiti che una soluzione deve avere per essere firma elettronica avanzata. Per i requisiti delle lettere a), b), c), d), e), g) e h) il comma 2 è netto: se mancano, la firma non ha il valore previsto dagli articoli 20 e 21 del Codice dell'amministrazione digitale.
| Requisito (art. 56 c. 1) | Come è soddisfatto |
|---|---|
| a) Identificazione del firmatario | Lo studio identifica il cliente con un documento valido, di persona o tramite il fascicolo antiriciclaggio completo. Sono registrati tipo, numero, ente di rilascio e scadenza del documento. La piattaforma impedisce di abilitare la firma a un cliente non identificato. |
| b) Connessione univoca della firma al firmatario | Link personale con un token casuale di 256 bit, generato per quel firmatario e quella richiesta e conservato solo in forma di impronta. Codice inviato unicamente via SMS al numero verificato del firmatario. |
| c) Controllo esclusivo del sistema di generazione della firma | Il telefono che riceve il codice è il dispositivo di firma: il firmatario ne dichiara titolarità e disponibilità esclusiva e si impegna a custodirlo. Il codice è conservato solo in forma di impronta, scade dopo dieci minuti e accetta tre tentativi. Il link è inviato di norma per email; se arriva sullo stesso telefono del codice, la circostanza è segnalata e scritta nel certificato. |
| d) Verifica che il documento non sia stato modificato dopo la firma | Impronta SHA-256 del documento firmato e marca temporale RFC 3161 su quell'impronta, sempre applicata. Chiunque abbia il documento e la marca può verificare in modo indipendente che il documento non sia cambiato. |
| e) Evidenza al firmatario di quanto sottoscritto | Il firmatario legge il documento per intero prima di firmare. Dopo la firma riceve per email la copia del documento firmato e il certificato di firma; altre copie le chiede allo studio, gratuitamente. |
| f) Individuazione del soggetto erogatore | L'erogatore è lo studio che invia il documento: il suo nome compare nella pagina di firma, nell'SMS con il codice e nel modulo di adesione. |
| g) Nessun elemento che possa modificare atti, fatti o dati rappresentati | Il documento è un PDF statico. I campi compilati dal firmatario sono normalizzati e inclusi nell'impronta, così che nulla possa cambiare quanto rappresentato dopo la firma. |
| h) Connessione univoca della firma al documento | Il certificato lega firma e documento con l'impronta del documento originale, l'impronta del documento firmato, l'impronta di integrità della firma e la marca temporale, insieme a data e ora, indirizzo IP, browser e identificativo del messaggio con cui è partito il codice. |
Tecnologie e fornitori
- Piattaforma di firma: Mastro S.r.l., su infrastruttura Google Cloud in Europa; i luoghi di trattamento sono indicati nella privacy policy.
- Invio del codice: Twilio, per gli SMS con mittente «Mastro», dalla sua regione in Irlanda.
- Marca temporale: autorità di certificazione temporale conformi allo standard RFC 3161. Il nome dell'autorità che ha emesso la marca, e se è qualificata ai sensi del Regolamento (UE) 910/2014, è riportato nel certificato di ogni firma.
Limiti d'uso e documenti esclusi
Un documento firmato con la FEA soddisfa la forma scritta e ha l'efficacia di una scrittura privata (art. 20, comma 1-bis, CAD; art. 2702 c.c.). Per l'art. 60 del DPCM vale però solo nei rapporti fra chi firma e lo studio che eroga il servizio. Non è pensata per documenti che devono produrre effetti verso terzi estranei a quel rapporto.
Alcuni atti la legge li vuole, a pena di nullità, con firma qualificata o digitale. Sono le scritture dell'art. 1350, primo comma, numeri da 1 a 12, del codice civile (art. 21, comma 2-bis, CAD): fra gli altri, i contratti che trasferiscono, costituiscono o modificano diritti reali su immobili e le locazioni di immobili oltre i nove anni. Con la FEA quegli atti sarebbero nulli, quindi:
- la cessione di quote di società a responsabilità limitata non può essere inviata in firma;
- contratti di locazione, atti patrimoniali, procure speciali e contratti pluriennali partono solo se lo studio dichiara che l'atto non rientra in quei casi. La dichiarazione resta agli atti della richiesta. Se fosse sbagliata, l'atto resterebbe nullo.
