Inviare un documento alla firma: il processo, non il diritto

Quello che invii è una busta, non un documento

L'unità con cui lavora un servizio di firma elettronica non è il file. È una busta: uno o più documenti, un elenco di destinatari, un ruolo per ciascuno, un insieme di campi legati a un certo destinatario su una certa pagina, un ordine di richiesta e un ciclo di vita — creata, inviata, consegnata, visualizzata, parzialmente firmata, completata, rifiutata, annullata o scaduta. Quasi tutto ciò che si descrive come «la firma non ha funzionato» è una busta ferma in uno di quegli stati, e sapere in quale ti dice che cosa fare molto prima di riaprire il documento.

La conseguenza per la preparazione è immediata: monta prima tutto. Unisci gli allegati, sistema l'ordine delle pagine, controlla che nessuna sia capovolta, poi crea la busta. Ogni modifica dopo quel punto costa un riavvio completo, perché una firma è legata al documento com'era al momento della firma e una versione nuova è un documento nuovo. L'abitudine da costruire è l'opposto di quella della maggior parte dei team: invece di inviare una bozza e rattopparla, spendi dieci minuti in più a montare e invia una volta sola.

L'ordine di firma è una decisione aziendale, non un'impostazione

L'instradamento sequenziale interpella un destinatario alla volta e libera il documento al successivo solo quando il precedente ha finito. Usalo quando una firma dipende davvero da un'altra — un approvatore interno che deve vedere i termini definitivi prima della controparte, un garante che firma solo se il debitore ha firmato, una controfirma che chiude l'accordo. Il suo costo è che tutta la catena aspetta il più lento, e una sola persona in ferie ferma tutto senza alcun errore visibile.

L'instradamento parallelo interpella tutti insieme e si completa quando finisce l'ultimo. È più rapido ed è il default giusto per un documento che più persone firmano nella stessa qualità — una delibera del consiglio, una presa d'atto di una policy, un accordo quadro multiparte in cui i termini degli uni non dipendono dagli altri. Il suo modo di guasto è diverso e più fastidioso: il completamento parziale. Tre firme su quattro con la quarta muta ti lasciano un documento che non è un accordo, che alcuni firmatari credono chiuso, e che dovrà essere firmato di nuovo da tutti e quattro se i termini cambiano. Imposta una scadenza, programma solleciti, e sappi prima di inviare chi sarà probabilmente il quarto.

Una conseguenza dell'ordine sfugge spesso: nella maggior parte dei sistemi contrattuali l'accordo si forma quando l'ultima parte accetta, quindi chi firma per ultimo fissa la data in cui il contratto esiste. Se da essa dipendono una data di decorrenza, un preavviso o un esercizio contabile, metti per ultima la parte che puoi sollecitare, e non lasciare mai la firma di chiusura alla persona più difficile da raggiungere. E non lasciare che i firmatari digitino una data a mano accanto al loro segno. La pista di controllo contiene già un orario che fa fede; una data digitata che la contraddica crea una contraddizione nella tua stessa prova, senza alcun beneficio.

La prova è la pista di controllo, non il segno

Una firma disegnata o digitata è un'immagine. Chiunque può produrne una che somigli a quella di un altro, il che significa che l'immagine da sola non prova nulla, e che il valore di un servizio di firma elettronica non è disegnare scarabocchi più belli ma registrare come lo scarabocchio sia finito lì. Quel registro — certificato di completamento, pista di controllo, log degli eventi, i nomi cambiano — contiene tipicamente l'identificativo della busta, l'indirizzo di ogni destinatario, l'ora di invio della richiesta, quella di consegna, quella di apertura, l'indirizzo da cui è stata aperta, l'autenticazione usata, il consenso a contrattare per via elettronica, il momento in cui ogni campo è stato compilato, e un'impronta del documento al momento della sigillatura.

Non è un lusso ingegneristico, è esattamente ciò su cui il diritto si interroga. L'articolo 1366 del Codice civile francese attribuisce allo scritto elettronico la stessa forza probatoria della carta a due condizioni: che la persona da cui proviene possa essere debitamente identificata e che sia formato e conservato in condizioni tali da garantirne l'integrità. Identificazione e integrità sono proprietà del processo, non del disegno. A livello europeo la stessa logica compare nelle presunzioni legate ai servizi qualificati: secondo il Regolamento eIDAS, una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora e di integrità dei dati a esse legati, e un servizio elettronico di recapito certificato qualificato gode della presunzione di integrità dei dati, di invio da parte del mittente identificato e di ricezione da parte del destinatario identificato. Ognuna è un fatto su un flusso di lavoro.

In pratica questo significa tre cose. Conserva il certificato, non solo il file firmato: un documento sigillato senza la sua pista è una fotografia di un accordo. Conserva un'impronta del file che tu possa ricalcolare — un hash custodito a parte ti permette di mostrare anni dopo che la copia nel tuo archivio è quella firmata. E preferisci un'autenticazione che lasci una traccia controllata da un terzo: un codice inviato a un telefono, una verifica d'identità, un accesso a un account, qualunque cosa più forte di un link arrivato per posta. Il link da solo prova che ha firmato chi aveva accesso a quella casella, affermazione più debole di quanto sembri e proprio quella che una controversia attaccherà.

