Usuários e grupos de acesso

Cadastre os usuários da sua empresa e organize-os em perfis (grupos de acesso). Cada perfil define, por tela, o que pode: visualizar, incluir, alterar, excluir.

Desligada para um grupo, ela troca TODO valor em R$ por "•••" nas telas do sistema — dashboard, financeiro, contratos, DRE, balanço, listas, prévias e totais de coluna. A pessoa continua enxergando o resto: quantidade, prazo, status, cliente, responsável. Serve para quem precisa operar sem ver dinheiro (um desenvolvedor, um estagiário, um terceiro), sem você ter que montar um perfil de telas separado.

O super admin da plataforma vê valores sempre — a chave não se aplica a ele. Já durante impersonação (quando alguém da plataforma acessa sua empresa para dar suporte) é o contrário: "Ver Valores" nasce DESLIGADO, inclusive para o super admin, e ligar exige registrar um segundo motivo na trilha de auditoria. Quem impersonou, quando e se elevou aparece na Central de Confiança.

A tela mostra no topo as pessoas da conta — criar usuário, vincular a um grupo e a um CNPJ, abrir a ficha e reenviar o convite — e, embaixo, a lista dos grupos de acesso do tenant, com busca, visões e export. Abra um grupo para ver e mudar as telas que ele alcança, os painéis de BI e o que está restrito a ele.

Ela esconde valor em dinheiro. Não esconde quantidade, percentual, data nem nome: "12 peças" e "3,5%" continuam aparecendo. É deliberado — quem trabalha na operação e não tem acesso ao financeiro precisa da lista funcionando, e esconder tudo tornaria a tela inútil justamente para o perfil que a permissão existe para atender.

Em Configurações › Parâmetros, grupo Segurança: "Senha: mínimo de caracteres" aumenta o tamanho (nunca abaixo de 8); "Senha: recusar senha que já vazou" pode ser desligada se a sua rede bloquear a consulta; "Senha: vence em quantos dias" obriga a troca periódica — quem estiver com a senha vencida define uma nova no próximo acesso, informando a atual.

O acesso do usuário vem do(s) perfil(is) dele. Sem permissão de visualizar numa tela, ela some do menu E fica bloqueada por URL direta.

Perfis do seu tenant NÃO devem receber telas de plataforma (Empresas, Planos, Cockpit do dono) — são exclusivas do provedor. A plataforma bloqueia por padrão, mas evite o grant.

Até a versão anterior, a máscara era escrita tela a tela: de 576 lugares que mostram dinheiro, apenas 37 escondiam o número. Desligar a chave e continuar vendo valor NÃO era impressão sua. Agora todo valor passa por um único componente que consulta a chave sempre. Se você desligou no passado e concluiu que "não funciona", vale testar de novo.

Quatro coisas continuam visíveis: (1) o PREÇO DO PLANO da Tenka (tabela de preços e diálogo de upgrade) — é catálogo, não dinheiro da sua empresa; (2) o HOLERITE e o PLR DO PRÓPRIO colaborador — é dado dele, esconder seria esconder o próprio salário; (3) as TABELAS LEGAIS de INSS/IRRF — informação pública; (4) as EXPORTAÇÕES (Excel, CSV, PDF), que trazem o número cru. Se a pessoa não pode ver valor, ela também não deve ter permissão de exportar aquela tela.

Os grupos que você vê aqui valem para a conta inteira, mesmo quando o grupo foi criado dentro de uma das empresas. Num grupo econômico com várias empresas, o grupo "Administradores" mora em uma delas e continua administrando todas — e pode ser atribuído a qualquer pessoa de qualquer empresa da conta. É por isso que a lista de grupos não muda quando você troca a empresa no cabeçalho.

O sistema recusa a exclusão do único grupo que tem o verbo Alterar na tela de Acessos. Sem ele, ninguém mais consegue conceder permissão a ninguém, e não existe tela para consertar isso de dentro — só o suporte, mexendo no banco. A trava é por COMPORTAMENTO e não pelo nome: se você criar outro grupo e der a ele Alterar em Acessos, o primeiro passa a poder ser excluído. Renomear o grupo não tira nem coloca a proteção.

O titular do dado pode pedir anonimização ou eliminação, e alguém na conta precisa poder executar. Isso é o verbo Alterar na tela Privacidade (LGPD). Se nenhum grupo da conta tiver esse verbo, esta tela avisa — e o caminho é conceder Privacidade ao grupo que responde pelo assunto, normalmente o mesmo que administra os acessos. O aviso olha a conta inteira: basta um grupo com o verbo, em qualquer empresa, para a exigência estar atendida.

