Como o TrustChain registra uma assinatura

O criador entra em uma conta TrustChain e preenche o acordo: título, trabalho a realizar, valor, datas e e-mail da outra pessoa.

O servidor do TrustChain salva o registro, não o navegador do criador: nenhum navegador ou aplicativo pode criar diretamente um registro de acordo. Ele contém o ID da conta do criador, o e-mail informado para cada lado, título, valor e moeda, texto do acordo e demais campos, status (aguardando assinaturas), ambas as assinaturas marcadas como ainda não assinadas e a hora de criação.

Nos acordos feitos com o formulário atual, o próprio servidor escreve o texto a partir dos campos recém-salvos, para que o texto lido, assinado e ancorado corresponda a eles.

O servidor também atribui ao acordo um ID de registro de 8 caracteres. O link público (trustchain.biz/verify/ seguido do ID de registro) e o certificado usam esse ID. O TrustChain também mantém um ID interno mais longo para cada acordo.

O Histórico recebe a primeira entrada: o criador criou o acordo, com a hora. Nenhum endereço IP é registrado nesta etapa.

O criador convida a outra pessoa por e-mail como signatária. Também pode convidar outras pessoas como leitores, que podem ler o acordo, mas não assiná-lo.

Para cada convite, o servidor do TrustChain cria um novo link aleatório. Guarda apenas um hash de sentido único da parte secreta do link, nunca o próprio link, e o envia do endereço do TrustChain pela Resend, um serviço de entrega de e-mails. A página do criador também mostra o link para que ele possa copiar e enviar de outra forma.

Validade de um link: 7 dias. Enquanto novas verificações de identidade estão suspensas, um novo link vale por 14 dias, para não expirar durante a espera pela retomada. Agora, um novo link vale por 14 dias. Um link já enviado mantém o vencimento definido no envio.

Um link abre o acordo quantas vezes forem necessárias até expirar, o criador cancelar o convite, enviar um novo link ou retirar o acordo. Pressionar «Enviar um novo link» desativa o antigo. Convidar o mesmo endereço novamente cria um segundo convite, e ambos os links funcionam até cada um expirar ou ser cancelado.

O Histórico registra a criação e o envio do convite, com hora, criador e endereço convidado. As duas entradas são escritas antes de entregar o e-mail ao serviço de envio, então sozinhas não mostram que ele chegou. Se a entrega falhar, o convite é marcado como não entregue e o criador é orientado a enviar novo link. Alterar o endereço, cancelar um convite e enviar novo link adicionam entradas próprias.

O endereço de quem assina só pode ser editado até que seu link seja aberto, alguém assine ou o convite seja vinculado à sua conta TrustChain. Depois disso, até a pessoa convidada assinar, o criador não pode mudar o endereço. Pode cancelar o convite, removendo o acesso daquele endereço e registrando isso no Histórico, e convidar outra pessoa. Enquanto ninguém assinou, também pode retirar o acordo, como descrito abaixo.

Se um link expirar antes do uso, a pessoa convidada pode pedir outro pela página do link expirado. O TrustChain avisa o criador no máximo uma vez por dia, e só o criador pode enviar um novo link. O pedido adiciona uma entrada ao Histórico.

Retirada do acordo. Enquanto ninguém assinou e o acordo ainda aguarda assinaturas, o criador pode retirá-lo, conectado à própria conta TrustChain com e-mail confirmado. Ninguém mais pode, e a assinatura de qualquer pessoa, inclusive do criador, encerra essa opção. O servidor verifica tudo novamente e, em uma operação, define o status como retirado com hora e ID da conta do criador, cancela todos os convites ainda válidos e acrescenta uma entrada de retirada ao Histórico com o criador e os convites cancelados. O texto do acordo, os e-mails e ambas as assinaturas, ainda marcadas como não assinadas, permanecem como estavam. Nenhum IP é registrado nesta etapa.

