Política de privacidade

Esta política explica como o WS Sign, serviço da Webstorm Internet Ltda, CNPJ 04.691.199/0001-00, Av. Sete de Setembro, 2775, loja 316, Rebouças, Curitiba/PR, trata dados pessoais, nos termos da Lei Geral de Proteção de Dados (Lei 13.709/2018, LGPD).

Quem trata os dados

• Dados de quem cria conta e dos usuários (nome, e-mail, nome da conta, CPF ou CNPJ e, quando informados, os dados para cobrança e nota fiscal: nome ou razão social, endereço, inscrição municipal e e-mail para a nota): a Webstorm é a controladora.
• Dados dos participantes de um documento (nome, e-mail, CPF e, quando houver, CNPJ e qualidade de representante): o controlador é o cliente que enviou o documento, e a Webstorm atua como operadora, seguindo as instruções dele.

Que dados tratamos e para quê

• Enviar convites, códigos de verificação, lembretes, avisos e o documento assinado.
• Registrar as evidências da assinatura (código confirmado, CPF, IP, aparelho, data e hora) e montar o Termo de Evidências, que identifica cada participante por nome, CPF e e-mail e é entregue a todas as partes do documento.
• Permitir a verificação pública do documento, que mostra apenas os nomes dos participantes, as datas e os hashes, nunca CPF, e-mail, título do documento ou nome dos arquivos.
• Cobrança, emissão de recibos e de notas fiscais e atendimento do cliente.
• Dados opcionais de quem usa o painel, só se informados e cada um com a sua finalidade: WhatsApp, para o suporte falar com a pessoa e para avisos importantes da conta; cargo ou função, para personalizar a comunicação e o atendimento; área de atuação da conta, para mostrar exemplos e conteúdos do setor; e como conheceu o WS Sign, para saber quais canais de divulgação funcionam. Podem ser apagados a qualquer momento no painel.
• Novidades do WS Sign por e-mail, somente para quem marcar essa opção no perfil (consentimento), que pode ser desmarcada a qualquer momento.
• Segurança: registro de acessos, prevenção de fraude e de uso automatizado.

As bases legais são a execução do contrato com o cliente, o cumprimento de obrigação legal, o exercício regular de direitos (prova da assinatura), o legítimo interesse em manter o serviço seguro e em melhorar o atendimento (dados opcionais informados pela própria pessoa) e o consentimento, no caso das novidades por e-mail.

Com quem compartilhamos

Somente com fornecedores necessários à operação, cada um com os dados que precisa para a sua parte:

• Infraestrutura: hospedagem do site, banco de dados, armazenamento dos arquivos e verificação anti-robô dos formulários. Trata os dados em nosso nome.
• Envio de e-mails: recebe o endereço, o nome e o conteúdo das mensagens. Trata os dados em nosso nome.
• Estatísticas do site: só se você aceitar os cookies de estatística, nas páginas públicas.
• Pagamentos: uma instituição de pagamento autorizada pelo Banco Central recebe os dados de cobrança do cliente e trata os dados de pagamento como controladora, com a sua própria política de privacidade.

A identificação de cada fornecedor, o local onde os dados ficam e a base das transferências estão na página Fornecedores e transferências. Não vendemos dados e não os usamos para publicidade. Dados só são entregues a autoridades diante de ordem judicial ou obrigação legal.

Onde os dados ficam

Os dados e os documentos ficam armazenados em data centers nos Estados Unidos. As requisições são processadas na rede do fornecedor de infraestrutura, normalmente no ponto mais próximo de quem acessa, inclusive no Brasil. Essa transferência internacional é necessária para prestar o serviço contratado (art. 33, IX, da LGPD). Detalhes na página Fornecedores e transferências.

