Política de Privacidade do Firmou

Esta Política descreve quais dados pessoais o Firmou trata, com que fundamento, com quem eles são compartilhados, por quanto tempo ficam guardados e como exercer os direitos previstos na Lei nº 13.709/2018, a Lei Geral de Proteção de Dados. Ela foi escrita a partir do que o sistema efetivamente faz. Onde algo não é coletado, está dito que não é — declarar a mais é tão errado quanto declarar a menos. Esta Política integra os Termos de Uso. 1. QUEM TRATA OS DADOS 1.1. O Firmou é operado por KEMIS DESENVOLVIMENTO EM SOFTWARES LTDA., inscrita no CNPJ sob o nº 40.288.297/0001-57, com sede na Rua Bruges, 93, Engenho da Praia, CEP 27966-029, Macaé/RJ. 1.2. Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD): Wellington do Nascimento Machado, pelo endereço wmachado@kemis.com.br. 2. OS TRÊS PAPÉIS, E QUEM RESPONDE POR QUÊ Esta é a parte que costuma ser confusa em plataformas de assinatura, e ela determina a quem o titular deve se dirigir. 2.1. Cliente é quem contrata o Firmou, cria conta, envia documentos e paga. 2.2. Signatário é quem recebe um link e assina. Normalmente não tem conta no Firmou. 2.3. Quanto aos dados de cadastro, faturamento, uso da conta e navegação no site, a KEMIS é controladora: é ela quem decide coletá-los e para quê. 2.4. Quanto aos dados dos Signatários e ao conteúdo dos documentos, o Cliente é o controlador e a KEMIS é a operadora (art. 5º, VI e VII da LGPD). Quem decidiu enviar o documento, para quem enviar e quais etapas de identificação exigir foi o Cliente. A KEMIS trata esses dados conforme essas decisões e o necessário para prestar o serviço. 2.5. Há uma exceção deliberada a 2.4, e ela precisa estar escrita. Sobre a trilha de auditoria e o selo de integridade, a KEMIS atua também como controladora. A conservação da prova do ato de assinatura é obrigação própria da KEMIS na condição de provedor de assinatura, e serve ao interesse das duas partes do documento — não só de quem o enviou. Por isso a KEMIS não apaga uma trilha por ordem exclusiva do Cliente enquanto subsistir o interesse legítimo da outra parte na sua conservação. Ver a cláusula 7. 2.6. Se você é Signatário e quer saber por que recebeu um documento, ou pedir correção do conteúdo dele, procure primeiro quem lhe enviou: essa decisão foi do Cliente, não da KEMIS. Ainda assim, a KEMIS atende diretamente qualquer titular pelo canal da cláusula 8 e encaminha ao controlador o que não estiver sob seu alcance. 3. QUE DADOS SÃO TRATADOS, E COM QUE FUNDAMENTO 3.1. Dados do Cliente e dos seus usuários Nome, endereço de e-mail e senha, esta última guardada apenas como hash e nunca em texto legível. Número de celular, quando o usuário ativa a verificação em duas etapas. CPF ou CNPJ, razão social, e-mail e telefone da empresa contratante. Logotipo, quando o Cliente o envia para personalizar a tela de assinatura. Fundamento: execução do contrato (art. 7º, V) para o cadastro e o acesso; cumprimento de obrigação legal fiscal (art. 7º, II) para os dados de faturamento. 3.2. Dados do Signatário Nome, endereço de e-mail e telefone, cadastrados pelo Cliente ao enviar o documento. CPF e data de nascimento, informados pelo próprio Signatário no momento de assinar. São obrigatórios: sem eles não há como associar a assinatura a uma pessoa determinada, que é o que o art. 4º, II, "a" da Lei nº 14.063/2020 exige. Nome com que assina, e a imagem da assinatura quando o Signatário opta por desenhá-la ou enviá-la. Selfie e foto de documento de identidade, somente quando o Cliente exige essas etapas. Ver a cláusula 4. Endereço IP e navegador utilizado, registrados a cada evento da trilha: abertura do convite, verificação de identidade, aceite, assinatura, recusa e revogação. Não são acessórios — são a prova do ato. Código de verificação em duas etapas, guardado apenas como hash. Motivo da recusa e motivo da revogação do meio de assinatura, quando o Signatário os escreve. Dados extraídos do certificado ICP-Brasil, quando o Signatário assina com certificado próprio: nome, CPF, CNPJ, número de série, autoridade emissora e validade. A chave privada e a senha do certificado permanecem no equipamento do Signatário e nunca são enviadas à KEMIS. O conteúdo do documento, que é definido pelo Cliente e pode conter qualquer dado pessoal que ele tenha decidido incluir. Fundamento: execução do contrato entre o Cliente e o Signatário e procedimentos preliminares a ele (art. 7º, V), e exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI), este último sendo o fundamento específico do registro de IP, navegador, data e hora, cuja finalidade é permitir comprovar a autoria caso ela venha a ser contestada. 