Depois disso, ninguém pode assinar o acordo ou ser convidado, e a retirada não pode ser desfeita. O link de cada convite cancelado deixa de abrir, e quem o abre é informado de que o criador retirou o acordo. O TrustChain não envia e-mail a respeito. O registro fica na lista do criador como Retirado, e a pessoa convidada ainda pode lê-lo por uma conta TrustChain cujo e-mail confirmado seja o endereço convidado. A página pública desse ID informa apenas que foi retirado. A retirada não devolve ao criador a unidade de acordo utilizada.

Quando alguém abre o link, o servidor do TrustChain encontra o convite pelo link e verifica se não expirou nem foi cancelado. Registra no Histórico a primeira abertura do link e cada visualização do acordo e inicia uma sessão de visitante exclusiva daquele convite, para a pessoa ler sem criar conta.

O IP de cada abertura e visualização vai para um log acessível apenas pelos servidores, não para o Histórico (seção 8).

Se a pessoa já está conectada a uma conta TrustChain cujo e-mail confirmado é o endereço convidado, assina por essa conta, não por uma sessão de visitante.

Uma sessão de visitante iniciada pelo link continua funcionando depois que ele expira ou é substituído. Cancelar o convite ou retirar o acordo encerra a sessão.

Conectado a uma conta TrustChain

O criador sempre assina assim. A pessoa convidada também pode, quando o e-mail confirmado da conta é o endereço convidado.

Com o link de convite

A pessoa convidada assina na sessão de visitante iniciada pelo link.

Cada assinatura registra qual das duas formas foi usada. O servidor do TrustChain determina quem assina e por qual lado a partir da conta ou convite usado na conexão, nunca do que o navegador informa. Um convite de leitor não pode assinar, e cada link de convite só pode assinar uma vez.

Toda pessoa que assina no TrustChain passa primeiro por uma verificação de identidade. Ela é obrigatória: o servidor recusa uma assinatura se o registro da conta signatária não indicar aprovação. Não há como assinar sem ela.

A Sumsub, uma empresa de verificação de identidade, faz a verificação em sua própria janela na página do TrustChain, com documento com foto e selfie. Os documentos vão para a Sumsub. Para saber o resultado, o servidor do TrustChain pede à Sumsub o registro da verificação. A resposta pode incluir detalhes lidos do documento, como nome, e o TrustChain só guarda o resultado. Nenhum navegador ou aplicativo pode escrever esse resultado. Uma conta TrustChain passa pela verificação uma vez; uma sessão de visitante de um convite tem sua própria verificação.

Antes da janela da Sumsub abrir, o diálogo do TrustChain diz que a Sumsub verifica um documento com foto e uma selfie em sua própria janela e vincula a parte da Política de Privacidade sobre a Sumsub.

Novas verificações de identidade estão temporariamente suspensas. Quem já passou pela verificação pode continuar assinando. Os demais poderão assinar quando elas voltarem. Escrever um acordo, convidar e compartilhar continuam funcionando. A verificação permanece obrigatória durante todo o período.

O que o selo mostra. Cada assinatura feita após uma verificação aprovada tem um selo: Identidade verificada pela Sumsub. Ele mostra que, quando a assinatura foi salva, o registro do TrustChain para a conta signatária indicava aprovação da Sumsub com resultado positivo.

O que não mostra. O TrustChain não guarda o documento nem a selfie, nem o nome verificado pela Sumsub. Não compara esse nome com nomes no acordo ou com o e-mail. Em uma assinatura por link, a verificação pertence à sessão de visitante daquele convite, não a uma conta TrustChain. Os detalhes ficam com a Sumsub. Assinaturas anteriores à inclusão do selo não o têm, e o TrustChain nunca o adiciona depois.

Os dois locais de assinatura, a página do acordo de uma conta e a página do convite, mostram primeiro o acordo: título, outra pessoa, valor, data de conclusão e texto completo (nos acordos antigos, também cláusulas padrão construídas a partir de outros campos).

Abaixo há uma caixa de seleção, com o rótulo «I want to sign this agreement» e esta linha: «I've read all the terms above. I understand my signature will be recorded with the date and time and tied to my verified identity.» A assinatura só é enviada quando a caixa está marcada. O servidor do TrustChain não registra a marcação em si.

