Os serviços de assinatura online resolvem um problema logístico específico: obter uma assinatura em um documento quando o signatário não possui software PDF, não tem tempo para imprimir e não tem aparelho de fax. O DigiSigner se enquadra nesse espaço. Ele lida com arquivos PDF, Word, Excel e de imagem em um navegador, permite que você coloque campos de assinatura em qualquer página e entrega um arquivo concluído sem exigir que a outra parte instale nada. Se essa troca realmente se sustenta, depende de detalhes sobre os quais a página do serviço tende a passar por cima
O que o fluxo de assinatura realmente faz
A mecânica é direta. Você faz o upload do documento via HTTPS, arrasta os campos de assinatura e data para as páginas a que pertencem e assina você mesmo ou envia um convite a outra parte. O signatário recebe um link, abre o documento no navegador, clica nos campos e envia. Você recebe uma notificação e pode baixar o arquivo concluído
Esse caminho de três etapas funciona bem para aprovações internas, acordos rápidos com fornecedores e situações onde a velocidade importa mais que garantias criptográficas. Onde começa a ficar sob tensão é em documentos regulamentados, sequências com várias partes e qualquer coisa que possa ser contestada em tribunal. Nesses casos, o fluxo de trabalho é tão bom quanto as evidências de auditoria subjacentes a ele
Trilhas de auditoria e evidências de adulteração
A trilha de auditoria é a coisa mais importante a verificar antes de se comprometer com qualquer serviço de assinatura. Ela precisa registrar a identidade do signatário (tipicamente verificada por e-mail), endereço IP, carimbo de data/hora e um hash do estado do documento no momento da assinatura. Alguns serviços agrupam essas evidências no próprio PDF como um anexo separado ou metadados incorporados; outros o mantêm do lado do servidor e emitem um certificado mediante solicitação. Saiba qual abordagem um serviço usa antes de precisar produzir as evidências para uma disputa
A evidência de adulteração é uma questão relacionada, mas distinta. Um PDF concluído de um serviço de assinatura pode carregar uma assinatura digital aplicada pelo próprio certificado do serviço, o que significa que qualquer modificação pós-assinatura quebrará a assinatura e ficará visível em um visualizador compatível. Isso é diferente de uma assinatura criptográfica de ponta a ponta criada com a chave privada do próprio signatário. Para a maioria dos fluxos de trabalho de negócios, o certificado aplicado pelo serviço é adequado. Para setores regulamentados ou transações internacionais cobertas pelo eIDAS, pode não ser
Alegações de conformidade: leia as letras miúdas
A maioria dos serviços de assinatura online lista ESIGN, UETA e eIDAS em seu marketing. Essas leis estabelecem requisitos para quando uma assinatura eletrônica é legalmente vinculativa, mas não certificam o software. Um serviço que alega conformidade com o eIDAS pode significar qualquer coisa, desde "nós satisfazemos os requisitos básicos para uma Assinatura Eletrônica Simples" até "somos um Provedor de Serviços Fiduciários credenciado emitindo Assinaturas Eletrônicas Qualificadas". A lacuna entre esses dois é significativa em qualquer jurisdição em que a QES tem equivalência legal a uma assinatura manuscrita
Verifique a documentação da central de confiança do serviço em vez da página inicial. Procure informações específicas: qual nível eIDAS, quais países são cobertos por um parecer legal separado, se os termos de serviço incluem indenização para disputas de assinatura. Se o tipo de documento exigir uma QES ou uma assinatura autenticada por lei local, uma SES baseada no navegador não é um substituto, independentemente do que o marketing diga
Armazenamento de documentos e residência de dados
Quando você envia um contrato ou um documento financeiro para um serviço de assinatura em nuvem, ele reside na infraestrutura deles até que você ou eles o excluam. As perguntas práticas são: onde ele está armazenado, quem dentro do serviço pode acessá-lo, quanto tempo dura o período de retenção padrão e se você pode acionar a exclusão sob demanda. Para documentos contendo dados pessoais cobertos pelo GDPR, a resposta para "onde ele está armazenado" não é opcional
O DigiSigner, como a maioria dos serviços nesta categoria, armazena documentos em infraestrutura de nuvem e os retém por um período configurável após a conclusão da assinatura. Revise o acordo de processamento de dados antes de encaminhar qualquer coisa sensível pelo serviço. Se sua organização operar sob um regulamento específico do setor, como a HIPAA ou regras de serviços financeiros, confirme se o serviço assinará um Business Associate Agreement ou adendo equivalente
Onde o DigiSigner se encaixa e onde não
O DigiSigner é uma escolha razoável para aprovações internas leves, contratos de pequenas empresas e organizações que precisam de assinaturas baseadas no navegador ocasionalmente sem criar sua própria infraestrutura. O nível gratuito lida com um número limitado de documentos por mês, o que é suficiente para avaliar se o fluxo de trabalho se ajusta antes de se comprometer
Não é a ferramenta certa quando o fluxo de trabalho de assinatura precisa se integrar firmemente a um pipeline de geração de documentos, quando o volume é alto o suficiente para tornar a precificação por documento significativa ou quando os documentos carregam obrigações regulatórias que exigem um certificado qualificado. Nesses casos, a arquitetura precisa de uma biblioteca que seja executada localmente, dê a você controle sobre a cadeia de certificados e permita incorporar a assinatura como parte da geração de documentos em vez de uma etapa de pós-processamento
Preparando um PDF gerado pelo desenvolvedor para assinatura externa
Se o seu aplicativo gerar o PDF antes de repassá-lo a um serviço de assinatura, algumas propriedades do documento tornam a etapa de assinatura mais limpa. Mantenha o tamanho da página consistente: um documento A4 enviado para um serviço que tem como padrão a visualização em tamanho carta pode produzir campos de assinatura desalinhados. Nivele (flatten) quaisquer campos de formulário interativos que não sejam espaços reservados para assinatura, porque alguns serviços substituem ou descartam os campos AcroForm existentes ao adicionar os seus próprios. Reserve espaço em branco explícito nas páginas a que as assinaturas pertencem em vez de deixar o serviço sobrepô-las ao conteúdo existente
Armazene tanto a cópia pré-assinatura quanto a cópia assinada concluída, nomeadas para que as duas estejam claramente associadas. Quando um signatário contestar o que concordou, ter o documento exato que foi enviado é o ponto de partida para qualquer investigação. Se a versão assinada voltar com uma contagem de páginas diferente ou métricas de fonte diferentes do que o que foi enviado, algo no pipeline de renderização do serviço alterou o documento, o que vale a pena entender antes de tratar a saída como confiável
Serviço versus biblioteca: uma distinção prática
Um serviço de assinatura online e uma biblioteca de assinatura digital em PDF resolvem problemas diferentes e a distinção é importante quando você está projetando um fluxo de trabalho de documentos. Um serviço lida com a logística: encaminhar documentos para várias partes, coletar evidências de identidade, emitir notificações por e-mail e armazenar arquivos concluídos. Uma biblioteca lida com a criptografia: construindo o dicionário de assinaturas, aplicando a cadeia de certificados, incorporando o hash assinado no intervalo de bytes do arquivo de acordo com a ISO 32000-2. Os dois podem coexistir no mesmo pipeline, mas substituir um pelo outro porque ambos envolvem a palavra "assinatura" tende a produzir fluxos de trabalho que não são devidamente auditados nem adequadamente assinados