Quando il firmatario non è la parte: società e delega

Una società non firma nulla. Una persona fisica firma per suo conto, e che la società sia vincolata dipende dal potere di rappresentanza di quella persona: questione di diritto societario e di registro, mai qualcosa che la piattaforma di firma verifichi. La piattaforma lascerà volentieri firmare chiunque abbia una casella di posta a nome di chiunque, e registrerà fedelmente che l'ha fatto.

Il diritto tedesco rende concreta la trappola. Secondo il paragrafo 35 della legge sulle società a responsabilità limitata, la società è rappresentata giudizialmente ed extragiudizialmente dai suoi amministratori, e se ne sono nominati più d'uno sono autorizzati a rappresentarla solo congiuntamente salvo diversa previsione dello statuto. Una busta costruita con un unico blocco firma per una società tedesca con due amministratori e senza clausola di rappresentanza individuale produce un documento firmato che non vincola. In direzione opposta, il paragrafo 49 del codice di commercio attribuisce al procuratore il potere per tutti gli atti giudiziali ed extragiudiziali che l'esercizio di un'impresa commerciale comporta, e il paragrafo 50 rende le limitazioni interne di quel potere inopponibili ai terzi: la tua matrice interna di approvazioni per la controparte non esiste. Consulta la visura prima di costruire l'elenco dei destinatari, e riporta la qualifica nel blocco firma stesso.

La delega merita un trattamento a parte. La maggior parte dei servizi consente a un destinatario di riassegnare la richiesta, e usata bene è una funzione: la pista registra chi è stato invitato, chi ha riassegnato, quando, e chi ha infine firmato, il che mantiene visibile la catena. Usata con leggerezza diventa il modo più comune di distruggere una pista di controllo: il destinatario inoltra semplicemente l'email e qualcun altro firma da un link indirizzato a una persona che il documento non l'ha mai toccato. Attiva la riassegnazione perché si usi il meccanismo che si registra da sé, e disattiva, se il tuo servizio lo permette, la possibilità di firmare da un link aperto da un indirizzo diverso da quello invitato.

Quando il documento cambia dopo che qualcuno ha firmato

È la situazione che ogni flusso di firma prima o poi incontra, e la risposta sbagliata è allettante: sostituire il file e lasciare in piedi la firma esistente. Non farlo. Una firma risponde a una domanda su un documento preciso, e chi ha firmato ha risposto sulla versione che ha letto. Se la firma era crittografica, sostituire i byte la rompe e tutti vedranno che è rotta. Se era solo un'immagine disegnata — il caso ordinario — non si rompe nulla, nulla sembra sbagliato, e hai prodotto in silenzio un documento che appare firmato da qualcuno che non vi ha mai acconsentito. Il nostro articolo sui tre livelli eIDAS tratta di che cosa sia giuridicamente quell'immagine; qui basta che non provi l'accordo su un testo che il firmatario non ha mai visto.

Ci sono due strade pulite e si sceglie in base allo sforzo, non al principio. Annullare la busta e riemetterla: segna la vecchia come annullata perché la pista mostri una cancellazione deliberata e non un documento abbandonato, crea una nuova busta dal file corretto e raccogli di nuovo tutte le firme — comprese quelle che avevi già, perché erano state date su un testo diverso. Oppure lasciare in piedi il documento firmato e firmare un'appendice che identifichi l'originale per titolo e data e indichi che cosa cambia. La seconda è più rapida ed è ciò che davvero si fa quando una clausola si sposta dopo che undici parti su dodici hanno firmato. La prima si impone quando la modifica tocca i termini su cui i primi firmatari hanno fatto affidamento.

Sei modi di guasto, e che cosa risolve ciascuno

Campi posizionati per coordinate. Un blocco firma lasciato in un punto fisso di pagina sette resta lì quando il contratto viene rigenerato con una premessa più lunga, e finisce in mezzo a un paragrafo o addirittura sulla pagina sbagliata. Usa ancore testuali — una stringa invisibile nel documento a cui il campo si aggancia — perché il blocco segua la sua clausola. Lo stesso problema arriva dall'unione: aggiungi un allegato di due pagine prima della pagina firme e tutte le coordinate successive sono sbagliate. Prima monta, poi posiziona i campi.

La richiesta che non arriva mai. Inviato non è consegnato: i filtri mettono in quarantena la posta con link, i gateway aziendali li riscrivono, un indirizzo condiviso o di ruolo la deposita in una coda di cui nessuno risponde, una risposta di assenza la rimbalza. Sorveglia l'evento di consegna, non quello di invio, e se non compare entro un giorno reinvia a un secondo indirizzo invece di aspettare. Evita del tutto gli indirizzi di ruolo per i firmatari: non si identifica una persona da una casella che leggono in dieci. I link scaduti sono della stessa famiglia: buste e link hanno una durata, e un firmatario che torna dalle ferie trova una pagina morta e spesso conclude che sia stato tutto annullato. Imposta la scadenza sul termine reale più un margine, e manda un sollecito prima, non dopo.

