Se um documento assinado alguma vez for contestado, o que tem realmente para provar que o mesmo era legítimo? A maioria das equipas assume que a própria assinatura é a prova. Não é. A assinatura é apenas o último passo. A prova é o registo completo de tudo o que levou a ela e de tudo o que aconteceu depois.
Esse registo é o rasto de auditoria. É o que transforma um PDF assinado em algo que pode defender em tribunal, entregar a um regulador ou utilizar para diagnosticar um problema de um signatário que jurou que a ligação nunca funcionou. A maioria das plataformas de assinatura eletrónica anuncia que tem um rasto de auditoria. Muito poucas são transparentes sobre o que realmente contém.
Este guia explica o que um rasto de auditoria de assinatura eletrónica completo capta, por que razão a profundidade varia tanto entre plataformas e o que deve procurar quando estiver a avaliar qualquer fornecedor, e não apenas o Firma.dev.
O que é realmente um rasto de auditoria
Um rasto de auditoria é um registo cronológico, inviolável e evidente de todas as ações tomadas num pedido de assinatura. Quem visualizou o documento, quando, a partir de que endereço IP, que campos alterou, quando assinou, o que recusou e quais as ações administrativas que foram tomadas ao longo do caminho.
É fácil confundir o rasto de auditoria com o Certificado de Conclusão, mas não são a mesma coisa. O certificado é um resumo em PDF de uma página que é anexado ao documento assinado. É útil como referência rápida e é normalmente o que é enviado para os signatários. O rasto de auditoria é o registo de eventos subjacente a partir do qual o certificado é gerado. Cada evento, por sequência, com metadados. Essa é a peça que resiste a um escrutínio.
Um bom modelo mental: o certificado é o recibo, o rasto de auditoria é a gravação da câmara de segurança.
Porque é que é importante
O rasto de auditoria justifica o seu valor em quatro situações.
Prova legal. Se uma assinatura for alguma vez disputada, o rasto de auditoria é o que deve apresentar. Enquadramentos legais como o ESIGN Act, UETA e eIDAS exigem provas de intenção e consentimento. Um registo com carimbo temporal que mostre que o signatário abriu o documento, leu os termos, aceitou-os e depois assinou é a forma de fornecer essa prova. A assinatura em si não prova a intenção. A sequência de ações em torno dela sim.
Conformidade regulatória. Ambientes HIPAA, serviços financeiros e fluxos de trabalho FDA 21 CFR Part 11 exigem registos rastreáveis de quem fez o quê e quando. Não pode passar numa auditoria de um formulário de admissão de cuidados de saúde se não conseguir mostrar quem assinou e a partir de onde. O rasto de auditoria é o principal elemento que os reguladores analisam.
Resolução de problemas do signatário. Este ponto é frequentemente subestimado. Quando um destinatário diz "a ligação não funcionou" ou "não consegui preencher o formulário", o rasto de auditoria diz-lhe exatamente o que aconteceu. Abriram o link? Passaram na verificação OTP? Focaram-se num campo e desistiram? Fizeram scroll para além da página dois? Sem o rasto de auditoria, está a adivinhar. Com ele, pode ver o ponto de desistência e corrigir o fluxo ou orientá-los no processo.
Responsabilidade interna. Os rastos de auditoria também abrangem eventos de administração. Quem enviou o pedido, quem o cancelou, quem reenviou um lembrete, que chave de API foi utilizada. Isso é importante para os controlos internos, especialmente se mais do que uma pessoa na sua equipa puder enviar pedidos de assinatura.
O que um rasto de auditoria completo capta
É aqui que a maioria das plataformas se torna vaga. Dizem-lhe que registam "todas as ações no documento". O que isso realmente significa na prática varia muito.
Um rasto de auditoria adequado capta eventos em cinco categorias. Isto é o que o Firma.dev regista em cada pedido de assinatura, por predefinição.
Ciclo de vida do documento
Estes são os eventos gerais: o documento a ser aberto, visualizado, abandonado, reaberto, fechado, assinado, guardado, concluído. Os eventos do ciclo de vida dão-lhe o formato da sessão do signatário. Dizem-lhe se alguém abriu a ligação imediatamente, esperou três dias e depois assinou, ou se a abriu cinco vezes sem concluir.
