Security Center
Le Security Center décrit le modèle de sécurité appliqué à Firmato European e-sign V3. Il complète, sans les remplacer, les engagements contractuels, le DPA et les mesures propres aux prestataires intégrés.
1. Gouvernance de la sécurité
UESE ITALIA S.p.A. applique une approche fondée sur les risques, la séparation des fonctions et le moindre privilège. Les opérations sensibles sont journalisées et peuvent être soumises à une authentification renforcée.
2. Identité et accès
Les mots de passe sont conservés uniquement sous forme dérivée au moyen d’algorithmes de hachage robustes. Firmato prend en charge la 2FA TOTP, la gestion des sessions, la révocation, le RBAC et des identifiants API à portée limitée.
3. Données, secrets et documents
Les secrets applicatifs et identifiants des prestataires sont chiffrés localement en AES-256-GCM lorsque l’architecture le prévoit. Les fichiers font l’objet de contrôles de type, taille et autorisation; les documents et preuves peuvent être associés à des empreintes SHA-256.
4. Sécurité applicative et API
Firmato utilise des requêtes paramétrées, l’échappement des sorties, des protections CSRF, des cookies sécurisés, des contrôles d’autorisation côté serveur et la validation des webhooks.
5. Journalisation et incidents
Les opérations d’authentification, d’administration, de facturation, KYC, signature, wallet et preuve génèrent des événements d’audit. Les incidents sont évalués, contenus, documentés et notifiés lorsque la réglementation ou le contrat l’exige.
6. Responsabilité partagée
Les services de confiance, le KYC, les paiements et l’horodatage peuvent dépendre de tiers. UESE protège les composants sous son contrôle; le Client reste responsable de ses appareils, utilisateurs, clés API, réseaux, configurations et données.
7. Signalement
Les vulnérabilités présumées doivent être signalées via les canaux de support, sans divulgation publique prématurée et avec les seules informations nécessaires à l’analyse.
8. Versionnement, primauté et conservation de la preuve
Firmato conserve la version du document mise à disposition et, lorsque le parcours applicatif le prévoit, la preuve de sa consultation ou de son acceptation avec la date, le compte concerné et les informations techniques d’audit. Les modifications substantielles peuvent imposer une nouvelle information ou acceptation. La langue et le pays constituent deux paramètres distincts : la langue détermine la version linguistique, tandis que le pays détermine le complément national applicable.