Como protegemos

• Conexões sempre cifradas (HTTPS).
• Documentos e assinaturas desenhadas guardados cifrados (AES-256), com chave separada do armazenamento.
• Senhas guardadas com Argon2id, que não permite recuperar a senha original.
• Acesso ao documento só com o link pessoal e o código enviado ao e-mail de cada participante.
• Cada conta vê apenas os próprios documentos.
• O histórico de cada documento é encadeado por hashes: qualquer alteração, inclusão ou remoção posterior fica detectável.

Se ocorrer um incidente de segurança que possa afetar dados pessoais, enviamos um aviso inicial aos clientes afetados em até 1 dia útil depois de tomarmos conhecimento, e complementamos conforme a apuração avança, para que possam cumprir as próprias obrigações. Quando a Webstorm for a controladora, também comunicamos a Autoridade Nacional de Proteção de Dados e os titulares, no prazo de 3 dias úteis previsto pela autoridade.

Cookies

• Essenciais: no painel, o cookie de sessão mantém você conectado (até 14 dias); na página de assinatura, um cookie guarda a confirmação do código de e-mail naquele navegador. Sem eles o serviço não funciona, por isso não dependem de aceite.
• Estatísticas: só nas páginas públicas do site, e só se você aceitar no aviso de cookies. O Google Analytics mede as visitas de forma agregada (páginas vistas, origem do acesso e tipo de aparelho). O painel e as páginas de assinatura não têm essa medição, e nenhum nome, e-mail, CPF ou conteúdo de documento é enviado ao Google.

Você pode mudar a sua escolha a qualquer momento em Preferências de cookies. Ao recusar, os cookies de estatística já gravados são apagados.

Por quanto tempo guardamos

• Documentos assinados e evidências: enquanto a conta do cliente estiver ativa e por 90 dias após o encerramento, para exportação. Se o serviço for encerrado, até a data do encerramento, avisada com pelo menos 30 dias de antecedência.
• Rascunhos não enviados: até o cliente excluí-los ou até 90 dias sem nenhuma alteração, com aviso por e-mail 7 dias antes.
• Contas no plano Grátis sem uso: depois de 6 meses sem acesso nem atividade, aviso por e-mail; sem acesso em 30 dias, a conta é encerrada e segue os prazos de encerramento.
• Registros de acesso (data, hora e IP do login): 6 meses, como exige o art. 15 do Marco Civil da Internet (Lei 12.965/2014), mesmo após a exclusão da conta. Depois, são apagados.
• E-mails enviados: a cópia usada para reenvio em caso de falha é apagada 30 dias depois.
• Avisos da instituição de pagamento: apagados 90 dias depois de processados, ou antes, na exclusão da conta.
• Cobranças: na plataforma, até a exclusão definitiva da conta. Os registros fiscais e contábeis ficam com a Webstorm e com a instituição de pagamento pelo prazo exigido em lei.
• Cópias de segurança do banco de dados: o histórico mantido pelo fornecedor de infraestrutura, por até 30 dias. Uma conta excluída deixa de existir nesse histórico quando ele vence.
• Dados da conta: enquanto a conta existir. Após a exclusão definitiva, fica apenas o registro de que a conta existiu, sem nome, documento ou dados de cobrança.

Crianças e adolescentes

O WS Sign não é dirigido a menores de 18 anos. Quando um menor participa de um documento, deve estar representado ou assistido por seu responsável legal, sob responsabilidade do cliente que enviou o documento.

Seus direitos

Você pode pedir confirmação de tratamento, acesso, correção, anonimização, portabilidade ou exclusão dos seus dados e informações sobre o compartilhamento, nos limites da LGPD. Pedidos sobre documentos de um cliente são encaminhados a ele, que é o controlador, e respondidos em conjunto. Também é possível reclamar à Autoridade Nacional de Proteção de Dados.

Encarregado de dados (canal de privacidade): contato@wssign.com.br. Respondemos em até 15 dias.

Alterações desta política

Mudanças relevantes são avisadas por e-mail aos clientes com pelo menos 15 dias de antecedência e publicadas nesta página com a nova versão.

Versão de outubro de 2026.