1.1 Visão Geral

1.1.1 Esta Declaração de Práticas de Negócios (DPN) constitui os requisitos mínimos, obrigatoriamente observados pela Autoridade de Registro AR Pronto Certifiquei, integrante da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), vinculada à Autoridade Certificadora Safeweb RFB (AC SAFEWEB RFB), e descreve as práticas e os procedimentos utilizados por esta AR na execução de seus serviços.

1.1.2 Esta DPN adota a mesma estrutura utilizada no DOC-ICP-05, que estabelece os Requisitos Mínimos para as Declarações de Práticas de Certificação das Autoridades Certificadoras da ICP-Brasil.

1.1.3 Não se aplica.

1.1.4 A estrutura desta DPN está baseada na RFC 3647.

1.1.5 A AR Pronto Certifiquei mantém todas as informações da sua DPN sempre atualizadas.

1.2 Nome do Documento e Identificação

1.2.1 Este documento é chamado "Declaração de Práticas de Negócios da AR Pronto Certifiquei", referido simplesmente como "DPN – AR Pronto Certifiquei", e descreve as práticas e os procedimentos empregados pela AR Pronto Certifiquei no âmbito da ICP-Brasil.

1.2.2 Os propósitos para os quais podem ser utilizadas as chaves criptográficas dos titulares de certificados cujas solicitações de emissão são recebidas, validadas e encaminhadas pela AR Pronto Certifiquei para a AC SAFEWEB RFB são: assinatura de documento e proteção de e-mail (S/MIME).

1.3 Participantes da ICP-Brasil

1.3.1 Autoridade Certificadora – AC

A AR Pronto Certifiquei está vinculada à AC SAFEWEB RFB, que está no nível imediatamente subsequente ao da Autoridade Certificadora da Secretaria da Receita Federal do Brasil (AC RFB), que por sua vez está subordinada hierarquicamente à Autoridade Certificadora Raiz Brasileira. Com relação aos tipos de certificados emitidos pela AC SAFEWEB RFB, devem ser observadas as suas Políticas de Certificados (PC).

1.3.2 Autoridade de Registro – AR

1.3.2.1 Os processos de recebimento, identificação e encaminhamento de solicitações de emissão ou de revogação de certificados digitais e de identificação de seus solicitantes são de competência das Autoridades de Registro (AR). As ARs vinculadas à AC SAFEWEB RFB estão relacionadas na página https://www.safeweb.com.br/repositorio, contendo: a) relação de todas as AR credenciadas; b) relação de AR que tenham se descredenciado, com respectivas datas.

1.3.3 Titulares de Certificado

Podem ser titulares de certificados cujas solicitações são recebidas, validadas e encaminhadas pela AR Pronto Certifiquei: pessoas físicas inscritas no CPF (exceto situação CANCELADA ou NULA) e pessoas jurídicas inscritas no CNPJ (exceto INAPTA, SUSPENSA, BAIXADA ou NULA), conforme art. 6° da IN RFB n° 1077/2010 e Portaria RFB/Sucor/Cotec nº 18/2019.

Em sendo o titular do certificado pessoa jurídica, será designada pessoa física como responsável pelo certificado e detentor da chave privada — obrigatoriamente o mesmo responsável pela pessoa jurídica cadastrado no CNPJ da RFB, preferencialmente o representante legal.

1.3.4 Partes Confiáveis

Considera-se terceira parte a parte que confia no teor, validade e aplicabilidade do certificado digital e chaves emitidas pela ICP-Brasil.

1.3.5 Outros Participantes

Os Prestadores de Serviços de Suporte (PSS), Prestadores de Serviços Biométricos (PSBio) e os Prestadores de Serviço de Confiança (PSC), vinculados à AC SAFEWEB RFB, estão relacionados em https://www.safeweb.com.br/repositorio.

