Come TrustChain registra una firma

Chi crea l’accordo accede a un account TrustChain e compila titolo, lavori, importo, date ed e-mail dell’altra persona.

Il server TrustChain salva la registrazione, non il browser: nessun browser o app può crearla direttamente. Contiene ID account di chi l’ha creata, e-mail di ogni parte, titolo, importo e valuta, testo e altri campi, stato (in attesa delle firme), entrambe le firme indicate come non ancora apposte e ora di creazione.

Per gli accordi del modulo attuale, il server compone il testo dai campi appena salvati, così testo letto, firmato e ancorato corrisponde ai campi.

Il server assegna anche un ID di registrazione di 8 caratteri, usato da link pubblico (trustchain.biz/verify/ seguito dall’ID) e certificato. TrustChain conserva anche un ID interno più lungo per ogni accordo.

La Cronologia riceve la prima voce: chi ha creato l’accordo e quando. Nessun IP è registrato per questo passo.

Chi crea l’accordo invita via e-mail l’altra persona a firmare. Può invitare anche persone in sola lettura, che non possono firmare.

Per ogni invito il server TrustChain crea un link casuale nuovo. Conserva solo un hash unidirezionale della parte segreta, mai il link stesso, e lo invia dall’indirizzo TrustChain tramite Resend, servizio di consegna e-mail. La pagina di chi ha creato l’accordo lo mostra per poterlo copiare e inviare altrimenti.

Validità del link: 7 giorni. Durante la sospensione delle nuove verifiche, un nuovo link dura invece 14 giorni, per non scadere nell’attesa. Ora un nuovo link funziona per 14 giorni. Quelli già inviati mantengono la scadenza originale.

Il link apre l’accordo quante volte serve fino a scadenza, annullamento dell’invito, invio di un nuovo link o ritiro dell’accordo da parte di chi l’ha creato. «Inviare un nuovo link» disattiva il vecchio. Invitare ancora lo stesso indirizzo crea un secondo invito: entrambi funzionano fino alla propria scadenza o annullamento.

La Cronologia registra creazione e invio dell’invito con ora, autore e indirizzo invitato. Entrambe le voci precedono la consegna dell’e-mail al servizio, quindi da sole non dimostrano l’arrivo. Se fallisce, l’invito è segnato non consegnato e viene chiesto un nuovo link. Modifica dell’indirizzo, annullamento e nuovo link aggiungono voci separate.

L’indirizzo di chi firma è modificabile solo finché il link non è aperto, nessuno ha firmato e l’invito non è legato all’account TrustChain della persona. Dopo, fino alla firma dell’invitato, chi crea non può cambiarlo. Può annullare l’invito, togliendo l’accesso e registrandolo nella Cronologia, e invitare altri. Finché nessuno ha firmato può anche ritirare l’accordo, come sotto.

Se il link scade prima dell’uso, la persona invitata può chiederne un altro dalla pagina scaduta. TrustChain avvisa chi ha creato l’accordo al massimo una volta al giorno e solo questa persona può inviare un nuovo link. La richiesta aggiunge una voce nella Cronologia.

Ritiro dell’accordo. Finché nessuno ha firmato e si attendono le firme, chi lo ha creato può ritirarlo dal proprio account TrustChain con e-mail confermata. Nessun altro può e una firma di qualsiasi parte, inclusa quella di chi ha creato, elimina l’opzione. Il server ricontrolla tutto, poi in un’operazione imposta ritirato con ora e ID account, annulla ogni invito valido e aggiunge una voce di ritiro con autore e inviti annullati. Testo, e-mail e firme ancora non apposte restano come erano. Nessun IP è registrato.

Poi nessuno può firmare o essere invitato e il ritiro è irreversibile. Ogni link annullato smette di aprirsi e informa che l’accordo è stato ritirato da chi lo ha creato. TrustChain non invia e-mail. La registrazione resta nell’elenco come Ritirato e la persona invitata può ancora leggerla da un account con e-mail confermata uguale all’indirizzo invitato. La pagina pubblica dell’ID dice solo che è ritirata. Non viene restituita l’unità di accordo usata.

Aprendo il link, il server TrustChain trova l’invito e controlla scadenza e annullamento. Registra nella Cronologia prima apertura e ogni lettura e avvia una sessione ospite per quel solo invito, per leggere senza account.

L’IP di ogni apertura e lettura va in un log solo server, non nella Cronologia (sezione 8).

Se la persona è già in un account TrustChain con e-mail confermata uguale all’indirizzo invitato, firma da quello anziché dalla sessione ospite.

