Sicurezza dei file

I file si aprono nel tuo browser

Quando trascini un file in P7M Pro, il browser lo legge e lo elabora sul tuo dispositivo: apertura della busta P7M, lettura della PEC, impaginazione della fattura, calcoli della verifica della firma, creazione del PDF o del rapporto. Il file, il suo nome, il suo contenuto e la sua impronta non vengono inviati al nostro server e non li conserviamo.

Puoi controllarlo tu. Apri gli strumenti per sviluppatori del browser (F12 su computer), vai alla scheda Rete e trascina un file: vedrai solo le richieste descritte qui sotto, mai il file.

Cosa arriva al nostro server

• Verifica della firma: i dati pubblici del certificatore (nome e identificativo della chiave) e, per il controllo di revoca, il numero di serie del certificato con l'impronta del nome e della chiave del certificatore, come in una normale richiesta OCSP, oppure l'indirizzo dell'elenco dei certificati revocati (CRL). Inoltriamo la richiesta al certificatore, che vede il nostro server e non il tuo indirizzo IP. Non registriamo questi dati.
• Verifica VIES, solo se la chiedi: paese e numero di partita IVA, inoltrati al servizio VIES della Commissione europea. Non registriamo la richiesta.
• Segnalazione di un file che non si apre, solo se la invii: dati tecnici sul formato (estensione, dimensione, struttura, primi 8 byte, errore), mai il nome o il contenuto.
• Acquisto di un accesso: il tuo indirizzo email. Il pagamento avviene su Waffo; non vediamo i dati della carta.

Le risposte di revoca e VIES restano in una memoria temporanea per 24 ore, così la stessa richiesta non viene ripetuta.

Cosa controlla la verifica della firma

• Integrità: il documento è identico a quello firmato.
• Certificatore qualificato: il certificato risale a un certificatore presente nell'elenco di fiducia di AgID o in quelli degli altri paesi dell'Unione europea, nel momento della firma. La nostra copia degli elenchi viene aggiornata quando ha più di 7 giorni; se non è possibile aggiornarla e supera i 30 giorni, il risultato lo indica.
• Revoca: interroghiamo il servizio OCSP del certificatore, o il suo elenco dei certificati revocati (CRL), e verifichiamo la firma della risposta.
• Marca temporale: se presente, verifichiamo la firma alla data della marca.

"Firma valida" compare solo se tutti questi controlli sono riusciti. Se il servizio di revoca non risponde scriviamo "Firma integra, revoca non verificata".

Cosa non controlliamo

Per trasparenza, ecco i controlli che la verifica non include:

• la revoca dei certificati intermedi dei certificatori;
• la verifica delle marche temporali dentro le firme XAdES, che mostriamo ma non verifichiamo;
• le informazioni di revoca archiviate dentro le firme a lungo termine (formati LT e LTA);
• la firma digitale degli elenchi di fiducia stessi, che scarichiamo solo dagli indirizzi ufficiali in HTTPS.

Cosa non siamo

• Non siamo un servizio di conservazione. Il rapporto di verifica documenta il controllo fatto in un certo momento: non sostituisce il file firmato né la conservazione elettronica a norma. Conserva sempre il file originale.
• Non siamo un servizio fiduciario qualificato. La nostra verifica è un controllo tecnico su dati pubblici, non una convalida qualificata ai sensi del regolamento eIDAS.
• VIES non è l'anagrafe delle partite IVA. "Non registrata in VIES" significa che il numero non è abilitato alle operazioni intracomunitarie, non che la partita IVA sia inesistente o cessata.

Pagamenti

I pagamenti sono gestiti da Waffo come merchant of record: Waffo incassa, applica l'IVA e invia la ricevuta. Gli accessi non si rinnovano automaticamente; se un malfunzionamento ti impedisce di usarli, entro 14 giorni puoi chiedere il rimborso. Vedi Prezzi e Rimborsi.

Segnalare un problema di sicurezza

Se trovi un problema di sicurezza scrivi a support@p7mpro.com. Rispondiamo il prima possibile e ti teniamo aggiornato sulla correzione.