1.4 Usabilidade do Certificado

1.4.1 Uso Apropriado do Certificado

A AR Pronto Certifiquei realiza os processos de recebimento, validação e encaminhamento de solicitações de emissão ou de revogação de certificados digitais para a AC SAFEWEB RFB, conforme as seguintes Políticas de Certificado Digital:

1.4.2 Uso Proibitivo do Certificado

Quando cabível, as aplicações para as quais existem restrições ou proibições para o uso desses certificados estão listadas nas PCs correspondentes.

1.5 Política de Administração

1.5.1 Organização Administrativa do Documento

AR: AR Pronto Certifiquei

1.5.2 Contatos

1.5.3 Pessoa que Determina a Adequabilidade da DPN com a DPC

1.5.4 Procedimentos de Aprovação da DPN

Esta DPN não necessita ser submetida, nem aprovada pelo ITI.

1.6 Definições e Acrônimos

2.1 Repositórios

2.1.1 As obrigações da AC SAFEWEB RFB em relação ao seu repositório estão descritas no item correspondente de sua DPC.

2.1.2 a 2.1.4 Os requisitos, disponibilidade e endereços dos repositórios da AC SAFEWEB RFB estão descritos nos itens correspondentes de sua DPC.

2.1.5 Obrigações da AR Pronto Certifiquei em relação ao seu repositório:

• Publicar a sua DPN em sua página de internet;
• Possuir um domínio de internet registrado sob o CNPJ da entidade credenciada na ICP-Brasil.

2.2 Publicação de Informações dos Certificados

2.2.3 As seguintes informações, no mínimo, são publicadas pela AR Pronto Certifiquei em página web: sua Declaração de Práticas de Negócio.

2.3 Tempo ou Frequência de Publicação

2.3.1 Certificados cujas solicitações de emissão são recebidas, identificadas e encaminhadas pela AR Pronto Certifiquei à AC SAFEWEB RFB são publicados imediatamente após sua emissão.

2.3.3 As versões ou alterações desta DPN são atualizadas no site da AR Pronto Certifiquei.

2.4 Controle de Acesso aos Repositórios

Não existe qualquer restrição de acesso para consulta a esta DPN.

3.1 Atribuição de Nomes

3.1.1 A AR Pronto Certifiquei encaminha solicitações utilizando o "Distinguished Name" do padrão ITU X.500, seguindo os padrões estabelecidos pelo documento LEIAUTE DOS CERTIFICADOS DIGITAIS DA SECRETARIA DA RECEITA FEDERAL DO BRASIL.

3.1.2.2 Para certificados de pessoa física (e-CPF), o campo Common Name é composto do nome do Titular conforme consta no CPF.

3.1.2.3 Para certificados de pessoa jurídica (e-CNPJ), o campo Common Name é composto do nome empresarial conforme consta no CNPJ.

3.1.5 Os identificadores DN são únicos para cada entidade. Para e-CPF é incluído o número do CPF após o nome; para e-CNPJ, o número do CNPJ.

3.2 Validação Inicial de Identidade

A AR Pronto Certifiquei utiliza os seguintes processos:

• a) Identificação e cadastro iniciais:
  • I. Pessoa física: comprovação de que a pessoa que se apresenta é realmente aquela cujos dados constam na documentação e biometrias, vedada procuração.
  • II. Pessoa jurídica: comprovação da identidade da PJ e de que a pessoa física que se apresenta como representante legal realmente possui tal atribuição; admitida procuração por instrumento público com poderes específicos para atuar perante a ICP-Brasil, cuja certidão original ou segunda via tenha sido emitida dentro de 90 dias anteriores.
• b) Emissão do certificado: após conferência dos dados, é liberada a emissão no sistema da AC SAFEWEB RFB.

3.2.1 Método para Comprovar a Posse de Chave Privada

A AR Pronto Certifiquei utiliza um teste de assinatura durante a solicitação do certificado, realizando processo de assinatura com a chave privada enquanto a chave pública é utilizada para verificar a validade da assinatura.

3.2.2 Autenticação da Identificação da Organização

3.2.2.1.1 A confirmação da identidade de uma pessoa jurídica é feita mediante consulta às bases de dados da RFB e mediante a presença física do interessado ou por videoconferência, conforme requisitos do DOC-ICP-05.05, com base em documentos de identificação legalmente aceitos e pelo processo de identificação biométrica da ICP-Brasil.

