Glossário de assinatura eletrônica

112 termos-chave para dominar a assinatura eletrônica, criptografia e conformidade eIDAS.

Para além das definições, coloque em prática: descubra a solução de assinatura eletrónica Certyneo

Atualizado em 14 juillet 2026.

Glossaire signature électronique — références et définitions

A

Ato autêntico eletrônico (AAE): O ato autêntico eletrônico (AAE) é um ato notarial lavrado, recebido e conservado sob forma digital em conformidade com o decreto n° 2005-973 de 10 de agosto de 2005. O notário apõe sua assinatura eletrônica qualificada (nível QES, eIDAS) usando um QSCD autorizado, e o ato é subsequentemente transmitido à plataforma Real.not (Rede eletrônica de atos de notários). O AAE tem a mesma força probante e a mesma força executiva que um ato em papel: constitui prova perfeita de seu conteúdo e pode fundamentar uma penhora sem sentença prévia. Contratos imobiliários, doações, fusões de empresas e mandatos de proteção futura estão entre os atos suscetíveis de serem lavrados sob forma eletrônica. Certyneo acompanha os cartórios na implementação de fluxos de cossignatura preliminares (anteprojetos, mandatos de venda) anteriores à assinatura do ato autêntico no cartório.
AES (Assinatura Eletrónica Avançada): AES est l'acronyme d'Advanced Electronic Signature, la signature électronique avancée définie par l'article 26 du règlement eIDAS — voir la fiche signature avancée pour les exigences détaillées, la comparaison SES / AES / QES et les cas d'usage. À ne pas confondre avec l'autre AES de la cryptographie, l'Advanced Encryption Standard, un algorithme de chiffrement symétrique sans rapport avec la signature.
API REST de assinatura eletrónica: Uma API REST (Representational State Transfer) de assinatura eletrónica expõe as operações do motor de assinatura como recursos HTTP acessíveis por qualquer linguagem de programação. Os fluxos típicos incluem: criação de envelope (POST /envelopes), envio de documento (PUT /envelopes/{id}/documents), adição de signatários e campos (POST /recipients), envio para assinatura (PUT /envelopes/{id}/send), depois recuperação do documento assinado (GET /envelopes/{id}/signed-pdf). A autenticação baseia-se em tokens Bearer (OAuth 2.0 / chaves API). Os webhooks complementam a API empurrando eventos (documento assinado, recusa, expiração) para seu backend sem polling. Uma boa API REST de assinatura garante a integridade do documento via hash SHA-256 retornado em cada etapa e suporta o registro de auditoria com carimbo de tempo. Certyneo expõe uma API REST completa documentada em OpenAPI 3.1 com SDK disponíveis em Node.js, Python e PHP.
Arquivo eletrónico (assinatura, valor probatório): O arquivo eletrónico designa a conservação a longo prazo de documentos digitais assinados em condições que garantam seu valor probatório, sua legibilidade e integridade ao longo do tempo. Não deve ser confundido com simples cópia de segurança: o arquivo probatório impõe restrições técnicas e jurídicas precisas que o distinguem de um simples armazenamento em nuvem.

Os três pilares do arquivo probatório :
• Integridade : o documento arquivado não pode ser modificado — qualquer alteração é detectável e invalida a prova. Garantida pelo hash criptográfico do documento no arquivo e verificação periódica deste hash.
• Perenidade : o documento permanece legível em 10, 20 ou 50 anos, independentemente da evolução do software. Isso impõe formatos normalizados (PDF/A para o conteúdo, PAdES B-LTA para a assinatura) e migração de suportes em intervalos regulares.
• Rastreabilidade : qualquer operação no documento arquivado (consulta, comunicação, destruição) é registada num diário de eventos com marcação temporal e infalível.

Enquadramento normativo : em França, o arquivo probatório é regido pelas normas NF Z42-013 (referencial francês, AFNOR) e a norma internacional ISO 14641. Para o sector público e certas atividades reguladas (saúde, serviços financeiros), é necessária a aprovação SIAF (Service Interministériel des Archives de France) ou certificação por um terceiro-arquivo ESG. O regulamento eIDAS 2.0 introduz um novo serviço de confiança qualificado dedicado ao arquivo eletrónico qualificado, reconhecido de pleno direito em toda a UE.

Prazo de conservação legal em França :
• Contratos comerciais e faturas : 10 anos (Código de comércio art. L123-22)
• Contratos de trabalho : 5 anos após a saída do colaborador
• Documentos fiscais : 6 anos (Livro de procedimentos fiscais art. L102 B)
• Atos notariais : 75 anos (Código notarial)
• Documentos médicos : 20 anos após o último acto (Código de saúde pública)

Implementação Certyneo : todos os documentos assinados são arquivados em formato PAdES B-LT (B-LTA disponível no plano Business para conservações > 10 anos), com marcação temporal RFC 3161 qualificada, conservação 10 anos incluída em todos os planos, diário de eventos consultável em qualquer momento, e descarregamento da pista de auditoria em formato PDF. Ver também valor probatório e LTV (Long-Term Validation).
Attestation France Travail (ex-Pôle emploi): L'attestation destinée à France Travail (anciennement Pôle emploi) est un document que l'employeur doit obligatoirement remettre au salarié à la fin de son contrat (art. R1234-9 du Code du travail). Elle permet au salarié de faire valoir ses droits à l'assurance chômage ; l'employeur la transmet également à France Travail. Elle peut être générée et signée électroniquement dans le parcours de fin de contrat. Documents obligatoires de fin de contrat →
Autenticação: A autenticação é o processo que permite verificar a identidade de um utilizador ou sistema antes de lhe conceder acesso a um serviço ou autorizar a apposição de uma assinatura eletrónica. Pode ser simples (apenas palavra-passe), forte (multi-fatores) ou biométrica. A robustez da autenticação condiciona diretamente o nível de assinatura alcançável: uma AES exige no mínimo dois fatores distintos.
Autenticação forte: L'authentification forte exige la présentation d'au moins deux preuves d'identité appartenant à des familles différentes pour vérifier l'identité d'une personne — c'est le principe de la MFA (authentification multi-facteurs) :
• Ce que je sais : mot de passe, code PIN ;
• Ce que je possède : téléphone recevant un code OTP, clé de sécurité YubiKey/FIDO2, carte à puce ;
• Ce que je suis : empreinte digitale, reconnaissance faciale (biométrie).

Deux cadres réglementaires l'imposent : la directive DSP2 (art. 97) impose la SCA — Strong Customer Authentication — pour les paiements et l'accès aux comptes bancaires en ligne ; le règlement eIDAS l'exige de fait pour la signature électronique avancée (AES), dont l'article 26 impose que la signature soit créée sous le contrôle exclusif du signataire et lui soit liée de manière univoque.

Dans la signature électronique, l'authentification forte intervient au moment de signer : le signataire prouve qu'il contrôle son adresse email (lien unique) et son téléphone (code OTP SMS) avant que le document ne soit scellé. Cette double vérification, horodatée dans la piste d'audit, est ce qui distingue une AES opposable d'une simple case cochée.

Sur Certyneo : pour les enveloppes de niveau avancé, la combinaison email + OTP SMS est appliquée par défaut à chaque signataire ; les comptes utilisateurs peuvent activer la MFA (TOTP ou OTP email). DSP2 & authentification forte : le guide →
Autoridade de Certificação (AC / CA): Uma autoridade de certificação (AC, ou Certificate Authority — CA — em inglês) é um organismo de confiança que emite certificados eletrônicos X.509 vinculando uma chave pública à identidade de seu titular. As AC qualificadas são supervisionadas por autoridades nacionais (ANSSI na França) e registradas na lista de confiança da UE. Elas constituem o pilar da PKI e da cadeia de confiança das assinaturas qualificadas.

B

Token Bearer: Um token Bearer (jeton ao portador) é um jeton de acesso de API que concede ao detentor ("o portador") o direito de aceder a recursos protegidos, sem outra prova de identidade — a simples posse é suficiente, como dinheiro líquido. É transmitido no cabeçalho HTTP Authorization: Bearer <token>. Em OAuth 2.0 : os tokens Bearer são o formato padrão de jeton de acesso; geralmente são de curta duração e portam escopos que limitam o que o portador pode fazer. A API REST de Certyneo utiliza tokens Bearer para autenticar chamadas programáticas: criação de envelopes, consulta de estado, configuração de webhooks e descarregamento de documentos assinados. Desafios de segurança : uma vez que o jeton é o identificador, deve circular apenas por TLS, nunca ser exposto no lado do cliente nem registado em logs, e ser renovado regularmente; um token Bearer vazado é tão perigoso quanto uma palavra-passe vazada até sua expiração ou revogação. Boa prática : limitar cada jeton às permissões estritamente necessárias, definir uma expiração curta e preferir um jeton por integração para poder revogar um sem afetar os outros.
Biometria: A biometria reúne as técnicas de identificação de uma pessoa baseadas em suas características físicas ou comportamentais (impressão digital, reconhecimento facial, traço manuscrito, voz). Na assinatura eletrónica, uma assinatura biométrica pode capturar o traço manuscrito em ecrã tátil (velocidade, pressão, ângulo) para criar uma ligação direta entre o signatário e seu consentimento. Sob eIDAS, a biometria isolada não é suficiente para atingir o nível avançado (AES): deve ser combinada com uma autenticação forte. Os dados biométricos são considerados sensíveis pelo RGPD e seu tratamento exige consentimento explícito.
Blockchain e notarização eletrónica: A notarização blockchain consiste em ancorar a impressão criptográfica (hash SHA-256) de um documento em um registro distribuído imutável (Bitcoin, Ethereum, etc.) para provar sua existência em um momento específico. Ao contrário do carimbo de tempo qualificado RFC 3161, a notarização blockchain não é reconhecida como prova legal no sentido do eIDAS: constitui um indício aceitável perante certas jurisdições, mas não substitui um QTSP acreditado. Sua vantagem é a descentralização: a prova sobrevive ao desaparecimento do provedor de serviços. Em um contexto empresarial, blockchain é principalmente relevante para arquivo de provas complementares (hash publicado on-chain) como camada de redundância sobre um arquivo eletrónico com valor probatório convencional.

