O que fazemos para uma assinatura se sustentar.

Antes de assinar, a pessoa vê o consentimento para registros eletrônicos e precisa aceitá-lo. Esse aceite fica guardado junto com a assinatura, não é presumido.

Cada momento relevante — criado, enviado, visualizado, assinado, recusado, anulado, com o motivo que a pessoa deu — é gravado no log de auditoria junto com o horário, o endereço IP e o navegador e o dispositivo usados.

A tabela de auditoria só aceita inserções. A permissão de alterar ou excluir uma linha está revogada no próprio banco de dados, então nem nossa equipe nem nosso próprio aplicativo conseguem retroagir a data ou apagar uma entrada.

Constar em um documento não é assiná-lo. Uma pessoa é registrada como signatária apenas quando todos os campos de assinatura e rubrica que lhe cabem trazem uma marca real. Preencher texto, datas, valores ou caixas de seleção nunca é tratado como assinatura.

Um download, uma impressão, um anexo de e-mail, uma carta registrada: cada um recebe seu próprio número de série e o registro de quem levou, quando e de qual endereço e dispositivo. Abrir um documento dentro do XOsign não é uma exportação e não é registrado.

O registro só pode ser lido pela sua própria conta, e quem garante isso é o banco de dados. Ninguém — nem nós — pode alterar ou apagar uma linha pelo aplicativo; ela só some quando você exclui sua conta.

Nos planos pagos, cada cópia carrega uma marca oculta que sobrevive à impressão, à fotocópia, à digitalização e a capturas de tela, de modo que uma página vazada pode ser ligada à exportação de onde veio. Contas gratuitas não têm nada disso: nem registro, nem marca.

Toda tabela com dados de conta tem segurança em nível de linha do Postgres vinculada à sua conta. O isolamento é imposto pelo banco de dados, não por um código de aplicação que precisa lembrar de filtrar.

TLS em cada conexão, AES-256 em repouso no Postgres e no armazenamento da Supabase. As chaves que poderiam contornar isso existem só dentro de funções no servidor; um navegador nunca recebe uma.

O monitoramento de erros está configurado para receber o erro e nada mais — sem endereços IP de usuários, sem cookies, sem cabeçalhos de autenticação e sem gravação de sessão. O que nossos clientes veem na tela são os contratos dos clientes deles, então o monitor não pode ver isso.

Seus contratos nunca são usados para treinar um modelo, e nossa IA roda com configuração de retenção zero. Os dados de pagamento ficam na Stripe — guardamos apenas um identificador de cliente.

Você já pode ativar um código de autenticação para a sua própria conta. O dono de uma equipe pode exigi-lo de todos os integrantes, com prazo de carência, aviso antes e prorrogação individual — ninguém fica trancado fora de um trabalho em andamento. Nossas próprias ferramentas internas sempre exigiram isso.

Baixe na hora um resumo de tudo o que guardamos sobre você, ou peça o pacote completo — seus registros, seu histórico de auditoria e todos os arquivos — que chega como link por e-mail. Uma exportação completa por conta por dia, em Configurações → Privacidade.

Um documento enviado permanece exatamente como você o enviou. Se você pedir uma cópia editável, essa cópia é um documento de trabalho separado: o original continua anexado e intacto, e todo o resto segue trabalhando sobre ele.

Você já pode pedir a exclusão nas configurações da sua conta hoje. Ela é agendada para 30 dias depois, para que um erro possa ser desfeito, e então os dados são apagados. O log de auditoria sobrevive de propósito — um registro legal que você pode apagar não é um registro legal. Contas de demonstração criadas sem cadastro são apagadas sete dias depois de criadas.

Miramos a WCAG 2.1 AA. A declaração diz com clareza onde atendemos e onde ainda não.

Uma auditoria SOC 2 Tipo II está planejada. Não a iniciamos e não afirmamos ter nenhuma certificação hoje.