Segurança e conformidade
A confiança é o centro da Certyneo. Esta página descreve exatamente o que está em vigor hoje em nossa infraestrutura e aplicação.
Atualizado em .
Em conformidade com eIDAS — SES, AES, QES
Os três níveis de assinatura eIDAS estão disponíveis: simples (SES), avançada (AES com OTP SMS) e qualificada (QES, por ato 14,90 €/assinatura) — todos em conformidade com o regulamento (UE) n.º 910/2014.
Criptografia TLS 1.3
Todas as comunicações entre cliente e servidor são protegidas por TLS 1.3 através de nosso proxy reverso (certificados Let's Encrypt renovados automaticamente).
Hospedagem (UE)
A aplicação, banco de dados PostgreSQL e armazenamento de objetos estão hospedados em nossa infraestrutura (IONOS), dentro da União Europeia.
Trilha de auditoria de assinaturas
Cada ação (abertura, OTP, assinatura, recusa, expiração) é registrada com data e hora e armazenada. Um rodapé de auditoria é integrado ao PDF assinado.
Autenticação do signatário
Para o nível avançado (AES): OTP SMS enviado para o telemóvel do signatário — um canal distinto do e-mail que carrega o link de assinatura. Para a conexão do remetente: e-mail + palavra-passe, Google, Microsoft Entra.
RGPD
Conformidade com o Regulamento Geral de Proteção de Dados: direito de acesso, retificação e exclusão, registro de processamento.
Conformidades regulatórias
Certyneo está em conformidade com os regulamentos europeus aplicáveis a assinatura eletrônica e proteção de dados.
eIDAS
Assinaturas SES, AES e QES
Assinatura eletrónica simples (SES) por defeito, assinatura eletrónica avançada (AES) com OTP SMS para um valor probatório reforçado, e assinatura qualificada (QES) — equivalente legal de uma assinatura manuscrita em toda a UE, faturada por ato 14,90 €/assinatura em todos os planos, incluindo Gratuito. Todos os níveis em conformidade com o regulamento (UE) n.º 910/2014.
RGPD
Proteção de dados
Conformidade com o regulamento (UE) 2016/679. Dados hospedados na União Europeia, período de retenção documentado, registro de processamento e DPA disponível sob solicitação.
Nossas práticas de segurança
Aqui estão as medidas concretas implantadas em produção.
- Criptografia TLS 1.3 para todas as comunicações HTTP (Caddy 2, Let's Encrypt)
- Encriptação AES-256 para dados em repouso (documentos e base de dados), alojados na União Europeia
- Hash scrypt (com salt e comparação timing-safe) para senhas de usuário
- Tokens de verificação de email e reset de senha de uso único, expiração em 1h
- OTP (SMS OTP) para assinatura avançada, validade curta, uso único
- Rate limiting aplicativo (Redis) por plano nos endpoints sensíveis
- Armazenamento de objetos compatível com S3 com versionamento ativado nos documentos
- Log de auditoria com data e hora de cada etapa do ciclo de vida de um envelope
Pronto para assinar com segurança?
5 envelopes/mês durante 14 dias, depois 2/mês, sem cartão bancário. Conformidade eIDAS e RGPD incluídas.
Roteiro de Segurança
Nossas próximas etapas para fortalecer a confiança e a conformidade.
- Q4 2026
Auditoria ISO 27001
PlanejadoAuditoria de certificação ISO 27001 planejada com um organismo acreditado.
- 2027
SOC 2 Type II
PlanejadoRelatório SOC 2 Type II cobrindo segurança, disponibilidade e confidencialidade.
Início de sessão único (SSO)
Ligue o fornecedor de identidade da sua empresa (Okta, Azure AD, Google Workspace) e deixe a sua equipa iniciar sessão com as credenciais já existentes.
Guia de configuração do SSO com OktaDivulgação Responsável
Descobriu uma vulnerabilidade? Agradecemos que nos contacte de forma responsável antes de qualquer divulgação pública. Confirmamos o recebimento em até 48 horas úteis.
security@certyneo.comAcordo de Processamento de Dados
Nosso DPA detalha as obrigações da Certyneo como processador de dados nos termos do RGPD, incluindo medidas técnicas e organizacionais.
Consulte o DPAVer a lista de subcontratadosPerguntas Frequentes sobre Segurança da Certyneo
- Onde os dados da Certyneo são hospedados?
- Todos os dados estão alojados na União Europeia, na nossa própria infraestrutura (IONOS). Nenhuma replicação ou subcontratação para servidores fora da UE é efectuada.
- A Certyneo está sujeita ao Cloud Act americano?
- Não. Certyneo é uma entidade francesa (SAS sob lei francesa), não sujeita à extraterritorialidade do Cloud Act americano. Ao contrário de DocuSign, Adobe Sign ou Dropbox Sign (empresas americanas), as autoridades americanas não podem obrigar a Certyneo a divulgar seus dados.
- A Certyneo está em conformidade com o RGPD?
- Sim. Certyneo está em conformidade com o RGPD: hospedagem na UE, criptografia TLS 1.3 em trânsito e AES-256 em repouso, DPA disponível (artigo 28 do RGPD), período de retenção limitado e documentado, direitos de acesso e exclusão respeitados.
- Como os documentos assinados são protegidos contra falsificação?
- Cada documento assinado é protegido por um selo criptográfico (hash SHA-256) inscrito em um registro de auditoria com data e hora. Qualquer alteração do documento após assinatura invalida o selo e é detectada imediatamente. O registro de auditoria é mantido por 10 anos.
- A Certyneo possui um DPA (Acordo de Processamento de Dados)?
- Sim. Certyneo oferece um DPA em conformidade com o artigo 28 do RGPD, disponível e assinável eletronicamente no seu painel de controle ou mediante solicitação. Ele detalha os sub-processadores, as medidas técnicas e organizacionais (TOMs) e os direitos dos titulares dos dados.
Para aprofundar
Amplie sua compreensão do regulamento e dos níveis de assinatura.