La maggior parte delle domande sulla sigillatura arriva nella settimana in cui qualcuno ha bisogno di una prova per la prima volta. Un cliente contesta una data. Un revisore chiede se un file è cambiato.
Ecco le dodici che sentiamo più spesso, limiti compresi. I passi in ordine: come funziona.
Che cosa viene sigillato esattamente?
Un'impronta di ogni file viene firmata con una marca temporale. Il file stesso non viene mai cambiato.
Caricate i file in una cartella. Ogni file riceve un'impronta crittografica, detta hash. Swisscom Trust Services, il prestatore di servizi fiduciari qualificato, firma quell'impronta con una marca temporale secondo RFC 3161. Per un PDF, la firma è incorporata nel PDF. Ogni versione sigillata della cartella riceve un certificato di prova. Quel PDF firmato elenca ogni file, il suo hash e l'ora di sigillatura in UTC. Di più: che cosa succede quando sigillate un file.
Il mio file lascia i vostri server?
Solo l'impronta va a Swisscom Trust Services. Il file resta nella vostra cartella su Swiss Trust Layer.
La chiave di firma non lascia mai l'hardware di Swisscom Trust Services. Un hash da solo non può essere ritrasformato nel documento. Chiunque possieda il file originale può confermare la corrispondenza. Sulla protezione dei dati: guida GDPR alla sigillatura.
Chi può controllare un documento sigillato?
Chiunque. Il validatore pubblico accetta qualsiasi PDF firmato, senza account e senza registrazione.
Caricate il PDF su swisstrustlayer.com/validate. Controlla la catena di firma, l'autorità di certificazione emittente, la scadenza del certificato e l'integrità della marca temporale. Riporta chi ha firmato, quando, con quale certificato, e se il contenuto è stato modificato dopo la firma. Riconosce le firme qualificate eIDAS e ZertES e non conserva mai il contenuto del documento. Il codice QR sul certificato apre una seconda pagina pubblica, senza accesso, con il risultato e il PDF del certificato.
Che cosa mostra il certificato di prova?
Chi ha sigillato, quando, e un elenco dei file sigillati con le loro impronte.
Il certificato mostra "Sealed for" (sigillato per) e il nome del titolare dell'account, la data e l'ora di sigillatura in UTC, un Cert ID e un codice QR. Una tabella elenca il nome e l'hash di ogni file. Dove presenti, aggiunge il codice ISCC, la dichiarazione IA, gli autori umani, l'approvatore, i diritti rivendicati e gli altri titolari dei diritti. Un blocco identità, con il numero di passaporto come asterischi, appare solo se quella versione è stata sigillata dopo la verifica dell'identità. Chiunque abbia il link o il QR può aprire quella pagina e scaricare il certificato, quindi tenete i dati personali fuori dai nomi dei file. Campo per campo: come leggere un certificato di prova.
Devo verificare la mia identità?
Non per sigillare. La verifica dell'identità è facoltativa, ma le etichette di contenuto e i codici ISCC la richiedono.
È un controllo del passaporto tramite DIDIT, fornito attraverso Swisscom Trust Services. L'istantanea dell'identità viene presa al momento della sigillatura. Un cambiamento successivo non riscrive mai un certificato emesso.
Che cosa sono le etichette di contenuto?
Sei autodichiarazioni su come un'opera è stata fatta, da HUMAN AUTHORED a AI GENERATED.
I Content Label Terms con ProLitteris definiscono HUMAN AUTHORED, HUMAN APPROVED, AI FREE, AI ASSISTED, AI MODIFIED e AI GENERATED. Ogni contenuto e versione porta esattamente un'etichetta AI. HUMAN AUTHORED va solo con AI FREE. HUMAN APPROVED viene da una persona diversa dall'autore. Un'etichetta è un'autodichiarazione; non indica se il contenuto è protetto dal diritto d'autore. Le dichiarazioni sono bloccate una volta sigillate. Un codice ISCC è un codice di contenuto secondo ISO 24138:2024. Un file di cui ISCC non può calcolare l'impronta viene comunque sigillato. Di più: le etichette spiegate.