C

Selo eletrónico: O selo eletrónico é o equivalente da assinatura eletrónica para pessoas coletivas (empresas, administrações). Garante a origem e integridade de um documento emitido em nome de uma organização sem envolver um signatário humano identificado. O regulamento eIDAS reconhece os selos eletrónicos simples, avançados e qualificados, da mesma forma que as assinaturas.
Cadeado SSL / TLS: O cadeado SSL/TLS é o indicador visual exibido pelo navegador (ícone de cadeado na barra de endereços) confirmando que uma conexão criptografada TLS está estabelecida entre o navegador e o servidor. Ele atesta que os dados trocados (documentos, códigos OTP, identificadores) não podem ser interceptados em texto claro. Certyneo impõe TLS 1.3 em todos os seus endpoints, tornando o cadeado visível em todas as páginas de assinatura.
Certificat de travail: Le certificat de travail est un document que l'employeur doit obligatoirement remettre au salarié à la fin de tout contrat de travail (art. L1234-19 et D1234-6 du Code du travail), quelle que soit la cause de la rupture. Il mentionne les dates d'entrée et de sortie, la nature des emplois occupés et les périodes correspondantes. C'est un document « quérable » : il est tenu à la disposition du salarié, qui vient le chercher. Il peut être signé et remis par voie électronique avec pleine valeur juridique. Voir tous les documents de fin de contrat →
Certificado eletrónico: Un certificat électronique est un fichier numérique délivré par une autorité de certification (AC) qui associe une clé publique à l'identité vérifiée de son titulaire — on parle aussi de certificat de signature numérique lorsqu'il sert à signer. C'est la pièce d'identité numérique sur laquelle repose toute signature numérique.

Ce que contient un certificat : l'identité du titulaire (Distinguished Name), sa clé publique, l'AC émettrice, la période de validité (1 à 3 ans en général), les usages autorisés (signature, cachet, TLS) et l'empreinte cryptographique de l'ensemble, signée par l'AC.

La chaîne de confiance : chaque certificat est signé par une AC, elle-même certifiée par une AC de niveau supérieur, jusqu'au certificat racine. Vérifier une signature revient à remonter cette chaîne — et à contrôler que le certificat n'a pas été révoqué (listes CRL, protocole OCSP).

Certificat simple ou qualifié : un certificat standard suffit pour la signature avancée (AES) ; la signature qualifiée (QES) exige un certificat qualifié, délivré par un prestataire de confiance qualifié après vérification d'identité en face à face ou équivalente.

Sur Certyneo : vous n'avez aucun certificat à acheter ni à installer — les certificats de signature sont portés par la plateforme et appliqués côté serveur au moment du scellement PAdES du document. Le certificat de signature numérique : guide complet →
Certificado qualificado: Un certificat qualifié est un certificat électronique délivré par un prestataire de services de confiance qualifié (QTSP) inscrit sur la liste de confiance d'un État membre de l'UE — le niveau d'assurance le plus élevé reconnu par le règlement eIDAS.

Ce qu'il ajoute à un certificat standard : l'identité du titulaire est vérifiée avant la délivrance (face à face physique, identification vidéo ou identité électronique équivalente) ; la clé privée est protégée dans un dispositif certifié (QSCD, souvent adossé à un HSM) ; et le QTSP est audité régulièrement par l'organe de contrôle national (en France, l'ANSSI).

À quoi sert-il ? C'est le composant obligatoire de la signature qualifiée (QES), seule à bénéficier de l'équivalence automatique avec la signature manuscrite dans toute l'UE (art. 25 eIDAS), avec présomption de fiabilité en cas de litige. Il est requis pour les actes les plus sensibles : actes d'avocat, certains marchés publics, cessions d'entreprise.

Sur Certyneo : la QES est proposée à l'acte, sans abonnement dédié — la vérification d'identité du signataire et la délivrance du certificat qualifié sont intégrées au parcours de signature. La signature qualifiée (QES) chez Certyneo →
Certificado raiz e cadeia de confiança: Um certificado raiz (root certificate) é o topo da PKI: auto-assinado pela autoridade de certificação raiz, ele ancora a confiança de toda a cadeia. Na verificação de uma assinatura eletrónica, o verificador sobe a cadeia de certificados (Entidade final → Intermediário(s) → Raiz) e verifica que cada elo é válido, não revogado (OCSP / CRL) e conforme sua política de uso. Navegadores e sistemas operacionais incorporam repositórios de raízes de confiança (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Para assinaturas qualificadas eIDAS, a cadeia deve remontar até um QTSP listado na lista de confiança da UE. Um certificado cuja raiz não está no repositório do verificador será rejeitado mesmo que a assinatura criptográfica seja tecnicamente correta.
Criptografia: A criptografia é o processo de transformação de uma mensagem legível em um formato ilegível (texto cifrado) usando um algoritmo e uma chave secreta. Ela protege a confidencialidade dos dados em trânsito e em repouso, e é complementar ao hash usado para garantir a integridade na assinatura. Certyneo utiliza TLS 1.3 para criptografar todas as comunicações entre o navegador e os servidores.
Encriptação em repouso (encryption at rest): A encriptação em repouso designa a proteção dos dados armazenados por encriptação, de forma que sejam ilegíveis sem a chave de desencriptação, mesmo em caso de acesso físico ou lógico não autorizado ao suporte de armazenamento. Certyneo encripta os documentos e suas pistas de auditoria em repouso (AES-256) nas suas infraestruturas alojadas na Alemanha, em conformidade com os requisitos do RGPD.
CLM (Contract Lifecycle Management): CLM (Contract Lifecycle Management) designa o conjunto de processos e ferramentas que cobrem o ciclo de vida completo de um contrato : redação, negociação, aprovação interna, assinatura eletrônica, armazenamento e renovação. Repositório único : uma solução CLM centraliza todos os contratos em um repositório único consultável, com alertas de vencimento, bibliotecas de cláusulas, fluxos de validação e relatórios de exposição contratual, substituindo strings de e-mails e discos compartilhados dispersos. Lugar da assinatura : a assinatura eletrônica é uma etapa da cadeia CLM — uma vez que o contrato é aprovado, passa para assinatura e depois para arquivamento com valor probatório. Integração com Certyneo : Certyneo cobre a fase de assinatura e se integra a um CLM terceiro via API REST — recebe o documento finalizado, gerencia o circuito de assinatura (sequencial ou paralelo, em nível avançado (AES) ou qualificado (QES)), e devolve o PDF assinado com um registro de auditoria com data/hora que o CLM arquiva como versão definitiva. Por que é importante : um contrato assinado mas não acompanhado em um CLM ainda expõe a empresa a renovações perdidas e penalidades de renovação tácita, daí a compra cada vez mais conjunta da assinatura e da gestão do ciclo de vida.
Co-assinatura e assinatura múltipla: A co-assinatura designa a coleta de pelo menos duas assinaturas no mesmo documento. Distinguem-se dois modos: assinatura sequencial (o signatário B recebe o convite apenas após A assinar — útil para contratos hierárquicos ou atos notariais) e assinatura paralela (todos os signatários recebem o convite simultaneamente — mais rápido para documentos simétricos). A co-assinatura levanta a questão da integridade entre turnos: cada PAdES adicionado no PDF deve referenciar a revisão anterior via assinatura incremental, garantindo que nenhuma parte modificou o documento entre duas apposições. Certyneo gerencia a ordem dos signatários, lembretes direcionados, prazos de expiração por signatário, e detecta automaticamente tentativas de modificação entre turnos via verificação de hash SHA-256 em cada etapa do registro de auditoria.
OTP (One-Time Password / código OTP): Uma OTP (One-Time Password, senha de uso único — às vezes chamada de « código OTP » em português) é um código numérico temporário, geralmente de 4 a 8 dígitos, gerado aleatoriamente e válido para uma única sessão ou transação. Uma vez utilizado ou expirado (tipicamente 5 minutos), torna-se inválido — mesmo se um atacante o reproduzisse, seria rejeitado.

Três principais variantes de OTP :
• OTP SMS : código enviado por mensagem de texto para o número de telefone do signatário. O mais difundido no grande público pois não exige aplicação. Vulnerabilidades conhecidas: SIM swapping, interceptação SS7 — por isso a OTP SMS é suficiente para a assinatura avançada (AES) mas não é mais aceita para a QES (a ANSSI e a ENISA recomendam desde 2020 mudar para fatores mais fortes).
• OTP e-mail : código enviado por e-mail. Mais fácil de implementar, mas herda as fraquezas da segurança da conta e-mail do destinatário. Aceitável para a assinatura simples (SES).
• TOTP (Time-based OTP) : código gerado localmente por uma aplicação no telefone do signatário (Google Authenticator, Authy, 1Password). Sincronizado via uma chave secreta compartilhada no registro. Nenhum canal de rede no momento da assinatura — resistente a interceptações. Padrão RFC 6238.

OTP e assinatura eletrônica : na assinatura eletrônica avançada, o envio de uma OTP por e-mail ou SMS cria um vínculo verificável entre o documento assinado e a identidade do signatário via seu canal de comunicação (telefone ou e-mail). A OTP é registrada na trilha de auditoria do documento (timestamp, IP, identificador do canal) — prova oponível em caso de contestação.

Implementação Certyneo : OTP SMS via Twilio Verify nos envelopes AES — acionada logo antes da assinatura, validade de 5 minutos, 3 tentativas. TOTP disponível para contas administrativas como alternativa à OTP SMS. Veja também MFA e autenticação forte. Saiba mais sobre a autenticação do signatário →
Conformidade (compliance): A conformidade designa o respeito às leis, regulamentos e normas aplicáveis a uma organização. No contexto da assinatura eletrônica, ela se refere nomeadamente ao regulamento eIDAS, ao RGPD, ao Código do Trabalho (para contratos de trabalho), à lei ALUR (imobiliário) e às regras deontológicas próprias de certas profissões (CNB para advogados, CGAER para notários). Uma não-conformidade expõe a empresa à nulidade de seus atos e a sanções administrativas.
Consentimento eletrônico: O consentimento eletrônico é a manifestação de vontade de uma pessoa, expressa por via digital, de aceitar termos ou assinar um documento. Para ter força probatória, esse consentimento deve ser livre, específico, informado e unívoco, em conformidade com o RGPD. Em um fluxo de assinatura, o clique em "Assinar" constitui o consentimento eletrônico do signatário.
Contrato eletrónico: Um contrato eletrónico é qualquer acordo de vontade formado por via digital, regido na França pelos artigos 1366 a 1368 do Código Civil e pela LCEN. Ao contrário de uma simples compra online, um contrato eletrónico envolve um procedimento em várias etapas: oferta, informação pré-contratual, aceitação explícita ("clicar para aceitar" ou assinatura eletrónica), depois conservação com valor probatório durante o prazo legal. O valor probatório é reforçado adicionando: uma assinatura avançada (AES) ou qualificada (QES), um carimbo de tempo qualificado, a captura do consentimento e do endereço IP do signatário. O regulamento eIDAS 2 estende essas exigências a contratos transfronteiriços na UE graças à Carteira Europeia de Identidade Digital.
CRL (Certificate Revocation List): Uma CRL (lista de revogação de certificados) é uma lista publicada periodicamente por uma autoridade de certificação listando os certificados revogados antes de sua data de expiração, geralmente devido a comprometimento de chave ou mudança de identidade. Ao verificar uma assinatura digital, o software consulta a CRL (ou utiliza o OCSP) para garantir que o certificado do signatário não foi revogado no momento da assinatura.
Criptografia assimétrica (chave pública / chave privada): A criptografia assimétrica baseia-se em um par de chaves matematicamente ligadas: a chave privada (secreta, conservada em um HSM ou um QSCD) e a chave pública (distribuída livremente em um certificado). Para assinar um documento, o signatário calcula a impressão do documento e a cifra com sua chave privada; qualquer pessoa pode verificar a assinatura decifrando essa impressão com a chave pública e comparando-a ao hash do documento original. Os algoritmos dominantes são RSA (chaves 2048–4096 bits) e ECC (curvas P-256, P-384). RSA 2048 bits é recomendado até 2030 pelo NIST; ECC P-256 oferece um nível de segurança equivalente com chaves 10× mais curtas (ganho em desempenho HSM). A resistência a computadores quânticos é assegurada pelos algoritmos pós-quânticos CRYSTALS-Dilithium e CRYSTALS-Kyber, em processo de padronização NIST.

