# Como avaliar se uma plataforma de assinatura eletrônica é confiável

Critérios para avaliar uma plataforma de assinatura antes de mandar contratos: trilha de auditoria, hash, ICP-Brasil, prazo de retenção, LGPD e quem opera o serviço.

URL canônica: https://ajustapdf.com/blog/plataforma-de-assinatura-eletronica-e-confiavel-como-avaliar

Publicado em 2026-11-04 · 4 min de leitura · por [AjustaPDF](https://ajustapdf.com/sobre#editorial)

Uma plataforma de assinatura eletrônica é confiável quando deixa provas do que aconteceu, explica o que guarda e por quanto tempo, e informa quem a opera. Antes de mandar um contrato, confira seis critérios: trilha de auditoria, hash do documento, tipo de assinatura, retenção e exclusão, LGPD e transparência sobre quem opera o serviço.

## Os seis critérios

| Critério | O que pedir ou testar | Sinal de alerta |
| --- | --- | --- |
| Trilha de auditoria | Registro com nome, data, hora e estado de cada signatário | Só um carimbo de “assinado” sem detalhes |
| Hash do documento | Resumo SHA-256 do arquivo enviado, que você pode conferir | Nenhum código que permita comparar |
| Tipo de assinatura | Simples, avançada ou qualificada, com o que cada uma prova | Promessa de “validade jurídica total” sem explicação |
| Retenção e exclusão | Prazo escrito e forma de apagar antes do prazo | Termos sem número ou sem opção de exclusão |
| LGPD | Finalidade dos dados, base de tratamento e contato do encarregado | Pedido de dados que a assinatura não precisa |
| Quem opera | Razão social, CNPJ, endereço e canal de suporte | Empresa sem identificação clara |

## Trilha de auditoria e hash

A trilha de auditoria é o registro do que aconteceu com o documento: envio, assinatura de cada pessoa, recusa e data e hora de cada evento. O hash é a impressão digital do arquivo, e ele é o que liga o registro ao documento. Sem hash, o registro diz que algo foi assinado, mas não diz qual versão. Um e-mail que imita uma plataforma conhecida pede outra checagem, a de e-mail falso pedindo para assinar documento.

Os dois se complementam. O guia sobre a [trilha de auditoria da assinatura](/blog/trilha-de-auditoria-da-assinatura-eletronica) mostra como conferir o hash do arquivo enviado com o que foi registrado, e o [glossário](/glossario#hash-sha-256) define o SHA-256.

## Tipo de assinatura

A Lei 14.063, de 2020, separa a assinatura eletrônica em três tipos. A simples permite identificar o signatário ou associar dados dele ao documento. A avançada exige vínculo único com o signatário, dados sob o controle dele e detecção de qualquer alteração posterior. A qualificada usa certificado digital da ICP-Brasil. Uma plataforma deve dizer qual tipo oferece e o que ele prova, sem prometer mais do que isso; o guia sobre [assinatura simples, avançada ou qualificada](/blog/assinatura-eletronica-simples-avancada-qualificada) detalha cada nível, e o [glossário](/glossario#assinatura-eletronica-simples) define os termos.

Para o que cada tipo serve na prática, o [guia sobre assinatura gov.br e ICP-Brasil](/blog/assinatura-govbr-ou-icp-brasil) mostra quando a diferença importa. Um contrato entre particulares pode aceitar a simples; um órgão público costuma exigir a qualificada.

## Retenção, exclusão e LGPD

Pergunte por quanto tempo o documento fica guardado e se você pode apagá-lo antes. A resposta deve estar na política de privacidade, com número. Um prazo que depende de “critérios internos” não é um prazo. Verifique também se o serviço guarda cópia do seu contrato para outras finalidades, como treinar modelos ou fazer marketing, porque isso muda a análise de risco.

Pela LGPD, o contratante continua responsável pelos dados de terceiros que envia. A plataforma que opera o serviço tem obrigações próprias. Para uso recorrente com dados de clientes, peça um contrato de tratamento de dados. Como referência, o [pedido de assinatura do AjustaPDF](/pedir-assinatura), que não exige conta de quem assina, guarda o arquivo cifrado com AES-256 até o prazo de guarda: 7 dias depois da última assinatura ou 30 dias depois do envio, o que vier primeiro. A [política de privacidade](/privacidade) traz o restante.

## Quem opera o serviço

Uma plataforma confiável diz quem é, onde está registrada e como responde a um problema. Procure razão social, CNPJ, endereço, canal de suporte e termos de uso que você consiga ler em uma tarde. Se a empresa muda de nome com frequência ou não tem registro verificável, o risco não está só na tecnologia.

## O teste que vale mais que a página de marketing

1.  Envie um PDF de teste para o seu próprio e-mail, sem dados reais.
2.  Assine como se fosse a outra parte e confira se o PDF final traz o registro com nome, data e hora.
3.  Calcule o SHA-256 do arquivo enviado e compare com o código do registro.
4.  Procure a opção de apagar o pedido e confirme que ela existe.
5.  Guarde o resultado do teste junto com as respostas da plataforma sobre retenção e tratamento de dados.

Esse roteiro não dá um selo de confiança (para a pergunta específica de uma marca, veja [DocuSign é seguro?](/blog/docusign-e-seguro) e [assinar PDF em site é seguro?](/blog/assinar-pdf-online-e-seguro); para comparar nomes brasileiros, [como escolher uma plataforma de assinatura eletrônica](/blog/plataformas-brasileiras-de-assinatura-eletronica)), mas mostra se a plataforma entrega o que promete. Se só você assina, o caminho é mais curto: [assinar sozinho ou pedir assinatura por link](/blog/assinar-sozinho-ou-pedir-assinatura-por-link). Uma plataforma que passa nos seis critérios e no teste tende a servir para contratos entre particulares que aceitam assinatura eletrônica. Para cartório, órgão público e processo judicial, confirme antes qual tipo de assinatura é exigido, porque nenhuma avaliação geral substitui essa conferência.

## Perguntas frequentes

### A plataforma que minha cliente usa para assinar contratos pede CPF antes de abrir o documento. Isso é normal?

Pode ser, se o CPF serve para identificar quem assina e a plataforma explica por que pede e por quanto tempo guarda. Peça a política de privacidade antes de enviar seu contrato. Se ela não explica a finalidade do CPF, a dúvida é justa, e você pode propor outro método de identificação ao contratante.

### Posso confiar numa plataforma de assinatura que não diz em que país os arquivos ficam guardados?

Não sem perguntar. A informação sobre onde o arquivo fica e por quanto tempo fica guardado é o mínimo que a plataforma deve responder por escrito, e a LGPD exige transparência sobre o tratamento de dados pessoais. Se a resposta não vier, trate o serviço como inadequado para contrato com dados de terceiros.

### Preciso de assinatura qualificada, com certificado ICP-Brasil, para um contrato entre duas empresas?

Depende da lei aplicável a esse tipo de contrato e do que as partes combinaram. A MP 2.200-2 admite outros meios de comprovar autoria e integridade quando as partes os aceitam como válidos, então muitos contratos entre empresas usam assinatura simples ou avançada com trilha de auditoria. Confirme com o jurídico ou com a outra empresa antes de escolher a plataforma.

### Como testo uma plataforma de assinatura antes de mandar um contrato de verdade?

Envie um PDF de teste para o seu próprio e-mail e assine como se fosse a outra parte. Depois, confira se o PDF final traz a página de registro, se o hash do arquivo enviado bate com o que você guardou e se dá para apagar o pedido pelo painel. Esse teste leva poucos minutos e mostra mais do que qualquer página de marketing.