Nota informativa sulla firma elettronica avanzata (“FEA”)
Documento predisposto ai sensi del Decreto del Presidente dei Ministri del 22 febbraio 2013, Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali (di seguito “DPCM 22/02/2013”), Art. 57, commi 1 e 3.
1. Informazioni Generali
È stata introdotta in Volkswagen Group Italia S.p.A. (di seguito “VGI”) un’innovativa soluzione informatica che consente alla clientela di sottoscrivere elettronicamente documentazione contabile e contrattuale. Tale soluzione, di seguito denominata “firma elettronica avanzata” o “FEA”, utilizza la tecnologia grafometrica e si inquadra nel più ampio progetto di dematerializzazione dei processi contabili e gestionali con la progressiva sostituzione della documentazione cartacea con la documentazione digitale.
In sintesi, il servizio di FEA si basa sull’utilizzo di una tecnologia che permette di sottoscrivere la documentazione direttamente attraverso un dispositivo tablet (di seguito Device) con una particolare tipologia di firma elettronica, riducendo/eliminando la necessità di stampare documenti cartacei da conservare e/o consegnare ai clienti.
Il presente documento, contenente le informazioni relative alle caratteristiche del Servizio di firma adottato da VGI come processo di FEA ed alle tecnologie su cui questo si basa, è pubblicato nella home page sui siti internet di VGI come richiesto dalla normativa, risultando in tal modo sempre disponibile per i Clienti ed il pubblico in generale.
La FEA
La firma in oggetto si ottiene dalla registrazione delle caratteristiche dinamiche (ritmo, pressione, coordinate, ecc.) della firma che il cliente appone di suo pugno tramite un Device di firma. La soluzione di firma adottata da VGI è riconducibile alla tipologia di firma elettronica avanzata, come descritta dal DPCM 22/02/2013 e garantisce quindi (cfr. DPCM 22/02/2013, art. 56, comma 1):
a) l’identificazione del firmatario del documento
b) la connessione univoca della firma al firmatario
c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma medesima
d) la possibilità di verificare che il documento informatico sottoscritto non abbia subito
e) modifiche dopo l’apposizione della firma
f) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto
g) l’individuazione del soggetto di cui all’articolo 55, comma 2, lettera a) delle regole tecniche
h) l’assenza di qualunque elemento nell’oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello stesso rappresentati
i) la connessione univoca della firma al documento sottoscritto.
I documenti che il Cliente sottoscrive con la FEA sono documenti informatici che:
- sul piano tecnico soddisfano i requisiti di sicurezza definiti dalla normativa vigente;
- sul piano giuridico hanno lo stesso valore dei documenti cartacei sottoscritti con firma autografa.
La FEA consentirà al cliente di sottoscrivere il seguente elenco di documenti:
- modulo per l’esecuzione di test-drive;
- liberatoria per l’utilizzo di immagini statiche e/o in movimento;
- informative privacy, compresive dei consensi.
VGI si riserva la facoltà di estendere in futuro l’utilizzo della FEA anche ad altri documenti (oltre che ai relativi servizi/prodotti), provvedendo ad aggiornare la presente nota informativa.
2. Modalità di funzionamento del servizio
Il servizio di firma adottato da VGI consente al cliente, opportunamente supportato da un operatore, di:
- visualizzare e controllare i dati informatici sul Device;
- procedere con la sottoscrizione utilizzando gli appositi campi “firma” predisposti sul Device. L’effetto grafico sul Device è del tutto similare a una classica firma olografa su carta;
- una volta completata la firma:
- accettare la sottoscrizione, premendo sul Device un tasto di conferma con la penna elettronica;
- riproporre la firma, premendo sul Device un tasto di cancellazione con la penna elettronica;
- annullare l’operazione di firma.
Al termine delle operazioni di firma il documento assume caratteristiche tecniche ed informatiche che ne garantiscono l’integrità e non modificabilità.
Per quanto riguarda le modalità di consegna della documentazione ai Clienti, si ricorda che essa avviene per e-mail all’indirizzo comunicato contestualmente all’accettazione del servizio. In ogni caso i Clienti possono sempre ottenere copia dei documenti sottoscritti con la FEA scrivendo alla sede di Volkswagen Group Italia S.p.A. in Verona (CAP 37137) presso Viale Richard Gumpert n. 1, oppure inviando un’ e-mail all’indirizzo privacy@volkswagengroup.it.
3. Modalità di adesione al servizio
I Clienti, per poter utilizzare il servizio di FEA, dovranno, previa identificazione, aderire alle apposite condizioni e termini d’uso attraverso la quale richiedono espressamente di poter sottoscrivere con FEA tutta la documentazione per la quale VGI renderà possibile la sottoscrizione con detta modalità di firma (cfr. DPCM 22/02/2013, art. 57, comma 1, lettera a). I Clienti potranno ricevere, comunicando il proprio indirizzo e-mail contestualmente alla sottoscrizione delle condizioni e termini d’uso del servizio, copia della dichiarazione di accettazione delle sopracitate condizioni e dei documenti sottoscritti con la FEA; tali documenti nonché altre informazioni atte a dimostrare quanto richiesto dall’art. 56 DPCM 22/2/2013 e s.m.i. (identificazione del firmatario, connessione univoca, ecc.) possono in ogni caso essere richieste scrivendo alla sede di Volkswagen Group Italia S.p.A. in Verona (CAP 37137) presso viale Richard Gumpert n. 1, oppure tramite email a privacy@volkswagengroup.it.