D

Delegação de assinatura: A delegação de assinatura é o mecanismo pelo qual um signatário autorizado (delegante) transfere formalmente seu poder de assinatura a um terceiro (delegatário) por um prazo e perímetro definidos. Em direito francês, uma delegação de assinatura deve ser explícita, formalizada por escrito e mencionar precisamente os atos cobertos (artigo 1994 Código Civil para o mandato, e disposições estatutárias para empresas). No Certyneo, a delegação é gerenciada no lado da administração : o delegante configura um papel de assinatura para o delegatário ; o registro de auditoria registra a identidade efetiva do signatário e a base legal de sua delegação.
Desmaterialização: A desmaterialização designa a substituição de documentos e processos em papel por seus equivalentes digitais. Ela engloba a digitalização, a criação nativa de documentos eletrônicos e sua assinatura por meio de ferramentas como Certyneo. Ela permite reduzir prazos, custos e a pegada ambiental dos processos documentais. Veja as vantagens da desmaterialização de contratos →
Distinguished Name (DN): O Distinguished Name (DN) é o identificador único de um sujeito num certificado X.509. É composto por atributos hierárquicos: CN (Common Name, nome do titular), O (Organização), OU (Unidade organizacional), C (Country, país em código ISO), etc. — por exemplo CN=Jean Dupont, O=Certyneo, C=FR. O DN do signatário é legível nas propriedades da assinatura de um PDF validado no Adobe Acrobat Reader.
DPA (Acordo de Processamento de Dados): Um DPA (Data Processing Agreement, ou Acordo de Processamento de Dados) é o contrato imposto pelo artigo 28 do RGPD entre um responsável pelo tratamento (o cliente) e um subcontratante (como Certyneo). Especifica as finalidades do tratamento, as categorias de dados, as medidas de segurança, as condições de subcontratação posterior e as obrigações em caso de violação. A celebração de um DPA é obrigatória antes de qualquer tratamento de dados pessoais de signatários. Certyneo propõe um DPA padrão anexado aos Termos e Condições.

E

ECC (Criptografia de Curvas Elípticas): A criptografia de curvas elípticas (Elliptic Curve Cryptography — ECC) é uma abordagem de criptografia assimétrica baseada nas propriedades algébricas das curvas elípticas. Oferece uma segurança equivalente a RSA com chaves significativamente mais curtas (256 bits ECC ≈ 3072 bits RSA), reduzindo a carga computacional. ECC é o algoritmo preferido de TLS 1.3 (curva X25519, P-256) e é cada vez mais utilizado em certificados de assinatura digital.
eIDAS: eIDAS (Electronic IDentification, Authentication and trust Services) é o regulamento europeu n°910/2014 que estabelece um marco legal comum para assinaturas eletrónicas, selos, marcação temporal e outros serviços de confiança na UE. Define três níveis de assinatura (simples, avançada, qualificada) e cria a noção de prestadores de serviços de confiança qualificados. Saber mais sobre eIDAS →
eIDAS 2.0: eIDAS 2.0 (regulamento UE 2024/1183, em vigor desde 2024) é a revisão maior do eIDAS que introduz notadamente a Carteira Europeia de Identidade Digital (EUDIW). Visa estender o reconhecimento das identidades digitais ao conjunto dos serviços públicos e privados da UE, e reforça as exigências para os prestadores qualificados. A identidade digital de cada cidadão europeu será portada por uma carteira móvel certificada até 2026.
Envelope de assinatura: Um envelope de assinatura é o contentor lógico que agrupa um ou mais documentos a fazer assinar, a lista de signatários, os campos de assinatura posicionados, e a configuração do fluxo de trabalho. Em Certyneo, cada envelope dispõe do seu próprio ciclo de vida (rascunho, enviado, em espera, assinado, recusado, expirado) e de uma pista de auditoria com marcação temporal.
Envio em massa (bulk signing): O envio em massa (ou bulk signing) designa a capacidade de enviar um documento para muitos signatários simultaneamente, ou enviar vários documentos distintos numa única operação. Esta funcionalidade é indispensável para RH (contratos de trabalho), seguros (adendas) ou imobiliário (mandatos). Na Certyneo, a API permite orquestrar envios em massa através de uma única chamada programática, cada signatário recebendo uma ligação individual e uma pista de auditoria própria.
ESIGN Act: A ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) é a lei federal americana que reconhece a validade jurídica das assinaturas eletrónicas e dos contratos online nos Estados Unidos. Complementar à UETA (lei-modelo dos Estados), estabelece o princípio de que uma assinatura não pode ser recusada pelo simples motivo de ser eletrónica. Para contratos transatlânticos, uma AES eIDAS é geralmente reconhecida conforme ESIGN/UETA, facilitando as trocas contratuais UE–EUA.
EUDI Wallet (Carteira Europeia de Identidade Digital): A Carteira Europeia de Identidade Digital (EUDI Wallet, European Digital Identity Wallet) é a aplicação móvel mandatada pelo eIDAS 2.0. Permite aos cidadãos da UE armazenar e compartilhar atributos de identidade certificados (estado civil, diplomas, carta de condução) e efetuar assinaturas qualificadas (QES) a partir do seu smartphone. A EUDI Wallet substituirá progressivamente FranceConnect+ em França até 2026–2027.

F

Fluxo de aprovação (workflow de aprovação): Um fluxo de aprovação (approval workflow) é uma sequência estruturada de etapas de validação pelas quais um documento deve passar antes de ser assinado. Tipicamente: redação → revisão jurídica → validação financeira → assinatura. No direito comercial francês, certos atos exigem uma aprovação formalizada antes da assinatura (deliberação de conselho de administração, visto do DAF). Tecnicamente, um workflow de aprovação difere da co-assinatura: os aprovadores validam o conteúdo sem necessariamente apor sua assinatura eletrónica (clicam em "Aprovado"), enquanto os signatários finais assumem sua responsabilidade. Certyneo suporta ambos os modos no mesmo fluxo de envelope, com funções distintas (Approver vs Signer) e webhooks acionados a cada transição de estado.
Função de hash: Uma função de hash é uma função matemática unidirecional que transforma uma entrada de tamanho arbitrário em uma saída de comprimento fixo chamada impressão digital (digest ou hash). Qualquer modificação, mesmo de um único bit, produz uma impressão digital radicalmente diferente. As funções modernas (SHA-256, SHA-3) são resistentes a colisões. Na assinatura digital, o documento é primeiro criptografado e depois a impressão é criptografada com a chave privada — o que garante a integridade do conteúdo assinado.
FranceConnect: FranceConnect é o serviço de identidade digital do Estado francês que permite aos cidadãos autenticarem-se junto de serviços online públicos ou privados a partir de um identificador existente (Impots.gouv, Ameli, La Poste, MSA, Identité Numérique). Um passo acima, FranceConnect+ é qualificado como «substancial» no sentido do regulamento eIDAS e pode servir para desencadear uma assinatura avançada (AES) ou mesmo qualificada (QES). Até ao final de 2026, FranceConnect+ será progressivamente substituído pela identidade digital portada pela Carteira Europeia (EUDIW) prevista pelo eIDAS 2.0.

G

Modelo (template de documento): Um modelo (ou template) é um documento-tipo pré-configurado com seus campos dinâmicos (signatários, datas, valores, locais de assinatura) que serve como ponto de partida para envelopes recorrentes. Na Certyneo, os modelos industrializam fluxos em volume (contratos de trabalho, NDA, ordens de compra): duplica-se o modelo, preenchem-se as variáveis do caso específico, envia-se. Os modelos de contrato gratuitos disponíveis em /modeles-contrats são concebidos para serem baixados e depois instanciados como modelos em sua conta.
GDPR (General Data Protection Regulation): O GDPR (General Data Protection Regulation, regulamento UE 2016/679) é a versão em inglês do RGPD. Este regulamento europeu estabelece regras para a coleta, processamento e armazenamento de dados pessoais na UE. É aplicável a qualquer organização que processe dados de residentes europeus, independentemente de sua localização. Impõe notavelmente a celebração de um DPA com subcontratantes, minimização de dados e respeito aos direitos das pessoas (acesso, retificação, exclusão).
Gerador de documentos e mala direta digital: Um gerador de documentos (document generation) combina um modelo de contrato com dados variáveis (nome, SIREN, valor, data, etc.) para produzir automaticamente um PDF pronto para assinar. As tecnologias comuns são: motores de template Word/DOCX (Carbone.io, Docxtemplater), LaTeX, HTML-to-PDF (Puppeteer/headless Chrome) e a API Adobe PDF Services. A vantagem da mala direta digital sobre a mala direta em papel é o envio direto ao workflow de assinatura sem impressão: o documento gerado é injetado no envelope de assinatura via API REST, os campos de assinatura são posicionados por coordenadas ou tags HTML, e o ciclo se fecha em poucos segundos. O risco principal é a divergência de layout entre a renderização DOCX local e a renderização servidor — um conjunto de testes de regressão visual (captura PNG + diff) é recomendado.

