Um contrato assinado, o seu certificado e como conferi-lo
Quando todos assinam, você e cada signatário recebem três coisas: a cópia assinada, o certificado de assinaturas, que é o registro próprio do QuoteBill sobre o processo de assinatura, e um arquivo de evidências que qualquer pessoa com uma cópia pode conferir no navegador, mesmo depois que o contrato for excluído.
Assinatura eletrônica simples com trilha de auditoria
- Texto congelado com impressão digital SHA-256
- Trilha de auditoria encadeada por hashes
- Verificável por quem tiver uma cópia
O que você recebe quando todos assinam
A cópia assinada. Imprima o contrato ou salve-o em PDF na página do contrato; cada signatário pode fazer o mesmo pelo próprio link durante 30 dias após a conclusão. A cópia traz a referência, a impressão digital e as assinaturas, seguidas do certificado.
O certificado de assinaturas: o registro próprio do QuoteBill sobre o processo de assinatura, impresso depois do contrato. Não é um certificado emitido por um prestador de serviços de confiança. Ele informa quem assinou por cada parte, como e quando, como cada signatário obteve acesso e cada evento registrado até a conclusão.
O arquivo de evidências (.evidence.json). Um PDF impresso muda de um aparelho para outro, por isso os bytes dele não provam nada; este arquivo não muda. Ele contém o texto exato congelado, a impressão digital e o certificado, e é gerado no seu próprio navegador: o QuoteBill não o guarda. Você pode baixá-lo na página do contrato depois da conclusão; um signatário pode baixá-lo pelo próprio link, enquanto ele ainda abrir.
O certificado e a verificação, como aparecem
Um certificado de um contrato fictício e a página de verificação depois de uma correspondência.
O certificado: o resumo, os dados para verificação (referência, impressão digital, hash do certificado e endereço da página de verificação), cada signatário, o consentimento concedido, os links gerados e a trilha de auditoria. 
Uma correspondência na página de verificação: concluído nesta data com este número de assinaturas, e o hash do certificado que a sua cópia deve mostrar.
Como conferir um contrato que você recebeu
Você não precisa de nada além da cópia. A verificação está publicada linha por linha no guia, para que qualquer pessoa possa repeti-la com as próprias ferramentas.
Encontre os dois valores no certificado
Em «Dados para verificação», o certificado imprime a referência (QBC-XXXX-XXXX-XXXX) e a impressão digital, um valor SHA-256 de 64 caracteres. O endereço impresso ao lado abre a página de verificação com os dois já preenchidos.
Informe-os na página de verificação
Uma correspondência indica em que data foi concluído um contrato com exatamente este texto, com quantas assinaturas, e mostra o hash do certificado: ele deve ser igual ao impresso na sua cópia. Nada mais é mostrado, nem nomes nem conteúdo, e a resposta continua disponível mesmo que o contrato seja excluído.
Ou solte o arquivo de evidências
Na mesma página, escolha «Verificar um arquivo de evidências». O seu navegador recalcula a impressão digital, percorre a trilha de auditoria do primeiro hash até o hash de conclusão e recalcula o hash de cada assinatura; só então pergunta ao QuoteBill se a referência e a impressão digital correspondem, e não envia mais nada. Se todas as verificações passarem, a página mostra o contrato e o certificado do arquivo.
Saiba o que uma correspondência significa
Uma correspondência mostra que um contrato com exatamente este conteúdo foi concluído pelo QuoteBill e que o registro está íntegro. Ela não mostra quem eram os signatários e não é um parecer jurídico.
O que o certificado lista
O certificado é o mesmo para todas as partes. Os horários estão em UTC, pelo relógio do banco de dados do QuoteBill.