3.2.2.1.3 A confirmação da identidade é realizada mediante:

• Apresentação dos documentos elencados no item 3.2.2.2;
• Apresentação dos documentos do responsável pelo certificado (item 3.2.3.1);
• Coleta e verificação biométrica da pessoa física responsável;
• Assinatura digital do termo de titularidade pelo titular ou responsável pelo uso do certificado.

3.2.2.1.5 O disposto poderá ser realizado: (a) mediante comparecimento presencial; ou (b) por videoconferência, conforme procedimentos da AC Raiz.

3.2.2.2 Documentos para Identificação de Organização (e-CNPJ)

Durante a solicitação de e-CNPJ, é realizada consulta à situação cadastral do CNPJ junto à RFB. Se o CNPJ estiver INAPTO, SUSPENSO, BAIXADO ou NULO, a solicitação não poderá ser enviada.

Documentos exigidos:

• Habilitação jurídica: certidão simplificada emitida pela Junta Comercial ou ato constitutivo devidamente registrado, com comprovação dos representantes legais atuais; documentos da eleição de administradores (quando aplicável).
• Habilitação fiscal: prova de inscrição no CNPJ ou no CEI/INSS.

3.2.2.3 Informações Obrigatórias no Certificado de Pessoa Jurídica

• Nome empresarial constante do CNPJ, sem abreviações;
• Cadastro Nacional de Pessoa Jurídica (CNPJ);
• Nome completo do responsável pelo certificado, sem abreviações;
• Data de nascimento do responsável pelo certificado.

3.2.3 Autenticação da Identidade de um Indivíduo (e-CPF)

Durante a solicitação de e-CPF, é realizada consulta da situação cadastral do CPF junto à RFB. Se o CPF for inexistente ou se a pessoa física apresentar condição de CANCELADA ou NULA, a solicitação não será enviada.

3.2.3.1 Documentos para Identificação de Indivíduo

• Registro de Identidade, se brasileiro; ou
• Título de Eleitor com foto; ou
• Carteira Nacional de Estrangeiro (CNE), se estrangeiro domiciliado no Brasil; ou
• Passaporte, se estrangeiro não domiciliado no Brasil.

Além de coleta e verificação biométrica do requerente conforme regulamentação da AC Raiz.

3.2.3.2 Informações Obrigatórias no Certificado de Pessoa Física

• Nome completo, sem abreviações;
• CPF;
• Data de nascimento;
• E-mail.

3.3 Identificação e Autenticação para Pedidos de Novas Chaves

3.3.1 Esta DPN estabelece os processos de identificação e confirmação do cadastro do solicitante para geração de novo par de chaves e correspondente novo certificado.

3.3.2 O processo poderá ser conduzido conforme as possibilidades:

• a) Adoção dos mesmos requisitos dos itens 3.2.2, 3.2.3 ou 3.2.7;
• b) Solicitação por meio eletrônico assinada digitalmente com certificado ICP-Brasil válido do tipo A3 ou superior, limitada a 1 ocorrência sucessiva (quando não coletados dados biométricos), apenas para pessoa física;
• c) Solicitação por meio eletrônico assinada com certificado de organização do tipo A3 ou superior com dados biométricos coletados, apenas para pessoas jurídicas;
• d) Solicitação por meio eletrônico para certificado A1, mediante confirmação por videoconferência conforme DOC-ICP-05.05;
• e) Por meio de videoconferência, conforme procedimentos e requisitos técnicos do DOC-ICP-05.05.

3.4 Identificação e Autenticação para Solicitação de Revogação

3.4.1 A solicitação de revogação de certificado é realizada através de formulário específico ou página web, permitindo a identificação inequívoca do solicitante. A confirmação da identidade é feita através da confrontação de dados fornecidos no momento da solicitação de revogação com os dados previamente cadastrados na AR Pronto Certifiquei.

