INTESI GROUP S.p.A. Via Torino, 48 - 20123 Milano – Italia - Tel: +39 02 676064.1 – www.intesigroup.com
Valid Sign
Documento funzionale
19 gennaio 2022
pag. 2 di 15 COPYRIGHT DISCLAIMER Tutti i Contenuti (testi, immagini, specifiche tecniche e altro) del presente documento sono proprietà esclusiva e riservata di Intesi Group e/o dei suoi aventi causa e/o di terzi soggetti ove indicati, e sono protetti dalle vigenti norme nazionali ed internazionali in materia di proprietà Intellettuale e/o Industriale.
É pertanto vietato utilizzare in qualsiasi modalità (a mero titolo esemplificativo, modificare, copiare, riprodurre, distribuire, trasmettere o diffondere) i suddetti Contenuti senza la previa autorizzazione scritta da parte del Titolare e/o dagli aventi diritto che se ne riservano espressamente ogni forma di riproduzione ed utilizzo. Ogni violazione sarà perseguita a norma di legge.
All Contents (texts, images, technical specifications and more) of this document are the exclusive and reserved property of Intesi Group and/or its successors in title and/or third parties where indicated, and are protected by current national and international regulations in intellectual and/or industrial property matters.
It is therefore forbidden to use in any way (by way of example only, modify, copy, reproduce, distribute, transmit or disseminate) the aforementioned Contents without the prior written authorization of the Owner and/or those entitled who expressly reserve any form of reproduction and use it.
Any violation will be prosecuted according to the law.
pag. 3 di 15
History
Documento Versione Data Autori Approvazioni
Documento
funzionale 1.0 19/01/2022 A. Dondoni N. Cavalli S. Scagni
pag. 4 di 15
Sommario
1. Introduzione ... 5
2. Architettura ... 6
3. Gestione degli utenti ... 9
4. Gestione dei fascicoli ... 10
5. Tipologie di firme... 10
6. Report finale ... 11
7. Integrazione via API REST ... 14
8. Ulteriore documentazione su Valid Sign ... 15
pag. 5 di 15
1. Introduzione
Valid Sign è la soluzione per gestire i processi approvativi dei documenti, per attività di onboarding e autorizzazione dove è prevista l’apposizione di una firma o la semplice approvazione di un utente.
La soluzione può essere utilizzata sia nella sua forma nativa tramite interfaccia web, oppure tramite integrazione via API REST.
Supporta tutti i tipi di firma elettronica, Qualificata, Avanzata e Semplice consentendo anche l’editing di file PDF direttamente durante il flusso approvativo.
Il workflow di Valid Sign permette al creatore dei fascicoli (anche detto “owner”) di impostare step approvativi in parallelo tra più collaboratori oppure step sequenziali. Il firmatario/approvatore viene notificato direttamente tramite e-mail o notifica push sull’app Valid (se abilitata), al fine di completare le operazioni richieste.
Al termine del processo autorizzativo, oltre ai documenti firmati, Valid Sign genera un documento di report con i dettagli di ogni step del workflow associato al fascicolo.
pag. 6 di 15
2. Architettura
Di seguito lo schema architetturale della soluzione Valid Sign:
Valid Sign Cloud Platform: basati su tecnologia Docker Container, i servizi core di Valid Sign vengono gestiti sia attraverso API sia attraverso l’interfaccia web nativa. Il sistema garantisce la protezione dei documenti originali sul server ed è anche in grado di semplificare l’integrazione nei processi di workflow.
La componente PkBox Remote gestisce il trattamento del documento (calcolo dell'hash del documento e creazione della busta firmata). A livello del componente CA Platform, PkBox Engine riceve gli hash e procede con la firma. Nessun documento esce all’esterno della piattaforma cloud durante il processo.
CA Platform: questo componente gestisce le operazioni di firma e di crittografia. L’infrastruttura di firma è quella utilizzata da Intesi Group in qualità di QTSP eIDAS (Qualified Trust Service Provider) tramite apparati QSCD (Qualified Signature Creation Device) certificati. Il componente CA Platform gestisce inoltre le operazioni di autenticazione alla piattaforma Valid Sign, oltre ai servizi di strong authentication associati ai flussi di firma
pag. 7 di 15 Valid Sign WEB: Single Page Application che gestisce l’interfaccia grafica per la creazione e la gestione del fascicolo oltreché la visualizzazione dei documenti durante i processi di firma.
Valid APP: è l’app mobile (disponibile per dispositivi Android e iOS) utilizzata per autorizzare i processi di firma qualificata e avanzata.
OOBWizard: è il componente utilizzato per autorizzare i processi di firma semplice via web, attraverso un processo di Out of Band tramite link univoco via SMS o e-mail.
