Enviar um documento para assinatura: o processo, não o direito

O que envia é um envelope, não um documento

A unidade com que um serviço de assinatura eletrónica trabalha não é o ficheiro. É um envelope: um ou mais documentos, uma lista de destinatários, um papel para cada um, um conjunto de campos ligados a determinado destinatário em determinada página, uma ordem de solicitação e um ciclo de vida — criado, enviado, entregue, visto, parcialmente assinado, concluído, recusado, anulado ou expirado. Quase tudo o que se descreve como «a assinatura não funcionou» é um envelope parado num desses estados, e saber em qual diz-lhe o que fazer muito mais depressa do que reabrir o documento.

A consequência para a preparação é imediata: monte tudo primeiro. Junte os anexos, corrija a ordem das páginas, verifique que nenhuma está ao contrário, e depois crie o envelope. Qualquer alteração posterior custa um recomeço completo, porque uma assinatura fica ligada ao documento tal como estava no momento de assinar e uma versão nova é um documento novo. O hábito a construir é o contrário do da maioria das equipas: em vez de enviar um rascunho e remendá-lo, gaste mais dez minutos a montar e envie uma só vez.

A ordem de assinatura é uma decisão de negócio, não uma configuração

O encaminhamento sequencial pede a um destinatário de cada vez e só liberta o documento ao seguinte quando o anterior terminou. Use-o quando uma assinatura depende mesmo de outra — um aprovador interno que tem de ver os termos finais antes da contraparte, um fiador que só assina se o mutuário assinou, uma contra-assinatura que fecha o negócio. O seu custo é que toda a cadeia espera pelo mais lento, e uma só pessoa de férias pára tudo sem erro visível.

O encaminhamento paralelo pede a todos ao mesmo tempo e conclui quando o último termina. É mais rápido e é o valor por omissão certo para um documento que várias pessoas assinam na mesma qualidade — uma deliberação do conselho, um aviso de receção de política interna, um acordo-quadro multipartes em que os termos de uns não dependem dos outros. O seu modo de falha é diferente e pior de gerir: a conclusão parcial. Três assinaturas em quatro com a quarta calada deixam-no com um documento que não é um acordo, que alguns signatários julgam fechado, e que terá de ser assinado pelos quatro de novo se os termos mudarem. Defina uma expiração, programe lembretes, e saiba antes de enviar quem será provavelmente o quarto.

Uma consequência da ordem escapa muitas vezes: na maioria dos sistemas contratuais o acordo forma-se quando a última parte aceita, pelo que quem assina em último fixa a data em que o contrato existe. Se dela dependem uma data de início, um pré-aviso ou um exercício contabilístico, ponha em último a parte que consegue perseguir, e nunca deixe a assinatura de fecho com a pessoa mais difícil de alcançar. E não deixe os signatários escrever uma data à mão ao lado da sua marca. A trilha de auditoria já tem uma hora que faz fé; uma data escrita que a contradiga cria uma contradição na sua própria prova sem benefício nenhum.

A prova é a trilha de auditoria, não a marca

Uma assinatura desenhada ou escrita é uma imagem. Qualquer um pode produzir uma que se pareça com a de outro, o que significa que a imagem não prova nada por si só, e que o valor de um serviço de assinatura eletrónica não é desenhar rabiscos mais bonitos mas registar como o rabisco lá foi parar. Esse registo — certificado de conclusão, trilha de auditoria, registo de eventos, os nomes variam — contém tipicamente o identificador do envelope, o endereço de cada destinatário, a hora de envio do pedido, a de entrega, a de abertura, o endereço a partir do qual foi aberto, a autenticação usada, o consentimento dado para contratar por via eletrónica, o momento em que cada campo foi preenchido, e uma impressão digital do documento no momento da selagem.

Não é um luxo de engenharia, é exatamente aquilo que o direito pergunta. O artigo 1366 do Código civil francês dá ao escrito eletrónico a mesma força probatória que ao papel com duas condições: que se possa identificar devidamente a pessoa de quem emana, e que seja estabelecido e conservado em condições que garantam a sua integridade. Identificação e integridade são propriedades do processo, não do desenho. À escala europeia a mesma lógica aparece nas presunções dos serviços qualificados: segundo o Regulamento eIDAS, um selo temporal eletrónico qualificado goza de presunção de exatidão da data e da hora e de integridade dos dados a elas ligados, e um serviço qualificado de entrega eletrónica registada goza de presunção de integridade dos dados, de envio pelo remetente identificado e de receção pelo destinatário identificado. Cada uma é um facto sobre um processo.

Na prática, isto significa três coisas. Guarde o certificado, não só o ficheiro assinado: um documento selado sem a sua trilha é uma fotografia de um acordo. Guarde uma impressão digital do ficheiro que possa recalcular — um hash arquivado à parte permite mostrar anos depois que a cópia do seu arquivo é a que foi assinada. E prefira uma autenticação que deixe um rasto controlado por um terceiro: um código enviado para um telemóvel, uma verificação de identidade, um início de sessão, qualquer coisa mais forte do que uma ligação chegada por correio. A ligação sozinha prova que assinou quem tinha acesso àquela caixa de correio, afirmação mais fraca do que parece e a que qualquer litígio atacará.