La sessione ospite continua dopo scadenza o sostituzione del link. Annullare l’invito o ritirare l’accordo la termina.

Con accesso a un account TrustChain

Chi crea firma sempre così. Può farlo anche la persona invitata quando l’e-mail confermata dell’account è quella invitata.

Con il link d’invito

La persona invitata firma nella sessione ospite avviata dal link.

Ogni firma registra il metodo usato. Il server TrustChain determina persona e parte dall’account o invito di accesso, mai da ciò che dichiara il browser. Un invito in sola lettura non può firmare e ogni link firma una sola volta.

Chiunque firmi su TrustChain supera prima la verifica dell’identità. È obbligatoria: il server rifiuta la firma se il record dell’account non ne indica il superamento. Non esiste firma senza verifica.

Sumsub, società di verifica dell’identità, esegue il controllo nella propria finestra sulla pagina TrustChain con documento con foto e selfie. I documenti vanno a Sumsub. Il server TrustChain chiede a Sumsub il record del controllo per conoscere l’esito. La risposta può includere dettagli letti dal documento, come il nome, ma TrustChain conserva solo l’esito. Nessun browser o app può scriverlo. Un account TrustChain supera il controllo una volta; una sessione ospite da invito ha il proprio.

Prima della finestra Sumsub, il dialogo TrustChain dice che Sumsub controlla documento con foto e selfie nella propria finestra e collega la parte dell’Informativa sulla privacy dedicata a Sumsub.

Le nuove verifiche dell’identità sono sospese. Chi ha già superato il controllo può firmare. Gli altri firmeranno alla ripresa. Nel frattempo si può scrivere, invitare e condividere. La verifica resta obbligatoria per tutto il periodo.

Cosa mostra il timbro. Ogni firma dopo una verifica superata porta «Identità verificata da Sumsub». Mostra che alla memorizzazione il record TrustChain dell’account indicava il controllo Sumsub superato con esito positivo.

Cosa non mostra. TrustChain non conserva documento, selfie o nome verificato da Sumsub. Non confronta quel nome con nomi nell’accordo o e-mail. Per firma da link, il controllo appartiene alla sessione ospite dell’invito, non a un account TrustChain. Sumsub conserva i dettagli. Le firme precedenti all’introduzione del timbro non lo hanno e non viene aggiunto dopo.

Entrambi i punti di firma, pagina dell’account e del link d’invito, mostrano prima l’accordo: titolo, altra persona, importo, data di completamento e testo integrale (nei vecchi accordi anche clausole standard da altri campi).

Sotto c’è una casella «I want to sign this agreement», con la riga «I've read all the terms above. I understand my signature will be recorded with the date and time and tied to my verified identity.». La firma non parte finché non è selezionata. Il server TrustChain non registra la selezione in sé.

Subito sopra il pulsante, come testo visibile e non dietro un link, c’è questa frase:

La richiesta di firma porta l’ID versione e il server TrustChain lo conserva se è la versione corrente del server. Una pagina aperta prima dell’esistenza della frase non invia versione e la firma non ne conserva una. Se la frase cambia riceve un nuovo ID e ogni firma mantiene quello usato allora.

La versione conservata mostra quale frase la pagina era progettata per mostrare. TrustChain non vede lo schermo, quindi non mostra che sia stata letta.

Nella pagina dell’invito una riga sotto il pulsante offre Condizioni e Informativa sulla privacy di TrustChain, ciascuno in una nuova scheda. Le registrazioni TrustChain non mostrano se siano stati aperti.

Premendo il pulsante, il server TrustChain verifica l’accesso, determina per quale parte si firma e controlla che l’accordo sia aperto, la persona non abbia già firmato e abbia superato l’identità. Salva poi tutto sotto in una sola operazione: tutto o niente.

Ora

Il momento in cui la firma è salvata, impostato dal database TrustChain con l’orologio del server Google, non da telefono o computer del firmatario. Il certificato lo mostra in UTC.

Metodo

Con accesso a un account TrustChain o con link d’invito.

Chi

ID account o invito, e-mail dall’accesso o invito, parte (chi ha creato o persona invitata) e indicazione della sessione ospite. Per chi crea, l’indirizzo è quello dell’account.

Timbro della verifica dell’identità

Identità verificata da Sumsub (sezione 5).

Versione del consenso

ID versione della frase sopra il pulsante (sezione 6).

