Política de Privacidade

1. Quem é o controlador

O VIVASIGNER é um produto desenvolvido e operado por VIVATEK SERVIÇOS DE T.I. LTDA, inscrita no CNPJ sob o nº 12.336.782/0001-13, que atua como controladora dos dados pessoais tratados em suas próprias operações (cadastro, cobrança, suporte e segurança da plataforma), nos termos da Lei nº 13.709/2018 (LGPD).

Quando um cliente utiliza o VIVASIGNER para enviar documentos a seus próprios signatários, esse cliente é o controlador dos dados dos signatários e a VIVATEK atua como operadora, tratando os dados conforme as instruções do cliente e o contrato de prestação de serviço.

2. A que esta política se aplica

Esta política cobre três componentes que funcionam de forma integrada:

3. Extensão de navegador VIVASIGNER Bridge

A extensão existe por uma única razão: navegadores não permitem que uma página web converse diretamente com programas instalados no computador. A extensão faz essa ponte entre o portal VIVASIGNER e o aplicativo VIVASIGNER Bridge, para que você possa assinar com certificado ICP-Brasil.

O que a extensão NÃO faz

• Não coleta, armazena ou transmite dados pessoais para a VIVATEK.
• Não envia dados para nenhum servidor próprio ou de terceiros.
• Não usa cookies, analytics, telemetria ou identificadores de rastreamento.
• Não lê, altera ou monitora páginas fora dos domínios do VIVASIGNER.
• Não acessa histórico de navegação, downloads, abas ou favoritos.
• Não exibe publicidade e não vende nem compartilha informações.

O que a extensão faz

Ao acessar uma página em app.vivasigner.com.br, a extensão insere um pequeno script que apenas retransmite mensagens entre a página e o aplicativo local. As mensagens contêm exclusivamente:

• o pedido para listar os certificados disponíveis no seu computador;
• o resumo criptográfico (hash) do documento a ser assinado;
• a assinatura resultante, devolvida ao portal.

Nenhuma dessas mensagens é armazenada pela extensão nem enviada para qualquer destino além do aplicativo instalado na sua própria máquina.

Permissões solicitadas e por quê

O PIN do token A3, quando solicitado, é digitado no portal, transmitido apenas para o aplicativo local através da extensão, usado na operação de assinatura e descartado em seguida. O PIN não é enviado aos servidores do VIVASIGNER e não é gravado em disco.

4. Aplicativo VIVASIGNER Bridge (Windows)

O aplicativo é instalado no computador do signatário e executa localmente. Ele lê os certificados digitais ICP-Brasil disponíveis — no repositório do Windows (A1) e em tokens ou cartões compatíveis com PKCS#11 (A3) — e realiza a operação de assinatura.

Princípio central

A chave privada do seu certificado nunca sai do seu computador e nunca é transmitida ao VIVASIGNER. O portal envia apenas o resumo criptográfico (hash) do documento; a assinatura é calculada localmente e somente a assinatura digital resultante retorna ao portal para ser embutida no PDF.

Dados tratados localmente

• Certificados detectados — nome do titular, CPF/CNPJ constante do certificado, emissor, validade e fabricante do token. Usados apenas para você escolher com qual certificado assinar. Não são enviados à VIVATEK.
• Log técnico — gravado em %LOCALAPPDATA%\VIVASIGNER\Bridge\logs\host.log, contendo data, hora, operação realizada e mensagens de erro. Serve para diagnóstico de suporte, permanece no seu computador e só é compartilhado se você mesmo o enviar. O log não registra PIN, chave privada nem conteúdo de documentos.

O aplicativo não abre portas de rede para a internet, não recebe conexões externas e não realiza verificação automática de atualizações.

5. Portal VIVASIGNER

Dados de conta

• Nome, e-mail e senha (armazenada apenas como hash criptográfico).
• CPF ou CNPJ e razão social, conforme o tipo de cadastro.
• Dados de organização, equipe e centro de custo, quando utilizados.

Documentos e assinaturas

• Arquivos PDF enviados pelo cliente e seus metadados.
• Nome, e-mail e, quando aplicável, CPF dos signatários indicados pelo cliente.
• Assinaturas eletrônicas ou digitais aplicadas ao documento.

Evidências e trilha de auditoria

Para dar valor probatório às assinaturas eletrônicas, conforme a Lei nº 14.063/2020, o portal registra evidências do ato de assinar: endereço IP, data e hora, identificação do navegador (user agent), eventos do envelope e, quando o cliente configurar esse requisito, foto ou dados adicionais fornecidos pelo signatário.

A trilha de auditoria também registra ações de conta — como logins, envio de envelopes, alterações de equipe e tentativas de acesso negadas — para fins de segurança e conformidade.

Cookies

O portal usa exclusivamente cookies estritamente necessários para manter sua sessão autenticada. Não utilizamos cookies de publicidade, de rastreamento entre sites ou de perfilamento comportamental.

6. Bases legais do tratamento

7. Compartilhamento de dados

A VIVATEK não vende dados pessoais. O compartilhamento ocorre apenas:

• Entre as partes do documento — signatários e remetente do envelope têm acesso ao documento e às evidências correspondentes.
• Com fornecedores de infraestrutura — hospedagem e envio de e-mail transacional, contratados como operadores e obrigados contratualmente a tratar os dados apenas conforme nossas instruções.
• Por determinação legal — ordem judicial ou requisição de autoridade competente.

A extensão de navegador e o aplicativo VIVASIGNER Bridge não compartilham dados com nenhuma parte.

8. Retenção e exclusão

• Documentos e assinaturas — mantidos enquanto a conta do cliente estiver ativa, para garantir a disponibilidade do documento assinado e de sua validação.
• Trilha de auditoria e registros de acesso — mantidos pelos prazos legais aplicáveis, observado o mínimo de 6 meses previsto no Marco Civil da Internet.
• Dados de conta — excluídos ou anonimizados após o encerramento da relação, ressalvadas as hipóteses de guarda obrigatória.
• Log local do Bridge — permanece no computador do usuário e é removido na desinstalação do aplicativo.

9. Segurança da informação

• Tráfego cifrado em trânsito com HTTPS/TLS.
• Senhas armazenadas apenas como hash, nunca em texto claro.
• Isolamento de dados por organização em ambiente multi-tenant.
• Sessões autenticadas, com registro de eventos de segurança.
• Acesso do signatário externo por link tokenizado, com prazo de validade.
• Chave privada de certificado digital mantida sempre no dispositivo do titular.

Nenhum sistema é totalmente imune a incidentes. Em caso de incidente de segurança com risco relevante aos titulares, comunicaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos da LGPD.

10. Seus direitos como titular

Nos termos do art. 18 da LGPD, você pode solicitar:

• confirmação da existência de tratamento e acesso aos seus dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• portabilidade dos dados a outro fornecedor;
• informação sobre o compartilhamento de dados;
• revogação de consentimento, quando essa for a base legal aplicável.

Se os dados foram inseridos por um cliente do VIVASIGNER (por exemplo, quando você foi convidado a assinar um documento), encaminharemos sua solicitação ao controlador responsável, conforme nosso papel de operadora.

11. Crianças e adolescentes

O VIVASIGNER não é destinado a menores de 18 anos e não coleta intencionalmente dados de crianças ou adolescentes. Caso identifiquemos tratamento indevido nessa hipótese, os dados serão eliminados.

12. Alterações desta política

Podemos atualizar esta política para refletir mudanças no produto ou na legislação. A data da última atualização é sempre exibida no topo desta página. Alterações relevantes serão comunicadas pelo portal ou por e-mail.

13. Contato e encarregado (DPO)