3.3. Agenda de contatos do Cliente Nome, e-mail, telefone, CPF ou CNPJ e data de nascimento de pessoas que o Cliente cadastra para reutilizar em envios futuros. O Cliente é o controlador desses dados. Fundamento: legítimo interesse do Cliente na gestão dos próprios envios (art. 7º, IX), com a KEMIS atuando como operadora. 3.4. Formulário de contato do site Nome, empresa, e-mail, CPF ou CNPJ, a mensagem escrita e o endereço IP de quem enviou. Esses dados não são gravados em banco: são encaminhados por e-mail à equipe comercial, e a cópia da mensagem fica no registro de envios descrito em 3.5. Fundamento: procedimentos preliminares a contrato, a pedido do titular (art. 7º, V). 3.5. Registros de operação da plataforma Sessões de acesso: endereço IP, navegador, data do login e data da última atividade de cada usuário logado. Registro de envio de mensagens: destinatário, assunto, data, resultado do envio e o conteúdo da mensagem enviada. Isso alcança os e-mails de convite, que contêm o nome do destinatário, o título do documento e o link de assinatura. Registro de acesso de suporte: quando pessoal autorizado da KEMIS acessa a conta de um Cliente para atender a um chamado, ficam gravados quem acessou, qual conta, quando começou, quando terminou, o motivo do término e o endereço IP. Durante esse acesso a escrita fica bloqueada: nenhum ato pode ser praticado em nome do Cliente. Fundamento: cumprimento de obrigação legal quanto aos registros de acesso à aplicação, nos termos do art. 15 do Marco Civil da Internet (art. 7º, II da LGPD); e legítimo interesse na segurança da operação, na comprovação de entrega das mensagens e na auditoria dos próprios acessos internos (art. 7º, IX). 4. SELFIE E FOTO DE DOCUMENTO DE IDENTIDADE 4.1. Essas imagens são coletadas somente quando o Cliente exige essas etapas para um documento. Elas não são coletadas por padrão. 4.2. O uso que a KEMIS faz delas é a conferência humana eventual, em caso de questionamento. A plataforma não extrai template facial, não faz comparação automatizada de faces e não usa essas imagens para identificar ninguém em outro contexto. 4.3. Por esse motivo, entendemos que não há tratamento de dado biométrico na acepção do art. 5º, II da LGPD. Ainda assim, e por prudência, essas imagens são tratadas sob o regime mais protetivo: acesso restrito, finalidade única e prazo de guarda menor que o do próprio documento, conforme a cláusula 7. 4.4. Fundamento, em qualquer das duas leituras: exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral (art. 7º, VI e, se aplicável o regime de dado sensível, art. 11, II, "d"). 5. O QUE O FIRMOU NÃO COLETA Isto está aqui porque políticas genéricas costumam declarar coletas que não existem, e uma declaração falsa a mais é tão problemática quanto uma omissão. 5.1. Geolocalização. O Firmou não coleta coordenadas, não pede permissão de localização ao navegador e não usa serviço de localização por endereço IP. 5.2. Cookies de rastreamento, ferramentas de analytics e pixels de marketing. Não existem. Os únicos cookies utilizados são os estritamente necessários para manter a sessão de quem faz login. Na tela de assinatura, a execução de script de terceiro é bloqueada por política técnica do próprio navegador. 5.3. Dados de cartão de crédito. Eles são digitados diretamente no ambiente do prestador de meios de pagamento e não transitam nem ficam armazenados nos servidores da KEMIS. 