Firma elettronica eIDAS in Odoo: cos'è e come funziona (SES, AES e QES)

Quando una PMI inizia a firmare contratti, preventivi o ordini di acquisto da Odoo, è facile pensare che ogni firma elettronica abbia lo stesso valore. Non è così. Il Regolamento (UE) 910/2014, noto come eIDAS, definisce tre livelli di firma elettronica (semplice (SES), avanzata (AES) e qualificata (QES)) e solo uno di essi ha, per legge, lo stesso effetto giuridico di una firma autografa in tutta l'Unione Europea. Sapere quale ti serve per ogni documento fa la differenza tra un accordo blindato e un foglio di carta che, se viene contestato, dovrai difendere tu.

Che cos'è la firma elettronica eIDAS?

eIDAS è l'acronimo di electronic IDentification, Authentication and trust Services. È il Regolamento (UE) n. 910/2014, in vigore da luglio 2016, che armonizza l'identificazione elettronica e i servizi fiduciari (firma, sigillo, validazione temporale, recapito elettronico certificato) in tutti gli stati membri dell'UE. Il suo obiettivo è che un documento firmato elettronicamente in Spagna abbia lo stesso riconoscimento legale in Germania, Francia o Belgio senza ulteriori formalità. Prima di eIDAS, ogni paese regolava la firma elettronica per conto proprio e il riconoscimento tra le frontiere era incerto.

SES, AES e QES: la differenza reale (e perché conta sul piano legale)

Firma semplice (SES)

Definita nell'articolo 3.10 del Regolamento, la SES è qualsiasi dato in forma elettronica acclusa o connessa tramite associazione logica ad altri dati elettronici e utilizzata dal firmatario per firmare. L'asticella è bassissima: un clic su «Accetto», un nome scritto in fondo a un'e-mail, un'immagine scansionata di una firma autografa o una casella di conferma sono, tecnicamente, firma SES. L'articolo 25.1 di eIDAS stabilisce che a una firma elettronica non si può negare effetto giuridico per il solo fatto di essere elettronica, quindi la SES è valida. Ma non gode di presunzione di autenticità: se la controparte contesta il documento, chi vuole farlo valere deve dimostrare chi ha firmato e che non c'è stata manipolazione, con i normali strumenti di prova (registri, IP, e-mail di conferma).

Firma avanzata (AES)

L'articolo 26 di eIDAS richiede quattro condizioni perché una firma sia AES: deve essere connessa unicamente al firmatario, consentire di identificarlo, essere creata con dati di firma sotto il suo esclusivo controllo ed essere collegata al documento in modo che qualsiasi modifica successiva sia rilevabile. In pratica, questo si ottiene verificando l'identità del firmatario (documento d'identità, biometria facciale, verifica via video) prima di consentirgli di firmare e generando un hash crittografico del documento. La AES ha più peso probatorio della SES (c'è un'identità verificata e una prova tecnica di integrità) ma, a differenza della QES, il Regolamento non le riconosce la presunzione automatica di equivalenza con la firma autografa: in caso di controversia giudiziaria, è comunque il giudice a valutare la prova, anche se con un materiale molto migliore rispetto a una SES.

Firma qualificata (QES)

La QES è, secondo l'articolo 3.12, una AES creata da un dispositivo qualificato per la creazione di una firma (QSCD) e basata su un certificato qualificato emesso da un prestatore di servizi fiduciari qualificato (QTSP), iscritto nell'elenco di fiducia del suo paese. È l'unica categoria a cui l'articolo 25.2 di eIDAS riconosce espressamente «l'effetto giuridico equivalente a quello di una firma autografa» in tutta l'UE. In pratica questo inverte l'onere della prova a favore di chi la usa: se viene contestata, è chi nega di aver firmato a doverlo dimostrare, non il contrario. È il livello che gli uffici legali e le compagnie assicurative richiedono di default quando il contratto ha un valore economico elevato o un rischio legale reale.