A marca "Pode ver valores (R$)" do grupo decide se as pessoas dele veem números de dinheiro ou a máscara no lugar. Ela vale em toda a plataforma pelo mesmo caminho — tela, exportação, Tenkai no chat e no WhatsApp. Desmarque para perfis técnicos que precisam do sistema mas não de preços e custos.

Além dos grupos da sua conta, existe o grupo padrão da plataforma, mantido pela BMCode e igual para todas as contas. Ele não aparece na lista de gestão — você não o edita nem o exclui. Ele pode ser vinculado a alguém no campo “Vincular a grupo…” da aba Usuários, mas esse campo só aparece quando existe outro grupo para escolher junto: numa conta que ainda não criou nenhum grupo próprio, o campo some e uma dica toma o lugar. Vincular alguém a ele dá acesso pleno às telas do produto (os quatro verbos), sempre limitado pelos módulos do plano contratado. Toda tela nova da plataforma já nasce concedida a esse grupo. Se a sua conta tem um grupo próprio com o mesmo nome, o seu aparece no lugar do padrão.

A permissão não governa só o que aparece nas telas. Ela vale para o resumo diário por e-mail, para as notificações no celular (inclusive na tela de bloqueio), para a mensagem de cobrança pelo WhatsApp e para as respostas do Tenkai em qualquer canal. Quem não pode ver valores recebe o mesmo aviso, com a quantia oculta — a informação de que há algo a fazer não se perde.

Ao criar um usuário, ele recebe um link para DEFINIR a própria senha — válido por 48 horas e de uso único; nenhuma senha viaja por e-mail. Não chegou? O "Reenviar convite" na linha do usuário gera um link novo (o anterior morre na hora) e o estado do envio aparece ali mesmo, lido da fila de e-mails: ENVIADO, PENDENTE ou ERRO com o motivo. Se o e-mail do destinatário estiver bloqueando, o diálogo do convite mostra o link para copiar e mandar por outro canal. Quem já tem senha e esqueceu usa o "Esqueci minha senha" da tela de login — é o mesmo mecanismo, com validade de 1 hora.

O perfil sem "Ver Valores" enxerga ••• no lugar do dinheiro na tela — e, desde 24/08/2026, também no PDF, no Excel e no CSV. Antes disso o export montado no servidor trazia os números reais, inclusive de registros que a página nem estava mostrando, porque ele monta o conjunto inteiro. Se você concede este acesso a alguém, conceda sabendo que ele vale nos dois lugares; e se retira, ele deixa de valer nos dois.

Há dois caminhos, e eles não se misturam por acidente. CRIAR CONTA pelo provedor: quem ainda não existe na plataforma pode abrir a conta pelo botão do Google/Microsoft — o e-mail chega VERIFICADO e o cadastro segue normal (empresa, ramo, plano). ENTRAR pelo provedor: quem já é usuário entra direto. O que a plataforma NÃO faz é criar usuário sozinha dentro de uma conta existente: convidar alguém para o SEU time continua sendo decisão sua, aqui nesta tela — ter um e-mail do Google nunca dá acesso à conta de ninguém.

Um perfil só com "visualizar" é o jeito certo de dar acesso a quem precisa acompanhar sem mexer — auditoria, diretoria, estágio. A plataforma respeita isso em três camadas: os botões do motor de cadastro somem, os botões das telas específicas nascem desabilitados, e qualquer gravação que escape mesmo assim é recusada antes de chegar ao banco.

Abaixo dos painéis do grupo aparece o que está RESTRITO a ele: componentes de painel (o card da margem que só a diretoria vê) e indicadores estratégicos com perfil. A decisão se toma no construtor do painel (diálogo do componente ▸ "Quem vê") e na ficha do indicador (aba "Quem vê"); aqui você confere, de um lugar só, o que cada grupo enxerga a mais. Componente ou indicador sem grupo listado herda o painel — todo mundo que abre o painel vê.

Quem administra a conta (pode alterar Configurações da empresa, Acessos ou Alçadas) vê todas as telas que o plano oferece — inclusive as que chegam depois, numa versão nova ou num upgrade. Ver não é mexer: incluir, alterar e excluir continuam sendo dados por grupo, aqui. Quando o plano muda, as telas do plano novo aparecem na hora, e as que saíram do plano deixam de abrir sem apagar nada.

Na ficha do grupo, cada célula da aba Telas e permissões liga ou desliga o verbo (ver, incluir, alterar, excluir) e grava na hora, com registro na auditoria. Para montar um grupo depressa, use "Copiar de outro grupo"; para uma tela a mais, "Adicionar". O Salvar do cabeçalho grava só nome, descrição e ver valores.

