Segurança e validade jurídica
Assinaturas que se comprovam sozinhas
As assinaturas ficam dentro do próprio PDF, a trilha de auditoria é encadeada por hashes e qualquer pessoa pode conferir um documento. Veja como o AI Sign protege cada etapa e o que diz a lei.
Como protegemos
Segurança em cada camada do documento
Do envio à verificação, cada etapa deixa uma prova que pode ser conferida por quem recebe o documento — sem depender de confiar na nossa palavra.
PAdES incremental
Cada assinatura é acrescentada ao mesmo PDF como uma revisão incremental, no padrão PAdES. O arquivo nunca é reescrito: qualquer alteração depois de assinado invalida as assinaturas, e qualquer leitor de PDF compatível mostra isso.
Certificação da plataforma
No envio, o AI Sign anexa a página de verificação e certifica o PDF. Dali em diante, a certificação só admite novas assinaturas, o preenchimento dos campos e anotações; qualquer outra mudança no conteúdo invalida o documento.
Cadeia ICP-Brasil
As assinaturas com certificado são validadas contra a cadeia ICP-Brasil das autoridades certificadoras da Safeweb, parceira do AI Sign para certificados A1 e SafeID.
Certificado A1 só em memória
O arquivo .pfx e a senha existem apenas durante a assinatura: não são gravados em disco, em banco de dados nem em log. Com o SafeID, o certificado nem sai da nuvem da Safeweb.
Trilha que só cresce
A trilha de auditoria só aceita acréscimos, e cada registro guarda o hash SHA-256 do anterior. A página pública de verificação recalcula a cadeia inteira a cada consulta.
Isolamento por organização
O banco de dados aplica isolamento por linha (RLS) em todas as tabelas com dados de clientes, e a aplicação se conecta com um usuário que não pode contorná-lo: uma organização nunca enxerga os dados de outra.
Acesso ao painel
Verificação em duas etapas com aplicativo autenticador e papéis por organização — dono, administrador e membro —, para que cada pessoa tenha só o acesso de que precisa.
Identificação de quem assina
Cada signatário recebe um link próprio, trocado a cada envio e lembrete, e confirma a identidade com um código de uso único por e-mail ou WhatsApp, válido por 10 minutos.
Webhooks assinados
As notificações enviadas ao seu sistema levam uma assinatura HMAC-SHA256 com carimbo de tempo, para você conferir a origem e descartar reenvios antigos.
Validade jurídica
O que diz a lei brasileira
A MP 2.200-2/2001 criou a ICP-Brasil e reconhece documentos eletrônicos. A Lei 14.063/2020 classifica as assinaturas eletrônicas em três níveis.
Simples
Permite identificar o signatário e associa os dados dele ao documento — por exemplo, a confirmação por e-mail ou por código.
Avançada
Está ligada ao signatário de forma unívoca, usa meios sob o controle exclusivo dele e torna detectável qualquer alteração posterior. Pode usar certificados fora da ICP-Brasil, desde que aceitos pelas partes.
Qualificada
Usa certificado digital ICP-Brasil. É o nível mais alto: o documento se presume verdadeiro em relação ao signatário (MP 2.200-2/2001, art. 10, §1º).
No AI Sign, você escolhe por signatário. Assinatura eletrônica — com código de confirmação, evidências registradas e o PDF selado pela plataforma — ou assinatura qualificada, com certificado ICP-Brasil (A1 ou SafeID). Documentos assinados fora da ICP-Brasil valem como prova quando admitidos pelas partes (MP 2.200-2/2001, art. 10, §2º). Alguns atos exigem por lei uma forma específica; na dúvida, consulte um advogado. Este resumo não é aconselhamento jurídico.
Evidências
O que fica registrado em cada assinatura
Tudo entra na trilha de auditoria, no relatório de assinaturas e na página pública de verificação do documento.
- Nome, e-mail ou telefone do signatário e o canal usado no convite
- Confirmação do código de verificação, com data e hora
- Endereço IP e navegador de cada ação
- Geolocalização, apenas quando a pessoa autoriza no navegador
- Tipo de assinatura: eletrônica, certificado A1 ou SafeID, com os dados do certificado
- Hash SHA-256 do PDF original e do PDF final
- Visualizações, recusas com motivo, lembretes, cancelamento e conclusão
Documentos
Políticas e termos
Os textos estão em versão de rascunho, em revisão jurídica antes da versão definitiva.
Perguntas
Perguntas sobre segurança
Precisa de algo que não está aqui? Fale com a equipe do AI Sign.
O que acontece se alguém alterar o PDF depois de assinado?
As assinaturas deixam de ser válidas para aquele arquivo. Como cada assinatura protege o conteúdo até aquele ponto, qualquer leitor de PDF compatível e a página de verificação do AI Sign mostram que o documento foi modificado.
Quando a IA tem acesso aos meus documentos?
Só quando alguém da sua organização pede um resumo, uma análise, a sugestão de signatários ou a geração de um contrato. Nesse momento, o texto do documento é enviado ao provedor de IA apenas para produzir a resposta pedida. A IA está nos planos Pro e Empresa.
Quem assina sempre confirma um código?
Por padrão, sim: o signatário recebe um código de uso único por e-mail e o confirma antes de assinar. Quem envia escolhe, para cada signatário, se o código vai por e-mail ou por WhatsApp — ou se pode ser dispensado.
Como reporto uma falha de segurança?
Escreva para adm@talkhub.me ou use o formulário de contato com o assunto “Segurança”, descrevendo o problema e como reproduzi-lo. Pedimos que não divulgue a falha antes de a corrigirmos.