Quando o signatário não é a parte: sociedades e delegação

Uma sociedade não assina nada. Uma pessoa singular assina por sua conta, e que a sociedade fique vinculada depende do poder de representação dessa pessoa, questão de direito das sociedades e de registo — nunca algo que a plataforma de assinatura verifique. A plataforma deixará alegremente que qualquer um com uma caixa de correio assine em nome de quem for, e registará fielmente que o fez.

O direito alemão torna a armadilha concreta. Segundo o parágrafo 35 da lei das sociedades por quotas, a sociedade é representada judicial e extrajudicialmente pelos seus gerentes, e se forem nomeados vários só estão habilitados a representá-la conjuntamente salvo disposição estatutária em contrário. Um envelope construído com um único bloco de assinatura para uma sociedade alemã com dois gerentes e sem cláusula de representação individual produz um documento assinado que não vincula. No sentido inverso, o parágrafo 49 do código comercial dá ao procurador competência para todos os atos judiciais e extrajudiciais que a exploração de um comércio implica, e o parágrafo 50 torna as limitações internas desse poder inoponíveis a terceiros: a sua matriz interna de aprovações não existe para a contraparte. Consulte a certidão do registo antes de montar a lista de destinatários, e faça constar a qualidade no próprio bloco de assinatura.

A delegação merece tratamento próprio. A maioria dos serviços permite que um destinatário reatribua o pedido, e bem usado isso é uma funcionalidade: a trilha regista quem foi convidado, quem reatribuiu, quando, e quem acabou por assinar, o que mantém a cadeia visível. Mal usado, torna-se a forma mais comum de destruir uma trilha de auditoria — o destinatário reencaminha simplesmente o correio e outra pessoa assina por uma ligação dirigida a alguém que nunca tocou no documento. Ative a reatribuição para que se use o mecanismo que se regista a si próprio, e desative, se o seu serviço o permitir, a possibilidade de assinar a partir de uma ligação aberta por um endereço diferente do convidado.

Quando o documento muda depois de alguém ter assinado

É a situação que todo o fluxo de assinatura acaba por encontrar, e a resposta errada é tentadora: trocar o ficheiro e deixar a assinatura existente. Não o faça. Uma assinatura responde a uma pergunta sobre um documento concreto, e quem assinou respondeu-a sobre a versão que leu. Se a assinatura era criptográfica, substituir os bytes parte-a e toda a gente verá que está partida. Se era só uma imagem desenhada — o caso corrente — nada se parte, nada parece mal, e produziu em silêncio um documento que parece assinado por alguém que nunca concordou com ele. O nosso artigo sobre os três níveis eIDAS trata do que essa imagem é juridicamente; aqui basta que não prove acordo sobre um texto que o signatário nunca viu.

Há duas vias limpas e escolhe-se pelo esforço, não pelo princípio. Anular o envelope e reemiti-lo: marque o antigo como anulado para que a trilha mostre um cancelamento deliberado e não um documento abandonado, crie um novo envelope a partir do ficheiro corrigido e recolha todas as assinaturas de novo — incluindo as que já tinha, porque foram dadas sobre outro texto. Ou deixar o documento assinado de pé e assinar um aditamento que identifique o original pelo título e pela data e diga o que muda. A segunda é mais rápida e é o que na verdade se faz quando uma cláusula se mexe depois de onze das doze partes terem assinado. A primeira impõe-se quando a alteração toca os termos em que os primeiros signatários se apoiaram.

Seis modos de falha, e o que resolve cada um

Campos colocados por coordenadas. Um bloco de assinatura largado num ponto fixo da página sete fica lá quando o contrato é regenerado com um preâmbulo mais longo, e aterra a meio de um parágrafo ou noutra página. Use âncoras de texto — uma cadeia invisível no documento a que o campo se agarra — para que o bloco siga a sua cláusula. O mesmo problema chega pela junção: acrescente um anexo de duas páginas antes da página de assinaturas e todas as coordenadas seguintes ficam erradas. Monte primeiro, coloque campos depois.

O pedido que nunca chega. Enviado não é entregue: os filtros põem em quarentena o correio com ligações, as gateways empresariais reescrevem-nas, um endereço partilhado ou de função deixa-o numa fila que ninguém possui, uma resposta de ausência devolve-o. Vigie o evento de entrega, não o de envio, e se não aparecer no prazo de um dia, reenvie para um segundo endereço em vez de esperar. Evite por completo endereços de função para signatários: não se identifica uma pessoa a partir de uma caixa que dez pessoas leem. As ligações expiradas são da mesma família: envelopes e ligações têm tempo de vida, e um signatário que volta de férias encontra uma página morta e conclui muitas vezes que tudo foi cancelado. Defina a expiração para o prazo real mais uma margem, e envie um lembrete antes, não depois.

