Os documentos ficam na nuvem da Microsoft Azure, cifrados com uma chave própria para cada arquivo. As chaves mestras ficam num cofre de chaves e nunca saem dele.
Como os arquivos são guardados
- Cifra em repouso. Cada arquivo gravado pela plataforma é cifrado com AES-256-GCM e uma chave exclusiva daquele arquivo. Isso vale para o documento original, o documento assinado, a trilha de auditoria, os anexos e as imagens de assinatura.
- Chave mestra no cofre. A chave de cada arquivo é protegida por uma chave mestra guardada no Azure Key Vault. A operação de proteger e abrir a chave acontece dentro do cofre.
- Cifra em trânsito. A comunicação entre o seu navegador e a ForSign usa conexão segura (TLS).
- Armazenamento separado por tipo. Originais, assinados, trilhas e anexos ficam em áreas separadas do armazenamento.
O sistema lê o documento para aplicar as assinaturas, gerar a trilha e entregar o arquivo final. Ninguém da ForSign abre os seus documentos no dia a dia da operação.
Quais dados pessoais a plataforma registra
Para cada participante, a ForSign registra:
- Nome, e-mail e telefone informados por quem criou a operação.
- IP, dispositivo e navegador de cada acesso ao link.
- Data e hora de cada passo.
- Geolocalização, quando a operação exige e o assinante autoriza.
- Selfie, resultado da prova de vida e validação do CPF, só quando a empresa liga esses recursos de antifraude.
Esses dados formam a trilha de auditoria, que é a prova de quem assinou e como. Veja Trilha de auditoria: o que ela registra.
A empresa que envia o documento decide quais desses dados a operação pede, como a selfie e a prova de vida.
O que a LGPD diz sobre esses dados
A Lei Geral de Proteção de Dados (Lei 13.709/2018, a LGPD) regula o uso de dados pessoais no Brasil.
- Dados sensíveis. A selfie e a prova de vida usam a biometria facial do assinante. A LGPD classifica dado biométrico como dado pessoal sensível (art. 5º, II). O uso desse tipo de dado segue as regras mais rígidas do art. 11.
- Direitos do titular. O art. 18 garante a cada pessoa o direito de:
- confirmar se a ForSign trata dados dela e ter acesso a eles;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados fora da lei;
- pedir a portabilidade dos dados;
- saber com quem os dados foram compartilhados;
- revogar o consentimento, quando o uso depende dele.
Como exercer os seus direitos
A ForSign tem uma equipe dedicada a assuntos de dados pessoais e privacidade. Para pedir acesso, correção ou exclusão dos seus dados, use um destes canais:
- O e-mail [email protected].
- O Formulário LGPD, com link nos Termos de uso e política de privacidade.
Os mesmos canais valem para o assinante que não tem conta na ForSign.
Quem na sua empresa vê cada operação
- Perfis de acesso definem o que cada usuário pode fazer. Veja O que cada permissão libera.
- Grupos definem quais operações cada usuário vê. Veja Grupos: cada grupo vê as operações do seu grupo.
- Um usuário inativado perde o acesso à conta. As operações que ele criou continuam na empresa. Veja Desativar um usuário que saiu da empresa.
- Downloads de documentos ficam registrados na trilha de auditoria.
Perguntas comuns
A ForSign usa criptografia de ponta a ponta? Não nesse sentido. Os arquivos são cifrados em repouso, com chaves num cofre, e trafegam por conexão segura. A chave não fica com o cliente.
O assinante precisa criar conta e senha? Não. Ele assina pelo link único que recebe. Isso reduz os dados que ele precisa informar.
Como peço a exclusão da minha conta de usuário? Fale com o suporte em [email protected].