3.4.2 Os procedimentos para solicitação de revogação estão descritos no item 4.9.3 desta DPN. As solicitações de revogação são obrigatoriamente documentadas.

4.1 Solicitação de Certificado

A solicitação de emissão de um Certificado Digital é feita mediante o preenchimento de formulário colocado à disposição do solicitante pela AR Pronto Certifiquei. Dentre os requisitos:

• a) Comprovação de atributos de identificação (item 3.2);
• b) Uso de certificado digital com requisitos de segurança equivalentes ao tipo A3, com autenticação biométrica do agente de registro;
• c) Termo de titularidade e responsabilidade assinado digitalmente pelo titular ou responsável.

4.1.1 Quem Pode Submeter uma Solicitação de Certificado

A submissão deve ser sempre por intermédio da AR vinculada, através de agente de registro devidamente autorizado. Para certificados de pessoa física, a solicitação deve ser feita pelo próprio titular; para pessoa jurídica, pelo representante legal.

4.1.2 Obrigações da AC SAFEWEB RFB

• Operar de acordo com sua DPC e PCs;
• Gerar e gerenciar seus pares de chaves criptográficas e assegurar a proteção das chaves privadas;
• Notificar a AC RFB em caso de comprometimento de chave privada;
• Emitir, expedir, distribuir, revogar e publicar certificados e LCRs;
• Publicar DPC, PCs e informações de descredenciamento de AR em sua página web;
• Manter e testar anualmente seu Plano de Continuidade do Negócio (PCN);
• Manter contrato de seguro de responsabilidade civil compatível com os riscos da atividade;
• Realizar auditorias pré-operacionais e anuais de suas ARs.

4.1.2.3 Responsabilidades e Obrigações da AR Pronto Certifiquei

• Receber, confirmar e encaminhar solicitações de emissão ou revogação de certificados;
• Informar aos titulares a emissão ou a revogação de seus certificados;
• Manter a conformidade com as normas da AC SAFEWEB RFB e da ICP-Brasil, especialmente DOC-ICP-03.01;
• Manter e testar anualmente seu PCN;
• Proceder ao reconhecimento das assinaturas e validade dos documentos apresentados;
• Divulgar suas práticas em conformidade com os Princípios e Critérios WebTrust para AR.

4.2 Processamento de Solicitação de Certificado

4.2.2.2 A AR Pronto Certifiquei pode, com a devida justificativa formal, aceitar ou rejeitar pedidos de certificados de requerentes de acordo com os procedimentos descritos nesta DPN.

4.2.3 A AR Pronto Certifiquei e a AC SAFEWEB RFB cumprem os procedimentos determinados na ICP-Brasil. Não há tempo máximo para processar as solicitações.

4.3 Emissão de Certificado

4.3.1.2 Certificados do tipo A1 são considerados válidos a partir do momento de sua emissão; certificados do tipo A3 são considerados válidos a partir da data de início de validade nele constante.

4.4 Aceitação do Certificado

Os requisitos e procedimentos referentes à aceitação, suas implicações e termos de acordo estão descritos nos itens correspondentes da DPC da AC SAFEWEB RFB.

4.5 Usabilidade do Par de Chaves e do Certificado

Obrigações do Titular do Certificado

• Fornecer, de modo completo e preciso, todas as informações necessárias para sua identificação;
• Garantir a proteção e o sigilo de suas chaves privadas, senhas e dispositivos criptográficos;
• Utilizar os certificados e chaves privadas de modo apropriado, conforme a PC correspondente;
• Conhecer seus direitos e obrigações contemplados pela DPC e PC correspondentes;
• Informar à AR Pronto Certifiquei ou AC SAFEWEB RFB qualquer comprometimento de sua chave privada e solicitar a imediata revogação do certificado.

4.6 Renovação de Certificados

Em acordo com o item 3.3 desta DPN, exceto para primeira emissão realizada por videoconferência, conforme determina a Resolução nº 170, de 23/04/2020.

