Segurança e privacidade no Firmou

Cada signatário recebe um link seguro e individual. Antes de assinar, ele confirma a identidade pelos meios que o emissor exigir:

• código de verificação enviado em e-mail separado do convite;
• CPF e data de nascimento;
• selfie;
• foto do documento de identidade.

Cada tentativa de identificação fica registrada na trilha de auditoria — inclusive as que falham.

Entre particulares, a assinatura eletrônica vale quando o meio é admitido pelas partes (MP 2.200-2/2001, art. 10, § 2º). Por isso o Firmou registra o consentimento do signatário com o meio de assinatura antes de ele assinar, e esse registro entra na trilha. Entenda o contexto jurídico no guia assinatura eletrônica tem validade jurídica?.

Ao final, o Firmou sela o PDF em PAdES com certificado ICP-Brasil da KEMIS, com validade de longo prazo. A assinatura fica dentro do próprio arquivo, e leitores de PDF compatíveis apontam qualquer alteração feita depois da selagem.

• O Firmou guarda três arquivos por documento — o original, o assinado e o comprovante — e nenhum é sobrescrito.
• Cada arquivo tem a própria impressão digital SHA-256, publicada na página de conferência.
• A assinatura é incremental: um PDF que já chega assinado em outro sistema não é reescrito, e a assinatura original continua válida no Validador do ITI.

Criação, convite, abertura, identificação, consentimento, assinatura, recusa e selagem ficam registrados em 18 tipos de evento. A trilha aparece no comprovante em PDF, no painel do emissor e na página pública de conferência.

Quando um signatário recusa, o motivo fica registrado, o documento é marcado como recusado e os links de quem ainda não assinou são revogados.

Quem recebe um documento do Firmou confere sozinho, sem criar conta: basta ler o QR impresso nas páginas ou digitar o código em Validar documento. A página calcula o SHA-256 do PDF no navegador de quem confere — o arquivo não é enviado a ninguém. Veja o passo a passo em como validar um documento assinado.

O tratamento de dados pessoais segue a Lei Geral de Proteção de Dados (Lei 13.709/2018). As regras completas estão na política de privacidade, publicada na mesma redação que a cerimônia de assinatura apresenta ao signatário. Dúvidas sobre dados pessoais podem ser enviadas para comercial@kemis.com.br.

Os dados de identificação servem para conferir quem assina e compor a prova do documento — o Firmou pede apenas o que o emissor configurou para aquele envio.