Política de Custódia de Certificados Digitais A1 do Qevna

Esta política faz parte dos Termos de Uso e do Acordo de Tratamento de Dados do Qevna. Ela descreve como a Mirex Soluções em Tecnologia Ltda., CNPJ 47.246.147/0001-20 ("Qevna"), recebe, guarda, usa, protege e apaga o certificado digital ICP-Brasil tipo A1 (arquivo PFX ou P12 e a senha) enviado pelo Cliente.

1. Por que o certificado exige cuidado especial

O certificado A1 representa a empresa perante o Fisco e pode conter o nome e o CPF do responsável. Quem tem o arquivo e a senha pode, em tese, agir em nome da empresa. Por isso o certificado tem regras mais rígidas do que os demais dados.

2. Autorização

2.1. Ao enviar o certificado, o Cliente declara que é o titular dele ou que tem autorização documentada do titular (e, no caso de escritório de contabilidade, do cliente final) para entregá-lo à Qevna para as finalidades da seção 3.

2.2. Só pode enviar, trocar ou remover o certificado o Usuário com a permissão de gerenciar certificados e com a autenticação em dois fatores (2FA) ativa, que confirma cada operação com um código na hora.

2.3. Registramos quem enviou, trocou ou removeu o certificado, quando, e a impressão digital (SHA-256) do certificado.

3. Finalidades

3.1. O certificado é usado só para:

1. consultar e baixar, na Distribuição de DF-e da Sefaz, as NF-e e os CT-e emitidos contra o CNPJ;
2. consultar, no Ambiente de Dados Nacional, as NFS-e relacionadas ao CNPJ;
3. assinar e enviar o evento de Ciência da Operação das NF-e destinadas ao CNPJ, que a Sefaz exige para liberar o XML completo (Termos de Uso, cláusula 5.3);
4. assinar e enviar manifestações do destinatário somente quando um Usuário autorizado pedir, nota a nota, quando essa funcionalidade estiver disponível.

3.2. É proibido usar o certificado para emitir documentos fiscais, assinar contratos, procurações ou declarações, acessar e-CAC, bancos, juntas comerciais ou qualquer sistema fora da lista acima, e copiar ou entregar o certificado a terceiros.

3.3. O código do Qevna só se conecta a uma lista fixa de endereços oficiais da Sefaz e do Ambiente Nacional quando usa o certificado, e cada uso registra a finalidade.

4. Validação no envio

Ao receber o arquivo, o Qevna confere que o certificado é ICP-Brasil, está dentro da validade, abre com a senha informada e pertence à mesma raiz de CNPJ da empresa cadastrada. Se algo não confere, o envio é recusado e nada é guardado. O número de tentativas de envio é limitado.

5. Criptografia e armazenamento

5.1. O arquivo e a senha são guardados somente criptografados, juntos, no banco de dados:

• cada organização tem uma chave de dados própria, gerada pelo AWS KMS (região de São Paulo);
• essa chave de dados fica guardada embrulhada por uma chave mestra que nunca sai do KMS e tem rotação automática anual;
• o certificado e a senha são criptografados com AES-256-GCM, vinculados à organização e ao próprio certificado, de modo que um conteúdo copiado para outra organização não abre;
• a chave mestra só atende pedidos vindos do IP do nosso servidor de produção, e cada uso dela fica registrado na AWS (CloudTrail).

5.2. A senha nunca é gravada em claro: nem no banco, nem em registros, filas, mensagens de erro ou cópias de segurança.

5.3. O certificado só é aberto em memória, no momento do envio (para validar) e no processo de captura (para consultar a Sefaz e o ADN e assinar eventos). Depois do uso, as áreas de memória com o conteúdo aberto são apagadas.

5.4. Ninguém consegue ver ou baixar o certificado nem a senha, nem pelo painel, nem pela API. O Usuário vê só os dados públicos dele: CNPJ, titular, validade e impressão digital.

5.5. Os registros do sistema não incluem o arquivo, a senha nem as chaves. Isso é conferido por testes automáticos.

6. Acesso humano

6.1. O acesso administrativo ao servidor de produção é restrito ao responsável técnico da Qevna, só por chave SSH. Não existe ferramenta que mostre o certificado ou a senha, e o uso da chave mestra é feito pelo próprio sistema, não por pessoas.

6.2. Os ambientes de desenvolvimento e teste não usam a chave mestra de produção nem certificados de clientes.

7. O que esta proteção cobre e o que não cobre

7.1. Cobre: vazamento do banco de dados ou das cópias de segurança (o conteúdo fica ilegível sem a chave mestra); uso da credencial da AWS fora do nosso servidor (a chave mestra recusa); sessão roubada de um Usuário (trocar ou remover o certificado exige o código do 2FA na hora); acesso por membro de outra organização.

7.2. Não cobre: quem obtenha o controle do servidor de produção em funcionamento poderia usar os certificados guardados. Contra esse cenário, mantemos o servidor endurecido e atualizado, restringimos o acesso administrativo, registramos cada uso da chave mestra na AWS e, se houver suspeita, seguimos a seção 10.