H

Hash (hash): O hash é uma operação criptográfica que transforma um documento de tamanho arbitrário em uma impressão digital de tamanho fixo, chamada "hash". Qualquer modificação, por menor que seja, do documento produz um hash completamente diferente, garantindo assim a integridade do arquivo. A assinatura digital repousa sobre a criptografia deste hash com a chave privada do signatário.
Handshake TLS: O handshake TLS ("aperto de mão") é a fase de negociação que ocorre no início de uma conexão TLS. O cliente e o servidor concordam sobre a suite criptográfica, trocam seus certificados (autenticação mútua opcional) e estabelecem as chaves de sessão via um protocolo de chave efêmera (ECDHE). TLS 1.3 reduziu o handshake para 1 ida e volta de rede (contra 2 em TLS 1.2), melhorando o desempenho das sessões de assinatura em dispositivos móveis.
Carimbo de tempo eletrônico: O carimbo de tempo eletrônico é um mecanismo que permite vincular um dado numérico a um instante preciso, de forma verificável e infalível. Um carimbo de tempo qualificado, emitido por um provedor qualificado conforme eIDAS, fornece uma prova legal da existência de um documento em uma data determinada. É indispensável para a preservação do valor probante dos documentos a longo prazo.
Carimbo de tempo qualificado (TSA): Um carimbo de tempo qualificado é um carimbo eletrônico emitido por uma Trusted Stamp Authority (TSA, Autoridade de Confiança para Carimbo de Tempo) qualificada no sentido de eIDAS. Produz uma prova legalmente reconhecida da existência de um documento numa data e hora precisas, vinculada à impressão digital do documento. Indispensável aos perfis PAdES B-T, B-LT e B-LTA para garantir a força probante a longo prazo.
HSM (Hardware Security Module): Um HSM (Hardware Security Module, Módulo de Segurança de Hardware em português) é um equipamento de hardware inviolável dedicado à geração, armazenamento e uso seguro de chaves criptográficas. O HSM executa operações criptográficas (assinatura, descriptografia, geração de chaves) sem nunca expor a chave privada — ela permanece dentro do perímetro do hardware, protegida por contramedidas físicas (sensores anti-intrusão, apagamento automático em qualquer tentativa de abertura).

Certificações HSM: para ser qualificado conforme o regulamento eIDAS, um HSM deve atender a normas rigorosas — FIPS 140-2 nível 3 ou FIPS 140-3 nível 3+ (padrão americano do NIST), e/ou Common Criteria EAL4+ (padrão europeu). HSM certificados Common Criteria são elegíveis para hospedar chaves de assinatura qualificada (QES) e chaves de carimbo de tempo qualificado. A lista de confiança europeia (EU Trusted List) referencia os HSM autorizados para cada provedor qualificado.

HSM cloud vs HSM físico: historicamente os HSM eram appliances dedicadas instaladas em datacenters privados. Fornecedores de cloud agora oferecem HSM compartilhados ou dedicados em SaaS — AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, mas também HSM nacionais operados por QTSP europeus. O regulamento eIDAS 2.0 reconhece explicitamente HSM cloud para assinatura qualificada remota.

HSM e criptografia ("encriptação HSM"): além da assinatura, HSM protegem chaves de criptografia de bancos de dados, chaves de criptografia de disco (BitLocker, FileVault, LUKS), chaves raiz de PKI interna e segredos de aplicação. A rotação, backup e revogação de chaves são gerenciados via PKCS#11 ou interfaces proprietárias.

Implementação Certyneo: as chaves criptográficas de assinatura remota são hospedadas em HSM Common Criteria EAL4+ operados por nosso provedor de serviços de confiança qualificado (QTSP). Nenhuma chave privada é jamais acessível à Certyneo nem ao seu provedor de hospedagem — cada operação de assinatura passa por uma autenticação forte do signatário e uma chamada API ao HSM, que retorna a assinatura sem expor a chave. Veja também QSCD e assinatura cloud.
HTTP/3: HTTP/3 é a terceira versão principal do protocolo HTTP, baseada em QUIC (transporte UDP) em vez de TCP. Reduz a latência (eliminação do head-of-line blocking), melhora a recuperação após interrupção de rede e integra nativamente TLS 1.3. A Certyneo utiliza HTTP/3 para acelerar o carregamento de documentos a assinar e a submissão de formulários de consentimento, particularmente em dispositivos móveis em ambiente de rede degradado.

I

Identidade digital: A identidade digital é o conjunto de dados que permite identificar uma pessoa física ou jurídica no espaço digital. Pode ser fornecida por um Estado (cartão de identidade eletrônica, FranceConnect) ou por operadores privados (prestadores qualificados). Com eIDAS 2.0, cada cidadão europeu possuirá uma carteira de identidade digital oficial (EUDIW).
IdP (Identity Provider / Provedor de Identidade): Um Identity Provider (IdP) é um serviço que gerencia identidades digitais e emite asserções de autenticação a aplicações terceirizadas (Service Providers). Os protocolos dominantes são SAML 2.0 (empresarial, SSO Okta/Azure AD) e OIDC/OAuth 2.0 (web, FranceConnect). No contexto da assinatura eletrónica, o IdP desempenha dois papéis: (1) autenticar o signatário ao acessar o portal de assinatura (MFA via SSO empresarial); (2) fornecer atributos de identidade verificados (nome, email, número de funcionário) que alimentam o certificado de assinatura e o registro de auditoria. FranceConnect é o IdP público francês que permite atingir o nível de confiança "substancial" para assinaturas avançadas destinadas aos serviços do Estado. Certyneo integra-se com IdP SAML e OIDC via console de administração.
Ink signature (assinatura manuscrita digitalizada): Uma ink signature (ou assinatura manuscrita digitalizada) é a digitalização da assinatura manuscrita tradicional sob a forma de imagem (JPG/PNG) aposta num documento. Constitui o nível mais básico de assinatura eletrônica simples (SES) sob eIDAS: sem autenticação forte nem trilha de auditoria, sua força probante é limitada. Permanece, contudo, utilizada para documentos com baixo risco legal (assinaturas internas, anotações).
Integridade (dos dados): A integridade designa a propriedade que garante que um dado não foi alterado ou falsificado após sua criação, transmissão ou armazenamento. Na assinatura digital, a integridade é assegurada pela função de hash: qualquer modificação do documento significa que o hash recalculado não corresponde mais àquele criptografado na assinatura, o que invalida imediatamente a verificação. É por isso que um PDF assinado com a Certyneo é "lacrado" — não pode mais ser modificado sem que a assinatura se quebre.
Interoperabilidade eIDAS: A interoperabilidade eIDAS designa o reconhecimento mútuo de identidades digitais e assinaturas eletrônicas entre Estados-membros da UE, conforme imposto pelo regulamento eIDAS (artigos 6 e 25). Um certificado qualificado emitido por um prestador de confiança (TSP) figurando na lista de confiança de um Estado-membro é automaticamente reconhecido como válido em todos os outros Estados-membros — sem formalidades adicionais. Essa interoperabilidade cobre os níveis AES e QES. O regulamento eIDAS 2.0 (UE 2024/1183) estende esse mecanismo à carteira EUDI (European Digital Identity Wallet), prevista para 2026.

J

Token de assinatura: Um token de assinatura é o objeto criptográfico produzido no momento da assinatura que agrupa: o hash do documento, o carimbo de tempo, o identificador do signatário e a assinatura criptográfica em si (criptografada com a chave privada via PKI). Este token é incorporado no PDF final de acordo com o formato PAdES e permite a qualquer verificador — juiz, perito, auditor — reconstitui a prova de assinatura sem depender da plataforma. O token é autossuficiente: mesmo se a Certyneo desaparecesse, a assinatura permaneceria verificável com um leitor PDF padrão (Acrobat Reader, pdfsig).
Registro de logs e conservação de logs de assinatura: O registro de logs (logging) no contexto da assinatura eletrónica designa o registro imutável de todos os eventos do ciclo de vida de um documento: criação, envio, abertura, OTP verificado, assinatura aposta, download do assinado, arquivo. Esses logs constituem a camada técnica do registro de auditoria e podem ser solicitados em caso de disputa. Os requisitos legais variam: o RGPD impõe uma limitação da duração de conservação de dados pessoais, enquanto os prazos de prescrição contratuais (5 anos em direito comercial, 10 anos para atos da vida civil) definem a duração mínima de retenção dos logs. Melhor prática: os logs devem ser assinados criptograficamente (token de integridade) para provar que não foram alterados. Certyneo conserva os logs de cada envelope durante o prazo legal aplicável e os inclui no cofre digital para download.
JWT (JSON Web Token): Um JWT (JSON Web Token, RFC 7519) é um formato compacto e seguro para representar asserções entre duas partes. Compõe-se de três partes codificadas em Base64URL separadas por pontos: o cabeçalho (algoritmo), o payload (claims) e a assinatura. A API da Certyneo utiliza JWT assinados (HS256 ou RS256) para a gestão de sessões e autenticação de chamadas API, garantindo que os tokens não foram falsificados. Os JWT de acesso têm uma duração de vida curta, complementados por refresh tokens de longa duração.

K

KYC (Know Your Customer): O KYC (Know Your Customer) designa o conjunto de procedimentos de verificação de identidade que uma empresa aplica aos seus clientes antes de iniciar um relacionamento comercial. Historicamente imposto aos bancos pelas diretivas anti-branqueamento, o KYC expandiu-se para operações de assinatura eletrônica de alto risco: abertura de conta, crédito, seguro, atos notariais. Três pilares: a verificação do documento de identidade (OCR e detecção de fraude nos elementos de segurança de um cartão ou passaporte), o controle de vivacidade (prova de que a pessoa é real e presente, não uma foto nem um deepfake) e o cruzamento de informações com bases de referência. Ligação com o nível de assinatura: quanto mais sensível o ato, mais reforçado é o KYC — uma assinatura simples pode não exigir nenhum, enquanto o regulamento eIDAS impõe uma verificação de identidade presencial ou equivalente à distância (KYC vídeo) antes de emitir o certificado de uma assinatura qualificada (QES). KYC e LCB-FT: o KYC é a etapa de iniciação do relacionamento; a vigilância contínua das transações (LCB-FT) prossegue depois. Por que é importante: um KYC robusto é o que permite a uma assinatura à distância ter o mesmo valor legal que uma assinatura realizada presencialmente, vinculando a chave de assinatura a um ser humano verificado.

L

LCCJTI (Lei sobre o marco jurídico das tecnologias da informação): A LCCJTI é a lei quebequense (L.R.Q., capítulo C-1.1) que estabelece o marco jurídico da assinatura e dos documentos eletrônicos no Québec. Reconhece explicitamente a assinatura eletrônica como equivalente à assinatura manuscrita desde que a identidade do signatário seja estabelecida de forma confiável e que o elo entre a assinatura e o documento seja garantido (artigo 39). A LCCJTI é complementar ao regulamento eIDAS (aplicável na Europa) e ao PIPEDA (aplicável aos dados pessoais fora do Québec). É o fundamento legal das assinaturas Certyneo para contratos quebequenses. A Lei 25 (2022) moderniza o regime de proteção de informações pessoais que a acompanha.
LCEN (Lei 2004-575): A LCEN (Lei para a Confiança na Economia Digital de 21 de junho de 2004, nº 2004-575) é o texto fundador do direito digital francês. Ela regula o comércio eletrônico, a responsabilidade dos provedores, a publicidade digital e impõe aos editores de sites profissionais a publicação de menções legais (razão social, capital, RCS, endereço, diretor de publicação, provedor). Complementar ao regulamento eIDAS europeu, também transpos a primeira diretiva sobre assinaturas eletrônicas para o direito francês. A LCEN continua aplicável em paralelo ao eIDAS, especialmente nas obrigações de informação pré-contratual e conservação de contratos eletrônicos superiores a 120 €.
LegalTech: O termo LegalTech (Legal Technology) designa as startups e soluções de software que aplicam tecnologia ao domínio jurídico para automatizar, acelerar ou tornar acessíveis serviços até então reservados aos profissionais do direito. A assinatura eletrônica, a desmaterialização de contratos, a due diligence por IA e a gestão documental fazem parte. Certyneo está inserida no ecossistema LegalTech europeu propondo uma assinatura conforme eIDAS simples de integrar.
LTV (Long-Term Validation): A validação a longo prazo (LTV, Long-Term Validation) é uma funcionalidade de assinaturas PDF (PAdES B-LT/B-LTA) que integra no documento assinado todos os dados necessários para verificação futura da assinatura: cadeia de certificados, carimbos de tempo, respostas OCSP ou CRL. Graças ao LTV, um documento assinado permanece verificável anos após a assinatura, mesmo que os certificados tenham expirado. Certyneo integra o LTV para garantir a validade probatória por 10 anos.