Tabella riepilogativa: SES vs AES vs QES

Cosa fa (e cosa non fa) Odoo Sign, la firma nativa

Odoo Sign, l'app di firma inclusa di serie in Odoo, permette di inviare un documento che il destinatario firma disegnando il tratto con il mouse o con il dito, scrivendo il proprio nome o semplicemente accettando con un clic, e resta archiviato nel chatter del record. È rapido, gratuito e perfettamente valido come SES: rispetta l'articolo 25.1 di eIDAS. Ciò che non fa è verificare l'identità del firmatario rispetto a un documento ufficiale né emettere un certificato qualificato, quindi non può produrre AES né QES da solo. Per ricevute di ritorno, condizioni interne o documenti a basso rischio è sufficiente. Per un contratto di distribuzione, un accordo di collaborazione con una cifra rilevante alle spalle o qualsiasi documento in cui la controparte possa contestare la paternità, non lo è.

La maggior parte dei connettori di firma per Odoo si ferma alla SES

Lo stesso limite si ripete in gran parte dei connettori di firma esistenti per Odoo: racchiudono un'integrazione con un fornitore esterno, ma il livello reale di firma che offrono resta la SES (clic per firmare) o, con un po' di fortuna, una AES di base con verifica via e-mail o SMS. Emettere una vera QES richiede qualcosa che la maggior parte dei connettori non ha integrato: accesso diretto a un prestatore di servizi fiduciari qualificato (QTSP) iscritto nella Trusted List dell'UE, con i metodi di identificazione che quel QTSP richiede per emettere il certificato qualificato. Senza questo, per quanto bella sia l'integrazione, il tetto legale resta lo stesso di Odoo Sign nativo.

Il connettore reale di FlexigoTech con e-Signature.eu: vera QES dentro Odoo

FlexigoTech ha sviluppato, insieme al team di e-Signature.eu (VisitOnWeb SRL, Belgio (Bruno Biemans e Dimitri), un vero connettore per Odoo 17, 18 e 19 che permette di inviare qualsiasi documento dell'ERP)preventivo, contratto, fattura, ordine di acquisto: a firma eIDAS scegliendo il livello esatto di cui hai bisogno: SES, AES o QES, senza uscire da Odoo. Il firmatario si identifica con il metodo corrispondente a ciascun livello e paese: itsme® o Evrotrust per la QES, verifica via video con Veriff per la AES, o codice OTP via SMS per la SES.

Il connettore è pubblicato nell'App Store di Odoo a 149 € una tantum (Odoo 17, 18 e 19). Il prezzo per firma lo stabilisce e-Signature.eu in base al livello e al metodo scelti, e si paga a consumo, senza canone di abbonamento: paghi solo le firme che invii davvero.

Cosa ti serve per avere una vera firma qualificata in Odoo

• Installare l'e-Signature.eu Connector dall'App Store di Odoo (149 €, una tantum, Odoo 17-19).
• Registrare un account su e-Signature.eu (VisitOnWeb): senza abbonamento, pagamento per ogni firma inviata.
• Scegliere il livello di firma (SES, AES o QES) direttamente dal documento di Odoo, prima di inviarlo.
• Il firmatario si identifica con itsme®, Evrotrust, Veriff o codice OTP, a seconda del livello scelto.
• Il documento firmato, il certificato e le evidenze (marca temporale inclusa) vengono archiviati automaticamente in Odoo.

Quando usare ciascun livello: guida pratica

In pratica, la maggior parte delle aziende non ha bisogno della QES per tutto: usare la QES per una ricevuta di ritorno interna significa spendere di più senza motivo. La logica che funziona è questa: SES per documenti a basso rischio (conferme interne, ricevute di ritorno, condizioni già negoziate attraverso un altro canale); AES per i contratti commerciali standard tra aziende in cui conviene avere un'identità verificata ma non c'è un rischio legale estremo; e QES per tutto ciò che ha un valore economico elevato, per i contratti con controparti che richiedono il massimo livello di garanzia o per qualsiasi documento per cui, se finisse in un contenzioso, vorresti avere l'onere della prova a tuo favore. Una precisazione onesta: la QES non sostituisce gli atti che la legge richiede di elevare a atto pubblico davanti a un notaio (per esempio, una compravendita immobiliare in Spagna); per quelli serve comunque il notaio, qualunque sia il livello di firma elettronica.

Link utili all'interno di FlexigoTech

Domande frequenti

Cosa facciamo in merito