Conservazione per venti anni
Il modulo di adesione, la copia del documento di riconoscimento e le evidenze di ogni firma (certificato, registro degli eventi, marca temporale) sono conservati per venti anni (art. 57, comma 1, lettera b, DPCM). È un obbligo di legge: prevale su una richiesta di cancellazione dei dati (art. 17, paragrafo 3, lettera b, GDPR) e resta anche dopo la revoca dell'adesione.
Titolare del trattamento è lo studio. Mastro tratta i dati per conto dello studio, come responsabile del trattamento. I dettagli sono nella privacy policy e nelle note legali.
Copia gratuita dei documenti
Chi ha aderito al servizio può chiedere in ogni momento, gratuitamente e senza dare motivazioni (art. 57, comma 1, lettera c, DPCM), copia di:
- il modulo di adesione che ha sottoscritto;
- il documento di riconoscimento presentato per attivare il servizio;
- i documenti firmati con la FEA e i relativi certificati di firma;
- le informazioni sul servizio in vigore alla data dell'adesione.
Come chiederla
Con una richiesta scritta allo studio che ha inviato i documenti: PEC, email o consegna a mano presso lo studio. Si può usare il modulo di richiesta copia, ma una richiesta libera che dica chi la fa e cosa chiede vale allo stesso modo. Agli studi indichiamo di rispondere entro trenta giorni.
Revoca dell'adesione
L'adesione si può revocare in qualunque momento, gratuitamente (art. 57, comma 1, lettera g, DPCM), con una richiesta scritta allo studio erogatore: PEC, email o consegna a mano. Si può usare il modulo di revoca.
- Dal momento in cui lo studio la riceve, non si firma più con la FEA: i documenti successivi si firmano a mano o in un altro modo concordato con lo studio.
- I documenti già firmati restano validi e continuano a essere conservati.
- Modulo di adesione e copia del documento d'identità restano conservati fino al termine dei venti anni.
- Si può aderire di nuovo in seguito, con un nuovo modulo e, se il documento è scaduto, una nuova identificazione.
Telefono perso o rubato. Non serve aspettare la revoca: va chiesta subito allo studio la sospensione del servizio, che blocca le firme sul numero compromesso.
Copertura assicurativa
L'art. 57, comma 2, del DPCM chiede che il servizio sia coperto da una polizza di responsabilità civile, a tutela dei titolari della firma e dei terzi dai danni derivanti da soluzioni tecniche inadeguate, per almeno 500.000 euro, con una compagnia abilitata nel campo dei rischi industriali. Il comma 3 chiede di pubblicarne le modalità.
| Voce | Modalità |
|---|---|
| Formula | Polizza collettiva stipulata da Mastro S.r.l. anche a favore e per conto degli studi clienti che erogano il servizio (art. 1891 c.c.) |
| Assicurati | Gli studi erogatori, per conto dei quali la polizza è stipulata |
| Chi è tutelato | I titolari della firma e i terzi |
| Massimale | Non inferiore a 500.000 euro |
| Compagnia | In corso di pubblicazione |
| Numero di polizza | In corso di pubblicazione |
La polizza è in corso di stipula. Compagnia, numero di polizza e massimale effettivo saranno pubblicati su questa pagina appena la polizza sarà firmata, con la data dell'aggiornamento. Fino ad allora non riportiamo estremi.
A chi scrivere
- Copia dei documenti, revoca, cambio di numero, telefono perso o rubato: lo studio che ha inviato il documento, ai recapiti che compaiono nella mail di firma e nel modulo di adesione.
- Domande tecniche sulla piattaforma e segnalazioni di sicurezza, per esempio un SMS o una chiamata a nome «Mastro» che non si aspettava: Mastro S.r.l., hello@mastro.tax.
Riferimenti normativi
- Regolamento (UE) 910/2014 (eIDAS), art. 26, come modificato dal Regolamento (UE) 2024/1183
- D.Lgs. 82/2005 (Codice dell'amministrazione digitale), artt. 20 e 21
- DPCM 22 febbraio 2013, artt. 55-62, in particolare 56 (requisiti), 57 (obblighi dell'erogatore) e 60 (limiti d'uso)
- Codice civile, artt. 1350, 1891 e 2702
- D.Lgs. 231/2007, artt. 18 e 19 (identificazione nell'adeguata verifica)
Moduli: adesione, revoca, richiesta copia. Per lo studio che vuole usare la FEA sul mandato professionale: guida al mandato professionale firmato con la FEA.