Documento identificato e non ambiguo
Prima dell’OTP il sistema deve mostrare il documento corretto, la versione e il soggetto a cui è riferito. Modifiche successive devono produrre una nuova versione.
Il PDF finale deve essere archiviato insieme agli elementi del processo previsti, senza dipendere da una pagina temporanea.
Canale e scadenza
Il codice deve avere durata limitata, tentativi controllati e canale associato al destinatario. Messaggi generici o riutilizzabili riducono la sicurezza.
La pagina di firma deve impedire azioni diverse da quelle previste e non esporre dati ulteriori rispetto al documento necessario.
Audit del processo
Data, ora, documento, destinatario, esito e operazioni rilevanti devono essere registrati. L’indirizzo IP può essere un elemento del contesto, non l’unico fattore di identificazione.
Il team deve poter distinguere inviato, visualizzato, firmato, scaduto o revocato.
Accesso dopo la firma
Il firmatario può ricevere o scaricare una copia, mentre lo studio deve ritrovarla nella cartella corretta. I link temporanei vanno protetti e limitati.
La validità del metodo per uno specifico atto va valutata in relazione al documento e al quadro applicabile.
FAQ
L’OTP rende automaticamente valida qualsiasi firma?
No. Occorre valutare documento, identificazione, integrità, processo e requisiti applicabili al caso concreto.
Cosa deve restare archiviato?
Documento finale, versione, soggetti, data e ora, esito e gli elementi di audit previsti dal processo.