Proteção de dados e LGPD

Assinar um documento envolve dados pessoais: nome, contato, endereço IP e a própria assinatura. Este artigo descreve, de forma objetiva, quais dados o ODSign registra, para que servem e como são protegidos.

Dados registrados na assinatura

Para cada pessoa que participa de um envelope, o ODSign registra:

Esses registros aparecem na trilha de auditoria e no certificado de conclusão. O termo de uso exibido antes de abrir o documento informa o participante sobre esse registro.

Nota: quem envia o documento decide quais informações pedir em campos (por exemplo, CPF ou endereço). Se você é signatário e tem dúvidas sobre o uso dos seus dados em um documento, fale primeiro com quem o enviou.

Onde os documentos ficam guardados

• Os documentos enviados, as imagens de assinatura, os PDFs assinados e os certificados ficam em armazenamento de objetos (Amazon S3), sem acesso público, organizados por conta e por envelope.
• O acesso aos arquivos passa sempre pelo app: quem não tem permissão não consegue abri-los.
• Há cópia de segurança dos documentos e do banco de dados.

O armazenamento é ilimitado em todos os planos.

Isolamento entre contas

Cada conta (empresa) enxerga apenas os próprios envelopes, modelos, contatos e usuários. Dentro da conta, o acesso segue o papel de cada usuário: administradores e visualizadores veem os envelopes da conta; remetentes veem os envelopes que enviaram ou receberam. Veja Usuários e permissões.

Quem assina pelo link acessa somente o envelope daquele link, sem ver nada da conta de quem enviou.

Como os dados sensíveis são protegidos

• Senhas dos usuários são guardadas de forma cifrada (com hash), nunca em texto.
• Links de assinatura são gerados aleatoriamente, têm prazo de validade e ficam guardados apenas como hash.
• Códigos de acesso e códigos de 6 dígitos enviados ao celular também ficam guardados só de forma cifrada; os códigos pelo celular expiram em 10 minutos.
• Tokens da API são exibidos uma única vez, na criação, e depois ficam guardados apenas como hash.
• Segredos dos webhooks e credenciais das integrações da plataforma ficam cifrados no banco de dados.
• O arquivo enviado para verificação pública não é guardado: o ODSign só calcula o código SHA-256 dele.

Mensagens por WhatsApp, SMS e e-mail

Para entregar convites, avisos e códigos, o ODSign usa serviços de terceiros: um provedor de envio de e-mails, o WhatsApp Business da Meta (para mensagens de WhatsApp) e um provedor de SMS. Apenas os dados necessários para cada mensagem são enviados a eles: o número ou o e-mail de destino e o texto da mensagem.

Cookies

O app usa apenas cookies essenciais ao funcionamento: o da sessão (que mantém você conectado e guarda, durante a assinatura, os códigos já confirmados), o de proteção dos formulários e, se você marcar Manter conectado ao entrar, o que lembra o seu acesso. O app não usa cookies de publicidade nem de análise de terceiros.

Exclusão de dados

Excluir um envelope no app o move para Eliminados, de onde ele pode ser restaurado: os arquivos são preservados. Para pedidos de exclusão definitiva de dados ou outros pedidos relacionados à LGPD, fale com o suporte (veja Falar com o suporte).

Problemas comuns

Recebi um documento de alguém que não conheço. Não abra o link. O rodapé do e-mail indica quem enviou; fale com essa pessoa ou ignore a mensagem.

Quero saber quem viu o meu documento. O remetente acompanha cada abertura, código, assinatura e download no Histórico do envelope.