5.4. O Firmou não vende dados pessoais, não os cede para fins publicitários e não usa o conteúdo dos documentos dos Clientes para treinar modelos ou compor bases de dados. 6. COM QUEM OS DADOS SÃO COMPARTILHADOS 6.1. A KEMIS contrata fornecedores que tratam dados pessoais por conta dela. São eles, e o que cada um recebe: Amazon Web Services — infraestrutura, armazenamento dos arquivos e custódia do certificado ICP-Brasil da KEMIS. Tem acesso, como custodiante, a tudo o que é armazenado. Zeptomail, da Zoho — envio dos e-mails de convite e de notificação. Recebe nome e e-mail do destinatário, o título do documento e o link de assinatura. Asaas — cobrança por cartão. Recebe os dados de cobrança do Cliente. Banco Inter — cobrança por PIX e boleto. Recebe os dados de cobrança do Cliente. SmsDev — envio de SMS de verificação, quando esse método é escolhido. Recebe o telefone do destinatário. ReceitaWS — consulta de CNPJ no cadastro. Recebe o CNPJ digitado. Autoridades Certificadoras da ICP-Brasil — consulta, no momento da assinatura, sobre a revogação do certificado apresentado pelo Signatário. Recebem o número de série do certificado. Autoridade de carimbo do tempo — data e hora confiáveis da assinatura. Recebe exclusivamente o resumo criptográfico (hash) do documento, nunca o conteúdo dele. 6.2. Transferência internacional. Parte desses fornecedores trata dados fora do Brasil, e é preciso dizer quais: Amazon Web Services — os arquivos dos Documentos, o conteúdo deles e o certificado ICP-Brasil da KEMIS ficam em servidores na região us-east-2, em Ohio, nos Estados Unidos. É a transferência mais relevante desta lista, porque alcança o conteúdo integral dos Documentos. Zeptomail, da Zoho — o envio dos e-mails de convite e notificação é processado fora do Brasil. São transferidos o nome e o e-mail do destinatário, o título do Documento e o link de assinatura. Autoridade de carimbo do tempo — o serviço em uso opera fora do Brasil. Recebe exclusivamente o resumo criptográfico (hash) do Documento, nunca o conteúdo dele, de modo que nenhum dado pessoal é transferido nesta operação. Os demais fornecedores da cláusula 6.1 — Asaas, Banco Inter, SmsDev, ReceitaWS e as Autoridades Certificadoras da ICP-Brasil — tratam os dados no Brasil. Essas transferências se dão com base nas garantias dos arts. 33 a 36 da LGPD, mediante cláusulas contratuais específicas com o fornecedor. 6.3. A KEMIS também compartilha dados quando houver ordem judicial ou requisição de autoridade competente, hipótese em que informa o Cliente, salvo quando a própria ordem vedar a comunicação. 6.4. Em operação de reorganização societária, os dados podem ser transferidos ao sucessor, que fica vinculado a esta Política. 7. POR QUANTO TEMPO OS DADOS FICAM GUARDADOS 7.1. Existe uma tensão real aqui, e ela merece ser explicada em vez de escondida. A LGPD dá ao titular o direito de eliminação e determina que o dado não seja guardado além do necessário. Ao mesmo tempo, a trilha de auditoria é a prova de que uma assinatura aconteceu — e apagá-la retiraria de uma das partes do documento a única prova de um negócio que ela pode precisar exigir em juízo. Os prazos abaixo resolvem essa tensão amarrando cada dado ao tempo em que ele ainda pode ser necessário como prova, e não a um número redondo. 7.2. Documento assinado, trilha de auditoria e comprovante: 10 anos contados da data da assinatura. É o prazo prescricional geral do art. 205 do Código Civil, isto é, o tempo em que a obrigação documentada ainda pode ser exigida. A finalidade é exclusivamente probatória. 7.3. Selfie e foto de documento de identidade: 5 anos contados da assinatura, e então eliminadas, ainda que o documento continue guardado. Elas provam a identificação no momento do ato; passado o período em que essa conferência tende a ser questionada, mantê-las seria risco sem contrapartida. 7.4. Documento não assinado, cancelado ou expirado: 5 anos contados do cancelamento ou da expiração, prazo em que ainda pode ser preciso demonstrar que o ato não se concluiu e por quê. 7.5. Cadastro, faturamento e dados fiscais do Cliente: durante a vigência da conta e por 5 anos após o encerramento, para atender às obrigações fiscais e ao prazo de cobrança do art. 206, § 5º, I do Código Civil. 