Segurança que você pode verificar, não apenas ler a respeito
Um acordo vale o que valem as provas por trás dele. Esta página explica, em linguagem simples, exatamente como o SignSpry protege seus documentos e comprova o que aconteceu — e o que ainda está no roadmap.
Provas
Trilha de auditoria encadeada por hash
Cada evento de um envelope — enviado, visualizado, assinado, pago, recusado, lembrado — é registrado com o autor, o endereço IP, o dispositivo e a data e hora em UTC, e cada registro traz o hash do anterior. Altere ou remova um deles e a cadeia se rompe de forma visível.
PDFs selados
Quando a última parte assina, o PDF é selado com uma assinatura digital PKCS#7 que cobre cada byte, e um carimbo de tempo RFC 3161 emitido por uma autoridade independente fixa o momento sem que ninguém precise confiar no nosso relógio.
Certificado de conclusão
Anexado a cada documento concluído: quem assinou, de onde, quando (UTC e horário local), como a identidade foi verificada, os hashes do documento e a trilha completa de eventos — em inglês e no idioma dos signatários.
Verificador público
Qualquer pessoa pode arrastar um PDF do SignSpry para o nosso verificador — sem conta, sem custo — e confirmar que ele está selado, que não foi alterado desde a selagem e quando isso ocorreu. Um tribunal, um auditor ou a outra parte nunca precisa confiar na nossa palavra.
Identidade do signatário
Links de assinatura com e-mail verificado, códigos de acesso opcionais por signatário, registros de IP e de dispositivo, e consentimento explícito coletado antes do primeiro campo. Códigos por SMS no mundo todo, verificação de documentos de identidade e assinaturas avançadas eIDAS estão no roadmap.
Um horário que significa o mesmo em todo lugar
Todos os registros de data e hora são armazenados em UTC e exibidos junto ao horário local de cada pessoa, para que um acordo assinado em três fusos horários tenha uma única sequência de eventos, sem ambiguidade.
Segurança da plataforma
Criptografia
TLS em todas as conexões, cabeçalhos de segurança de transporte estrita e de segurança de conteúdo em todas as respostas, e backups noturnos criptografados com AES-256 armazenados fora do servidor de produção.
Proteção da conta
Autenticação em dois fatores com códigos de backup, limite de tentativas de login e bloqueios, políticas de validade de senha definidas pelo seu administrador, gerenciamento de sessões ativas e um log de segurança de logins e alterações sensíveis.
Controle de acesso
Funções de Leitor, Membro, Gerente e Administrador, além de permissões por usuário, aplicadas no servidor em cada requisição. Pastas da equipe, modelos bloqueados e políticas de retenção mantêm os documentos onde devem estar — e apenas pelo tempo necessário.
Hospedagem & residência de dados
A produção roda na Amazon Web Services na Índia (Mumbai). Documentos, trilhas de auditoria e backups permanecem nessa região. Regiões de dados na UE e nos EUA, para que clientes europeus e americanos possam manter seus dados no próprio território, são o próximo passo de infraestrutura do nosso roadmap.
IA que fica nos nossos servidores
Resumos de acordos, análise de cláusulas, extração de obrigações e pesquisa no texto completo são processados em uma infraestrutura operada por nós. O texto dos seus documentos nunca é enviado a um modelo externo e nunca é usado para treinamento.
Confiabilidade
Verificações automáticas de integridade, backups noturnos externos criptografados e um processo de implantação que se recusa a entrar no ar se uma verificação falhar. Uma página pública de status está no roadmap.
Privacidade
Privacidade desde a concepção
Coletamos o que o serviço precisa e nada mais; os signatários nunca recebem marketing. Nossa Política de Privacidade explica o que guardamos, por que e por quanto tempo, e como exercer seus direitos.