Um grupo de acesso libera telas só na empresa em que a pessoa está vinculada a ele. Quem trabalha em duas empresas precisa do grupo nas duas: abra a ficha do grupo, aba Telas e permissões, e use Copiar para outra empresa. Na empresa que já tem um grupo com o mesmo nome, ele recebe o que falta; nada é retirado. Marque Levar também as pessoas para vincular quem já tem acesso àquela empresa.

Excluir um grupo é definitivo (não há lixeira) e é recusado quando ele é o único que administra os acessos da conta — sem ele ninguém mais conseguiria conceder acesso. "Administradores" é o nome reservado do grupo interno da plataforma: ele não aparece na lista, mas está no combo de vínculo das pessoas.

Toda senha nova precisa ter ao menos 8 caracteres, não pode ser o e-mail da pessoa nem conter a parte dele antes do @, e não pode ser uma senha que já apareceu em vazamentos públicos. A regra é a mesma em todos os lugares: primeiro acesso, link de redefinição, "Alterar minha senha", portal do cliente e acesso de contato. Senhas geradas pela plataforma (convite) e entradas por Google, Microsoft ou SAML não passam por ela: a identidade vem do provedor.

Em Grupos sugeridos você escolhe o papel — Financeiro, Comercial, Operação, Compras e estoque, RH ou Diretoria — e vê antes quantas e quais telas o grupo vai abrir nesta empresa. O grupo vê tudo do papel e só inclui e altera nas telas centrais dele; excluir fica de fora; Diretoria é só leitura. Operação já leva os módulos da vertical da empresa. Escolha uma, várias ou todas as empresas e aplique; depois vincule as pessoas ao grupo.

Os botões que gravam (salvar, incluir, aprovar, baixar, excluir) conferem, na hora do clique, o que o seu grupo de acesso permite naquela tela: criar um registro pede "Incluir", mudar um que já existe pede "Alterar" e apagar pede "Excluir". Quem só tem "Visualizar" abre a tela e consulta, mas a gravação para com o aviso de que a tela está só para leitura. Quem administra libera o verbo no grupo, nesta tela.

Duas situações desabilitam os botões que gravam. (1) O perfil da pessoa tem apenas "visualizar" nesta tela — conceda "alterar" ou "incluir" no grupo de acesso dela. (2) A sessão é de VISUALIZAÇÃO: a demonstração pública e o "ver como empresa" do suporte navegam a conta inteira sem poder gravar nada, por decisão de segurança e LGPD. No segundo caso não há o que conceder: é a própria sessão que é somente leitura.

Quando uma tela não abre, a página de acesso negado diz qual trava negou: o grupo que libera é de outra empresa, você não está em grupo nesta empresa, o grupo tem a tela sem a permissão Ver, a tela não está nos seus grupos, ou o plano da empresa não inclui o módulo. Quem administra confere tudo de uma vez em Acessos do usuário, em Por que não abre?.

O Tenka vigia a navegação em contas Grátis, em avaliação e com menos de 30 dias. Se o navegador se identifica como automação, se o ponteiro nunca se move ou se dezenas de telas abrem em um minuto sem nenhuma ação, aparece um desafio de um clique. Quem vence segue normalmente. Quem não vence dois desafios tem a conta bloqueada por uma hora, e quem administra a conta recebe o aviso aqui, em Usuários e grupos de acesso, e por notificação. Conta pagante tem mais tolerância e não é bloqueada: o administrador recebe o aviso para conferir se foi a própria equipe; se não foi, troque as senhas e revise os acessos. Robôs e extensões que navegam por você contam como automação.

Abra a ficha da pessoa (clique no nome), desligue "Acesso ativo", escreva o motivo e salve. A pessoa não entra mais e, se estiver com o sistema aberto, a sessão cai em até 30 segundos. A senha não muda e os grupos ficam: para devolver o acesso, ligue o interruptor de novo. Você não consegue desativar o seu próprio acesso.

Porque o seu grupo de acesso não tem, naquela tela, o verbo que a ação pede: "Incluir" para criar, "Alterar" para mudar um registro que já existe, "Excluir" para apagar. O aviso aparece no clique e nada é gravado. Peça a quem administra para abrir Acessos, escolher o seu grupo, achar a tela e marcar o verbo que falta. A mudança vale no próximo clique, sem sair do sistema.

Nos campos de novo usuário, o Enter aciona o botão de criar — o mesmo que clicar nele. A busca ao lado não herda o Enter. Revise nome, e-mail e papel antes de apertar.

Ele só aparece quando existe grupo para você escolher: se a empresa ainda não criou nenhum grupo comum, ou se você já tem todos os que pode atribuir, uma dica toma o lugar do campo. Crie um grupo (ou aplique um modelo de grupos sugeridos, se você pode) e o campo volta. O grupo nativo Administradores só aparece como opção quando há outro grupo para escolher junto.