Logo acima do botão, em texto visível e não atrás de um link, está esta frase:

A requisição de assinatura transmite esse ID de versão, e o servidor do TrustChain o guarda na assinatura quando é a versão usada atualmente pelo servidor. Uma página aberta antes de a frase existir não envia versão, e sua assinatura não guarda nenhuma. Se a frase mudar, recebe novo ID, e cada assinatura mantém o ID sob o qual foi feita.

A versão guardada mostra qual frase a página foi preparada para exibir. O TrustChain não pode ver a tela de uma pessoa, então não mostra que ela leu a frase.

Na página do link de convite, uma linha abaixo do botão permite ler os Termos e a Política de Privacidade do TrustChain, cada um em nova aba. Os registros do acordo não mostram se algum foi aberto.

Quando a pessoa pressiona o botão, o servidor do TrustChain verifica sua conexão, determina por qual lado assina e confere se o acordo ainda está aberto para assinatura, se ela ainda não assinou e se passou na verificação de identidade. Então salva tudo abaixo em uma operação: ou salva tudo, ou nada.

Hora

O momento em que a assinatura foi salva, definido pelo banco de dados do TrustChain pelo relógio do servidor do Google, não pelo telefone ou computador do signatário. O certificado mostra em UTC.

Método

Assinatura conectado a uma conta TrustChain ou pelo link de convite.

Quem

O ID da conta ou convite, o e-mail da conexão ou do convite, o lado (criador ou pessoa convidada) e se foi uma sessão de visitante. Para o criador, o endereço é o da conta.

Selo de verificação de identidade

Identidade verificada pela Sumsub (seção 5).

Versão do consentimento

O ID de versão da frase exibida acima do botão (seção 6).

Impressão digital das condições

Uma impressão digital Keccak-256 do texto do acordo exatamente como estava armazenado no momento em que a assinatura foi salva. Mudar um caractere desse texto produz outra impressão digital. Ela cobre apenas esse texto armazenado. Nos acordos feitos com o formulário atual, o texto inclui valor e data de conclusão quando preenchidos; o título nunca faz parte. Ela fica no mesmo registro do texto, então sozinha mostra que ambos correspondem. O fato de ser o texto da assinatura depende de o registro não ser alterado depois (seção 9) ou da ancoragem na Polygon, quando existe (seção 11). Nos acordos feitos com formulário antigo, a página também mostra cláusulas padrão construídas de outros campos (propriedade, confidencialidade, lei aplicável, totalidade do acordo), e a impressão digital não as cobre. Se esse registro não tem texto armazenado, a página mostra o escopo do trabalho, e a impressão digital é de um texto vazio.

IP da assinatura

O IP registrado pelo TrustChain para a requisição de assinatura. O TrustChain o lê da entrada que a camada de entrada do Google ou o Firebase Hosting acrescenta ao cabeçalho de encaminhamento e ignora entradas escritas antes nesse cabeçalho pelo solicitante. Se o cabeçalho não tem a estrutura esperada, nenhum endereço é registrado. Para assinaturas anteriores a 14 de outubro de 2026, o TrustChain registrava o endereço informado pelo framework web para a requisição, que em algumas podia ser um endereço enviado pelo solicitante. Ele fica na entrada de assinatura do Histórico, que ambas as pessoas do acordo e convidados para visualização podem ler, como diz a frase acima do botão. A cópia pessoal do certificado de registro, baixada da página do acordo, também o imprime.

Um IP pode pertencer a uma operadora móvel, empregador, VPN ou rede compartilhada. Não identifica uma pessoa nem um lugar preciso, e o TrustChain não consulta localizações.

Quando a segunda pessoa assina, o status passa a assinado por ambos, a mesma hora é salva como o momento em que ambos tinham assinado, e o Histórico recebe uma entrada de assinatura por ambos. O TrustChain então envia e-mail aos dois: ao criador no endereço confirmado da conta, se houver, e à pessoa convidada no endereço usado no registro de sua assinatura.

