Saiba quem está assinando.

O que significa verificação de identidade na assinatura eletrônica?

Por padrão, a maioria das ferramentas de assinatura eletrônica, inclusive o eSignSimple hoje, identifica o signatário pelo endereço de e-mail para o qual o link foi enviado, com o apoio de uma trilha de auditoria de horários, endereços IP e dispositivos. Isso é uma assinatura eletrônica simples e, para a maioria dos documentos empresariais, é juridicamente suficiente e prática.

A verificação de identidade acrescenta uma checagem mais forte antes que alguém possa assinar: um código por SMS, a conferência de um documento de identidade oficial ou uma verificação por banco ou sistema nacional de identidade digital (eID). A verificação de identidade chega em breve ao eSignSimple e ainda não está disponível.

O que planejamos construir?

Nada do que está descrito nesta seção está disponível hoje. Pretendemos começar pelas checagens que trazem segurança real sem tornar a assinatura um sofrimento: um código único enviado ao celular do signatário como segundo fator, além do e-mail. Se e quando isso for lançado, o resultado de cada checagem será registrado na trilha de auditoria e no certificado de conclusão, para poder ser apresentado depois.

Também estamos avaliando a conferência de documentos de identidade por meio de fornecedores especializados, para documentos de maior risco. Só vamos lançar isso quando tivermos confiança no fornecedor, nos termos de privacidade e no custo para nossos clientes.

Como os concorrentes abordam a verificação de identidade?

DocuSign, Adobe Acrobat Sign e outros oferecem autenticação por SMS, perguntas baseadas em conhecimento e verificação de documento de identidade, geralmente como complementos pagos cobrados por verificação ou incluídos em planos superiores. Na UE, alguns fornecedores também oferecem assinaturas eletrônicas avançadas e qualificadas por meio de prestadores de serviços de confiança, que envolvem comprovação formal de identidade.

Nossa opinião: a verificação de identidade tem valor, mas muitas vezes é vendida além da conta. Perguntas baseadas em conhecimento montadas a partir de dados de crédito são fracas, e uma verificação pesada em um NDA de rotina só irrita os signatários. Ajuste a checagem ao risco do documento.

Quando você realmente precisa de uma verificação mais forte?

Considere checagens mais fortes para contratos de empréstimo e de garantia, vendas de alto valor, documentos assinados por pessoas que você nunca conheceu e situações em que você imagina que o signatário possa negar a assinatura depois. Para contratos do dia a dia com clientes conhecidos, o link por e-mail mais a trilha de auditoria costuma ser proporcional.

Alguns documentos exigem mais do que verificação. Quando uma lei ou a outra parte exige uma assinatura eletrônica qualificada (QES, no Brasil a assinatura com certificado ICP-Brasil), você precisa de um prestador qualificado de serviços de confiança. O eSignSimple oferece assinaturas eletrônicas simples e não oferece QES.

O que você pode fazer hoje sem verificação de identidade?

Envie documentos só para endereços de e-mail que você confirmou com o signatário por outro canal, como uma ligação ou uma conversa de e-mail já existente. Use a ordem de assinatura para assinar por último, depois de conferir quem assinou. Guarde o certificado de conclusão, que registra endereço IP, dispositivo e horários de cada assinatura.

Qualquer pessoa pode confirmar que um PDF concluído não foi alterado conferindo sua impressão digital SHA-256 na nossa página pública de verificação. Isso não prova a identidade sozinho, mas, junto com a trilha de auditoria, forma um registro sólido para a maioria dos documentos empresariais.

O que será verificado, e o que você pode fazer hoje?