M

Mandato SEPA eletrônico (mandato de débito direto): O mandato SEPA eletrônico (e-mandato) permite a um credor coletar a autorização de débito automático de um devedor inteiramente online, em conformidade com o Regulamento UE n.º 260/2012 e as diretrizes do EPC (European Payments Council). O devedor insere seu IBAN e seu BIC, depois assina o mandato por assinatura eletrônica simples (SES); o banco do devedor pode autenticá-lo via Open Banking (DSP2/PSD2). O mandato assinado deve ser conservado 14 meses após o último débito. Um e-mandato válido contém: o identificador de credor SEPA (ICS), a referência única do mandato (RUM) e a data de assinatura. As plataformas SaaS, editoras de software e organismos de formação utilizam frequentemente Certyneo para coletar mandatos SEPA durante a subscrição online, integrando a assinatura via API REST no funil de compra.
Manuscrita (assinatura): A assinatura manuscrita é o traço gráfico feito à mão por uma pessoa ao pé de um documento em papel, reconhecível por seu traço pessoal. Ela continua sendo a referência histórica do direito civil francês (artigo 1367 do Código Civil). O regulamento eIDAS estabelece o princípio de não-discriminação: uma assinatura eletrônica, independente do seu nível, não pode ser recusada como prova pelo único motivo de ser eletrônica. Uma assinatura qualificada (QES) tem a mesma força probatória de uma assinatura manuscrita em toda a UE. As assinaturas avançadas (AES) frequentemente trazem rastreabilidade superior (trilha de auditoria com carimbo de tempo) ao seu equivalente em papel.
MFA (Autenticação Multi-Fatores): A MFA (Multi-Factor Authentication, autenticação multi-fatores em português — às vezes abreviada 2FA para two-factor authentication quando se combinam exatamente dois fatores) é um mecanismo de segurança que exige a apresentação de pelo menos duas provas de identidade pertencentes a categorias diferentes:

• Fator de conhecimento (« o que eu sei ») : senha, código PIN, resposta a uma pergunta secreta, frase-passe.
• Fator de posse (« o que eu possuo ») : telefone que recebe uma OTP por SMS ou aplicação TOTP (Google Authenticator, Authy, 1Password), YubiKey ou outra chave FIDO2, certificado em cartão inteligente.
• Fator de inerência (« o que eu sou ») : impressão digital, reconhecimento facial, voz, íris. Implementado via APIs nativas dos SOs modernos (Face ID, Touch ID, Windows Hello, Android BiometricPrompt).

MFA vs 2FA : 2FA é um subconjunto estrito da MFA — exatamente dois fatores. A MFA pode combinar dois, três ou mais fatores. A prática de grande público frequentemente confunde os dois termos; em cibersegurança B2B e jurídica, MFA é o termo genérico.

MFA e assinatura eletrônica : a assinatura eletrônica avançada (AES) exige autenticação forte do signatário, que se traduz na prática em MFA (tipicamente e-mail + OTP SMS). A assinatura qualificada (QES) impõe uma MFA reforçada — verificação de identidade com documento de identidade + fator de posse (cartão inteligente ou QSCD). O regulamento eIDAS não nomeia a MFA explicitamente mas a impõe através dos requisitos de autenticação forte.

Implementação Certyneo : MFA obrigatória para todos os acessos administrativos (TOTP via Google Authenticator ou OTP e-mail à escolha). Para os signatários, a combinação e-mail + OTP SMS é aplicada por padrão nos envelopes de nível AES. Veja também OTP e autenticação forte.

N

Nível de assinatura (simples, avançado, qualificado): O regulamento eIDAS distingue três níveis de assinatura eletrônica: a assinatura simples (SES), que exige um mínimo de identificação; a assinatura avançada (AES), que exige um vínculo único com o signatário e uma autenticação forte; e a assinatura qualificada (QES), que se baseia em um certificado qualificado e um dispositivo de criação seguro. A QES tem o mesmo valor legal que uma assinatura manuscrita em toda a UE. Compreender os níveis de assinatura →
Não-repúdio: O não-repúdio é a propriedade de uma assinatura eletrônica que torna impossível para o signatário negar ter realizado a ação (assinar, enviar, aceitar). É assegurado pela combinação da assinatura criptográfica (vínculo técnico irrefutável), da trilha de auditoria com carimbo de tempo e da autenticação forte. Uma assinatura qualificada (QES) oferece o não-repúdio mais forte reconhecido pelo direito europeu.
Norma ISO/IEC 27001 e certificação SGSI: A ISO/IEC 27001 é a norma internacional de referência para os Sistemas de Gestão de Segurança da Informação (SGSI). Ela define as exigências para estabelecer, implementar, manter e melhorar continuamente um SGSI, através de 93 controles distribuídos em 4 domínios (organizacional, humano, físico, tecnológico). Para um prestador de assinatura eletrônica, a certificação ISO 27001 demonstra um nível de maturidade de segurança alinhado com as obrigações do eIDAS e do RGPD. Frequentemente é exigida em editais públicos e questionários de segurança de fornecedores de grandes empresas. A norma ISO 27017 (segurança em nuvem) e ISO 27018 (proteção de dados pessoais na nuvem) complementam a ISO 27001 para serviços SaaS. Certyneo é hospedado em datacenters certificados ISO 27001 e mantém um SGSI documentado cobrindo toda a cadeia de processamento de assinaturas.

O

OCSP (Online Certificate Status Protocol): OCSP (Online Certificate Status Protocol, RFC 6960) é um protocolo de verificação em tempo real do status de revogação de um certificado eletrônico, mediante consulta a um respondedor OCSP explorado pela autoridade de certificação. Por que a revogação importa: um certificado pode ser válido em data mas revogado antecipadamente (comprometimento de chave, saída de um funcionário); uma assinatura ou conexão TLS deve portanto verificar o status, não apenas a expiração. OCSP face à CRL: OCSP é uma alternativa mais leve e reativa a uma CRL — em vez de baixar toda a lista de revogação, o cliente consulta um único certificado e recebe uma resposta assinada concisa (válido / revogado / desconhecido). OCSP Stapling: para evitar vazamento de privacidade e uma viagem extra de ida e volta, o servidor obtém sua própria resposta OCSP e a « agrafela » no handshake TLS, de modo que o navegador nunca contata diretamente a AC. Em documentos assinados: as respostas OCSP são integradas ao PDF no momento da assinatura para a validação a longo prazo (LTV), para que a assinatura permaneça verificável anos depois mesmo que o respondedor esteja offline.
Onboarding eletrônico (subscrição digital): O onboarding eletrônico é o processo de subscrição ou abertura de conta inteiramente desmaterializado, combinando KYC, verificação de identidade e assinatura eletrônica dos documentos contratuais (Termos de Uso, mandato SEPA, acordo de conta) em uma única sessão web ou mobile. Os setores bancário, seguros e fintech estão mais avançados: a diretiva DSP2 impõe autenticação forte (SCA) durante a abertura de conta. Um onboarding em conformidade com o regulamento eIDAS exige que a verificação de identidade remota seja de nível de confiança "substancial" ou "elevado" para atos vinculativos. As soluções combinam: OCR de documento de identidade, liveness check (vídeo ou selfie), assinatura AES ou QES, e arquivamento automático do dossiê KYC completo no cofre digital.

P

PAdES (PDF Advanced Electronic Signature): PAdES (PDF Advanced Electronic Signature, norma ETSI EN 319 142) é o padrão europeu para assinaturas digitais incorporadas em ficheiros PDF. Adotado pelo regulamento eIDAS como formato de referência para documentos europeus, PAdES é hoje implementado nativamente por todos os leitores PDF (Adobe Acrobat, Foxit, PDF.js, pdfsig). Uma assinatura PAdES é incorporada DENTRO do PDF: nenhum ficheiro desligado, nenhuma dependência de uma plataforma terceira, verificabilidade offline.

Os quatro perfis PAdES definem um nível de garantia crescente:
• PAdES B-B (Baseline-B): assinatura básica com atributos ETSI mínimos. Suficiente para usos correntes onde o valor probatório imediato é adequado.
• PAdES B-T (Baseline-T): acrescenta um carimbo de tempo qualificado RFC 3161 imediatamente após a assinatura, provando a data.
• PAdES B-LT (Baseline-Long Term): acrescenta a validação de longo prazo com cadeia de certificados e dados de revogação incorporados. Verificável mesmo após expiração do certificado original.
• PAdES B-LTA (Baseline-Long Term with Archive timestamp): acrescenta carimbos de tempo de arquivo periódicos para manter o valor probatório além de 10 anos, indispensável para documentos com conservação muito longa (imobiliário, patentes).

Implementação Certyneo: todos os PDFs assinados são produzidos em PAdES B-LT por padrão, ou seja, o perfil recomendado para a maioria dos usos B2B. O perfil B-LTA é ativável no plano Business para contratos com conservação superior a 10 anos. Verificabilidade garantida no Adobe Acrobat Reader sem plug-in.