O TrustChain também registra o IP destas etapas: abrir um convite, visualizar o acordo por ele, pedir novo link e confirmar a conclusão do trabalho. Esses endereços não vão para o Histórico. Cada um vai para um log separado, acessível apenas pelos servidores, salvo na mesma operação da entrada do Histórico para relacionar os dois. Endereços existentes em entradas antigas foram movidos para esse log.

Nenhum navegador ou aplicativo pode ler esse log, então a outra pessoa e os leitores nunca veem esses endereços. O TrustChain os guarda para segurança e registro.

Criar ou retirar um acordo, enviar, alterar ou cancelar um convite e ancorar não registram endereço IP.

Cada etapa acima adiciona uma entrada ao Histórico do acordo, com a hora do servidor do TrustChain: criação, convite enviado, endereço alterado, convite cancelado, novo link enviado, convite aberto, acordo visualizado, novo link solicitado, retirada, assinatura, assinatura por ambos, confirmação de conclusão, conclusão e ancoragem.

Só os servidores do TrustChain escrevem entradas no Histórico. Nenhum navegador ou aplicativo pode adicionar, alterar ou excluir uma, nem mudar o texto, as assinaturas, o status ou suas horas no registro. Ambas as pessoas do acordo e qualquer convidado cujo convite ainda valha podem ler o Histórico.

Duas entradas, criação e ancoragem, são escritas logo após a etapa, não na mesma operação. Se uma dessas escritas falhar, a entrada fica ausente, e as horas do próprio registro ainda mostram quando a etapa ocorreu.

Essas regras vinculam navegadores e aplicativos. Não vinculam os próprios servidores do TrustChain nem uma pessoa com acesso administrativo ao banco de dados, que poderia mudar um registro. É uma das razões para existir ancoragem: uma impressão digital ancorada está na Polygon, fora do controle do TrustChain. As regras também mudaram ao longo do tempo; para um registro antigo, o TrustChain pode informar quais se aplicavam quando foi criado.

Depois que ambos assinam, cada pessoa pode pressionar um botão dizendo que tudo que foi combinado foi feito. O criador faz isso na página do acordo, e a pessoa convidada pela conta ou pelo próprio link. Um leitor não pode.

Cada toque salva no registro a hora da confirmação daquela pessoa, pelo relógio do servidor do TrustChain, e adiciona uma entrada de confirmação ao Histórico. Seu IP vai para o log acessível apenas pelos servidores (seção 8). Quando ambos pressionam, o status passa a concluído, essa hora é salva e o Histórico recebe uma entrada de conclusão. Registros confirmados antes de o TrustChain começar a salvar essas horas têm cada confirmação apenas no Histórico.

Isso registra apenas que cada pessoa pressionou o botão. O TrustChain não verifica o trabalho nem qualquer pagamento.

A ancoragem é opcional e nunca automática. Depois que ambos assinam, uma pessoa do acordo com conta TrustChain pode escolher ancorá-lo. Está incluída nos planos pagos ou disponível por compra avulsa no Gratuito (Preços).

O servidor do TrustChain calcula a impressão digital do registro: um hash Keccak-256 do ID interno do registro, título, texto, valor, ID da conta do criador e ID da conta da pessoa convidada (vazio se o registro não contém um para ela, como quando assinou pelo link sem conta TrustChain). Envia isso ao contrato de registro do TrustChain na Polygon em uma transação enviada e paga pela própria carteira do TrustChain. As pessoas do acordo não a assinam e não precisam de carteira.

Exatamente o que vai para a blockchain:

• a impressão digital;
• o ID interno do TrustChain para o acordo, em texto simples (não o ID de registro de 8 caracteres);
• dois campos de endereço de carteira, vazios;
• a hora do bloco que contém a transação, conforme registrada pela rede Polygon, e o endereço da carteira de ancoragem do TrustChain que a enviou.

Nenhum texto de acordo, nome, e-mail, valor, assinatura, IP ou resultado de verificação de identidade é gravado na Polygon.

O TrustChain espera uma confirmação e então salva rede, endereço do contrato, hash da transação, número do bloco, impressão digital e hora, e adiciona uma entrada de ancoragem ao Histórico.

