Usar certificado de assinatura

Um certificado de assinatura é o registro que acompanha um formulário assinado. Ele mostra quem assinou, quando, o que foi acordado e uma impressão digital do documento assinado, além de fornecer um link para uma página pública onde qualquer pessoa com o documento pode verificá-lo. Este artigo explica quando um certificado é produzido, como configurá-lo, o que o assinante vê e o que o certificado contém.

Para o lado legal, quais leis ele é projetado e para quais documentos ele não é adequado, leia Assinaturas eletrônicas legalmente vinculativas.

Quando um certificado é produzido

Um certificado é produzido apenas quando o formulário sabe quem foi solicitado a assinar. Esse é o caso quando o formulário é enviado através de:

• um convite com as opções Rastreamento de Convite e Certificado de Assinatura ativadas, ou
• um passo de fluxo de trabalho com Criar certificado de assinatura ativado.

O Certificado de Assinatura está disponível nos planos pagos e durante o teste gratuito.

Um formulário preenchido a partir de seu link público não produz certificado, pois não há registro de quem recebeu o link. Um formulário incorporado em seu site também é preenchido a partir do link público, portanto, também não produz certificado. O campo de Assinatura ainda funciona lá como antes.

Cada campo de Assinatura no formulário é incluído no certificado. Um formulário com três campos de assinatura produz um certificado listando todos os três.

Configurar o formulário

Adicionar o campo de Assinatura

1. No construtor de formulários, adicione um campo de Assinatura.

   

2. Clique no campo para abrir seu painel de propriedades.

O aviso de consentimento

O campo de Assinatura possui um Aviso de consentimento: uma frase exibida sob o bloco de assinatura em preenchimentos que produzirão um certificado. O texto padrão é:

Ao assinar e enviar este formulário, concordo em assinar eletronicamente, com o mesmo efeito legal de assinar à mão.

Você pode editar a frase. É um texto do campo, então é traduzido como qualquer outro texto de campo na página Multi-idioma, em todos os idiomas que você oferece o formulário. O certificado registra o texto exato e o idioma que o assinante viu.

O aviso aparece apenas em convites e preenchimentos de fluxo de trabalho que produzem um certificado. No link público, ou quando a opção de certificado está desativada, o campo não exibe aviso.

Ativar o certificado

Convites. Em Gerenciar formulário > Convites, mantenha Rastreamento de Convite ativado e ative Certificado de Assinatura antes de enviar. Um convite enviado com o rastreamento desativado não é armazenado, portanto, não produz certificado. Cada destinatário desse convite recebe o aviso e um certificado.

Fluxos de trabalho. No designer de fluxo de trabalho, abra o passo que coleta a assinatura e ative Criar certificado de assinatura. O link da tarefa do passo então carrega o registro do assinante, e o certificado é emitido quando esse passo é submetido.

O que o assinante vê

O assinante abre o convite ou link da tarefa e preenche o formulário como de costume. Sob o bloco de assinatura, eles veem o aviso de consentimento, no estilo e idioma do formulário. Em um formulário PDF, o aviso aparece sob o bloco no pop-up de assinatura existente. Não há caixa de seleção extra, pop-up ou etapa.

Ao desenhar, digitar ou enviar uma assinatura e depois enviar o formulário, o assinante concorda com o aviso. O certificado registra esse acordo junto com o texto exibido.

Após o envio

Na página de Envios

Quando o envio chega com um certificado, as ações do envio incluem:

• Baixar Certificado de Assinatura, o certificado como um PDF, e seu checksum SHA256 para que um destinatário possa confirmar que o arquivo é o que você emitiu.
• Verificar assinaturas online, a página de verificação pública para este certificado.

O certificado também está disponível através da API e no webhook de envio, juntamente com o PDF enviado, enquanto o envio não tiver sido editado. Uma vez que o envio é editado, seus dados na API não têm bloco de certificado.