PAdES vs outros formatos: ver XAdES (para XML), comparativo PAdES / XAdES / CAdES.
Protocolo eletrônico: O protocolo eletrônico é o equivalente digital do protocolo físico utilizado em administrações e grandes empresas: centraliza os documentos aguardando visto ou assinatura por um decisor. Historicamente reservado ao setor público (ADULLACT, Pastell de Libriciel), o protocolo eletrônico se expandiu para empresas com soluções integradas a GED (Documentum, SharePoint, Alfresco). Um protocolo eletrônico gerencia: a lista de correspondência de entrada, as delegações de assinatura (ver delegação), os circuitos de validação em múltiplos níveis (fluxo de aprovação) e a apposição da assinatura eletrônica qualificada do signatário autorizado. A principal diferença com uma ferramenta simples de assinatura é a gestão das caixas (documentos pendentes, assinados, rejeitados, arquivados) e o registro de passagem para cada documento. Certyneo oferece um protocolo integrado acessível via painel de controle ou API.
PDF/A (arquivo de longo prazo): PDF/A é uma versão normalizada ISO do formato PDF (ISO 19005) especialmente concebida para arquivo de longo prazo. Integra todas as fontes, imagens e recursos no ficheiro, proíbe a criptografia e os conteúdos dependentes de um ambiente externo. Isto garante que o documento permanece legível em 30 anos sem dependência de software. Para o arquivo eletrônico com valor probatório, combinar PDF/A com PAdES B-LTA é a prática recomendada.
PIPEDA (Lei sobre a proteção de informações pessoais e documentos eletrônicos, Canadá): O PIPEDA (Personal Information Protection and Electronic Documents Act, em português : Lei sobre a proteção de renseignements pessoais e documentos eletrônicos) é a lei federal canadense sobre a proteção de dados pessoais no setor privado (L.C. 2000, cap. 5). Encadra a coleta, o uso e a divulgação de informações pessoais em atividades comerciais interprovinciais e internacionais. Seu equivalente canadense do RGPD europeu, embora menos rigoroso em alguns pontos (consentimento implícito às vezes admitido, sanções financeiras menores).

Os 10 princípios do PIPEDA (derivados da Canadian Standards Association CAN/CSA-Q830) :
1. Responsabilidade — designar um responsável pela proteção de dados pessoais.
2. Determinação das finalidades — anunciar claramente a finalidade da coleta.
3. Consentimento — obter consentimento informado.
4. Limitação da coleta — coletar apenas o necessário.
5. Limitação do uso — usar apenas para as finalidades anunciadas.
6. Exatidão — manter os dados atualizados.
7. Medidas de segurança — proteção técnica e organizacional adequada.
8. Transparência — política de privacidade pública.
9. Acesso aos dados pessoais — direito de acesso e retificação.
10. Possibilidade de apresentar reclamação — ao Comissariado de Proteção da Vida Privada do Canadá.

PIPEDA e assinatura eletrônica : a assinatura eletrônica envolve o processamento de dados pessoais (nome, endereço de e-mail, número de telefone, IP, metadados de sessão, registro de auditoria). O PIPEDA exige :
• consentimento informado do signatário antes da coleta ;
• conservação segura (criptografia em repouso, acesso restrito) ;
• duração de conservação proporcional à finalidade (10 anos para contratos comerciais é geralmente aceito) ;
• direito de acesso, retificação e exclusão mediante solicitação do signatário ;
• notificação obrigatória em caso de violação apresentando risco real de dano grave (desde 2018).

Lei 25 do Québec : a província do Québec dispõe de sua própria lei (Lei 25 / Lei que moderniza as disposições sobre a proteção de dados pessoais, em vigor 2022-2024) que prevalece sobre o PIPEDA para atividades intra-quebequenses. A Lei 25 é mais rigorosa que o PIPEDA — alinhada ao RGPD europeu na maioria dos pontos : consentimento explícito obrigatório, designação de responsável pela proteção de dados pessoais, avaliações de impacto (AIPD), sanções até 4% do faturamento global.

PIPEDA vs RGPD : a Comissão Europeia reconhece o PIPEDA como oferecendo um nível de proteção « adequado » no sentido do artigo 45 do RGPD (decisão 2002/2/CE confirmada 2024). As transferências de dados pessoais da UE para o Canadá são, portanto, autorizadas sem formalidades adicionais. Para organizações canadenses operando na UE, o RGPD permanece aplicável aos dados de residentes europeus (extraterritorialidade, artigo 3).

Implementação Certyneo : conformidade PIPEDA + Lei 25 + RGPD assegurada por nossa arquitetura de proteção de dados — hospedagem soberana UE (IONOS Alemanha), criptografia TLS 1.3 em trânsito + AES-256 em repouso, registro de acessos, direito ao apagamento completo em 30 dias, subcontratados conformes. As transferências para o Canadá (raras — apenas contas hospedadas sob demanda no Canadá) são encadradas pelas cláusulas contratuais-tipo RGPD-PIPEDA.
Trilha de auditoria: A trilha de auditoria (ou audit trail) é o registro datado de todas as ações realizadas num documento: envio, abertura, consulta, inserção de OTP, assinatura, recusa, expiração. Constitui a principal prova de valor probatório em caso de litígio, demonstrando que o processo de assinatura foi realizado conforme as regras. Na Certyneo, a trilha de auditoria é integrada no PDF final e armazenada na nossa base de dados por 10 anos. Entender a trilha de auditoria em detalhe →
PKI (Infraestrutura de Chave Pública): Uma PKI (Public Key Infrastructure) é o conjunto dos componentes materiais, lógicos, procedimentos e políticas que permitem emitir, gerir e revogar certificados eletrônicos. Baseia-se na criptografia assimétrica: uma chave privada (secreta) serve para assinar, uma chave pública (difundida no certificado) permite a qualquer pessoa verificar a assinatura. Os prestadores qualificados operam PKIs conformes aos padrões ETSI.
Portabilidade de dados (RGPD Art. 20): O artigo 20 do RGPD confere aos titulares de dados o direito de obter seus dados pessoais em um formato estruturado, comumente utilizado e legível por máquina, e transmiti-los a outro responsável pelo tratamento. Para os usuários de uma plataforma de assinatura eletrônica, esse direito cobre: os documentos assinados e seus trilhos de auditoria, os metadados de conta e os registros de atividade. A portabilidade impõe ao prestador fornecer uma exportação padronizada (JSON, CSV, ZIP) dentro de um mês. Por outro lado, o direito ao apagamento (Art. 17) pode ser limitado por obrigações de retenção legal (arquivamento probatório 5–10 anos) — documentos assinados não podem ser apagados enquanto o prazo legal não tenha expirado. Certyneo implementa a exportação integral da conta via espaço do cliente e suporta a migração de arquivos para um cofre de terceiros.
Prestador de Serviços de Confiança (PSC / TSP): Um prestador de serviços de confiança (PSC ou TSP em inglês) é uma entidade que fornece serviços de carimbo de tempo, emissão de certificados, assinatura ou arquivo no sentido do regulamento eIDAS. Um PSC qualificado é submetido a auditorias regulares e figura na lista de confiança nacional (em França: lista ANSSI). A qualificação garante o mais alto nível de garantia reconhecido na UE. Ver as obrigações dos prestadores →

Q

QES (Assinatura Eletrônica Qualificada): A assinatura eletrônica qualificada (QES, Qualified Electronic Signature) é o nível mais elevado definido pelo regulamento eIDAS. É juridicamente equivalente a uma assinatura manuscrita em toda a União Europeia. Sua emissão exige: uma verificação de identidade prévia, um certificado qualificado emitido por um QTSP, e o uso de um dispositivo de criação segura (QSCD). É requerida para atos notariais eletrônicos, certos contratos públicos e procedimentos administrativos sensíveis.
QSCD (Dispositivo de Criação de Assinatura Qualificada): Um QSCD (Qualified Signature Creation Device) é um dispositivo material ou lógico que responde aos requisitos estritos do anexo II de eIDAS para criação de assinaturas qualificadas (QES). Garante que a chave privada de assinatura é gerada no dispositivo, nunca sai em claro, e só pode ser usada pelo titular legítimo. Os HSM certificados e os cartões inteligentes são as formas comuns de QSCD. A assinatura em nuvem usa QSCD virtuais alojados em HSM certificados.
QTSP (Qualified Trust Service Provider): Um QTSP (Qualified Trust Service Provider, ou Prestador de Serviços de Confiança Qualificado) é um PSC que foi auditado e inscrito na lista de confiança de um Estado-membro da UE no título do regulamento eIDAS. A qualificação é o mais alto nível de reconhecimento europeu: é obrigatória para emitir certificados qualificados, carimbos de tempo qualificados, ou assinaturas qualificadas (QES). Em França, a ANSSI mantém a lista oficial (docaposte, Universign/Oodrive, CertEurope…). A Certyneo interage com vários QTSP para desencadear QES quando o nível qualificado é requerido (contratos públicos, atos notariais, certos procedimentos sociais).

R

Relançamento automático: O relançamento automático é a funcionalidade de uma plataforma de assinatura eletrônica que envia automaticamente lembretes por email ou SMS aos signatários que ainda não assinaram, conforme uma frequência configurável. Reduz o abandono de assinatura e acelera a conclusão dos workflows. Na Certyneo, os relançamentos são configuráveis por envelope (frequência, conteúdo da mensagem) e todas as ações são rastreadas na trilha de auditoria.
RGPD: O RGPD (Regulamento Geral sobre a Proteção de Dados, regulamento UE 2016/679) enquadra a recolha, o tratamento e a conservação de dados pessoais na UE. No contexto da assinatura eletrônica, impõe nomeadamente minimizar os dados recolhidos sobre os signatários, definir um período de conservação e assegurar o direito ao apagamento. A Certyneo está em conformidade com o RGPD com alojamento na UE (Alemanha) e registo de tratamentos disponível. Ver a nossa página de segurança →
ROI da assinatura eletrônica: O ROI (retorno sobre investimento) da assinatura eletrônica é medido em quatro elementos: (1) redução do ciclo de assinatura — de 5-10 dias (correio/digitalização) para menos de 1 hora em média, (2) economias diretas — impressão, postagem, arquivamento físico (estimadas entre 15 e 30 € por envelope), (3) redução da taxa de abandono — contratos aguardando assinatura em papel têm uma taxa de abandono 3× mais elevada, (4) conformidade — multas do RGPD por armazenamento inadequado de contratos em papel podem exceder o custo anual de uma ferramenta SaaS. A transição para zero papier normalmente se amortiza entre 3 e 6 meses para PMEs que processam mais de 50 contratos por mês.

S

SES (Assinatura Eletrônica Simples): A assinatura eletrônica simples (SES, Simple Electronic Signature) é o nível básico definido pelo regulamento eIDAS. Não requer nenhuma exigência técnica específica: um clique "Aceito", uma imagem de assinatura ou uma assinatura por email a satisfazem. Sua valor probante é presumido mas pode ser contestado se o signatário negar seu ato. É apropriada para documentos com baixo risco jurídico (orçamentos, relatórios internos, acordos de princípio). Para questões importantes, privilegiar o nível AES ou QES.
Signatário: Le signataire est la personne physique qui appose sa signature électronique sur un document et s'engage juridiquement sur son contenu — à distinguer de l'expéditeur, qui prépare et envoie le document, et d'une personne morale, qui « signe » via un cachet électronique.

Qui peut être signataire ? Toute personne physique juridiquement capable : un particulier majeur pour ses propres engagements, ou un représentant habilité pour une entreprise — dirigeant, salarié muni d'une délégation de signature, mandataire. Vérifier l'habilitation du signataire est un point de contrôle essentiel : un contrat signé par une personne non habilitée peut être contesté.

