Votação online segura: voto secreto, ata verificável por hash e assinatura ICP-Brasil

Quando alguém pergunta se dá pra fazer uma votação online segura, a resposta curta é sim — mas a resposta útil é como. Segurança em votação não é um selo genérico: é uma combinação de mecanismos concretos que você consegue explicar, um por um, pra quem vai participar da assembleia ou eleição. Neste guia você vai entender os pilares técnicos que tornam uma votação digital confiável e auditável — voto secreto de verdade, ata com hash verificável, assinatura ICP-Brasil, validação de identidade e trilha de auditoria — e onde encontrar o aprofundamento pra cada tipo de entidade (condomínio, sindicato/associação ou cooperativa).

Voto secreto de verdade: ninguém liga seu nome à sua escolha

Em muita votação "online" que existe por aí, o organizador consegue, tecnicamente, ver quem votou em quê — mesmo quando a interface promete sigilo. Isso não é voto secreto, é só uma tela que esconde o resultado. Voto secreto de verdade é uma propriedade estrutural: a escolha registrada é desacoplada da identidade de quem votou, de um jeito que nem o administrador da votação consegue reconectar as duas pontas depois.

Na prática, isso não significa abrir mão de controle. Uma assembleia ainda precisa saber quem votou — pra comprovar quórum, gerar lista de presença e validar que só eleitores habilitados participaram. O que muda é que o quê cada pessoa escolheu fica isolado dessa lista. Você pode inclusive ativar o voto secreto no meio de uma votação já aberta: o sistema anonimiza os votos já registrados até aquele momento, sem perder o controle de presença. É a diferença entre "confiar na promessa" e "confiar no desenho técnico".

Ata verificável por hash: qualquer pessoa confere se o documento foi alterado

Depois que a votação encerra, o resultado vira um documento — a ata. O problema clássico do PDF é que ele pode ser editado depois, sem deixar rastro visível. Por isso, toda ata gerada numa votação online séria precisa vir acompanhada de uma impressão digital criptográfica do conteúdo: um hash SHA-256.

Funciona assim: qualquer alteração no texto da ata — uma vírgula, um número, um nome — muda completamente o hash. A ata também traz um QR code que leva a uma página pública de verificação, onde qualquer pessoa (participante ou não da assembleia) pode conferir se o hash bate com o documento que tem em mãos. Isso transforma "confie em mim" em "confira você mesmo", sem depender de nenhuma autoridade central pra validar a integridade do papel.

Onde isso importa mais

Esse mecanismo é especialmente relevante em contextos com valor jurídico ou societário: uma assembleia de condomínio online, uma eleição sindical ou uma assembleia de cooperativa (AGO/AGE) geram documentos que podem ser exigidos depois — por um condômino, um associado ou um órgão fiscalizador. Ter como provar que a ata não foi adulterada é o mínimo que se espera de um processo sério.

Assinatura ICP-Brasil (PAdES): fé pública pra quem precisa ir além do hash

O hash prova integridade. Mas em alguns casos você quer também a fé pública de uma assinatura digital com certificado qualificado — o mesmo padrão usado em contratos, notas fiscais e documentos oficiais no Brasil. Por isso, no plano Pro, a ata pode ser assinada no padrão PAdES usando um certificado ICP-Brasil (e-CPF ou e-CNPJ) de quem preside a assembleia.

A vantagem de usar o padrão ICP-Brasil é que a validade da assinatura não depende de confiar na plataforma que gerou o documento: qualquer pessoa pode levar o PDF assinado ao validador oficial do governo, o validar.iti.gov.br, e conferir a assinatura de forma independente. É uma camada acima do hash — enquanto o hash prova que o conteúdo não mudou, a assinatura ICP-Brasil atesta quem assinou e quando, com validade reconhecida pela Infraestrutura de Chaves Públicas Brasileira.