Impronta delle condizioni

Impronta Keccak-256 del testo esattamente come memorizzato quando la firma è salvata. Un carattere diverso cambia l’impronta. Copre solo quel testo. Nel modulo attuale include importo e fine se compilati, mai il titolo. È nello stesso record del testo: da sola mostra che corrispondono. Che sia il testo della firma dipende dall’assenza di modifiche successive (sezione 9) o dall’ancoraggio Polygon se presente (sezione 11). Nei moduli vecchi la pagina mostra anche clausole da altri campi (proprietà, riservatezza, legge applicabile, intero accordo), non coperte dall’impronta. Se manca testo memorizzato, mostra invece l’ambito dei lavori e l’impronta è di testo vuoto.

IP di firma

L’IP registrato da TrustChain per la richiesta di firma. Legge la voce aggiunta dal front end Google o Firebase Hosting all’intestazione di inoltro e ignora le voci precedenti del chiamante. Se l’intestazione non ha la forma attesa, non registra indirizzo. Per firme prima di 14 ottobre 2026, TrustChain registrava l’indirizzo del framework web, talvolta inviato dal chiamante. Resta nella voce della Cronologia leggibile da entrambe le persone e dagli invitati alla lettura, come dice la frase sopra il pulsante. È stampato anche sulla copia personale del certificato scaricata dalla pagina dell’accordo.

Un IP può appartenere a operatore mobile, datore di lavoro, VPN o rete condivisa. Non identifica una persona o un luogo preciso e TrustChain non cerca localizzazioni.

Quando firma la seconda persona, lo stato diventa firmato da entrambe, la stessa ora è salvata come completamento delle firme e la Cronologia riceve la relativa voce. TrustChain invia e-mail a entrambe: chi crea all’indirizzo confermato dell’account, se presente, e la persona invitata all’indirizzo registrato per la firma.

TrustChain registra anche gli IP di apertura dell’invito, lettura, nuovo link e conferma lavori. Non vanno nella Cronologia: ciascuno va in un log separato solo server, salvato nella stessa operazione della voce di Cronologia per poterli collegare. I vecchi IP nella Cronologia sono stati spostati lì.

Browser e app non possono leggere il log, quindi altra persona e lettori non vedono mai gli IP. TrustChain li conserva per sicurezza e documentazione.

Creare o ritirare accordi, inviare, cambiare o annullare inviti e ancorare non registra IP.

Ogni passo aggiunge una voce con ora del server TrustChain: creato, invito inviato, indirizzo cambiato, invito annullato, nuovo link inviato, invito aperto, accordo letto, nuovo link richiesto, ritirato, firmato, firmato da entrambe, confermato completato, completato e ancorato.

Solo i server TrustChain scrivono la Cronologia. Nessun browser o app può aggiungere, cambiare o eliminare voci, né cambiare testo, firme, stato e orari. Entrambe le persone e gli invitati con invito ancora valido possono leggerla.

Due voci, creato e ancorato, sono scritte subito dopo il passo anziché nella stessa operazione. Se la scrittura fallisce, la voce manca ma gli orari del record mostrano quando è avvenuto.

Le regole vincolano browser e app, non i server TrustChain o chi ha accesso amministrativo al database, che potrebbe cambiare una registrazione. L’ancoraggio esiste anche per questo: l’impronta è su Polygon, fuori dal controllo TrustChain. Le regole sono cambiate nel tempo; per vecchi record TrustChain può dire quali si applicavano allora.

Dopo entrambe le firme, ciascuna persona può premere un pulsante che dichiara eseguito tutto il concordato. Chi crea lo fa dalla pagina dell’accordo, l’invitato dall’account o dal proprio link. Un lettore non può.

Ogni pressione salva l’ora di conferma della persona dal server TrustChain e aggiunge confermato alla Cronologia. L’IP va al log solo server (sezione 8). Dopo entrambe, lo stato diventa completato, l’ora viene salvata e aggiunta la voce completato. I record confermati prima del salvataggio di questi orari hanno le singole conferme solo nella Cronologia.

Registra solo che ciascuna persona ha premuto il pulsante. TrustChain non verifica lavori o pagamenti.

L’ancoraggio è facoltativo e mai automatico. Dopo entrambe le firme, una persona dell’accordo con account TrustChain può sceglierlo. È incluso nei piani a pagamento o acquistabile una tantum nel Gratuito (Prezzi).