Firma su mobile: è il componente che gestisce l’apposizione della firma semplice tramite tratto grafico attraverso dispositivi iOS e Android.
Il seguente diagramma descrive l’architettura logica su cui si basano le componenti all’interno della piattaforma Valid Sign.
pag. 8 di 15 Presentation Layer: gestisce l’interfaccia utente (UI) per la definizione dei processi di workflow e la visualizzazione dei documenti da firmare.
Service Layer: gestisce le richieste veicolate dal presentation layer oppure dai servizi API REST di integrazione. Il service layer tramite logica asincrona a thread non bloccanti, veicola le richieste verso i servizi di business.
Business Layer: gestisce i processi di workflow dei fascicoli, gli eventi generati sui fascicoli, il
processo di firma, i flussi di strong authentication e SSO (Single Sign On), oltre alla persistenza delle informazioni e all’accesso allo storage.
● Workflow Engine: gestisce e processa le azioni associate ad un workflow di firma. Ogni azione è definita da uno o più step di firma/approvazione che vengono processati dal workflow per completare il flusso approvativo.
● Event Engine: gestisce gli eventi associati ad un fascicolo; a ogni evento è possibile associare un URL di callback a cui notificare l’esito.
● PkBox Client: SDK di integrazione con la componente PkBox Remote per la gestione dei flussi di firma.
● Time4Mind manager: componente di integrazione con i servizi cloud Time4Mind per la gestione dei flussi di autenticazione e autorizzazione oltre al recupero delle credenziali di firma e di strong authentication per la firma semplice.
● Persistence Access & Process: garantisce la persistenza dei dati su database e l’accesso allo storage per il processamento dei file durante il processo di firma.
Persistence Layer: responsabile di gestire le transazioni di accesso al database e allo store dei documenti. Oltre a gestire il documento originale, viene trattato il documento intermedio generato durante il processo di firma, i metadati dei documenti e il documento finale firmato da Valid Sign.
pag. 9 di 15
3. Gestione degli utenti
Valid Sign è integrato con il sistema di Single Sign On di Time4Mind per la gestione dei flussi di autenticazione e autorizzazione. Ogni utente all’interno del sistema è univocamente indicizzato tramite la sua login di accesso, ovvero tramite la sua e-mail, con il quale è stato registrato.
Un utente può essere autorizzato per accedere a Valid Sign come creatore di fascicoli, oppure come semplice firmatario di pratiche personali (Quick Sign).
Gli utenti all’interno del workflow approvativo possono assumere i seguenti ruoli:
• Owner - colui che crea fascicoli (e modelli) e ne ha il completo controllo; verifica il loro stato (se sono completi o se devono essere ancora firmati) e riceve
comunicazione per ogni avanzamento del processo. Può anche essere firmatario di fascicoli.
• Firmatario - visualizza e firma i fascicoli a seconda della tipologia di firma richiesta dall’owner del fascicolo. Ha visibilità del fascicolo in merito allo step di firma nel quale è coinvolto e al termine del processo riceve una e-mail per procedere con il download del fascicolo completato.
• Approvatore - visualizza e approva i fascicoli. Ha visibilità del fascicolo in merito allo step di firma nel quale è coinvolto, e al termine del processo riceve una e-mail per procedere con il download del fascicolo completato. Lo step di approvazione viene tracciato nel report finale all’interno del workflow.
• Owner Applicativo - utenza applicativa abilitata univocamente tramite token JWT autorizzativo ai flussi di integrazione via API REST. La creazione dell’owner
applicativo prevede l’associazione di un nome, che sarà riportato nei flussi mail di comunicazione, oltreché una e-mail univoca a cui verranno notificati tutti gli eventi associati al processo di firma.
pag. 10 di 15
4. Gestione dei fascicoli
All’interno della piattaforma Valid Sign, un fascicolo è definito dall’insieme dei documenti da firmare e da eventuali documenti allegati richiesti.
I fascicoli all’interno di Valid Sign sono segregati e la visibilità è demandata al solo owner (nativo o applicativo) oltreché ai soli utenti firmatari coinvolti nel workflow.
Un fascicolo completato rimane a disposizione degli utenti secondo la seguente policy:
• un massimo di 30 giorni previa e-mail di comunicazione di cancellazione fascicolo inviata con retention 10, 5 e 1 giorno prima della cancellazione effettiva.
• fino a quando tutte le figure coinvolte all’interno del flusso non hanno effettuato il download del fascicolo. Anche l’owner applicativo viene considerato ai fine di cancellare un fascicolo già scaricato.
