Dado a dado
| Dado | Finalidade | Base legal |
|---|---|---|
| Nome e CPF de quem assina | Identificar a pessoa e conferir com o cadastro do remetente | Execução de contrato (art. 7º, V) |
| Enviar o convite e o código de uso único (prova de controle do canal) | Execução de contrato (art. 7º, V) | |
| Data e hora de cada etapa | Provar quando o documento foi aberto, confirmado e assinado | Exercício regular de direitos (art. 7º, VI) |
| Endereço IP e aparelho | Contexto da assinatura, usado em disputa sobre autoria | Exercício regular de direitos (art. 7º, VI); o Marco Civil da Internet, art. 15, já impõe a guarda de registros de acesso a aplicações |
| Assinatura desenhada | Forma visual escolhida pela pessoa | Execução de contrato |
| Conteúdo do documento | O objeto da assinatura | Definido pelo remetente, que responde pela licitude |
| CNPJ e qualidade do representante | Registrar por quem a pessoa assina | Execução de contrato |
Por que não consentimento: o consentimento pode ser revogado a qualquer momento (art. 8º, § 5º), e a prova de uma assinatura não pode desaparecer com a revogação. A base precisa ser uma que sustente a guarda enquanto houver direito a exercer.
Controlador e operador, por atividade
- Cadastrar quem assina e enviar o documento: o remetente decide; ele é o controlador, e precisa de base legal para tratar esses dados (em regra, o próprio contrato). A plataforma é operadora.
- Registrar IP, aparelho, data e hora e manter a cadeia de eventos: a plataforma faz por definição do serviço e por obrigação própria (Marco Civil). Aqui a plataforma tem responsabilidade direta sobre a segurança e o prazo desses registros, e a política de privacidade dela deve dizer isso.
- Verificação pública: a plataforma decide o que expõe; deve mostrar só o necessário (sem CPF, e-mail e título).
- Conta do cliente (usuários, cobrança, auditoria): a plataforma é controladora desses dados.
Não há uma classificação universal; o que importa é que cada atividade tenha um responsável identificado e uma base legal.
Direitos de quem assina
O titular pode confirmar o tratamento, acessar os dados, corrigir dados incompletos, pedir eliminação e saber com quem foram compartilhados (art. 18). Sobre eliminação, a regra é a finalidade (art. 15): os dados que compõem a prova da assinatura são mantidos enquanto o contrato puder ser discutido, porque a base é o exercício regular de direitos (art. 7º, VI). O que não compõe a prova pode ser eliminado antes. Pedidos chegam ao remetente (controlador) e, quando for o caso, à plataforma, que deve ter um canal de encarregado.
Retenção por finalidade
Defina, por tipo de documento, até quando a prova é necessária (veja como guardar contratos) e alinhe com o prazo da plataforma. Depois do fim da finalidade, os dados são eliminados (art. 16), salvo obrigação legal de guarda (art. 16, I). No WS Sign, os documentos ficam enquanto a conta estiver ativa e por 90 dias após o encerramento; a cópia exportada pelo cliente segue a política de retenção dele.
O que exigir de uma plataforma
- Política de privacidade com a lista dos dados, finalidades, bases, prazos e fornecedores, inclusive transferências internacionais e a base delas (arts. 33 a 36).
- Segurança: conexão cifrada, arquivos cifrados em repouso, acesso por conta, registro de ações.
- Minimização na verificação pública.
- Afirmação expressa de que documentos não são usados para outros fins, como treinar modelos de IA.
- Canal do encarregado.
No WS Sign: a política de privacidade e a página de fornecedores e transferências dizem quais dados são tratados, onde e por quem; os arquivos ficam cifrados; a verificação pública não mostra CPF, e-mail nem título; e o canal do encarregado é contato@wssign.com.br.
Importante: este conteúdo é informativo e não substitui a orientação de um advogado para o seu caso.