Signataire, cosignataire, approbateur : le cosignataire est un signataire supplémentaire du même document (co-signature), engagé au même titre ; l'approbateur, lui, valide le document dans un flux d'approbation sans apposer de signature juridiquement engageante. L'ordre des signataires peut être séquentiel (chacun signe à son tour, avec relances automatiques) ou parallèle (tous en même temps) — c'est le workflow de signature.

Comment l'identité du signataire est-elle vérifiée ? Selon le niveau de signature : en signature simple (SES), par le lien email unique ; en signature avancée (signature avancée), par authentification forte — code OTP email + SMS ; en signature qualifiée (QES), par vérification de la pièce d'identité auprès d'un prestataire de confiance qualifié.

Sur Certyneo : le signataire reçoit un lien unique par email, visualise le document, s'authentifie et signe depuis son mobile ou son ordinateur, sans créer de compte. Chacune de ses actions (ouverture, OTP, signature, refus) est horodatée et consignée dans la piste d'audit jointe au PDF signé — c'est elle qui relie juridiquement le document au signataire. Comprendre les niveaux de signature →
Assinatura avançada (AES / eIDAS nível 2): La signature avancée (Advanced Electronic Signature — AES) est le deuxième des trois niveaux de signature électronique définis par le règlement eIDAS (UE) n°910/2014, entre la signature simple (SES) et la signature qualifiée (QES). C'est le niveau recommandé pour la grande majorité des documents contractuels à enjeu.

Les quatre exigences de l'article 26 eIDAS :
• Lien univoque au signataire : la signature ne peut être attribuée qu'à une seule personne — assuré par le canal d'identification (email nominatif, mobile personnel).
• Identification du signataire : le procédé permet de retrouver qui a signé — état civil déclaré, adresse email, numéro de mobile vérifiés par code OTP.
• Contrôle exclusif : les données de création de signature sont sous le contrôle du seul signataire — matérialisé par l'authentification forte au moment de signer.
• Intégrité : toute modification ultérieure du document est détectable — garanti par le scellement cryptographique (hachage + PAdES).

AES vs SES vs QES : la SES n'exige aucune vérification renforcée (case à cocher, signature dessinée) — suffisante pour les documents du quotidien ; l'AES ajoute l'authentification forte et la preuve d'intégrité — adaptée aux contrats de travail, mandats, baux, dossiers bancaires et d'assurance ; la QES ajoute un certificat qualifié délivré après vérification d'identité et un dispositif certifié (QSCD) — c'est l'équivalent légal de la signature manuscrite dans toute l'UE, requis pour les actes les plus sensibles.

Valeur juridique : l'article 25 d'eIDAS interdit de refuser un effet juridique à une signature au seul motif qu'elle est électronique, et l'article 1367 du Code civil la reconnaît dès lors qu'un procédé fiable identifie le signataire et garantit l'intégrité de l'acte. En cas de litige, la fiabilité de l'AES se démontre par le faisceau de preuves : piste d'audit horodatée, codes OTP consignés, empreinte du document, horodatage. La QES bénéficie en plus d'une présomption de fiabilité (charge de la preuve inversée).

Quand l'AES suffit-elle ? Contrats de travail et avenants, contrats commerciaux, devis et bons de commande, mandats (vente, gestion locative, SEPA), baux, dossiers KYC et crédit : l'AES est le standard du marché. Passez à la QES pour les actes authentiques, certains marchés publics, la cession de fonds de commerce, ou lorsqu'un texte l'exige.

Sur Certyneo : l'AES est disponible sur tous les plans payants — le signataire est authentifié par double OTP email + SMS, le PDF signé est scellé au format PAdES avec horodatage, et la piste d'audit complète est jointe au document. La QES est disponible à l'acte, sans abonnement dédié. Comprendre les trois niveaux eIDAS → · Le règlement eIDAS en détail →
Assinatura biométrica: A assinatura biométrica é uma forma de assinatura eletrónica que captura, além da imagem do traço manuscrito, dados comportamentais dinâmicos: pressão da caneta, velocidade, ângulo de inclinação, aceleração. Estes parâmetros criam uma impressão única difícil de imitar. Oferece uma autenticação mais robusta do que uma simples imagem de assinatura. Os dados biométricos são considerados sensíveis pelo RGPD e requerem consentimento explícito. Isoladamente, a biometria não é suficiente para atingir o nível AES eIDAS; deve ser combinada com uma autenticação forte.
Assinatura em nuvem: A assinatura em nuvem é uma assinatura eletrônica na qual a chave privada do signatário é gerada, armazenada e gerenciada por um prestador de confiança na nuvem, em vez de em um dispositivo local (pendrive, cartão inteligente). Essa abordagem simplifica a experiência do usuário e permite a assinatura qualificada (QES) a partir de um simples navegador. As chaves são protegidas em um HSM certificado operado por um QTSP.
Assinatura eletrônica: A assinatura eletrônica é um mecanismo que permite apor em um documento digital uma prova de identidade e consentimento equivalente a uma assinatura manuscrita. No sentido do regulamento eIDAS, ela agrupa três níveis de confiança: simples (SES), avançada (AES) e qualificada (QES). Ao contrário da assinatura numérica, a assinatura eletrônica é um conceito jurídico que pode se basear em diferentes tecnologias. Descubra nosso guia completo →
Assinatura móvel: A assinatura móvel designa a capacidade de assinar um documento eletronicamente a partir de um smartphone ou tablet, sem aplicação nativa — via navegador web. O signatário recebe um link por email ou SMS, visualiza o documento em seu navegador móvel, parafeia e assina com um gesto tátil ou digitando seu nome completo (conforme o nível necessário), depois valida via OTP SMS. Na Certyneo, a interface de assinatura é 100% responsiva: identidade verificada, audit trail gerado e PDF cossinado transmitido ao destinatário em menos de 60 segundos em rede móvel 4G. Nenhuma instalação necessária para o signatário.
Assinatura numérica: A assinatura numérica é uma implementação técnica da assinatura eletrônica baseada em criptografia assimétrica. Consiste em criptografar o hash de um documento com a chave privada do signatário, produzindo uma impressão verificável por qualquer pessoa que disponha da chave pública correspondente (contida no certificado). Garante tanto a identidade do signatário quanto a integridade do documento.
Smart contract e automação contratual: Um smart contract (contrato inteligente) é um programa auto-executável implementado em uma blockchain, cujos termos são codificados diretamente no código de computador e se executam automaticamente quando as condições predefinidas são atendidas. Embora populares no ecossistema Ethereum (Solidity), os smart contracts não constituem um contrato eletrônico no sentido do direito civil francês: sua execução é automática, mas sua oponibilidade jurídica permanece condicionada à prova de um acordo de vontade válido. Na prática B2B, a combinação mais robusta é: assinatura eletrônica qualificada do contrato-marco (prova legal certa) + smart contract para execução automática das cláusulas financeiras (pagamentos, penalidades). A notarização blockchain do hash do contrato assinado constitui uma terceira camada de prova complementar.
Solde de tout compte: Le solde de tout compte fait l'inventaire des sommes versées au salarié lors de la rupture de son contrat de travail (salaire, indemnités, congés payés…). Régi par l'article L1234-20 du Code du travail, il est établi en double exemplaire et son reçu peut être signé par le salarié. Une fois signé, le salarié dispose d'un délai de six mois pour le dénoncer. La signature électronique sécurise sa remise et en horodate la date. Documents de fin de contrat →
Suite criptográfica (cipher suite): Uma suite criptográfica é uma combinação nomeada de algoritmos criptográficos (troca de chaves, autenticação, criptografia simétrica, MAC/HMAC) negociada entre o cliente e o servidor durante o handshake TLS. TLS 1.3 impõe suites modernas como TLS_AES_256_GCM_SHA384, eliminando algoritmos fracos (RC4, 3DES, MD5). Certyneo aceita apenas suites TLS 1.3 para maximizar a segurança das sessões de assinatura.

T

Terceiro de confiança: Um terceiro de confiança é um ator neutro e independente cuja missão é garantir uma troca entre duas partes: na assinatura eletrônica, ele atesta a identidade dos signatários, sela o documento, coloca data e hora nas ações e conserva as provas. Historicamente, os notários desempenhavam esse papel para atos em papel. Em digital, o terceiro de confiança é formalizado pelo regulamento eIDAS na forma dos prestadores de serviços de confiança (PSC/TSP) e sua versão qualificada (QTSP). A Certyneo atua como terceiro de confiança emitindo assinaturas avançadas (AES) e pode delegar a um QTSP parceiro para emitir assinaturas qualificadas (QES).
TLS (Transport Layer Security): TLS (Transport Layer Security) é o protocolo criptográfico que assegura as comunicações na Internet, sucedendo SSL. Garante a confidencialidade (criptografia), a integridade e a autenticação do servidor (através de seu certificado). TLS 1.3, a versão atual, impõe suites criptográficas modernas e um handshake em uma única volta. O cadeado no navegador sinaliza que uma conexão TLS está ativa. A Certyneo impõe TLS 1.3 mínimo em todos os seus endpoints.
Trusted List (lista de confiança UE): A Trusted List (lista de confiança) é a lista oficial publicada por cada Estado-membro da UE e supervisionada pela Comissão Europeia, listando os prestadores de serviços de confiança qualificados (QTSP) e seus serviços (certificados qualificados, carimbos de data/hora, etc.). Na França, a lista é mantida pela ANSSI. É a prova de legitimidade de um QTSP no âmbito do regulamento eIDAS. Apenas os serviços listados gozam da presunção legal de conformidade eIDAS.
TSA (Timestamp Authority / Autoridade de Carimbo de Tempo): Uma TSA (Timestamp Authority) é um terceiro de confiança acreditado que emite tokens de carimbo de tempo em conformidade com RFC 3161 (Internet X.509 PKI Time-Stamp Protocol). O processo: o cliente calcula a impressão digital (hash) do documento e a envia à TSA via HTTPS; a TSA assina criptograficamente um token contendo esse hash + o tempo UTC de recebimento certificado. Esse token prova que o documento existia nesse estado exato nessa data precisa, sem que a TSA jamais tenha tido acesso ao documento em si. Uma TSA qualificada (QTSA) consta da lista de confiança UE produz um carimbo qualificado eIDAS, a forma mais probante. Em PAdES-LT e PAdES-LTA, os tokens TSA são incorporados no PDF, garantindo a verificabilidade offline em 20 anos mesmo se a TSA original tiver desaparecido.