Sulla base di queste policy, un batch giornaliero verifica le condizioni eliminando definitivamente i file dallo storage.
5. Tipologie di firme
All’interno dei fascicoli di Valid Sign è possibile apporre firme visibili (solo per file PDF) e firme invisibili (per qualsiasi tipo di file) di tutte le tipologie:
• Firma Elettronica Qualificata Remota (con OTP via SMS o via app) La Firma Elettronica Qualificata (FEQ) - o digitale - è la firma più forte e sicura, basata su un Certificato Qualificato e ha l’effetto giuridico equivalente a quello di una firma autografa: è il risultato di una procedura informatica, detta validazione, che garantisce l’autenticità, l’integrità e il non ripudio dei documenti informatici. E’ la Firma digitale non ripudiabile con statuto giuridico speciale nei paesi della Comunità Europea ed è supportata da un
pag. 11 di 15 certificato rilasciato da un Qualified Trust Service Provider (QTSP), organismo certificato
da uno stato membro e successivamente riportato nella EU Trust List (EUTL).
• Firma Elettronica Avanzata Remota (con OTP via SMS o via app). La Firma Elettronica Avanzata (FEA) è basata su un Certificato Avanzato ed è valida solo tra le due parti. In modo analogo alla firma qualificata, è connessa unicamente al firmatario, è idonea a identificare il firmatario, è creata mediante dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo ed è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati.
• Firma Elettronica Semplice con certificato, con OTP o con tratto grafico. La Firma Elettronica Semplice è l’insieme di dati in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati elettronici e utilizzati dal firmatario per firmare.
Può essere costituita da molteplici elementi che consentono di ricondurre degli atti o fatti giuridicamente rilevanti a una persona fisica (es. l’invio di OTP o link univoco). Valid Sign prevede che, dopo l’apposizione di ogni singola firma semplice, il documento venga automaticamente firmato con un Sigillo Qualificato di Intesi Group per garantirne l’integrità.
6. Report finale
Alla chiusura del fascicolo, a garanzia del flusso, viene generato un report (firmato con un sigillo qualificato di Intesi Group, per garantirne l’integrità), dove viene tracciato l’IP del firmatario, l’OTP utilizzata e il suo numero di telefono.
Esempio di Report in caso di firma semplice:
pag. 12 di 15 Esempio di Report in caso di firma con certificato (in questo caso vengono anche tracciati i
riferimenti del certificato utilizzato):
pag. 13 di 15 In questo esempio viene indicato che il firmatario ha effettuato una “multiple signature”: ha
accettato di apporre tutte le firme richieste all'interno del documento in un'unica operazione.
pag. 14 di 15
7. Integrazione via API REST
Valid Sign fornisce un’interfaccia via API per l’integrazione di applicativi di terze parti.
Tutte le chiamate sono effettuate con una interfaccia di tipo REST, usando i verbi del protocollo HTTP (GET, PUT, POST, DELETE). Il payload delle chiamate è costituito da una struttura dati JSON.
Di seguito viene esplicitata la descrizione del processo necessario per costruire, avviare e completare un fascicolo di firma:
• con il termine “step” si intende un insieme di azioni (approvazione, firma o rifiuto) eseguite parallelamente da più attori, senza cioè nessun vincolo di precedenza tra esse
• con il termine “workflow” si intende una sequenza ordinata di step: si passa allo step successivo se e solo se tutte le azioni dello step precedente sono state concluse con successo
• l’insieme dei file oggetto del processo si divide in due tipi:
- si definiscono “documenti” i file che durante il processo vengono firmati da un attore - si definiscono “allegati” i file che servono a corredo del processo ma non richiedono la
firma
• una azione di firma è l'associazione tra un documento (file da firmare) e un attore invitato a firmare
• con il termine “fascicolo” si intende, l’insieme dei seguenti elementi:
- un nome assegnato al fascicolo - una descrizione opzionale
- un insieme di file, oggetto del processo di approvazione - un workflow (elenco di step)
- un insieme di attori associati ad ogni step del workflow - un insieme di azioni di firma
• si definiscono i seguenti stati per un fascicolo - draft (fase di composizione)
- running (fase di approvazione o firma da parte degli attori)
pag. 15 di 15 - aborted (esito in caso di rifiuto da parte di un attore)
- completed (esito in caso di approvazione e firma da parte di tutti gli attori).
L’immagine seguente riporta i passi operativi da effettuarsi per la definizione del processo di firma appena descritto:
8. Ulteriore documentazione su Valid Sign
• ValidSign Server Integration - Documento di integrazione via API
• Intesi Group Valid Sign User Guide - Manuale utente
• ValidSign Release Note - Release Notes
