Como encerrar o acesso de um subcontratado após o projeto

O subcontratado entrega a versão final e sai da equipe. A exportadora remove o usuário do repositório, mas um token de integração continua ativo e a pessoa ainda aparece em uma pasta do cliente. Para encerrar acesso, faça um inventário por sistema, confirme quem pode revogar e preserve a evidência da entrega. O encerramento da prestação, a retirada de credenciais e a devolução de dados precisam de comprovação própria.

Mapeie acessos diretos e indiretos

Liste identidade, sistema, conta, papel, grupos, credenciais de API, integrações e arquivos sincronizados. Inclua ambiente do cliente, ferramenta da exportadora e serviços geridos pelo parceiro. Um usuário pode ter acesso por equipe ou link externo, mesmo após remoção direta. Identifique contas compartilhadas e quem precisa migrar automações. O NIST organiza controles de gestão de contas e privilégio mínimo. Use essas referências para escolher medidas que a empresa consegue executar e verificar.

Confirme a data de término e o que ainda precisa ser entregue. Se o parceiro mantém uma obrigação de garantia, conceda acesso restrito com prazo quando necessário. Uma conta ampla de desenvolvimento pode ser substituída por consulta temporária. Registre quem aprova. Se existe dependência de arquivo na conta do parceiro, transfira a entrega com autorização antes de retirar. Verifique se o cliente consegue abrir e se as dependências foram documentadas.

Revogue em ordem e confirme o resultado

Desabilite papéis e sessões conforme os recursos do sistema. Revise integrações, chaves e permissões delegadas. Se uma credencial foi compartilhada, avalie troca e atualização dos serviços autorizados. Peça confirmação ao administrador externo quando a revogação depende do cliente. Guarde data, protocolo, sistema e pessoa que executou. Teste a abertura com identidade sem acesso ou verifique o estado em log. Não use a conta do parceiro para testar sem autorização.

A LGPD trata do término do tratamento e das hipóteses de conservação de dados pessoais. O guia da ANPD orienta segurança e controle de acesso. Defina quais arquivos devem ser devolvidos, eliminados ou mantidos por obrigação aplicável, com avaliação dos responsáveis. Peça confirmação de tratamento das cópias locais, pastas sincronizadas e backups, conforme limites técnicos e acordo. Preserve o que comprova prestação e aceite em área restrita.

Exemplo de encerramento com um token esquecido

Uma exportadora de software contrata um especialista para testar uma integração. Após o aceite, o cliente remove o acesso ao repositório. A exportadora identifica um token criado para consultar ambiente de homologação e uma pasta compartilhada com relatório. O responsável revoga o token, verifica que o teste automatizado já usa identidade própria e troca o compartilhamento por grupo autorizado. O administrador do cliente envia confirmação do usuário removido.

A equipe guarda relatório final, protocolo e data. O parceiro devolve a amostra permitida e confirma o tratamento das cópias segundo o acordo. Um acesso de consulta permanece por sete dias para validar a entrega, com autorização registrada e retirada agendada. O financeiro preserva o aceite e o documento do fornecedor, sem expor tokens ou arquivos de teste.

Faça um teste posterior

Confira a lista de usuários, grupos, links e integrações. Abra a entrega com perfil do cliente e teste os acessos removidos sem usar credenciais antigas. Revise se algum aviso automático ainda envia dados ao parceiro. Se encontrar acesso remanescente, restrinja e registre o impacto e o responsável. Se houver indício de uso não autorizado, siga o procedimento de incidente. A conclusão deve identificar o que foi verificado em cada sistema e o que aguarda confirmação externa.

Antes de revogar, confirme quem assume responsabilidades técnicas. Se uma pessoa gerava relatórios ou tinha propriedade de arquivos, transfira a tarefa e teste com a identidade nova. Um link compartilhado pode parar de abrir quando a conta é desativada. Faça uma cópia autorizada ou altere a propriedade conforme o sistema e preserve a referência original. Em ambiente do cliente, coordene com o administrador para não interromper serviço ativo.

Mantenha uma lista de sistemas externos e integrações automáticas. Um token usado por duas rotinas pode precisar de substituição antes da revogação. Registre a data, o serviço e quem confirma o funcionamento com a credencial nova. Se o parceiro ainda recebe alertas ou logs, retire o contato e confira a próxima execução. Nos casos em que a evidência envolve dados pessoais, limite acesso e período. Registre também a retirada de permissões do workspace de documentação, do repositório e das contas de teste. Faça uma verificação depois da data efetiva e informe ao responsável se algum item só pode ser fechado pelo comprador. Guarde a comprovação sem expor senhas ou chaves.

Confirme também se o parceiro deixou de aparecer nas listas de novos projetos.

Perguntas frequentes

Remover o usuário encerra todos os acessos?

Confira também grupos, sessões, links, tokens e integrações. Teste a retirada no ambiente pertinente.

E se o cliente controla a conta?

Abra pedido pelo canal autorizado e guarde protocolo. Acompanhe até obter confirmação da revogação.

O parceiro pode guardar cópia do trabalho?

Confira a finalidade, o contrato e a legislação aplicável. Defina o que pode ser conservado e quais controles permanecem.

Fontes oficiais

• ANPD — segurança para agentes de pequeno porte
• Câmara dos Deputados — LGPD atualizada
• NIST — controles de segurança e privacidade

Leituras relacionadas

• Como controlar acessos a portais de cobrança no exterior
• Gerador de invoice

Como a Zen pode ajudar

A contabilidade para exportação de serviços da Zen ajuda a organizar documentos, conciliar recebimentos e analisar as regras da sua operação. Peça uma proposta personalizada para conversar sobre o seu caso.