Os eventos incluem documento aberto, visualizado, guardado, concluído, assinado, oculto (saiu da página), visível (voltou à página) e fechado.
Assinatura e verificação
Estes são os eventos que atestam especificamente a identidade e a intenção. Assinatura finalizada, assinatura recusada, termos aceites, OTP verificado, certificado descarregado. Cada um é um registo discreto com carimbo temporal.
O evento OTP é particularmente importante para casos de utilização de maior garantia. Se estiver a utilizar palavras-passe de utilização única por e-mail ou SMS como verificação de identidade extra, o rasto de auditoria deve registar que o código foi introduzido e verificado. Sem esse evento, não tem provas de que a pessoa certa estava do outro lado do link.
Interações com campos
É aqui que a granularidade separa um rasto de auditoria razoável de um defensável. Cada campo no documento gera o seu próprio fluxo de eventos: focado, preenchido, modificado, limpo, desfocado. Cada evento carrega metadados: tipo de campo, a ação específica, quantas vezes o signatário interagiu com o campo e quanto tempo passou nele.
Esta granularidade é importante porque, quando ocorre uma disputa, a questão muitas vezes não é "eles assinaram" mas sim "eles compreenderam o que estavam a assinar". Se um signatário passou onze segundos num campo complexo e modificou a sua resposta duas vezes, isso é contexto. Se clicou no campo de assinatura, limpou-o, esperou e depois preencheu-o, isso também é contexto. Um registo de eventos ao nível do campo capta tudo isso. Um certificado não capta nada disso.
Navegação
Página visualizada, documento percorrido (scroll), ações de navegação (página seguinte, página anterior, saltar para página), alterações de zoom, interações com modais. Estes são os eventos que mostram a interação com o próprio documento.
Os eventos de navegação são o que lhe permite responder a perguntas como "o signatário chegou realmente à página quatro" ou "alguma vez visualizou o anexo". Para documentos longos, isto é importante. Um signatário que fez scroll diretamente para o bloco de assinatura sem visualizar as páginas intermédias conta uma história diferente de um que passou dois minutos em cada página.
Eventos repetitivos consecutivos, como fazer scroll, são automaticamente condensados com um indicador de contagem, para que a linha do tempo permaneça legível sem perder dados.
Atividade de administração
A última categoria abrange tudo o que acontece do lado do remetente. Criação do pedido de assinatura, edições, envio, cancelamento, reenvio. Cada evento de administração regista se veio do painel de controlo ou da API e, se foi da API, qual a chave de API utilizada.
Para as equipas, é assim que estabelece quem fez o quê dentro da sua própria organização. Para programadores individuais, é assim que distingue entre ações automatizadas desencadeadas pela sua aplicação e ações manuais realizadas no painel de controlo.
A diferença entre um Certificado de Conclusão e um rasto de auditoria completo
A maioria das plataformas de assinatura eletrónica fornece um Certificado de Conclusão e fica-se por aí. Geralmente é um PDF de uma página anexado ao documento assinado, listando o nome do signatário, e-mail, endereço IP, um carimbo temporal da assinatura e talvez alguns outros eventos.
Útil para uma verificação rápida. Insuficiente quando as coisas se tornam sérias.
Um certificado pode dizer-lhe que a Alice assinou às 10:07 de terça-feira. Um rasto de auditoria completo pode dizer-lhe que a Alice recebeu a ligação às 9:58, abriu-a às 10:02, leu os termos, aceitou-os, focou-se no campo de assinatura às 10:05, limpou-o uma vez, voltou a assinar e depois descarregou a sua cópia do certificado. Se a Alice disser mais tarde "nunca vi essa cláusula", tem a sequência completa da sua interação com a página onde ela se encontra.
As três situações em que isto é mais importante:
Um signatário contesta ter assinado. Com um certificado, mostra o evento da assinatura. Com um rasto de auditoria completo, mostra todo o percurso anterior, incluindo o endereço IP, a verificação OTP se tiver sido exigida e as interações ao nível do campo que levaram à assinatura final.