4.9 Suspensão e Revogação de Certificado

4.9.1 Circunstâncias para Revogação Obrigatória

• Constatada emissão imprópria ou defeituosa;
• Necessidade de alteração de qualquer informação constante no certificado;
• Dissolução da AC SAFEWEB RFB;
• Perda, roubo, acesso indevido ou comprometimento da chave privada ou de sua mídia;
• Falecimento do titular (pessoa física) ou demissão do responsável (pessoa jurídica);
• Mudança na razão ou denominação social do titular;
• Extinção, dissolução ou transformação do titular PJ;
• Por decisão judicial.

4.9.2 Quem Pode Solicitar a Revogação

• O próprio titular do certificado;
• O responsável pelo certificado (certificados PJ);
• Empresa ou órgão quando o titular for seu empregado, funcionário ou servidor;
• Por determinação da AC SAFEWEB RFB;
• Por solicitação da AR Pronto Certifiquei;
• Por determinação do CG da ICP-Brasil, AC Raiz ou AC RFB.

4.9.3 Procedimento para Solicitação de Revogação

4.9.3.1 Para solicitar a revogação é necessário o envio de formulário disponibilizado pela AC SAFEWEB RFB no site www.safeweb.com.br, preenchido com qualificações do titular ou responsável: nome completo, CPF, RG, protocolo, tipo do certificado e motivo da solicitação.

4.9.3.3 O prazo máximo admitido para a conclusão do processo de revogação de certificado, após o recebimento da respectiva solicitação, para todos os tipos de certificado previstos pela ICP-Brasil é de 12 (doze) horas.

4.9.4.1 O prazo máximo para a aceitação do certificado pelo titular, dentro do qual a revogação pode ser solicitada sem cobrança de tarifa, é de 3 (três) dias.

4.9.7 Frequência de Emissão de LCR

• Frequência de emissão da LCR para certificados de usuários finais: 1 (uma) hora;
• Frequência máxima admitida: 6 (seis) horas.

4.9.8 A LCR é divulgada no repositório em no máximo 4 (quatro) horas após sua geração.

4.11 Encerramento de Atividades

Em caso de extinção da AR Pronto Certifiquei, serão adotados os procedimentos previstos no documento CRITÉRIOS E PROCEDIMENTOS PARA CREDENCIAMENTO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL. Dentre os procedimentos após publicação no D.O.U.:

• Revogar, em até 3 dias úteis, os acessos dos equipamentos de AR e autorizações dos agentes de registro;
• Inventariar os certificados emitidos no prazo máximo de 40 dias;
• Transferir a documentação dos certificados no prazo máximo de 50 dias;
• Publicar informação sobre o descredenciamento em até 5 dias;
• Disponibilizar relatório de procedimentos adotados no prazo máximo de 60 dias;
• Excluir os agentes de registro do CAR.

5.1 Controles Físicos

Construção, localização, acesso físico, níveis de acesso, sistemas de detecção, sistema de controle de acesso, mecanismo de emergência, energia e ar-condicionado, prevenção contra incêndio, armazenamento de mídia, destruição de lixo e instalações off-site: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

5.2 Controles Procedimentais

Perfis qualificados, número de pessoas necessário por tarefa, identificação e autenticação para cada perfil, e funções que requerem separação de deveres: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

5.3 Controles de Pessoal

Todos os empregados da AR Pronto Certifiquei encarregados de tarefas operacionais têm registrado em contrato ou termo de responsabilidade: os termos e condições do perfil que ocuparão, o compromisso de observar as normas da ICP-Brasil e o compromisso de não divulgar informações sigilosas.

5.3.2 Procedimentos de Verificação de Antecedentes

Todo o pessoal envolvido nas atividades de emissão, expedição, distribuição, revogação e gerenciamento de certificados é submetido a:

• Verificação de antecedentes criminais;
• Verificação de situação de crédito;
• Verificação de histórico de empregos anteriores;
• Comprovação de escolaridade e de residência.

