Selo

A análise começa quando o usuário confirma o envio e corre em três etapas, nesta ordem: autenticidade do documento, prova de vida e comparação facial. Se uma etapa reprova, as seguintes não rodam. Depois delas o Selo checa a unicidade, que liga o documento a uma única conta.

A mídia é aberta com a chave da sessão apenas na memória, durante a análise, e nunca é gravada em claro. Pontuações e modelos faciais existem só enquanto a análise roda.

Aceita RG, CNH e passaporte. Para o passaporte vale a página com a foto. Para os demais, frente e verso. A etapa confere os elementos impressos que aparecem em foto, a zona legível por máquina (dígitos verificadores e consistência com a zona visual), a validade, a legibilidade e se frente e verso são do mesmo documento.

Do documento saem apenas três dados:

O campo de sexo do documento é mascarado na leitura. O sistema não consegue lê-lo, e não existe campo de sexo ou gênero em nenhum esquema, tabela ou mensagem do Selo.

O usuário recebe um desafio na câmera, válido por dois minutos. A validade é conferida na confirmação, e um desafio vencido não passa. O motor de prova de vida precisa ter, por contrato, ensaio de laboratório acreditado conforme a ISO/IEC 30107-3, nível 1 no mínimo e nível 2 como alvo.

O rosto da prova de vida é comparado ao do documento. O ponto de operação é de no máximo 1 falsa aceitação em 100.000 comparações, conforme a calibração do motor, e a taxa de falsa rejeição é monitorada a cada versão. A pontuação não vai para o laudo, para o log nem para o banco.

A equidade é acompanhada por grupo, de forma agregada e com grupos de pelo menos 20 pessoas, com revisão mensal das taxas de recusa e de reversão.

Aprovadas as três etapas, o pseudônimo do documento é ligado à conta numa transação única. Se o mesmo documento já estiver ligado a outra conta ativa, as imagens são destruídas na hora e o caso segue para a revisão sem mídia.

O Selo não compara rostos entre contas, porque não guarda modelos faciais. Esse tipo de deduplicação está vetado na especificação. O pseudônimo é mantido enquanto a conta ligada existir, e os sinais de velocidade por 90 dias.

Toda recusa automática vira um caso para uma pessoa treinada. O console de revisão fica em origem separada da API, exige segundo fator e mantém a sessão por oito horas. Cada caso é entregue a uma só pessoa por vez, e essa regra é garantida pelo sistema.

A decisão é aprovar ou negar, em até 48 horas da criação do caso. A contestação é respondida por escrito em 48 horas, por uma pessoa diferente da que decidiu o caso original. Nenhum perfil, inclusive o de administrador, exporta mídia.

O laudo é aprovada, recusada com motivo técnico ou em análise. Quando a sessão termina sem decisão de mérito, sua empresa recebe o encerramento: expirada, análise não concluída ou documento já vinculado, com a indicação de que o usuário ganhou uma nova tentativa gratuita.

{
  "sessaoId": "ses_01J9K3MV7QX2",
  "versaoDoLaudo": 1,
  "versaoDoContrato": "2",
  "laudo": "aprovada",
  "motivo": null,
  "emitidoEm": "2026-10-03T14:21:07Z",
  "assinatura": { "kid": "2026-09", "nonce": "c6f1…" }
}

O webhook é assinado com Ed25519, identifica a chave por kid para permitir a troca, carrega data com tolerância de 5 minutos e um identificador único, e é idempotente por sessão e versão do laudo. A consulta de status existe como reserva. Toda rota tem esquema de resposta fechado.

Gênero, aparência e divergência de nome não existem como motivo, critério ou campo. O motivo devolvido é sempre técnico.

Sua aplicação fala com o Selo por mTLS em dois momentos. Abre a sessão, informando uma referência pseudônima da conta, o registro de consentimento, a data de nascimento declarada e o tipo de documento. E recebe o laudo pelo webhook, com a consulta de status como reserva. Nome, nome social, gênero e e-mail não são enviados ao Selo, que não tem campo para eles.

A captura é feita pela sua aplicação, e o usuário envia a mídia direto ao Selo com a credencial da sessão. A documentação de integração, o contrato versionado e o ambiente de homologação são entregues no início do piloto.