I Clienti possono sempre avvalersi della possibilità di non servirsi del servizio di FEA e continuare ad utilizzare la tradizionale firma autografa su documentazione cartacea, inoltre possono richiedere, in qualsiasi momento, la revoca della dichiarazione di accettazione, scrivendo alla sede di Volkswagen Group Italia S.p.A. in Verona (CAP 37137) presso viale Richard Gumpert n. 1, oppure tramite e-mail a privacy@volkswagengroup.it.
4. Caratteristiche del sistema di FEA adottato da VGI e delle tecnologie utilizzate (cfr. DPCM, art. 57, comma 1, lettere e, f)
DEVICE DI FIRMA
VGI utilizza, quale componente hardware, particolari Device di firma con metodo di lettura a risonanza elettromagnetica che permettono di rilevare con precisione i valori biometrici del cliente che appone la firma. I Device sono caratterizzati da un display TFT LCD a colori e da una apposita penna attraverso la quale il cliente sottoscrive il documento elettronico visualizzato sul display.
Il Device mostra la firma in tempo reale mentre il cliente firma sul display, rendendo l’esperienza del tutto analoga alla scrittura su carta.
Il Device in generale consente di:
- prendere visione del documento eseguendo, se necessario, lo “scroll” dello stesso
- sottoscrivere il documento e confermare la firma apposta
- cancellare la firma apposta per riproporne un’altra
- annullare l’operazione di firma
Le operazioni di cui sopra sono rese possibili attraverso l’utilizzo di una apposita penna elettronica e di appositi tasti funzione presenti sul display del Device ed il firmatario mantiene sempre il controllo esclusivo del sistema di generazione della firma.
SISTEMA INFORMATICO DI FIRMA
Il sistema di FEA garantisce la protezione dei dati biometrici che rendono riconducibile, in modo univoco, la firma apposta sul Device al firmatario. La connessione tra il Device di firma e la postazione di lavoro dell’operatore avviene in modalità protetta utilizzando un algoritmo AES a doppia chiave simmetrica scambiata attraverso un ulteriore algoritmo DIFFIE-HELLMAN.
La cifratura dei dati biometrici avviene tramite un certificato pubblico con chiave asimmetrica RSA 2048 bit ed algoritmo di cifratura SHA256.
Successivamente i dati vengono inglobati nel pdf insieme alla generazione di una firma PadES, attraverso l’applicazione di una firma digitale tecnica, basata su un ulteriore certificato con chiave privata ed algoritmo SHA256.
I dati biometrici non vengono in nessun modo memorizzati in chiaro, né dal Device né dall’applicazione di firma. L’insieme dei valori biometrici viene inoltre connesso, in modo univoco ed indissolubile, al documento informatico visualizzato e sottoscritto dal Cliente, in modo che la stessa FEA non possa essere associata ad un altro documento. Inoltre, al fine di rendere immodificabile l’intero documento firmato dal cliente, a chiusura di ogni transazione viene applicata una firma digitale qualificata.
Il documento digitale sottoscritto dal cliente viene memorizzato in formato PDFa1-a e firmato digitalmente in modalità PAdES, in modo da soddisfare i requisiti normativi legati all’autoconsistenza, non modificabilità e leggibilità dello stesso. Al termine del processo di firma viene infine inviato presso un sistema di conservatoria digitale per la conservazione a norme di legge.
GESTIONE DEI DATI BIOMETRICI
VGI non può in alcun modo accedere autonomamente ai dati biometrici di colui che ha firmato e quindi, la decifratura degli stessi, nei casi previsti dalla legge, potrà avvenire unicamente con il coinvolgimento di un soggetto terzo, specificamente incaricato da VGI, che dovrà comunque seguire un rigoroso e dettagliato processo. Sono escluse quindi altre finalità di utilizzo delle informazioni biometriche, quali ad esempio l’identificazione e autenticazione del Cliente sulle procedure informatiche.
CONSERVATORIA DIGITALE A NORMA DI LEGGE
La conservazione a norma è un processo che permette di archiviare in modo sicuro i documenti informatici sottoscritti dal Cliente affinché questi restino integri e risultino immodificabili e leggibili nel tempo. A tal VGI utilizza un servizio di conservazione dei documenti informatici secondo le modalità definite dal Decr. Lgs. n. 82/2005 (Codice dell’Amministrazione Digitale).
I documenti sottoscritti dal Cliente vengono inviati al sistema di conservazione una volta concluso il processo di sottoscrizione, garantendone così l’integrità, la non modificabilità e la validità nel lungo periodo. I documenti vengono sottoposti quindi al processo di marcatura temporale e memorizzati su idonei supporto informatici che ne permettono la conservazione per la durata definita dalla legge. Tutti i documenti restano disponibili sul sistema di conservazione, al quale possono accedere solo alcuni specifici operatori autorizzati, appartenenti al personale.
5. Informazioni riguardanti la copertura assicurativa
VGI ha stipulato, in ottemperanza alle previsioni legislative contenute nel DPCM 22/02/2013, art. 57, comma 2, polizze assicurative con la compagnia Chubb S.p.a., a tutela del Cliente che sottoscrive utilizzando il servizio di FEA.