Identidade do eleitor: três níveis, do simples ao mais rigoroso

Ata bem assinada não adianta nada se qualquer pessoa consegue votar se passando por outra. A validação de identidade é o elo entre "quem tem direito a voto" e "quem efetivamente votou", e ela pode ser configurada em diferentes níveis de rigor conforme a necessidade:

• Código de 6 dígitos por e-mail — o eleitor recebe um código único no e-mail cadastrado e o usa pra confirmar o voto. Simples e adequado pra maioria das eleições internas.
• Validação por API contra sua própria base — a votação consulta o sistema da entidade (associados, condôminos, cooperados) em tempo real pra confirmar que a pessoa está apta a votar, com mensagens de recusa específicas por regra.
• Certificado e-CPF ICP-Brasil — no plano Pro, o eleitor se identifica com o próprio certificado digital qualificado, o nível mais forte de garantia de identidade disponível hoje, equivalente ao usado para assinar documentos oficialmente.

Essa camada é o que sustenta, por exemplo, uma eleição de sindicato ou associação online, onde a legitimidade do resultado depende diretamente de provar que só a base de associados votou — nem mais, nem menos.

Rastro de auditoria completo, sem expor o voto

Segurança não é só impedir fraude na hora do voto — é também deixar rastro suficiente pra qualquer questionamento posterior ser respondido com dados, não com "confia". Uma votação online bem construída registra quem votou e quando (pra fins de quórum e presença), mantém apuração em tempo real e suporta os formatos que assembleias reais exigem: múltiplas perguntas numa mesma sessão, critério de desempate definido previamente (não decidido "no calor da hora"), votação presencial via kiosk com voucher de uso único para quem prefere votar no local, e, nos planos Plus e superiores, procuração (voto por representação) e voto ponderado (peso diferente por eleitor, quando o estatuto prevê).

Todos esses recursos convivem com o voto secreto: o rastro fica em quem participou e como o processo foi conduzido, nunca em qual foi a escolha de cada eleitor quando o sigilo está ativo. Se você quer comparar planos e ver o que está disponível em cada faixa, a página de preços detalha exatamente isso.

LGPD, dados no Brasil e o que a lei realmente exige

Voto secreto por padrão já resolve boa parte da preocupação com dados sensíveis: se a plataforma nem consegue reconstruir a ligação entre eleitor e escolha, não há o que vazar nesse ponto. Some a isso hospedagem de dados no Brasil e você tem uma base razoável de conformidade com a LGPD para o processo de votação em si.

Vale um parêntese sobre o pano de fundo legal: a Lei 14.309/2022 abriu caminho para assembleias eletrônicas em condomínios e associações, reconhecendo formalmente a possibilidade de reunião e votação por meio digital. Isso não significa que qualquer ferramenta torna sua assembleia automaticamente válida — o rito continua sendo definido pelo estatuto ou convenção de cada entidade. O que a lei faz é remover a barreira; os mecanismos técnicos (voto secreto, hash, assinatura, identidade) são o que dá substância a essa possibilidade. Por isso vale ler o guia específico se sua entidade é um condomínio: os detalhes de convocação e quórum têm particularidades próprias.

Qual desses mecanismos sua próxima votação precisa

Nenhuma dessas camadas é decorativa: cada uma responde a uma pergunta que alguém vai fazer depois — "como sei que meu voto foi secreto?", "como provo que a ata não foi alterada?", "quem validou a identidade de quem votou?". Você não precisa ativar tudo de uma vez; o ponto é saber que a opção existe e escolher o nível de rigor proporcional ao que está em jogo na sua assembleia ou eleição.

Se seu contexto é um condomínio, uma eleição sindical ou associativa, ou uma cooperativa em AGO/AGE, os guias específicos de cada caso mostram como esses mecanismos se aplicam na prática, com o passo a passo de convocação, quórum e condução. E se você já sabe que quer testar o processo do início ao fim, dá pra criar sua conta e configurar sua primeira votação.