Il server TrustChain calcola un’impronta Keccak-256 su ID interno, titolo, testo, importo, ID account di chi crea e dell’invitato (vuoto se manca, ad esempio firma via link senza account TrustChain). La invia al contratto di registro su Polygon con una transazione inviata e pagata dal wallet TrustChain. Le parti non la firmano e non hanno bisogno di wallet.

Esattamente cosa va sulla blockchain:

• l’impronta;
• l’ID interno TrustChain dell’accordo, in testo semplice (non l’ID di 8 caratteri);
• due campi di indirizzo wallet vuoti;
• l’ora del blocco della transazione secondo la rete Polygon e l’indirizzo del wallet TrustChain che l’ha inviata.

Nessun testo, nome, e-mail, importo, firma, IP o esito di verifica è scritto su Polygon.

TrustChain attende una conferma, poi salva rete, indirizzo del contratto, hash della transazione, numero di blocco, impronta e ora e aggiunge ancorato alla Cronologia.

Cosa mostra. L’impronta è stata scritta su Polygon all’ora del blocco e il contratto non ha funzioni per cambiare o eliminare voci. Una modifica ai campi coperti non corrisponderebbe più: la registrazione ancorata rende quindi rilevabili le alterazioni. Cosa non mostra. Non copre firme, orari, verifiche dell’identità o PDF e non mostra chi ha firmato.

Indirizzo del contratto e wallet di ancoraggio sono su Sicurezza. Un contratto firmato è stato modificato? spiega il confronto con Polygon.

TrustChain conserva:

• registrazione dell’accordo: testo, titolo, importo, e-mail di ogni parte, ID account, stati e orari;
• la Cronologia;
• ogni firma con tutto quanto elencato nella sezione 7;
• ogni invito con solo un hash unidirezionale del link;
• il log IP solo server (sezione 8);
• per ogni account o sessione ospite verificata: esito Sumsub, ultima modifica e riferimento Sumsub del controllo.

TrustChain non conserva:

• Documenti, foto d’identità o selfie. Li gestisce Sumsub.
• Nomi legali. TrustChain non chiede né verifica il nome legale. Un account può mostrare un nome da un provider di accesso, come Google, che nessuno verifica.
• I link d’invito stessi.
• Copie dei PDF scaricati.
• La chat tra le persone in forma leggibile. È cifrata da un capo all’altro e solo i partecipanti possono leggerla.

Cosa non mostrano i record: chi ha fisicamente premuto un pulsante (mostrano account o invito della richiesta ed esito dei controlli al momento); chi ha usato un link, copiabile e inoltrabile anche da chi crea; se i lavori siano fatti o pagati; lo schermo oltre quanto descritto qui; qualsiasi fatto esterno a TrustChain.

Ciascuna persona può scaricare il PDF dalla pagina dell’accordo o dell’invito: parti, testo integrale e Cronologia. È la registrazione principale.

Il certificato è un riepilogo di due pagine. La prima spiega stato, quando e come ciascuna persona ha firmato, riga sull’identità, creazione del record, indirizzo e codice QR della registrazione attuale. La seconda, Dettagli della registrazione, elenca fatti al secondo: passi registrati da TrustChain, versione del consenso e impronta delle condizioni di ogni firma, conferma dei lavori di ogni persona, ancoraggio con blocco, significato delle righe e link a questa pagina.

La copia personale dalla pagina dell’accordo stampa anche IP di ogni firma ed e-mail parzialmente nascoste. Quella pubblica scaricabile da chiunque omette e-mail, IP e ID interni. Il certificato non mostra il testo.

Il cartoncino ricordo è una pagina separata con Pip, offerta dopo entrambe le firme, da conservare e condividere. Specifica che è un ricordo, non la registrazione, e dà l’indirizzo di quella attuale.

Tutti sono creati nel browser di chi scarica dal record di quel momento. TrustChain non conserva copie e un PDF è modificabile dopo il download: lo confronti con la registrazione attuale su trustchain.biz/verify/ seguita dall’ID.

Una persona dell’accordo che necessita dei dati TrustChain, ad esempio per tribunale o corte, può scrivere a founder@trustchain.biz con l’ID. TrustChain conserva i dati qui descritti per ogni accordo e può fornirli per quello richiesto, secondo la legge sulla privacy: registrazione, Cronologia, inviti senza hash dei link ed esito dell’identità. I documenti sono presso Sumsub, non TrustChain.

Questa pagina ha versioni. Cambiando procedura cambiano versione e data in alto e l’elenco spiega le modifiche, per leggere un record con la procedura di allora. TrustChain conserva ogni versione precedente e può fornirla su richiesta.