La busta ferma su «visualizzato». Qualcuno l'ha aperta, ha firmato la pagina che vedeva e non ha mai raggiunto la sigla a pagina quattro né l'ultimo campo obbligatorio sotto la piega su un telefono. Lo stato resta su visualizzato o in corso, tutti danno per fatto, e il documento riemerge non firmato tre settimane dopo. Riduci i campi obbligatori al minimo di cui il documento ha davvero bisogno, guarda l'anteprima della busta su schermo piccolo prima di inviare, e tratta un destinatario che ha visualizzato ma non completato entro un giorno come un caso da telefonata e non da terzo sollecito. E controlla i fusi orari una volta per tutte: le piste di controllo si tengono di solito in un unico orario di riferimento, quindi un evento marcato alle 23:40 può essere il mattino dopo dove si trovava il firmatario — una discrepanza che in una controversia sembra frode e non è che una convenzione di visualizzazione.

Domande frequenti

Instradamento sequenziale o parallelo: quale come impostazione predefinita?

Parallelo di default, sequenziale quando c'è una dipendenza reale. Fatti una domanda: qualcuno nell'elenco deve vedere che cosa ha fatto un altro prima di decidere? Un approvatore interno che deve controllare il prezzo finale, sì; un garante che firma solo dopo il debitore, sì; una controparte che pretende di firmare per ultima, sì. A tutti gli altri si può chiedere insieme, e farlo toglie giorni al ciclo. L'ibrido che funziona in pratica è un flusso in due tempi: tutto l'interno in parallelo, poi la controparte, poi la controfirma — tre tappe invece di sei, con le sole dipendenze vere.

Qualcuno dice di aver firmato ma la busta è ancora aperta. Che è successo?

Quasi sempre un campo non compilato o un pulsante finale non premuto. Il firmatario ha disegnato la firma, ha creduto che l'atto fosse compiuto, e non è mai sceso fino a una sigla di una pagina successiva né ha premuto «completa» — su telefono la conferma sta spesso sotto la piega. Apri la vista di dettaglio della busta invece del riepilogo: elenca i campi obbligatori di ogni destinatario e quali restano vuoti, e questo ti dice esattamente che cosa chiedere. Altre due spiegazioni coprono quasi tutto il resto: la persona ha firmato un'altra busta, di solito una versione precedente che credevi annullata; oppure ha firmato una copia del file arrivata per altra via, come allegato, il che produce un documento firmato che il tuo flusso non vedrà mai. Chiedile di mandarti ciò che ha firmato prima di dare lo strumento per guasto.

Posso aggiungere una pagina dopo che una parte ha già firmato?

Al documento firmato no. Qualunque cosa contenga, aggiungerla produce un documento diverso da quello a cui la prima parte ha acconsentito, e il fatto che la firma continui ad apparire a posto è una proprietà delle immagini, non un permesso. Due strade legittime: annullare la busta, ricostruirla con la pagina in più e raccogliere di nuovo tutte le firme; oppure lasciare intatto il documento firmato e firmare un'appendice separata che nomini l'originale per titolo e data, dica che cosa aggiunge e sia firmata da tutti. Usa la seconda quando l'aggiunta è davvero aggiuntiva — un listino, un elenco di contatti — e la prima quando cambia qualcosa su cui il primo firmatario ha fatto affidamento. Qualunque scelta, conserva la busta annullata: una pista che mostra un annullamento deliberato e una riemissione pulita è prova assai migliore di un buco.

Un destinatario ha inoltrato il link e ha firmato un collega. È un problema?

Sì, e il problema è probatorio, non morale. Tutta la pista ora dice che la persona invitata ha fatto tutto — aperto, autenticato, firmato — mentre l'ha fatto un'altra. L'unica cosa che il registro doveva stabilire, che questa firma proviene da questo individuo, è esattamente ciò che ora è falso, e la controparte non ha modo di saperlo. Correggi in avanti: annulla la busta e riemettila alla persona che firma davvero, usando la funzione di riassegnazione se il servizio ce l'ha, perché lascia un evento di delega nella pista invece di una sostituzione silenziosa. Correggi strutturalmente non invitando mai caselle condivise e attivando un passaggio di autenticazione che il titolare della casella non possa girare, come un codice inviato a un numero che possiedi tu.

Che cosa conservo una volta firmato il documento?

Tre pezzi, nello stesso posto, nominati in modo che si veda che sono un insieme. Il documento finale sigillato. Il certificato di completamento o pista di controllo, che è la prova che il documento è ciò che dichiara di essere. E un'impronta del file — un hash che calcoli tu e conservi a parte, così da poter mostrare anni dopo che la copia in archivio è byte per byte quella firmata e non un discendente risalvato, ricompresso o annotato. Quel terzo pezzo costa un minuto ed è quello che nessuno ha quando serve. Quanto alla durata, la conservazione segue l'obbligo sottostante e non la firma: un contratto commerciale, un fascicolo del personale e un documento rilevante ai fini fiscali hanno termini diversi, e la regola prudente è tenere l'intero insieme finché un'azione basata su di esso resta possibile.