--- title: "Quem Consegue Ver os Envios dos Seus Formulários?" slug: submission-access-control description: "Caixas compartilhadas fazem todo mundo ver tudo e ninguém saber quem exportou o quê. Um modelo de acesso prático e uma lista para o desligamento." publishedAt: "2026-10-26" author: "Instaform Team" tags: ["forms", "compliance", "workflows"] locale: pt --- Pergunte a um time pequeno quem consegue ler os envios dos formulários e a resposta honesta costuma ser "todo mundo, e mais duas pessoas que saíram". O mecanismo é quase sempre o mesmo. As solicitações vão para contato@, contato@ é uma caixa compartilhada, a senha circula há três anos, e os currículos da última seleção estão na mesma lista de threads que as dúvidas de faturamento. Ninguém escolheu isso. Foi se acumulando. Mas significa que você não consegue responder às duas perguntas que importam depois de um incidente: quem podia ver isso e quem viu. ## Separe por formulário antes de separar por pessoa Permissões por papel são o segundo passo. O primeiro é perceber que seus envios não são uma pilha só. Candidaturas, tickets de suporte, solicitações comerciais e faturas de fornecedores têm públicos diferentes e retenções diferentes. Colocar tudo em uma caixa força um único nível de acesso para todos, e esse nível é sempre o mais permissivo de que qualquer um dos fluxos precisa. Separe no destino, não só no formulário. Candidaturas caem onde só o grupo de contratação abre. Suporte vai para onde o grupo de suporte alcança. Solicitações comerciais podem ser amplamente visíveis, porque normalmente não contêm nada pior que o nome de uma empresa e uma faixa de orçamento, e é por isso que pertencem a um [pipeline de CRM](/crm-pipeline) e não a uma caixa de e-mail. Só essa separação já remove a maior parte da exposição, e custa uma tarde. ## Três níveis cobrem quase qualquer time Matrizes de permissão elaboradas não sobrevivem ao contato com uma empresa de dez pessoas. Três níveis sobrevivem. **Ver o que está atribuído a mim.** O padrão para quem faz o trabalho. Abre os registros que está tratando e nada mais. A maioria das pessoas deveria ficar aqui. **Ver tudo neste espaço.** Para quem toca aquele fluxo: um líder de suporte, um gestor de contratação. Delimitado por fluxo, não por senioridade. **Gerenciar o formulário e exportar.** Mudar campos, mudar destinatários de notificação, baixar os dados. Esse é o perigoso, e cabe a duas ou três pessoas, não a todo mundo com cargo alto. A distinção que importa é a última. Ler um registro é limitado. Exportá-lo cria uma cópia que você não controla mais. ## Exportações são o buraco de todo modelo No momento em que alguém baixa um CSV, seu modelo de acesso para de valer. O arquivo está na pasta de downloads, depois anexado a um e-mail, depois em uma sincronização na nuvem que guarda arquivos excluídos por mais trinta dias. Restrinja quem pode exportar, registre cada exportação com quem, quando e com qual filtro, e pergunte para que servia cada uma. A maioria é para um relatório que uma visão filtrada resolveria, ou para um disparo em massa que deveria ser uma integração de verdade. As que sobram costumam ser legítimas e poucas. Se as exportações são irrestritas, sua política de retenção também é ficção, porque essas cópias envelhecem por conta própria. ## Notificações contornam suas permissões Você pode montar um modelo de acesso caprichado e desfazê-lo com uma única regra de notificação. Um e-mail de notificação para um endereço pessoal entrega o conteúdo do envio para alguém sem conta e sem permissão, e continua entregando depois que essa pessoa muda de time. Audite a lista de destinatários de cada formulário duas vezes por ano. Procure endereços pessoais, listas de distribuição que ninguém mantém e regras de encaminhamento em caixas compartilhadas. Cada uma delas é uma concessão de acesso que sua tela de permissões não mostra. ## O desligamento é o teste Tudo acima é teoria até alguém sair. A lista que de fato pega coisas: - Revogue a conta, em vez de trocar a senha de uma compartilhada. - Remova a pessoa dos destinatários de notificação de todos os formulários, não só dos que você lembra. - Verifique regras de encaminhamento que ela deixou em caixas compartilhadas. - Rotacione qualquer chave de API, segredo de webhook ou token de incorporação a que tinha acesso. - Pergunte se ela tem exportações em um dispositivo pessoal, e obtenha a resposta por escrito. Se revogar o acesso exige lembrar em qual de cinco ferramentas ela estava, esse é o achado. Ter menos lugares guardando envios é, por si só, um controle de acesso. ## Terceiros e agências Acesso externo deve ser limitado no tempo e restrito a um espaço desde o dia em que você concede, porque ninguém lembra de remover depois. Coloque a data de término no calendário no mesmo momento em que cria a conta. Agências que cuidam dos seus formulários de captação frequentemente acumulam direito de exportação e uma cópia de todas as solicitações que você já recebeu. Essa cópia é sua na lei e delas na prática. Restrinja-as ao fluxo em que trabalham, e faça o contrato dizer o que acontece com as cópias quando o trabalho termina. ## A versão que se sustenta Um lugar só guardando envios. Fluxos separados por espaço. A maioria das pessoas vendo só o próprio trabalho. Exportações restritas e registradas. Destinatários de notificação auditados. Desligamento que se resolve com uma revogação em vez de cinco. No Instaform cada fluxo vive no seu próprio cubby com sua própria composição, então um cubby de contratação e um de suporte não compartilham público, e o acesso é removido em um lugar só quando alguém sai. A [configuração para recrutamento](/for/recruiting) é o exemplo mais claro, porque candidaturas são o fluxo que mais acaba na caixa errada. O lado de [tickets de suporte](/support-tickets) funciona igual para dados de clientes.