5.3.3 Requisitos de Treinamento

Todo o pessoal recebe treinamento documentado sobre:

• Princípios e mecanismos de segurança da AC SAFEWEB RFB e da AR Pronto Certifiquei;
• Sistema de certificação em uso na AC SAFEWEB RFB;
• Procedimentos de recuperação de desastres e continuidade do negócio;
• Reconhecimento de assinaturas e validade dos documentos apresentados;
• Outros assuntos relativos às atividades sob sua responsabilidade.

5.3.6 Sanções para Ações Não Autorizadas

Na eventualidade de ação não autorizada, a AC SAFEWEB RFB ou a própria AR Pronto Certifiquei suspenderá o acesso da pessoa ao sistema de certificação e tomará as medidas administrativas e legais cabíveis. As punições aplicáveis incluem: advertência; suspensão por prazo determinado; ou impedimento definitivo de exercer funções no âmbito da ICP-Brasil.

5.4 Procedimentos de Log de Auditoria

Tipos de eventos registrados, frequência de auditoria, período de retenção, proteção, backup e sistema de coleta de dados: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

5.5 Arquivamento de Registros

Tipos de eventos, período de retenção, proteção, procedimentos de cópia e requisitos para datação: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

5.5.7 A verificação de informação de arquivo deve ser solicitada formalmente à AR Pronto Certifiquei, identificando de forma precisa o tipo e o período da informação a ser verificada. O solicitante deve ser devidamente identificado.

5.6 Troca de Chave

5.6.1 Trinta dias antes da data de expiração do certificado digital, a AR Pronto Certifiquei comunica ao seu titular, através do e-mail cadastrado no formulário de solicitação, a data de expiração do certificado junto com link para a solicitação de novo certificado.

5.7 Comprometimento e Recuperação de Desastre

Procedimentos de gerenciamento de incidente, recursos corrompidos, comprometimento de chave privada de entidade e capacidade de continuidade de negócio após desastre: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

6.1 Geração e Instalação do Par de Chaves

6.1.1.2 Pares de chaves são gerados somente pelo titular do certificado correspondente.

6.1.3.2 A entrega da chave pública do solicitante é feita por meio eletrônico, em formato PKCS#10, através de uma sessão segura SSL.

6.1.7 Propósito de Uso de Chave

Os pares de chaves correspondentes aos certificados podem ser utilizados para assinatura digital (chave privada), verificação (chave pública), garantia do não-repúdio e cifragem de chaves. Para isso, os certificados têm ativados os bits digitalSignature, nonRepudiation e keyEncipherment.

6.2 Proteção da Chave Privada e Controle do Módulo Criptográfico

6.2.1.2 O módulo criptográfico utilizado na geração e utilização de chaves criptográficas dos titulares possui certificação INMETRO.

6.2.3.1 O agente de custódia (escrow) dos certificados é o PSC Safeweb. As chaves privadas são armazenadas criptografadas em partições exclusivas em hardware criptográfico certificado pelo INMETRO, acessíveis apenas a seus titulares através de duplo fator de autenticação (senha e push notification).

6.3.1 As chaves públicas da AC SAFEWEB RFB e dos titulares permanecem armazenadas permanentemente, mesmo após a expiração dos certificados correspondentes, para verificação de assinaturas geradas durante seu período de validade.

6.5 Controles de Segurança Computacional

Nos equipamentos onde são gerados os pares de chaves dos titulares, recomenda-se:

• Senha de BIOS ativada;
• Controle de acesso lógico ao sistema operacional;
• Exigência de uso de senhas fortes;
• Diretivas de senha e de bloqueio de conta;
• Antivírus, antitrojan e antispyware instalados, atualizados e habilitados;
• Firewall pessoal ou corporativo ativado com permissões de acesso mínimas;
• Sistema operacional mantido atualizado com aplicação de correções necessárias (patches, hotfix);
• Proteção de tela acionada no máximo após 2 (dois) minutos de inatividade.

