Validade jurídica e segurança

Cada instrumento, e a lei que o sustenta

Certificado ICP-Brasil (e-CPF, e-CNPJ)

Assinatura digital com par de chaves emitido por Autoridade Certificadora credenciada. A MP 2.200-2/2001, no artigo 10, §1º, presume verdadeira em relação aos signatários a declaração feita com certificado ICP-Brasil — é o instrumento mais forte que existe no direito brasileiro para documento eletrônico.

A chave privada nunca sai da máquina de quem assina: o navegador conversa com o token ou com o certificado instalado, e o que chega até nós é só a assinatura pronta. Nós não temos, em momento nenhum, como assinar no lugar de alguém.

Política PAdES AD-RB (ICP-Brasil, referência básica), com validação de cadeia e revogação no momento da assinatura.

Assinatura simples de um clique

Assinatura eletrônica simples da Lei 14.063/2020, na forma que a maior parte das plataformas do mercado usa como padrão: quem recebe o link abre o documento, marca que leu e concorda, e assina.

O que fica guardado é o link enviado àquele endereço, o aceite explícito, a data e a hora, o IP e o aparelho. É prova de posse do link — e é honesto dizer que ela é a mais fraca das quatro: link se encaminha, e uma aba fica aberta.

Serve muito bem para o documento que precisa ser assinado hoje, entre partes que se conhecem. Para o contrato que alguém pode querer negar, o passo seguinte custa um e-mail a mais.

Confirmação por e-mail (com código)

Assinatura eletrônica simples da Lei 14.063/2020, admitida para as relações em que a lei não exige forma específica — o que cobre a maior parte dos contratos privados, inclusive arrendamento, parceria e compra e venda entre particulares.

O que a sustenta não é criptografia da pessoa, e sim a trilha: um código de seis dígitos enviado à caixa de entrada dela, conferido aqui contra um resumo criptográfico (o código nunca é guardado em texto), somado ao registro de quando abriu, de que IP, com que aparelho, e ao aceite explícito de que leu e concorda.

Comparada ao certificado, ela se defende pela quantidade de evidência convergente, e não por presunção legal — por isso a trilha inteira vira documento no fim. Comparada ao clique único, ela acrescenta a única coisa que o link sozinho não prova: que quem assinou tinha acesso àquela caixa de entrada naquele momento.

O que exatamente fica registrado

Campo a campo, para cada pessoa do documento. Tudo isto sai impresso no certificado de conclusão que acompanha o arquivo assinado.

Convite

quando o e-mail saiu, e para qual endereço

Entrega

se foi entregue, atrasou, voltou, ou foi marcado como spam — e quando

Abertura do e-mail

a primeira vez que a mensagem foi aberta

Abertura do documento

quando a pessoa abriu a página de assinatura, de que IP e com que aparelho

Assinatura

hora exata, instrumento usado, e o aceite explícito registrado

Confirmação por e-mail

que houve código, quando foi pedido e que ele conferiu (o código em si nunca é guardado em texto)

Recusa

quem recusou, quando, e o motivo escrito — recusa sem motivo não é aceita

Documento final

o resumo criptográfico SHA-256 do arquivo assinado

Carimbo do tempo

autoridade, número de série e a hora que ela atesta — quando contratado

A trilha é somente-acréscimo: nada nela é reescrito depois de gravado. O certificado de conclusão é gerado uma vez e guardado — o arquivo que a pessoa recebeu por e-mail e o que ela baixar daqui a três anos são idênticos byte a byte.

Onde o documento fica

No Brasil

Banco e armazenamento em São Paulo. O dado de cliente brasileiro não sai do país — o que simplifica a resposta ao encarregado de LGPD do seu lado.

Em armazenamento privado

Nada é público. Cada acesso a um arquivo passa por um endereço assinado que vale 15 minutos e é emitido pelo servidor só depois de conferir quem pediu.

Separado por empresa

Cada empresa enxerga apenas o que é dela, e o isolamento é conferido em toda consulta — inclusive nas que “obviamente” só teriam dado de um cliente.

Com versão a cada assinatura

Cada assinatura gera um arquivo novo, e o anterior permanece. Isso é o que permite reconstruir a ordem depois e o que salva o documento se uma rodada der errado.

E também na sua caixa de entrada

No fim, o documento assinado vai anexado por e-mail para todos os participantes. A sua via não depende de nós continuarmos existindo.

Como conferir sem depender de nós

Um documento assinado com certificado ICP-Brasil pode ser conferido no validador oficial do Instituto Nacional de Tecnologia da Informação, que não tem relação nenhuma conosco. Você sobe o arquivo e ele diz quem assinou, quando, e se o documento foi alterado depois.

Abrir o validador do ITI ↗

Para a confirmação por e-mail não existe validador externo — não há criptografia da pessoa para conferir. O que se apresenta é o certificado de conclusão com a trilha, e é por isso que ele é tão detalhado.

O que a gente não faz

Fornecedor de assinatura que se apresenta como mais do que é produz exatamente o contrato que cai no tribunal. Então, com todas as letras:

Não somos Autoridade Certificadora.

Não emitimos certificado digital. Quem emite é uma Autoridade Certificadora credenciada na ICP-Brasil.

Não somos Autoridade de Carimbo do Tempo.

O carimbo é emitido por uma ACT credenciada, e nós repassamos. O selo que vale é o dela, com o número de série dela — está impresso no certificado.

Não guardamos chave privada de ninguém.

Nem a sua, nem a de quem assina. É por isso que não conseguimos assinar no lugar de alguém, nem sob ordem judicial.

Não damos parecer jurídico.

Se o seu caso exige escritura pública, registro em cartório ou forma especial prevista em lei, a assinatura eletrônica não substitui isso — e o seu advogado é quem diz quando é o caso.

Não prometemos que ninguém vai contestar.

Prometemos que, se contestarem, você terá o que apresentar: o instrumento, a trilha e — quando contratado — a prova de data.

O que sustenta uma assinatura feita aqui.