7.6. Agenda de contatos do Cliente: enquanto a conta existir. São eliminados quando o Cliente os apaga ou quando encerra a conta. 7.7. Registros de sessão de acesso: 6 meses, atendendo ao art. 15 do Marco Civil da Internet. 7.8. Registros de envio de mensagens: o conteúdo da mensagem é eliminado após 12 meses; os metadados de entrega (destinatário, data e resultado) acompanham a trilha do documento a que se referem. 7.9. Registros de acesso de suporte: 5 anos, por serem o controle do próprio acesso interno. 7.10. Código de verificação em duas etapas: apenas o hash é guardado, e ele é descartado em 6 meses. 7.11. Formulário de contato: 12 meses. 7.12. Encerrada a conta, o Cliente tem 90 dias para exportar seus documentos, trilhas e comprovantes. Findo esse prazo, aplicam-se os prazos acima, ao fim dos quais os dados são eliminados de forma definitiva, ressalvada obrigação legal de guarda por prazo maior. 7.13. O que já é automático. Uma rotina diária elimina, sem que seja preciso pedir: a) as selfies e as fotos de documento de identidade, no prazo da cláusula 7.3; b) o hash do código de verificação em duas etapas e os links de assinatura já usados, expirados ou revogados, no prazo da cláusula 7.10; c) os registros de sessão de acesso, no prazo da cláusula 7.7; d) o endereço IP e o navegador registrados na trilha de auditoria, no prazo da cláusula 7.2. Nesse caso o evento é preservado e apenas os dados que identificam o dispositivo são removidos: o que aconteceu, e quando, continua provado; de que máquina, não; e) o cadastro do Cliente e a agenda de contatos dele, no prazo da cláusula 7.5, por anonimização. Os dados que identificam são removidos e o vínculo com os documentos é preservado, para que a prova neles contida continue disponível às demais partes do documento — que não encerraram conta nenhuma e podem precisar exigir o que foi combinado. f) o Documento assinado, a trilha de auditoria e o Comprovante, no prazo da cláusula 7.2. A eliminação é integral e definitiva: saem os arquivos, os registros da assinatura e os dados dos Signatários daquele Documento. Nenhum Documento é eliminado antes de o aviso da cláusula 7.15 ter sido enviado ao Cliente para o mês em que aquele Documento vence — a rotina confere isso a cada Documento, e o que não foi avisado não é apagado. Da eliminação fica um registro que não identifica ninguém: o código público do Documento, a data em que ele foi assinado, o prazo aplicado, quantos arquivos saíram e a data da eliminação. Ele existe para responder ao Cliente que procurar um Documento e não o encontrar mais — depois de eliminado, "deve ter vencido o prazo" não é resposta. O título do Documento não entra nesse registro, porque ele pode conter nome de pessoa e sobreviveria à eliminação do próprio Documento que o continha. 7.14. O que ainda depende de pedido. Duas eliminações não são automáticas: a dos Documentos não assinados, cancelados ou expirados, ao fim do prazo da cláusula 7.4, e a dos dados de faturamento, ao fim do prazo da cláusula 7.5. São executadas mediante solicitação pelo canal da cláusula 8, dentro dos mesmos prazos e critérios. Preferimos registrar isso a descrever uma automação que ainda não existe. 7.15. Aviso antes do prazo. O Cliente é avisado por e-mail antes dos prazos que implicam perda de acesso ou eliminação: com 30 e 7 dias de antecedência do fim do prazo de exportação da cláusula 7.12, e com 90 e 30 dias de antecedência do momento em que Documentos completam o prazo da cláusula 7.2. Os avisos indicam como exportar o acervo. Prazo que só se descobre pelo efeito não é prazo, é surpresa. 8. SEUS DIREITOS, E COMO EXERCÊ-LOS 8.1. A LGPD, no art. 18, assegura ao titular: confirmação da existência de tratamento; acesso aos dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo; portabilidade; eliminação dos dados tratados com base no consentimento; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de negar consentimento; e revogação do consentimento. 