6.5.3 Controles de Segurança para as Autoridades de Registro

As estações de trabalho da AR Pronto Certifiquei implementam:

• Criptografia das partições de disco com dados da aplicação AC/AR;
• Aplicação de controle de integridade das configurações;
• Apenas aplicações e serviços necessários para as atividades corporativas;
• Controle de acesso lógico ao sistema operacional com diretivas de senha;
• Logs de auditoria do sistema operacional ativados;
• Antivírus, antitrojan e antispyware instalados e atualizados;
• Firewall pessoal ativado com permissões mínimas;
• Proteção de tela acionada no máximo após 2 minutos de inatividade;
• Apenas softwares licenciados e necessários para as atividades do agente de registro;
• Utilização de data e hora sincronizadas com a AC Raiz;
• Equipamentos de coleta biométrica em atendimento aos padrões da ICP-Brasil.

6.5.3.2.10 Os logs gerados pelo aplicativo de AR são armazenados na AC SAFEWEB RFB pelo prazo de 7 (sete) anos.

6.6 Controles Técnicos do Ciclo de Vida

6.6.2.1 A AR Pronto Certifiquei verifica a configuração de segurança dos seus sistemas periodicamente. Caso haja divergência com as configurações aprovadas, são tomadas medidas adequadas para a recuperação da situação.

7.1 Perfil do Certificado

Todos os certificados estão em conformidade com o formato definido pelo padrão ITU X.509 ou ISO/IEC 9594-8, de acordo com o perfil estabelecido na RFC 5280.

7.1.1 Todos os certificados implementam a versão 3 do padrão ITU X.509, conforme o perfil estabelecido na RFC 5280.

7.2 Perfil de LCR

Número(s) de versão e extensões de LCR e de suas entradas: conforme descrito no item correspondente da DPC da AC SAFEWEB RFB.

7.3 Perfil de OCSP

Não se aplica.

8.1 Frequência e Circunstâncias das Avaliações

A AR Pronto Certifiquei sofre auditoria prévia para fins de credenciamento e auditorias anuais para fins de manutenção de credenciamento.

8.2 Identificação/Qualificação do Avaliador

As fiscalizações são realizadas pela AC Raiz, por meio de servidores de seu quadro próprio, a qualquer tempo, sem aviso prévio, conforme CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL. As auditorias podem ser realizadas pela AC Raiz ou por terceiros por ela autorizados.

8.4 Tópicos Cobertos pela Avaliação

As fiscalizações e auditorias têm por objetivo verificar se os processos, procedimentos e atividades da AR Pronto Certifiquei estão em conformidade com suas DPCs, PCs, PSs e demais normas da ICP-Brasil, e com os princípios e critérios definidos pelo WebTrust.

8.4.3 A AR Pronto Certifiquei recebeu auditoria prévia para fins de credenciamento. A AC SAFEWEB RFB é responsável pela realização de auditorias anuais na AR Pronto Certifiquei, para fins de manutenção de credenciamento.

8.5 Ações Tomadas como Resultado de uma Deficiência

A AR Pronto Certifiquei cumpre, no prazo estipulado no relatório de auditoria, as recomendações para corrigir as deficiências apontadas, de acordo com os CRITÉRIOS E PROCEDIMENTOS PARA FISCALIZAÇÃO DAS ENTIDADES INTEGRANTES DA ICP-BRASIL e os CRITÉRIOS E PROCEDIMENTOS PARA REALIZAÇÃO DE AUDITORIAS.

8.6 Comunicação dos Resultados

Os resultados das regularizações são comunicados formalmente à AC RFB, na data de vencimento do prazo concedido no relatório de auditoria.

9.1 Tarifas

• Emissão e renovação: variável conforme definição interna comercial.
• Acesso ao certificado: não são cobradas tarifas.
• Revogação: não há tarifa de revogação.
• LCR e outros serviços: não são cobradas tarifas de acesso.

9.2 Responsabilidade Financeira

A responsabilidade da AR Pronto Certifiquei será verificada conforme previsto na legislação brasileira. A AR poderá manter contrato de seguro de cobertura de responsabilidade civil decorrente das atividades de certificação digital e de registro.

9.3 Confidencialidade da Informação do Negócio

Como princípio geral, todo documento, informação ou registro fornecido à AR Pronto Certifiquei é sigiloso e não será divulgado.