U

UETA (Uniform Electronic Transactions Act): UETA (Uniform Electronic Transactions Act, 1999) é a lei-modelo americana que reconhece o valor probante das assinaturas eletrônicas em 47 dos 50 Estados. Complementada pelo ESIGN Act (2000) em nível federal, ela estabelece que contratos e assinaturas "não podem ser declarados inválidos apenas porque estão em forma eletrônica". É o equivalente funcional americano do regulamento eIDAS europeu, com uma abordagem mais liberal: UETA não define níveis (SES/AES/QES) e não prevê um equivalente qualificado. Para contratos transatlânticos, uma assinatura avançada (AES) eIDAS é geralmente reconhecida como conforme UETA/ESIGN, enquanto o inverso não é automático.

V

Valor probatório (assinatura eletrônica): O valor probatório é a capacidade de um documento eletrônico ser aceito como prova perante um tribunal da mesma forma que um documento em papel. É a noção jurídica central que determina se um contrato assinado eletronicamente pode ser oposto ao seu cliente, colaborador ou fornecedor em caso de litígio.

Fundamento legal na França : a lei de 13 de março de 2000 introduziu no Código Civil o artigo 1366 que estabelece um princípio de equivalência entre o escrito em papel e o escrito eletrônico, desde que (1) a pessoa cuja assinatura emana do escrito possa ser devidamente identificada, e (2) o documento seja estabelecido e conservado em condições que garantam sua integridade. O artigo 1367 especifica que a assinatura eletrônica em conformidade com o regulamento europeu eIDAS beneficia dessa equivalência.

As quatro condições cumulativas para que um documento assinado eletronicamente tenha valor probatório :
• Identificação do signatário : a autenticação permitiu remontar a uma pessoa física nomeadamente identificada ? Mecanismos : OTP SMS para AES, videoidentificação + KBIS para QES.
• Integridade do documento : o conteúdo não foi modificado desde a assinatura ? Garantida pelo hashing criptográfico incorporado na assinatura.
• Confiabilidade do processo : o prestador de assinatura aplica as boas práticas (criptografia, gestão de chaves via HSM, rastreabilidade) ? Um prestador qualificado (QTSP) figurando na lista de confiança europeia oferece a garantia mais forte.
• Rastreabilidade : existe um registro de auditoria com data/hora e oponível (quem assinou, quando, de qual IP, após qual autenticação) ?

Presunção legal : eIDAS estabelece uma presunção de integridade e origem para assinaturas avançadas (AES) e qualificadas (QES). Na prática, isso inverte o ônus da prova : cabe a quem contesta a assinatura provar que é inválida, e não ao signatário provar que é válida. Uma assinatura qualificada beneficia ainda de uma equivalência de pleno direito com a assinatura manuscrita (Código Civil art. 1367 al. 2).

Duração do valor probatório : um documento assinado mantém seu valor probatório desde que o arquivamento respeite as condições (integridade, durabilidade, rastreabilidade). Para contratos com conservação > 5 anos, o perfil PAdES B-LTA com carimbos de tempo de arquivamento periódicos permite prolongar o valor probatório além da expiração dos certificados originais. Veja também não-repúdio e LTV.
Verificação antivírus de documentos enviados: Antes que um documento seja integrado em um fluxo de assinatura, toda plataforma responsável deve submetê-lo a uma análise antivírus (AV). As ameaças direcionadas a PDFs incluem: macros incorporadas, JavaScript malicioso (AcroForms), exploits de analisador PDF (CVE-2019-12657, etc.). As soluções de verificação em nuvem (ClamAV open-source, OPSWAT MetaDefender, API VirusTotal) analisam o arquivo em milissegundos. As exigências de conformidade ISO 27001 e SOC 2 Type II impõem análise AV de todo documento entrante. Um documento infectado em um fluxo de assinatura é particularmente arriscado pois é enviado a todos os signatários, amplificando o vetor de ataque. A verificação AV deve ser feita antes do registro em banco de dados, não depois. Certyneo analisa cada documento enviado via ClamAV (daemon in-process) e bloqueia arquivos suspeitos com mensagem de erro explícita, nunca os propagando ao fluxo.
Verificação de identidade (identity proofing): A verificação de identidade (identity proofing) é o processo de controle da identidade real de uma pessoa antes de lhe fornecer identificadores ou autorizá-la a assinar. Vai desde a simples coleta de um endereço de email (nível simples) até à verificação biométrica de documento de identidade por vídeo (KYC vídeo, nível qualificado). É obrigatória para emitir um certificado qualificado e desencadear uma assinatura qualificada (QES).
Visto eletrônico (rubrica): O visto eletrônico (ou rubrica eletrônica) é uma ação de validação intermediária aposta em um documento por um aprovador antes da assinatura final. Indica que um leitor tomou conhecimento do documento e o aprova sem, no entanto, assiná-lo de forma juridicamente vinculante. Na Certyneo, os fluxos multi-atores permitem combinar etapas de visto (validação interna) e etapas de assinatura (comprometimento jurídico externo), garantindo uma rastreabilidade completa do circuito de validação.

W

Webhook: Um webhook é um mecanismo de API que permite ao Certyneo enviar automaticamente uma notificação HTTP para a aplicação do cliente quando um evento ocorre (documento assinado, recusado, expirado, registro de auditoria gerado). Diferentemente do polling, o webhook funciona em modo push : o cliente não precisa consultar a API regularmente. Permite integrar Certyneo em sistemas terceiros (CRM, ERP, SIRH) para disparar ações de negócio em tempo real assim que a conclusão de um fluxo de assinatura.
Fluxo de assinatura: O fluxo de assinatura é o processo organizado que define a ordem, as condições e os atores envolvidos na assinatura de um documento. Pode ser sequencial (cada signatário assina após o anterior), paralelo (todos assinam simultaneamente) ou misto. No Certyneo, o fluxo inclui a gestão de lembretes automáticos, prazos de expiração e envelopes multi-documentos.

X

XAdES (XML Advanced Electronic Signature): XAdES (XML Advanced Electronic Signatures, norma ETSI EN 319 132) é o padrão europeu para assinaturas digitais aplicadas a documentos XML. Adotado pelo regulamento eIDAS, XAdES é o formato de referência para assinar arquivos XML estruturados: faturas eletrônicas (Factur-X, PEPPOL), borderôs EDI, declarações administrativas, dados de mercado, transcrições SEPA.

Quatro perfis XAdES de maturidade crescente, alinhados com PAdES e CAdES:
• XAdES B-B: assinatura XML básica com atributos ETSI mínimos. Caso de uso: assinatura pontual de uma amostra XML sem restrição de data.
• XAdES B-T: adiciona um carimbo de tempo qualificado RFC 3161. Padrão para faturas eletrônicas e fluxos EDI onde a data de emissão deve ser comprovada.
• XAdES B-LT: validação de longo prazo com cadeia de certificados e dados de revogação incorporados. Permanece verificável após a expiração do certificado original.
• XAdES B-LTA: carimbos de tempo de arquivamento periódicos para manter o valor probante por 10+ anos. Indispensável para arquivos fiscais e registros regulamentados.

XAdES vs PAdES: escolha XAdES para assinar um documento XML nativo (fatura Factur-X, borderô PEPPOL, intercâmbio EDI). Escolha PAdES para assinar um PDF (contratos, orçamentos, documentos de RH). Ambos os formatos são juridicamente equivalentes — a diferença é técnica: o formato adequado ao tipo de documento.

Variantes XAdES: XAdES envolvente (o documento XML é incluído na estrutura de assinatura), XAdES envelopada (a assinatura é adicionada ao documento), XAdES destacada (assinatura armazenada em um arquivo separado). Certyneo gerencia as três variantes via API REST. Veja o comparativo PAdES / XAdES / CAdES.
XAdES / PAdES / CAdES: XAdES, PAdES e CAdES são os três formatos padrão de assinatura digital definidos pela ETSI para o regulamento eIDAS. XAdES (XML Advanced Electronic Signatures, EN 319 132) assina documentos XML, PAdES (PDF, EN 319 142) incorpora o token de assinatura diretamente no PDF — é o formato usado pela Certyneo para produzir arquivos verificáveis offline no Acrobat Reader. CAdES (CMS, EN 319 122) se aplica a fluxos binários arbitrários. Cada formato se desdobra em perfis (B-B, B-T, B-LT, B-LTA) oferecendo garantias crescentes: validade no tempo, carimbo de tempo qualificado, prova de arquivamento a longo prazo.

Y

YubiKey (chave de segurança física): Uma YubiKey é uma chave de segurança física (USB/NFC) projetada pela Yubico que armazena segredos criptográficos não-extraíveis e suporta os protocolos FIDO2/WebAuthn, OpenPGP e PIV. No contexto de uma assinatura qualificada (QES), uma YubiKey (ou dispositivo equivalente em conformidade com o Anexo II do eIDAS) pode servir como Dispositivo de Criação de Assinatura Qualificada (QSCD): a chave privada associada ao certificado qualificado nunca sai do hardware, o que garante o mais alto nível de garantia sobre a identidade do signatário. Em uma conta de administração da Certyneo, uma YubiKey também pode proteger o acesso de administrador via MFA física.

Z

Zero papier: O « zero papier » (ou paperless) é a abordagem consistente em substituir integralmente os fluxos documentários em papel por equivalentes digitais assinados. Além do ganho operacional (ciclo de assinatura dividido por 5 a 20 em média), o zero papier reduz a pegada de carbono relacionada à impressão, postagem e arquivamento físico. A assinatura eletrônica, associada ao arquivamento eletrônico com valor probante (mínimo 10 anos para contratos comerciais), é o pré-requisito técnico da transição. A desmaterialização descreve o movimento, o zero papier é seu objetivo final.
Zero Trust (segurança de confiança zero): O modelo Zero Trust (confiança zero) é uma arquitetura de segurança baseada no princípio "Nunca confie, sempre verifique" — diferentemente do modelo de perímetro clássico que confia em tudo dentro da rede corporativa. Seus pilares são: verificação contínua de identidade (MFA a cada acesso), privilégio mínimo (acesso estritamente limitado à necessidade operacional), micro-segmentação (isolamento de serviços), inspeção de tráfego (incluindo interno) e monitoramento em tempo real. Em um contexto de assinatura eletrônica, o Zero Trust se aplica em vários níveis: acesso ao HSM (nenhuma chave privada acessível sem autenticação forte do operador), acesso aos envelopes (controle baseado na identidade do signatário, não apenas no link) e acesso administrativo (sessões efêmeras com revogação automática). O framework NIST SP 800-207 e o guia ANSSI "Recomendações sobre Zero Trust" (2021) formalizam as exigências na França.

Aprofundar com nossos guias

Estes guias aprofundam os conceitos-chave do glossário com exemplos práticos e casos de uso.

Comunidade Certyneo

Uma pergunta sobre assinatura eletrônica?

Junte-se à comunidade Certyneo: faça suas perguntas, compartilhe suas respostas e interaja com milhares de usuários e nossa equipe.

Pronto para colocar esses conceitos em prática?

Certyneo permite que você crie envelopes de assinatura em conformidade com eIDAS em poucos cliques, sem instalação.

Experimente gratuitamente Ver preços