Che cosa succede se modifico il file dopo la sigillatura?
Il sigillo resta sulla versione che avete sigillato. Il file modificato risulta cambiato.
Qualsiasi modifica dà un'impronta diversa, quindi il validatore segnala che il contenuto è stato modificato dopo la firma. Ai sensi dell'articolo 41, paragrafo 2, del regolamento eIDAS, la data, l'ora e i dati legati a una marca temporale elettronica qualificata si presumono corretti salvo prova contraria. Sigillate il file modificato come nuova versione.
Posso sigillare una nuova versione della stessa opera?
Sì. Ogni versione è sigillata e certificata per conto proprio.
Ogni cartella ha una cronologia delle versioni (Version History) e la funzione Add new Version. Ogni versione riceve il proprio hash, la propria marca temporale, il proprio certificato e la propria nota. Gli hash e le etichette dichiarate di una versione emessa non cambiano mai. Un'eccezione: un certificato può ricevere i dati ISCC e l'identità verificata senza una nuova versione. Di più: sigillate ogni bozza.
Altre persone possono firmare con me?
Sì. Ogni cofirmatario aggiunge la propria firma elettronica qualificata.
Una cartella sigillata può essere condivisa con altri utenti con ruoli. Per la cofirma, il proprietario aggiunge i firmatari con nome, email e telefono. Sul PDF viene collocato un campo firma per ciascuno. Il proprietario firma per primo, poi ogni cofirmatario firma con la propria firma elettronica qualificata. Nel diritto svizzero se ne occupa l'articolo 14, capoverso 2bis, del Codice delle obbligazioni. Equipara alla firma autografa una firma elettronica qualificata con una marca temporale qualificata secondo la ZertES. Questo vale a meno che una legge o un contratto dispongano diversamente.
Che cosa non prova il sigillo?
Non prova chi ha scritto il file, se è vero, o chi possiede i diritti.
Prova che questo file esatto esisteva in quel momento e non è cambiato da allora. Non prova che una firma dentro il file sia autentica, o che un marchio sia stato usato nel commercio. Una marca temporale non può essere aggiunta a ritroso. Non crea il diritto d'autore. Secondo l'articolo 5, paragrafo 2, della Convenzione di Berna, il diritto d'autore non è subordinato ad alcuna formalità. Di più: una marca temporale prova l'esistenza, non l'identità.
Che cosa succede se elimino i miei dati?
L'eliminazione rimuove file e certificati dal portale. I PDF sigillati che avete già scaricato restano validi.
Una cartella può essere eliminata; il portale avverte che l'operazione non può essere annullata. L'eliminazione dell'account è una richiesta. Una volta approvata, elimina in modo permanente il profilo, ogni file caricato o sigillato, la cronologia delle firme, i certificati emessi e i dati di fatturazione. Scaricate prima i vostri dati. Un PDF sigillato e un certificato che avete già restano validi, perché il validatore legge solo il PDF.
Che cos'è ESCROW Storage?
Un'opzione di archiviazione facoltativa ospitata in Svizzera, legata all'identità verificata del titolare dell'account.
Le cartelle depositate lì ricevono un ESCROW ID per il recupero. Swisscom Trust Services fornisce l'archiviazione, ProLitteris gestisce l'escrow, Swiss Trust Layer fornisce la tecnologia. Credenziali perse? Verificate di nuovo la vostra identità, online o di persona tramite un agente KYC, e l'accesso viene ripristinato.
Un passo per questa settimana
Sigillate un file che fareste fatica a difendere a memoria, poi controllatelo voi stessi.
Controllate che il suo nome non contenga nulla di personale. Sigillatelo, scaricate il PDF sigillato e il certificato, poi caricate il PDF su swisstrustlayer.com/validate. Leggete il rapporto che vedrebbe chiunque altro.
Sigillate il vostro primo documento su Swiss Trust Layer e abbiate la risposta pronta prima che arrivi la domanda.
