A prova que ninguém organizou é a prova que se perde
Toda divergência que chega à justiça se decide, no fim, pela qualidade da prova. E é aqui que empresas, seguradoras, escritórios de advocacia e departamentos técnicos descobrem, tarde demais, um problema silencioso: os arquivos existiam, os e-mails existiam, os documentos estavam lá, mas nunca foram preservados de forma que resistisse a uma contestação. O que era uma causa ganha vira uma causa vulnerável. E causa vulnerável, quando o valor envolvido é alto, é prejuízo que se conta em milhões.
O ponto incômodo é que essa perda quase nunca vem da falta de razão. Vem da falta de preparo. A parte tinha o documento certo, mas apresentou um print que a outra parte alegou ter sido editado. Tinha o e-mail decisivo, mas não conseguiu provar quando ele foi guardado nem que não havia sido alterado depois. A razão estava do lado de quem perdeu, faltou apenas a prova organizada de forma defensável. Preparar-se para uma eventual divergência deixou de ser zelo excessivo: virou gestão de risco elementar.
O Cofre de Retenção Legal existe para eliminar essa vulnerabilidade na origem. Ele transforma um monte de arquivos soltos em um lote preservado, datado e rastreável, e, o mais importante, verificável por qualquer análise técnica independente. Vamos ao que ele faz e ao que ele entrega, porque é aí que o benefício aparece de forma concreta.
Nada sai da sua estação de trabalho
Antes de tudo: todo o processamento acontece no navegador do próprio operador. Os arquivos são lidos direto do disco, têm sua impressão digital calculada localmente e são gravados de volta em disco, selados. Em nenhum momento sobem para um servidor. Para um escritório que preserva o material sigiloso de um cliente, para uma seguradora que retém a documentação de um sinistro, para uma empresa que isola dados sensíveis, isso não é um detalhe técnico, é a diferença entre custodiar a prova e entregá-la a um terceiro. O sigilo permanece com quem tem o dever de guardá-lo.
Camada 1 - o quê: a impressão digital de cada arquivo
Cada arquivo preservado recebe um hash SHA-256: uma sequência única de 64 caracteres que funciona como impressão digital. Trocar um único byte, uma vírgula, um pixel, produz uma impressão completamente diferente. Todas essas impressões são consolidadas numa Árvore de Merkle, cuja raiz é uma única impressão que representa o lote inteiro.
Tudo isso fica registrado no MANIFESTO_FORENSE.json, o coração técnico do cofre. Ele lista cada arquivo, seu tamanho, seu hash e, um detalhe que já evita surpresas, o formato real de cada arquivo, detectado pela assinatura binária, não pela extensão do nome. Se alguém renomeou uma imagem para parecer um PDF, ou um executável para parecer um documento, o manifesto denuncia a incompatibilidade. Numa disputa em que a natureza do arquivo importa, isso decide.
Camada 2 - quando: a data que você não controla
De nada adianta preservar um arquivo se a data da preservação for a data do seu próprio relógio, que você pode ajustar. Por isso a impressão digital do lote é enviada a duas Autoridades de Carimbo do Tempo independentes (uma na Europa, outra nos Estados Unidos), que assinam digitalmente a data e a hora em que a receberam. É o padrão RFC 3161, o mesmo usado em certificação de documentos no mundo todo.
O resultado são dois arquivos: CARIMBO_DO_TEMPO_PRIMARIO.tst e CARIMBO_DO_TEMPO_SECUNDARIO.tst. Cada um prova que o lote existia naquele instante, e prova por meio de uma autoridade externa, sem interesse na causa. Ter dois carimbos, de autoridades diferentes, é redundância deliberada: se um for questionado, o outro sustenta. Qualquer análise técnica pode conferir esses carimbos com ferramenta padrão de mercado (OpenSSL), sem depender de nada nem de ninguém.
Camada 3 - como: a cadeia de custódia que não pode ser reescrita
A robustez de uma prova depende de se poder rastrear cada elo da sua cadeia de custódia. O cofre materializa isso no CADEIA_DE_CUSTODIA.json: cada etapa do procedimento, abertura, cálculo das impressões, consolidação da árvore, selagem final, é registrada em sequência, e cada registro carrega a impressão digital do registro anterior.
O efeito prático é uma corrente. Alterar ou remover qualquer etapa quebra matematicamente todas as seguintes. Não há como reescrever a história do procedimento sem que a quebra apareça. É a diferença entre "confie que foi assim que fiz" e "a matemática comprova que foi assim que fiz".
O que amarra tudo: uma assinatura, um selo
As três camadas são costuradas por uma assinatura criptográfica (Ed25519) que vincula, num único selo, o conteúdo dos arquivos, a estrutura de pastas, a data e a identidade do operador. Qualquer adulteração posterior em qualquer uma dessas partes invalida a assinatura. É o lacre que fecha o cofre.
O Parecer que qualquer pessoa consegue ler
Prova técnica que ninguém entende não convence ninguém. Por isso o cofre entrega o mesmo conteúdo em duas formas legíveis. O PARECER_TECNICO_DE_RETENCAO.pdf é o documento oficial, sóbrio, para anexar a um processo e imprimir. O PARECER_TECNICO_DE_RETENCAO.html é a versão navegável, que abre em qualquer computador ou pode ser enviada por aplicativo de mensagens sem quebrar, porque não depende de internet nem de nenhum arquivo externo.
