Visão geral sobre governança/retenção de dados
Por padrão, o Adobe Acrobat Sign mantém com segurança todos os documentos do cliente disponíveis no serviço enquanto a conta estiver ativa.
As informações transacionais persistem no sistema até que o cliente execute uma ação para excluir os contratos explicitamente.
- O serviço do Acrobat Sign é compatível com vários padrões da indústria para segurança e disponibilidade de dados, como PCI DSS 3.0, HIPAA, SOC 2 Tipo II e ISO 27001.
Após o término da vigência ou da licença de um cliente para o Acrobat Sign, a Adobe não terá a obrigação de manter os contratos, relatórios de auditoria ou outros dados do cliente.
No entanto, se a Adobe retiver esses dados, eles serão excluídos de acordo com as políticas de retenção definidas quando o cliente tinha uma licença ativa do Acrobat Sign.
Os clientes que preferirem armazenar seus registros de contrato em seus próprios sistemas, e que desejarem excluir os documentos originais dos sistemas do Acrobat Sign, podem definir uma “política de retenção” que determina por quanto tempo o Acrobat Sign deve manter a transação e exclui automaticamente o contrato (e opcionalmente os dados pessoais/de auditoria de suporte) do Acrobat Sign após esse período.
As regras de retenção são definidas por um administrador no nível de conta na seção Governança de dados do menu de administrador.
- Os administradores de nível de grupo não têm autoridade para criar ou desativar regras de retenção
- As configurações em nível de conta são herdadas por todos os grupos na conta como seu valor padrão
- Os grupos devem ser configurados individualmente se forem diferentes da configuração no nível de conta
- As configurações em nível de grupo sempre substituem a configuração em nível de conta
Documentos/arquivos/anexos vs. Contratos vs. Transações
- Documentos/arquivos/anexos são todos os arquivos individuais carregados no sistema do Acrobat Sign. Os materiais de construção do contrato.
- Os contratos são os objetos voltados para o cliente que o Acrobat Sign cria a partir dos arquivos carregados e que os destinatários preenchem e/ou assinam. "Contrato" é o termo usado para definir o objeto durante o processo de obtenção de assinaturas e o PDF final gerado.
- As transações abrangem o contrato e todos os registros e documentação associados gerados para/pelo contrato ao longo do caminho. (por exemplo: relatórios de auditoria, resultados de autenticação, dados de campo páginas .csv)
Regra vs RuleID
O termo Regra (no contexto deste artigo) descreve um processo prescrito. Nesse caso, o processo que controla quando um contrato é excluído do sistema do Acrobat Sign. É um termo genérico usado para falar sobre a ideia de aplicar uma condição variável (quando excluir um contrato) a outro objeto (neste caso, contratos).
O termo RuleID é usado para descrever uma regra configurada específica. Quando uma regra é criada, um número de ID exclusivo é atribuído (portanto, um RuleID) para diferenciá-lo de todas as outras regras. O ruleID configurado é o objeto literal relacionado ao contrato
Estado terminal de um contrato
As regras de retenção são acionadas quando um contrato atinge um "estado terminal".
Um estado terminal é alcançado quando o contrato não tem outras ações a serem tomadas pelos destinatários a fim de concluí-lo. Há três estados terminais:
- Concluído - alcançado quando o contrato conclui todos os processos com todos os destinatários com sucesso.
- Abandonado - um contrato abandonado foi interrompido por ação explícita. Essa ação pode vir de uma de várias fontes:
- Cancelado pelo remetente
- Recusado pelo destinatário
- Falha devido a um problema na autenticação do destinatário
- Falha devido a um erro do sistema
- Expirado - contratos que atingem sua data de expiração devido à inação dentro do prazo definido.
Como funciona
Quando um contrato entra em um estado terminal:
- O Acrobat Sign verifica as regras de retenção em nível de grupo do usuário que criou o contrato (o grupo atual no qual o usuário está quando o contrato se torna terminal)
- Se não houver nenhuma regra de nível de grupo sendo aplicada no momento, a regra de nível de conta será usada
- Se a regra de nível de conta também for indefinida, nenhuma regra de retenção será definida e o contrato não adquire uma data de exclusão
- Os contratos que não adquirem uma data de exclusão quando se tornam terminais ainda podem ser excluídos por meio das ferramentas de RGPD
Se uma regra de retenção for aplicada ao contrato:
- O contrato está programado para ser excluído com base nos parâmetros da regra
- O RuleID aplicado à regra está associado à transação, garantindo que a regra correta seja honrada no momento da exclusão
O contrato terminal aguarda até o tempo de exclusão designado.