Consentimento antes dos cookies
Nenhum cookie de análise ou de publicidade é definido até que você concorde. O consentimento é registrado, respeitado por meio do Google Consent Mode v2 e pode ser alterado a qualquer momento pelo rodapé. As fontes são servidas pelos nossos próprios servidores, para que nenhuma requisição saia da página antes da sua escolha.
GDPR, DPDP e além
Desenvolvido tendo em vista a Digital Personal Data Protection Act da Índia e o GDPR: minimização de dados, controles de retenção e exportação dos seus dados mediante solicitação. Um kit de autoatendimento para o GDPR — acordo de processamento de dados, registros de consentimento, exportação e exclusão — é o próximo item do roadmap.
Reconhecimento jurídico por jurisdição
O SignSpry produz assinaturas eletrônicas simples respaldadas por uma trilha de auditoria selada. As leis abaixo reconhecem essas assinaturas para contratos que podem ser celebrados eletronicamente; cada uma exclui alguns tipos de documento (por exemplo, testamentos ou certas transferências de imóveis). Estas são informações gerais, não aconselhamento jurídico.
| Jurisdição | Lei | O que significa para os documentos do SignSpry |
|---|---|---|
| Índia | Information Technology Act, 2000 (seção 10A) | Contratos celebrados eletronicamente são válidos; o PDF selado e a trilha de auditoria servem como registro eletrônico. |
| Estados Unidos | ESIGN Act (2000) e UETA (adotada por 49 estados) | Não se pode negar efeito jurídico a uma assinatura por ela ser eletrônica; a intenção, o consentimento e a autoria são comprovados pela trilha de auditoria. |
| União Europeia | Regulamento eIDAS (UE) 910/2014 | Assinaturas eletrônicas simples são admissíveis como prova; os níveis avançado e qualificado estão no nosso roadmap, com um parceiro qualificado de serviços de confiança. |
| Reino Unido | Electronic Communications Act 2000; UK eIDAS | As assinaturas eletrônicas são admissíveis e, em geral, válidas para contratos, conforme confirmado pela Law Commission (2019). |
| Singapura | Electronic Transactions Act 2010 | As assinaturas eletrônicas atendem à exigência de assinatura quando um método confiável identifica o signatário e demonstra sua intenção. |
| Emirados Árabes Unidos | Decreto-Lei Federal nº 46 de 2021 sobre Transações Eletrônicas e Serviços de Confiança | Assinaturas e registros eletrônicos têm efeito jurídico; alguns documentos são excluídos. |
| Austrália | Electronic Transactions Act 1999 (Cth) e equivalentes estaduais | A exigência de assinatura é atendida por um método eletrônico confiável, com o consentimento do signatário. |
| Canadá | PIPEDA, Parte 2; leis provinciais de comércio eletrônico | As assinaturas eletrônicas são reconhecidas; alguns documentos federais exigem uma assinatura eletrônica segura. |
Quem mais tem acesso aos seus dados
Mantemos a lista curta. Cada fornecedor processa apenas o que sua função exige.
- Amazon Web Services — hospedagem, armazenamento e backups na região de Mumbai (ap-south-1); envio de e-mails.
- Razorpay — processamento de pagamentos de assinaturas e de pagamentos cobrados na assinatura de documentos. Os dados do cartão nunca chegam aos nossos servidores.
- Google — medição de análise e de publicidade, somente depois que você consentir com esses cookies.
- Autoridade de carimbo de tempo RFC 3161 — recebe apenas o hash de um documento selado, nunca o próprio documento.
Como relatar uma vulnerabilidade
If you believe you have found a security issue, please email support@signspry.com (subject "Security report") with enough detail to reproduce it. We acknowledge reports, fix confirmed issues promptly and credit researchers who wish to be named. Please do not access other customers' data or disrupt the service while testing.
Dúvidas da sua equipe de segurança ou jurídica?
Teremos prazer em apresentar a arquitetura, responder a um questionário de segurança ou discutir um acordo de processamento de dados.