Ambos explicam, em linguagem acessível, o que cada prova significa, pensados para quem precisa entender o valor daquele lote sem ser especialista. As três camadas aparecem explicadas, a cadeia de custódia é mostrada elo a elo, e os arquivos com extensão incompatível vêm destacados.
A peça que muda o jogo: a verificação independente
Aqui está o que separa este cofre de qualquer relatório bonito. Junto das provas vai o VALIDADOR_OFFLINE.html, uma página que roda em qualquer navegador, sem internet e sem instalar nada.
Qualquer análise técnica, inclusive a da parte contrária, abre esse arquivo, arrasta o manifesto e os arquivos preservados, e a própria página recalcula tudo na frente de quem examina: recomputa a raiz de Merkle e confirma se bate com o selo, reverifica a cadeia de custódia elo por elo, e confere o hash de cada arquivo individualmente. Se algo tiver sido adulterado, a página acusa exatamente onde.
Repare no que isso significa para quem depende da prova. A validade não pede que ninguém acredite na sua palavra. Não depende de nenhum servidor estar no ar. Não depende de nada além da matemática, que qualquer pessoa pode reproduzir. Uma prova cuja integridade pode ser reconferida de forma independente é uma prova que se mantém de pé no contraditório, e é exatamente ela que separa uma causa sólida de uma causa vulnerável.
A saúde do arquivo ao longo dos anos
Prova preservada costuma ficar guardada por muito tempo, e mídia de armazenamento degrada silenciosamente, o chamado bit-rot, quando um HD ou pendrive esquecido numa gaveta corrompe bits sem avisar. Para isso o cofre inclui o MONITOR_DE_INTEGRIDADE_FISICA.sha256, um manifesto no formato padrão de mercado, acompanhado do VERIFICADOR_INTEGRIDADE.ps1 e do VERIFICADOR_RAPIDO_WINDOWS.bat.
Meses ou anos depois, roda-se o verificador e a ferramenta confere, arquivo por arquivo, se cada um continua idêntico ao dia da selagem. Não é a mesma coisa que a validação lógica: o manifesto prova que os arquivos não foram adulterados; o monitor de integridade física prova que eles não apodreceram no armazenamento. Duas garantias diferentes, ambas no mesmo cofre.
A transparência com o titular dos dados
Quando a retenção envolve dados de uma pessoa que pediu exclusão, a boa-fé pede prestação de contas. O COMPROVANTE_TITULAR_LGPD.pdf é a via do titular: um documento que atesta, de forma transparente, que os arquivos foram retidos de forma segura em atendimento aos requisitos legais. É o gesto que demonstra que a organização não está escondendo nem usando indevidamente os dados, está apenas preservando o que a lei permite preservar, e documentando isso.
Tudo num único lacre portátil
Ao final, o operador pode empacotar o conjunto num arquivo PROVA_[código].bytenproof um contêiner único que reúne o parecer e os dados de integridade num só lacre, prático de arquivar e transportar.
Três situações em que a prova organizada vale ouro
1. O ex-colaborador que pede exclusão de dados (LGPD). Alguém saiu da empresa e agora exerce o direito de eliminação. Mas parte da prova de uma eventual disputa trabalhista está nos arquivos que ele pediu para apagar. Apagar tudo destrói a defesa; ignorar o pedido viola a lei. A saída é isolar em um cofre imutável apenas o estritamente necessário, antes de eliminar o restante, com data atestada por autoridade externa e comprovante de transparência para o titular. Cumpre a LGPD e protege a defesa ao mesmo tempo. Sem isso, uma causa que seria ganha nasce vulnerável.
2. A seguradora e a documentação do sinistro. Uma análise de fraude ou uma contestação de cobertura pode surgir meses depois do evento. A documentação precisa estar preservada no exato estado em que se encontrava, com data inquestionável. Um lote selado, datado por autoridade independente e verificável por qualquer análise técnica é a diferença entre sustentar a recusa de um pagamento indevido e ceder por falta de prova defensável, em valores que costumam ser vultosos.
3. A empresa de tecnologia e a autoria ou o vazamento. É preciso fixar um marco temporal inquestionável sobre um projeto, um código ou um conjunto de documentos, seja para provar anterioridade de autoria, seja para preservar evidência de um vazamento. O carimbo de tempo duplo estabelece o "existia neste instante" de forma independente, e a cadeia de custódia amarra o procedimento. Quando a disputa chegar, a prova já estará selada e datada por quem não tem interesse na causa. Quem se preparou negocia de posição forte; quem não se preparou negocia no prejuízo.
O ponto que resume tudo
Não se trata de acreditar em ninguém. Trata-se de entregar os arquivos, as ferramentas de verificação e a matemática para que qualquer análise confirme, por conta própria, que a prova é íntegra e anterior. É retenção legal construída para o momento mais difícil, aquele em que a parte contrária tenta derrubar a sua prova, e ela simplesmente não cede. Preparar-se antes custa alguns minutos. Não se preparar pode custar a causa inteira.