8. Registros e transparência

8.1. Registramos o envio, a troca e a remoção de cada certificado (quem, quando e a impressão digital) e contamos, por dia e por finalidade, cada uso do certificado. Também guardamos os comprovantes da Ciência da Operação e das manifestações enviadas.

8.2. O Cliente pode pedir esse histórico em suporte@qevna.com, e o entregamos em até 5 dias úteis.

8.3. Os registros são guardados enquanto a organização existir e até 5 anos depois.

8.4. Os Usuários que gerenciam o certificado recebem aviso por e-mail 30, 15 e 7 dias antes do vencimento, e quando a organização perde o certificado para outra organização (seção 9.3).

9. Remoção, troca e encerramento

9.1. O Cliente pode remover o certificado a qualquer momento, com o código do 2FA. A remoção para o uso e apaga o certificado do banco de dados na hora, na mesma operação. Fica só o registro de auditoria (quem, quando e a impressão digital).

9.2. Ao trocar o certificado, o anterior é apagado na mesma operação.

9.3. Um CNPJ por organização. O certificado de um CNPJ fica ativo em uma organização por vez. Outra organização só pode ativar um certificado do mesmo CNPJ quando o atual estiver vencido ou a organização atual estiver inativa, ou quando o suporte transferir o CNPJ depois de conferir a quem ele pertence. Nesses casos, o certificado da organização anterior é apagado e ela é avisada por e-mail.

9.4. Ao encerrar a organização, o certificado é apagado e a chave de dados da organização é destruída.

9.5. Cópias de segurança: o banco de dados tem cópias de segurança diárias (guardadas por 35 dias) e mensais (guardadas por 13 meses), criptografadas com uma chave que só o responsável da Qevna tem, fora do servidor. Um certificado apagado continua nessas cópias, ainda criptografado também pela chave de dados da organização, até elas expirarem sozinhas. As cópias não são usadas no dia a dia e só seriam restauradas em recuperação de desastre, caso em que os certificados apagados seriam apagados de novo.

9.6. A pedido, declaramos por escrito a eliminação.

9.7. A Qevna suspende o uso do certificado se o Cliente pedir, se houver suspeita fundada de comprometimento, se o certificado estiver vencido ou revogado, ou se o titular do CNPJ ou do certificado contestar a autorização.

9.8. A Qevna não consegue revogar o certificado na autoridade certificadora. Só o titular pode fazer isso.

10. Se o certificado for, ou puder ter sido, comprometido

10.1. O que o Cliente deve fazer

1. Revogar o certificado na autoridade certificadora que o emitiu (é a única medida que o invalida perante terceiros) e emitir outro.
2. Remover o certificado do Qevna e avisar seguranca@qevna.com com o assunto "INCIDENTE CERTIFICADO", informando o CNPJ e o que aconteceu.
3. Conferir, na Sefaz, no ADN e no e-CAC, os eventos e acessos feitos com o certificado no período.
4. Avaliar, como controlador, a comunicação à ANPD e aos titulares (Resolução CD/ANPD nº 15/2024).
5. Trocar as senhas dos Usuários e revisar membros e permissões.

10.2. O que a Qevna faz

1. Suspende na hora o uso do certificado e preserva as evidências.
2. Avisa o Cliente em até 24 horas depois da confirmação ou de indício razoável de comprometimento (Acordo de Tratamento de Dados, cláusula 8.2), com o que souber.
3. Entrega o histórico de uso do certificado e coopera com a apuração.
4. Se a causa estiver na Qevna: troca as credenciais e chaves envolvidas, revisa os acessos, registra o incidente por pelo menos 5 anos e apoia o Cliente nas comunicações exigidas pela LGPD.

10.3. Responsabilidades

Quem tem a chave privada responde pelo uso dela, nos termos da lei e das regras da autoridade certificadora. A Qevna responde por falha própria em cumprir esta política, na forma dos Termos de Uso e do Acordo de Tratamento de Dados. O Cliente responde por certificado entregue sem autorização, por perda de controle do seu próprio ambiente e pelas manifestações feitas pelos seus Usuários.

11. Validade e renovação

O A1 vale, em geral, por 1 ano. O Cliente deve renová-lo antes do vencimento e enviar o novo arquivo. Documentos não capturados enquanto o certificado estiver vencido podem deixar de estar disponíveis na Sefaz (Termos de Uso, cláusula 6.2).

12. Revisão desta política

Revisamos esta política pelo menos uma vez por ano e depois de incidente relevante ou mudança na forma de guarda. Mudanças relevantes são avisadas com antecedência, como nos Termos de Uso.

13. Normas de referência

Lei nº 13.709/2018 (LGPD), arts. 6º, 39 e 46 a 49; Resolução CD/ANPD nº 15/2024; Medida Provisória nº 2.200-2/2001 (ICP-Brasil).

Histórico de versões