O que mostra. A impressão digital foi gravada na Polygon na hora daquele bloco, e o contrato não tem função para alterar ou excluir uma entrada. Uma alteração posterior em qualquer campo coberto deixaria de corresponder; por isso, um registro ancorado permite detectar alterações. O que não mostra. Não cobre assinaturas, suas horas, verificações de identidade ou PDFs, nem mostra quem assinou.

O endereço do contrato e a carteira de ancoragem estão listados em Segurança. Um contrato assinado foi alterado? explica como um registro é comparado com a Polygon.

O TrustChain guarda:

• o registro do acordo: texto, título, valor, e-mail informado para cada lado, IDs de conta, status e suas horas;
• o Histórico;
• cada assinatura, com tudo listado na seção 7;
• cada convite, apenas com um hash de sentido único de seu link;
• o log de IPs acessível apenas pelos servidores (seção 8);
• para cada conta ou sessão de visitante que fez a verificação: resultado da Sumsub, quando mudou pela última vez e a referência da Sumsub para essa verificação.

O TrustChain não guarda:

• Documentos de identidade, suas fotos ou selfies. A Sumsub cuida deles.
• Nomes legais. O TrustChain não pede nem verifica um nome legal. Uma conta pode mostrar um nome de exibição de um provedor de conexão, como o nome de uma conta Google, que ninguém verifica.
• Os próprios links de convite.
• Cópias dos PDFs baixados.
• A conversa entre as duas pessoas em forma legível. É criptografada de ponta a ponta, e só os participantes podem lê-la.

O que os registros não mostram: quem fisicamente pressionou um botão (mostram qual conta ou convite fez cada requisição e o que as verificações encontraram naquele momento); quem usou um link, pois o criador também pode copiá-lo e repassá-lo; se o trabalho foi feito ou alguém pagou; o que havia na tela além do descrito nesta página; ou qualquer coisa fora do TrustChain.

Qualquer pessoa do acordo pode baixar o PDF na página do acordo ou do link: partes, texto completo e Histórico. É o registro principal.

O certificado de registro é um resumo de duas páginas. A página 1 explica em palavras simples o que o registro mostra: status, quando e como cada pessoa assinou, linha de verificação de identidade, como o registro foi criado e endereço e código QR do registro ao vivo. A página 2, Detalhes do registro, lista os fatos com precisão de segundos: etapas registradas pelo TrustChain, versão do consentimento e impressão digital das condições de cada assinatura, quando cada pessoa confirmou a conclusão do trabalho, ancoragem com número do bloco, significado de cada linha e link para esta página.

A cópia pessoal, baixada da página do acordo, também imprime o IP de cada assinatura e os e-mails parcialmente ocultos. A cópia que qualquer pessoa baixa da página pública omite e-mails, IPs e IDs internos. O certificado não mostra o texto do acordo.

O cartão de lembrança é um cartão separado de uma página com Pip, oferecido depois que ambos assinam, para guardar e compartilhar. Ele diz que é uma lembrança, não o registro, e fornece o endereço do registro ao vivo.

Todos são gerados no navegador de quem baixa, a partir do registro naquele momento. O TrustChain não guarda cópia, e um PDF pode ser alterado depois do download; compare-o com o registro ao vivo em trustchain.biz/verify/ seguido do ID de registro.

Uma pessoa do acordo que precise dos registros do TrustChain, por exemplo para um tribunal ou juízo, pode escrever para founder@trustchain.biz com o ID de registro. O TrustChain mantém os registros descritos nesta página para todos os acordos e pode fornecê-los para aquele acordo mediante solicitação, sujeito às leis de privacidade: registro, Histórico, convites sem hashes dos links e resultado da verificação de identidade. Os próprios documentos de identidade ficam com a Sumsub, não com o TrustChain.

Esta página tem versões. Quando o procedimento muda, a versão e a data no topo mudam, e a lista de alterações diz o que mudou, para ler um registro conforme o procedimento aplicável na criação. O TrustChain guarda todas as versões anteriores e pode fornecê-las mediante solicitação.