| Seção | O que mostra |
|---|---|
| Resumo | O status (concluído: todas as partes assinaram), o horário da conclusão em UTC e no seu horário local, quando foi enviado, o e-mail da conta do remetente e uma linha por parte: quem assinou, por qual método e quando. |
| Dados para verificação | A referência, a impressão digital SHA-256 do texto congelado, o hash do certificado e o endereço da página de verificação, seguidos das duas formas de conferir. |
| Cada signatário | O nome com que foi convidado e o nome com que assinou, o cargo, o método (assinatura desenhada, digitada ou imagem enviada de um carimbo ou de uma assinatura), como obteve acesso (o remetente conectado à própria conta; um link com o código de acesso enviado separadamente; ou só um link), o número de códigos errados e de links gerados, o horário, o endereço IP e o navegador da assinatura, o hash da assinatura e a própria assinatura. Um signatário que usou o mesmo endereço IP do remetente é sinalizado. |
| Consentimento | O texto de consentimento que cada signatário aceitou, palavra por palavra, com a versão e o idioma, e quem o aceitou. |
| Links gerados | Cada link de assinatura gerado para cada parte, com o número e o horário. Os links em si nunca são guardados, só os hashes deles. |
| Trilha de auditoria | Cada evento, da criação à conclusão, com o horário: envio, link gerado, abertura, código errado, bloqueio, link desativado, consentimento, assinatura, recusa, impressão, denúncia, prazo alterado, lembrete preparado, conclusão. Para uma ação do remetente ou de um signatário, também o endereço IP e o navegador; um lembrete, uma mudança de prazo e os eventos do sistema não os têm. Uma denúncia aparece na lista, nunca o texto dela. |
| Resultado da cadeia | Se a cadeia de auditoria está íntegra, com o número de eventos, e o hash do certificado: o hash do evento de conclusão, que fecha a cadeia. |
| Observações | Que isto registra uma assinatura eletrônica simples e o QuoteBill não verifica identidades; de onde vêm os endereços IP; que o remetente entregou os links; que caracteres parecidos em nomes não são detectados; e, se foi usada a imagem de um carimbo, que é uma imagem, não um selo registrado. |
O endereço IP é o que o provedor de hospedagem do QuoteBill informa ao banco de dados. Ele identifica uma conexão de rede, não uma pessoa.
Perguntas sobre as provas
Ainda posso conferir um contrato depois de excluí-lo?
Sim. Quando um contrato concluído é excluído, fica um pequeno registro sem nomes nem conteúdo para que as cópias continuem verificáveis: a referência, a impressão digital, o horário da conclusão, o número de assinaturas e o hash do certificado.
Qual a diferença entre a impressão digital, o hash de uma assinatura e o hash do certificado?
A impressão digital é o SHA-256 do texto congelado: indica qual texto foi assinado. O hash de uma assinatura cobre uma única assinatura: quem assinou, por qual método, o consentimento, o horário, o endereço IP. O hash do certificado é o hash do último evento da trilha de auditoria, no qual todos os eventos anteriores influem; por isso ele representa o registro inteiro.
E se alguém editar o próprio PDF?
Uma correspondência na página de verificação confirma a referência e a impressão digital, não as palavras impressas em um PDF. Para conferir as palavras, confira o arquivo de evidências: o texto dele precisa reproduzir a impressão digital. O seu próprio arquivo de evidências, salvo quando o contrato foi concluído, mostra o que foi assinado.
Por que o meu contrato não tem arquivo de evidências?
Contratos concluídos antes de existirem os arquivos de evidências, e o raro registro grande demais para um arquivo (mais de 3 MB), só podem ser conferidos pela referência e pela impressão digital. A página informa isso em vez de oferecer um arquivo.
Quem pode baixar o arquivo de evidências, e até quando?
O remetente, na página do contrato, enquanto o contrato for mantido. Cada signatário, pelo próprio link, que deixa de funcionar 30 dias após a conclusão; o aviso de conclusão que você pode copiar pede que eles salvem a cópia a tempo.
O que a página de verificação guarda sobre mim?
Nada sobre você. Ela responde a partir do registro de conclusão; a única coisa que guarda é um contador temporário, com hash, que limita a frequência de consultas contra abusos. O arquivo de evidências nunca sai do seu navegador; só a referência e a impressão digital são enviadas.
Onde estão as regras exatas da verificação?
No guia sobre assinaturas eletrônicas (em inglês), linha por linha: como são calculados a impressão digital, o hash de cada evento, cada declaração de assinatura e o hash de conclusão. Qualquer pessoa pode repetir a verificação com as próprias ferramentas.
Próximos passos
Provas que você pode entregar a qualquer pessoa
Salve o PDF assinado e o arquivo de evidências assim que o contrato for concluído. Quem receber uma cópia poderá conferi-la, sem conta e sem precisar perguntar a você.