Controle de Acesso e Usuários

O FinzioFiscal utiliza o modelo de Controle de Acesso Baseado em Perfis (Role-Based Access Control). Em vez de dar permissões soltas para cada usuário, você cria Perfis (ex: “Operador Fiscal”, “Faturamento”, “Consulta/Auditoria”) e associa esses perfis aos colaboradores da sua empresa.

Se um colaborador receber mais de um perfil, ele herda a união de todas as permissões desses perfis.

Cada permissão concedida em um perfil é definida por um Recurso e um Verbo de ação:

• Recursos: nfe, cte, mdfe, companies, certificates, users, reports, billing, audit, entre outros.
• Verbos:
  • view: Apenas visualizar e consultar listagens e detalhes.
  • create: Emitir novas notas, cadastrar empresas ou importar arquivos.
  • update: Editar cadastros, configurar parâmetros e atualizar dados.
  • delete: Excluir registros ou revogar certificados.
  • manage: Acesso total e administrativo ao recurso.

Acima dos perfis de acesso de um tenant existem os papéis de plataforma, que decidem o acesso às telas globais (tenants, planos, faturamento, endpoints da SEFAZ, auditoria). A hierarquia completa, do mais amplo ao mais restrito, é:

1. Super-Administrador - acesso global irrestrito: lê e altera tudo que é de plataforma.
2. Administrador da Plataforma - vê as mesmas telas globais do Super-Administrador (tenants, planos, billing, SEFAZ, auditoria) em modo somente leitura: nenhuma criação, edição, exclusão, aprovação ou suspensão. Concedido e revogado apenas por um Super-Administrador, com motivo obrigatório.
3. Proprietário (do tenant) - gestor máximo dentro da própria empresa.
4. Administrador (do tenant) - gestor operacional dentro da própria empresa.
5. Fiscal / Financeiro / Leitura (do tenant) - perfis de acesso operacionais, definidos pela matriz de recurso × verbo.

No menu Configurações > Usuários ou Controle de Acesso:

1. 1Criar Usuário: Clique em Novo Usuário, informe nome completo, e-mail de login, telefone e cargo do colaborador.
2. 2Selecionar Perfis: Marque os perfis de acesso desejados para aquele usuário na listagem.
3. 3Ativação: O colaborador poderá entrar na plataforma e terá acesso imediato e restrito às telas e ações permitidas pelos seus perfis.

Em Administração › Política de Sessão (permissão session-policy), o administrador define para todos os usuários da organização:

• Encerrar por inatividade: tempo entre 5 minutos e 24 horas sem interação. O usuário recebe um aviso 60 segundos antes, com a opção de continuar; ao atingir o limite, é desconectado e precisa entrar de novo. A regra vale no servidor: mesmo uma aba esquecida aberta perde a sessão.
• Encerrar ao fechar o navegador: as credenciais deixam de ser lembradas entre aberturas do navegador. Abas abertas continuam compartilhando a sessão; fechadas todas, o próximo acesso pede login. Vale a partir do próximo login de cada pessoa.

Sem ajuste próprio, a organização segue o padrão da plataforma, definido pelo Super-Administrador, que também pode fixar um teto de inatividade que nenhuma organização ultrapassa. Sessões encerradas por essas regras aparecem em Sessões & Histórico de Login com os motivos “Inatividade” e “Navegador fechado”.

Cada usuário mantém uma única sessão aberta pela tela de login. Ao entrar em um novo navegador ou dispositivo, a sessão anterior é encerrada automaticamente e você vê um aviso com o dispositivo e o horário da última atividade dela. No dispositivo antigo, o próximo clique leva à tela de login com a mensagem de que a conta entrou em outro lugar.

Quem consome a API diretamente (sem a tela de login) recebe uma sessão sem renovação automática: ela vale até o token expirar e é encerrada sozinha após um período sem requisições (30 minutos por padrão). Basta autenticar-se de novo. Essas sessões não derrubam a sessão da tela, e aparecem em Sessões & Histórico de Login com o canal “API” e os motivos “Novo acesso”, “Inatividade da API” e “Token expirado”.