8.2. Como pedir. Escreva para wmachado@kemis.com.br. O pedido é respondido em até 15 dias. Não é preciso ter conta no Firmou — este canal atende especificamente o Signatário, que assina por um link e não tem onde clicar dentro da plataforma. 8.3. Para confirmar que o pedido vem do próprio titular, poderão ser solicitadas informações adicionais. Elas são usadas só para essa conferência e descartadas depois. 8.4. Limite do direito de eliminação, dito com clareza. Um pedido de eliminação não apaga a trilha de auditoria nem o documento de uma assinatura que você já deu. A LGPD, no art. 16, I, e no art. 18, § 4º, admite a conservação do dado quando ela é necessária ao cumprimento de obrigação legal ou ao exercício regular de direitos — e aqui o direito é da outra parte do documento, que não pode perder a prova de um negócio por decisão unilateral de quem assinou com ela. O que é eliminado nesse caso são os dados que não sustentam a prova, como o cadastro na agenda de contatos do Cliente, e as imagens da cláusula 7.3 quando já vencido o prazo delas. 8.5. Se você é Signatário e discorda de ter recebido um documento, ou do conteúdo dele, procure também quem o enviou: a decisão foi do Cliente, que é o controlador desses dados. A KEMIS informa, mediante pedido, quem foi o remetente. 8.6. Você pode peticionar à Autoridade Nacional de Proteção de Dados, nos termos do art. 18, § 1º da LGPD. 9. SEGURANÇA 9.1. Esta cláusula descreve o que a plataforma faz, e não o quanto ela é segura. Adjetivo sobre nós mesmos não é verificável por quem lê; comportamento é. 9.2. As senhas dos usuários são guardadas apenas como hash e não podem ser lidas por ninguém, inclusive pela KEMIS. 9.3. Os links de assinatura são guardados apenas como hash. O código enviado ao destinatário nunca fica persistido, de modo que uma cópia do banco de dados não permite assinar em nome de ninguém. 9.4. O tráfego é cifrado em trânsito. Na tela de assinatura, a execução de script de terceiro é bloqueada por política de segurança de conteúdo. 9.5. Cada versão de arquivo é guardada com o seu resumo criptográfico SHA-256, e uma versão nova nunca sobrescreve a anterior. Alteração posterior no documento ou na trilha é detectável. 9.6. Nas conferências do certificado apresentado pelo Signatário, a plataforma falha fechada: o que não puder ser confirmado é recusado, nunca presumido válido, e a tentativa fica registrada. 9.7. O acesso de suporte à conta de um Cliente é registrado e tem a escrita bloqueada, conforme descrito em 3.5. 9.8. Nenhuma dessas medidas elimina o risco de incidente. Elas o reduzem, e a cláusula 10 diz o que acontece quando um ocorre. 10. INCIDENTES DE SEGURANÇA 10.1. Havendo incidente que possa acarretar risco ou dano relevante aos titulares, a KEMIS comunicará a Autoridade Nacional de Proteção de Dados e os titulares afetados no prazo previsto na regulamentação da ANPD, hoje de 3 dias úteis contados da ciência. 10.2. A comunicação informará a natureza dos dados atingidos, os titulares envolvidos, as medidas técnicas de proteção que estavam em uso, os riscos e o que está sendo feito para reverter ou reduzir os efeitos. 10.3. Sendo o incidente relativo a dados em que o Cliente é o controlador, a KEMIS comunicará o Cliente em até 48 horas da ciência, com as informações de que dispuser, para que ele cumpra os deveres que lhe cabem. 11. ALTERAÇÕES DESTA POLÍTICA 11.1. Cada redação desta Política é publicada com data de vigência e com a sua impressão digital SHA-256, e as redações anteriores são conservadas na íntegra. 11.2. Alterações relevantes são comunicadas aos Clientes por e-mail com pelo menos 30 dias de antecedência. 11.3. Uma redação nova não altera nem invalida aceite já registrado: cada aceite permanece vinculado à redação que estava em vigor na data em que foi dado. É isso que permite demonstrar, anos depois, exatamente o que a pessoa leu. 12. CONTATO 12.1. Proteção de dados, exercício de direitos e dúvidas sobre esta Política, inclusive por quem não tem conta: wmachado@kemis.com.br. 12.2. Demais assuntos: comercial@kemis.com.br.