Um signatário alega que não conseguiu concluir o fluxo. Um certificado não tem nada para oferecer aqui. Um rasto de auditoria mostra exatamente onde ficaram bloqueados, o que é útil tanto para resolver o problema imediato como para melhorar o fluxo da próxima vez.
Uma ação administrativa interna é questionada. Quem cancelou o pedido? Quem o reenviou? Um certificado não regista de todo eventos de administração. Um rasto de auditoria capta todos eles com a identidade do autor.
A maioria das plataformas não expõe este nível de detalhe. Algumas captam-no internamente, mas apenas apresentam o resumo no certificado. Algumas apenas captam o resumo logo de início, o que significa que, mesmo que peça os dados subjacentes ao suporte, eles não existem.
Onde encontrar o seu rasto de auditoria no Firma.dev
Cada pedido de assinatura no painel de controlo do Firma.dev tem um separador "Rasto de Auditoria". Verá uma linha do tempo cronológica com as ações do signatário e as ações de administração visualmente distinguidas. Os eventos repetitivos são agrupados para que a linha do tempo permaneça legível.
Para acesso programático, o histórico completo de eventos está disponível através da API. Se estiver a criar painéis internos, relatórios de conformidade ou apenas a encaminhar os dados para o seu próprio sistema de registos, a API de rasto de auditoria devolve a lista completa de eventos para qualquer pedido de assinatura.
Se preferir notificações em tempo real em vez de consultas periódicas, o Firma.dev também suporta webhooks para os principais eventos.
Uma nota sobre conformidade
Os mesmos dados do rasto de auditoria suportam a conformidade com as principais regulamentações. O Firma.dev foi concebido para ambientes ESIGN Act, UETA, eIDAS (SES e AdES), HIPAA e FDA 21 CFR Part 11. O rasto de auditoria fornece a camada de prova que todos estes enquadramentos exigem: quem, o quê, quando, onde e como.
Para detalhes sobre conformidade e tratamento de dados, a página de segurança e o acordo de processamento de dados cobrem a parte de arquitetura: infraestrutura alojada na UE, alinhamento com o RGPD e transparência de sub-processadores.
Uma nota importante. Se estiver a operar um SaaS multi-inquilino onde cada um dos seus clientes tem a sua própria atividade de assinatura isolada, os Espaços de Trabalho de Cliente dão a cada cliente o seu próprio espaço particionado com o seu próprio rasto de auditoria, perfeitamente separado dos outros.
O que procurar ao avaliar qualquer plataforma
Se estiver a comparar fornecedores de assinatura eletrónica, faça três perguntas sobre o rasto de auditoria.
Primeiro, que eventos capta? Se a resposta for "assinatura, carimbo temporal, endereço IP", isso é um certificado, não um rasto de auditoria. Pergunte especificamente sobre interações ao nível do campo, visualizações de página e eventos de administração.
Segundo, pode aceder ao mesmo de forma programática? Se a única forma de obter o rasto de auditoria for descarregar um PDF de um painel de controlo, não pode criar relatórios de conformidade ou integrá-lo nos seus próprios sistemas. Um rasto de auditoria adequado deve estar disponível através de API.
Terceiro, é inviolável? O objetivo principal é que o registo possa ser confiado como prova independente. Isso significa que os carimbos temporais devem ser fiáveis, os eventos devem ser imutáveis depois de escritos e a sequência deve ser verificável.
Um rasto de auditoria completo não é uma funcionalidade vistosa. É a parte de uma plataforma de assinatura eletrónica para a qual a maioria das pessoas nunca olha até precisar mesmo dela. Esse é o momento em que a diferença entre um certificado e um registo completo de eventos se torna dispendiosa.
Começar
Cada conta do Firma.dev tem acesso ao rasto de auditoria completo desde o primeiro dia, a 0,049 € por envelope (cerca de 5 cêntimos de USD), sem mínimos e sem contratos.
Comece a utilizar o Firma.dev gratuitamente, sem necessidade de cartão de crédito.
Artigos relacionados
A nossa plataforma foi projetada para capacitar empresas de todos os tamanhos a trabalhar de forma mais inteligente e alcançar seus objetivos com confiança.