- O número de dias até a exclusão é literal.
- Por exemplo: se forem definidos 14 dias, a ação de exclusão será acionada exatamente 14 dias (para o segundo) após o contrato se tornar terminal
Quando o tempo de exclusão chegar, o Acrobat Sign verificará o RuleID para determinar se a regra está Desativada ou não
- Se a regra estiver Desativada, nenhuma ação será executada
- Se a regra não foi Desativada, o contrato é excluído
- Se a opção para excluir o relatório de auditoria e as informações pessoais (PII) estiver ativada, esse mesmo processo será aplicado com base no intervalo de tempo definido para esses documentos
- Contas que usam o método de autenticação por Documento de identidade excluem o relatório de identidade do signatário (se coletado) como parte do PII
- Se a opção para excluir o relatório de auditoria e as informações pessoais (PII) estiver ativada, esse mesmo processo será aplicado com base no intervalo de tempo definido para esses documentos
Configuração
Configurar regras de retenção no nível de conta
Configure a retenção no nível de conta (se houver) primeiro.
Todos os grupos herdam automaticamente as configurações no nível de conta. Portanto, se sua intenção é aplicar uma política a todos os grupos, isso atinge esse objetivo:
- Navegue até Conta > Configurações da conta > Governança de dados
- Clique no ícone Mais
A sobreposição Criar regra de retenção apresenta:
- Definir o número de dias que um contrato deve ser mantido depois de ter atingido um estado terminal
- 1 dia é o mínimo
- 5475 dias (15 anos) é o máximo
- Opcionalmente, defina um período de retenção para a trilha de auditoria do contrato e as informações pessoais associadas das partes envolvidas no contrato
- A auditoria e o PII devem ser mantidos pelo menos enquanto o contrato for concluído e, potencialmente, por mais tempo
- Se essa opção não estiver ativada, o registro de auditoria e o PII serão mantidos até serem excluídos por outro método (por exemplo: exclusão do RGPD)
A primeira regra (na parte superior da pilha, sem uma Data final) é a regra atualmente aplicada. Somente uma regra pode ser aplicada para um grupo por vez.
Se uma nova regra for criada:
- A nova regra se torna aquela aplicada no momento
- A nova regra é inserida na parte superior da lista com a Data inicial de quando a regra foi criada, e nenhuma Data final
- Se houver uma regra existente anteriormente sendo aplicada de forma ativa quando a nova regra é criada:
- A regra existente anteriormente deixa de ser aplicada a novos contratos terminais
- A regra existente anteriormente move-se para baixo na lista, logo abaixo da nova (atual) regra
- A regra existente anteriormente adota automaticamente um valor de Data final que se alinha com a Data inicial da nova regra (atual)
Configurar regras de retenção no nível de grupo
Ao configurar as regras de retenção no nível de grupo, você substituirá as regras herdadas no nível de conta para os usuários que estão atualmente no grupo.
Se um usuário for movido entre grupos com contratos em andamento, as regras de retenção do novo grupo se aplicam a todos os contratos que entram em um estado terminal enquanto estão nesse grupo.
Os contratos de terminal com uma regra de retenção aplicada anterior à mudança do usuário criador para um novo grupo honrarão a data de exclusão da regra aplicada, desde que ela não esteja desativada antes da ação de exclusão.
Tendo isso em mente, configurar regras de retenção em nível de grupo é diferente em apenas duas maneiras:
Para acessar a guia de governança de dados de um grupo:
- Navegue até Conta > Grupos
- Clique uma vez no grupo que deseja editar
- Selecione Configurações de grupo
- Selecione a opção Governança de dados no painel esquerdo
- Observe que se nenhuma regra de retenção em nível de grupo estiver sendo aplicada, há um indicador claro de que as regras em nível de conta estão em vigor
- Crie novas regras clicando no ícone de mais (assim como na interface em nível de conta)
Depois que as regras forem criadas em grupos, você poderá acessar essas regras de retenção em nível de grupo na guia Governança de dados em nível de conta:
- Navegue até Conta > Configurações da conta > Governança de dados
- Clique na guia Grupos com regras de retenção
- Clique uma vez no nome do grupo que deseja editar
- Selecione Exibir regras de retenção de grupo e a página Governança de dados em nível de grupo se abre
Ao configurar regras de nível de grupo, uma opção adicional para Manter todos os contratos para este grupo está disponível.