Quando um envio assinado é editado

Apenas a primeira versão enviada de um envio é assinada. Quando o envio é editado e enviado novamente (pelo assinante com Editar Envio, por um membro da equipe, através da API ou após um envio de fluxo de trabalho de volta), a nova versão é aceita, mas nenhuma assinatura é registrada e nenhum novo certificado é emitido. O certificado da primeira versão permanece como registro do que foi assinado:

• O menu de Ações da linha não oferece mais Baixar Certificado de Assinatura, e a dica de ferramenta do ícone de certificado lê “Certificado de Assinatura Disponível na Revisão 1”. Baixe o certificado em Ações > Revisões …, onde a revisão 1 tem um link de Certificado de Assinatura.
• A página de verificação mostra Substituído por uma versão posterior. Ela ainda mostra a versão assinada e quando foi assinada, além de uma linha de Versão atual com o número da última versão.
• Uma página que edita o envio, como Editar Envio, não mostra o aviso de consentimento sob os campos de Assinatura.
• Quando um fluxo de trabalho envia uma etapa certificada de volta, o certificado da execução não inclui as decisões de aprovação.

Para coletar uma nova assinatura em conteúdo alterado, envie um novo convite.

No seu email de notificação

O email de notificação padrão anexa o certificado e imprime seu checksum. Formulários criados antes de isso ser o padrão precisam de duas variáveis no Corpo do Email sob Notificações:

• {{attach_sign_cert_pdf}} anexa o certificado de assinatura ao email.
• {{sign_cert_checksum}} imprime o checksum SHA256 do certificado.

O que o certificado contém

• Assinantes. O endereço de email de cada assinante do convite ou tarefa, o horário da assinatura em UTC, endereço IP e navegador, e uma imagem de cada assinatura com sua própria impressão digital.
• Aviso acordado. O aviso de consentimento exatamente como foi exibido, com seu idioma e versão.
• Impressão digital do documento. O hash SHA-256 do PDF assinado. Para um fluxo de trabalho, também o hash do PDF final quando o fluxo de trabalho é concluído.
• Linha do tempo. Cada evento registrado em ordem: link aberto, páginas visualizadas, assinatura aplicada, aviso acordado, enviado, documento renderizado, certificado emitido. Cada evento carrega um hash que inclui o hash do evento anterior, então uma alteração em qualquer evento passado aparece como uma quebra na cadeia.
• Link de verificação. O endereço da página de verificação pública.

Verificar uma assinatura online

Qualquer pessoa com o link do certificado pode abrir a página de verificação. Ela mostra se a cadeia de evidências está intacta, os assinantes com seus endereços de email parcialmente mascarados, o aviso que eles concordaram, a impressão digital do documento e a linha do tempo. Nada na página é editável.

Para verificar um documento, escolha o PDF assinado e clique em Verificar. A página compara a impressão digital do arquivo com a registrada quando foi assinado e relata uma correspondência ou uma discrepância. O arquivo é apenas hash e não é armazenado. As mesmas informações estão disponíveis como JSON no endereço da página com .json anexado, para seus próprios sistemas. Para explicar a verificação para a outra parte, compartilhe Como posso provar que uma assinatura eletrônica do PlatoForms é válida?.

Para equipes com conformidade HIPAA habilitada, a página mostra apenas o veredicto, as impressões digitais e o número de assinantes até que um documento correspondente seja enviado.

Quanto tempo as evidências são mantidas

O certificado e sua linha do tempo permanecem com o envio enquanto o envio existir, de acordo com a configuração de retenção de dados da sua equipe.

Além disso, uma cópia do PDF do certificado e sua linha do tempo completa é gravada em armazenamento de escrita única quando o certificado é emitido e mantido por sete anos. Excluir o envio não remove essa cópia, e a página de verificação continua respondendo por ela, marcada como uma cópia retida. Isso protege as evidências se um documento assinado for excluído por engano.

O que o certificado não faz

O certificado é projetado para atender aos requisitos de uma assinatura eletrônica padrão na maioria das jurisdições. Esteja ciente de seus limites:

• Identidade. O assinante é identificado pelo endereço de email para o qual o convite ou tarefa foi enviado. Não há verificação de ID, código SMS ou certificado digital para o assinante.
• Tempo. Os horários vêm dos servidores da PlatoForms, não de uma autoridade de carimbo de tempo independente.
• O próprio PDF. O PDF assinado e o certificado não são selados criptograficamente. Sua integridade é mostrada pelas impressões digitais registradas no certificado e na página de verificação, não apenas pelos arquivos.

Alguns tipos de documentos, como testamentos, escrituras notariais e algumas transferências de propriedade, exigem uma assinatura testemunhada ou qualificada na maioria dos países e não são adequados para este recurso.