Como avaliar se uma plataforma de assinatura eletrônica é confiável
Critérios para avaliar uma plataforma de assinatura antes de mandar contratos: trilha de auditoria, hash, ICP-Brasil, prazo de retenção, LGPD e quem opera o serviço.
Uma plataforma de assinatura eletrônica é confiável quando deixa provas do que aconteceu, explica o que guarda e por quanto tempo, e informa quem a opera. Antes de mandar um contrato, confira seis critérios: trilha de auditoria, hash do documento, tipo de assinatura, retenção e exclusão, LGPD e transparência sobre quem opera o serviço.
Os seis critérios
| Critério | O que pedir ou testar | Sinal de alerta |
|---|---|---|
| Trilha de auditoria | Registro com nome, data, hora e estado de cada signatário | Só um carimbo de “assinado” sem detalhes |
| Hash do documento | Resumo SHA-256 do arquivo enviado, que você pode conferir | Nenhum código que permita comparar |
| Tipo de assinatura | Simples, avançada ou qualificada, com o que cada uma prova | Promessa de “validade jurídica total” sem explicação |
| Retenção e exclusão | Prazo escrito e forma de apagar antes do prazo | Termos sem número ou sem opção de exclusão |
| LGPD | Finalidade dos dados, base de tratamento e contato do encarregado | Pedido de dados que a assinatura não precisa |
| Quem opera | Razão social, CNPJ, endereço e canal de suporte | Empresa sem identificação clara |
Trilha de auditoria e hash
A trilha de auditoria é o registro do que aconteceu com o documento: envio, assinatura de cada pessoa, recusa e data e hora de cada evento. O hash é a impressão digital do arquivo, e ele é o que liga o registro ao documento. Sem hash, o registro diz que algo foi assinado, mas não diz qual versão. Um e-mail que imita uma plataforma conhecida pede outra checagem, a de e-mail falso pedindo para assinar documento.
Os dois se complementam. O guia sobre a trilha de auditoria da assinatura mostra como conferir o hash do arquivo enviado com o que foi registrado, e o glossário define o SHA-256.
Tipo de assinatura
A Lei 14.063, de 2020, separa a assinatura eletrônica em três tipos. A simples permite identificar o signatário ou associar dados dele ao documento. A avançada exige vínculo único com o signatário, dados sob o controle dele e detecção de qualquer alteração posterior. A qualificada usa certificado digital da ICP-Brasil. Uma plataforma deve dizer qual tipo oferece e o que ele prova, sem prometer mais do que isso; o guia sobre assinatura simples, avançada ou qualificada detalha cada nível, e o glossário define os termos.
Para o que cada tipo serve na prática, o guia sobre assinatura gov.br e ICP-Brasil mostra quando a diferença importa. Um contrato entre particulares pode aceitar a simples; um órgão público costuma exigir a qualificada.
Retenção, exclusão e LGPD
Pergunte por quanto tempo o documento fica guardado e se você pode apagá-lo antes. A resposta deve estar na política de privacidade, com número. Um prazo que depende de “critérios internos” não é um prazo. Verifique também se o serviço guarda cópia do seu contrato para outras finalidades, como treinar modelos ou fazer marketing, porque isso muda a análise de risco.
Pela LGPD, o contratante continua responsável pelos dados de terceiros que envia. A plataforma que opera o serviço tem obrigações próprias. Para uso recorrente com dados de clientes, peça um contrato de tratamento de dados. Como referência, o pedido de assinatura do AjustaPDF, que não exige conta de quem assina, guarda o arquivo cifrado com AES-256 até o prazo de guarda: 7 dias depois da última assinatura ou 30 dias depois do envio, o que vier primeiro. A política de privacidade traz o restante.
Quem opera o serviço
Uma plataforma confiável diz quem é, onde está registrada e como responde a um problema. Procure razão social, CNPJ, endereço, canal de suporte e termos de uso que você consiga ler em uma tarde. Se a empresa muda de nome com frequência ou não tem registro verificável, o risco não está só na tecnologia.
O teste que vale mais que a página de marketing
- Envie um PDF de teste para o seu próprio e-mail, sem dados reais.
- Assine como se fosse a outra parte e confira se o PDF final traz o registro com nome, data e hora.
- Calcule o SHA-256 do arquivo enviado e compare com o código do registro.
- Procure a opção de apagar o pedido e confirme que ela existe.
- Guarde o resultado do teste junto com as respostas da plataforma sobre retenção e tratamento de dados.
Esse roteiro não dá um selo de confiança (para a pergunta específica de uma marca, veja DocuSign é seguro? e assinar PDF em site é seguro?; para comparar nomes brasileiros, como escolher uma plataforma de assinatura eletrônica), mas mostra se a plataforma entrega o que promete. Se só você assina, o caminho é mais curto: assinar sozinho ou pedir assinatura por link. Uma plataforma que passa nos seis critérios e no teste tende a servir para contratos entre particulares que aceitam assinatura eletrônica. Para cartório, órgão público e processo judicial, confirme antes qual tipo de assinatura é exigido, porque nenhuma avaliação geral substitui essa conferência.
Perguntas frequentes
A plataforma que minha cliente usa para assinar contratos pede CPF antes de abrir o documento. Isso é normal?
Pode ser, se o CPF serve para identificar quem assina e a plataforma explica por que pede e por quanto tempo guarda. Peça a política de privacidade antes de enviar seu contrato. Se ela não explica a finalidade do CPF, a dúvida é justa, e você pode propor outro método de identificação ao contratante.
Posso confiar numa plataforma de assinatura que não diz em que país os arquivos ficam guardados?
Não sem perguntar. A informação sobre onde o arquivo fica e por quanto tempo fica guardado é o mínimo que a plataforma deve responder por escrito, e a LGPD exige transparência sobre o tratamento de dados pessoais. Se a resposta não vier, trate o serviço como inadequado para contrato com dados de terceiros.
Preciso de assinatura qualificada, com certificado ICP-Brasil, para um contrato entre duas empresas?
Depende da lei aplicável a esse tipo de contrato e do que as partes combinaram. A MP 2.200-2 admite outros meios de comprovar autoria e integridade quando as partes os aceitam como válidos, então muitos contratos entre empresas usam assinatura simples ou avançada com trilha de auditoria. Confirme com o jurídico ou com a outra empresa antes de escolher a plataforma.
Como testo uma plataforma de assinatura antes de mandar um contrato de verdade?
Envie um PDF de teste para o seu próprio e-mail e assine como se fosse a outra parte. Depois, confira se o PDF final traz a página de registro, se o hash do arquivo enviado bate com o que você guardou e se dá para apagar o pedido pelo painel. Esse teste leva poucos minutos e mostra mais do que qualquer página de marketing.