Essa opção permite que um grupo substitua uma regra de retenção em nível de conta e mantenha todos os contratos (para os usuários no grupo) indefinidamente.
Status da regra de retenção
Ativado - regras que ainda são válidas para os contratos que entraram em um estado terminal quando a regra estava sendo aplicada
- A regra atualmente aplicada está sempre na parte superior da lista e não contém Data final
Desativado - as regras desativadas não estão mais sendo aplicadas. Se um contrato alcançar um estado terminal sob uma regra desativada, ele não será excluído no dia de exclusão de destino
- As regras desativadas ficam acinzentadas
- As regras desativadas não podem ser reativadas
Expirado - regras expiradas não têm contratos terminais pendentes de exclusão
- Por exemplo: se você tiver uma regra de 14 dias com data final em 10 de março, a regra expirará no final do dia 24 de março, uma vez que todos os contratos cobertos pela regra já foram excluídos
Legado - os clientes que tiveram uma política de retenção regida pela configuração de back-end herdada verão um reflexo dessa política como uma regra de retenção herdada.
- Os contratos que já estavam programados para serem excluídos sob a regra herdada (antes da entrada em vigor das novas regras) honrarão o tempo de exclusão da regra herdada
Filtrar as regras por status
A lista de regras de retenção pode ser filtrada clicando no ícone de "hambúrguer" no canto superior direito da tabela.
Esse conjunto de opções permite filtrar por:
- Todas as regras - o valor padrão
- Somente regras ativadas
- Somente regras desativadas
- Somente regras expiradas
Você também tem a opção de retornar 15, 30 ou 50 registros por página.
Desativar uma regra
A desativação de uma regra não pode ser revertida.
Desativar uma regra fará com que todos os contratos restantes sujeitos à regra deixem de ter uma data de exclusão que será honrada.
Esses contratos teriam então de ser excluídos usando ferramentas de RGPD.
Para desativar uma regra:
- Selecione a regra
- Clique no link Desativar
Grupos excluídos
A retenção se baseia em configurações de nível de grupo (definidas explicitamente ou herdadas das configurações de nível de conta).
A futura auditoria das regras de retenção que foram aplicadas exige que persista um histórico das regras.
Por esse motivo, o GroupID não é totalmente excluído. Em vez disso, as configurações necessárias são mantidas e podem ser revisadas/editadas pelo acesso do administrador no nível de conta para os grupos.
Os grupos excluídos podem ser expostos na página Grupos ao clicar no ícone de "hamburger" e selecionar Mostrar apenas grupos excluídos
Clique uma vez no grupo a ser editado e clique no link Configurações do grupo.
- As regras podem ser criadas e desativadas da mesma forma que quando o grupo estava ativo
Ação de exclusão baseada em API
A retenção por demanda pode ser habilitada, onde os administradores de clientes têm a opção de usar a API do Acrobat Sign para remover individualmente os documentos.
- A chamada de API usada é: DELETE /agreements/{agreementId}/documents
Entre em contato com a equipe de suporte para ativar essa opção.
Itens que devem ser lembrados
- Somente uma regra pode ser aplicada quando os contratos chegam a um estado terminal
- Várias regras podem ser Ativadas, pois uma regra permanece ativada enquanto houver contratos com uma data de exclusão de destino (de acordo com o escopo da regra)
- As regras desativadas podem não ser reativadas. Desativada para sempre
- As regras de retenção são aplicadas quando um contrato entra em um estado terminal, não quando o contrato é criado
- A regra de retenção aplicada baseia-se no grupo no qual o usuário criador está atualmente no momento em que o contrato entra em um estado terminal
- Não é possível editar as regras de retenção aplicadas a um contrato depois de ele ter entrado em um estado terminal em termos de tempo de espera
- Você pode desativar uma regra para impedir que o contrato seja excluído, mas isso impediria a exclusão de todos os contratos que adotaram a regra e ainda não foram excluídos
- Você pode determinar qual regra se aplica a qualquer contrato, verificando o relatório de auditoria do contrato e comparando a data em que foi concluído com os intervalos de datas das várias regras de retenção
- 5475 dias é o período máximo de retenção que você pode instalar