São consideradas informações não sigilosas: certificados e LCRs emitidos, informações corporativas ou pessoais em certificados ou diretórios públicos, as PCs implementadas, a DPC da AC SAFEWEB RFB, versões públicas de PS, conclusão dos relatórios de auditoria, Política de Garantia, Política de Privacidade e esta DPN.

9.4 Privacidade da Informação Pessoal

9.4.1 A AR Pronto Certifiquei assegura a proteção de dados pessoais conforme sua Política de Privacidade.

9.4.2 Como princípio geral, todo documento, informação ou registro que contenha dados pessoais é considerado confidencial, salvo previsão normativa em sentido contrário ou expressa autorização do respectivo titular.

9.4.5.3 Autorizações formais podem ser apresentadas: (a) por meio eletrônico com assinatura válida garantida por certificado ICP-Brasil; ou (b) por pedido escrito com firma reconhecida.

9.5 Direito de Propriedade Intelectual

De acordo com a legislação vigente.

9.6 Declarações e Garantias

9.6.1.7 Esta DPN está em conformidade legal com a MP 2.200-2, de 24 de agosto de 2001, e legislação aplicável.

9.8 Limitações de Responsabilidades

A AR Pronto Certifiquei não responde pelos danos que não lhe sejam imputáveis ou a que não tenha dado causa, na forma da legislação vigente.

9.9 Indenizações

A AR Pronto Certifiquei responde pelos danos que der causa e lhe sejam imputáveis, na forma da legislação vigente, assegurado o direito de regresso contra o agente ou entidade responsável.

9.10 Prazo e Rescisão

Esta DPN entra em vigor a partir da sua publicação e vigorará por prazo indeterminado, permanecendo válida e eficaz até que venha a ser revogada ou substituída, expressa ou tacitamente. Os atos praticados na vigência desta DPN são válidos e eficazes para todos os fins de direito, produzindo efeitos mesmo após a sua revogação ou substituição.

9.11 Avisos Individuais e Comunicações

As notificações, intimações, solicitações ou qualquer outra comunicação necessária serão feitas, preferencialmente, por e-mail assinado digitalmente, ou, na sua impossibilidade, por ofício da autoridade competente ou publicação no Diário Oficial da União.

9.12 Alterações

9.12.1 Qualquer alteração nesta DPN não precisará ser submetida à AC RFB nem à AC Raiz.

9.12.2 Mudanças nesta DPN serão publicadas no site da AR Pronto Certifiquei.

9.13 Solução de Conflitos

Os litígios decorrentes desta DPN serão solucionados de acordo com a legislação vigente. A DPN da AR Pronto Certifiquei não prevalecerá sobre as normas, critérios, práticas e procedimentos da ICP-Brasil.

9.14 Lei Aplicável

Esta DPN é regida pela legislação da República Federativa do Brasil, notadamente a Medida Provisória nº 2.200-2, de 24.08.2001, e a legislação que a substituir ou alterar, bem como pelas demais leis e normas em vigor no Brasil.

9.16 Disposições Diversas

9.16.1 Esta DPN representa as obrigações e deveres aplicáveis à AR. Havendo conflito entre esta DPN e outras resoluções do CG da ICP-Brasil, prevalecerá sempre a última editada.

9.16.2 Os direitos e obrigações previstos nesta DPN são de ordem pública e indisponíveis, não podendo ser cedidos ou transferidos a terceiros.

9.16.3 A invalidade, nulidade ou ineficácia de qualquer das disposições desta DPN não prejudicará as demais disposições, as quais permanecerão plenamente válidas e eficazes.

10.1 Resoluções do Comitê-Gestor da ICP-Brasil

Publicados em https://www.iti.gov.br.

10.2 Instruções Normativas da AC Raiz

Publicados em https://www.iti.gov.br.

10.3 Aprovações da AC Raiz

10.4 Aprovações da AC RFB

Publicados em http://www.receita.fazenda.gov.br/acRFB/.