O envelope preso em «visto». Alguém o abriu, assinou a página que via, e nunca chegou à rubrica da página quatro nem ao último campo obrigatório abaixo da dobra num telemóvel. O estado fica em visto ou em curso, todos supõem que está feito, e o documento reaparece por assinar três semanas depois. Reduza os campos obrigatórios ao mínimo de que o documento precisa mesmo, pré-visualize o envelope num ecrã pequeno antes de enviar, e trate um destinatário que viu mas não concluiu num dia como alguém que precisa de um telefonema e não de um terceiro lembrete. E verifique os fusos horários uma vez: as trilhas de auditoria costumam ser mantidas numa hora de referência única, pelo que um evento carimbado às 23:40 pode ser a manhã seguinte onde o signatário estava — uma discrepância que num litígio parece fraude e não passa de uma convenção de apresentação.

Perguntas frequentes

Encaminhamento sequencial ou paralelo: qual por omissão?

Paralelo por omissão, sequencial quando há uma dependência real. Faça uma pergunta: alguém da lista precisa de ver o que outro fez antes de decidir? Um aprovador interno que tem de verificar o preço final, sim; um fiador que só assina depois do mutuário, sim; uma contraparte que exige assinar em último, sim. A todos os outros pode pedir-se ao mesmo tempo, e fazê-lo tira dias ao ciclo. O híbrido que funciona na prática é um fluxo em dois tempos: todo o interno em paralelo, depois a contraparte, depois a contra-assinatura — três etapas em vez de seis, só com as dependências reais.

Alguém diz-me que assinou mas o envelope continua aberto. O que aconteceu?

Quase sempre um campo por preencher ou um botão final por carregar. O signatário desenhou a assinatura, julgou que o ato estava feito, e nunca desceu até uma rubrica de uma página seguinte nem carregou em «concluir» — num telemóvel a confirmação fica muitas vezes abaixo da dobra. Abra a vista detalhada do envelope em vez do resumo: lista os campos obrigatórios de cada destinatário e quais continuam vazios, e isso diz-lhe exatamente o que pedir. Outras duas explicações cobrem quase todo o resto: a pessoa assinou outro envelope, normalmente uma versão anterior que julgava anulada; ou assinou uma cópia do ficheiro que lhe chegou por outra via, em anexo, o que produz um documento assinado que o seu fluxo nunca verá. Peça-lhe que lhe envie o que assinou antes de dar a ferramenta como falhada.

Posso acrescentar uma página depois de uma parte já ter assinado?

Ao documento assinado, não. Contenha o que contiver, acrescentá-la produz um documento diferente daquele com que a primeira parte concordou, e o facto de a assinatura continuar a parecer bem é uma propriedade das imagens, não uma licença. Duas vias legítimas: anular o envelope, reconstruí-lo com a página extra e recolher todas as assinaturas de novo; ou deixar o documento assinado intacto e assinar um aditamento separado que nomeie o original por título e data, diga o que acrescenta e seja assinado por todos. Use a segunda quando o acrescento for mesmo adicional — uma tabela de preços, uma lista de contactos — e a primeira quando mudar algo em que o primeiro signatário se apoiou. Escolha o que escolher, guarde o envelope anulado: uma trilha que mostra um cancelamento deliberado e uma reemissão limpa é prova muito melhor do que um buraco.

Um destinatário reencaminhou a ligação e um colega assinou. É um problema?

Sim, e o problema é probatório, não moral. Toda a trilha diz agora que a pessoa convidada fez tudo — abriu, autenticou-se, assinou — quando foi outra. A única coisa que o registo existia para estabelecer, que esta assinatura vem deste indivíduo, é precisamente o que agora é falso, e a contraparte não tem como sabê-lo. Corrija para a frente: anule o envelope e reemita-o para quem assina realmente, usando a função de reatribuição se o serviço a tiver, porque deixa um evento de delegação na trilha em vez de uma substituição silenciosa. Corrija estruturalmente não convidando nunca caixas partilhadas e ativando um passo de autenticação que o titular da caixa não possa passar adiante, como um código enviado para um número que só o próprio detém.

O que guardo depois de o documento estar assinado?

Três peças, no mesmo sítio, nomeadas para que se veja que formam um conjunto. O documento final selado. O certificado de conclusão ou trilha de auditoria, que é a prova de que o documento é o que diz ser. E uma impressão digital do ficheiro — um hash que calcula por si mesmo e guarda à parte, para poder mostrar anos depois que a cópia arquivada é byte a byte a que foi assinada e não um descendente regravado, recomprimido ou anotado. Essa terceira peça custa um minuto e é a que nunca se tem quando conta. Quanto ao prazo, a conservação segue a obrigação subjacente e não a assinatura: um contrato comercial, um processo de pessoal e um documento com relevância fiscal têm prazos diferentes, e o prudente é guardar o conjunto enquanto uma ação com base nele ainda for possível.