Um sistema de DP e RH concentra dados sensíveis: salário, documento pessoal, atestado com CID, avaliação de desempenho, denúncia de assédio. Quando o contador, o médico do trabalho e a equipe de recrutamento precisam de acesso, o erro comum é conceder a todos o mesmo acesso amplo, ou criar uma credencial compartilhada para "facilitar". A permissão por módulo resolve isso sem se tornar burocracia, porque separa duas perguntas que costumam ser tratadas como uma só: quem essa pessoa é (interna, externa, qual função) e o que ela precisa ver para fazer o trabalho dela.
Por que a credencial compartilhada é o pior atalho
É comum uma empresa pequena resolver o acesso do contador emprestando o login do próprio Owner, ou criando um usuário genérico "financeiro" que várias pessoas usam. Funciona no primeiro mês. O problema aparece depois: quando algo muda de forma indevida numa folha ou num cadastro, não há como saber quem fez o quê, porque a identidade de quem operou o sistema se perdeu no meio do caminho. Um convite individual, com o mínimo de acesso necessário, custa poucos minutos a mais na hora de configurar e evita essa pergunta sem resposta mais adiante.
Perfil de partida, não perfil fixo
Ao convidar um operador, o Owner escolhe um perfil de partida, um ponto de referência, não uma caixa fechada:
- DP: todos os módulos do Core DP (Agenda, Colaboradores, Folha, Ausências, Ativos, Benefícios, Ponto Online, Solicitações, Fluxos, Políticas, Cálculos Trabalhistas, Portal do Colaborador). Exclusivo para operadores internos.
- RH: todos os módulos do Core RH (Recrutamento, Cargos, Perfis e Testes, Treinamentos, Comunicados, Pesquisa de Clima, Avaliação de Desempenho, PDI, Canal de Denúncias, Riscos Psicossociais) e leitura de Colaboradores.
- Contabilidade / Jurídico: leitura de Colaboradores e da Folha.
- Médico do Trabalho: o módulo Ausências (afastamentos e exames).
- Psicólogo: afastamentos, exames, Treinamentos e leitura de Colaboradores.
- Desenvolvedor: o módulo Integrações e as configurações do Ponto Online.
Todos, exceto DP, ficam disponíveis para operadores internos e externos. Cada perfil já reflete o que aquela função normalmente precisa, então na maioria dos convites o Owner escolhe o perfil certo e segue direto para ajustar o que sobra ou falta naquele caso específico, sem precisar montar o acesso peça por peça desde o zero.
O ajuste módulo a módulo
A partir do perfil escolhido, o Owner ajusta as permissões módulo a módulo, definindo por módulo se o operador pode ver, editar ou excluir. Qualquer módulo pode ser concedido ou revogado individualmente, independentemente do perfil de partida escolhido no início. Precisa que o contador também veja Benefícios em leitura, para conferir o custo antes de lançar no financeiro? Liga só isso. Não quer que o médico do trabalho veja salário, já que o trabalho dele é sobre afastamento e exame, não sobre remuneração? O módulo Colaboradores fica fora do acesso dele, mesmo estando incluído no perfil de partida padrão daquela função.
Essa granularidade entre ver, editar e excluir também importa. Um consultor jurídico que só precisa avaliar um caso de desligamento não tem motivo para editar dados de colaborador, e menos ainda para excluir algo. Dar apenas visualização quando é só isso que a função exige reduz o risco de um erro de digitação de terceiro virar um problema na folha de outro mês.
O que nenhum perfil acessa, seja qual for o ajuste feito depois: gestão de assinatura, dados da empresa e administração de equipe. Isso é exclusivo do Owner, que é único por organização e não pode ser transferido nem duplicado. Mesmo o operador mais confiável da empresa não assume esse papel por delegação de acesso.
Interno x externo
- Interno: faz parte do time da empresa. O perfil DP só existe aqui, porque envolve o conjunto mais sensível de módulos, incluindo folha e dados bancários.
- Externo: contador, consultoria, prestador. Recebe o convite por e-mail, cria a própria senha e nunca vê mais do que foi liberado, mesmo que peça, mesmo que precise "só uma olhada rápida" em algo fora do combinado.
Vale notar que operador não consome vaga de colaborador. O número de colaboradores contratados no plano é reservado aos colaboradores de DP cadastrados na plataforma, então convidar o contador, o médico do trabalho e a consultoria de RH não altera a cobrança da empresa.
Suspensão em tempo real
O Owner pode suspender qualquer operador imediatamente, e isso importa em dois cenários comuns: o fim de um contrato com uma consultoria externa, ou a saída inesperada de alguém do time interno. A suspensão invalida a sessão ativa e bloqueia novos acessos na hora, pela camada de autenticação. Não é um "desativar" que só vale no próximo login, o que seria pouco útil justamente no momento em que a suspensão é mais necessária: enquanto a sessão anterior ainda pode estar aberta em algum dispositivo.
Por que isso importa para a LGPD
A LGPD exige que o acesso a dados pessoais tenha finalidade e proporção. Conceder a um prestador externo apenas o acesso mínimo necessário, com trilha de auditoria de todas as suas ações, é o comportamento esperado de um operador de dados, não uma exigência burocrática isolada do resto da lei. Cada alteração em qualquer módulo fica registrada em uma trilha imutável: autor, data e o que mudou. Isso transforma uma dúvida futura, como "quem alterou esse cadastro?", numa resposta objetiva, em vez de uma reconstrução de memória entre pessoas que já podem nem trabalhar mais juntas.
Permissão granular, na prática
No ActaOne, o convite define tipo (interno/externo) e perfil de partida; a partir dele, o Owner ajusta ver/editar/excluir por módulo. Qualquer módulo entra ou sai individualmente, a suspensão tem efeito imediato e toda operação passa pela trilha de auditoria. É o mesmo sistema para o DP, o RH, o contador e o médico do trabalho, cada um enxergando só a sua parte, sem precisar de um sistema paralelo ou de uma planilha de controle de acessos por fora.
Compartilhar credencial não é praticidade, é passivo represado. Convidar cada pessoa com o acesso estritamente necessário leva poucos minutos hoje e evita uma pergunta difícil de responder depois.
Se o contador da sua empresa ainda entra com o login do Owner, esse é o primeiro acesso a corrigir, antes de qualquer outro ajuste de permissão. O convite individual, com o perfil certo e o módulo certo, resolve em minutos o que uma credencial emprestada deixa como risco aberto indefinidamente.